📄 一句话概括
防火墙的主流方式是包过滤：基于 IP 头与 TCP 头的字段（地址、端口、控制位）判断放行或阻止——与路由器的包过滤同源，只是更专注安全。
📝 本节和前面几节的关系
服务器安顿好了，第一道关卡是防火墙；先看它最主流的工作方式。
一、看什么
只看头部，不看内容： IP 头（源/目的地址）＋ TCP 头（端口号、控制位）。
二、与 3.4.5 的关系
路由器的包过滤（3.4.5）与本节是同一套机制； 防火墙＝把【拦截判断】做成主业的专业设备。
三、动手 Demo：包过滤看哪些字段
防火墙的主流方式是包过滤——只看头部，不看内容：
for a, b in [('IP 头：源/目的地址','谁和谁之间的通信'),
('TCP 头：端口号','用的什么应用程序'),
('TCP 头：控制位','是发起连接还是回应')]:
print('%-16s %s' % (a, b))
实跑输出：
--------------------------------------------------------------------
包过滤看哪些字段
--------------------------------------------------------------------
防火墙的主流方式是**包过滤**——只看头部，不看内容：
看哪里 能判断什么
------------------------------------------
IP 头：源/目的地址 谁和谁之间的通信
TCP 头：端口号 用的什么应用程序
TCP 头：控制位 是发起连接还是回应
------------------------------------------
和路由器的包过滤功能（3.4.5）是同一套思路，
区别只在于【拦截之后不是丢掉，而是有条件放行】。
三个字段记住就够了——5.2 后面几节， 全是围绕这三个字段的不同用法。
30 秒实验
- 对着第二章的 TCP 头结构把三个字段找出来。
- 想想为什么包过滤不用看包的内容。
- 说出包过滤与 3.4.5 路由器过滤的异同。
常见误区
- 以为防火墙能看懂内容——包过滤只看头部。
- 以为它是全新机制——与路由器过滤同源。
自测三问（点开对答案）
1. 包过滤看哪三类字段？ —— IP 地址、端口号、控制位。 2. 它看不看包的内容？ —— 不看，只看头部。 3. 与路由器包过滤的关系？ —— 同一套机制，防火墙专精此道。- ☐ 下一节（5.2.2 如何设置包过滤的规则）
相关笔记
- 路由器的包过滤功能 — 同一套机制的前身
- 如何设置包过滤的规则 — 规则怎么写
- 🔌 网络是怎样连接的 · 索引