考点18 防火墙技术《计算机网络技术与应用》内蒙古（对口招生）计算机类 知识点讲解

内蒙古自治区（计算机类）对口招生 《计算机网络技术与应用》复习讲义 模块 5 网络管理与安全 考点 18 防火墙技术 【考纲要求】 1. 掌握防火墙技术。 【知识网络】 【知识和技能要点】 一、防火墙的概念与作用 1. 防火墙的概念 目前，构筑防火墙是保护网络安全最主要的手段之一。防火墙实质上是一种隔离控制技术：它在机构的内部网络与不安全的外部网络（例如 Internet）之间立起一道屏障，既护住内部网络不被外界侵害、挡住对信息资源的非法访问，也防止保密信息从企业网络上被违规传出。换个角度说，它还是网络之间通信时执行的一种访问控制尺度：网络管理员“同意”的人和数据得以进入，管理员“不同意”的则被拒之门外，从而阻止黑客进入网络、篡改、复制或毁坏重要信息。 2. 防火墙的作用与基本功能 防火墙是网络安全的第一道防线，它靠隔离控制技术把内外网络相对分开，核心思路是在不安全的环境中营造一块相对安全的内部网络区域。要判断是否用防火墙保护内网，先得弄清它具备哪些基本功能，这也是挑选产品的依据。一般而言，防火墙有七项基本功能：一，过滤信息并保护网络上的服务，把一些本就不安全的服务挡掉，能显著提升内网安全性、降低主机被攻击的风险；二，控制对网络中系统的访问，例如只让外部的请求到达内网指定机器，而到达不了其他机器；三，集中和简化安全管理，不必逐台主机配置安全策略，只对防火墙合理配置即可保护全网，策略需要调整时改防火墙就行；四，方便监视网络的安全性，一旦受到攻击，可通过电子邮件、短信等及时通知管理员响应；五，增强网络的保密性，防止信息泄露与扩散；六，对网络存取和访问进行监控和审计，把内外网络之间的数据访问记录下来，提供有价值的统计信息供管理员分析；七，强化网络安全策略，为用户提供服务访问控制手段。 二、防火墙的分类与部署 1. 软件防火墙 按软硬件的存在形式，防火墙分成软件防火墙与硬件防火墙两类。软件防火墙以软件形态提供给用户，要装在某台特定计算机及其操作系统上，装好之后这台计算机就成了防火墙，不过还得完成各项必要配置、摆到网络中恰当的位置，才能发挥作用。日常所说的个人防火墙虽然同属软件防火墙，却装在终端计算机上，只护住单机，功能比较单一。有一种看法认为软件防火墙一定不如硬件防火墙，其实并不对：它安装配置灵活、上手容易，软件与硬件升级都方便且花费不大，功能配置也很灵活，有些产品还开放二次开发接口，可按用户需要做出特殊功能。 2. 硬件防火墙与芯片级防火墙 硬件防火墙以硬件形态提供。为提升稳定性，有些产品会定制计算机硬件——这类硬件与普通计算机硬件并无本质差别，只是对体积和散热做了改造，多采用精简过的 Linux 或 UNIX 系统，因此稳定性较高；它与软件防火墙相比也没有本质区别，只是设备更稳、安装过程更简单。真正意义上的硬件防火墙又叫芯片级防火墙：它建立在专门的硬件平台之上，不采用普通操作系统，把所有防火墙功能都集成进特殊的 ASIC 芯片。有了专用硬件支撑，芯片级防火墙的处理速度、处理能力和整体性能都优于其他种类；由于软硬件都是为专业用途设计的，它的功能更强、配置更简便，稳定性和安全性在所有产品中最高，价格自然也是同级产品里最贵的。 3. 包过滤型防火墙 按工作方式划分，防火墙有包过滤型、代理服务型和状态监测三种。包过滤型防火墙也称分组过滤型防火墙，属于通用型产品：它并不针对某个具体网络服务另作处理，而且绝大多数防火墙都带有包过滤功能，足以应付多数安全需求。它的工作层次是 OSI 参考模型中的网络层与传输层，判断是否放行时看的是分组包的源地址与目的地址，还有端口号、协议类型以及标志——符合过滤条件的转发，不符合的丢弃。需要说明的是，包过滤型防火墙所过滤的信息都落在数据包的 IP、TCP 或 UDP 包头之中。 4. 代理服务型防火墙 代理服务型防火墙又叫应用网关防火墙，它借助代理服务器来保护内网。所谓代理服务，是指防火墙替内外网络的应用层通信“出面代劳”：内网主机与外网服务器之间的应用层连接，实际是先连到代理服务器，随后才由代理服务器去和外网主机建立应用层的连接，内外计算机系统由此被成功隔开。代理服务装在 Internet 防火墙网关上，可以规定允许或拒绝某个应用程序或某项服务，例如只让内网用户收发邮件、使用 QQ，却禁止用 BT、电驴一类 P2P 软件下载。它支持用户级访问控制，数据流监控、过滤、记录和报告的能力也较强，还有一项重要功能是高速缓存——把用户常访问的站点内容存下来，别人再访问同一站点时直接从缓存取用，既提速又省资源。它安装设置简单，可以用软件方式实现，成本低廉；主要短板是所有跨网络访问都得经代理转手，访问吞吐量大、连接数多时代理会成为网络瓶颈。 5. 状态监测防火墙 状态监测防火墙把包过滤与代理两种技术的特点合到一起，安全特性最佳。它运行一个在网关上执行安全策略的软件引擎，称为检测模块；这个模块不打扰网络正常工作，而是通过抽取相关数据来监测通信的各个层次，抽出的数据叫状态信息，模块把它们动态保存下来，作为日后判定安全的参考。它支持多种协议与应用程序，扩充应用服务也很容易。与别的方案不同，用户的访问抵达网关的操作系统之前，监测器先抽取数据分析，再结合网络配置与安全规定，作出接纳、拒绝、鉴定或为该通信加密等决定；一旦有人违反安全规定，报警器便拒绝其访问，记录下来并报告给系统管理员。它能给出完整的防护策略与详细统计报告，处理速度较快，可防御已知与未知的攻击，在各种网络中都能用，复杂的大型网络更能发挥优势，是当前主流的防火墙技术；缺点是配置复杂、对系统性能要求高、设备价格偏高，还会拖慢网络访问速度。 6. 防火墙的部署 安装防火墙的基本原则是：只要存在被恶意入侵的可能，不管是内部网络还是它与外部网络的连接处，都应当装上防火墙。位置上首先要考虑公司内部网络通往外部 Internet 的接口处，用以挡住来自外部的入侵；其次，若内部网络规模较大并划分了虚拟局域网，还应在各个虚拟局域网之间设置防火墙；最后，通过公网相连的总机构与各分支机构之间同样要设防火墙，有条件的话，还可把总部与各分部进一步组建成虚拟专用网。 三、防火墙的局限性与选购原则 1. 防火墙的局限性 防火墙是内部网络最重要的安全技术之一，能让内网在很大程度上免受攻击，但不能以为装上它就万事大吉：随着网络结构日益复杂，它的局限也暴露得越来越明显，不少危险它无能为力。具体有四点。第一，它把外部网络视为不可信而把内部网络视为可信，主要防外来的攻击；可事实证明 50% 以上的入侵事件源于内部网络，防火墙对此束手无策——可以把内网再分成多个子网，用内部路由器加装防火墙来保护关键区域，但维护与设备成本都高，还容易留下安全盲点。第二，它往往要靠特殊而较为封闭的网络拓扑来支撑，安全功能加强的代价，则是网络服务在灵活性、多样性、开放性上打了折扣。第三，它防的是来自网络外部的攻击，不经由防火墙的攻击挡不住，例如通过 SLIP 或 PPP 拨号绕过防火墙直接进入内网。第四，它只让规则允许的服务通过，会压制一些正常的信息通信，从某种意义上使 Internet 应用的功能打了折扣，在电子商务发展较快的今天还可能因此错失商机。 2. 防火墙的选购原则 选购防火墙要看六点。一是自身安全性：很多人只关心它能控制多少连接、支持多少种服务，却忘了防火墙也是网上的一台主机，同样可能出问题；自身不保，控制功能再强也护不住内网。关键在操作系统——防火墙主机上的软件一旦有漏洞，控制机制就可能失效，黑客夺走控制权后便能改写访问规则。该指标归结为两条：是否基于安全甚至专用的操作系统、是否采用专用硬件平台。二是高效性：性能直接体现可用性，通常要求加载上百条规则后性能下降不超过 5%（针对包过滤防火墙）。三是可靠性：它关系到受控网络是否可用，一般靠提高部件强健性、增大设计阈值、增加冗余部件来保障，如电源热备份与系统热备份。四是管理方便性：安全事件不断，策略须频繁调整，因此要在保证安全的前提下提供方便灵活的管理方式，通常体现在管理途径、管理工具与管理权限上。五是配置方便性：功能强的防火墙安装配置往往复杂，而支持透明通信的产品安装时无须改动网络配置，工作量只相当于接一个网桥或交换机。六是可扩展性与可升级性：网络随时在变，防火墙既要在内外网之间过滤，也要在内部子网之间过滤，需确认能否增加网络接口；攻击手段不断翻新，还应支持软件升级，否则只能更换硬件，而更换期间网络处于不设防状态。 【真题】 2022年真题｜填空题第142题 防火墙的实现方式可分为________和________。 【答案】软件防火墙；硬件防火墙 【解析】按软硬件的实现形式，防火墙分成软件防火墙与硬件防火墙两类：前者以软件形态提供，须安装在特定的计算机与操作系统上；后者以硬件形态提供，其中芯片级防火墙还把全部功能集成于专用 ASIC 芯片。两空可互换。 2023年真题｜简答题第164题 简述防火墙系统的局限性。 【答案】防火墙是内部网络最重要的安全技术之一，但并非配置之后所有安全问题都能迎刃而解，它的局限性主要有四点：①防火墙把外部网络当成不可信网络、把内部网络当成可信网络，主要预防来自外部网络的攻击，而事实证明 50% 以上的入侵事件来自内部网络，防火墙对此无能为力（可将内部网络分成多个子网，用内部路由器安装防火墙保护关键区域，但维护与设备成本高且易产生安全盲点）；②它经常需要特殊的、较为封闭的网络拓扑结构来支持，对网络安全功能的加强往往以网络服务的灵活性、多样性和开放性为代价；③它防范的是来自网络外部的攻击，不能防范不经由防火墙的攻击，例如通过 SLIP 或 PPP 拨号绕过防火墙系统直接进入内部网络；④它只让规则允许的服务通过，反而会抑制一些正常的信息通信，从某种意义上削弱了 Internet 应用的功能，在电子商务发展较快的今天还可能因此错失商机。（官方答案另列出对加密数据与新型攻击难以检测、无法防范非网络层攻击、依赖规则配置等说法。） 【解析】本题考查防火墙的局限性。答题时应先说明防火墙并非万能，再按防火墙局限的四点展开：内外网可信度的假设导致无法防范内部攻击、安全加强以牺牲服务灵活性为代价、不能防范不经由防火墙的攻击、规则限制会抑制正常信息通信。 2025年真题｜单选题第37题 防火墙通过（ ）过滤流量。 A. IP地址 B. 访问控制列表 C. MAC地址 D. 端口号 【答案】B 【解析】防火墙本质上是在两个网络通信时执行的一种访问控制尺度，它依据预先设定的访问控制列表（规则）决定放行还是拒绝数据。对包过滤型防火墙而言，这些规则具体落到分组包的源地址、目的地址、端口号、协议类型及标志上，所过滤的信息位于数据包的 IP、TCP 或 UDP 包头。 2026年真题｜填空题第139题 在网络安全中，防火墙可以分为________防火墙和________防火墙两大类。 【答案】软件；硬件 【解析】按软硬件形式划分，防火墙可分为软件防火墙与硬件防火墙两大类：软件防火墙以软件方式提供给用户，需安装在特定计算机和操作系统上；硬件防火墙以硬件形式提供，其中芯片级防火墙基于专门硬件平台、不采用普通操作系统。两空可互换。 【练习题】 一、填空题 1. 防火墙是一种________控制技术，它把内部网络与不安全的外部网络隔开，保护内部网络不受外界的侵害。 【答案】隔离 【解析】防火墙在内部网络与不安全的外部网络（如 Internet）之间设置屏障，既阻止对信息资源的非法访问，也可阻止保密信息从企业的网络上被非法传出。 2. 防火墙是网络安全的第________道防线，其核心思想是在不安全的网络环境下构造一种相对安全的内部网络环境。 【答案】一 【解析】防火墙利用隔离控制技术，将内部网络和外部网络相对分开，是保护网络安全最主要的手段之一。 3. 包过滤型防火墙工作在 OSI 参考模型的网络层与________层。 【答案】传输 【解析】包过滤型防火墙也被称为分组过滤型防火墙，是一种通用型防火墙，不针对各个具体的网络服务采取特殊的处理方式。 4. 包过滤型防火墙所过滤的信息均位于数据包的 IP、TCP 或 UDP________之中。 【答案】包头 【解析】它根据分组包的源地址、目的地址、端口号、协议类型及标志确定是否允许分组包通过，满足过滤条件的转发，否则丢弃。 5. 代理服务型防火墙也被称为________防火墙，它采用代理服务器的方式保护内部网络。 【答案】应用网关 【解析】代理服务是指防火墙充当内部网络与外部网络应用层通信的代理，内外计算机系统由此实现隔离；它设置简单、成本低廉，但在吞吐量大时容易成为瓶颈。 6. 在状态监测防火墙中，检测模块抽取并动态保存的部分数据被称为________，供制定安全决策时参考。 【答案】状态信息 【解析】状态监测技术结合了包过滤与代理技术的特点，具有最佳的安全特性；检测模块在不影响网络正常工作的前提下对网络通信的各层实施监测。 7. 芯片级防火墙不使用普通操作系统，而是把所有防火墙功能集成于特殊的________芯片中。 【答案】ASIC 【解析】借助专用的硬件支持，芯片级防火墙的处理速度更快、处理能力更强、性能更高，稳定性和安全性在所有产品中最高，价格也最昂贵。 8. 个人防火墙属于软件防火墙的一种，它安装在网络终端计算机上，只能提供对________的安全防护。 【答案】单机 【解析】软件防火墙安装配置灵活、易于使用，软件和硬件系统升级容易且成本低廉；它并不一定不如硬件防火墙。 9. 防火墙主要预防来自外部网络的攻击，而事实证明 50% 以上的入侵事件来自________网络。 【答案】内部 【解析】防火墙把内部网络当成可信网络，因而对来自内部的攻击无能为力；可把内部网络分成多个子网，用内部路由器安装防火墙保护关键区域，但成本较高且易产生安全盲点。 10. 防火墙自身安全性的两个指标是：是否基于安全的甚至专用的操作系统，是否采用专用的________平台。 【答案】硬件 【解析】防火墙也是网络上的主机之一，也可能存在安全问题；当防火墙主机上运行的软件出现漏洞时，任何控制机制都可能失效。 二、单项选择题 1. 防火墙在两个网络通信时执行的是一种（ ）。 A. 访问控制尺度 B. 数据加密算法 C. 路由选择策略 D. 域名解析服务 【答案】A 【解析】防火墙是在两个网络通信时执行的一种访问控制尺度，它允许网络管理人员“同意”的人和数据进入网络，同时把“不同意”的人和数据拒之门外，阻止网络中的黑客访问其网络。 2. 下列关于防火墙基本功能的说法，正确的是（ ）。 A. 防火墙可以直接清除内网主机上已感染的病毒 B. 防火墙必须为内部网络的每台主机分别配置安全策略 C. 防火墙能集中和简化安全管理，只需对防火墙作合理配置即可实现对整个网络的保护 D. 防火墙无法对内外网络之间的数据访问加以记录 【答案】C 【解析】使用防火墙可以使网络管理无须针对内部网络的每台主机专门配置安全策略，只要针对防火墙做合理配置，就可以实现对整个网络的保护；策略需要调整时，修改防火墙即可。防火墙并不具备查杀病毒的功能，也不会放弃记录与审计。 3. 与硬件防火墙相比，软件防火墙的优点不包括（ ）。 A. 安装配置灵活，易于使用 B. 处理速度更快，处理能力更强，性能更高 C. 软件和硬件系统升级容易，升级成本低廉 D. 功能配置灵活，部分产品还提供二次开发接口 【答案】B 【解析】处理速度更快、性能更高是芯片级防火墙借助专用硬件支持所具有的优势。软件防火墙的长处在于安装配置灵活、易于使用、升级容易且成本低廉、功能配置灵活，有的还提供二次开发接口。 4. 安装在网络终端计算机上、只能提供对单机安全防护的软件防火墙产品是（ ）。 A. 芯片级防火墙 B. 应用网关防火墙 C. 状态监测防火墙 D. 个人防火墙 【答案】D 【解析】个人防火墙也是软件防火墙的一种，但它安装在网络终端计算机上，只能提供对单机的安全防护，是一种功能比较单一的软件防火墙产品。 5. 包过滤型防火墙工作在 OSI 参考模型的（ ）。 A. 物理层与数据链路层 B. 传输层与会话层 C. 网络层与传输层 D. 表示层与应用层 【答案】C 【解析】包过滤型防火墙工作于 OSI 参考模型的网络层与传输层，它根据分组包的源地址、目的地址、端口号、协议类型及标志确定是否允许分组包通过。 6. 代理服务型防火墙采用（ ）的方式来保护内部网络。 A. 代理服务器 B. 专用 ASIC 芯片 C. 状态检测模块 D. 数字证书 【答案】A 【解析】代理服务型防火墙也被称为应用网关防火墙，它采用代理服务器的方式保护内部网络：内网主机与外网服务器建立的应用层链接，实际上是先建立与代理服务器的链接，再由代理服务器与外网主机建立链接。 7. 下列关于状态监测防火墙的说法，正确的是（ ）。 A. 它只支持单一协议，应用服务难以扩充 B. 它结合了包过滤与代理技术的特点，但安全特性不如代理服务型防火墙 C. 它配置非常简单，对系统性能几乎没有要求 D. 它是当前主流的防火墙技术，能防御各种已知和未知的网络攻击 【答案】D 【解析】状态监测防火墙结合了包过滤与代理技术的特点，具有最佳的安全特性；它支持多种协议和应用程序，可以很容易地实现应用服务的扩充，能提供完整的网络安全防护策略，适用于各类网络环境，是当前主流防火墙技术。其缺点是配置复杂、对系统性能要求较高、设备价格较高。 8. 安装防火墙的基本原则是（ ）。 A. 只在内部网络的核心交换机上安装即可 B. 只要有恶意入侵的可能，无论是内部网络还是与外部网络的连接处，都应该安装防火墙 C. 只需在公司内部网络与外部 Internet 的接口处安装 D. 只在通过公网连接的各分支机构一侧安装 【答案】B 【解析】安装防火墙的基本原则是：只要有恶意入侵的可能，无论是内部网络还是与外部网络的连接处，都应该安装防火墙。具体位置上，首先是公司内部网络与外部 Internet 的接口处，其次是大规模内部网络中各个虚拟局域网之间，最后是通过公网连接的总机构与各分支机构之间。 9. 下列关于防火墙局限性的说法，正确的是（ ）。 A. 防火墙能够有效防范来自内部网络的攻击 B. 防火墙不能防范不经由防火墙的攻击，例如通过 SLIP 或 PPP 拨号绕过防火墙进入内部网络 C. 防火墙的部署不会影响网络服务的灵活性与开放性 D. 防火墙只让规则允许的服务通过，因而不会影响正常的信息通信 【答案】B 【解析】防火墙防范的是来自网络外部的攻击，不能防范不经由防火墙的攻击；此外它把内部网络当成可信网络，来自内部的攻击难以防范，安全功能的加强还要以网络服务的灵活性、多样性和开放性为代价，而只放行规则允许的服务也会抑制一些正常的信息通信。 10. 选购防火墙时，衡量防火墙自身安全性的关键指标是（ ）。 A. 所支持的服务数量 B. 产品的价格高低 C. 管理界面是否美观 D. 是否基于安全的甚至专用的操作系统、是否采用专用的硬件平台 【答案】D 【解析】防火墙自身安全的关键在于操作系统，而应用系统的安全以操作系统的安全为基础。防火墙的安全指标最终可归结为两个方面：一是防火墙是否基于安全（甚至是专用）的操作系统，二是防火墙是否采用专用的硬件平台，只有两者结合才可能保证自身的安全。 11. 一般来说，防火墙加载上百条规则后，其性能下降不应超过（ ）。 A. 5% B. 10% C. 20% D. 50% 【答案】A 【解析】高性能是防火墙的一个重要指标，它直接体现了防火墙的可用性。一般来说，防火墙加载上百条规则，其性能下降不应超过 5%（指包过滤防火墙）。 12. 关于防火墙的可扩展性和可升级性，下列说法正确的是（ ）。 A. 防火墙购买后不必考虑能否增加网络接口 B. 防火墙只须在内部网络与外部网络之间过滤，不必在内部子网之间过滤 C. 选购时应确认防火墙能否增加网络接口，并要求其支持软件升级 D. 抵御新的攻击手段只能更换硬件，且更换期间网络照常受保护 【答案】C 【解析】随着业务发展，公司内部可能组建不同安全级别的子网，防火墙不仅要在内部网和外部网之间过滤，还要在内部子网之间过滤，因此购买时必须清楚是否可以增加网络接口；随着攻击手段变化，防火墙还须不断升级，支持软件升级很重要，否则只能更换硬件，而更换期间网络是不设防的。 三、简答题 1. 简述防火墙的基本功能。 【答案】防火墙是网络安全的第一道防线，它利用隔离控制技术将内部网络和外部网络相对分开，核心思想是在不安全的网络环境下构造一种相对安全的内部网络环境。一般而言，防火墙应该具有以下基本功能：一是过滤信息并保护网络上的服务，通过过滤一些先天就不安全的服务，能够极大地增强内部网络的安全性，降低内部网络中主机被攻击的危险性；二是控制对网络中系统的访问，例如来自外部网络的请求可以到达内部网络的指定机器，而无法到达内部网络的其他机器；三是集中和简化安全管理，使用防火墙可以使网络管理无须针对内部网络的每台主机专门配置安全策略，只要针对防火墙做合理配置就可以实现对整个网络的保护，安全策略需要调整时修改防火墙即可；四是方便监视网络的安全性，防火墙可以在受到攻击时通过 E-mail、短信等方式及时通知网络管理员做出响应和处理；五是增强网络的保密性，保证信息不会被泄露与扩散；六是对网络存取和访问进行监控和审计，将内、外网络之间的数据访问加以记录，并提供关于网络使用的有价值的统计信息，供网络管理员分析；七是强化网络安全策略，为用户提供对服务的访问控制方式。 【解析】本题考查防火墙的基本功能。答题时应先点明防火墙是网络安全的第一道防线与隔离控制技术，再逐条写出过滤信息并保护服务、控制访问、集中和简化安全管理、方便监视安全性、增强保密性、监控和审计、强化安全策略这七项功能。 2. 简述防火墙按工作方式的分类，并说明各类防火墙的主要特点。 【答案】按工作方式划分，防火墙可分为包过滤型、代理服务型和状态监测三类。包过滤型防火墙也被称为分组过滤型防火墙，是一种通用型防火墙，它不针对各个具体的网络服务采取特殊的处理方式，绝大多数防火墙均提供包过滤功能，能够满足大多数安全需求；它工作于 OSI 参考模型的网络层与传输层，根据分组包的源地址、目的地址、端口号、协议类型及标志确定是否允许分组包通过，所过滤的信息均位于数据包的 IP、TCP 或 UDP 包头。代理服务型防火墙也被称为应用网关防火墙，采用代理服务器的方式保护内部网络，内网主机与外网服务器建立的应用层链接实际上先建立与代理服务器的链接，再由代理服务器与外网主机建立链接，从而实现内外计算机系统的隔离；它可以进行用户级访问控制，具有较强的数据流监控、过滤、记录和报告功能，还具有高速缓存功能，安装设置简单、成本低廉，但当访问吞吐量大、连接数量多时代理会成为网络的瓶颈。状态监测防火墙结合了包过滤与代理技术的特点，具有最佳的安全特性，它采用在网关上执行网络安全策略的检测模块，抽取状态信息并动态保存作为安全决策的参考，支持多种协议和应用程序，能防御各种已知和未知的网络攻击，适用于各类网络环境，是当前主流的防火墙技术；其缺点是配置复杂、对系统性能要求较高、设备价格较高，对网络访问速度会造成影响。 【解析】本题考查防火墙按工作方式的分类。答题时应先写出包过滤型、代理服务型和状态监测三类，再分别说明它们的工作原理、所处层次或所用技术以及优缺点，其中包过滤型要写清过滤所依据的分组信息，状态监测型要点明它是最佳安全特性与当前主流技术。 原创精品资源学科网独家享有版权，侵权必究 学科网（北京）股份有限公司 $