防火墙（Firewall），也称防护墙，首先要说明的是它真的不是一堵墙，它一般是指一种位于内部网络与外部网络之间的网络安全系统。设置防火墙目的是为了在内部网与外部网之间设立唯一通道，简化网络安全管理，防止不合法的访问。

防火墙的基本概念：

1.是一款具备安全防护功能的网络设备。

1.网络隔离：将要保护的网络与不信任的网络进行隔离，隐藏信息并进行安全防护。

2.流量控制：对进出防火墙的数据流进行限制。

3.记录分析：对进出数据进行检查，记录相关信息（必须配置相关策略才进行相关信息记录）。

1.访问控制：主要在2,3,4层的进行访问控制。

2.攻击防护：ARP泛洪，icmp泛洪，ARP欺骗，DDOS攻击，IPSpoofing攻击等等，主要分布在2,3层的网络攻击，某些防火墙集成了应用层检查，可对http链接与域名进行访问控制，需要注意不是完全工作在2-4层。

3.冗余设计：HSRP，VRRP，HA（有负载与单活模式-个人感觉单活模式有点资源浪费，但好处是避免了硬件故障导致的网络可用性降低）三层冗余，STP等二层冗余。

4.路由，交换：路由与交换功能。

5.日志记录：配置相关流量记录策略功能，形成流量访问记录日志。

6.虚拟专网VPN：VPN功能（有的不支持）。

7.NAT/IP映射：内部地址转换功能与内外网IP地址对应。

1.从表现形式上分：

（1）硬件防火墙：专门做网络数据包过滤的，通常基于硬件实现的。

（2）软件防火墙：例如Windows防火墙，Linux的iptables防火墙，或其他的基于软件实现的防火墙。

（3）芯片级防护墙：芯片级防火墙基于专门的硬件平台，没有操作系统。专有的ASIC芯片使得处理速度更快，常见的有NetScreen、FortiNet、Cisco等。

2. 从技术应用上分：

（1）包过滤防火墙：也叫分组防火墙，初期防火墙，基于ACL实现，工作在3层，需要放行出去，及回包策略（已经被淘汰)

（2）状态检测防火墙：工作在4层，根据 TCP的状态，TCP状态重新装载实现，回包依据前一个会话状态的数据交互实现，只需要放行去哪儿的包，哪儿给它的回包根据会话表自动放行。（目前较为常用的一种）

（3）应用层防火墙：工作在应用层，可以检测木马，病毒，SQL注入，XSS，或过滤某个链接等。（此处请注意“应用层防火墙”与“Web应用防火墙”的区别，Web应用防火墙，数据库防火墙此类防火墙具有特定的应用防护特点）

（4）应用代理防火墙：较大程度地隔绝通信两端的直接通信，所有通信都要由应用层代理层转发，访问者不允许与服务器建立直接的TCP连接，也不是所有的应用都可以代理，比如QQ，FTP等，常见代理有Http,https代理等。（此处概念摘自百度及其他地方，部分符合个人观点）。

（5）下一代防火墙：集成了各个模块，比如，从二层的安全防护，DNS保护，ARP攻击，三层的spoofing攻击，DDOS，到应用层攻击，病毒，木马，蠕虫，XSS，SQL注入，邮件病毒检测，IDS，IPS，VPN等，集成了大规模的模块化应用的防火墙，目前并未大量应用，处于研究发展阶段。

此外还有根据性能划分的防火墙种类，大致分为，百兆，千兆，万兆等类型。

1.吞吐量：在不丢包的情况下单位时间内通过数据包的数量

2.时延（也叫延时)：数据包从第一个比特进入防火墙到最后一比特从防火墙输出的时间间隔

3.丢包率：通过防火墙传送时所丢失的数据包占所发送数据包的比率

4.并发连接数：防火墙能够处理点对点最大连接数的数目

5.新建连接数：在不丢包的情况，每秒钟能够建立的最大连接数量

数学应用题： 装修用的防火墙每平方米十二元，买0.5平方米和0.94平方米各需多少钱？

一个一般的硬件防火墙大概需要多少钱？