§08.2⭐防火墙类型与实现技术

传输层知道端口-TCP-UDP

网络层知道ip

因此，网络层知道IP地址，传输层知道端口号，是符合计算机网络协议栈中的基本概念的。

Q：包不是在网络层传输的吗，包过滤防火墙怎么能知道端口

A：你提出的问题非常关键，涉及到网络模型中不同层之间的关系。虽然包确实是在网络层传输的，但当我们谈论包过滤时，它通常包括对传输层信息的检查。

让我们分层来看：

当我们提到包过滤时，虽然过滤是在网络层进行的，许多防火墙和路由器同时可以查看数据包中的更高层（如传输层）信息。这是因为在IP包的负载部分，实际上包含了传输层报文（如TCP或UDP段），其中有端口号信息。包过滤设备会深入解析IP包的负载部分，提取出传输层的端口号信息来进行过滤决策。

因此，尽管端口号属于传输层信息，包过滤设备依然可以通过检查数据包中的传输层头部（比如TCP或UDP头部）来基于端口号进行过滤。这是一种多层解析的技术。

包过滤防火墙**主要工作在网络层（IP层）**但也能检测传输层的报文。

25端口是用于SMTP（Simple Mail Transfer Protocol，简单邮件传输协议）的标准端口。SMTP 是用于在邮件服务器之间发送电子邮件的协议，特别是用来发送出站邮件。

访问控制列表（ACL，Access Control List）中，定义匹配条件的运算符

**gt**（greater than，大于）：
用于匹配大于某个端口号的流量。例如，gt 1024 表示匹配所有端口号大于1024的流量（即1025及以上的端口）。
**eq**（equal，等于）：用于匹配等于某个特定端口号的流量。例如，eq 80 表示只匹配端口号为80的流量（通常是HTTP流量）。
**lt**：小于（less than），用于匹配小于指定端口号的流量。
**neq**：不等于（not equal），用于匹配不等于某个端口号的流量。
**range**：用于指定一个端口号范围，如 range 1000 2000 表示匹配端口号在1000到2000之间的流量。