如果你正在部署一个光键的门户网站，希望所有的网络层和应用层的漏洞都被屏蔽在应用程序之外。这个需求，对于传统的网络防火墙而言，是个大问题。
由于网络防火墙对于加密的SSL流中的数据是不可见的，防火墙无法迅速截获SSL数据流并对其解密，因此无法阻止应用程序的攻击，甚至有些网络防火墙，根本就不提供数据解密的功能。
2. 普通应用程序加密后，也能轻易躲过防火墙的检测
如果你正在部署一个光键的门户网站，希望所有的网络层和应用层的漏洞都被屏蔽在应用程序之外。这个需求，对于传统的网络防火墙而言，是个大问题。
由于网络防火墙对于加密的SSL流中的数据是不可见的，防火墙无法迅速截获SSL数据流并对其解密，因此无法阻止应用程序的攻击，甚至有些网络防火墙，根本就不提供数据解密的功能。
3. 对于WEB应用程序，防范能力不足
网络防火墙于1990年发明，而商用的Web服务器，则在一年以后才面世。基于状态检测的防火墙，其设计原理，是基于网络层TCP和IP地址，来设置与加强状态访问控制列表(ACLs，Access Control Lists)。在这一方面，网络防火墙表现确实十分出色。
二、应用层防火墙又称为什么服务器1、代理服务器（Proxy Server）是一种重要的服务器安全功能，它的工作主要在开放系统互联(OSI)模型的会话层，从而起到防火墙的作用。代理服务器大多被用来连接INTERNET（国际互联网）和Local Area Network（局域网）。
2、代理服务器英
文全称是（Proxy
Server），其功能就是代理网络用户去取得网络信息。形象的说：它是网络信息的中转站。代理服务器就好象一个大的Cache，这样就能显著提高浏览速
度和效率。更重要的是：Proxy Server（代理服务器）是Internet链路级网关所提供的一种重要的安全功能，主要的功能有：突破自身IP访问限制，访问国外站点。教育网、过去的169网等
3、网络用户可以通过代理访问国外网站。
访问一些单位或团体内部资源，如某大学FTP（前提是该代理地址在该资源 的允许访问范围之内），使用教育网内地址段免费代理服务器，就可以用于对教育网开放的各类FTP下载上传，以及各类资料查询共享等服务。
突破中国电信的IP封锁：中国电信用户有很多网站是被限制访问的，这种限制是人为的，不同Serve对地址的封锁是不同的。所以不能访问时可以换一个国外的代理服务器试试。
提高访问速度：通常代理服务器都设置一个较大的硬盘缓冲区，当有外界的信息通过时，同时也将其保存到缓冲区中，当其他用户再访问相同的信息时， 则直接由缓冲区中取出信息，传给用户，以提高访问速度。
隐藏真实IP：上网者也可以通过这种方法隐藏自己的IP，免受攻击。
三、应用层的安全在哪几个方面防火墙分类1 如果从防火墙的软、硬件形式来分的话，防火墙可以分为软件防火墙和硬件防火墙以及芯片级防火墙。 第一种：软件防火墙 软 件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关。俗称 个人防火墙 。软件防火墙就 像其它的软件产品一样需要先在计算机上安装并做好配置才可以使用。防火墙厂商中做网络版软件防火墙最出名的莫过于Checkpoint。使用这类防火墙， 需要网管对所工作的操作系统平台比较熟悉。 第二种：硬件防火墙 这里说的硬件防火墙是指 所谓的硬件防火墙 。之所以加上 所谓 二 字是针对芯片级防火墙说的了。它们最大的差别在于是否基于专用的硬件平台。目前市场上大多数防火墙都是这种所谓的硬件防火墙，他们都基于PC架构，就是 说，它们和普通的家庭用的PC没有太大区别。在这些PC架构计算机上运行一些经过裁剪和简化的操作系统，最常用的有老版本的Unix、Linux和 FreeBSD系统。 值得注意的是，由于此类防火墙采用的依然是别人的内核，因此依然会受到OS（操作系统）本身的安全性影响。 传统硬件防火墙一般至少应具备三个端口，分别接内网，外网和DMZ区（非军事化区），现在一些新的硬件防火墙往往扩展了端口，常见四端口防火墙一般将第四个端口做为配置口、管理端口。很多防火墙还可以进一步扩展端口数目。 第三种：芯片级防火墙 芯 片级防火墙基于专门的硬件平台，没有操作系统。专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。做这类防火墙最出名的厂 商有NetScreen、FortiNet、Cisco等。这类防火墙由于是专用OS（操作系统）,因此防火墙本身的漏洞比较少，不过价格相对比较高昂。 防火墙技术虽然出现了许多，但总体来讲可分为 包过滤型 和 应用代理型 两大类。前者以以色列的Checkpoint防火墙和美国Cisco公司的PIX防火墙为代表，后者以美国NAI公司的Gauntlet防火墙为代表。 (1). 包过滤(Packet filtering)型 包过滤型防火墙工作在OSI网络参考模型的网络层和传输层，它根据数据包头源地址，目的地址、端口号和协议类型等标志确定是否允许通过。只有满足过滤条件的数据包才被转发到相应的目的地，其余数据包则被从数据流中丢弃。 包 过滤方式是一种通用、廉价和有效的安全手段。之所以通用，是因为它不是针对各个具体的网络服务采取特殊的处理方式，适用于所有网络服务；之所以廉价，是因 为大多数路由器都提供数据包过滤功能，所以这类防火墙多数是由路由器集成的；之所以有效，是因为它能很大程度上满足了绝大多数企业安全要求。 在整个防火墙技术的发展过程中，包过滤技术出现了两种不同版本，称为 第一代静态包过滤 和 第二代动态包过滤 。 ●第一代静态包过滤类型防火墙 这 类防火墙几乎是与路由器同时产生的，它是根据定义好的过滤规则审查每个数据包，以便确定其是否与某一条包过滤规则匹配。过滤规则基于数据包的报头信息进行 制订。报头信息中包括IP源地址、IP目标地址、传输协议(TCP、UDP、ICMP等等)、TCP/UDP目标端口、ICMP消息类型等。 ●第二代动态包过滤类型防火墙 这类防火墙采用动态设置包过滤规则的方法，避免了静态包过滤所具有的问题。这种技术后来发展成为包状态监测(Stateful Inspection)技术。采用这种技术的防火墙对通过其建立的每一个连接都进行跟踪，并且根据需要可动态地在过滤规则中增加或更新条目。 包 过滤方式的优点是不用改动客户机和主机上的应用程序，因为它工作在网络层和传输层，与应用层无关。但其弱点也是明显的：过滤判别的依据只是网络层和传输层 的有限信息，因而各种安全要求不可能充分满足；在许多过滤器中，过滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影响；由于缺少上下文 关联信息，不能有效地过滤如UDP、RPC（远程过程调用）一类的协议；另外，大多数过滤器中缺少审计和报警机制，它只能依据包头信息，而不能对用户身份 进行验证，很容易受到 地址欺骗型 攻击。对安全管理人员素质要求高，建立安全规则时，必须对协议本身及其在不同应用程序中的作用有较深入的理解。因此， 过滤器通常是和应用网关配合使用，共同组成防火墙系统。 2007-7-13 19:32 回复 激情小呆 1位粉丝 2楼(2). 应用代理(Application Proxy)型 应用代理型防火墙是工作在OSI的最高层，即应用层。其特点是完全 阻隔 了网络通信流，通过对每种应用服务编制专门的代理程序，实现监视和控制应用层通信流的作用。其典型网络结构如图所示。 在代理型防火墙技术的发展过程中，它也经历了两个不同的版本，即：第一代应用网关型代理防火和第二代自适应代理防火墙。 第一代应用网关(Application Gateway)型防火墙 这 类防火墙是通过一种代理(Proxy)技术参与到一个TCP连接的全过程。从内部发出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部网卡一样， 从而可以达到隐藏内部网结构的作用。这种类型的防火墙被网络安全专家和媒体公认为是最安全的防火墙。它的核心技术就是代理服务器技术。 第二代自适应代理(Adaptive proxy)型防火墙 它 是近几年才得到广泛应用的一种新防火墙类型。它可以结合代理类型防火墙的安全性和包过滤防火墙的高速度等优点，在毫不损失安全性的基础之上将代理型防火墙 的性能提高10倍以上。组成这种类型防火墙的基本要素有两个：自适应代理服务器(Adaptive Proxy Server)与动态包过滤器(Dynamic Packet filter)。 在 自适应代理服务器 与 动态包过滤器 之间存在一个控制通道。在对防火墙进行配置时，用户仅仅将所需要的服务类型、安全级别等信息通过相应Proxy的管理界面进行设置就可以 了。然后，自适应代理就可以根据用户的配置信息，决定是使用代理服务从应用层代理请求还是从网络层转发包。如果是后者，它将动态地通知包过滤器增减过滤规 则，满足用户对速度和安全性的双重要求。 代理类型防火墙的最突出的优点就是安全。由于它工作于最高层，所以它可以对网络中任何一层数据通信进行筛选保护，而不是像包过滤那样，只是对网络层的数据进行过滤。 另 外代理型防火墙采取是一种代理机制，它可以为每一种应用服务建立一个专门的代理，所以内外部网络之间的通信不是直接的，而都需先经过代理服务器审核，通过 后再由代理服务器代为连接，根本没有给内、外部网络计算机任何直接会话的机会，从而避免了入侵者使用数据驱动类型的攻击方式入侵内部网。 代理 防火墙的最大缺点就是速度相对比较慢，当用户对内外部网络网关的吞吐量要求比较高时，代理防火墙就会成为内外部网络之间的瓶颈。那因为防火墙需要为不同的 网络服务建立专门的代理服务，在自己的代理程序为内、外部网络用户建立连接时需要时间，所以给系统性能带来了一些负面影响，但通常不会很明显。 防火墙分类3 从防火墙结构上分，防火墙主要有：单一主机防火墙、路由器集成式防火墙和分布式防火墙三种。 单一主机防火墙是最为传统的防火墙，独立于其它网络设备，它位于网络边界。 这 种防火墙其实与一台计算机结构差不多（如下图），同样包括CPU、内存、硬盘等基本组件，当然主板更是不能少了，且主板上也有南、北桥芯片。它与一般计算 机最主要的区别就是一般防火墙都集成了两个以上的以太网卡，因为它需要连接一个以上的内、外部网络。其中的硬盘就是用来存储防火墙所用的基本程序，如包过 滤程序和代理服务器程序等，有的防火墙还把日志记录也记录在此硬盘上。虽然如此，但我们不能说它就与我们平常的PC机一样，因为它的工作性质，决定了它要 具备非常高的稳定性、实用性，具备非常高的系统吞吐性能。正因如此，看似与PC机差不多的配置，价格甚远。
四、应用层防火墙有哪些防火墙是根据工作范围及其特征来分类的，分为过滤型防火墙、应用代理类型防火墙及复合型防火墙。
1、过滤型防火墙过滤型防火墙是在网络层与传输层中，可以基于数据源头的地址以及协议类型等标志特征进行分析，确定是否可以通过。在符合防火墙规定标准之下，满足安全性能以及类型才可以进行信息的传递，而一些不安全的因素则会被防火墙过滤、阻挡。
2、应用代理类型防火墙应用代理防火墙的工作范围就是在OIS的最高层，位于应用层之上。可以完全隔离网络通信流，通过特定的代理程序就可以实现对应用层的监督与控制。
3、复合型防火墙复合型防火墙是应用较为广泛的防火墙。综合了包过滤防火墙技术以及应用代理防火墙技术的优点，同时摒弃了两种防火墙的原有缺点，大大提高了防火墙技术在应用实践中的灵活性和安全性。扩展资料：通过防火墙在内部与外部网络中间过程的防御作用，可以实现内部与外部资源的有效流通，及时处理各种安全隐患问题，进而提升了信息数据资料的安全性。防火墙技术具有一定的抗攻击能力，对于外部攻击具有自我保护的作用，随着计算机技术的进步防火墙技术也在不断发展。
五、应用层防火墙一般采用的是什么技术建筑防火墙防火墙是由不燃烧体构成，耐火极限不低于3h。
为减小或避免建筑、结构、设备遭受热辐射危害和防止火灾蔓延，设置的竖向分隔体或直接设置在建筑物基础上或钢筋混凝土框架上具有耐火性的墙。1墙体简介防火墙是防火分区的主要建筑构件。通常防火墙有内防火墙、外防火墙和室外独立墙几种类型。2相关规定《GB50016-2006建筑设计防火规范》规定：第7.1.1条防火墙应直接设置在基础上或钢筋混凝土的框架上。防火墙应截断燃烧体或难燃烧体的屋顶结构，且应高出非燃烧体屋面不小于40cm，高出燃烧体或难燃烧体屋面不小于50cm。当建筑物的屋盖为耐火极限不低于0.5h的非燃烧体时、高层工业建筑屋盖为耐火极限不低于1h的非燃烧体时，防火墙(包括纵向防火墙)可砌至屋面基层的底部，不高出屋面。第7.1.2条防火墙中心距天窗端面的水平距离小于4m，且天窗端面为燃烧体时，应采取防止火势蔓延的设施。第7.1.3条建筑物的外墙如为难燃烧体时，防火墙应突出难燃烧体墙的外表面40cm；防火带的宽度，从防火墙中心线起每侧不应小于2m。第7.1.4条防火墙内不应设置排气道，民用建筑如必须设置时，其两侧的墙身截面厚度均不应小于12cm。防火墙上不应开门窗洞口，如必须开设时，应采用甲级防火门窗，并应能自行关闭。可燃气体和甲、乙、丙类液体管道不应穿过防火墙，其他管道如必须穿过时，应用非燃烧材料将缝隙紧密填塞。第7.1.5条建筑物内的防火墙不应设在转角处。如设在转角附近，内转角两侧上的门窗洞口之间最近的水平距离不应小于4m。紧靠防火墙两侧的门窗洞口之间最近的水平距离不应小于2m，如装有耐火极限不低于0.9h的非燃烧体固定窗扇的采光窗(包括转角墙上的窗洞)，可不受距离的限制。第7.1.6条设计防火墙时，应考虑防火墙一侧的屋架、梁、楼板等受到火灾的影响而破坏时，不致使防火墙倒塌。普通内墙简单说，在房子外面可以看到的就是外墙，只有在室内可以看到的就是内墙。外墙，简单地理解，就是从外边可以看见的墙；内墙，就是只能进入建筑物内部或是透过门窗才能看见的墙。可以从墙体厚度区分内外墙，内墙会比外墙的厚度要小（一般分别设计为三七墙、二四墙区分）防火墙在施工图纸上不一定看得出,最好看看建筑设计总说明和建筑防火设计说明,按规定设计深度,建筑施工设计图应包括此项内容。六、应用层的安全问题 禁用蝉妈妈的账号访问权限：在管理数据库或者操作系统中，关闭蝉妈妈用户的访问权限，这样他就无法从数据库系统中访问数据了。 对数据的表和字段设置权限：为特定的表或字段设置 read 权限，即只允许读取数据，而不允许写入或更新数据。 设置通信比较安全：比如通过应用层比较安全技术实现SSL/TLS等通信比较安全。 定期维护数据库比较安全：比如进行建表审计、执行比较安全性检查、安装最新的比较安全补丁等。
