毛豆防火墙问题

noahgong

好像在哪个帖子里看过介绍说comodo防火墙会自动识别并允许由程序出站带来的入站连接，这个技术学名叫啥来着，Windows7的系统防火墙支持这种不？

mb147258

支持

柯林

谁讲的这句话？没根据！

搞清楚——出站连接、入站连接；主动发起连接（连接请求），回应请求的数据包；单向过滤，双向过滤；传输层，网络层……这些基本概念，就不会扯成一团乱麻地讲了。

柯林

出站连接与入站连接，是防火墙专用词语，有特定含义
出站连接，确切地说是——出站去建立连接
入站连接，确切地说是——入站来建立连接
由于UDP是投递方式来传输数据，用建立连接来描述实际上并不准确，所以在防火墙术语中专门引入了状态检测的说法，分别对ICMP、TCP、UDP的数据传输安全性进行判定。

形象一点说，要理解出站连接与入站连接，把计算机看作贸易公司就OK了：
出站连接——本公司派出一帮人去别的公司提取货物，结果，不但本公司的人扛着货物回来了，对方公司还派人帮忙把咱们要的货物也送过来。
入站连接——别的公司派一帮人来本公司提货，结果，不但对方公司的人扛着货物回去了，本公司还派人帮忙把他们要的货物送过去。
如此性质不同的两件事，当然不能仅凭货物传送过程中双方都有人员来往就混为一谈。

mxf147

SPI

SPI（Stateful Packet Inspection） 全状态数据包检测型防火墙,是指通过对每个连接信息（包括套接字对(socket pairs)：源地址、目的地址、源端口和目的端口；协议类型、TCP协议连接状态和超时时间等）进行检测从而判断是否过滤数据包的防火墙。它除了能够完成简单包过滤防火墙的包过滤工作外，还在自己的内存中维护一个跟踪连接状态的表，比简单包过滤防火墙具有更大的安全性。
　　目前最为先进的状态数据包检查(SPI) 防火墙提供最高级别的安全性。它在默认情况下拒绝所有来自外网的请求，并且对通过防火墙的发自内网请求的连接动态地维护所有通信的状态（连接），只有是对内网请求回复的连接并符合已建立的状态数据库的包才能通过防火墙进入内网。这种方案不仅可使网络用户访问Internet 资源，同时又能防止Internet 上的黑客访问内部网络资源。
　　“状态检查”一词是指防火墙记忆连接状态和在其内存中为每个数据流建立上下文的能力。凭借这些信息，该防火墙能够比不支持SPI的防火墙作出更有根据的策略决策。
　　只有具有基于硬件的采用目前最为先进的状态数据包检查(SPI)技术的防火墙才是真正意义上的防火墙(True Firewall)。