代理与防火墙：有什么区别？

在此需要说明的是：我们是 Geonode，主要销售转发代理。**我们销售的这种转发代理并非安全产品，您不应将其作为网络防御手段购买。**它不会检查流量中的威胁，不会在您的网络上强制执行策略，也不会提供任何保护。 它只是改变了您的请求看似来自的位置，这对于数据收集、地理位置测试以及绕过网络过滤器很有用——但这与安全完全是两码事。如果您是因为正在决定在网络边界部署什么设备而来到这里，答案是防火墙，本文应能帮助您理解为什么这两者经常被混淆。

一句话的区别

防火墙是一种过滤器。 当流量到达时，防火墙会参考一组规则，然后决定放行或丢弃。它就像一道闸门。

**代理是一个中间人。**你向代理提出请求，代理获取所需内容并将其交还给你。它是一个中间人。

二者常被混淆的原因在于：中间人恰好处于充当“门”的绝佳位置。既然所有内容都必须经过你，你自然可以对其进行检查。 因此，尽管它们在功能上依然有所区别，但在产品层面这两类概念已趋于融合。

在融合之后依然存在的区别在于：防火墙的目的是做出决策，而代理的目的是代表你采取行动。兼具这两种功能的产品实际上是在执行两项任务，而本文的目的正是帮助你明确自己究竟需要哪一种。

根据NIST的定义，防火墙的作用是什么

NIST特别出版物800-41修订版1给出了值得参考的定义：

防火墙是控制采用不同安全策略的网络或主机之间网络流量流动的设备或程序。

其中有两点至关重要。“控制流量”——其作用是允许或拒绝，而非转发。 而**“不同的安全态势”**——防火墙位于不同信任等级区域的边界处。例如，在您的网络与互联网之间、DMZ 与内部系统之间，以及网络分段之间。

NIST 还提出了一项观察结果，这在很大程度上解释了过去二十年安全产品的发展趋势：

威胁已逐渐从网络流量的底层向应用层转移，这降低了防火墙在阻止网络通信所携带的威胁方面的整体有效性。

这种从数据包向应用程序的转移，正是简单防火墙变得力不从心、并被添加了代理式功能的原因。

三代防火墙技术

NIST 的分类法是最能清晰展现防火墙如何在技术栈中逐步发展的途径。

数据包过滤。 这是最古老、最简单的类型。NIST 将早期的数据包过滤防火墙描述为“本质上是为主机地址和通信会话提供访问控制功能的路由设备”，并指出它们“也被称为无状态检测防火墙”，其特点是“不会跟踪每个流量流的状态”。 关键点在于：“数据包过滤器不关注数据包的内容。”

这种技术速度快、成本低，且仅关注地址和端口。NIST指出，它仍然是“大多数现代防火墙的核心”，但“如今市面上几乎没有仅支持无状态数据包过滤的防火墙了”。

状态检测。 这一改进使防火墙真正具备了实用性。NIST指出：它“通过追踪连接状态并阻断偏离预期状态的数据包，改进了数据包过滤器的功能”，这是“通过增强对传输层的感知能力”实现的。 它维护着一个状态表，通常包含“源IP地址、目标IP地址、端口号以及连接状态信息”。

其实际效果是：对于您发起的连接，返回流量会被自动放行，而非请求的流量则会被阻断。这正是大多数人提到“防火墙”时所指的行为。

应用防火墙。 这类防火墙会检查内容。NIST给出的例子很具体：应用防火墙“可以判断一封电子邮件是否包含组织不允许的附件类型”，或者检测“是否有人通过80端口（通常用于HTTP）使用即时通讯（IM）”。 它可以阻止特定的操作（例如 FTP 的 put 命令），过滤包含特定动态内容的网页，并识别“意外的命令序列”。

那个“通过80端口进行即时通讯”的例子，正是支持“向上层分析”这一论点的全部依据。数据包过滤器看到80端口时，会将其视为“Web流量”。只有读取了内容才能知道实际情况并非如此。

代理的作用

代理会终止您的连接，并建立自己的连接。

您连接到代理并请求一个资源。代理连接到目标服务器，获取该资源，然后将其返回给您。在您原本预期只有一条连接的地方，实际上存在两条连接，而这种结构造就了代理所具备的所有特性。

美国国家标准与技术研究院（NIST）在应用代理网关的背景下对这一机制进行了精确定义： 每次连接“都会建立两条独立的连接——一条在客户端与代理服务器之间，另一条在代理服务器与真实目标之间”，而代理“旨在对这两台主机保持透明——从它们的角度来看，存在一条直接连接”。 其结果是：“由于外部主机仅与代理代理进行通信，因此内部 IP 地址对外部世界不可见。”

需要区分的两种类型：

转发代理代表客户端行事。您的请求通过它们发出，因此目标端看到的是代理的地址，而不是您的地址。 这就是我们提供的产品，涵盖网页抓取、地理位置测试、企业出站过滤和缓存。NIST指出：“目前使用的大多数代理服务器都是出站代理服务器，其中最常见的是HTTP代理。”

反向代理则代表服务器行事。 客户端请求到达反向代理后，会被转发至后端服务器，这就是负载均衡、TLS 终止和内容分发网络的工作原理。从客户端的角度来看，反向代理就是该网站。

NIST 还针对入站代理情况提出了一点坦率的说明，而这一点在多数解释中都被忽略了： “近年来，入站代理服务器的使用量急剧下降”，因为“入站代理服务器必须模拟其所保护的真实服务器的功能，而当需要保护功能繁多的服务器时，这几乎是不可能的”，而且此类代理提供的日志记录和访问控制功能“如今通常已内置于真实服务器中”。

重叠之处：应用代理网关

这种重叠代表了一个真实的产品类别，NIST 特别注意将其与名称相似但容易混淆的概念区分开来：

应用代理网关与应用防火墙截然不同。

应用代理网关是“高级防火墙的一项功能，它将底层访问控制与高层功能相结合”，其中包含“一个代理代理，该代理在希望相互通信的两台主机之间充当中介，且绝不允许它们之间建立直接连接”。

NIST列出的优势包括： 阻止主机之间建立直接连接、检查内容以识别策略违规，以及——对于某些实现而言——“能够解密数据包（例如受 SSL 保护的有效载荷），对其进行检查，并在将其发送至目标主机之前重新加密”，而无法解密的数据则会被直接放行。

其缺点同样具体。应用程序代理网关“在支持新的网络应用程序和协议方面往往存在局限”，因为“每种需要通过防火墙传输的网络流量都需要一个专门针对该应用程序的代理代理”。 供应商虽提供通用代理来弥补这一缺口，但美国国家标准与技术研究院（NIST）指出，这些通用代理“往往会抵消应用代理网关架构的许多优势，因为它们只是允许流量通过防火墙进行‘隧道传输’。”

这就是整个类别中客观存在的权衡：代理机制虽能提供深度检测，但代价是必须理解所承载的每种协议；而针对未知协议的“后门”机制则会抵消这一优势。

NIST 还区分了专用代理服务器，这类服务器“保留了对流量的代理控制”，但“通常具有非常有限的防火墙功能”，且“通常用于减轻防火墙的工作负载，并执行在防火墙本身可能难以实现的专门过滤和日志记录”。

方向的重要性超乎人们想象

这是一个常令人困惑的问题，值得明确说明。

防火墙通常同时管控两个方向的流量，但人们普遍认为其作用是保护入站流量。 这种思维模式侧重于阻止外部入侵——尽管在实际应用中，出站过滤往往更为重要，因为它能限制已遭入侵的内部主机能够访问的目标。

**正向代理仅处理出站流量。**它们防止目标服务器察觉你的存在，并允许组织控制和记录外发流量。它们无法防御任何传入的流量。

**正向代理仅处理出站流量。**它们通过作为前端服务器来保护源服务器，并且是负载均衡、缓存和 TLS 终止的功能所在。

Web 应用防火墙位于 Web 服务器前方，处理入站流量。 美国国家标准与技术研究院（NIST）将其描述为“位于 Web 服务器前端的专用应用程序防火墙”，添加该措施是因为 HTTP“已被攻击者以多种方式利用”。由于它们位于 Web 服务器前端而非网络边界，NIST 指出“它们通常被认为与传统防火墙截然不同”。

因此：如果不明确方向就询问“我应该使用代理还是防火墙”，这个提问是不完整的。出站代理和入站防火墙并不存在竞争关系；它们甚至面向的方向都不一样。

并列对比

能解答大多数实际问题的行是最后一行。防火墙的存在是为了维护安全边界。正向代理的存在是为了改变您访问资源的方式和来源。这两者是相辅相成的，而非相互替代的。

您需要其中一种、另一种，还是两者都需要？

每个人都需要防火墙。 每个操作系统都自带防火墙，每台路由器都配备防火墙，每个云服务提供商都会为您提供安全组。这并非可选项，而且在小规模环境下，这其实并非购买决策——而是一个配置决策。 如果你问的是“我是否应该拥有防火墙”，答案是：你已经拥有了，它只需要配置。

在以下情况下，你需要正向代理： 你在大规模收集数据且需要将请求分发到不同地址；你需要访问特定区域的内容；你需要访问被网络过滤的内容；或者你运营一个组织，需要控制和记录外发 Web 访问。前三个情况属于我们的业务范畴。 第四种情况通常是现有防火墙或安全 Web 网关的内置功能，而非需要单独购买的设备。

如果您正在运行任何规模的公共 Web 服务，则需要反向代理。 负载均衡、TLS 终止、缓存和速率限制等功能均在此实现，这属于标准架构而非附加组件。

**如果您运营的公共 Web 应用程序处理任何敏感信息，则需要 Web 应用程序防火墙。**它与网络防火墙是不同的产品，承担着不同的职责，拥有其中一种并不意味着您也拥有另一种。

唯一值得指出是错误的组合是：**为安全目的购买正向代理服务。**它根本无法提供任何安全保障。我们及其他厂商销售的住宅代理和数据中心代理仅会更改请求的来源地址，它们不会检查流量、阻断威胁、执行策略或保护终端设备。如果供应商暗示其具备上述功能，那只是营销噱头。

大家还问

代理就是防火墙吗？

不是。防火墙控制在安全级别不同的网络之间允许哪些流量通过。代理则是代表他人发起请求，即终止一个连接并建立另一个连接。 某些防火墙产品包含代理功能——美国国家标准与技术研究院（NIST）将此类产品称为“应用代理网关”——但两者的功能截然不同。

代理能取代防火墙吗？

不能。转发代理仅处理出站请求，无法对入站流量提供保护，也无法在您的网络上执行策略或进行威胁检测。即使代理会检查内容，它也只能看到通过其路由的流量，而防火墙则直接管控网络边界本身。

代理和防火墙哪个更安全？

这两者在此维度上无法相提并论。防火墙是一种安全控制措施；而转发代理通常并非如此。防火墙中的应用代理网关确实能提供强大的检测能力，因为它们能阻止直接连接并检查内容，但这属于防火墙的功能，而非代理的一般特性。

它们分别在哪个层级运行？

数据包过滤型防火墙在网络层对地址和端口进行处理。状态检测通过连接状态表增加了对传输层的感知能力。应用防火墙和代理则在应用层运行，可以在该层读取协议内容。 美国国家标准与技术研究院（NIST）指出，随着时间推移，安全威胁已逐渐向更高层迁移，因此更高层的方法变得必不可少。

正向代理和反向代理有什么区别？

正向代理代表客户端行事，因此目标服务器看到的是代理而非您。 反向代理则代表服务器行事，因此客户端连接的是它，而非源服务器。方向相反、受益对象相反，但其底层机制相同——即终止一个连接并建立另一个连接。

我需要同时部署代理和防火墙吗？

无论如何，您都需要防火墙——您已经拥有好几个了。 你仅在特定情况下才需要正向代理：大规模数据收集、特定区域的测试，或对出站 Web 访问的组织管控。如果你运行公共 Web 服务，则需要反向代理。不同的问题有不同的答案。

代理能否向所有人隐藏我的 IP 地址？

仅对目标端隐藏。您的 ISP 仍能看到您连接到代理，代理运营商能看到连接的两端，而且无论您登录什么，都会暴露您的身份。NIST 的定义——即外部主机仅与代理代理进行通信，因此内部地址对外部世界不可见——是准确的，且比“匿名”这一概念更为狭义。

什么是 Web 应用防火墙？

这是一种专门的应用防火墙，直接部署在 Web 服务器前方，用于检测针对 HTTP 的攻击。NIST 将其与传统防火墙区分开来，正是因为它保护的是服务器而非网络边界。它与网络防火墙是两种不同的产品，拥有其中一种并不能替代另一种。

总结

对此的清晰理解是：防火墙负责决策，代理则代表你采取行动。其他一切都源于这两个动词。

这种混淆并非源于粗心，而是因为这两个类别发生了融合。一个终止每条连接的中介在检查连接方面具有得天独厚的优势，因此防火墙逐渐具备了代理功能，而美国国家标准与技术研究院（NIST）的“应用代理网关”正是这种混合体——它在检查深度上具有真正的优势，但同时也需要为每个协议配备专门的代理程序，这带来了实际的成本。

尚未融合的是其目的。防火墙的存在是为了在不同信任等级的区域之间建立边界；而转发代理的存在则是为了改变请求的来源地址，并允许某人控制外发数据。如果你正在选择在边界部署什么，那是一个防火墙问题。 如果你在选择如何连接外部世界，那就是代理的问题。只有当你退得足够远，以至于看不清行进方向时，这两者才看起来像是互斥的选项。