8、安全防护/16、尚硅谷-Linux云计算-安全- 防火墙/50、尚硅谷-Linux云计算-安全防御 - 何为防火墙

大家好。欢迎大家继续收看上硅谷的Linux云计算视频。我是汪洋老师。这节课呢，我们去学习我们的防火墙设备。那当然我们这里学习的防火墙设备也是我们的基础类防火墙设备，需要大家做一个了解，因为上节课我们已经说了一些网络安全设备的分类了，相信大家也比较清楚了，对吧？那我们的总体课程分为这么几个片段。第一个。先给大家描述一下防火墙的一些定义，对吧？什么是防火墙？第二个，防火墙其实还是有不同的分类的，我们可以通过软件、硬件去分，可以通过他们的工作逻辑去分，也可以通过他们的工作模式去分。第三个我们完成分类以后，会给大家讲解一下相关的IP的原理，也就是我们在Linux上的软件级别的防火墙的IP tables，它的相关原理性东西。第四个，我们今天要学习我们的IP table的一些相关设置的话，我们就必须要了解以及掌握他们整个的工作流程，或者叫工作顺序。

第五个。给大家去讲解我们的IP tables，它的一些设置语法，它的一些操作规则。它的一些。备份策略等等都会在这个片当中给大家讲解。那我们话不多说，我们先学习一下第一个。我们要既然要学习防火墙，一定要先搞清楚什么是防火墙，对吧，好。何谓防火墙？那首先提到防火墙的话，一般来说我们都会想到这么两个软件，第一个叫360对吧，360那个什么永久免费对吧，那个口号相信大家都不陌生。360其实不可否认的是，它确实是一款防火墙设备。当然，我们的养设备应该是防火墙软件，对吧？好，它是一个软件级别的防火墙软件，可以帮助我们抵御一些外来的攻击，包括我们的这些数据包的过滤，它是完全可以去做到的。

需要大家注意一下。那这种呢，是软件级别的，那我们看一下硬件对吧，像我们国家。在古代对吧，构筑了一个长城。这个长城呢，其实跟我们的防火墙有些类似，对吧，那每个烽火台上面是不是都有对应的观察手去观察这些。或者是这些过来的人员到底是不是属于我们国家的标准，或者或者是民族的标准，对吧，那如果是非本族人什么什么什么对吧，那可能就会放对应的火箭或怎么怎么怎么样去拒绝。那如果是咱们自己的人的话，是不是就会放心？经过我们的长城，进入到我们的内陆。其实这个跟我们的防火墙，它的相关原理也是比较像的。一个是软件，一个是硬件。其实我们可以这样想，对于360的工作模式，大家应该不陌生，假设，假设我现在有台机器。这台机器呢，有这么几个方式，我们可以安装防火墙，第一个我把它安装在最外围。

听清楚了。比如这是我们的机器对吧，我们把它安装在最外围里面的最外围。第二个，比如我这里有个应用程序，我把这个防火墙安装在应用程序内部。你觉得应该把防火墙装在哪里？到底是装在我们的？所有软件的最外围还是装在我们的软件内部。大家简单思考一下。一定是我们的。内核的。外围。这个能理解我的意思吗？或者是安装在内核以及我们的应用空间的。中间层。讲白来说，所有的流量必须要经过这个方向以后才能进入到内部。不然的话，这个防火墙是没有意义的。360就处于这么一个层级，所以大家会发现，诶，每次360安装完以后让你重启，重启的机器，原因就是要加载到内核内部。需要大家注意一下。好，那我们再讲一下我们的长城，长城属于一款硬件对吧？这很好理解，它绝对属于一款硬件，对吧？那这个硬件如果它包围的都是我们的国家。

大好河山的最外层是吧？那如果有一天啪，他把一个内陆给包住了。有意义吗？没有，也是放在我们的整个内陆环境的最外围，内陆可能有不同的一些我们的是吧，城市对吧，省份，那它是放在我们的城市省份的最外围。那如果把它换成我们真正的硬件防火墙的话，那它应该放在的是我们的真实的web服务器，比如这几台都是真实的web服务器。这是我们的真正的公王。我们把它叫万。那它应该是属于我们俩之间的连接关系，讲白来说就是别人访问我要经过这个硬件防火墙，我访问别人也要经过这个硬件防火墙，又是最外围。这个相关的顺序大家应该都不陌生，或者是能够搞清对吧。

其实我们把它简单的总结一下，这就是我们的定义的防火墙了。防火墙其实就一句话，工作在主机边缘处或者是网络边缘处，对数据报文进行检测，并能够根据事先定义好的规则对数据报文进行相应的处理的模块。首先有几个概念，第一个主机边缘处类似于360对吧，它一定装在我们的主机边缘处，不可能装在我们的软件里边。不然的话没有意义了，数据报文都进去以后还让它过滤干嘛呢？第二个是网络边缘处，就像我们刚才说的这么一个长城，对吧，它绝对是装在我们的国家与国外边界之间，而不是我们装在内陆。那专利路到底是抵御谁啊？还是拦我们自己啊？这个很好理解对吧，那如果是真实的我们的硬件防火墙的话，它一定是工作在我们的网络边缘处。对数据报进行检测。

只要是进来了或者出去了，只要我定义了对应的规则，他就应该根据我的规则去检测。但正常情况下，我们对于我们的防火墙来说，一般都是防进不防出。进来的所有数据化，我们都认为它是不安全的。我都要过滤一遍。出去的数字报文，我基本上认为它是安全的。为什么说是基本上，如果你说我就定义了出去的过滤规则行不行？当然可以，所以我说的是基本安全的。对数据报文进行相应的处理，你别过滤完了以后匹配到了你不干活对吧，我还需要干活的，比如拒绝，比如删除，比如放行等等一些操作。这就是我们对防火墙的一个定义，或叫技术防火墙的一个定义。那这节课呢，比较简单的给大家分析了一下，我们等会要去学习的几个篇章或模块。对应的一。那以及给大家说明了什么叫做防火墙，或者什么叫做基础类防火墙，好，那后面的课程中呢，都会在这。

这些咨询理论上开展。展开的。需要大家注意一下。那这节课呢，我们就先讲到这里，下节课再见。