问：代理服务器防火墙和网关服务器防火墙之间有什么区别？分别应该在什么情况下使用？

防火墙有三种基本的类型：包过滤防火墙，状态监测防火墙，和应用代理防火墙。通常，人们喜欢用网关服务器防火墙的包过滤防火墙和状态监测防火墙。这三种防火墙的每一个都是建立在前一种上的，给企业网络提供更强大的保护。下面是它们的工作原理：

•包过滤防火墙是可用防火墙技术中最基础的。到达防火墙的各个网络包，基于它的源IP、目的IP和端口来评估，以决定这些包是否允许通过防火墙。防火墙没有任何关于活动连接的信息，所以每次收到包都是独立决定是否允许通过。包过滤防火墙并不是很常见，这类技术的用户通常写一些规则运行在他们的路由器上。

•状态监测防火墙是在当今企业中部署最为常见的。他们建立在基于防火墙保持每个活动连接状态信息的包过滤上。当有一个新的包到达防火墙时，过滤机制首先检查这个包是否是当前活动连接（前面已经授权过的）的一部分。只有当这个包没有出现在当前的活动连接列表里时，防火墙才会以它的规则库评估这个包。状态监测防火墙之所以如此常见，是因为：它们是效率最高、性价比最高的防火墙，并且广泛适用于保护网络的边界。

•应用代理防火墙超越状态监测防火墙在于它们并不允许任何包直接通过保护的系统。相反，防火墙在目的网络创建一个代理连接，通过这个代理连接传递通信。代理防火墙通常包含高级应用检测能力，允许防火墙检测尖端的应用层攻击，比如缓冲区溢出攻击和SQL注入攻击。应用代理防火墙通常比状态监测防火墙贵很多，因而，它们通常仅仅用来保护数据中心、包含公开访问的网络和高价值的服务器。

选择一个适合你们组织的防火墙需要考虑到预算、网络上的系统类型和企业的风险承受能力。欲了解更多此主题的内容，请阅读我的技巧专题：如何选择防火墙。