What is a Stateless Firewall?

無狀態防火牆的工作原理

防火牆的目標是限制對受保護網路的存取。根據進入和離開受保護網路的流量安裝防火牆，使其能夠檢查每個入站或出站資料包。防火牆根據其內建規則集決定是否允許或丟棄資料包。

雖然有幾種不同類型的防火牆，但無狀態防火牆僅根據每個資料包包含的資料（通常是資料包標頭）來評估每個資料包。封包標頭包含 IP 位址、連接埠號碼以及防火牆可用於確定封包是否經過授權的其他資訊。

防火牆可以設定有限制允許存取受保護網路的IP位址集或僅允許某些網路協定進入或離開網路的規則。例如，無狀態防火牆可以設定為允許入站 HTTPS 連接，但阻止入站 SSH。類似地，防火牆可以設定為阻止來自某些地理區域或來自已知不良 IP 位址的流量。

無狀態防火牆的優點和缺點

無狀態防火牆僅處理封包標頭，不儲存任何狀態。這提供了一些優點，包括以下：

• 速度：與其他類型的防火牆相比，無狀態防火牆對網路流量執行的分析相對較少。因此，它可能提供比狀態防火牆更低的延遲。
• 可擴展性：無狀態防火牆的有限處理能力也會影響其可擴展性。由於防火牆的處理和資料要求有限，相同的硬體可能能夠使用無狀態防火牆處理更多連線。
• 成本：無狀態防火牆比其他類型的防火牆簡單。因此，它們的價格可能比更複雜的防火牆更低。

然而，雖然無狀態防火牆有其優點，但也有明顯的缺點。無狀態防火牆無法偵測許多常見類型的攻擊，包括：

• 亂序資料包：無狀態資料包缺乏網路連線目前狀態的可見性，且無法偵測故意亂序發送的合法資料包。例如，無狀態防火牆無法偵測多種類型的 TCP 掃描（ACK、FIN 等）或識別在沒有相應要求的情況下發送的 DNS 回應。
• 嵌入式惡意軟體：無狀態防火牆僅檢查網路封包的標頭，而不檢查其內容。這使得他們無法識別資料包的有效負載中是否包含惡意內容（例如惡意軟體）。
• 應用層攻擊：無狀態防火牆對封包標頭的關注也使其對在應用程式層執行的攻擊視而不見。例如，這些防火牆無法察覺網路應用程式脆弱性的利用或針對雲端基礎設施的攻擊。
• 分散式阻斷服務 (DDoS) 攻擊： DDoS 攻擊通常涉及向目標發送大量垃圾郵件資料包。由於這些資料包看起來合法，且無狀態防火牆會單獨檢查每個資料包，因此它會錯過這種類型的攻擊。

無狀態防火牆可能比有狀態防火牆更有效。但是，它們對大多數現代攻擊完全盲目，並為組織提供有限的價值。