Firewall
隔离本地（内部，所要保护的）网络和外界网络的安全防御系统，是一道安全屏障
目的：
防止来自外部用户对这块区域的访问，如果攻击发生在内部是不可行的，防外不防内。
主要用于保护一个网络区域免受另一个网络区域的网络攻击和网络入侵行为。
rule
Firewall 对进出网络的流量进行控制，基于安全策略（规则-rules）
规则是有顺序的，规则匹配即停止，不再往下检测
操作方式
底层操作系统大部分都是基于 Linux 开发，配置 基于命令行、Web 界面
发展历程
第一代：
包过滤------iptables--1989 软件防火墙
对数据包的报头（三层、四层）做检查，但不检查内容，对用一些应用层的攻击无能为力
主要基于数据包中的源/目的 IP 地址、源/目的端口号、IP 标识和报文传递的方向等信息
基于传统的五元组
第二代
应用代理（proxy）----ISA\TMG（微软早期的防火墙） 软件防火墙
代理服务器位于客户机与服务器之间完全阻挡二者间的数据流
第三代：状态检测---TMG、ASA（cisco）
对数据包的会话状态做记录
状态化防火墙维护一个关于用户信息的连接表，称为 Conn 表
Conn 表中的关键信息
---源 IP 地址
---目的 IP 地址
---IP 协议（例：TCP、UDP）
---IP 协议信息（例：TCP/UDP 端口号，TCP 序列号，TCP 控制位）
默认情况下，ASA 对 TCP 和 UDP 协议提供状态化连接，但 ICMP 协议是非状态化的
第四代：UTM------统一 威胁 管理 2004year
多种安全技术集于一身，将传统防火墙、入侵检测、防病毒、URL 过滤、应用程序控制、邮件过滤、VPN 等功能融合到一台（安全功能的叠加）
第五代：NGFW------下一代防火墙
在传统防火墙的基础上，基于用户 + 应用 + 内容进行管控，管理更细，管理深度强（基于整个七层做防护）（颗粒化）
Palo Alto----下一代防火墙的鼻祖
