防火墙会出现哪些问题

传统防火墙存在：

• 无法检测加密的Web流量

由于网络防火墙对于加密的SSL流中的数据是不可见的，防火墙无法迅速截获SSL数据流并对其解密，因此无法阻止应用程序的攻击，甚至有些网络防火墙，根本就不提供数据解密的功能。

• 普通应用程序加密后，也能轻易躲过防火墙的检测

网络防火墙无法看到的，不仅仅是SSL加密的数据。对于应用程序加密的数据，同样也不可见。在如今大多数网络防火墙中，依赖的足静态的特征库，与入侵监测系统(IDS, Intrusion Detect System)的原理类似。只有当应用层攻击行为的特征与防火墙中的数据库中已有的特征完全匹配时，防火墙才能识别和截获攻击数据。

但如今，采用常见的编码技术，就能够地将恶意代码和其他攻击命令隐藏起来，转换成某种形式，既能欺骗前端的网络安全系统，又能够在后台服务器中执行。这种加密后的攻击 代码，只要与防火墙规则库中的规则不一样，就能够躲过网络防火墙，成功避开特征匹配。

• 对于Web应用程序，防范能力不足

由于体系结构的原因，即使足最先进的网络防火墙，在防范Web应用程序时，由于无法全面控制网络、应用程序和数据流，也无法截获应用层的攻击。由于对于整体的应用数据流，缺乏完整的、基于会话(Session)级别的监控能力，因此很难预防新的末知的攻击。

• 应用防护特性，只适用于简单情况

目前的数据中心服务器，时常会发生变动，比如:

(1)定期需要部署新的应用程序;

(2)经常需要增加或更新软件模块;

(3)QA们经常会发现代码中的bug，已部署的系统需要定期打补丁。

在这样动态复杂的环境中，安全专家们需要采用灵活的、粗粒度的方法，实施有效的防护策略。

• 无法扩展带深度检测功能

基于状态检测的网络防火墙，如果希望只扩展深度检测( deep inspection)功能,而没有相应增加网络性能，这是不行的。

真正的针对所有网络和应用程序流量的深度检测功能，需要空前的处理能力,来完成大量的计算任务，包括以下几个方面:

(1)SSL加密/解密功能;

(2)完全的双向有效负载检测;

(3)确保所有合法流量的正常化;

(4)广泛的协议性能;

这些任务，在基于标准PC硬件上，是无法高效运行的，虽然一些网络防火墙供应商采用的是基于ASIC的平台，但进一步研究，就能发现:旧的基于网络的ASIC平台对于新的深度检测功能是无法支持的。