การกรองแพ็กเก็ต (Packet Filtering) คือการควบคุมการเข้าถึงเครือข่ายโดยการตรวจสอบแพ็กเก็ตเข้าและออก และปล่อยให้เคลื่อนที่หรือหยุดพวกเขาขึ้นอยู่กับที่อยู่ IP ของต้นทางและปลายทาง การกรองแพ็กเก็ตเป็นเทคนิคหนึ่งสำหรับการนำไฟร์วอลล์ความปลอดภัยไปใช้
การกรองแพ็กเก็ตเป็นทั้งเครื่องมือและวิธีการที่เป็นโครงสร้างพื้นฐานพื้นฐานของความปลอดภัยเครือข่าย เป็นเครื่องมือที่ช่วยให้ทำหน้าที่สำเร็จ เป็นเทคนิคเพราะเป็นวิธีการทำภารกิจ
ในกรอบเครือข่าย TCP/IP ตัวกรองแพ็กเก็ตจะเฝ้าดูทุก IP Datagram ถอดรหัสข้อมูล Header ของトラフィคเข้าและออก และดังนั้นบล็อก Datagram จากการเปลี่ยนแปลงหรืออนุญาตให้ Datagram ผ่านขึ้นอยู่กับเนื้อหาของที่อยู่ต้นทาง ที่อยู่ปลายทาง พอร์ตต้นทาง พอร์ตปลายทาง และสถานะการเชื่อมต่อ
สิ่งนี้ขึ้นอยู่กับองค์ประกอบบางอย่างที่นำเสนอให้เครื่องมือกรองแพ็กเก็ต Router ชั้นนำ เช่น Cisco, Bay และ Lucent สามารถกำหนดค่าให้กรอง IP Datagrams ได้ ระบบปฏิบัติการบางอย่างสามารถตั้งค่าสำหรับการกรองแพ็กเก็ตได้
ในเครือข่ายระบบ แพ็กเก็ตเป็นหน่วยข้อมูลที่จัดรูปแบบแล้ว ที่ถูกขนส่งบนเครือข่าย Packet-switched เครือข่ายเหล่านี้สามารถทนทานต่อข้อผิดพลาดได้ เพราะพวกเขาแยกข้อความออกเป็นส่วนเล็กๆ หรือแพ็กเก็ต และส่งพวกเขาอิสระข้ามเครือข่าย
เมื่อแพ็กเก็ตเคลื่อนผ่านไฟร์วอลล์และถึงจุดหมาย พวกเขาจะถูกจัดเรียงใหม่เพื่อแสดงข้อมูลอย่างถูกต้อง หากทำได้ถูกต้อง Packet Switching จะเพิ่มประสิทธิภาพความจุช่องทางเครือข่าย ลดเวลาเลตтенซีการส่ง และเพิ่มประสิทธิภาพการสื่อสาร
ในไฟร์วอลล์การกรองแพ็กเก็ต ไฟร์วอลล์ตรวจสอบ 5 ลักษณะของแพ็กเก็ต:
- Source IP Address
- Source Port
- Destination IP Address
- Destination Port
- IP Protocol (TCP หรือ UDP)
ขึ้นอยู่กับกฎที่กำหนดค่าในไฟร์วอลล์ แพ็กเก็ตจะได้รับอนุญาต ผ่าน ปฏิเสธ หรือทิ้ง (Dropped) หากไฟร์วอลล์ลบแพ็กเก็ต มันจะส่งข้อความกลับไปยังผู้ส่งเพื่อให้ทราบว่าแพ็กเก็ตถูกทิ้ง หากแพ็กเก็ตถูก Drop ไฟร์วอลล์จะไม่ตอบสนองต่อแพ็กเก็ต ผู้ส่งต้องรอจนการสื่อสารหมดเวลา (Timeout) การ Drop แพ็กเก็ตแทนการปฏิเสธเพิ่มเวลาที่ต้องใช้ในการสแกนเครือข่ายอย่างมาก Router เป็นรูปแบบทั่วไปของไฟร์วอลล์การกรองแพ็กเก็ต
สถาปัตยกรรมที่เพิ่มประสิทธิภาพของไฟร์วอลล์การกรองแพ็กเก็ตคือ ไฟร์วอลล์การกรองแพ็กเก็ตพร้อมเครื่องมือตรวจสอบแบบ Stateful (Stateful Inspection Engine) ด้วยการเพิ่มเติมนี้ ไฟร์วอลล์จะจดจำการสนทนาระหว่างระบบและเครือข่าย จำเป็นต้องตรวจสอบอย่างเต็มที่เฉพาะแพ็กเก็ตแรกของการสนทนาเท่านั้น
