Was ist eine Firewall?

Firewall-Arten

Auf einem Anwender-Computer installierte Firewall-Software
Unterbindet ungewollte Zugriffe auf Netzwerkdienste des Computers
Kann Anwendungen davon abzuhalten, ohne das Einverständnis des Anwenders mit der Außenwelt zu kommunizieren.

liegt zwischen dem LAN (dem lokalen Netzwerk) und dem WAN (das Internet)
beschränkt die Verbindung zwischen zwei Netzen
unterbindet unerlaubte Zugriffe von außen auf das interne System
Im Unterschied zur Personal Firewall besteht sie nicht zwangsläufig aus nur einem einzigen Computer(Hardware-Firewall), denn sie kann auch aus einem Verbund mehrerer Computer bestehen
in der Praxis gibt es keine Firewalls, die ausschließlich auf Hardware basieren
sie kann zwar auf einem eigenen Betriebssystem laufen und auf unterschiedliche Netzwerkebenen zugreifen, jedoch wird sie dadurch nicht Bestandteil der Hardware
enthält immer als wesentlichen Bestandteil eine Software.
Der Begriff Hardware-Firewall wird als Synonym für externe Firewalls verwendet (es handelt sich um eine separate Hardware, auf der die Firewall-Software läuft)
es gibt Hardware, die für die Verwendung der Firewall-Software optimiert wurde

Filterung von Datenpaketen anhand der Netzwerkadressen zu sperren oder durchzulassen
Filterung des Ports und der IP-Adresse des Quell- und Zielsystems

erfasst Beziehungen mit der Technik der Stateful Inspection
stellt die Firewall den Rückkanal (Ziel- zu Quellsystem) in direkter Beziehung zur zuvor etablierten Verbindung
nur die beteiligten Kommunikationspartner auf die Verbindung zugreifen kann
OSI-Schicht 3 (IP-Adresse), 4 (Port) und ggf. 7 (Nutzdaten)

beachten zusätzlich den Inhalt der Netzwerkpakete: Quelle, Ziel, Dienst und die Nutzdaten
baut selbst eine eigene Verbindung zum Zielsystem auf
kann die Pakete zusammenhängend analysieren und Einfluss auf die Verbindung nehmen
reicht die Netzwerkanfrage des Quellsystems nicht einfach an das Zielsystem weiter
kommuniziert stellvertretend für den anfragenden Client mit dem Zielsystem
greift in den Datenverkehr ein und terminiert die Verbindungen auf beiden Seiten (zwei eigenständige Verbindungen), anstatt die Netzwerkpakete durch zu reichen
für jedes höhere Kommunikationsprotokoll (HTTP, FTP, DNS, SMTP, POP3, MS-RPC usw.) gibt es einen eigenen Filter (dedicated Proxys)

Einer Hybrid-Firewall hat gegenüber einem alleinigen Application Level Gateway eine höhere Performance.

Sicherheitsverlust
Bei den meisten Protokollen hat der Proxy keinerlei Kontrolle über die Verbindung, nachdem er den Paketfilter geöffnet hat.
Deshalb muss ein Angreifer den Proxy nur eine Zeit lang in Sicherheit wiegen, um anschliessend durch den (für ihn geöffneten) Paketfilter freies Spiel zu

sicherheitstechnisch kontrollierten Zugriffsmöglichkeiten auf die daran angeschlossenen Server.
Die in der DMZ aufgestellten Systeme werden durch eine oder mehrere Firewalls gegen andere Netze (z. B. Internet, LAN) abgeschirmt.
der Zugriff auf öffentlich erreichbare Dienste (Bastion Hosts mit z. B. E-Mail, WWW o. ä.) gestattet und gleichzeitig das interne Netz (LAN) vor unberechtigten Zugriffen von außen geschützt werden.