靜態萬級用哪種過濾網

1. 靜態包過濾防火牆和狀態檢測防火牆有何區別

狀態檢測防火牆基於防火牆所維護的狀態表的內容轉發或拒絕數據包的傳送，比普通的專包過濾有著更好屬的網路性能和安全性。普通包過濾防火牆使用的過濾規則集是靜態的。而採用狀態檢測技術的防火牆在運行過程中一直維護著一張狀態表，這張表記錄了從受保護網路發出的數據包的狀態信息，然後防火牆根據該表內容對返回受保護網路的數據包進行分析判斷，這樣，只有響應受保護網路請求的數據包才被放行。對用戶來說，狀態檢測不但能提高網路的性能，還能增強網路的安全性。
希望可以幫到你，謝謝！

2. 靜態包過濾防火牆和狀態檢測防火牆有何區別

狀態檢測防火牆基於防火牆所維護的狀態表的內容轉發或拒絕數據包的傳送，比普內通的包過濾有容著更好的網路性能和安全性。普通包過濾防火牆使用的過濾規則集是靜態的。而採用狀態檢測技術的防火牆在運行過程中一直維護著一張狀態表，這張表記錄了從受保護網路發出的數據包的狀態信息，然後防火牆根據該表內容對返回受保護網路的數據包進行分析判斷，這樣，只有響應受保護網路請求的數據包才被放行。對用戶來說，狀態檢測不但能提高網路的性能，還能增強網路的安全性。
希望可以幫到你，謝謝！

3. 動態包過濾型防火牆和靜態包過濾防火牆有什麼區別

靜態包過濾防火牆是根據定義好的過濾規則審查每個數據包，以便確定其是否與某一內條包過濾規則匹配。過容濾規則基於數據包的報頭信息進行制訂。報頭信息中包括IP源地址、IP目標地址、傳輸協議(TCP、UDP、ICMP等等)、TCP/UDP目標埠、ICMP消息類型等。包過濾類型的防火牆要遵循的一條基本原則是「最小特權原則」，即明確允許那些管理員希望通過的數據包，禁止其他的數據包。
動態包過濾防火牆是就是後來的包狀態監測（Stateful Inspection）技術，監控每一個連接，自動臨時增加適當的規則。

4. 靜態包過濾防火牆、動態（狀態檢測）包過濾防火牆、應用層（代理）防火牆這三類防火牆適用情況

//ok，我改
//包過濾的防火牆最簡單，你可以指定讓某個IP或某個埠或某個網段的數據包通過[或不通過]，它不支持應用層的過濾，不支持數據包內容的過濾。
//狀態防火牆更復雜一點，按照TCP基於狀態的特點，在防火牆上記錄各個連接的狀態，這可以彌補包過濾防火牆的缺點，比如你允許了ip為1.1.1.1的數據包通過防火牆，但是惡意的人偽造ip的話，沒有通過tcp的三次握手也可以闖過包過濾防火牆。
//應用代理網關防火牆徹底隔斷內網與外網的直接通信，內網用戶對外網的訪問變成防火牆對外網的訪問，然後再由防火牆轉發給內網用戶。所有通信都必須經應用層代理軟體轉發，訪問者任何時候都不能與伺服器建立直接的 TCP 連接，應用層的協議會話過程必須符合代理的安全策略要求。
應用代理網關的優點是可以檢查應用層、傳輸層和網路層的協議特徵，對數據包的檢測能力比較強。
//

一、當前防火牆技術分類
防火牆技術經歷了包過濾、應用代理網關、再到狀態檢測三個階段。

1.1 包過濾技術
包過濾防火牆工作在網路層，對數據包的源及目地 IP 具有識別和控製作用，對於傳輸層，也只能識別數據包是 TCP 還是 UDP 及所用的埠信息，如下圖所示。現在的路由器、 Switch Router 以及某些操作系統已經具有用 Packet Filter 控制的能力。
由於只對數據包的 IP 地址、 TCP/UDP 協議和埠進行分析，包過濾防火牆的處理速度較快，並且易於配置。

包過濾防火牆具有根本的缺陷：
1 ．不能防範黑客攻擊。包過濾防火牆的工作基於一個前提，就是網管知道哪些 IP 是可信網路，哪些是不可信網路的 IP 地址。但是隨著遠程辦公等新應用的出現，網管不可能區分出可信網路與不可信網路的界限，對於黑客來說，只需將源 IP 包改成合法 IP 即可輕鬆通過包過濾防火牆，進入內網，而任何一個初級水平的黑客都能進行 IP 地址欺騙。
2 ．不支持應用層協議。假如內網用戶提出這樣一個需求，只允許內網員工訪問外網的網頁（使用 HTTP 協議），不允許去外網下載電影（一般使用 FTP 協議）。包過濾防火牆無能為力，因為它不認識數據包中的應用層協議，訪問控制粒度太粗糙。
3 ．不能處理新的安全威脅。它不能跟蹤 TCP 狀態，所以對 TCP 層的控制有漏洞。如當它配置了僅允許從內到外的 TCP 訪問時，一些以 TCP 應答包的形式從外部對內網進行的攻擊仍可以穿透防火牆。
綜上可見，包過濾防火牆技術面太過初級，就好比一位保安只能根據訪客來自哪個省市來判斷是否允許他（她）進入一樣，難以履行保護內網安全的職責。

1.2 應用代理網關技術
應用代理網關防火牆徹底隔斷內網與外網的直接通信，內網用戶對外網的訪問變成防火牆對外網的訪問，然後再由防火牆轉發給內網用戶。所有通信都必須經應用層代理軟體轉發，訪問者任何時候都不能與伺服器建立直接的 TCP 連接，應用層的協議會話過程必須符合代理的安全策略要求。
應用代理網關的優點是可以檢查應用層、傳輸層和網路層的協議特徵，對數據包的檢測能力比較強。

缺點也非常突出，主要有：
· 難於配置。由於每個應用都要求單獨的代理進程，這就要求網管能理解每項應用協議的弱點，並能合理的配置安全策略，由於配置繁瑣，難於理解，容易出現配置失誤，最終影響內網的安全防範能力。
· 處理速度非常慢。斷掉所有的連接，由防火牆重新建立連接，理論上可以使應用代理防火牆具有極高的安全性。但是實際應用中並不可行，因為對於內網的每個 Web 訪問請求，應用代理都需要開一個單獨的代理進程，它要保護內網的 Web 伺服器、資料庫伺服器、文件伺服器、郵件伺服器，及業務程序等，就需要建立一個個的服務代理，以處理客戶端的訪問請求。這樣，應用代理的處理延遲會很大，內網用戶的正常 Web 訪問不能及時得到響應。
總之，應用代理防火牆不能支持大規模的並發連接，在對速度敏感的行業使用這類防火牆時簡直是災難。另外，防火牆核心要求預先內置一些已知應用程序的代理，使得一些新出現的應用在代理防火牆內被無情地阻斷，不能很好地支持新應用。
在 IT 領域中，新應用、新技術、新協議層出不窮，代理防火牆很難適應這種局面。因此，在一些重要的領域和行業的核心業務應用中，代理防火牆正被逐漸疏遠。
但是，自適應代理技術的出現讓應用代理防火牆技術出現了新的轉機，它結合了代理防火牆的安全性和包過濾防火牆的高速度等優點，在不損失安全性的基礎上將代理防火牆的性能提高了 10 倍。

1.3 狀態檢測技術
我們知道， Internet 上傳輸的數據都必須遵循 TCP/IP 協議，根據 TCP 協議，每個可靠連接的建立需要經過 「 客戶端同步請求 」 、 「 伺服器應答 」 、 「 客戶端再應答 」 三個階段，我們最常用到的 Web 瀏覽、文件下載、收發郵件等都要經過這三個階段。這反映出數據包並不是獨立的，而是前後之間有著密切的狀態聯系，基於這種狀態變化，引出了狀態檢測技術。
狀態檢測防火牆摒棄了包過濾防火牆僅考查數據包的 IP 地址等幾個參數，而不關心數據包連接狀態變化的缺點，在防火牆的核心部分建立狀態連接表，並將進出網路的數據當成一個個的會話，利用狀態表跟蹤每一個會話狀態。狀態監測對每一個包的檢查不僅根據規則表，更考慮了數據包是否符合會話所處的狀態，因此提供了完整的對傳輸層的控制能力。
網關防火牆的一個挑戰就是能處理的流量，狀態檢測技術在大為提高安全防範能力的同時也改進了流量處理速度。狀態監測技術採用了一系列優化技術，使防火牆性能大幅度提升，能應用在各類網路環境中，尤其是在一些規則復雜的大型網路上。
任何一款高性能的防火牆，都會採用狀態檢測技術。
從 2000 年開始，國內的著名防火牆公司，如北京天融信等公司，都開始採用這一最新的體系架構，並在此基礎上，天融信 NGFW4000 創新推出了核檢測技術，在操作系統內核模擬出典型的應用層協議，在內核實現對應用層協議的過濾，在實現安全目標的同時可以得到極高的性能。目前支持的協議有 HTTP/1.0/1.1 、 FTP 、 SMTP 、 POP3 、 MMS 、 H.232 等最新和最常用的應用協議。

二、防火牆發展的新技術趨勢

2.1 新需求引發的技術走向
防火牆技術的發展離不開社會需求的變化，著眼未來，我們注意到以下幾個新的需求。
· 遠程辦公的增長。這次全國主要城市先後受到 SARS 病毒的侵襲，直接促成大量的企事業在家辦公，這就要求防火牆既能抵抗外部攻擊，又能允許合法的遠程訪問，做到更細粒度的訪問控制。現在一些廠商推出的 VPN （虛擬專用網）技術就是很好的解決方式。只有以指定方式加密的數據包才能通過防火牆，這樣可以確保信息的保密性，又能成為識別入侵行為的手段。
· 內部網路 「 包廂化 」 （ compartmentalizing ）。人們通常認為處在防火牆保護下的內網是可信的，只有 Internet 是不可信的。由於黑客攻擊技術和工具在 Internet 上隨手可及，使得內部網路的潛在威脅大大增加，這種威脅既可以是外網的人員，也可能是內網用戶，不再存在一個可信網路環境。
由於無線網路的快速應用以及傳統撥號方式的繼續存在，內網受到了前所未有的威脅。企業之前的合作將合作夥伴納入了企業網路里，全國各地的分支機構共享一個論壇，都使可信網路的概念變得模糊起來。應對的辦法就是將內部網細分成一間間的 「 包廂 」 ，對每個 「 包廂 」 實施獨立的安全策略。

2.2 黑客攻擊引發的技術走向
防火牆作為內網的貼身保鏢，黑客攻擊的特點也決定了防火牆的技術走向。
 80 埠的關閉。從受攻擊的協議和埠來看，排在第一位的就是 HTTP 協議（ 80 埠）。

根據 SANS 的調查顯示，提供 HTTP 服務的 IIS 和 Apache 是最易受到攻擊，這說明 80 埠所引發的威脅最多。
因此，無論是未來的防火牆技術還是現在應用的防火牆產品，都應盡可能將 80 埠關閉。
· 數據包的深度檢測。 IT 業界權威機構 Gartner 認為代理不是阻止未來黑客攻擊的關鍵，但是防火牆應能分辨並阻止數據包的惡意行為，包檢測的技術方案需要增加簽名檢測 (signature inspection) 等新的功能，以查找已經的攻擊，並分辨出哪些是正常的數據流，哪些是異常數據流。
· 協同性。從黑客攻擊事件分析，對外提供 Web 等應用的伺服器是防護的重點。單單依靠防火牆難以防範所有的攻擊行為，這就需要將防火牆技術、入侵檢測技術、病毒檢測技術有效協同，共同完成保護網路安全的任務。早在 2000 年，北京天融信公司就已經認識到了協同的必要性和緊迫性，推出了 TOPSEC 協議，與 IDS 等其他安全設備聯動，與其他安全設備配合組成一個有機的可擴展的安全體系平台。目前主要支持和 IDS 的聯動和認證伺服器進行聯動。如支持國內十幾家知名的 IDS 、安全管理系統、安全審計、其他認證系統等等組成完整的 TOPSEC 解決方案。 2002 年 9 月，北電、思科和 Check Point 一道宣布共同推出安全產品，也體現了廠商之間優勢互補、互通有無的趨勢。

5. springMvc+shiro做許可權管理，頁面上的靜態資源，樣式圖片等沒有出現，用幾種方式過濾試過，還是不行

正常情況是不會出現這樣的，shiro對於靜態資源的處理，不用特殊配置。

只需要在shiroFilter過濾器filterChainDefinitions項中增加一個靜態資源處理規則就可以，例如允許/css/開頭的資源匿名訪問，只需要這樣一句配置就足矣。

/css/** = anon

配置完成後，未登錄就可以在瀏覽器中直接訪問css下的資源，新項目用的shiro，簡單而又實用的許可權框架。

6. 靜態包過濾技術主要用在什麼樣的網路路由器上

路由器
要解釋路由器的概念，首先要介紹什麼是路由。所謂「路由」，是指把數據從一個地方傳送到另一個地方的行為和動作，而路由器，正是執行這種行為動作的機器，它的英文名稱為Router。

簡單的講，路由器主要有以下幾種功能：

第一，網路互連，路由器支持各種區域網和廣域網介面，主要用於互連區域網和廣域網，實現不同網路互相通信；

第二，數據處理，提供包括分組過濾、分組轉發、優先順序、復用、加密、壓縮和防火牆等功能；

第三，網路管理，路由器提供包括配置管理、性能管理、容錯管理和流量控制等功能。

為了完成「路由」的工作，在路由器中保存著各種傳輸路徑的相關數據－－路由表（Routing Table），供路由選擇時使用。路由表中保存著子網的標志信息、網上路由器的個數和下一個路由器的名字等內容。路由表可以是由系統管理員固定設置好的，也可以由系統動態修改，可以由路由器自動調整，也可以由主機控制。在路由器中涉及到兩個有關地址的名字概念，那就是：靜態路由表和動態路由表。由系統管理員事先設置好固定的路由表稱之為靜態（static）路由表，一般是在系統安裝時就根據網路的配置情況預先設定的，它不會隨未來網路結構的改變而改變。動態（Dynamic）路由表是路由器根據網路系統的運行情況而自動調整的路由表。路由器根據路由選擇協議（Routing Protocol）提供的功能，自動學習和記憶網路運行情況，在需要時自動計算數據傳輸的最佳路徑。

為了簡單地說明路由器的工作原理，現在我們假設有這樣一個簡單的網路。如圖所示，A、B、C、D四個網路通過路由器連接在一起。

現在我們來看一下在如圖所示網路環境下路由器又是如何發揮其路由、數據轉發作用的。現假設網路A中一個用戶A1要向C網路中的C3用戶發送一個請求信號時，信號傳遞的步驟如下：

第1步：用戶A1將目的用戶C3的地址C3，連同數據信息以數據幀的形式通過集線器或交換機以廣播的形式發送給同一網路中的所有節點，當路由器A5埠偵聽到這個地址後，分析得知所發目的節點不是本網段的，需要路由轉發，就把數據幀接收下來。

第2步：路由器A5埠接收到用戶A1的數據幀後，先從報頭中取出目的用戶C3的IP地址，並根據路由表計算出發往用戶C3的最佳路徑。因為從分析得知到C3的網路ID號與路由器的C5網路ID號相同，所以由路由器的A5埠直接發向路由器的C5埠應是信號傳遞的最佳途經。

第3步：路由器的C5埠再次取出目的用戶C3的IP地址，找出C3的IP地址中的主機ID號，如果在網路中有交換機則可先發給交換機，由交換機根據MAC地址表找出具體的網路節點位置；如果沒有交換機設備則根據其IP地址中的主機ID直接把數據幀發送給用戶C3，這樣一個完整的數據通信轉發過程也完成了。

從上面可以看出，不管網路有多麼復雜，路由器其實所作的工作就是這么幾步，所以整個路由器的工作原理基本都差不多。當然在實際的網路中還遠比上圖所示的要復雜許多，實際的步驟也不會像上述那麼簡單，但總的過程是這樣的。

增加路由器涉及的基本協議

路由器英文名稱為Router，是一種用於連接多個網路或網段的網路設備。這些網路可以是幾個使用不同協議和體系結構的網路(比如互聯網與區域網)，可以是幾個不同網段的網路(比如大型互聯網中不同部門的網路)，當數據信息從一個部門網路傳輸到另外一個部門網路時，可以用路由器完成。現在，家庭區域網也越來越多地採用路由器寬頻共享的方式上網。

路由器在連接不同網路或網段時，可以對這些網路之間的數據信息進行「翻譯」，然後「翻譯」成雙方都能「讀」懂的數據，這樣就可以實現不同網路或網段間的互聯互通。同時，它還具有判斷網路地址和選擇路徑的功能以及過濾和分隔網路信息流的功能。目前，路由器已成為各種骨幹網路內部之間、骨幹網之間以及骨幹網和互聯網之間連接的樞紐。

NAT:全稱Network Address Translation(網路地址轉換)，路由器通過NAT功能可以將區域網內部的IP地址轉換為合法的IP地址並進行Internet的訪問。比如，區域網內部有個IP地址為192.168.0.1的計算機，當然通過該IP地址可以和內網其他的計算機通信;但是如果該計算機要訪問外部Internet網路，那麼就需要通過NAT功能將192.168.0.1轉換為合法的廣域網IP地址，比如210.113.25.100。

DHCP:全稱Dynamic Host Configuration Protocol(動態主機配置協議)，通過DHCP功能，路由器可以為網路內的主機動態指定IP地址，而不需要每個用戶去設置靜態IP地址，並將TCP/IP配置參數分發給區域網內合法的網路客戶端。

DDNS:全稱Dynamic Domain Name Server(動態域名解析系統)，通常稱為「動態DNS」，因為對於普通的寬頻上網使用的都是ISP(網路服務商)提供的動態IP地址。如果在區域網內建立了某個伺服器需要Internet用戶進行訪問，那麼，可以通過路由器的DDNS功能將動態IP地址解析為一個固定的域名，比如www.cpcw.com，這樣Internet用戶就可以通過該固定域名對內網伺服器進行訪問。

PPPoE:全稱PPP over Ethernet(乙太網上的點對點協議)，通過PPPoE技術，可以讓寬頻數據機(比如ADSL Modem)用戶獲得寬頻網的個人身份驗證訪問，能為每個用戶創建虛擬撥號連接，這樣就可以高速連接到Internet。路由器具備該功能，可以實現PPPoE的自動撥號連接，這樣與路由器連接的用戶可以自動連接到Internet。

ICMP:全稱Internet Control Message Protocol(Internet控制消息協議)，該協議是TCP/IP協議集中的一個子協議，主要用於在主機與路由器之間傳遞控制信息，包括報告錯誤、交換受限控制和狀態信息等。
總的來說，路由器與交換機的主要區別體現在以下幾個方面：

（1）工作層次不同

最初的的交換機是工作在OSI／RM開放體系結構的數據鏈路層，也就是第二層，而路由器一開始就設計工作在OSI模型的網路層。由於交換機工作在OSI的第二層（數據鏈路層），所以它的工作原理比較簡單，而路由器工作在OSI的第三層（網路層），可以得到更多的協議信息，路由器可以做出更加智能的轉發決策。

（2）數據轉發所依據的對象不同

交換機是利用物理地址或者說MAC地址來確定轉發數據的目的地址。而路由器則是利用不同網路的ID號（即IP地址）來確定數據轉發的地址。IP地址是在軟體中實現的，描述的是設備所在的網路，有時這些第三層的地址也稱為協議地址或者網路地址。MAC地址通常是硬體自帶的，由網卡生產商來分配的，而且已經固化到了網卡中去，一般來說是不可更改的。而IP地址則通常由網路管理員或系統自動分配。

（3）傳統的交換機只能分割沖突域，不能分割廣播域；而路由器可以分割廣播域

由交換機連接的網段仍屬於同一個廣播域，廣播數據包會在交換機連接的所有網段上傳播，在某些情況下會導致通信擁擠和安全漏洞。連接到路由器上的網段會被分配成不同的廣播域，廣播數據不會穿過路由器。雖然第三層以上交換機具有VLAN功能，也可以分割廣播域，但是各子廣播域之間是不能通信交流的，它們之間的交流仍然需要路由器。

（4）路由器提供了防火牆的服務

路由器僅僅轉發特定地址的數據包，不傳送不支持路由協議的數據包傳送和未知目標網路數據包的傳送，從而可以防止廣播風暴。

交換機一般用於LAN-WAN的連接，交換機歸於網橋，是數據鏈路層的設備，有些交換機也可實現第三層的交換。 路由器用於WAN-WAN之間的連接，可以解決異性網路之間轉發分組，作用於網路層。他們只是從一條線路上接受輸入分組，然後向另一條線路轉發。這兩條線路可能分屬於不同的網路，並採用不同協議。相比較而言，路由器的功能較交換機要強大，但速度相對也慢，價格昂貴，第三層交換機既有交換機線速轉發報文能力，又有路由器良好的控制功能，因此得以廣泛應用。

目前個人比較多寬頻接入方式就是ADSL，因此筆者就ADSL的接入來簡單的說明一下。現在購買的ADSL貓大多具有路由功能（很多的時候廠家在出廠時將路由功能屏蔽了，因為電信安裝時大多是不啟用路由功能的，啟用DHCP。打開ADSL的路由功能），如果個人上網或少數幾台通過ADSL本身就可以了，如果電腦比較多你只需要再購買一個或多個集線器或者交換機。考慮到如今集線器與交換機的 價格相差十分小，不是特殊的原因，請購買一個交換機。不必去追求高價，因為如今產品同質化十分嚴重，我最便宜的交換機現在沒有任 何問題。給你一個參考報價，建議你購買一個8口的，以滿足擴充需求，一般的價格100元左右。接上交換機，所有電腦再接到交換機上就行了。餘下所要做的事情就只有把各個機器的網線插入交換機的介面，將貓的網線插入uplink介面。然後設置路由功能，DHCP等， 就可以共享上網了。

看完以上的解說讀者應該對交換機、集線器、路由器有了一些了解，目前的使用主要還是以交換機、路由器的組合使用為主，具體的組合方式可根據具體的網路情況和需求來確定。
路由器是互聯網路中必不可少的網路設備之一，路由器是一種連接多個網路或網段的網路設備，它能將不同網路或網段之間的數據信息進行「翻譯」，以使它們能夠相互「讀」懂對方的數據，從而構成一個更大的網路。 路由器有兩大典型功能，即數據通道功能和控制功能。數據通道功能包括轉發決定、背板轉發以及輸出鏈路調度等，一般由特定的硬體來完成；控制功能一般用軟體來實現，包括與相鄰路由器之間的信息交換、系統配置、系統管理等。

7. 靜態包過濾在哪一層實現的

一、當前防火牆技術分類
防火牆技術經歷了包過濾、應用代理網關、再到狀態檢測三個階段。

1.1 包過濾技術
包過濾防火牆工作在網路層，對數據包的源及目地 IP 具有識別和控製作用，對於傳輸層，也只能識別數據包是 TCP 還是 UDP 及所用的埠信息，如下圖所示。現在的路由器、 Switch Router 以及某些操作系統已經具有用 Packet Filter 控制的能力。
由於只對數據包的 IP 地址、 TCP/UDP 協議和埠進行分析，包過濾防火牆的處理速度較快，並且易於配置。

包過濾防火牆具有根本的缺陷：
1 ．不能防範黑客攻擊。包過濾防火牆的工作基於一個前提，就是網管知道哪些 IP 是可信網路，哪些是不可信網路的 IP 地址。但是隨著遠程辦公等新應用的出現，網管不可能區分出可信網路與不可信網路的界限，對於黑客來說，只需將源 IP 包改成合法 IP 即可輕鬆通過包過濾防火牆，進入內網，而任何一個初級水平的黑客都能進行 IP 地址欺騙。
2 ．不支持應用層協議。假如內網用戶提出這樣一個需求，只允許內網員工訪問外網的網頁（使用 HTTP 協議），不允許去外網下載電影（一般使用 FTP 協議）。包過濾防火牆無能為力，因為它不認識數據包中的應用層協議，訪問控制粒度太粗糙。
3 ．不能處理新的安全威脅。它不能跟蹤 TCP 狀態，所以對 TCP 層的控制有漏洞。如當它配置了僅允許從內到外的 TCP 訪問時，一些以 TCP 應答包的形式從外部對內網進行的攻擊仍可以穿透防火牆。
綜上可見，包過濾防火牆技術面太過初級，就好比一位保安只能根據訪客來自哪個省市來判斷是否允許他（她）進入一樣，難以履行保護內網安全的職責。

1.2 應用代理網關技術
應用代理網關防火牆徹底隔斷內網與外網的直接通信，內網用戶對外網的訪問變成防火牆對外網的訪問，然後再由防火牆轉發給內網用戶。所有通信都必須經應用層代理軟體轉發，訪問者任何時候都不能與伺服器建立直接的 TCP 連接，應用層的協議會話過程必須符合代理的安全策略要求。
應用代理網關的優點是可以檢查應用層、傳輸層和網路層的協議特徵，對數據包的檢測能力比較強。

8. 無線路由器mac地址過濾和靜態ARP綁定哪個好用有什麼區別

MAC地址過濾是指只要不是你設定的MAC，或者是你指定的MAC鏈接不上無線路由器。ARP綁定版是只要你這個MAC綁定了權這個IP，別人就不可以獲得這個被綁定iP。其實都一樣，看你主要用途在哪，如果你是想別人鏈接不上你無線路由，你就設置一些MAC地址過濾就好了，除了指定的，其他的都不能通過。

9. 靜態IP下，如何設置筆記本在無線路由器里的設置，或是筆記本里的設置。

一樓太長了我都看不進去
你試要無線路由在通過一個路由上網就是筆記本通過內兩個網路上網容，首先需要這樣的路由器，大多都是路由只對終端是無線的，設置的話在設置寬頻連接那，正常是撥號的在下拉菜單里有靜態ip那項，ip設置只要不和無線到終端這個ip段一樣就行，你試試看看