網路防護的措施為何？

防火牆可以攔截流量或者讓流量通行，可通行的流量，必須根據企業需要用到的通訊類型設定在防火牆的組態設定中。防火牆最重要的一項最佳實務原則，就是預設攔截所有的流量，然後在組態設定當中只開放已知服務的流量。 防火牆的組態設定非常重要，因此防火牆管理員務必具備相關的知識。

防火牆的運作橫跨了國際標準化組織開放系統互聯 (ISO OSI) 網路模型的多個網路層。一般所謂的防火牆大多在第 2 至 5 層上運作。如果某個防火牆宣稱是在第 7 層上運作，那它通常是指代理器 (Proxy) 或閘道。有個例外是網站應用程式防火牆 (WAF)，它雖然也稱為防火牆，但其實是在第 7 層。防火牆會分析它所運作的 OSI 網路層上的資訊。

以下是一些防火牆在不同網路層上運作的範例：

• 第 2 層 – 資料連結 – 它可根據訊框內的網路卡實體位址 (MAC) 來決定是否要攔截或繼續傳送流量。
• 第 3 層 – 網路 – 它可根據封包內的 IP 位址來決定是否要攔截或繼續傳送流量。
• 第 4 層 – 傳輸 – 它可根據資料包 (datagram) 中的 TCP 連接埠編號來決定是否要攔截或繼續傳送流量。
• 第 5 層 – 連線階段 – 它可根據 RTP 資訊來決定是否要攔截或繼續傳送流量。
• 第 7 層 – 資料 – 它可根據應用程式或應用程式服務來決定是否要攔截或繼續傳送流量。

防火牆的組態設定內含一份規則清單，這些規則有時亦稱為政策。防火牆會利用這份規則清單來判斷該如何處理它所收到的流量。這些規則在套用時，是依照從上到下的順序。

當防火牆收到訊框或封包時，會從清單中的第一條規則開始比對。如果符合該條規則所指定的流量類型，就執行該條規則對應的動作，例如允許流量通行，或者攔截並拋棄流量。

若訊框或封包與第一條規則指不符，那就繼續比對第二條規則，依此類推。如果流量與所有設定的流量都不符，那防火牆就會執行最後的一條規則，這條規則通常是將流量拋棄。