防火墙的功能、缺点和分类
防火墙的分类与优缺点知识
防火墙的分类与优缺点知识网络安全成为当今最热门的话题之一，很多企业为了保障自身服务器或数据安全都采用了防火墙。
随着科技的发展，防火墙也逐渐被大众所接受。
但是，由于防火墙是属于高科技产物，许多的人对此还并不是了解的十分透彻。
而这篇文章就是给大家讲述了防火墙工作的方式，以及防火墙的基本分类，并且讨论了每一种防火墙的优缺点。
欢迎大家阅读一、防火墙的基本分类1.包过滤防火墙第一代防火墙和最基本形式防火墙检查每一个通过的网络包，或者丢弃，或者放行，取决于所建立的一套规则。
这称为包过滤防火墙。
本质上，包过滤防火墙是多址的，表明它有两个或两个以上网络适配器或接口。
例如，作为防火墙的设备可能有两块网卡(NIC)，一块连到内部网络，一块连到公共的Internet。
防火墙的任务，就是作为“通信警察”，指引包和截住那些有危害的包。
包过滤防火墙检查每一个传入包，查看包中可用的基本信息(源地址和目的地址、端口号、协议等)。
然后，将这些信息与设立的规则相比较。
如果已经设立了阻断telnet连接，而包的目的端口是23的话，那么该包就会被丢弃。
如果允许传入Web连接，而目的端口为80，则包就会被放行。
多个复杂规则的组合也是可行的。
如果允许Web连接，但只针对特定的服务器，目的端口和目的地址二者必须与规则相匹配，才可以让该包通过。
最后，可以确定当一个包到达时，如果对该包没有规则被定义，接下来将会发生什么事情了。
通常，为了安全起见，与传入规则不匹配的包就被丢弃了。
如果有理由让该包通过，就要建立规则来处理它。
建立包过滤防火墙规则的例子如下：对来自专用网络的包，只允许来自内部地址的包通过，因为其他包包含不正确的包头部信息。
这条规则可以防止网络内部的任何人通过欺骗性的源地址发起攻击。
而且，如果黑客对专用网络内部的机器具有了不知从何得来的访问权，这种过滤方式可以阻止黑客从网络内部发起攻击。
在公共网络，只允许目的地址为80端口的包通过。
这条规则只允许传入的连接为Web连接。
常见防火墙的类型
代理取决于在客户端和真实服务器之间插入代理服务器的能力，这要求两者之间交流的相对直接性。而且有些服务的代理是相当复杂的。
* 代理可以方便地与其它安全手段集成
目前的安全问题解决方案很多，如认证（Authentication）、授权（Authorization）、帐号（Accouting）、数据加密、安全协议（SSL）等。如果把代理与这些手段联合使用，将大大增加网络安全性。这也是近期网络安全的发展方向。
* 一些应用协议不适合于数据包过滤
即使是完美的数据包过滤实现，也会发现一些协议不很适合于经由数据包过滤安全保护。如RPC、X- Window和FTP。而且，服务代理和HTTP的链接，大大削弱了基于源地址和源端口的过滤功能。
图3 代理的工作方式
代理防火墙（Proxy）
代理防火墙是一种较新型的防火墙技术，它分为应用层网关和电路层网关。
应用层网关
这种防火墙的工作方式和过滤数是基于软件的。
代理防火墙的原理
代理防火墙工作于应用层，且针对特定的应用层协议。代理防火墙通过编程来弄清用户应用层的流量，并能在用户层和应用协议层提供访问控制。而且，还可用来保持一个所有应用程序使用的记录。记录和控制所有进出流量的能力是应用层网关的主要优点之一。那么，代理防火墙是怎样工作的呢？如图3所示：
* 正常的数据包过滤路由器无法执行某些安全策略
数据包过滤路由器上的信息不能完全满足我们对安全策略的需求。例如，数据包说它们来自什么主机（这点还有隐患），而不是什么用户，因此，我们不能强行限制特殊的用户。同样地，数据包说它到什么端口，而不是到什么应用程序；当我们通过端口号对高级协议强行限制时，不希望在端口上有别的指定协议之外的协议，恶意的知情者能够很容易地破坏这种控制。
防火墙学习笔记
5防火墙一、防火墙基础防火墙通常位于两个信任程度不同的网路间（如：企业内部和internet之间），可以对两个网络之间的通信进行控制，从而保护内部网络的安全。
防火墙特征：1、逻辑区域过滤器2、使用NA T技术可以隐藏内部的网络结构3、自身的安全是有保障的4、可以主动防御攻击防火墙的组成：硬件+软件+控制策略控制策略分为两种：1、宽松的控制策略：除非明确禁止，否则就允许2、限制的控制策略：除非明确允许，否则就禁止按形态分类：硬件防火墙、软件防火墙按保护对象分类：单机防火墙、网络防火墙按防火墙的实现方式，分为三类：1、包过滤防火墙：只检测数据的报头，缺点是：a、无法关联数据包之间的关系b、无法适应多通道协议（比如：VPN）c、不检测应用层的数据2、代理型防火墙：所有的数据包都要经过防火墙才能访问到server，访问速度很慢3、状态检测防火墙：现在运用的防火墙主要都是状态检测防火墙华为防火墙的工作模式：1、路由模式：所有接口均有IP2、透明模式：所有接口均无IP3、混合模式：有的接口有IP，有的接口没有IP防火墙的局限性：1、防外不防内2、不能防御全部的安全威胁，特别是新产生的危险3、在提供深度监测功能和处理转发性能之间需要做平衡4、当使用端到端的加密时，防火墙不能对加密的隧道进行处理5、防火墙本身会存在一些瓶颈，如抗攻击能力，会话限制等防火墙的区域和优先级：1、local区域，优先级1002、trust区域，优先级853、DMZ区域，优先级504、untrust区域，优先级5这些防火墙内设区域的优先级和名字都是无法改变的，优先级低的区域不能访问优先级高的区域（思科），华为设备如果防火墙策略允许可以突破区域访问限制。
防火墙上的所有接口本身都属于local区域，如果把一个接口划分到了trust区域，是指该接口下的设备属于trust区域，接口本身永远属于local区域。
Inbound与Outbound定义：高优先级的访问低优先级：Outbound，反之则是：Inbound安全区域与接口的关系：1、防火墙不允许存在两个具有完全相同安全级别（既优先级相同）的安全区域2、防火墙不允许同一物理接口分属于两个不同的安全区域3、防火墙的不同接口可以属于同一个安全区域防火墙支持的功能：路由器、交换机支持的功能，防火墙都支持衡量防火墙好坏的指标：1、吞吐量：防火墙能同时处理的最大数据量有效吞吐量：除掉因TCP的丢包和超时重发的数据，实际每秒传输的有效速率2、延时：数据包的最后一个比特进入防火墙到第一个比特输出防火墙的时间间隔，是用来衡量防火墙处理数据的速度的理想指标3、每秒新建连接数：指每秒可以通过防火墙建立起来的完整的TCP链接数4、并发连接数：指防火墙可以同时容纳的最大连接数目，一个连接就是一个TCP/UDP的访问防火墙实验拓扑图以后章节所讲的内容都基于此图：默认的情况下，防火墙是有一些配置的：G0/0/0接口的IP地址为：192.168.0.1/24，配置了基于接口的DHCP，且G0/0/0默认属于trust区域。
常见防火墙及其优缺点
常见防火墙及其优缺点防火墙有许许多多种形式，有以软件形式运行在普通计算机之上的，也有以固件形式设计在路由器之中的。
总的来说业界的分类有三种：包过滤防火墙，应用级网关和状态监视器。
（1）包过滤防火墙在互联网络这样的TCP/IP网络上，所有往来的信息都被分割成许许多多一定长度的信息包，包中包含发送者的IP地址和接收者的IP地址信息。
当这些信息包被送上互联网络时，路由器会读取接收者的IP并选择一条合适的物理线路发送出去，信息包可能经由不同的路线抵达目的地，当所有的包抵达目的地后会重新组装还原。
包过滤式的防火墙会检查所有通过的信息包中的IP地址，并按照系统管理员所给定的过滤规则进行过滤。
如果对防火墙设定某一IP地址的站点为不适宜访问的话，从这个地址来的所有信息都会被防火墙屏蔽掉。
包过滤防火墙的优点是它对于用户来说是透明的，处理速度快而且易于维护，通常做为第一道防线。
包过滤路由器通常没有用户的使用记录，这样我们就不能得到入侵者的攻击记录。
而攻破一个单纯的包过滤式防火墙对黑客来说还是有办法的。
"IP地址欺骗"是黑客比较常用的一种攻击手段。
黑客们向包过滤式防火墙发出一系列信息包，这些包中的IP地址已经被替换为一串顺序的IP地址，一旦有一个包通过了防火墙，黑客便可以用这个IP地址来伪装他们发出的信息；在另一种情况下黑客们使用一种他们自己编制的路由攻击程序，这种程序使用动态路由协议来发送伪造的路由信息，这样所有的信息包都会被重新路由到一个入侵者所指定的特别地址；破坏这种防火墙的另一种方法被称之为"同步风暴"，这实际上是一种网络炸弹。
攻击者向被攻击的计算机发出许许多多个虚假的"同步请求"信息包，目标计算机响应了这种信息包后会等待请求发出者的应答，而攻击者却不做任何的响应。
如果服务器在一定时间里没有收到响应信号的话就会结束这次请求连接，但是当服务器在遇到成千上万个虚假请求时，它便没有能力来处理正常的用户服务请求，处于这种攻下的服务器表现为性能下降，服务响应时间变长，严重时服务完全停止甚至死机。
防火墙的优缺点及种类
防火墙的优缺点及种类防火墙总体上分为包过滤、应用级网关和代理服务器等几大类型。
下面由店铺给你做出详细的防火墙的优缺点及种类介绍!希望对你有帮助!数据包过滤数据包过滤(Packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，被称为访问控制表(Access Control Table)。
通过检查数据流中每个数据包的源地址、目的地址、所用的端口号、协议状态等因素，或它们的组合来确定是否允许该数据包通过。
数据包过滤防火墙逻辑简单，价格便宜，易于安装和使用，网络性能和透明性好，它通常安装在路由器上。
路由器是内部网络与Internet连接必不可少的设备，因此在原有网络上增加这样的防火墙几乎不需要任何额外的费用。
数据包过滤防火墙的缺点有二：一是非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击;二是数据包的源地址、目的地址以及IP的端口号都在数据包的头部，很有可能被窃听或假冒。
应用级网关应用级网关(Application Level Gateways)是在网络应用层上建立协议过滤和转发功能。
它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计，形成报告。
实际中的应用网关通常安装在专用工作站系统上。
数据包过滤和应用网关防火墙有一个共同的特点，就是它们仅仅依靠特定的逻辑判定是否允许数据包通过。
一旦满足逻辑，则防火墙内外的计算机系统建立直接联系，防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这有利于实施非法访问和攻击。
代理服务代理服务(Proxy Service)也称链路级网关或TCP通道(CircuitLevel Gateways or TCP Tunnels)，也有人将它归于应用级网关一类。
它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨越防火墙的网络通信链路分为两段。
防火墙的类型及主要优缺点
防火墙的类型概念以及主要优缺点2008年10月27日星期一下午03:22什么是防火墙对于企业的网络而言，未加特别安全保护而放臵在internet上，危险性是显而易见的。
随着决策层对安全认识的逐步加强，防火墙，作为一种应用非常广泛，技术相对比较成熟的网络安全产品也在不同的企业愈来愈多的得到了重视。
然而一个现实的问题是目前关于防火墙的名词以及厂家基于商业目的宣称花样为数众多，这就给使用者选择和应用防火墙带来了一定的误解和困难。
那么什么是防火墙，主要的防火墙之间如何区别呢？对于防火墙的概念，我们可以这样理解：防火墙是在两个网络间实现访问控制的一个或一组软件或硬件系统。
防火墙的最主要功能就是屏蔽和允许指定的数据通讯，而该功能的实现又主要是依靠一套访问控制策略，由访问控制策略来决定通讯的合法性。
那么如何理解种类众多的防火墙呢，下面来做个介绍。
防火墙的类型如果我们从OSI分层模式来考察及分类防火墙，会比较容易的把握住防火墙的脉络，个人认为，目前主要的防火墙可以分为三类，它们分别是：包过滤防火墙、基于状态的包过滤防火墙、应用代理（网关）防火墙，而由这三类防火墙可以推导和演绎出其它可能的变化。
下面我们来逐一说明。
包过滤防火墙首先，我们要提到的是最基本的报文过滤的防火墙，这个层次的防火墙通常工作在OSI的三层及三层以下，由此我们可以看出，可控的内容主要包括报文的源地址、报文的目标地址、服务类型，以及第二层数据链路层可控的MAC地址等。
除此以外，随着包过滤防火墙的发展，部分OSI四层的内容也被包括进来，如报文的源端口和目的端口。
本层次最常见的实际应用的例子就是互联网上的路由设备，比如常见的cisco路由器，使用者可以通过定制访问控制列（ACL）来对路由器进出端口的数据包进行控制，如针对rfc1918的保留地址进屏蔽，在路由器上可以进行如下配臵：interface xip access-group 101 inaccess-list 101 deny ip 10.0.0.0 0.255.255.255 anyaccess-list 101 deny ip 192.168.0.0 0.0.255.255 anyaccess-list 101 deny ip 172.16.0.0 0.15.255.255 anyaccess-list 101 permit ip any any从上面这个例子可以很明显的看出，路由器这里的配臵完全是针对OSI的三层ip地址，也就是ip的包头进行过滤，至于这些IP数据包里携带的具体有什么内容，路由器完全不会去关心。
防火墙与网络安全
屏蔽主机
内部网络
包过滤路由 外部网络
堡垒主机
Web服务器
•优点： •双重保护，安全性更高。 •实施策略： •针对不同的服务，选择其中的一种或两种保护措 施。
屏蔽子网
周边网络 （DMZ）
内部网络
内部路 由器
•优点 •安全性较高 •可用性较好
外部路 由器
外部网络
•缺点 •配置复杂 •成本高
防火墙注意事项
网络防火墙
Internet
内部网
路由器 防火墙
防火墙的工作原理
• 在没有防火墙时，局域网内部的每个节点都暴露给 Internet上的其它主机，此时内部网的安全性要由每 个节点的坚固程度来决定，且安全性等同于其中最薄 弱的节点。使用防火墙后，防火墙会将内部网的安全 性统一到它自身，网络安全性在防火墙系统上得到加 固，而不是分布在内部网的所有节点上。
防火墙的类型
应用层防火墙
• 应用层防火墙是在 TCP/IP 堆栈的“应用层”上运 作，使用浏览器时所产生的数据流或是使用 FTP 时的数据流都是属于这一层。应用层防火 墙可以拦截进出某应用程序的所有封包，并且 封锁其他的封包。
网络防火墙
网络防火墙是隔离内部网与Internet之间的一道 防御系统，这里有一个门，允许人们在内部网和开 放的Internet之间通信。访问者必须首先穿越防火 墙的安全防线，才能接触目标计算机，网络防火墙 如图所示。
•外部网络
•优点：配置简单
•缺点： •日志没有或很少，难以判断是否被入侵 •规则表会随着应用变得很复杂 •单一的部件保护，脆弱
双宿/多宿主机模式
应用代理服务器完成： •对外屏蔽内网信息 •设置访问控制 •对应用层数据严格检查
(12)第四章防火墙
三、防火墙的基本类型
Web Server Firewall
Mail Server
包过滤技术
状态检测技术
防火墙技术 应用代理技术
Interne t
电路级网关
地址翻译
四、防火墙的局限性
4.2 防火墙结构
包过滤防火墙 双宿网关防火墙 屏蔽主机防火墙 屏蔽子网防火墙
一、包过滤防火墙
规则集E
允许
允许 允许
{我方主机}
* *
*
* *
*
* **Biblioteka * >1024 ACK
我方传出命令
对我方命令的回答 到非服务器的通信
包过滤防火墙的优缺点
优点
可以与现有的路由器集成，也可以用独立的包过滤软件来实 现，而且数据包过滤对用户来说是透明的，成本低、速度快、 效率高。
缺点
24
周边网络是一个防护层，在其上可放置一些信息服 务器，它们是牺牲主机，可能会受到攻击，因此又 被称为非军事区（DMZ）。 DMZ（demilitarized zone），中文名称为“隔离 区”，也称“非军事化区”。它是一个非安全系统 与安全系统之间的缓冲区。 周边网络的作用：即使堡垒主机被入侵者控制，它 仍可消除对内部网的侦听。
内部网络
… …
双宿网关结构的优点是：它的安全性较高。 缺点：双重宿主主机是隔开内外网络的唯一屏障，一 旦它被入侵，内部网络便向入侵者敞开大门。 因此在设置该应用级网关时应该注意以下几点。 （1）在该应用级网关的硬件系统上运行安全可信任的 安全操作系统。 （2）安全应用代理软件，保留DNS、FTP、SMTP等必 要的服务，删除不必要的服务与应用软件。 （3）设计应用级网关的防攻击方法与被破坏后的应急 方案。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
防火墙的功能、缺点和分类
一、防火墙能够作到些什么,
1.包过滤
具备包过滤的就是防火墙,对，没错～根据对防火墙的定义，凡是能有效阻止网络非法连接的方式，都算防火墙。
早期的防火墙一般就是利用设置的条件，监测通过的包的特征来决定放行或者阻止的，包过滤是很重要的一种特性。
虽然防火墙技术发展到现在有了很多新的理念提出，但是包过滤依然是非常重要的一环，如同四层交换机首要的仍是要具备包的快速转发这样一个交换机的基本功能一样。
通过包过滤，防火墙可以实现阻挡攻击，禁止外部/内部访问某些站点，限制每个ip的流量和连接数。
2.包的透明转发
事实上，由于防火墙一般架设在提供某些服务的服务器前。
如果用示意图来表示就是 Server—FireWall—Guest 。
用户对服务器的访问的请求与服务器反馈给用户的信息，都需要经过防火墙的转发,因此，很多防火墙具备网关的能力。
3.阻挡外部攻击
如果用户发送的信息是防火墙设置所不允许的，防火墙会立即将其阻断，避免其进入防火墙之后的服务器中。
4.记录攻击
如果有必要，其实防火墙是完全可以将攻击行为都记录下来的，但是由于出于效率上的考虑，目前一般记录攻击的事情都交给IDS来完成了，我们在后面会提到。
以上是所有防火墙都具备的基本特性，虽然很简单，但防火墙技术就是在此基础上逐步发展起来的。
二、防火墙有哪些缺点和不足,
1.防火墙可以阻断攻击，但不能消灭攻击源。
“各扫自家门前雪，不管他人瓦上霜”，就是目前网络安全的现状。
互联网上病毒、木马、恶意试探等等造成的攻击行为络绎不绝。
设置得当的防火墙能够阻挡他们，但是无法清除攻击源。
即使防火墙进行了良好的设置，使得攻击无法穿透防火墙，但各种攻击仍然会源源不断地向防火墙发出尝试。
例如接主干网10M网络带宽的某站点，其日常流量中平均有512K左右是攻击行为。
那么，即使成功设置了防火墙后，这512K的攻击流量依然不会有丝毫减少。
2.防火墙不能抵抗最新的未设置策略的攻击漏洞
就如杀毒软件与病毒一样，总是先出现病毒，杀毒软件经过分析出特征码后加入到病毒库内才能查杀。
防火墙的各种策略，也是在该攻击方式经过专家分析后给出其特征进而设置的。
如果世界上新发现某个主机漏洞的cracker的把第一个攻击对象选中了您的网络，那么防火墙也没有办法帮到您的。
3.防火墙的并发连接数限制容易导致拥塞或者溢出
由于要判断、处理流经防火墙的每一个包，因此防火墙在某些流量大、并发请求多的情况下，很容易导致拥塞，成为整个网络的瓶颈影响性能。
而当防火墙溢出的时候，整个防线就如同虚设，原本被禁止的连接也能从容通过了。
4.防火墙对服务器合法开放的端口的攻击大多无法阻止
某些情况下，攻击者利用服务器提供的服务进行缺陷攻击。
例如利用开放了3389端口取得没打过sp补丁的win2k的超级权限、利用asp程序进行脚本攻击等。
由于其行为在防火墙一级看来是“合理”和“合法”的，因此就被简单地放行了。
5.防火墙对待内部主动发起连接的攻击一般无法阻止
“外紧内松”是一般局域网络的特点。
或许一道严密防守的防火墙内部的网络是一片混乱也有可能。
通过社会工程学发送带木马的邮件、带木马的URL等方式，然后由中木马的机器主动对攻击者连接，将铁壁一样的防火墙瞬间破坏掉。
另外，防火墙内部各主机间的攻击行为，防火墙也只有如旁观者一样冷视而爱莫能助。
6(防火墙本身也会出现问题和受到攻击
防火墙也是一个os，也有着其硬件系统和软件，因此依然有着漏洞和bug。
所以其本身也可能受到攻击和出现软/硬件方面的故障。
7(防火墙不处理病毒
不管是funlove病毒也好，还是CIH也好。
在内部网络用户下载外网的带毒文件的时候，防火墙是不为所动的(这里的防火墙不是指单机/企业级的杀毒软件中的实时监控功能，虽然它们不少都叫“病毒防火墙”)。
看到这里，或许您原本心目中的防火墙已经被我拉下了神台。
是的，防火墙是网络安全的重要一环，但不代表设置了防火墙就能一定保证网络的安全。
“真正的安全是一种意识，而非技术!”请牢记这句话。
不管怎么样，防火墙仍然有其积极的一面。
在构建任何一个网络的防御工事时，除了物理上的隔离和目前新近提出的网闸概念外，首要的选择绝对是防火墙。
那么，怎么选择需要的防火墙呢,
防火墙的分类
首先大概说一下防火墙的分类。
就防火墙(本文的防火墙都指商业用途的网络版防火墙，非个人使用的那种)的组成结构而言，可分为以下三种: 第一种:软件防火墙
软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关。
软件防火墙就象其它的软件产品一样需要先在计算机上安装并做好配置才可以使用。
防火墙厂商中做网络版软件
防火墙最出名的莫过于Checkpoint。
使用这类防火墙，需要网管对所工作的操作系统平台比较熟悉。
第二种:硬件防火墙
这里说的硬件防火墙是指所谓的硬件防火墙。
之所以加上"所谓"二字是针对芯片级防火墙说的了。
它们最大的差别在于是否基于专用的硬件平台。
目前市场上大多数防火墙都是这种所谓的硬件防火墙，他们都基于PC架构，就是说，它们和普通的家庭用的PC没有太大区别。
在这些PC架构计算机上运行一些经过裁剪和简化的操作系统，最常用的有老版本的Unix、Linux和FreeBSD系统。
值得注意的是，由于此类防火墙采用的依然是别人的内核，因此依然会受到os本身的安全性影响。
国内的许多防火墙产品就属于此类，因为采用的是经过裁减内核和定制组件的平台，因此国内防火墙的某些销售人员常常吹嘘其产品是“专用的os”等等，其实是一个概念误导，下面我们提到的第三种防火墙才是真正的os专用。
第三种:芯片级防火墙
它们基于专门的硬件平台，没有操作系统。
专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。
做这类防火墙最出名的厂商莫过于NetScreen.其他的品牌还有FortiNet,算是后起之秀了。
这类防火墙由于是专用OS,因此防火墙本身的漏洞比较少，不过价格相对比较高昂，所以一般只有在“确实需要”的情况下才考虑。
在这里，特别纠正几个不正确的观念:
1.在性能上，芯片级防火墙>硬件防火墙>软件防火墙。
在价格上看来，的确倒是如此的关系。
但是性能上却未必。
防火墙的“好”，是看其支持的并发数、最大流量等等性能，而不是用软件硬件来区分的。
事实上除了芯片级防火墙外，软件防火墙与硬件防火墙在硬件上基本是完全一样的。
目前国内的防火墙厂商由于大多采用硬件防火墙而不是软件防火墙，原因1是考虑到用户
网络管理员的素质等原因，还有就是基于我国大多数民众对“看得见的硬件值钱，看不到的软件不值钱”这样一种错误观点的迎合。
不少硬件防火墙厂商大肆诋毁软件防火墙性能，不外是为了让自己那加上了外壳的普通pc，一个被修改后的内核，一套防火墙软件能够卖出一个好价钱来而已。
而为什么不作芯片级防火墙呢,坦白说，国内没有公司有技术实力。
而且在中国市场上来看，某些国内的所谓硬件防火墙的硬件质量连diy的兼容机都比不上。
看看国内XX的硬件防火墙那拙劣的硬盘和网卡，使用过的人都能猜到是哪家，我就不点名了。
真正看防火墙，应该看其稳定性和性能，而不是用软、硬来区分的。
至少，如果笔者自己选购，我会选择购买CheckPoint而非某些所谓的硬件防火墙的。
2.在效果上，芯片防火墙比其他两种防火墙好
这同样也是一种有失公允的观点。
事实上芯片防火墙由于硬件的独立，的确在OS本身出漏洞的机会上比较少，但是由于其固化，导致在面对新兴的一些攻击方式时，无法及时应对;而另外两种防火墙，则可以简单地通过升级os的内核来获取系统新特性，通过灵活地策略设置来满足不断变化的要求，不过其OS出现漏洞的概率相对高一些。
3.唯技术指标论
请以“防火墙买来是使用的”为第一前提进行购买。
防火墙本身的质量如何是一回事，是否习惯使用又是另一回事。
如果对一款产品的界面不熟悉，策略设置方式不理解，那么即使用世界最顶级的防火墙也没有多大作用。
就如小说中武林中人无不向往的“倚天剑”、“屠龙刀”被我拿到，肯定也敌不过乔峰赤手的少林长拳是一般道理。
防火墙技术发展至今，市场已经很成熟了，各类产品的存在，自然有其生存于市场的理由。
如何把产品用好，远比盲目地比较各类产品好。