前置：API:DSP:核心交换机：边界网关协议：边界：（防御）防火墙：负载均衡：摆渡机：名词解释

前置：
前置，拼音qián zhì，游戏术语，在即时战略游戏(RTS)中，将建筑物建造在作战前线(例如对方基地附近)叫前置。
【释义】:1. 置…于某物之前或面前,特指置(如一小品词)于语法上有关的词的前面。如:前置词。

API:
API就是操作系统留给应用程序的一个调用接口，应用程序通过调用操作系统的 API 而使操作系统去执行应用程序的命令。
基本简介
折叠介绍
API:应用程序接口(API:Application Program Interface)
应用程序接口是一组定义、程序及协议的集合，通过 API 接口实现计算机软件之间的相互通信。API 的一个主要功能是提供通用功能集。程序员通过调用 API 函数对应用程序进行开发，可以减轻编程任务。 API 同时也是一种中间件，为各种不同平台提供数据共享。
根据单个或分布式平台上不同软件应用程序间的数据共享性能，可以将 API 分为四种类型:
远程过程调用(RPC):通过作用在共享数据缓存器上的过程(或任务)实现程序间的通信。
标准查询语言(SQL):是标准的访问数据的查询语言，通过数据库实现应用程序间的数据共享。
文件传输:文件传输通过发送格式化文件实现应用程序间数据共享。
信息交付:指松耦合或紧耦合应用程序间的小型格式化信息，通过程序间的直接通信实现数据共享。
当前应用于 API 的标准包括 ANSI 标准 SQL API。另外还有一些应用于其它类型的标准尚在制定之中。API 可以应用于所有计算机平台和操作系统。这些 API 以不同的格式连接数据(如共享数据缓存器、数据库结构、文件框架)。每种数据格式要求以不同的数据命令和参数实现正确的数据通信，但同时也会产生不同类型的错误。因此，除了具备执行数据共享任务所需的知识以外，这些类型的 API 还必须解决很多网络参数问题和可能的差错条件，即每个应用程序都必须清楚自身是否有强大的性能支持程序间通信。相反由于这种 API 只处理一种信息格式，所以该情形下的信息交付 API 只提供较小的命令、网络参数以及差错条件子集。正因为如此，交付 API 方式大大降低了系统复杂性，所以当应用程序需要通过多个平台实现数据共享时，采用信息交付 API 类型是比较理想的选择。
API 与图形用户接口(GUI)或命令接口有着鲜明的差别:API 接口属于一种操作系统或程序接口，而后两者都属于直接用户接口。
有时公司会将 API 作为其公共开放系统。也就是说，公司制定自己的系统接口标准，当需要执行系统整合、自定义和程序应用等操作时，公司所有成员都可以通过该接口标准调用源代码，该接口标准被称之为开放式 API。
折叠windowsAPI
Windows API是一套用来控制Windows的各个部件(从桌面的外观到为一个新进程分配的内存)的外观和行为的一套预先定义的Windows函数.用户的每个动作都会引发一个或几个函数的运行以告诉Windows发生了什么. 这在某种程度上很象Windows的天然代码.其他的语言只是提供一种能自动而且更容易的访问API的方法.VB在这方面作了很多工作.它完全隐藏了API并且提供了在Windows环境下编程的一种完全不同的方法. 这也就是说,你用VB写出的每行代码都会被VB转换为API函数传递给Windows.例如,Form1.Print…VB 将会以一定的参数(你的代码中提供的,或是默认参数)调用TextOut 这个API函数 。同样,当你点击窗体上的一个按钮时,Windows会发送一个消息给窗体(这对于你来说是隐藏的),VB获取这个调用并经过分析后生成一个特定事件(Button_Click). API函数包含在Windows系统目录下的动态连接库文件中(如User32.dll,GDI32.dll,Shell32.dll…). 更易理解地说:Windows 这个多作业系统除了协调应用程式的执行、分配内存、管理系统资源…之外， 她同时也是一个很大的服务中心，调用这个服务中心的各种服务(每一种服务就是一个函数)，可以帮应用程式达到开启视窗、描绘图形、使用周边设备…等目的，由於这些函数服务的对象是应用程式(Application)， 所以便称之为 Application Programming Interface，简称 API 函数。WIN32 API也就是MicrosoftWindows 32位平台的应用程序编程接口。 凡是在 Windows 工作环境底下执行的应用程式， 都可以调用Windows API。API的历史与现状 当WINDOWS操作系统开始占据主导地位的时候，开发WINDOWS平台下的应用程序成为人们的需要。而在WINDOWS程序设计领域处于发展的初期，WINDOWS程序员所能使用的编程工具唯有API函数，这些函数是WINDOWS提供给应用程序与操作系统的接口，他们犹如"积木块"一样，可以搭建出各种界面丰富，功能灵活的应用程序。所以可以认为API函数是构筑整个WINDOWS框架的基石，在它的下面是WINDOWS的操作系统核心，而它的上面则是所有的华丽的WINDOWS应用程序。 但是，没有合适的Windows编程平台，程序员想编写具有Windows风格的软件，必须借助API，API也因此被赋予至高无上的地位。那时的WINDOWS程序开发还是比较复杂的工作，程序员必须熟记一大堆常用的API函数，而且还得对WINDOWS操作系统有深入的了解。然而随着软件技术的不断发展，在WINDOWS平台上出现了很多优秀的可视化编程环境，程序员可以采用"即见即所得"的编程方式来开发具有精美用户界面和功能强大的应用程序。 这些优秀可视化编程环境操作简单、界面友好(诸如VB、VC++、DELPHI等)，在这些工具中提供了大量的类库和各种控件，它们替代了API的神秘功能，事实上这些类库和控件都是构架在WIN32 API函数基础之上的，是封装了的API函数的集合。它们把常用的API函数的组合在一起成为一个控件或类库，并赋予其方便的使用方法，所以极大的加速了WINDOWS应用程序开发的过程。有了这些控件和类库，程序员便可以把主要精力放在程序整体功能的设计上，而不必过于关注技术细节。 实际上如果我们要开发出更灵活、更实用、更具效率的应用程序，必然要涉及到直接使用API函数，虽然类库和控件使应用程序的开发简单的多，但它们只提供WINDOWS的一般功能，对于比较复杂和特殊的功能来说，使用类库和控件是非常难以实现的，这时就需要采用API函数来实现。

DSP:
数字信号处理，英文:Digital Signal Processing,缩写为DSP，是面向电子信息学科的专业基础课，先修专业课程为信号与系统。
内容简介
《数字信号处理》这门课介绍的是:将事物的运动变化转变为一串数字，并用计算的方法从中提取有用的信息，以满足我们实际应用的需求。
本定义来自《数字信号处理》杨毅明著，由机械工业出版社2012年发行。
大部分信号的初始形态是事物的运动变化，为了测量它们和处理它们，先要用传感器把它们的特征转换成电信号，等到这些电信号处理完后，再把它们转变为我们能看见、能听见或能利用的形态。
数字信号处理前后需要一些辅助电路，它们和数字信号处理器构成一个系统。图1是典型的数字信号处理系统，它由7个单元组成。
初始信号代表某种事物的运动变换，它经信号转换单元可变为电信号。例如声波，它经过麦克风后就变为电信号。 又如压力，它经压力传感器后变为电信号。电信号可视为许多频率的正弦波的组合。
低通滤波单元滤除信号的部分高频成分，防止模数转换时失去原信号的基本特征。模数转换单元每隔一段时间测量一次模拟信号，并将测量结果用二进制数表示。
数字信号处理单元实际上是一个计算机，它按照指令对二进制的数字信号进行计算。例如，将声波信号与一个高频正弦波信号相乘，可实现幅度调制。实际上，数字信号往往还要变回模拟信号，才能发挥它的作用。例如，无线电是电磁波通过天线向外发射的，这时的电磁波只能是模拟信号。
数模转换单元将处理后的数字信号变为连续时间信号，这种信号的特点是一段一段的直线相连，如图2所示，有很多地方的变化不平滑。例如，调制后的数字信号，变成模拟信号后才能送往天线，通过天线就可以向外发射了。低通滤波单元有平均的作用，不平滑的信号经低通滤波后，可以变得比较平滑。
平滑的信号经信号转换单元后，就变成某种物质的运动变化。例如扬声器，它可将电波变为声波。又如天线，它可将电流变为电磁波。电磁波是一种互相变化的电场和磁场，可以在空间中以波的形式快速移动。
图3 五个单元的数字信号处理系统若只考虑电信号的处理过程，数字信号处理系统可看作由五个单元组成，如图3所示。
如果把低通滤波和模数/数模转换看作一个单元，则数字信号处理也可看作由三个单元组成，如图4所示。
产品特征
信号(signal)是信息的物理体现形式，或是传递信息的函数，而信息则是信号的具体内容。
模拟信号(analog signal):指时间连续、幅度连续的信号。
数字信号(digital signal):时间和幅度上都是离散(量化)的信号。
数字信号可用一序列的数表示，而每个数又可表示为二制码的形式，适合计算机处理。
一维(1-D)信号: 一个自变量的函数。
二维(2-D)信号: 两个自变量的函数。
多维(M-D)信号: 多个自变量的函数。
系统:处理信号的物理设备。或者说，凡是能将信号加以变换以达到人们要求的各种设备。模拟系统与数字系统。
信号处理的内容:滤波、变换、检测、谱分析、估计、压缩、识别等一系列的加工处理。
多数科学和工程中遇到的是模拟信号。以前都是研究模拟信号处理的理论和实现。
模拟信号处理缺点:难以做到高精度，受环境影响较大，可靠性差，且不灵活等。
数字系统的优点:体积小、功耗低、精度高、可靠性高、灵活性大、易于大规模集成、可进行二维与多维处理
随着大规模集成电路以及数字计算机的飞速发展，加之从60年代末以来数字信号处理理论和技术的成熟和完善，用数字方法来处理信号，即数字信号处理，已逐渐取代模拟信号处理。
随着信息时代、数字世界的到来，数字信号处理已成为一门极其重要的学科和技术领域。处理器
DSP芯片，也称数字信号处理器，是一种特别适合于进行数字信号处理运算的微处理器，其主要应用是实时快速地实现各种数字信号处理算法。根据数字信号处理的要求，DSP芯片一般具有如下主要特点:
(1)在一个指令周期内可完成一次乘法和一次加法;
(2)程序和数据空间分开，可以同时访问指令和数据;
(3)片内具有快速RAM，通常可通过独立的数据总线在两块中同时访问;
(4)具有低开销或无开销循环及跳转的硬件支持;
(5)快速的中断处理和硬件I/O支持;
(6)具有在单周期内操作的多个硬件地址产生器;
(7)可以并行执行多个操作;
(8)支持流水线操作，使取指、译码和执行等操作可以重叠执行。
当然，与通用微处理器相比，DSP芯片的其他通用功能相对较弱些
应用
广义来说，数字信号处理是研究用数字方法对信号进行分析、变换、滤波、检测、调制、解调以及快速算法的一门技术学科。但很多人认为:数字信号处理主要是研究有关数字滤波技术、离散变换快速算法和谱分析方法。随着数字电路与系统技术以及计算机技术的发展，数字信号处理技术也相应地得到发展，其应用领域十分广泛。
数字控制、运动控制方面的应用主要有磁盘驱动控制、引擎控制、激光打印机控制、喷绘机控制、马达控制、电力系统控制、机器人控制、高精度伺服系统控制、数控机床等。
面向低功耗、手持设备、无线终端的应用主要有:手机、PDA、GPS、数传电台等。
折叠数字滤波器
数字滤波器的实用型式很多，大略可分为有限冲激响应型和无限冲激响应型两类，可用硬件和软件两种方式实现。在硬件实现方式中，它由加法器、乘法器等单元所组成，这与电阻器、电感器和电容器所构成的模拟滤波器完全不同。数字信号处理系统很容易用数字集成电路制成，显示出体积小、稳定性高、可程控等优点。数字滤波器也可以用软件实现。软件实现方法是借助于通用数字计算机按滤波器的设计算法编出程序进行数字滤波计算。

核心交换机：
核心交换机并不是交换机的一种类型，而是放在核心层(网络主干部分)的交换机叫核心交换机。核心交换机应当全部采用模块化结构，必须拥有相当数量的插槽，具有强大的网络扩展能力，以保护原有的投资。
模块化结构拥有更强劲的性能、更大的灵活性和可扩充性，可以根据现实或者未来的需要选择不同数量、不同速率和不同接口类型的模块，以适应千变万化的网络需求。
应用领域
电脑达到一定数量才会要用上核心交换机，而基本在50台以下无需用核心交换机，有个路由器即可。所谓的核心交换机是针对网络架构而言，如果是个几台电脑的小局域网，一个8口的小交换机就可以称之为核心交换机!而在网络行业中核心交换机是指有网管功能，吞吐量强大的2层或者3层交换机，一个超过100台电脑的网络,如果想稳定并高速的运行,核心交换机必不可少。
功能配置
一、可扩展性应当包括两个方面:
1、插槽数量。插槽用于安装各种功能模块和接口模块。由于每个接口模块所提供的端口数量是一定的，因此插槽数量也就从根本上决定着交换机所能容纳的端口数量。另外，所有功能模块(如超级引擎模块、IP语音模块、扩展服务模块、网络监控模块、安全服务模块等)都需要占用一个插槽，因此插槽数量也就从根本上决定着交换机的可扩展性。
2、模块类型。毫无疑问，支持的模块类型(如LAN接口模块、WAN接口模块、ATM接口模块、扩展功能模块等)越多，交换机的可扩展性越强。仅以局域网接口模块为例，就应当包括RJ-45模块、GBIC模块、SFP模块、10Gbps模块等，以适应大中型网络中复杂环境和网络应用的需求。
二、背板带宽
带宽是交换机接口处理器或接口卡和数据总线间所能吞吐的最大数据量，就像是立交桥所拥有的车道的总和。由于所有端口间的通信都需要通过背板完成，所以背板所能提供的带宽，就成为端口间并发通信时的瓶颈。带宽越大，提供给各端口的可用带宽越大，数据交换速度越大;带宽越小，给各端口提供的可用带宽越小，数据交换速度也就越慢。也就是说，背板带宽决定着交换机的数据处理能力，背板带宽越高，所能处理数据的能力就越强。因此，背板带宽越大越好，特别是对那些汇聚层交换机和中心交换机而言。若欲实现网络的全双工无阻塞传输，必须满足最小背板带宽的要求。
三、转发速率
网络中的数据是由一个个数据包组成，对每个数据包的处理要消耗资源。转发速率(也称吞吐量)是指在不丢包的情况下，单位时间内通过的数据包数量。吞吐量就像是立交桥的车流量，是三层交换机最重要的一个参数，标志着交换机的具体性能。如果吞吐量太小，就会成为网络瓶颈，给整个网络的传输效率带来负面影响。交换机应当能够实现线速交换，即交换速率达到传输线上的数据传输速度，从而最大限度地消除交换瓶颈。对于千兆位交换机而言，若欲实现网络的无阻塞传输，每个千兆线速端口的包转发率为1.488Mpps，每个百兆端口的包转发率为0.1488Mpps。
四、四层交换
第四层交换用于实现对网络服务的快速访问。在四层交换中，决定传输的依据不仅仅是MAC地址(第二层网桥)或源/目标地址(第三层路由)，而且包括TCP/UDP(第四层)应用端口号，被设计用于高速Intranet应用。四层交换除了负载均衡功能外，还支持基于应用类型和用户ID的传输流控制功能。此外，四层交换机直接安放在服务器前端，它了解应用会话内容和用户权限，因而使它成为防止非授权访问服务器的理想平台。
五、模块冗余
冗余能力是网络安全运行的保证。任何厂商都不能保证其产品在运行的过程中不发生故障。而故障发生时能否迅速切换就取决于设备的冗余能力。对于核心交换机而言，重要部件都应当拥有冗余能力，比如管理模块冗余、电源冗余等，这样才可以在最大程度上保证网络稳定运行。
六、路由冗余
利用HSRP、VRRP协议保证核心设备的负荷分担和热备份，在核心交换机和双汇聚交换机中的某台交换机出现故障时，三层路由设备和虚拟网关能够快速切换，实现双线路的冗余备份，保证整网稳定性。
应用领域
出于安全和管理方便的考虑，主要是为了减小广播风暴的危害，必须把大型区域网按功能或地域等因素划成一个个小的区域网，这就使VLAN技术在网路中得以大量应用，而各个不同VLAN间的通信都要经过路由器来完成转发，随著网间互访的不断增加。单纯使用路由器来实现网间访问，不但由于埠数量有限，而且路由速度较慢，从而限制了网路的规模和访问速度。基于这种情况三层交换机便应运而生，三层交换机是为IP设计的，介面类型简单，拥有很强二层包处理能力，非常适用于大型区域网内的数据路由与交换，它既可以工作在协议第三层替代或部分完成传统路由器的功能，同时又具有几乎第二层交换的速度，且价格相对便宜些。
在企业网和教学网中，一般会将三层交换机用在网路的核心层，用三层交换机上的千兆埠或百兆埠连接不同的子网或VLAN。不过应清醒认识到三层交换机出现最重要的目的是加快大型区域网内部的数据交换，所具备的路由功能也多是围绕这一目的而展开的，所以它的路由功能没有同一档次的专业路由器强。毕竟在安全、协议支持等方面还有许多欠缺，并不能完全取代路由器工作。

边界网关协议：
边界网关协议（BGP）是运行于 TCP 上的一种自治系统的路由协议。 BGP 是唯一一个用来处理像因特网大小的网络的协议，也是唯一能够妥善处理好不相关路由域间的多路连接的协议。 BGP 构建在 EGP 的经验之上。 BGP 系统的主要功能是和其他的 BGP 系统交换网络可达信息。网络可达信息包括列出的自治系统（AS）的信息。这些信息有效地构造了 AS 互联的拓朴图并由此清除了路由环路，同时在 AS 级别上可实施策略决策。
释义
（BGP/BGP4：Border Gateway Protocol，边界网关协议）
BGP-4 提供了一套新的机制以支持无类域间路由。这些机制包括支持网络前缀的通告、取消 BGP 网络中 “ 类 ” 的概念。 BGP-4 也引入机制支持路由聚合，包括 AS 路径的集合。这些改变为提议的超网方案提供了支持。BGP-4 采用了路由向量路由协议，在配置BGP时，每一个自治系统的管理员要选择至少一个路由器作为该自治系统的“BGP发言人”。
1989年发布了主要的外部网关协议：边界路由协议（BGP），新版本BGP-4 是在1995年发布的。
BGP路由选择协议执行中使用4种分组：打开分组（open）、更新分组（update）、存活分组（keepalive）、通告分组（notification）。
简介
BGP的结构和功能
BGP用于在不同的自治系统（AS）之间交换路由信息。当两个AS需要交换路由信息时，每个AS都必须指定一个运行BGP的节点，来代表AS与其他的AS交换路由信息。这个节点可以是一个主机。但通常是路由器来执行BGP。两个AS中利用BGP交换信息的路由器也被称为边界网关（Border Gateway）或边界路由器（Border Router） [1] 。
由于可能与不同的AS相连，在一个AS内部可能存在多个运行BGP的边界路由器。同一个自治系统(AS)中的两个或多个对等实体之间运行的BGP 被称为 IBGP（Internal/Interior BGP）。归属不同的AS的对等实体之间运行的BGP称为EBGP （External/Exterior BGP）。在AS边界上与其他AS交换信息的路由器被称作边界路由器(border/edge router)。在互联网操作系统（Cisco IOS）中，IBGP通告的路由的距离为200，优先级比EBGP和任何内部网关协议（IGP）通告的路由都低。其他的路由器实现中，优先级顺序也是EBGP高于IGP，而IGP又高于IBGP。
BGP属于外部网关路由协议，可以实现自治系统间无环路的域间路由。BGP是沟通Internet广域网的主用路由协议，例如不同省份、不同国家之间的路由大多要依靠BGP协议。BGP可分为IBGP（Internal BGP）和EBGP（External BGP）。BGP的邻居关系（或称通信对端/对等实体）是通过人工配置实现的，对等实体之间通过TCP（端口179)会话交互数据。BGP路由器会周期地发送19字节的保持存活keep-alive消息来维护连接（默认周期为30秒）。在路由协议中，只有BGP使用TCP作为传输层协议。
IETF先后为BGP制定了多个建议，分别为：
RFC 4271：当前正使用的BGP协议版本，称之为BGP4。
RFC 1654：BGP4协议的第一个规范。
RFC 1105、RFC 1163、RFC 1267、RFC1771：BGP4之前的BGP版本。
特点
BGP属于外部或域间路由协议。BGP的主要目标是为处于不同AS中的路由器之间进行路由信息通信提供保障。BGP既不是纯粹的矢量距离协议，也不是纯粹的链路状态协议，通常被称为通路向量路由协议。这是因为BGP在发布到一个目的网络的可达性的同时，包含了在IP分组到达目的网络过程中所必须经过的AS的列表。通路向量信息时十分有用的，因为只要简单地查找一下BGP路由更新的AS编号就能有效地避免环路的出现。BGP对网络拓扑结构没有限制，其特点包括：
（1）实现自治系统间通信，传播网络的可达信息。BGP 是一个外部网关协议，允许一个AS与另一个AS进行通信。BGP允许一个AS向其他AS通告其内部的网络的可达性信息，或者是通过该AS可达的其他网络的路由信息。同时，AS也能够从另一个AS中了解这些信息。与距离向量选路协议类似，BGP为每个目的网络提供的是下一跳（next-hop）结点的信息。
（2）多个BGP路由器之间的协调。如果在一个自治系统内部有多个路由器分别使用BGP与其他自治系统中对等路由器进行通信，BGP可以协调者一系列路由器，使这些路由器保持路由信息的一致性。
（3）BGP支持基于策略的选路（policy-base routing）。一般的距离向量选路协议确切通告本地选路中的路由。而BGP则可以实现由本地管理员选择的策略。BGP路由器可以为域内和域间的网络可达性配置不同的策略。
（4）可靠的传输。BGP路由信息的传输采用了可靠地TCP协议。
（5）路径信息。在BGP通告目的网络的可达性信息时，处理指定目的网络的下一跳信息之外，通告中还包括了通路向量（path vector），即去往该目的网络时需要经过的AS的列表，使接受者能够了解去往目的网络的通路信息。
（6）增量更新。BGP不需要再所有路由更新报文中传送完整的路由数据库信息，只需要在启动时交换一次完整信息。后续的路由更新报文只通告网络的变化信息。这种网络变化的信息称为增量（delta）。
（7）BGP支持无类型编制（CIDR）及VLSM方式。通告的所有网络都以网络前缀加子网掩码的方式表示。
（8）路由聚集。BGP允许发送方把路由信息聚集在一起，用一个条目来表示多个相关的目的网络，以节约网络带宽。
（9）BGP还允许接收方对报文进行鉴别和认证，以验证发送方的身份。

边界：
国际法规定：国家的边界是指划分一个国家领土和另一个国家的领土、或一个国家的领土和未被占领的土地、一个国家的领土和公海以及国家领空和外层空间的想象的界线，边界是有主权的国家依法行使其主权的界线。

（防御）防火墙：
防火墙(Firewall)，也称防护墙，是由Check Point创立者Gil Shwed于1993年发明并引入国际互联网(US5606668(A)1993-12-15)。它是一种位于内部网络与外部网络之间的网络安全系统。一项信息安全的防护系统，依照特定的规则，允许或是限制传输的数据通过。
定义
所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关（Security Gateway），从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信和数据包均要经过此防火墙。[2]
在网络中，所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。
作用
防火墙具有很好的保护作用。入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。你可以将防火墙配置成许多不同保护级别。高级别的保护可能会禁止一些服务，如视频流等，但至少这是你自己的保护选择。
类型
网络层防火墙
网络层防火墙[3]可视为一种 IP 封包过滤器（允许或拒绝封包资料通过的软硬结合装置），运作在底层的 TCP/IP 协议堆栈上。我们可以以枚举的方式，只允许符合特定规则的封包通过，其余的一概禁止穿越防火墙（病毒除外，防火墙不能防止病毒侵入）。这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能套用内置的规则。
我们也能以另一种较宽松的角度来制定防火墙规则，只要封包不符合任何一项“否定规则”就予以放行。现在的操作系统及网络设备大多已内置防火墙功能。
较新的防火墙能利用封包的多样属性来进行过滤，例如：来源 IP 地址、来源端口号、目的 IP 地址或端口号、服务类型(如 WWW 或是 FTP)。也能经由通信协议、TTL 值、来源的网域名称或网段…等属性来进行过滤。
应用层防火墙
应用层防火墙是在 TCP/IP 堆栈的“应用层”上运作，您使用浏览器时所产生的数据流或是使用 FTP 时的数据流都是属于这一层。应用层防火墙可以拦截进出某应用程序的所有封包，并且封锁其他的封包(通常是直接将封包丢弃)。理论上，这一类的防火墙可以完全阻绝外部的数据流进到受保护的机器里。
防火墙借由监测所有的封包并找出不符规则的内容，可以防范电脑蠕虫或是木马程序的快速蔓延。不过就实现而言，这个方法既烦且杂(软件有千千百百种啊)，所以大部分的防火墙都不会考虑以这种方法设计。
XML 防火墙是一种新型态的应用层防火墙。
根据侧重不同，可分为：包过滤型防火墙、应用层网关型防火墙、服务器型防火墙
基本特性
（一）内部网络和外部网络之间的所有网络数据流都必须经过防火墙
这是防火墙所处网络位置特性，同时也是一个前提。因为只有当防火墙是内、外部网络之间通信的唯一通道，才可以全面、有效地保护企业网内部网络不受侵害。
根据美国国家安全局制定的《信息保障技术框架》，防火墙适用于用户网络系统的边界，属于用户网络边界的安全保护设备。所谓网络边界即是采用不同安全策略的两个网络连接处，比如用户网络和互联网之间连接、和其它业务往来单位的网络连接、用户内部网络不同部门之间的连接等。防火墙的目的就是在网络连接之间建立一个安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络的服务和访问的审计和控制。
典型的防火墙体系网络结构如下图所示。从图中可以看出，防火墙的一端连接企事业单位内部的局域网，而另一端则连接着互联网。所有的内、外部网络之间的通信都要经过防火墙。
（二）只有符合安全策略的数据流才能通过防火墙
防火墙最基本的功能是确保网络流量的合法性，并在此前提下将网络的流量快速的从一条链路转发到另外的链路上去。从最早的防火墙模型开始谈起，原始的防火墙是一台“双穴主机”，即具备两个网络接口，同时拥有两个网络层地址。防火墙将网络上的流量通过相应的网络接口接收上来，按照OSI协议栈的七层结构顺序上传，在适当的协议层进行访问规则和安全审查，然后将符合通过条件的报文从相应的网络接口送出，而对于那些不符合通过条件的报文则予以阻断。因此，从这个角度上来说，防火墙是一个类似于桥接或路由器的、多端口的（网络接口>=2）转发设备，它跨接于多个分离的物理网段之间，并在报文转发过程之中完成对报文的审查工作。
（三）防火墙自身应具有非常强的抗攻击免疫力
这是防火墙之所以能担当企业内部网络安全防护重任的先决条件。防火墙处于网络边缘，它就像一个边界卫士一样，每时每刻都要面对黑客的入侵，这样就要求防火墙自身要具有非常强的抗击入侵本领。它之所以具有这么强的本领防火墙操作系统本身是关键，只有自身具有完整信任关系的操作系统才可以谈论系统的安全性。其次就是防火墙自身具有非常低的服务功能，除了专门的防火墙嵌入系统外，再没有其它应用程序在防火墙上运行。当然这些安全性也只能说是相对的。
目前国内的防火墙几乎被国外的品牌占据了一半的市场，国外品牌的优势主要是在技术和知名度上比国内产品高。而国内防火墙厂商对国内用户了解更加透彻，价格上也更具有优势。防火墙产品中，国外主流厂商为思科（Cisco）、CheckPoint、NetScreen等，国内主流厂商为东软、天融信、山石网科、网御神州、联想、方正等，它们都提供不同级别的防火墙产品。
代理服务
代理服务设备(可能是一台专属的硬件，或只是普通机器上的一套软件)也能像应用程序一样回应输入封包(例如连接要求)，同时封锁其他的封包，达到类似于防火墙的效果。
代理使得由外在网络窜改一个内部系统更加困难, 并且一个内部系统误用不一定会导致一个安全漏洞可开采从防火墙外面(只要应用代理剩下的原封和适当地被配置) 。 相反地, 入侵者也许劫持一个公开可及的系统和使用它作为代理人为他们自己的目的; 代理人然后伪装作为那个系统对其它内部机器。 当对内部地址空间的用途加强安全, 破坏狂也许仍然使用方法譬如IP 欺骗试图通过小包对目标网络。
防火墙经常有网络地址转换(NAT) 的功能, 并且主机被保护在防火墙之后共同地使用所谓的“私人地址空间”, 依照被定义在[RFC 1918] 。 管理员经常设置了这样情节在努力(无定论的有效率) 假装内部地址或网络。
防火墙的适当的配置要求技巧和智能。 它要求管理员对网络协议和电脑安全有深入的了解。 因小差错可使防火墙不能作为安全工具。
优点
（1）防火墙能强化安全策略。
（2）防火墙能有效地记录Internet上的活动。
（3）防火墙限制暴露用户点。防火墙能够用来隔开网络中一个网段与另一个网段。这样，能够防止影响一个网段的问题通过整个网络传播。
（4）防火墙是一个安全策略的检查站。所有进出的信息都必须通过防火墙，防火墙便成为安全问题的检查点，使可疑的访问被拒绝于门外。
功能
在不同信任程度区域间传送数据流。例如互联网是不可信任的区域，而内部网络是高度信任的区域。以避免安全策略中禁止的一些通信，与建筑中的防火墙功能相似。它有控制信息基本的任务在不同信任区域的功能。 典型信任的区域包括互联网(一个没有信任的区域) 和一个内部网络(一个高信任的区域) 。 最终目标是提供受控连通性在不同水平的信任区域通过安全政策的运行和连通性模型之间根据最少特权原则。
例如：TCP/IPPort 135~139是 Microsoft Windows的【网上邻居】所使用的。如果计算机有使用【网上邻居】的【共享文件夹】，又没使用任何防火墙相关的防护措施的话，就等于把自己的【共享文件夹】公开到Internet，供不特定的任何人有机会浏览目录内的文件。且早期版本的Windows有【网上邻居】系统溢出的无密码保护的漏洞（这里是指【共享文件夹】有设密码，但可经由此系统漏洞，达到无须密码便能浏览文件夹的需求）。
防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。
折叠网络安全的屏障
一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。
折叠强化网络安全策略
通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完可以不必分散在各个主机上，而集中在防火墙一身上。
折叠监控网络存取和访问
如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。
折叠防止内部信息的外泄
通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger，DNS等服务。Finger显示了主机的所有用户的注册名、真名，最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的DNS信息，这样一台主机的域名和IP地址就不会被外界所了解。
其他功能
除了安全作用，防火墙还支持具有Internet服务特性的企业内部网络技术体系VPN（虚拟专用网）。
防火墙的英文名为“FireWall”，它是目前一种最重要的网络防护设备。从专业角度讲，防火墙是位于两个(或多个)网络间，实施网络之间访问控制的一组组件集合。

负载均衡：
网络专用术语，负载均衡建立在现有网络结构之上，它提供了一种廉价有效透明的方法扩展网络设备和服务器的带宽、增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性。
基本介绍
折叠负载均衡（LoadBalance）
lvs负载均衡由于目前现有网络的各个核心部分随着业务量的提高，访问量和数据流量的快速增长，其处理能力和计算强度也相应地增大，使得单一的服务器设备根本无法承担。在此情况下，如果扔掉现有设备去做大量的硬件升级，这样将造成现有资源的浪费，而且如果再面临下一次业务量的提升时，这又将导致再一次硬件升级的高额成本投入，甚至性能再卓越的设备也不能满足当前业务量增长的需求。
针对此情况而衍生出来的一种廉价有效透明的方法以扩展现有网络设备和服务器的带宽、增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性的技术就是负载均衡（Load Balance）。
主要算法
负载均衡英文缩写SLB，它的主要算法如下
加权轮询(WRR)算法：为每台分配一个权重，权重表示相对于其他服务器，自身能处理连接的能力。权重为n表示SLB为下一服务器分配流量之前，要为这台服务器分配n条新连接。
加权最小连接(WLC)算法：SLB会将新连接分配给活动连接数最少的真实服务器。为每台真实服务器分配权重m，服务器处理活动连接的能力等于m除以所有服务器权重之和。SLB会将新连接分配给活动连接数远少于其能力范围的真实服务器。
使用加权最小连接(WLC)算法时，SLB使用一种慢启动的方式来控制对新加真实服务器的访问。“慢启动”限制了新连接的建立频率并允许逐渐增加，以此来防范服务器的的过载。主要应用
1、DNS负载均衡 最早的负载均衡技术是通过DNS来实现的，在DNS中为多个地址配置同一个名字，因而查询这个名字的客户机将得到其中一个地址，从而使得不同的客户访问不同的服务器，达到负载均衡的目的。DNS负载均衡是一种简单而有效的方法，但是它不能区分服务器的差异，也不能反映服务器的当前运行状态。
2、代理服务器负载均衡 使用代理服务器，可以将请求转发给内部的服务器，使用这种加速模式显然可以提升静态网页的访问速度。然而，也可以考虑这样一种技术，使用代理服务器将请求均匀转发给多台服务器，从而达到负载均衡的目的。
3、地址转换网关负载均衡 支持负载均衡的地址转换网关，可以将一个外部IP地址映射为多个内部IP地址，对每次TCP连接请求动态使用其中一个内部地址，达到负载均衡的目的。
4、协议内部支持负载均衡 除了这三种负载均衡方式之外，有的协议内部支持与负载均衡相关的功能，例如HTTP协议中的重定向能力等，HTTP运行于TCP连接的最高层。
5、NAT负载均衡 NAT（Network Address Translation 网络地址转换）简单地说就是将一个IP地址转换为另一个IP地址，一般用于未经注册的内部地址与合法的、已获注册的Internet IP地址间进行转换。适用于解决Internet IP地址紧张、不想让网络外部知道内部网络结构等的场合下。
6、反向代理负载均衡 普通代理方式是代理内部网络用户访问internet上服务器的连接请求，客户端必须指定代理服务器,并将本来要直接发送到internet上服务器的连接请求发送给代理服务器处理。反向代理（Reverse Proxy）方式是指以代理服务器来接受internet上的连接请求，然后将请求转发给内部网络上的服务器，并将从服务器上得到的结果返回给internet上请求连接的客户端，此时代理服务器对外就表现为一个服务器。反向代理负载均衡技术是把将来自internet上的连接请求以反向代理的方式动态地转发给内部网络上的多台服务器进行处理，从而达到负载均衡的目的。
7、混合型负载均衡 在有些大型网络，由于多个服务器群内硬件设备、各自的规模、提供的服务等的差异，我们可以考虑给每个服务器群采用最合适的负载均衡方式，然后又在这多个服务器群间再一次负载均衡或群集起来以一个整体向外界提供服务（即把这多个服务器群当做一个新的服务器群），从而达到最佳的性能。我们将这种方式称之为混合型负载均衡。此种方式有时也用于单台均衡设备的性能不能满足大量连接请求的情况下。
四个分类
折叠软/硬件负载均衡
软件负载均衡解决方案是指在一台或多台服务器相应的操作系统上安装一个或多个附加软件来实现负载均衡，如DNS Load Balance，CheckPoint Firewall-1 ConnectControl等，它的优点是基于特定环境，配置简单，使用灵活，成本低廉，可以满足一般的负载均衡需求。
软件解决方案缺点也较多，因为每台服务器上安装额外的软件运行会消耗系统不定量的资源，越是功能强大的模块，消耗得越多，所以当连接请求特别大的时候，软件本身会成为服务器工作成败的一个关键；软件可扩展性并不是很好，受到操作系统的限制；由于操作系统本身的Bug，往往会引起安全问题。
硬件负载均衡解决方案是直接在服务器和外部网络间安装负载均衡设备，这种设备我们通常称之为负载均衡器，由于专门的设备完成专门的任务，独立于操作系统，整体性能得到大量提高，加上多样化的负载均衡策略，智能化的流量管理，可达到最佳的负载均衡需求。
负载均衡器有多种多样的形式，除了作为独立意义上的负载均衡器外，有些负载均衡器集成在交换设备中，置于服务器与Internet链接之间，有些则以两块网络适配器将这一功能集成到PC中，一块连接到Internet上，一块连接到后端服务器群的内部网络上。
一般而言，硬件负载均衡在功能、性能上优于软件方式，不过成本昂贵。
折叠本地/全局负载均衡
负载均衡从其应用的地理结构上分为本地负载均衡(Local Load Balance)和全局负载均衡(Global Load Balance，也叫地域负载均衡)，本地负载均衡是指对本地的服务器群做负载均衡，全局负载均衡是指对分别放置在不同的地理位置、有不同网络结构的服务器群间作负载均衡。
本地负载均衡能有效地解决数据流量过大、网络负荷过重的问题，并且不需花费昂贵开支购置性能卓越的服务器，充分利用现有设备，避免服务器单点故障造成数据流量的损失。其有灵活多样的均衡策略把数据流量合理地分配给服务器群内的服务器共同负担。即使是再给现有服务器扩充升级，也只是简单地增加一个新的服务器到服务群中，而不需改变现有网络结构、停止现有的服务。
全局负载均衡主要用于在一个多区域拥有自己服务器的站点，为了使全球用户只以一个IP地址或域名就能访问到离自己最近的服务器，从而获得最快的访问速度，也可用于子公司分散站点分布广的大公司通过Intranet（企业内部互联网）来达到资源统一合理分配的目的。
全局负载均衡有以下的特点：
实现地理位置无关性，能够远距离为用户提供完全的透明服务。
除了能避免服务器、数据中心等的单点失效，也能避免由于ISP专线故障引起的单点失效。
解决网络拥塞问题，提高服务器响应速度，服务就近提供，达到更好的访问质量。
实施方法
折叠HTTP重定向
HTTP重定向，相信对于所有web程序员都不陌生，例如我们请求某个页面时，被转向登录页，登录页面之后又被转到了某个页面。大致来说就是，浏览器请求某个URL后，服务器通过HTTP响应头信息中的Location标记返回一个新的URL，这样浏览器主会继续请求这个新的URL，完成自动跳转。也正是因为HTTP重定向有请求转移和自动跳转的能力，所以我们就可以用它来实现负载均衡以实现WEB扩展。
折叠DNS负载均衡
我们知道DNS是负责解析域名的，当我们用域名访问站点时，实际上都会经过DNS服务器来获取域名指向的IP，实际上DNS服务器完成了域名到IP的映射，同样这个映射可以是一对多的，也就是DNS可以把对域名的请求按照一定的策略分配到不同的服务器上，这样我们就可以依此来实现负载均衡。貌似和HTTP重定向很像，但是实现的机制却是完全不同的。（在window下可以用nslookup命令查询域名对应的IP地址列表，这个命令会返回离你最近的DNS服务器缓存的记录并不一定是全部）
折叠反向代理负载均衡
我们之前的缓存介绍中，介绍过反向代理服务器，它同样可以作为调度器来实现负载均衡系统。反向代理服务器核心工作是转发HTTP请求，它工作在HTTP层面，也就是TCP七层中的第七层应用层，因此基于反向代理的负载均衡系统也称为七层负载均衡。目前几乎所有主流WEB服务器都支持基于反向代理的负载均衡，因此实现它并不困难。
折叠IP负载均衡
基于IP负载均衡的系统工作在传输层，会对数据包中的IP地址和端口信息进行修改，所以也称为四层负载均衡。它会在数据到达应用层之前，已完成转发，因些这工作都是由系统内核来完成，应用程序对此无能为力，当然性能来说也会很大的提升。
折叠直接路由
不同于IP负载均衡，直接路由负载均衡高度器工作在数据链路层，它通过修改数据包的目标MAC地址，将数据包转发到实际服务器，不同的是，这些处理的结果直接发送给用户，不再经过调度器。这时我们的实际服务器必须直接连接到外网，并且不在以调度服务器为默认网关。
折叠IP隧道
简单的说，就是调度器将收到的数据包封装到一个新的IP数据包中，转交给实现服务器，然后实际服务器可以处理数据包直接响应客户端。

摆渡机：
摆渡机-般是指不连接任何网络的单机，采用一定的安全措施，用于内、外网及不同等级的涉密网络、不同等级的涉密单机之间进行数据交换的专用机。
由于摆渡机主要是针对近年来发现的境外间谍机构利用专门]研制的摆渡木马窃取我国家秘密的现象提出来的一种防范措施,主要防止外来磁个质直接插人涉密内网、涉密单机，感染摆渡木马、病毒造成的失泄密事件。目前国家相关部门还没有制定明确的摆渡机技术标准。