一.防火墙的部署方式
1.透明模式/桥模式
桥模式也可叫作透明模式。最简单的网络由客户端和服务器组成，客户端和服务器处于同一网段。为了安全方面的考虑，在客户端和服务器之间增加了防火墙设备，对经过的流量进行安全控制。正常的客户端请求通过防火墙送达服务器，服务器将响应返回给客户端，用户不会感觉到中间设备的存在。工作在桥模式下的防火墙没有IP地址，当对网络进行扩容时无需对网络地址进行重新规划，但牺牲了路由、VPN等功能。
（1） 内外网在一个网段内
（2）优点是直接串联到链路上，不改变原有的网络IP地址
（3）缺点就是像玻璃一样，在屋内一览无余
2.网关模式-----网络城门
网关模式适用于内外网不在同一网段的情况，防火墙设置网关地址实现路由器的功能，为不同网段进行路由转发。网关模式相比桥模式具备更高的安全性，在进行访问控制的同时实现了安全隔离，具备了一定的私密性。
（1） 内外网在不同的时段。
（2）优点就是像一道门，内外是不能直接看见的。此时的防火墙实现了路由器的功能，为不同网段的1互通做路由器转发。
（3）缺点是配置网关地址，提供服务时需要地址翻译NAT。
二.防火墙技术
NAT（Network Address Translation）地址翻译技术由防火墙对内部网络的IP地址进行地址翻译，使用防火墙的IP地址替换内部网络的源地址向外部网络发送数据；当外部网络的响应数据流量返回到防火墙后，防火墙再将目的地址替换为内部网络的源地址。NAT模式能够实现外部网络不能直接看到内部网络的IP地址，进一步增强了对内部网络的安全防护。同时，在NAT模式的网络中，内部网络可以使用私网地址，可以解决IP地址数量受限的问题
如果在NAT模式的基础上需要实现外部网络访问内部网络服务的需求时，还可以使用地址/端口映射（MAP）技术，在防火墙上进行地址/端口映射配置，当外部网络用户需要访问内部服务时，防火墙将请求映射到内部服务器上；当内部服务器返回相应数据时，防火墙再将数据转发给外部网络。使用地址/端口映射技术实现了外部用户能够访问内部服务，但是外部用户无法看到内部服务器的真实地址，只能看到防火墙的地址，增强了内部服务器的安全性。
1.地址翻译NAT
内部人可以主动访问外部，外部不能主动访问内部。
2.地址映射MAP
外部人想直接访问内部服务器，需要MAP
3.高可靠性HA
防火墙都部署在网络的出入口，是网络通信的大门，这就要求防火墙的部署必须具备高可靠性。一般IT设备的使用寿命被设计为3至5年，当单点设备发生故障时，要通过冗余技术实现可靠性，可以通过如虚拟路由冗余协议（VRRP）等技术实现主备冗余。目前，主流的网络设备都支持高可靠性设计。
三.防火墙无法解决的问题
1.防火墙虽然解决了网络层的许可，但无法判断内容是否合法。
2.恶意代码与蠕虫通常隐藏在通信内容中
防火墙只检查包头----让夹带有攻击或病毒的内容的合法数据包通过
四.用户所需要的防火墙
五.下一代防火墙NGFW定义
下一代防火墙，即Next Generation Firewall，简称NG Firewall，是一款可以全面应对应用层威胁的高性能防火墙。通过深入洞察网络流量中的用户、应用和内容，并借助全新的高性能单路径异构并行处理引擎，NGFW能够为用户提供有效的应用层一体化安全防护，帮助用户安全地开展业务并简化用户的网络安全架构。
Gartner将网络防火墙定义为在线安全控制措施，即：可实时在各受信级网络间执行网络安全策略。Gartner使用“下一代防火墙”这一术语来说明升级防火墙的必要性，以应对业务程序使用IT的方法以及针对业务系统所发起的攻击方法所发生的改变。
六.NGFW新技术核心
1.以用户身份定义安全策略，识别内容与应用
2.按五元素定义安全与策略（IP+端口）
3.访问控制
- 基于源NAC地址
- 基于目的NAC地址
- 基于源端口
- 基于目的端口
- 基于源IP地址
- 基于目的的IP地址
- 基于数据流的方向
- 基于时间
- 基于用户身份
- 基于流量
- 基于内容
七.NGFW与UTM的差异
八.防火墙的发展趋势-------软件化
九防火墙的未来
智能防火墙：在防火墙产品中加入人工智能识别技术，不但提高防火墙的安全防范能力，而且由于防火墙具有自学习功能，可以防范来自网络的最新型攻击。
分布式防火墙：一种全新的防火墙体系结构。网络防火墙、主机防火墙和管理中心是分布式防火墙的构成组件。传统防火墙实际上是在网络边缘上实现防护的防火墙，而分布式防火墙则在网络内部增加了另外一层安全防护。分布式防火墙的优点有：支持移动计算；支持加密和认证功能，与网络拓扑无关等。
网络产品的系统化应用：主要是指某些厂商的安全产品直接与防火墙进行融合，打包销售。另外，有些厂商的产品之间虽然各自独立，当各个产品之间可以进行通信。
