第 一 代 的 Firewall 其 實 亦 即 是 Router 本 身 的 Packet Filtering 功 能 ， 有 時 又 稱 Access Control List (ACL) ， 作 用 是 控 制 Packets 進 出 網 絡 的 權 限 。 假 設 在 Router 設 定 了 某 一 個 網 絡 的 Packets 是 不 能 夠 進 入 (例 如 : 192.168.1.0 ) ， Router 便 會 24 小 時 監 察 進 入 網 絡 的 Packets ， 一 旦 發 現 相 關 Packets 由 網 絡192.168.1.0 嘗 試 進 入 你 的 網 絡 ， Router 便 會 作 出 Reject 動 作 。

Packet Filtering 通 常 只 用 於 Router 上 ， 而 Packet Filtering 的 缺 點 係 在 設 定 上 只 限 於 Packets 的 IP address ，所 以 當 Router 嘗 試 去 容 許 或 阻 止 Packets 的 進 出 ， 都 只 可 於 Packets 的 IP 來 源 做 限 制 。 另 一 方 面 ， 如 果 你 想 過 瀘 進 入 網 絡 的 Email 裡 是 否 包 含 病 毒 ， Packet filter 便 做 不 到 了 ， 因 為 Packet Filtering 對 Packets 裡 面 裝 住 是 甚 麼 的 內 容 是 無 法 得 知 的 。 所 以 如 果 要 做 Email 過 濾 的 工 作 ， 便 要 交 俾 另 一 類 Firewall 。

第 二 代 的 Firewall 係 用 Application Layer Gateway 方 法 去 處 理 進 出的 Packets ， 亦 即 是 我 們 經 常 聽 到 的 Proxy 。 Proxy 係 在 OSI Layer 的 最 上 層 (Application Layer) 上 工 作 ， 好 處 係 可 以 增 加 對 Packet 的 了 解 ， 從 而 有 更 深 入 的 監 察 和 控 制 能 力 ， 因 為 當 Packet 由 OSI layer 的 最 底 層 (Physical Layer) 傳 送 到 最 上 層 Application Lager 。 不 論 Packets 是 從 那 裡 來 或 Packets 裡 面 是 包 含 甚 麼 內 容 ， Proxy 都 可 以 完 全 掌 握 。

但 Proxy 的 缺 點 就 正 正 因 為 佢 係 在 Application Layer 上 工 作 ， 容 易 受 到 系 統 本 身 或 其 他 軟 件 的 影 響 而 產 生 問 題 。      

還 有 因 為 Proxy 要 在 ISO Layer 每 一 層 裡 都 對 Packets作 出 監 察 ， 所 以 Proxy 的 速 度 亦 會 和 你 的 電 腦 硬 件 掛 釣 。

而 Check Point 的 FireWall-1 ， 又 稱 第 三 代 的 Firewall 技 術 ， 是 結 集 了 以 上 兩 者 的 好 處 再 作 出 優 化 ， 利 用 其 專 利 的 Stateful Inspection 技 術 ， 不 但 在 處 理 進 出 網 絡 的 Packets 有 最 高 的 監 察 和 控 制 。 而 且 又 可 以 保 持 最 高 的 效 能 ， 所 以 Check Point

Firewall-1 市 場 佔 有 率 非 常 之 高 ， 已 成 為 各 大 企 業 所 依 賴 的 Firewall 產 品 。 但 聽 明 的 讀 者 又 可 以 估 下 Check Point 的 缺 點 在 那 裡 ? 就 係 …… $ $ $ $。

如 果 相 對 Check Point FireWall-1 有 更 深 入 認 識 ， 建 議 大 家 修 讀 市 面 上 有 關 Firewall 的 課 程 ， 如 需 要 更 多 課 程 資 料 可 以 電 郵 給 我 。