|
狀態防火牆
狀態防火牆（英語：Stateful firewall），一種能夠提供狀態封包檢查（stateful packet inspection，縮寫為SPI）或狀態檢視（stateful inspection）功能的防火牆，能夠持續追蹤穿過這個防火牆的各種網路連線（例如TCP與UDP連線）的狀態。這種防火牆被設計來區分不同連線種類下的合法封包。只有符合主動連線的封包才能夠被允許穿過防火牆，其他的封包都會被拒絕。[需要解释] 狀態封包檢查也被称为動態封包過濾（Dynamic Packet Filtering）。[1] 原理状态防火墙监视网络连接的“状态”，比如TCP流、UDP数据和ICMP消息可能被分为LISTEN, ESTABLISHED, 或者CLOSING状态[2]。按照相应的安全策略，状态防火墙在状态表中为各TCP流或者UDP数据创建记录。凡在表中的session，所有相关封包都被允许通过，不再检测，因此比一般的检测使用更少CPU。 维持一个session的状态取决于其传输层协议。比如TCP是面向连接的协议[3]，其session是由三路握手的SYN消息建立，由FIN消息终止。[4]状态防火墙由此可以知道何时从表中移除session，而不必等待超时再移除。UDP是无连接的协议[3]，它不会发送特别的连接消息，因此一个UDP的session只有等待超时才会被移除，UDP打洞就利用了这一特性设立隧道。[5] ICMP消息与TCP和UDP不同，它传递网络本身的控制信息，比如ping命令。[6]ICMP回复一般会被允许。有时UDP通信会使用ICMP来提供session的状态信息，因此和某UDP session有关的ICMP回复也是允许的。 歷史
缺點
参考文献
参见 |
![[icon]](File:Wiki_letter_w_cropped.svg){kind=small}
Index:
pl ar de en es fr it arz nl ja pt ceb sv uk vi war zh ru af ast az bg zh-min-nan bn be ca cs cy da et el eo eu fa gl ko hi hr id he ka la lv lt hu mk ms min no nn ce uz kk ro simple sk sl sr sh fi ta tt th tg azb tr ur zh-yue hy my ace als am an hyw ban bjn map-bms ba be-tarask bcl bpy bar bs br cv nv eml hif fo fy ga gd gu hak ha hsb io ig ilo ia ie os is jv kn ht ku ckb ky mrj lb lij li lmo mai mg ml zh-classical mr xmf mzn cdo mn nap new ne frr oc mhr or as pa pnb ps pms nds crh qu sa sah sco sq scn si sd szl su sw tl shn te bug vec vo wa wuu yi yo diq bat-smg zu lad kbd ang smn ab roa-rup frp arc gn av ay bh bi bo bxr cbk-zam co za dag ary se pdc dv dsb myv ext fur gv gag inh ki glk gan guw xal haw rw kbp pam csb kw km kv koi kg gom ks gcr lo lbe ltg lez nia ln jbo lg mt mi tw mwl mdf mnw nqo fj nah na nds-nl nrm nov om pi pag pap pfl pcd krc kaa ksh rm rue sm sat sc trv stq nso sn cu so srn kab roa-tara tet tpi to chr tum tk tyv udm ug vep fiu-vro vls wo xh zea ty ak bm ch ny ee ff got iu ik kl mad cr pih ami pwn pnt dz rmy rn sg st tn ss ti din chy ts kcg ve
