Eu estava lendo isso:
No contexto de configuração de um servidor (não voltado ao público), a essência é que você tenha firewalls PF e firewalls de aplicativos. Os firewalls de aplicativos são mais seguros, pois veem mais pacotes, etc., mas são, conseqüentemente, mais lentos.
Se um firewall de aplicativo é mais seguro, então qual é o sentido de ter também um firewall PF?
Responder1
Firewalls de filtragem de pacotes e firewalls de aplicativos são ferramentas diferentes, não são opções de um ou de outro, nem podem substituir completamente o outro.
Os firewalls de filtragem de pacotes são mais rápidos e permitem mais rendimento do que os firewalls no nível do aplicativo. E por mais rápido, quero dizerconsideravelmentemais rápido. Como os firewalls PF precisam lidar com IPs e portas, eles operam com um conjunto muito menor de variáveis, o que lhes permite decidir rapidamente se a conexão é permitida ou não.
Mas como os firewalls PF não conseguem detectar abusos de protocolo, faz sentido proteger o aplicativo com um firewall mais “experiente”, que possa detectar todos os tipos de anomalias, mas faça isso em um ritmo muito mais lento. Neste ponto, entretanto, a taxa mais lenta não deve ser um problema, já que todo o ruído foi filtrado no momento em que atinge o firewall do aplicativo.
Outro problema que impede você de usar um firewall em nível de aplicativo em vez de um filtro de pacotes (além da velocidade) é que provavelmente nenhum firewall da camada 7 tem conhecimento detodosprotocolos. Claro, é fácil encontrar um firewall de aplicativo para http, mas pode não ser tão fácil encontrar um firewall que suporte terminação SSL de um servidor MQ.