计算机网络安全和防火墙技术
容有危险的信息包，无法实施对应用级协议的安全处理。
3.3.2 代理服务器防火墙
它作用在应用层,其特点是完全 " 阻隔 " 了网络通信流通过对每种应用服务编制专门的代理程序,实现监视和控制应用层通信流的作用,实际中的应用网关通常由专用工作站实现【8】。这种技术使得外部网络与内部网络之间需要建立的连接必须通过代理服务器的中间转换，实现了安全的网络访问，并可以实现用户认证、详细日志、审计跟踪和数据加密等功能，实现协议及应用的过滤及会话过程的控制，具有很好的灵活性。
3.3.3 复合型防火墙
复合型防火墙就是把包过滤、代理服务和许多其他的网络安全防护功能结合起来，形成新的网络安全平台，以提高防火墙的灵活性和安全性。
3.3 防火墙的工作原理
3.3.1 包过滤防火墙
包过滤防火墙一般在路由器上实现，用以过滤用户定义的内容，如IP地址。包过滤防火墙的工作原理是：系统在网络层检查数据包，与应用层无关。这样系统就具 有很好的传输性能，可扩展能力强。但是，包过滤防火墙的安全性有一定的缺陷，因为系统对应用层信息无感知，也就是说，防火墙不理解通信的内容，所以可能被 黑客所攻破。（如图3-1所示）
缺点：1）过滤规则难以配置和测试。2）包过滤只访问网络层和传输层的信息，访问信息有限，对网络更高协议层的信息无理解能力。3）对一些协议，如UDP和RPC难以有效的过滤。
图3-1 包过滤防火墙
3.3.2 应用网关防火墙
应用网关防火墙检查所有应用层的信息包，并将检查的内容信息放入决策过程，从 而提高网络的安全性。然而，应用网关防火墙是通过打破客户机／服务器模式实现的。每个客户机／服务器通信需要两个连接：一个是从客户端到防火墙，另一个是 从防火墙到服务器。另外，每个代理需要一个不同的应用进程，或一个后台运行的服务程序，对每个新的应用必须添加针对此应用的服务程序，否则不能使用该服 务。所以，应用网关防火墙具有可伸缩性差的缺点。（如图3-2所示）
优点：它将内部用户和外界隔离开来，使得从外面只能看到代理服务器而看不到任何内 16