防火墙：状态过滤和 macOS 的选项

防火墙的工作听起来很简单：让良好的流量通过，阻止不良的流量通过。有趣的部分是它如何决定以及在什么级别上决定。本课程介绍了状态过滤的概念，然后介绍了 macOS 提供的特定的、单独的工具，每个工具都在不同的层上工作。

状态过滤：记住对话

早期的“无状态”防火墙根据一组固定的规则单独检查每个数据包。相反，状态防火墙会跟踪开放连接，正如 Cloudflare 的网络术语表所描述的那样，“保存有关开放连接的信息并使用这些信息来分析传入和传出流量，而不是从头开始检查每个数据包”。实际上，这意味着状态防火墙可以有效地保持端口关闭，直到您发起的连接请求响应，然后让特定的回复返回，而不向其他任何东西打开端口。目前使用的几乎所有消费者和操作系统防火墙（包括 macOS 的防火墙）都是有状态的。

入站与出站过滤

入站过滤控制从外部未经邀请到达计算机的连接：某人或某物试图访问其上运行的服务。出口（出站）过滤控制机器本身或机器上的应用程序尝试向外建立的连接。两者的重要性不同。入站过滤首先阻止机器被访问和探测。出现问题后，出口过滤很重要：进入计算机的有害软件仍然需要打电话回家、接收指令或发送数据，而其中每一个都需要出站连接。一台具有强大入站防火墙且根本没有出口过滤的计算机仍然可能泄漏其上的所有内容，一次一个出站连接。

macOS 实际为您提供了什么

对该表的实际解读是，macOS 内置的受支持的防火墙（应用程序防火墙）很好地覆盖了入站连接，但没有说明什么离开了机器。 pf 从技术上讲可以做到这两点，但它是一个基于脚本的低级工具，旨在帮助管理员轻松编辑配置文件并推理规则顺序，而不是本课程将介绍的配置，因为手写规则集中的错误可能会默默地导致无法打开或完全锁定网络访问，并且 Apple 不会像应用程序防火墙那样将其视为一流的受支持的最终用户设置。发布现成的 pf 规则集或引入第三方 IP 阻止列表的脚本的社区强化指南比本课程建议的更进一步：这些列表需要由某人信任并不断更新，并且损坏的更新可能会中断连接，并且没有明确的错误消息。

这一差距是一个仅限入站的内置防火墙，没有简单、受支持的方式来查看或控制每个应用程序的出站连接，而这正是苹果网络扩展框架的存在，旨在让第三方开发人员在安装时获得用户的明确许可来填补这一空白。