防火墻選購指南

★★★★★【文章導讀】：防火墻選購指南具體內容是：一、防火墻自身是否安全防火墻自身的安全性主要體現在自身設計和管理兩個方面。設計的安全性關鍵在于操作系統，只有自身具有完整信任關系的操作系統才可以談論系統的安全性。而應用系統的安全是以操作系統的安全為基…

來源：日期：2013-12-24 21:10:45 人氣：標簽：

一、防火墻自身是否安全

防火墻自身的安全性主要體現在自身設計和管理兩個方面。設計的安全性關鍵在于操作系統，只有自身具有完整信任關系的操作系統才可以談論系統的安全性。而應用系統的安全是以操作系統的安全為基礎的，同時防火墻自身的安全實現也直接影響整體系統的安全性。防火墻安全指標終可歸結為以下兩個問題：

1、防火墻是否基于安全（甚至是專用）的操作系統；

2、防火墻是否采用專用的硬件平臺。

只有基于安全（甚至是專用）的操作系統并采用專用硬件平臺的防火墻才可能保證防火墻自身的安全。

二、系統是否穩定

就一個成熟的產品來說，系統的穩定性是基本的要求。目前，由于種種原因，國內有些防火墻尚未后定型或經過嚴格的大量測試就被推向了市場，這樣一來其穩定性就可想而知了。相信沒有一個網管人員愿意把自己的網絡作為防火墻的測試平臺。防火墻的穩定性情況從廠家的宣傳材料中是看不出來的，但可以從以下幾個渠道獲得：

1、國家權威的測評認證機構，如公安部計算機安全產品檢測中心和中國國家信息安全測評認證中心。

2、與其它產品相比，是否獲得更多的國家權威機構的認證、推薦和入網證明（書）。

3、實際調查。這是有效的辦法，考察這種防火墻是否已經有了使用單位，其用戶量也至關重要，特別是用戶們對于該防火墻的評價。如有可能, 好咨詢一下那些對穩定性要求較高的重要單位的用戶，如政府機關、國家部委、證券或銀行系統、軍隊用戶等。

4、自己試用，先在自己的網絡上進行一段時間的試用（一個月左右），如果在試用期間時常有宕機現象的話，這種產品就可以完全不用考慮了。

5、廠商開發研制的歷史，這也是一個重要指標，通過以往的經驗，一般來說，如果沒有兩年以上的開發經歷恐怕難保產品的穩定性。

6、廠商的實力，這一點也應該著重考慮，如資金、技術開發人員、市場銷售人員和技術支持人員多少等等。相信一家注冊資金幾百萬，人員不過二三十人的公司是不可能保證產品的穩定性的。

三、是否高效

高性能是防火墻的一個重要指標，它直接體現了防火墻的可用性，也體現了用戶使用防火墻所需付出的安全代價。如果由于使用防火墻而帶來了網絡性能較大幅度地下降的話，就意味著安全代價過高，用戶是無法接受的。一般來說，防火墻加載上百條規則，其性能下降不應超過5％（指包過濾防火墻）。支持多少個連接也可以計算出一個指標，雖然這并不能完全定義或控制。

四、是否可靠

可靠性對防火墻類訪問控制設備來說尤為重要，其直接影響受控網絡的可用性。從系統設計上，提高可靠性的措施一般是提高本身部件的強健性、增大設計閾值和增加冗余部件，這要求有較高的生產標準和設計冗余度，如使用工業標準、電源熱備份、系統熱備份等。

五、功能是否靈活

對通信行為的有效控制，要求防火墻設備有一系列不同級別，滿足不同用戶的各類安全控制需求的控制注意。控制注意的有效性、多樣性、級別目標的清晰性、制定的難易性和經濟性等，體現著控制注意的高效和質量。例如對普通用戶，只要對IP地址進行過濾即可。如果是內部有不同安全級別的子網，有時則必須允許高級別子網對低級別子網進行單向訪問。如果還有移動用戶，如出差人員的話，還要求能根據用戶身份進行過濾。

六、配置是否方便

在網絡入口和出口處安裝新的網絡設備是每個網管員的噩夢，因為這意味著必須修改幾乎全部現有設備的配置，還得面對由于運行不穩定而招至的鋪天蓋地的責難。其實有時并不是設備有問題，而是網絡經過長期運行后，內部情況極端復雜，做任何改動都需要一段整合期。防火墻有沒有比較簡潔的安裝方法呢？有！那就是支持透明通信的防火墻，它依舊接在網絡的入口和出口處，但是在安裝時不需要對原網絡配置做任何改動，所做的工作只相當于接一個網橋或Hub。需要時，兩端一連線就可以工作；不需要時，將網線恢復原狀即可。

目前市場上支持透明方式的防火墻較多，在選購時需要仔細鑒別。大多數防火墻只能工作于透明方式或網關方式，只有極少數防火墻可以工作于混合模式，即可以同時作為網關和網橋，后一種防火墻在使用時顯然具有更大的方便性。

配置方便性的另一個方面是管理的方便性。網絡設備和桌面設備不同，界面的美觀不代表方便性（當然這也是很重要的），90%的Cisco路由器就是通過命令行進行管理的。在選擇防火墻時也應該考察它是否支持串口終端管理。