网络防火墙是什么？

也叫数据包过滤型防火墙，可通过预先定义的访问和控制策略对流经防火墙的数据包进行监控，只允许满足策略要求的数据包通过。此类防火墙还可进一步细分为状态感知型防火墙和无状态感知防火墙。

运作在 OSI 七层模型的“应用层”上，可以根据规则监控并拦截特定应用程序传出或传入的所有数据包。近年来，以这类防火墙为基础还衍生出了所谓的“下一代防火墙”（NGFW），这种防火墙进一步增强并扩展了对应用栈的检查能力，同时还可与入侵预防系统（IPS）、用户身份、Web 应用防火墙（WAF）等系统集成，提供更丰富的监控和防护功能。

代理（Proxy）服务器通常也可以看作一种网络防火墙，此类服务器可以回应所收到的数据包（例如连接请求）进而实现防火墙功能，同时还会屏蔽或丢弃其他不符合要求的数据包。代理服务器通常可以在一个网络（如互联网）和另一个网络（如企业局域网）之间充当数据包的“转发器”，通过转发往来数据包将两个网络连接在一起。

本解决方案可用于自动部署一系列 Amazon WAF（Web 应用程序防火墙） 规则，以过滤常见的基于 Web 的攻击。用户可以从预先配置的保护性功能中进行选择，这些功能用于定义 Amazon WAF Web 访问控制列表中包含的规则。部署完成后，Amazon WAF 可通过检查 Web 请求来保护 Application Load Balancers。您可以使用 Amazon WAF 创建自定义的、应用程序特定的规则，以阻止各种攻击模式，确保应用程序可用性、资源安全性，并防止过度消耗资源。

通过此解决方案您可以快速在亚马逊云科技云上构建高可用架构的 Keycloak 集群，用以实现标准化的身份及访问控制系统。Keycloak 是一款开源的身份及访问控制软件，提供单点登录（SSO）功能，支持 OpenID Connect、OAuth 2.0、SAML 2.0 标准协议。Keycloak 提供可自定义的用户界面，用于登录，注册和帐户管理等。您可将其集成到现有的 LDAP 和 Azure Active Directory 服务器中，还可以将身份验证委派给第三方身份提供商。

此解决方案为客户提供了一种灵活的、低成本的方式帮助其将亚马逊云平台产生的告警信息并推送到第三方平台（如微信）。您可以基于具体的用户场景自定义告警的触发条件。

通过单账户基于 Amazon Transit Gateway 的多 Virtual Private Cloud（VPC）共享服务式架构组网方案，企业客户可以解决单账号内多个 VPC 复杂组网的挑战。企业客户由于安全管控需求，会将多个业务系统部署到不同的 VPC 并要求相互隔离。此外还需要考虑多个业务系统所在 VPC 需要分别连接到多个门店、IDC 的组网需求。