防火墙与网络安全：区域划分、策略粒度与日志审计

网络安全里，防火墙是第一道闸，但它不是”装了就安全”。理解它的技术与结构，才能布对位置、配对策略。

一、HTTP 层的典型威胁

钓鱼攻击诱导用户交出凭证、跨站脚本（XSS）把恶意脚本注入可信页面窃取会话——这些都发生在应用层，单靠网络层防火墙挡不住，需要 WAF 与开发侧输入输出过滤配合。

二、防火墙三大技术

包过滤：基于 IP/端口/协议的 ACL 做粗粒度拦截，快但看不到连接状态；状态检测：跟踪连接状态表，只放行”已建立合法会话”的回包，兼顾安全与性能，是主流；应用代理：代应用层转发并深度检查内容，最安全但性能开销大，适合高安全区。

三、三种部署结构

堡垒主机（单臂暴露、风险集中）、屏蔽主机（防火墙+内网堡垒机，外部先过墙）、屏蔽子网（DMZ 区，对外服务放其间，内外网都不直接通），安全等级递增。对外发布 Web/邮件，务必放 DMZ。

四、网络隔离技术

物理隔离（完全断开，最高安全）、物理断开（用时才连）、单向隔离（数据只进不出，如日志外发）、网闸（GAP，内外网协议剥离摆渡）。生产网与办公网、OT 与 IT 之间，隔离策略是底线。

三、防火墙部署 Checklist

• 区域划分 → 内网/DMZ/互联网三区域，默认 deny 再放通。
• 策略粒度 → 按业务最小放通，源/目的/端口/协议四元组收紧。
• 日志审计 → 开会话日志与告警，异常外联可回溯。

别把所有策略堆成”全通”省事；上线前用一台终端逐区域验证放通与拦截，策略冗余也定期清理。