深入剖析，防火墙到底工作在网络模型的哪一层？

2026-08-19 19:20:11 156阅读

防火墙并非单一工作在网络模型的某一固定层，而是根据其类型与功能跨越多层运行，传统包过滤防火墙主要工作在OSI模型的第三层（网络层）和第四层（传输层），通过检查IP地址与端口号来控制访问，而现代下一代防火墙（NGFW）不仅能处理底层流量，更能深入第七层（应用层），利用深度包检测技术精准识别应用协议与数据内容，防火墙是一个融合了网络层、传输层及应用层防护的多层综合防御系统。

在网络安全领域,防火墙是最基础也是最重要的防线之一，无论是保护企业内网，还是守护个人电脑，防火墙都扮演着“保安”的角色，当我们深入研究防火墙的底层原理时，经常会遇到一个经典的问题：防火墙到底工作在哪一层？

答案并不是简单的一层,根据防火墙的类型、技术演进以及应用场景的不同，防火墙可以工作在OSI七层模型（或TCP/IP四层模型）的多个不同层级，为了彻底弄懂这个问题，我们需要分层级来拆解。

网络层与传输层：传统包过滤防火墙

最早期的防火墙技术被称为“包过滤防火墙”，这类防火墙主要工作在OSI模型的网络层（第3层）和传输层（第4层）。

网络层（第3层）： 防火墙会检查数据包的IP报头，它可以基于源IP地址和目的IP地址来决定是放行还是丢弃该数据包，如果发现数据包来自一个已知的恶意IP段，防火墙就会直接将其拦截。
传输层（第4层）： 防火墙会进一步检查TCP或UDP报头，它能够看到源端口和目的端口（例如HTTP的80端口，HTTPS的443端口），以及TCP的连接状态标志位（如SYN、ACK等），通过端口号，防火墙可以允许外部访问Web服务，同时拒绝外部访问内部的数据库服务。

工作在这两层的防火墙优点是处理速度极快,对系统资源消耗小；缺点是它只看“信封”（IP和端口），不看“信件内容”，因此无法防范应用层的攻击（如SQL注入）。

会话层：状态检测防火墙

随着技术发展,单纯的包过滤已经无法应对复杂的网络攻击，状态检测防火墙”应运而生，虽然它依然主要操作在网络层和传输层，但其核心机制却涉及到了OSI模型的会话层（第5层）。

状态检测防火墙不仅在规则表中查找匹配,还会在内存中维护一个“会话状态表”，它会跟踪每一个网络连接的状态（如：新建连接、已建立连接、正在关闭等），只有当一个数据包属于一个已经建立的合法会话时，它才会被放行，这种机制大大提高了安全性，有效防范了伪造的伪装数据包。

应用层：应用网关与下一代防火墙（NGFW）

为了应对日益复杂的Web攻击,现代防火墙开始向应用层延伸，应用层防火墙（如WAF，Web应用防火墙）和下一代防火墙（NGFW）主要工作在OSI模型的应用层（第7层）。

应用层（第7层）： 这类防火墙不仅检查IP和端口，还会将数据包完全解封装，深入检查应用层的有效载荷，它能理解具体的协议内容（如HTTP、FTP、DNS等）。
工作原理： 它可以检查HTTP请求的URL、携带的参数、Cookie内容，甚至能识别出隐藏在正常流量中的恶意代码（如跨站脚本攻击XSS、SQL注入等），NGFW还可以基于具体的应用程序（如允许使用微信，但禁止使用迅雷下载）进行控制，而不仅仅是基于端口。

工作在应用层的防火墙安全性最高,能够深度识别和拦截复杂攻击；但由于需要拆解和重组数据包，其处理速度相对较慢，对硬件性能要求极高。