通过在防火墙中阻止除少数传出端口之外的所有端口，可以获得什么切实的安全性

Question

我们当前的硬件防火墙允许阻止传入和传出端口。我们有两种可能：

1. 阻止某些麻烦的端口（不安全的 smtp、bittorrent 等）
2. 阻止除少数批准的端口（http、https、ssh、imap-ssl 等）以外的所有端口

我发现选项 2 有几个缺点。有时 Web 服务器托管在非标准端口上，我们将不得不处理由此产生的问题。此外，没有什么可以阻止恶意或不需要的服务托管在端口 80 上，例如。有什么好处？

Answer 1

在场景 (2) 中，如果网络中的一台机器被某些恶意软件感染，您将阻止它发送邮件（如果您阻止或透明代理 SMTP），或连接到它设计为远程控制的 IRC 通道（或类似的后门）。

编辑显然，在这两种情况中的任何一种情况下，它都不会阻止一切，但它会阻止很多常见的机器人将您的网络变成垃圾邮件等的来源。