防火墙根本的的目的是：保证任何非允许的数据包"不通"。
二、核心技术的不同
Cisco路由器核心的ACL列表是基于简单的包过滤，从防火墙技术实现的角度来说，NetEye防火墙是基于状态包过滤的应用级信息流过滤。
下图是一个最为简单的应用：企业内网的一台主机，通过路由器对内网提供服务（假设提供服务的端口为tcp 1455）。为了保证安全性，在路由器上需要配置成：外－》内 只允许client访问 server的tcp 1455端口，其他拒绝。
针对现在的配置，存在的安全脆弱性如下：
1、IP地址欺骗（使连接非正常复位）
2、TCP欺骗（会话重放和劫持）
存在上述隐患的原因是，路由器不能监测TCP的状态。如果在内网的client和路由器之间放上NetEye防火墙，由于NetEye防火墙能够检测TCP的状态，并且可以重新随机生成TCP的序列号，则可以彻底消除这样的脆弱性。同时，NetE页码：[1] [2] [3] [4] [5] [6] 第2页、共6页 |
