28.2 防火墙的概念

　　建立防火墙规则集的基本方法有两种： “包容式的” 或 “排斥式的”。 排斥式的防火墙， 允许除了禁止的那些数据之外的所有网络流量通过。 包容式的防火墙正好相反。 后者只允许符合规则的流量通过， 而其他所有的流量都被阻止。

　　包容式防火墙一般说来要比排斥式防火墙安全， 因为他们显著地降低了由于允许不希望的网络流量通过所带来的风险。

　　如果使用了 “带状态功能的防火墙 (stateful firewall)”， 则安全机制可以进一步地细化。 带状态功能的防火墙能够记录通过防火墙的连接， 进而只允许与现有连接匹配的连接， 或创建新的连接。 带状态功能的防火墙的缺点， 则是在很短时间内有大量的连接请求时， 它们可能会受到拒绝服务 (DoS) 攻击。 绝大多数防火墙都提供了同时启用两种防火墙的能力， 以便为站点提供更好的保护。