你有没有想过，当你在咖啡厅连上Wi-Fi看视频时，为什么不会突然冒出一堆乱七八糟的数据往你手机里钻？这背后其实有个“门卫”在默默干活——它就是网络防火墙。
防火墙是什么？
别被名字骗了，它不真能防火。网络防火墙更像是一个检查站，坐在你的设备和外网之间，盯着每一个进来的数据包，决定放行还是拦截。它可以是一段软件程序，也可以是独立的硬件设备，甚至集成在路由器里。
它是怎么判断该放谁进来的？
防火墙不是靠猜，而是有明确规则。最常见的工作方式是“包过滤”。每个网络数据都像一封信，上面写着源地址、目标地址、使用的端口和服务类型（比如HTTP是80端口，HTTPS是443）。防火墙就根据预设的规则表来比对这些信息。
举个例子，你在家里用电脑访问某个网站，发出的请求是从你电脑的随机高端口发出去，目标是对方的80端口。防火墙记下这个“外出记录”，等对方回信时，看到是回应你之前发出的请求，就会放行。但如果有个陌生IP突然想从外部连接你电脑的3389端口（远程桌面），而你根本没开这个服务，防火墙就会直接拦下。
状态检测：更聪明的识别方式
早期的防火墙只看单个数据包，容易被伪造信息绕过。现代大多数用的是“状态检测”技术，它会记住连接的状态，形成一个会话表。只有属于合法会话的数据才能通过。
就像小区保安不仅看你是谁，还看你是不是刚从里面出去又回来的住户。如果不是，哪怕你说得再像，也不让进。
应用层防火墙：看得更深
有些高级防火墙还能深入到数据内容本身，比如检查HTTP请求里有没有恶意脚本，或者阻止某些特定网站的访问。这类防火墙通常部署在企业网络出口，用来防病毒、防泄密。
比如公司规定不能上微博，防火墙就能识别出这是微博的流量，即使你用加密连接，也能通过域名或行为特征判断并阻断。
简单规则示例
下面是一个简化版防火墙规则的表示方式：
允许 TCP 源IP: 192.168.1.100 目标IP: any 端口: 80 - 备注: 允许内网主机访问网页
拒绝 TCP 源IP: any 目标IP: 192.168.1.100 端口: 22 - 备注: 禁止外部SSH登录
允许 ESTABLISHED,RELATED any方向 - 备注: 放行已建立的连接返回流量这些规则按顺序匹配，一旦符合就执行动作，后面的就不看了。所以顺序很重要，不然可能规则打架。
家用路由器里的防火墙
其实你家的无线路由器早就内置了基础防火墙。它默认开启NAT（网络地址转换），外网无法直接访问你内网的设备，相当于天然屏障。再加上SPI（Stateful Packet Inspection）功能，能有效挡住大部分扫描和攻击。
除非你特意做了端口映射，否则外面的人根本连不上你家摄像头或NAS，这就是防火墙+ NAT 的功劳。
防火墙不是万能的
它擅长防“硬闯”，但对付不了伪装成正常流量的病毒。比如你主动下载了一个带木马的文件，防火墙通常不会拦，因为它看起来像是你自己要的数据。这时候就得靠杀毒软件和用户警惕性了。
另外，如果规则设置太松，等于门卫打瞌睡；设得太严，又可能把正常服务也挡在外面。平衡安全和可用性，是个持续调整的过程。