FreeBSD 使用手册
上一页 | 第30章 　防火墙 | 下一页

# 30.2 防火墙的概念

建立防火墙规则集的基本方法有两种： “明示允许 (inclusive)”型 或 “明示禁止 (exclusive)”型。 明示禁止的防火墙规则， 默认允许所有数据通过防火墙， 而这种规则集中定义的， 则是不允许通过防火墙的流量， 换言之， 与这些规则不匹配的数据， 全部是允许通过防火墙的。 明示允许的防火墙正好相反， 它只允许符合规则集中定义规则的流量通过， 而其他所有的流量都被阻止。

明示允许型防火墙能够提供对于传出流量更好的控制， 这使其更适合那些直接对 Internet 公网提供服务的系统的需要。 它也能够控制来自 Internet 公网到您的私有网络的访问类型。 所有和规则不匹配的流量都会被阻止并记录在案。 一般来说明示允许防火墙要比明示禁止防火墙更安全， 因为它们显著地减少了允许不希望的流量通过可能造成的风险。

> 注意: 除非特别说明， 这一章的配置和示范的规则集都是创建明示允许防火墙的。

使用了 “带状态功能的防火墙 (stateful firewall)”， 可以进一步地收紧安全机制。 这种防火墙能够记录通过防火墙的连接， 进而只允许与现有连接匹配的连接， 或创建新的连接。 带状态功能的防火墙的缺点是， 在很短时间内有大量的连接请求时， 它们可能会受到拒绝服务 (DoS) 攻击。 绝大多数防火墙都提供了同时启用两种防火墙的能力， 以便为站点提供更好的保护。

上一页 | 起始页 | 下一页
防火墙 | 上一级 | 防火墙软件包

本文档和其它文档可从这里下载：ftp://ftp.FreeBSD.org/pub/FreeBSD/doc/.

如果对于FreeBSD有问题，请先阅读文档，如不能解决再联系<questions@FreeBSD.org>.
关于本文档的问题请发信联系 <doc@FreeBSD.org>.