滤防火墙

滤防火墙控制OSI的三、四层，一般是通过***来匹配数据包内容，以决定哪些包被允许和哪些包被拒绝。

优点：

能以很快的速度处理数据包

易于匹配绝大多数的3、4层报头信息

缺点：

***过多导致配置复杂

不能阻止应用层的攻击

不能检测和阻止某些类型的TCP/IP攻击，比如TCP SYN泛洪和IP欺骗

状态检测防火墙

控制OSI的三、四、五层

状态检测防火墙工作在数据链路层和网络层之间，对于新建的应用连接，湛江下一代防火墙，它从这里截取数据包提取出的信息，并根据对应的安全策略及过滤规则处理数据包，生成状态表，这样防火墙确保了截取和检查所有通过网络的原始数据包。然后将相关信息组合起来，进行一些逻辑或数算，获得相应的结论，进行相应的操作，如允许数据包通过、拒绝数据包、认证连接，加密数据等。状态检测防火墙虽然工作在协议栈较低层，但它检测所有应用层的数据包，从中提取有用信息，如IP地址、端口号等，这样安全性得到很大提高。另外在这种防火墙中一旦一个连接建立起来，就不用再对这个连接做更多工作，系统可以去处理别的连接，执行效率明显提高。

状态检测防火墙实现了基于UDP应用的安全，锐捷 下一代防火墙，通过在UDP通信之上保持一个虚拟连接来实现。防火墙保存通过网关的每一个连接的状态信息，允许穿过防火墙的UDP请求包被记录，当UDP包在相反方向上通过时，依据连接状态表确定该UDP包是否被***的，若已被***，则通过，否则拒绝。如果在的一段时间内响应数据包没有到达，连接超时，则该连接被阻塞，这样所有的攻击都被阻塞。状态检测防火墙可以控制无效连接的连接时间，避免大量的无效连接占用过多的网络资源，可以很好的降低攻击的风险。