作為保障網(wǎng)絡安全的主要設備，經(jīng)過多年的發(fā)展，防火墻技術已逐漸成熟。即便如此，用戶在購買防火墻時仍需擦亮眼睛。
防火墻是一種在內外網(wǎng)邊界上部署的訪問控制裝置，用于防止未經(jīng)授權的內部網(wǎng)絡和外部網(wǎng)絡的通信。防火墻主要分為三種類型：簡單的包過濾防火墻、狀態(tài)/動態(tài)檢測防火墻、應用代理防火墻。
防火墻控制是網(wǎng)絡數(shù)據(jù)的對象，通過對用戶的2到7層的策略進行檢查，根據(jù)檢查結果決定接受，下降或限制流量。雖然實際的防火墻也可以取代路由器和交換機的一部分，但對這些功能的結果太多的重點只能是物物交換。
由于防火墻設備在網(wǎng)絡中的引入，防火墻的必然要求可以提供相應的支持，包括管理，環(huán)境適應能力，與現(xiàn)有的交換機/路由器的互連，吞吐能力和適當?shù)难舆t。這種防火墻不會網(wǎng)絡瓶頸。這些功能實際上是對防火墻的附加要求，雖然它是必要的，但不給用戶帶來附加值，它的整體要求是最好的。
雖然防火墻的開發(fā)時間比較長，但技術相對比較成熟，但新的防火墻概念，新技術仍在層出不窮。那么，如何對防火墻進行真正的評價呢？還必須從用戶使用角度進行深入的分析，從功能、性能、管理、穩(wěn)定性三個方面進行調查。
功能，表現(xiàn)為“雙層皮”
功能和性能一直是用戶評價防火墻的主要方面，尤其是由于其可量化的性能，更是對比的焦點，但真正理解這2個問題是不容易的。為了適應用戶的環(huán)境是復雜的和需要的，為了有一個“賣點”，現(xiàn)在的防火墻一般都有很多功能，這些功能都沒有任何問題，如熱備功能已經(jīng)通過測試，動態(tài)應用的支持也測試通過，但在實際環(huán)境中，我們可以在熱備使用視頻會議的需要和要求而不中斷的視頻開關。
這可能是一些防火墻是不是，和類似的功能組合是用戶真正需要的。此外，防火墻功能和性能一般會獨立評估，功能測試和性能測試和功能測試涉及單一功能，性能測試約2，三個簡單的應用性能，導致性能作為一個功能的“雙皮”，不能真正反映了防火墻功能：測試性能是非常高的，但許多功能不能使用，在實際使用時，打開所有常用的功能，性能變得非常低。因此，有必要對防火墻的性能和功能進行評估，以評估防火墻的性能。
具體的評價應該從以下幾個方面展開：
•2～7層的訪問控制功能，特別是濾波層深度的應用。函數(shù)應該能夠地址映射、端口映射、主干VLAN支持、用戶認證、動態(tài)包過濾，對使用任意組合的流量控制等功能。
•安全功能，重點放在抗synflood攻擊。目前，在“黑客”的攻擊行為，最常用的，最有效的是DDoS（分布式拒絕服務攻擊），這是由于服務器拒絕服務。防火墻作為網(wǎng)絡的一個渠道，來保證網(wǎng)絡的安全保護，需要重點關注的安全保護功能可以過濾攻擊的同時保證正常訪問，是否源地址攻擊和真實源地址攻擊同時有效地欺騙，可以保護服務器免受沖擊。這個函數(shù)應該能夠地址映射、端口映射、主干VLAN支持、用戶認證、動態(tài)包過濾、流量控制等同時或任意組合。
•實際性能。性能測試一般包括六個方面：吞吐量、延遲、丟包率、回接、并發(fā)連接數(shù)、新連接率，實際性能是在接近實際用戶使用性能的。
•新連接率。由于網(wǎng)絡應用的波動較大，即在不同的時間訪問特性的差異，防火墻也能適應這種情況，相應的指標，新的連接速率?？紤]到用戶網(wǎng)絡的復雜性和應用，還需要打開常用的功能，如：數(shù)據(jù)包過濾、內容過濾、抗攻擊等情況，測試新的連接速率。
管理是關鍵
用戶要使用安全的防火墻系統(tǒng)，就要實現(xiàn)一套防火墻的安全策略，這是對防火墻的實際操作人員提出了更高的要求。由于不同防火墻的管理存在差異，因此，管理者的管理難度可能會導致錯誤配置，從而使網(wǎng)絡安全風險。因為每個網(wǎng)絡管理員都不能被要求成為網(wǎng)絡安全專家，所以管理是網(wǎng)絡安全的關鍵。刪除權限管理、通信加密等，還需要把重點放在管理上的方便性和集中管理的這2個方面。
單一管理方便，防火墻應該提供各種管理，為管理員在不同的使用場合，如高級別的管理員進行全面管理防火墻的串口命令行模式；遠程維護和管理SSH方式；網(wǎng)絡遠程配置；圖形用戶界面的遠程配置和監(jiān)控。
其中，網(wǎng)頁模式無需安裝客戶端軟件，更方便靈活；圖形用戶界面安裝更麻煩，但靈活性強。早期：很多服務器管理員，當服務器受到攻擊的時候直接安裝個軟件防火墻。實際上這樣的作用并不大，因為已經(jīng)到了服務器的應用層。不管怎樣，流量已經(jīng)是到服務器的網(wǎng)卡，比如攻擊者一旦加大流量，帶寬耗盡自然全部掛了。
針對早幾年攻擊流量小作用是非常明顯，而且優(yōu)點是成本低，也許幾百塊就可以解決問題?，F(xiàn)在時代不同了，動不動就是幾十G上百G的攻擊無處不在。高防CDN是從接入層以及網(wǎng)絡層+應用層來解決問題，比較適合于現(xiàn)在的大流量攻擊。攻擊者發(fā)起攻擊后，流量會直接到高防接入硬件防火墻，集群防火墻會過濾過99%以上的攻擊應用，仍有大量的CC可能沒有辦法完全過濾。CC流量到了CDN節(jié)點服務器，通過限制訪問頻率以及其它防CC策略實現(xiàn)封停無效的IP。
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機遇！
