防火牆是否可以對用戶數據加密

A. 防火牆的主要功能是什麼

1、強化網路安全策略

通過以防火牆為中心的安全方案配置，能將所有安全軟體（如口令、加密、身份認證、審計等）配置在防火牆上。與將網路安全問題分散到各個主機上相比，防火牆的集中安全管理更經濟。

例如在網路訪問時，一次一密口令系統和其它的身份認證系統完可以不必分散在各個主機上，而集中在防火牆一身上。

2、監控網路存取和訪問

如果所有的訪問都經過防火牆，那麼，防火牆就能記錄下這些訪問並作出日誌記錄，同時也能提供網路使用情況的統計數據。當發生可疑動作時，防火牆能進行適當的報警，並提供網路是否受到監測和攻擊的詳細信息。

另外，收集一個網路的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火牆是否能夠抵擋攻擊者的探測和攻擊，並且清楚防火牆的控制是否充足。而網路使用統計對網路需求分析和威脅分析等而言也是非常重要的。

3、防止內部信息的外泄

通過利用防火牆對內部網路的劃分，可實現內部網重點網段的隔離，從而限制了局部重點或敏感網路安全問題對全局網路造成的影響。

再者，隱私是內部網路非常關心的問題，一個內部網路中不引人注意的細節可能包含了有關安全的線索而引起外部攻擊者的興趣，甚至因此而暴漏了內部網路的某些安全漏洞。使用防火牆就可以隱蔽那些透漏內部細節如Finger，DNS等服務。

Finger顯示了主機的所有用戶的注冊名、真名，最後登錄時間和使用shell類型等。但是Finger顯示的信息非常容易被攻擊者所獲悉。

攻擊者可以知道一個系統使用的頻繁程度，這個系統是否有用戶正在連線上網，這個系統是否在被攻擊時引起注意等等。防火牆可以同樣阻塞有關內部網路中的DNS信息，這樣一台主機的域名和IP地址就不會被外界所了解。

4、實現資料庫安全的實時防護

資料庫防火牆通過SQL 協議分析，根據預定義的禁止和許可策略讓合法的SQL 操作通過，阻斷非法違規操作，形成資料庫的外圍防禦圈,實現SQL 危險操作的主動預防、實時審計。資料庫防火牆面對來自於外部的入侵行為，提供SQL 注入禁止和資料庫虛擬補丁包功能。

5、其他功能

除了安全作用，防火牆還支持具有Internet服務特性的企業內部網路技術體系VPN（虛擬專用網）。防火牆的英文名為「FireWall」，它是目前一種最重要的網路防護設備。從專業角度講，防火牆是位於兩個（或多個）網路間，實施網路之間訪問控制的一組組件集合。

B. 防火牆有哪些功能和局限性

防火牆主要優點:
（1）防火牆能強化安全策略。
（2）防火牆能有效地記錄Internet上的活動。
（3）防火牆限制暴露用戶點。防火牆能夠用來隔開網路中一個網段與另一個網段。這樣，能夠防止影響一個網段的問題通過整個網路傳播。
（4）防火牆是一個安全策略的檢查站。所有進出的信息都必須通過防火牆，防火牆便成為安全問題的檢查點，使可疑的訪問被拒絕於門外。
防火牆有十大局限性：
一、防火牆不能防範不經過防火牆的攻擊。沒有經過防火牆的數據，防火牆無法檢查。
二、防火牆不能解決來自內部網路的攻擊和安全問題。防火牆可以設計為既防外也防內，誰都不可信，但絕大多數單位因為不方便，不要求防火牆防內。
三、防火牆不能防止策略配置不當或錯誤配置引起的安全威脅。防火牆是一個被動的安全策略執行設備，就像門衛一樣，要根據政策規定來執行安全，而不能自作主張。
四、防火牆不能防止可接觸的人為或自然的破壞。防火牆是一個安全設備，但防火牆本身必須存在於一個安全的地方。
五、防火牆不能防止利用標准網路協議中的缺陷進行的攻擊。一旦防火牆准許某些標准網路協議，防火牆不能防止利用該協議中的缺陷進行的攻擊。
六、防火牆不能防止利用伺服器系統漏洞所進行的攻擊。黑客通過防火牆准許的訪問埠對該伺服器的漏洞進行攻擊，防火牆不能防止。
七、防火牆不能防止受病毒感染的文件的傳輸。防火牆本身並不具備查殺病毒的功能，即使集成了第三方的防病毒的軟體，也沒有一種軟體可以查殺所有的病毒。
八、防火牆不能防止數據驅動式的攻擊。當有些表面看來無害的數據郵寄或拷貝到內部網的主機上並被執行時，可能會發生數據驅動式的攻擊。
九、防火牆不能防止內部的泄密行為。防火牆內部的一個合法用戶主動泄密，防火牆是無能為力的。
十、防火牆不能防止本身的安全漏洞的威脅。防火牆保護別人有時卻無法保護自己，目前還沒有廠商絕對保證防火牆不會存在安全漏洞。因此對防火牆也必須提供某種安全保護。

C. 網路防火牆的作用是什麼

防火牆（Firewall）是指一個由軟體或硬體設備組合而成，處於企業或網路群體電腦與外界通道之間，用來加強網際網路與內部網之間安全防範的一個或一組系統。它控制網路內外的信息交流，提供接入控制和審查跟蹤，是一種訪問控制機制。
一般防火牆具備以下特點：
廣泛的服務支持。通過將動態的、應用層的過濾能力和認證相結合，可實現WWW瀏覽、HTIP服務、FIP服務等；通過對專用數據的加密支持，保證通過Internet進行的虛擬專用網商務活動不受破壞；客戶端認證只允許指定的用戶訪問內部網路或選擇服務，是企業本地網與分支機構、商業夥伴和移動用戶間安全通信的附加部分；反欺騙。欺騙是從外部獲取網路訪問權的常用手段，它使數據包好象來自網路內部。防火牆能監視這樣的數據包並能扔掉它們。
防火牆的設置有兩條原則：一是「凡是未被准許的就是禁止的」。另一條策略與此正好相反，它堅持「凡是未被禁止的就是允許的」。防火牆先是轉發所有的信息，起初這堵牆幾乎不起作用，如同虛設；然後再逐項剔除有害的內容，被禁止的內容越多，防火牆的作用就越大。在此策略下，網路的靈活性得到完整地保留。但是就怕漏過的信息太多，使安全風險加大，並且網路管理者往往疲於奔命，工作量增大。
正因為安全領域中有許多變動的因素，所以安全策略的制定不應建立在靜態的基礎上。在制定防火牆安全規則時，應符合「可適應性的安全管理」模型的原則，即：
安全=風險分析＋執行策略＋系統實施＋漏洞監測＋實時響應從而滿足綜合性與整體性相結合的要求。
現有的防火牆技術主要有兩大類：數據包過濾技術和代理服務技術。第一類是數據包過濾技術（PacketFilter）。它是在網路層對數據包實施有選擇的放行。第二類是代理服務技術（ProXyService）。這是一種基於代理伺服器的防火牆技術，通常由兩部分構成--客戶與代理伺服器連接，代理伺服器再與外部伺服器連接，而內部網路與外部網路之間沒有直接的連接關系。
防火牆是有其局限性的：
防火牆不能防止繞過防火牆的攻擊。比如，一個企業內聯網設置了防火牆，但是該網路的一個用戶基於某種理由另外直接與網路的服務提供商連接，繞過了企業內聯網的保護，為該網留下了一個供人攻擊的後門，成了一個潛在的安全隱患。
防火牆經不起人為因素的攻擊。由於防火牆對網路安全實施單點挖掘，因此可能受到黑客們的攻擊。像企業內聯網由於管理原因造成的人為破壞，防火牆是無能為力的。
防火牆不能保證數據的秘密性，不能對數據進行鑒別，也不能保證網路不受病毒的攻擊。任何防火牆不可能對通過的數據流中每一個文件進行掃描檢查病毒。
目前市場上很多流行的安全設備都屬於靜態安全技術范疇，如防火牆和系統外殼等外圍保護設備。外圍保護設備針對的是來自系統外部的攻擊，一旦外部侵入者進入了系統，他們便不受任何阻擋。認證手段也與此類似，一旦侵入者騙過了認證系統，那麼侵入者便成為系統的內部人員。傳統防火牆的缺點在於無法做到安全與速度同步提高，一旦考慮到安全因素而對網路數據流量進行深入檢測和分析，那麼網路傳輸速度勢必受到影響。
靜態安全技術的缺點是需要人工來實施和維護，不能主動跟蹤侵入者。傳統的防火牆產品就是典型的這類產品。其高昂的維護費用和對網路性能的影響，任何人都無法迴避。系統管理員需要專門的安全分析軟體和技術來確定防火牆是否受到攻擊。
針對靜態安全技術的不足，許多世界網路安全和管理專家都提出了各自的解決方案，如NAI為傳統的防火牆技術做出了重要的補充和強化，其最新的防火牆系統GauntletFirewa113.0forwindowsNT包含了NAI技術專家多年來的研究成果「自適應代理技術」等。

D. 試簡述防火牆的基本特性，急！

一、數據必經之地

內部網路和外部網路之間的所有網路數據流都必須經過防火牆。這是防火牆所處網路位置特性，同時也是一個前提。因為只有當防火牆是內、外部網路之間通信的通道，才可以全面、有效地保護企業網部網路不受侵害。

根據美國國家安全局制定的《信息保障技術框架》，防火牆適用於用戶網路系統的邊界，屬於用戶網路邊界的安全保護設備。所謂網路邊界即是採用不同安全策略的兩個網路連接處，比如用戶網路和互聯網之間連接、和其它業務往來單位的網路連接、用戶內部網路不同部門之間的連接等。

防火牆的目的就是在網路連接之間建立一個安全控制點，通過允許、拒絕或重新定向經過防火牆的數據流，實現對進、出內部網路的服務和訪問的審計和控制。

典型的防火牆體系網路結構一端連接企事業單位內部的區域網，而另一端則連接著互聯網。所有的內、外部網路之間的通信都要經過防火牆，只有符合安全策略的數據流才能通過防火牆。

二、網路流量的合法性

防火牆最基本的功能是確保網路流量的合法性，並在此前提下將網路的流量快速的從一條鏈路轉發到另外的鏈路上去。從最早的防火牆模型開始談起，原始的防火牆是一台「雙穴主機」，即具備兩個網路介面，同時擁有兩個網路層地址。

防火牆將網路上的流量通過相應的網路介面接收上來，按照OSI協議棧的七層結構順序上傳，在適當的協議層進行訪問規則和安全審查，然後將符合通過條件的報文從相應的網路介面送出，而對於那些不符合通過條件的報文則予以阻斷。

因此，從這個角度上來說，防火牆是一個類似於橋接或路由器的、多埠的（網路介面>=2）轉發設備，它跨接於多個分離的物理網段之間，並在報文轉發過程之中完成對報文的審查工作。

三、抗攻擊免疫力

防火牆自身應具有非常強的抗攻擊免疫力：這是防火牆之所以能擔當企業內部網路安全防護重任的先決條件。防火牆處於網路邊緣，它就像一個邊界衛士一樣，每時每刻都要面對黑客的入侵，這樣就要求防火牆自身要具有非常強的抗擊入侵本領。

它之所以具有這么強的本領防火牆操作系統本身是關鍵，只有自身具有完整信任關系的操作系統才可以談論系統的安全性。其次就是防火牆自身具有非常低的服務功能，除了專門的防火牆嵌入系統外，再沒有其它應用程序在防火牆上運行。

當然這些安全性也只能說是相對的。國內的防火牆幾乎被國外的品牌占據了一半的市場，國外品牌的優勢主要是在技術和知名度上比國內產品高。

而國內防火牆廠商對國內用戶了解更加透徹，價格上也更具有優勢。防火牆產品中，國外主流廠商為思科（Cisco）、CheckPoint、NetScreen等，國內主流廠商為東軟、天融信、聯想、方正等，它們都提供不同級別的防火牆產品。

防火牆的硬體體系結構曾經歷過通用CPU架構、ASIC架構和網路處理器架構。

通用CPU架構：通用CPU架構最常見的是基於Intel X86架構的防火牆，在百兆防火牆中Intel X86架構的硬體以其高靈活性和擴展性一直受到防火牆廠商的喜愛。

由於採用了PCI匯流排介面，Intel X86架構的硬體雖然理論上能達到2Gbps的吞吐量甚至更高，但是在實際應用中，尤其是在小包情況下，遠遠達不到標稱性能，通用CPU的處理能力也很有限。

國內安全設備主要採用的就是基於X86的通用CPU架構。ASIC架構：ASIC（Application Specific Integrated Circuit，專用集成電路）技術是國外高端網路設備幾年前廣泛採用的技術。

由於採用了硬體轉發模式、多匯流排技術、數據層面與控制層面分離等技術， ASIC架構防火牆解決了帶寬容量和性能不足的問題，穩定性也得到了很好的保證。

ASIC技術的性能優勢主要體現網路層轉發上，而對於需要強大計算能力的應用層數據的處理則不佔優勢，而且面對頻繁變異的應用安全問題，其靈活性和擴展性也難以滿足要求。

由於該技術有較高的技術和資金門檻，主要是國內外知名廠商在採用，國外主要代表廠商是Netscreen，國內主要代表廠商為天融信。網路處理器架構：由於網路處理器所使用的微碼編寫有一定技術難度，難以實現產品的最優性能，因此網路處理器架構的防火牆產品難以佔有大量的市場份額。

隨著網路處理器的主要供應商Intel、Broadcom、IBM等相繼出售其網路處理器業務，該技術在網路安全產品中的應用已經走到了盡頭。

(4)防火牆是否可以對用戶數據加密擴展閱讀：

防火牆架構：

一、主機型防火牆

此防火牆需有兩張網卡，一張與互聯網連接，另一張與內部網連接，如此互聯網與內部網的通道無法直接接通，所有數據包都需要透過主機發送。

二、雙閘型防火牆

此防火牆除了主機型防火牆的兩張網卡外，另安裝應用服務轉送器的軟體，所有網路數據包都須經過此軟體檢查，此軟體將過濾掉不被系統所允許的數據包。

三、屏障單機型防火牆

此防火牆的硬體設備除需要主機外，還需要一個路由器，路由器需具有數據包過濾的功能，主機則負責過濾及處理網路服務要求的數據包，當互聯網的數據包進入屏障單機型防火牆時，路由器會先檢查此數據包是否滿足過濾規則，再將過濾成功的數據包，轉送到主機進行網路服務層的檢查與發送。

四、屏障雙閘型防火牆

將屏障單機型防火牆的主機換成雙閘型防火牆。

五、屏障子網域型防火牆

此防火牆藉由多台主機與兩個路由器組成，電腦分成兩個區塊，屏障子網域與內部網，數據包經由以下路徑，第一個路由器->屏障子網域->第二路由器->內部網，此設計因有階段式的過濾功能，因此兩個路由器可以有不同的過濾規則，讓網路數據包更有效率。

若一數據包通過第一過濾器數據包，會先在屏障子網域進行服務處理，若要進行更深入內部網的服務，則要通過第二路由器過濾。

E. 防火牆的功能是什麼 防火牆不具備哪些功能！

摘要 您好，防火牆對流經它的網路通信進行掃描，這樣能夠過濾掉一些攻擊，以免其在目標計算機上被執行。防火牆還可以關閉不使用的埠。而且它還能禁止特定埠的流出通信，封鎖特洛伊木馬。最後，它可以禁止來自特殊站點的訪問，從而防止來自不明入侵者的所有通信。

F. 防火牆的作用是什麼

關於防火牆其實在技術專題中，我們有專門的介紹，只是內容比較散，因此我們在這里從比較簡單的講起，由淺入深的來了解一下防火牆。

防火牆的概念
當然，既然打算由淺入深的來了解，就要先看看防火牆的概念了。防火牆是汽車中一個部件的名稱。在汽車中，利用防火牆把乘客和引擎隔開，以便汽車引擎一旦著火，防火牆不但能保護乘客安全，而同時還能讓司機繼續控制引擎。再電腦術語中，當然就不是這個意思了，我們可以類比來理解，在網路中，所謂「防火牆」，是指一種將內部網和公眾訪問網(如Internet)分開的方法，它實際上是一種隔離技術。防火牆是在兩個網路通訊時執行的一種訪問控制尺度，它能允許你「同意」的人和數據進入你的網路，同時將你「不同意」的人和數據拒之門外，最大限度地阻止網路中的黑客來訪問你的網路。換句話說，如果不通過防火牆，公司內部的人就無法訪問Internet，Internet上的人也無法和公司內部的人進行通信。

防火牆的功能

防火牆是網路安全的屏障：

一個防火牆（作為阻塞點、控制點）能極大地提高一個內部網路的安全性，並通過過濾不安全的服務而降低風險。由於只有經過精心選擇的應用協議才能通過防火牆，所以網路環境變得更安全。如防火牆可以禁止諸如眾所周知的不安全的NFS協議進出受保護網路，這樣外部的攻擊者就不可能利用這些脆弱的協議來攻擊內部網路。防火牆同時可以保護網路免受基於路由的攻擊，如IP選項中的源路由攻擊和ICMP重定向中的重定向路徑。防火牆應該可以拒絕所有以上類型攻擊的報文並通知防火牆管理員。

防火牆可以強化網路安全策略：

通過以防火牆為中心的安全方案配置，能將所有安全軟體（如口令、加密、身份認證、審計等）配置在防火牆上。與將網路安全問題分散到各個主機上相比，防火牆的集中安全管理更經濟。例如在網路訪問時，一次一密口令系統和其它的身份認證系統完全可以不必分散在各個主機上，而集中在防火牆一身上。

對網路存取和訪問進行監控審計：

如果所有的訪問都經過防火牆，那麼，防火牆就能記錄下這些訪問並作出日誌記錄，同時也能提供網路使用情況的統計數據。當發生可疑動作時，防火牆能進行適當的報警，並提供網路是否受到監測和攻擊的詳細信息。另外，收集一個網路的使用和誤用情況也是非常重要的。首先的理由是可以清楚防火牆是否能夠抵擋攻擊者的探測和攻擊，並且清楚防火牆的控制是否充足。而網路使用統計對網路需求分析和威脅分析等而言也是非常重要的。

防止內部信息的外泄：

通過利用防火牆對內部網路的劃分，可實現內部網重點網段的隔離，從而限制了局部重點或敏感網路安全問題對全局網路造成的影響。再者，隱私是內部網路非常關心的問題，一個內部網路中不引人注意的細節可能包含了有關安全的線索而引起外部攻擊者的興趣，甚至因此而暴漏了內部網路的某些安全漏洞。使用防火牆就可以隱蔽那些透漏內部細節如Finger，DNS等服務。Finger顯示了主機的所有用戶的注冊名、真名，最後登錄時間和使用shell類型等。但是Finger顯示的信息非常容易被攻擊者所獲悉。攻擊者可以知道一個系統使用的頻繁程度，這個系統是否有用戶正在連線上網，這個系統是否在被攻擊時引起注意等等。防火牆可以同樣阻塞有關內部網路中的DNS信息，這樣一台主機的域名和IP地址就不會被外界所了解。
除了安全作用，防火牆還支持具有Internet服務特性的企業內部網路技術體系VPN（虛擬專用網）。

防火牆的分類
根據防火牆的分類標准不同，防火牆可以分為N多種類型，這里我們遵循的，當然是根據網路體系結構來進行的分類了，按這樣的標准，可以有以下幾種類型的防火牆：

1.網路級防火牆

一般是基於源地址和目的地址、應用或協議以及每個IP包的埠來作出通過與否的判斷。一個路由器便是一個「傳統」的網路級防火牆，大多數的路由器都能通過檢查這些信息來決定是否將所收到的包轉發，但它不能判斷出一個IP包來自何方，去向何處。

先進的網路級防火牆可以判斷這一點，它可以提供內部信息以說明所通過的連接狀態和一些數據流的內容，把判斷的信息同規則表進行比較，在規則表中定義了各種規則來表明是否同意或拒絕包的通過。包過濾防火牆檢查每一條規則直至發現包中的信息與某規則相符。如果沒有一條規則能符合，防火牆就會使用默認規則，一般情況下，默認規則就是要求防火牆丟棄該包。其次，通過定義基於TCP或UDP數據包的埠號，防火牆能夠判斷是否允許建立特定的連接，如Telnet、FTP連接。
下面是某一網路級防火牆的訪問控制規則：
(1)允許網路123.1.0使用FTP(21口)訪問主機150.0.0.1；
(2) 允許IP地址為202.103.1.18和202.103.1.14的用戶Telnet(23口)到主機150.0.0.2上；
(3)允許任何地址的E-mail(25口)進入主機150.0.0.3；
(4)允許任何WWW數據（80口）通過；
(5)不允許其他數據包進入。
網路級防火牆簡潔、速度快、費用低，並且對用戶透明，但是對網路的保護很有限，因為它只檢查地址和埠，對網路更高協議層的信息無理解能力。

2.應用級網關

應用級網關就是我們常常說的「代理伺服器」，它能夠檢查進出的數據包，通過網關復制傳遞數據，防止在受信任伺服器和客戶機與不受信任的主機間直接建立聯系。應用級網關能夠理解應用層上的協議，能夠做復雜一些的訪問控制，並做精細的注冊和稽核。但每一種協議需要相應的代理軟體，使用時工作量大，效率不如網路級防火牆。

常用的應用級防火牆已有了相應的代理伺服器， 例如： HTTP、 NNTP、 FTP、Telnet、rlogin、X-Windows等，但是，對於新開發的應用，尚沒有相應的代理服務，它們將通過網路級防火牆和一般的代理服務。

應用級網關有較好的訪問控制，是目前最安全的防火牆技術，但實現困難，而且有的應用級網關缺乏"透明度"。在實際使用中，用戶在受信任的網路上通過防火牆訪問Internet時， 經常會發現存在延遲並且必須進行多次登錄（Login） 才能訪問Internet或Intranet。

3.電路級網關

電路級網關用來監控受信任的客戶或伺服器與不受信任的主機間的TCP握手信息,這樣來決定該會話(Session) 是否合法,電路級網關是在OSI模型中會話層上來過濾數據包,這樣比包過濾防火牆要高二層。

實際上電路級網關並非作為一個獨立的產品存在，它與其他的應用級網關結合在一起， 如TrustInformationSystems公司的GauntletInternetFirewall；DEC公司的AltaVistaFirewall等產品。 另外，電路級網關還提供一個重要的安全功能：代理伺服器（ProxyServer） ，代理伺服器是個防火牆，在其上運行一個叫做"地址轉移"的進程，來將所有你公司內部的IP地址映射到一個"安全"的IP地址，這個地址是由防火牆使用的。但是，作為電路級網關也存在著一些缺陷，因為該網關是在會話層工作的，它就無法檢查應用層級的數據包。

4.規則檢查防火牆

該防火牆結合了包過濾防火牆、電路級網關和應用級網關的特點。它同包過濾防火牆一樣， 規則檢查防火牆能夠在OSI網路層上通過IP地址和埠號，過濾進出的數據包。它也象電路級網關一樣，能夠檢查SYN和ACK標記和序列數字是否邏輯有序。當然它也象應用級網關一樣， 可以在OSI應用層上檢查數據包的內容，查看這些內容是否能符合公司網路的安全規則。

規則檢查防火牆雖然集成前三者的特點，但是不同於一個應用級網關的是，它並不打破客戶機/服務機模式來分析應用層的數據， 它允許受信任的客戶機和不受信任的主機建立直接連接。規則檢查防火牆不依靠與應用層有關的代理，而是依靠某種演算法來識別進出的應用層數據，這些演算法通過已知合法數據包的模式來比較進出數據包，這樣從理論上就能比應用級代理在過濾數據包上更有效。
目前在市場上流行的防火牆大多屬於規則檢查防火牆，因為該防火牆對於用戶透明，在OSI最高層上加密數據，不需要你去修改客戶端的程序，也不需對每個需要在防火牆上運行的服務額外增加一個代理。如現在最流行的防火牆之一OnTechnology軟體公司生產的OnGuard和CheckPoint軟體公司生產的FireWall-1防火牆都是一種規則 檢查防火牆。

從趨勢上看，未來的防火牆將位於網路級防火牆和應用級防火牆之間，也就是說，網路級防火牆將變得更加能夠識別通過的信息，而應用級防火牆在目前的功能上則向「透明」、「低級」方面發展。最終防火牆將成為一個快速注冊稽查系統，可保護數據以加密方式通過，使所有組織可以放心地在節點間傳送數據。

G. 什麼是防火牆 防火牆的主要功能有哪些

(1)網路安全的屏障

防火牆可通過過濾不安全的服務而減低風險，極大地提高內部網路的安全性。由於只有經過選擇並授權允許的應用協議才能通過防火牆，所以網路環境變得更安全。防火牆可以禁止諸如不安全的NFS協議進出受保護的網路，使攻擊者不可能利用這些脆弱的協議來攻擊內部網路。防火牆同時可以保護網路免受基於路由的攻擊，如IP選項中的源路由攻擊和ICMP重定向路徑。防火牆能夠拒絕所有以上類型攻擊的報文，並將情況及時通知防火牆管理員。

(2)強化網路安全策略

通過以防火牆為中心的安全方案配置。能將所有安全軟體(如口令、加密、身份認證等)配置在防火牆上。與將網路安全問題分散到各個主機上相比，防火牆的集中安全管理更經濟。例如，在網路訪問時，一次一密口令系統和其他的身份認證系統完全可以不必分散在各個主機上而集中在防火牆。

(3)對網路存取和訪問進行監控審計由於所有的訪問都必須經過防火牆，所以防火牆就不僅能夠製作完整的日誌記錄，而且還能夠提供網路使用的情況的統計數據。當發生可疑動作時，防火牆能進行適當的報警，並提供網路是否受到監測和攻擊的詳細信息。另外，收集一個網路的使用和誤用情況也是一項非常重要的工作。這不僅有助於了解防火牆的控制是否能夠抵擋攻擊者的探測和攻擊，了解防火牆的控制是否充分有效，而且有助於作出網路需求分析和威脅分析。

(4)防止內部信息的外泄

通過利用防火牆對內部網路的劃分，可實現內部網中重點網段的隔離，限制內部網路中不同部門之間互相訪問，從而保障了網路內部敏感數據的安全。另外，隱私是內部網路非常關心的問題，一個內部網路中不引人注意的細節，可能包含了有關安全的線索而引起外部攻擊者的興趣，甚至由此而暴露了內部網路的某些安全漏洞。使用防火牆就可以隱藏那些透露內部細節的服務，如Finger、DNS等。Finger顯示了主機的所有用戶的用戶名、真名、最後登錄時間和使用Shell類型等。但是Finger顯示的信息非常容易被攻擊者所獲悉。攻擊者可以知道一個系統使用的頻繁程度，這個系統是否有用戶在連線上網，這個系統是否在被攻擊時引起注意等等。防火牆可以同樣阻塞有關內部網路的DNS信息，這樣一台主機的域名和IP地址就不會被外界所了解。