防火墙的核心技术
简述防火墙的主要技术
简述防火墙的主要技术防火墙是一种网络安全设备，用于保护计算机网络免受恶意攻击和未经授权的访问。
它利用一系列技术来检测和阻止不安全的网络流量，以确保网络的安全性和可靠性。
以下将对防火墙的主要技术进行简述。
1. 包过滤技术（Packet Filtering）：包过滤是防火墙最基本也是最常用的技术之一。
它通过检查数据包的源地址、目标地址、端口号、协议类型等信息来决定是否允许通过。
包过滤可以根据预先设定的规则来过滤流量，例如，只允许特定IP地址的数据包通过或者禁止特定端口的访问。
2. 状态检测技术（Stateful Inspection）：状态检测是包过滤技术的进一步发展。
它不仅仅根据单个数据包的信息来决定是否允许通过，还会维护一个连接的状态表来判断是否是合法的流量。
状态检测可以更好地处理复杂的网络连接，如TCP连接的建立、终止和数据传输过程。
3. 应用层网关（Application Gateway）：应用层网关是防火墙的一种高级形式，它能够深入应用层协议进行检查和过滤。
应用层网关可以分析和过滤应用层协议的数据，如HTTP、FTP、SMTP等，并根据预先定义的策略来控制应用层流量。
这种技术可以对特定应用程序进行细粒度的访问控制，提高安全性和灵活性。
4. VPN隧道技术（VPN Tunneling）：VPN隧道技术通过在公共网络上建立安全的隧道，将数据进行加密和封装，从而实现远程访问和分支机构之间的安全通信。
防火墙可以支持VPN隧道技术，允许受信任的用户通过加密通道访问内部网络资源，同时保护数据的机密性和完整性。
5. 网络地址转换（Network Address Translation，NAT）：NAT技术允许将内部网络的私有IP地址转换为公共IP地址，以实现内部网络与外部网络的通信。
防火墙可以通过NAT技术来隐藏内部网络的真实IP地址，增加网络的安全性。
此外，NAT还可以实现端口映射，将外部请求转发到内部服务器，提供互联网服务。
网络安全中的防火墙技术
网络安全中的防火墙技术随着互联网的快速发展，网络安全问题日益严峻。
为了保护网络系统免受外界的恶意攻击和非法入侵，防火墙技术应运而生。
本文将介绍网络安全中的防火墙技术，包括其基本原理、工作方式和应用场景等方面。
一、防火墙的基本原理防火墙是在网络和外界之间建立一道屏障，通过检测网络流量、过滤数据包来保护网络系统的安全。
防火墙采用了多种技术手段，如包过滤、网络地址转换（NAT）、代理服务等，来实现对网络访问的控制和管理。
1.1 包过滤技术包过滤技术是防火墙的核心技术之一。
它通过检查网络数据包的源地址、目的地址、端口号等信息，基于事先设定的规则对数据包进行过滤和处理。
其中，源地址和目的地址用于规定通信的源和目的地，端口号则用于标识传输层中的不同服务或协议。
1.2 网络地址转换（NAT）网络地址转换技术是防火墙常用的一种技术手段。
它通过将私有网络内主机的私有IP地址转换为公有IP地址，使得外界无法直接访问内部网络，从而增强了网络的安全性。
同时，NAT技术还可以实现多个内部主机共享一个公有IP地址的功能，有效节约了公网IP资源。
1.3 代理服务技术代理服务技术是防火墙中另一种常见的技术手段。
它通过代理服务器与外界进行通信，将内部主机的请求进行转发和代理，从而隐藏了内部网络的真实IP地址和身份信息。
代理服务技术不仅可以有效保护内部网络的安全，还可以过滤和控制网络流量，提高网络的性能和效率。
二、防火墙的工作方式防火墙可以部署在网络的不同位置，根据其工作位置和工作方式的不同，可以分为网络层防火墙、主机层防火墙和应用层防火墙等。
2.1 网络层防火墙网络层防火墙通常部署在网络的边界处，作为网络与外界的连接点。
它通过监控和过滤网络流量，防止外界的恶意攻击和非法入侵。
常见的网络层防火墙有路由器级防火墙和状态检测防火墙等。
2.2 主机层防火墙主机层防火墙是部署在主机上的软件防火墙，用于保护主机系统的安全。
主机层防火墙可以对主机上的进出流量进行过滤和管理，阻止恶意程序和非法访问。
简述防火墙的主要技术指标
简述防火墙的主要技术指标
x
防火墙是一种安全设备，它可以保护网络免受外部攻击，以阻止未经授权的网络访问。
防火墙有很多不同的技术指标，下面介绍几项主要的技术指标：
一、性能指标：是指防火墙设备处理报文（包括过滤报文以及维护会话状态）的能力，以及处理相关的各项操作、功能等耗时的性能指标，常用性能如下：
1. 吞吐量：是指防火墙设备能够同时处理的报文数量；
2. 延迟：是指防火墙设备处理报文的时间间隔；
3. 启动时间：是指防火墙设备启动后，可以正常使用的时间；
4. 可用性：是指防火墙设备在正常运行条件下能够达到的可用性；
5. 内存开销：是指防火墙设备在处理报文时，每个报文所占用的内存开销。
二、安全指标：
1. 防火墙认证：防火墙认证是指在进行网络连接时，对用户的身份和权限进行认证；
2. 攻击防护：是指防火墙设备能够检测、阻止、并且记录网络中可疑的攻击，如拒绝服务攻击（DDoS）、TCP SYN Flood等；
3. 可靠性：是指防火墙设备在正常情况下的运行稳定性；
4. 审计功能：是指防火墙设备能够记录详细的网络访问日志，
以供审计之用；
5. 加密功能：是指防火墙设备能够支持的加密算法和密钥管理等功能。
计算机网络应用 防火墙主要技术
计算机网络应用防火墙主要技术为了更加全面地了解Internet防火墙及其应用，还有必要从技术角度对防火墙进行深入考究。
防火墙上常用的技术大体包括包过滤技术、应用服务器技术、网络地址转换技术（NAT）、虚拟专用网（VPN）技术及审计技术等多种技术，并且每种防火墙技术都存在它实现的原理。
1．包过滤技术包过滤技术是一种简单、有效的安全控制技术，包过滤防火墙一般在路由器上实现，用以过滤用户定义的内容。
其原理是对通过设备的数据包进行检查，限制数据包进出内部网络。
由于包过滤无法有效的区分相同的IP地址和不同的用户（因为包过滤只对网络层的数据报头进行监测，并不检测网络层以上的传输层和应用层），安全性相对较差。
在整个防火墙技术的发展过程中，包过滤技术出现了两种不同版本，称为“第一代静态包过滤”和“第二代动态包过滤”。
●第一代静态包过滤类型防火墙这类防火墙是最传统的防火墙，几乎是与路由器同时产生。
它是根据定义好的过滤规对网络中传输的每个数据包进行检查，用来确定该数据包是否与某一条包过滤规则匹配。
过滤规则基于数据包的报头内容进行制定。
报头内容中包括IP源地址、IP目标地址、传输协议（TCP、UDP、ICMP等）、TCP/UDP目标端口、ICMP消息类型等。
IP数据报头格式如图11-14所示。
版本报头长度服务类型总长度标识标志分段偏移生存时间协议报头校验和源IP地址目标IP地址任选项填充项图11-14 IP数据报头格式●第二代动态包过滤类型防火墙这类防火墙采用动态生成包过滤规则的方法，避免了设置静态包过滤规则时所产生的错误。
包状态监测（Stateful Inspection）技术就是由该技术发展而来的。
采用该技术的防火墙对通过它建立的每个连接都进行跟踪，并且能够根据需要动态地在过滤规则中增加或更新条目。
2．代理服务技术其原理是在网关计算机上运行应用代理程序，运行时由两部分连接构成：一部分是应用网关同内部网用户计算机建立的连接，另一部分是代替原来的客户程序与服务器建立的连接。
智能防火墙技术的研发与应用
智能防火墙技术的研发与应用随着信息技术的快速发展，网络攻击也日益猖獗，保护网络安全成为了一项非常重要的任务。
智能防火墙正是应运而生的一种技术，它能够检测和阻止不良流量进入网络，并为网络安全提供保护。
本文将讨论智能防火墙技术的研发与应用，以及其对于网络安全的重要性。
一、智能防火墙技术的研发智能防火墙技术是基于传统防火墙发展而来的一种新型网络安全技术。
相较于传统防火墙，智能防火墙在检测和拦截异常流量等方面有很大的改进。
智能防火墙的研发需要多方面的技术支持，例如数据科学、机器学习、深度学习、人工智能等技术。
其核心技术是利用数据分析和机器学习算法对网络流量进行分类和识别，从而发现和阻止恶意流量的攻击。
智能防火墙的研发涉及到众多领域，其中最重要的是机器学习和深度学习算法的应用。
这些算法可以分析大量的数据信息，并通过模式识别等方式学习到异常流量的特征，从而有效地区分恶意行为和合法行为。
同时，智能防火墙还需要结合网络通信协议以及不同类型的应用程序的特征，从而更好地对网络流量进行分析和检测，从而提高其准确性和可靠性。
此外，智能防火墙还需要结合不同的防御策略和技术，从而形成一个集成化的网络安全保护系统，以保护网络免受各种网络攻击的威胁。
智能防火墙技术的研发已经取得了不少成果。
例如，研究者们已经开发出了深度学习技术来识别和拦截恶意流量，并建立了相应的智能防火墙系统。
这些系统不仅可以有效地识别和拦截恶意流量，并且还可以优化网络带宽使用，从而提高网络性能和用户体验。
二、智能防火墙技术的应用智能防火墙技术的应用非常广泛，从金融、医疗、航空航天到军事等领域都有着非常重要的地位。
其中，智能防火墙在企业中的应用尤为广泛。
企业需要保护其敏感信息、知识产权、财务信息和客户基础，智能防火墙可以有效地对这些信息进行保护。
它可以检测和阻止未经授权的访问，阻止恶意入侵并提供多层次的安全保护，从而保证企业数据和系统的安全。
除了企业中的应用外，智能防火墙还可以应用于公共网络，如政府机构、学术机构等。
防火墙技术核心技术介绍
问题：存在什么缺陷？
30
防火墙体系构造（4）
➢ 筛选路由器 ➢ 双/多宿主主机 ➢ 屏蔽主机 ➢ 屏蔽子网
31
➢ 堡垒主机 ➢ 双宿主机 ➢ 数据包过滤 ➢ 屏蔽路由器 ➢ 屏蔽主机 ➢ 屏蔽子网
这种措施是在内部网络和外
部网络之间建立一种被隔离旳子 网，用两台防火墙将这一子网分 别与内部网络和外部网络分开。 在诸多实现中，两个防火墙放在 子网旳两端，在子网内构成一种 “非军事区”DMZ。
27
防火墙体系构造（1）
➢ 筛选路由器 ➢ 双/多宿主机 ➢ 被屏蔽主机 ➢ 被屏蔽子网
28
防火墙体系构造（2）
➢ 筛选路由器 ➢ 双/多宿主机 ➢ 被屏蔽主机 ➢ 被屏蔽子网
29
防火墙体系构造（3）
➢ 筛选路由器 ➢ 双/多宿主主机 ➢ 屏蔽主机 ➢ 屏蔽子网
进行规则配置，只允许外 部主机与堡垒主机通信
不允许外部主机直接访问 除堡垒主机之外旳其他主机
25
防火墙术语（5）
➢ 堡垒主机 ➢ 双宿主机 ➢ 数据包过滤 ➢ 屏蔽路由器 ➢ 屏蔽主机 ➢ 屏蔽子网
当一种堡垒主机安装在内部
网络上，一般在防火墙上设置过 滤规则，并使这个堡垒主机成为 从外部网络唯一可直接到达旳主 机，即屏蔽主机。这确保了内部 网络不受未被授权旳外部顾客旳 攻击。
26
防火墙术语（6）
24
防火墙术语（4）
➢ 堡垒主机 ➢ 双宿主机 ➢ 数据包过滤 ➢ 筛选路由器 ➢ 屏蔽主机 ➢ 屏蔽子网
筛选路由器是防火墙最基本 旳构件。它作为内外连接旳唯一 通道，要求全部旳报文都必须在 此经过检验。
路由器上能够装基于IP层旳 报文过滤软件，实现报文过滤功 能。许多路由器本身带有报文过 滤配置选项，但一般比较简朴。
网络安全实用技术答案 (2)
选择题部分：第一章：(1)计算机网络安全是指利用计算机网络管理控制和技术措施，保证在网络环境中数据的、完整性、网络服务可用性和可审查性受到保护。
A．保密性(2)网络安全的实质和关键是保护网络的安全。
C．信息(3)实际上，网络的安全问题包括两方面的内容：一是，二是网络的信息安全。
D．网络的系统安全(4)在短时间内向网络中的某台服务器发送大量无效连接请求，导致合法用户暂时无法访问服务器的攻击行为是破坏了。
C．可用性(5)如果访问者有意避开系统的访问控制机制，则该访问者对网络设备及资源进行非正常使用属于。
B．非授权访问(6)计算机网络安全是一门涉及计算机科学、网络技术、信息安全技术、通信技术、应用数学、密码技术和信息论等多学科的综合性学科，是的重要组成部分。
A．信息安全学科(7)实体安全包括。
B．环境安全、设备安全和媒体安全(8)在网络安全中，常用的关键技术可以归纳为三大类。
D．预防保护、检测跟踪、响应恢复第二章：(1)加密安全机制提供了数据的______.D．保密性和完整性(2)SSI．协议是______之间实现加密传输协议。
A．传输层和应用层(3)实际应用时一般利用_____加密技术进行密钥的协商和交换．利用_____加密技术进行用户数据的加密。
B．非对称对称(4)能在物理层、链路层、网络层、传输层和应用层提供的网络安全服务是。
B．数据保密性服务(5)传输层由于可以提供真正的端到端链接，因此最适宜提供安全服务。
D．数据保密性及以上各项(6)VPN的实现技术包括。
D．身份认证及以上技术第三章：(1)网络安全保障包括信息安全策略和。
D．上述三点(2)网络安全保障体系框架的外围是。
D．上述三点(3)名字服务、事务服务、时间服务和安全性服务是提供的服务。
C．CORBA网络安全管理技术(4)一种全局的、全员参与的、事先预防、事中控制、事后纠正、动态的运作管理模式是基于风险管理理念和。
A．持续改进模式的信息安全运作模式(5)我国网络安全立法体系框架分为。
防火墙的四种基本技术
防火墙的四种基本技术
1. 访问控制技术：访问控制技术是一种以安全性为基础的技术，可以控制网络中网络访问权限，控制用户可以访问哪些网络服务，以及哪些用户可以访问当前的网络。
访问控制的原理是认证和授权，基于主机的网络访问控制安全技术是在网络边界对主机进行识别和控制，以确保访问网络服务时不被恶意攻击性服务损害，而且可以根接受特定用户的访问。
2. 数据包过滤技术：数据包过滤技术是指根据来源和目的地的地址，端口，协议，以及数据类型等标准，在防火墙上对数据包进行过滤和处理。
过滤可以针对特定的协议和端口限制数据的流量，从而防止某些特殊的攻击。
数据包过滤技术可以按照特定的规则过滤外部流量，有效地防止一些未经授权的网络服务攻击。
3. 端口转发技术：端口转发技术是把外部网络上来的请求，转发到内部网络上的一种技术。
端口转发可以把外部客户访问的内部系统的请求转发到内部的安全出口，从而保证内部的网络安全性。
当内部客户请求服务器处理时，可以使用端口转发技术，将请求转发到内部服务器，并以正确的方式返回外部客户。
4. 虚拟专用网络技术：虚拟专用网络技术是一种利用公共网络资源，构建一组连接，使不同网络中的两个或多个用户设备像连接到同一私
有网络中一样进行通信的技术。
通过虚拟网络通道，可以实现专用网络的性能和安全性，保护数据不被外部未经授权的访问，有效地保护内部网络安全性，有效地保护内部网络数据安全。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
无论防火墙在网络中如何部署，也无论防火墙性能差异如何巨大，纵观防火墙发展的历史，其核心技术都经历了包过滤、应用代理和状态监测三个阶段。
不同厂商的核心技术在其基础上进行改革，正是这些改革，导致了防火墙产品在健壮性、可靠性、性能，甚至价格方面的巨大差异。
简单包过滤防火墙简单包过滤技术对网络层和传输层协议进行保护，对进出网络的单个包进行检查，具有性能较好和对应用透明的优点，目前绝大多数路由器都提供这种功能。
但是，由于它不能跟踪TCP状态，所以对TCP层的控制有漏洞。
如当它配置了仅允许从内到外的TCP访问时，一些以TCP应答包的形式从外部对内网进行的攻击仍可以穿透防火墙。
因此，它是一种淘汰技术，从1999年开始，主流防火墙产品中已经很少使用该技术。
据悉，美国国防部已经明令禁止在其国防网内使用这种产品。
遗憾的是，我国还有大量的防火墙采用这种技术。
笔者建议，在一些重要领域和行业，不要使用这种体系架构的防火墙。
应用代理防火墙应用代理防火墙也可称之为应用网关防火墙。
应用代理的原理是彻底隔断通信两端的直接通信，所有通信都必须经应用层代理层转发，访问者任何时候都不能与服务器建立直接的TCP连接，应用层的协议会话过程必须符合代理的安全策略要求。
断掉所有的连接，由防火墙重新建立连接，可以使应用代理防火墙具有极高的安全性。
但是，这种高安全性是以牺牲性能和对应用的透明性为代价的。
它不能支持大规模的并发连接，在对速度敏感的行业使用这类防火墙时简直是灾难。
另外，防火墙核心要求预先内置一些已知应用程序的代理，使得一些新出现的应用在代理防火墙内被无情地阻断，不能很好地支持新应用。
在IT领域中，新应用、新技术、新协议层出不穷，代理防火墙很难适应这种局面。
因此，在一些重要的领域和行业的核心业务应用中，代理防火墙正被逐渐疏远。
但是，自适应代理技术的出现让应用代理防火墙技术出现了新的转机，它结合了代理防火墙的安全性和包过滤防火墙的高速度等优点，在不损失安全性的基础上将代理防火墙的性能提高了10倍。
目前，应用代理防火墙依然有很大的市场空间，仍然是主流的防火墙之一。
尤其在那些应用比较单一（如仅仅访问www站点等）、对性能要求不高的中小企业内部网中，具有实用价值。
状态监测防火墙Check Point公司推出的新一代防火墙核心架构——状态监测防火墙，目前已经成为防火墙的标准。
这种防火墙在包过滤防火墙的架构之上进行了改进，它摒弃了包过滤防火墙仅考查进出网络的数据包，而不关心数据包状态的缺点，在防火墙的核心部分建立状态连接表，并将进出网络的数据当成一个个的会话，利用状态表跟踪每一个会话状态。
状态监测对每一个包的检查不仅根据规则表，更考虑了数据包是否符合会话所处的状态，因此提供了完整的对传输层的控制能力。
状态监测技术还采用了一系列优化技术，使防火墙性能大幅度提升，能应用在各类网络环境中，尤其是在一些规则复杂的大型网络上。
因此，它是目前最流行的防火墙技术。
目前，业界很多优秀的防火墙产品都采用了状态监测体系结构，如Cisco的PIX防火墙、NetScreen防火墙等。
从2000年开始，国内的许多防火墙公司，如东软、天融信等公司，都开始采用这一最新的体系架构。
------------摘自《计算机世界》2002/10/7网络通信如何鉴别防火墙功能差异有一些问题常令用户困惑：在产品的功能上，各个厂商的描述十分雷同，一些“后起之秀”与知名品牌极其相似。
面对这种情况，该如何鉴别？描述得十分类似的产品，即使是同一个功能，在具体实现上、在可用性和易用性上，个体差异地十分明显。
一、网络层的访问控制所有防火墙都必须具备此项功能，否则就不能称其为防火墙。
当然，大多数的路由器也可以通过自身的ACL来实现此功能。
1．规则编辑对网络层的访问控制主要表现在防火墙的规则编辑上，我们一定要考察：对网络层的访问控制是否可以通过规则表现出来？访问控制的粒度是否足够细？同样一条规则，是否提供了不同时间段的控制手段？规则配置是否提供了友善的界面？是否可以很容易地体现网管的安全意志？2．IP/MAC地址绑定同样是IP/MAC地址绑定功能，有一些细节必须考察，如防火墙能否实现IP地址和MAC地址的自动搜集？对违反了IP/MAC地址绑定规则的访问是否提供相应的报警机制？因为这些功能非常实用，如果防火墙不能提供IP地址和MAC地址的自动搜集，网管可能被迫采取其他的手段获得所管辖用户的IP与MAC地址，这将是一件非常乏味的工作。
3、NAT（网络地址转换）这一原本路由器具备的功能已逐渐演变成防火墙的标准功能之一。
但对此一项功能，各厂家实现的差异非常大，许多厂家实现NAT功能存在很大的问题：难于配置和使用，这将会给网管员带来巨大的麻烦。
我们必须学习NAT的工作原理，提高自身的网络知识水平，通过分析比较，找到一种在NAT配置和使用上简单处理的防火墙。
二、应用层的访问控制这一功能是各个防火墙厂商的实力比拼点，也是最出彩的地方。
因为很多基于免费操作系统实现的防火墙虽然可以具备状态监测模块（因为Linux、FreeBSD等的内核模块已经支持状态监测），但是对应用层的控制却无法实现“拿来主义”，需要实实在在的编程。
对应用层的控制上，在选择防火墙时可以考察以下几点。
1．是否提供HTTP协议的内容过滤？目前企业网络环境中，最主要的两种应用是WWW访问和收发电子邮件。
能否对WWW访问进行细粒度的控制反映了一个防火墙的技术实力。
2．是否提供SMTP协议的内容过滤？对电子邮件的攻击越来越多：邮件炸弹、邮件病毒、泄漏机密信息等等，能否提供基于SMTP 协议的内容过滤以及过滤的粒度粗细成了用户关注的焦点。
2．是否提供FTP协议的内容过滤？在考察这一功能时一定要细心加小心，很多厂家的防火墙都宣传说具备FTP的内容过滤，但细心对比就会发现，其中绝大多数仅实现了FTP协议中两个命令的控制：PUT和GET。
好的防火墙应该可以对FTP其他所有的命令进行控制，包括CD、LS等，要提供基于命令级控制，实现对目录和文件的访问控制，全部过滤均支持通配符。
三、管理和认证这是防火墙非常重要的功能。
目前，防火墙管理分为基于WEB界面的WUI管理方式、基于图形用户界面的GUI管理方式和基于命令行CLI的管理方式。
各种管理方式中，基于命令行的CLI方式最不适合防火墙。
WUI和GUI的管理方式各有优缺点。
WUI的管理方式简单，不用专门的管理软件，只要配备浏览器就行；同时，WUI的管理界面非常适合远程管理，只要防火墙配置一个可达的IP，可实现在美国管理位于中国分公司的防火墙。
WUI形式的防火墙也有缺点：首先，WEB界面非常不适合进行复杂、动态的页面显示，一般的WUI界面很难显示丰富的统计图表，所以对于审计、统计功能要求比较苛刻的用户，尽量不要选择WUI方式；另外，它将导致防火墙管理安全威胁增大，如果用户在家里通过浏览器管理位于公司的防火墙，信任关系仅仅依赖于一个简单的用户名和口令，黑客很容易猜测到口令，这增加了安全威胁。
GUI是目前绝大多数防火墙普遍采用的方式。
这种方式的特点是专业，可以提供丰富的管理功能，便于管理员对防火墙进行配置。
但缺点是需要专门的管理端软件，同时在远程和集中管理方面没有WUI管理方式灵活。
四、审计和日志以及存储方式目前绝大多数防火墙都提供了审计和日志功能，区别是审计的粒度粗细不同、日志的存储方式和存储量不同。
很多防火墙的审计和日志功能很弱，这一点在那些以DOM、DOC等电子盘（并且不提供网络数据库支持）为存储介质的防火墙中体现得尤为明显，有些甚至没有区分事件日志和访问日志。
如果需要丰富的审计和日志功能，就需要考察防火墙的存储方式，如果是DOM、DOC等Flash 电子盘的存储方式，将可能限制审计和日志的功能效果。
目前绝大多数防火墙审计日志采用硬盘存储的方式，这种方式的优点是可以存储大量的日志（几个G到几十个G），但是在某些极端的情况下，如异常掉电，硬盘受到的损坏往往要比电子盘的损坏严重。
好的防火墙应该提供多种存储方式，便于用户灵活选择和使用。
五、如何区分包过滤和状态监测一些小公司为了推销自己的防火墙产品，往往宣称采用的是状态监测技术; 从表面上看，我们往往容易被迷惑。
这里给出区分这两种技术的小技巧。
1. 是否提供实时连接状态查看？状态监测防火墙可以提供查看当前连接状态的功能和界面，并且可以实时断掉当前连接，这个连接应该具有丰富的信息，包括连接双方的IP、端口、连接状态、连接时间等等，而简单包过滤却不具备这项功能。
2. 是否具备动态规则库？某些应用协议不仅仅使用一个连接和一个端口，往往通过一系列相关联的连接完成一个应用层的操作。
比如FTP协议，用户命令是通过对21端口的连接传输，而数据则通过另一个临时建立的连接（缺省的源端口是20，在PASSIVE模式下则是临时分配的端口）传输。
对于这样的应用，包过滤防火墙很难简单设定一条安全规则，往往不得不开放所有源端口为20的访问。
状态监测防火墙则可以支持动态规则，通过跟踪应用层会话的过程自动允许合法的连接进入，禁止其他不符合会话状态的连接请求。
对于FTP来说，只需防火墙中设定一条对21端口的访问规则，就可以保证FTP传输的正常，包括PASSIVE方式的数据传输。
这一功能不仅使规则更加简单，同时消除了必须开放所有20端口的危险。
-------摘自<<计算机世界>>2002/10/7网络通信安全评估软件 OLM SCAN主要功能具有强大的扫描分析能力OLM SCAN针对因特网网络系统中存在的主要弱点和漏洞，集成了十五类259种方法，能全方位，多侧面的对网络安全隐患进行扫描分析，基本上覆盖了目前网络和操作系统存在的主要弱点和漏洞，具有强大的扫描分析能力。
目前系统集成的方法分类包括：l简单邮件传输协议l文件传输协议l强力攻击l守护进程l网络远程过程调用（RPC）lNFS网络文件系统/X-Windowl服务拒绝lNetBioslNT用户lNT登记注册lNT审计/其它l代理/域名系统lWWW服务（Web站点）lIP欺骗l防火墙具有安全策略的自定义能力OLM SCAN提供安全策略配置功能，用户可根据不同的安全需求，选取或自定义不同的扫描策略，对相应的网络设施进行扫描分析。
l面向多操作系统，具有较强的适用性OLM SCAN检测对象覆盖在用的主流操作系统：Sun Solaris , HP-UX ,IBM Aix,Digital UNIX,SGI IRIX,Linux,Windows NT等系统。
它适用于TCP/IP网络和Internet/Intranet环境；适用于WWW服务器、防火墙、网络主机和其它TCP/IP相关设备。
l具有远程和本地两种工作模式OLM SCAN能够对基于TCP/IP的网络主机实施扫描分析，具有跨网关操作的能力，可通过专线或拨号方式接入任何基于TCP/IP的网络系统，支持本地或远程两种工作模式。