應用層網關代理的缺點

應用層網關代理的缺點有四點：

• 處理效率慢

  斷掉所有的連接，由防火墻重新建立連接，理論上可以使應用代理防火墻具有極高的安全性。但是實際應用中并不可行，因為對于內網的每個Web訪問請求，應用代理都需要開一個單獨的代理進程，它要保護內網的Web服務器、數據庫服務器、文件服務器、郵件服務器，及業務程序等，就需要建立一個個的服務代理，以處理客戶端的訪問請求。這樣，應用代理的處理延遲會很大，內網用戶的正常Web訪問不能及時得到響應。

• 難于配置

  由于每個應用都要求單獨的代理進程，這就要求網管能理解每項應用協議的弱點，并能合理的配置安全策略，由于配置繁瑣，難于理解，容易出現配置失誤，最終影響內網的安全防范能力。

• 局限性大

  應用層防火墻對每個協議（如HTTP、MTP等）都需要單獨的代理程序，因此它對新的網絡程序或網絡協議的支持很有局限性。雖然大多數防火墻廠商為了應對未定義的網絡協議或應用程序都提供了一般的代理程序，但在這種情況下，它往往會完全允許流量通過防火墻，而忽略很多應用層防火墻應做的操作。相比之下，狀態包檢測防火墻和包過濾防火墻一樣，只會對網絡性能造成很小的影響，因而可以實現對應用程序的透明和獨立。隨著客戶端或代理數目的增加，可擴充性也成為了的問題。應用層防火墻通常需要網絡中的客戶端安裝專門的軟件或更改某些配置，以便能夠連接到應用代理。這在一個大的網絡里會造成非常大的影響。為了減輕防火墻的負載壓力，在對那些及時性要求不高的服務（如e-mail服務以及大部分的網絡流量）進行安全處理的時候，可能會需要對部署專門的代理服務器，從而也增加了全部費用。

• 資源占用多

  如果所有進站和出站的網絡流量都需要在應用層上進行檢測，那么數據在檢測前就必須首先通過OSI的七層，而包過濾型和全狀態包檢測型防火墻在只網絡層對流量進行檢測。由于防火墻對數據包進行讀取和解析必然消耗CPU周期，尤其是解析過程特別耗費CPU資源，所以很有可能形成網絡性能的障礙。這也意味著應用層防火墻更容易受到分布式拒絕服務攻擊，因此不太適合高帶寬或實時應用程序。而它也很可能會成為操作系統里的安全漏洞。

應用層網關代理的優點

應用代理網關防火墻徹底隔斷內網與外網的直接通信，內網用戶對外網的訪問變成防火墻對外網的訪問，然后再由防火墻轉發給內網用戶。其優勢是可以檢查應用層、傳輸層和網絡層的協議特征，對數據包的檢測能力比較強。應用層防火墻可以檢測數據包的有效荷載根據這些實際內容作出相應決定，還能提供更好的內容過濾能力。它們還可以審查完整的網絡數據包，而不僅僅是網絡地址和端口，這就使得它們有更強大的日志記錄功能，例如可以記錄某個特定程序發出的命令這樣的日志事件，這對于處理突發安全事件和實施安全策略提供了很有價值的信息。

什么是應用層網關

ALG-是英語Application Layer Gateway，或application-level gateway，簡稱為ALG，中文意思：應用層網關是一種NAT穿透技術。就應用層面來說，它允許修改匣道上的NAT traversal的過濾規則，完成特定網絡傳輸協議上的地址和端口的轉換。舉例來說，像FTP、BitTorrent、SIP、RTSP、IPsec、L2TP、H.323，這些都可以使用ALG來針對應用程序在地址及端口轉換上的需求。在RFC 2663中定義了這個功能。應用層網關 (ALG) 是一種安全軟件或設備，代表網絡上的應用服務器運行，保護服務器和應用免受可能惡意的流量的影響。是用于管理SIP（會話發起協議）和FTP（文件傳輸協議）等特殊應用協議的軟件組件。ALG 充當 Internet 和應用服務器之間的中介，可以處理相應的協議，并充當端點，控制對應用服務器的訪問權限。為此，攔截和分析相應的網絡流量，分配資源并定義允許通過網關訪問的動態規則。

回答所涉及的環境：聯想天逸510S、Windows 10。