应用层网关代理的优点

应用层网关只能过滤特定服务的数据流。必须为特定的应用服务编写特定的代理程序，被称为“服务代理”，在网关内部分别扮演客户机代理和服务器代理的角色，应用层网关代理的优点：

• 易于配置，界面友好。

• 不允许内、外网主机的直接连接。

• 可以提供比包过滤更详细的日志记录，例如在一个HTTP连接中，包过滤只能记录单个的数据包，无法记录文件名、URL等信息。

• 可以隐藏内部IP地址。

• 可以给单个用户授权。

• 可以为用户提供透明的加密机制。

• 可以与认证、授权等安全手段方便地集成。

应用层网关代理的缺点：

• 代理速度比包过滤慢。

• 代理对用户不透明，给用户的使用带来不便，灵活性不够。

• 这种代理技术需要针对每种协议设置一个不同的代理服务器。

应用层网关代理的特点：

• 必须针对每个服务运行一个代理。

• 对数据包进行逐个检查和过滤。

• 采用“强应用代理”。

• 当前最安全的防火墙结构之一。

• 代理对整个数据包进行检查，因此能在应用层上对数据包进行过滤。

• 应用代理程序与电路级网关的重要区别：代理是针对应用的。代理对整个数据包进行检查，因此能在OSI模型的应用层上对数据包进行过滤。

• 不是对用户的整个数据包进行复制，而是在防火墙内部创建一个全新的空数据包。

• 将那些可接收的命令或数据，从防火墙外部的原始数据包中复制到防火墙内新建的数据包中，然后将此新数据包发送给防火墙后面受保护的服务器。

• 能够降低多种隐蔽通道攻击带来的风险。