传统防火墙保护哪些层

防火墙的工作原理是通过设置安全策略，来进行安全防护。传统防火墙工作层次3、4、5、7层（七层模型）。所以传统防火墙保护3、4、5、7层。防火墙是部署在网络出口处/服务器区(数据中心）/广域网接入，用于防止外界黑客攻击/保护内部网络安全性的安全硬件。

传统防火墙的类型

• 包过滤（包过滤防火墙）

  工作层次：3/4层（七层模型）

  工作原理：手工，类似ACL控制数据包，五元组，实现单向访问

  优点：仅处理3/4层，简单快捷。

  缺点：ACL多且复杂，手工配置，不能随需求自动修改；不能识别通信状态进行控制；不能防范应用层攻击；是默认策略，没有明显允许就是禁止。

• 状态检测技术（状态防火墙）

  工作层次：3/4/5层

  工作原理：维持会话表通信状态。会话表包括五个元素（源目的IP，源目的端口，协议号）

  优点：可以识别会话状态控制通信；能动态生成放通回程报文的策略。

  缺点：不能防范应用层攻击、应用data不能检测、对FTP等多连接应用兼容性差。

• 应用代理技术ALG（应用代理防火墙）

  工作层次：3/4/5/7层

  工作原理：应用数据data检查:动态协商的端口、URL、 ftp操作指令、http请 求方法等,允许动态通道(端口都是随机动态协商的,如FTP )的数据进入防火墙。

  优点：可以检测应用层数据,防范简单的应用层攻击；

  缺点：软件处理,消耗资源。