就狀態檢測防火牆而言，我在交換機上做包過濾相比有什麼根本性的優勢。？

1樓：N戒-It

交換機本身也可以實現包過濾和狀態防火牆，區別是簡單的ACL包過濾需做雙向配置，而雙向流量模型複雜時配置量很大，且某些場景下幾乎無法實現。就出現了狀態牆。思科的交換機上有IP Intercept功能也是狀態防火牆模式，會維持乙個會話表，這樣回包就不用寫ACL放通。

另外專門的狀態防火牆側重安全防護，優化的硬體使得在效能引數上強大多了。每秒新建連線數是硬指標。

2樓：薄荷紅茶

說下我的看法，防火牆相對於交換機除了做acl訪問控制外，還可以支援路由、NAT、抗DDOS等，當然這些都是從功能上來講的優勢。

對於交換機而言，

資料報命中ACL後，執行相應動作（丟棄、放行），來乙個資料報，查一次ACL rule。也就是包過濾。

防火牆呢，

對於TCP的資料報而言，第乙個包也就是TCP SYN包，會查詢ACL rule，然後執行動作（丟棄、放行、NAT、Route），接著會在連線表建立乙個連線，當第二個、第三個...資料報到達以後，不用再去查詢ACL rule，找連線表就行了。這也就是為何叫狀態檢測的包過濾原因了。

對於UDP資料報而言，由於UDP是無連線的，但UDP和TCP一樣有埠，所以也可以在連線表裡面建立連線，只是叫虛連線，或者偽連線，因為它本身無連線嘛。

對於ICMP包而言，由於沒有埠，但可以用ICMP報文type欄位，當作埠使用，也是偽造的，所以也可以建立乙個偽連線。

優勢

從上面可以可以看出來，交換機會對每乙個資料報都查一次ACL rule，但防火牆只對首包查詢ACL rule，後面的包查連線表，也就是連線表優先，首包由於在連線表裡找不到，就找ACL rule了。

查連線表所需要消耗的效能可是遠低於查ACL rule所配置的規則，這算是乙個優勢吧。

3樓：

因為防火牆有狀態跟蹤的機制，而交換機 ACL 沒有，這個就是本質區別。

對應到實際運用效果上，就是前者可以輕易實現只允許 A 集合中的主機單向連線 B 集合的，而後者則很難實現。