47、网络数据包过滤：原理、配置与规则详解

网络数据包过滤：原理、配置与规则详解

1. 网络流量管控的重要性

在构建防火墙时，许多网络管理员会仔细过滤和限制入站流量，但对出站流量仅施加最小限度的限制。然而，出站流量的控制同样重要。即使你信任用户，恶意软件也可能将技术精湛的工程师的工作站变成发送垃圾信息的源头。因此，不要认为自己的网络不会出现问题，它可能具有恶意，而谨慎的流量控制可以将对邻居、客户和声誉造成的损害降至最低。

例如，如果没有必要让员工的桌面连接到任意远程邮件服务器，就应该阻止这种连接。这样即使某个工作站感染了垃圾邮件机器人，外界也不会将你的网络列入黑名单。同样，若用户无需连接远程 DNS 服务器，应使用公司内部的服务器，并阻止出站 DNS 流量，防止用户在不知不觉中放大拒绝服务攻击。建议对入站和出站流量都采取默认拒绝的策略，然后明确允许所需的流量。

不过，也有一些网络可能是例外。如果网络中的所有系统都运行 OpenBSD，那么在一定程度上可以抵御常规恶意软件。但如今，恶意软件已经开始针对电视、蓝光播放器、流媒体播放器等联网设备，所以现在就应该采取防护措施。

2. 数据包过滤的局限性

数据包过滤完全基于 TCP/IP 协议及其相关特性（如端口号）来控制网络连接。例如，如果你想阻止来自某些 IP 地址的所有流量，数据包过滤可以实现；若只想允许特定 TCP/IP 端口的连接，它也能发挥作用；甚至可以允许特定标志位（如 ECN 标志）的数据包进入。

但数据包过滤也有其局限性：
- 只能对网络协议层的规则进行过滤，如 IPsec、SKIP、VINES 等。如果是不同的协议层，PF 则无法提供帮助。不过，PF 可以根据 MAC 地址进行过滤，通过在