硬件防火墙

互联网的飞速发展，网络安全已经成为一个巨大问题，网络恶性攻击日益突出，解决DOS攻击也是IDC行业必须要解决的问题，作为防火墙设备，对防火墙的整体性能提出了越来越高的要求，一旦发生大流量攻击事件时，往往最先失去抵抗能力的就是发生在这里，如果流量达到一定的程度可以将整个机房的上层设备带宽堵满，形成网络瓶颈和系统单点故障，导致整个网络中断。而提高防火墙防御DOS攻击的问题，也在缠绕着广大防火墙厂商和各IDC公司。

目前，我国网络环境不容乐观，来自一份数据显示，骨干网络上的数十亿比特量级的DDoS攻击在攻击频率和攻击强度上都有持续增长。造成这样后果的原因一方面是全球范围内宽带接入internet数量的增长，另一方面是因为网络的集中趋势。不少网络公司也为服务器的安全问题深感头痛，因此。服务器机房是否采用专业的硬件防火墙，已经成为用户选择数据中心的一个必要的考虑因素。

当无论任何人或事物都可以在任意时间进入你的电脑，你的电脑就处在了易被攻击的脆弱地位。你可以用防火墙来限制外界进入你的电脑及里面的信息。

为了满足用户的更高要求，防火墙体系架构经历了从低性能的x86、PPC软件防火墙向高性能硬件防火墙的过渡，并逐渐向不但能够满足高性能，也需要支持更多业务能力的方向发展。

摘要：本文讲述了作者第一次亲手接触Cisco PIX防火墙，总结了防火墙基本配置十个方面的内容。

硬件防火墙是保障内部网络安全的一道重要屏障。它的安全和稳定，直接关系到整个内部网络的安全。因此，日常例行的检查对于保证硬件防火墙的安全是非常重要的。

有一些问题常令用户困惑:在产品的功能上，各个厂商的描述十分雷同，一些“后起之秀”与知名品牌极其相似。面对这种情况，该如何鉴别?描述得十分类似的产品，即使是同一个功能，在具体实现上、在可用性和易用性上，个体差异也十分明显。

CheckPoint i-Security SP-5500标配3个千兆以太网口，有应用需要时网口最多可以扩展到12个，有一个串型控制口。另外这款产品采用了冗余电源设计，增加了平台的运行稳定性和可维护性。i-Security的硬件加速装置采用安全优化芯片和减负载引擎技术（TOE）的应用，分担了CPU大部分的底层检测负荷，使CPU处理能力更多应用在高层检测上，在遇到DoS攻击的情况下，也不会影响到防火墙的性能。

领信CyberWall-204防火墙基于专门设计的硬件平台，以安氏的安全操作系统LTOS为核心，高度集成了防火墙、ASIC VPN、入侵检测、带宽管理、防拒绝服务网关、多媒体通信安全、认证授权、内容安全控制、ADSL接入安全、高可用性配置能力等众多安全角色，提供高度安全、可信和强大的安全解决方案，真正实现了单一设备对您网络的全方位防护。

Cisco PIX 515E是被广泛采用的Cisco PIX 515平台的增强版本，它可以提供业界领先的状态防火墙和IP安全（IPSec）虚拟专用网服务。Cisco PIX 515E针对中小型企业和企业远程办公机构而设计，具有更强的处理能力和集成化的、基于硬件的IPSec加速功能。

Cisco Secure PIX 525防火墙是世界领先的Cisco Secure PIX防火墙系列的组成部分，能够为当今的网络客户提供无与伦比的安全性、可靠性和性能。它所提供的完全防火墙保护以及IP安全（IPsec）虚拟专网（VPN）能力使特别适合于保护企业总部的边界。

随着Internet的迅速普及，全球范围内的计算机网络病毒、操作系统漏洞、垃圾邮件等网络安全问题也层出不穷，真可谓网络如江湖，到处暗藏着杀机，稍不小心就会中招。作为网吧业主，面对自己一百几十台甚至好几百台的机器，常常为了应付五花八门的病毒而疲于奔命，而且还要时刻提防着黑客的恶意攻击，尽管在电脑上已经安装了一大堆形式各样的杀毒软件、防火墙，但总有觉得有点不堪一击，更觉得难为情的是，面对着网民不断抱怨网络时断时续、忽上忽下时，却显得无能为力……

你已经接受了这种想法，就是使用隔离区(DMZ)为你的机器提供更多的安全和强大的保护功能，而不是简单地在你的整个网络前面使用一个传统的防火墙。这对你会有好处，但是，仍存在一个问题:你会采用简单的路由并在你的单一的防火墙外面设置一个隔离区吗?或者采用两个防火墙并且在两个防火墙之间设置一个隔离区，这样增加额外的开支提供最大的保护值得吗?

思科公司PIX防火墙产品一览

以上讲述了我第一次亲手接触Cisco Firewall PIX 525的情况和对其最基本的了解，总结了最基本配置的十大点，作者对Cisco Firewall PIX防火墙的了解还是很肤浅，难免有错误和不到之处，请读者多多指教。

随着Internet的进一普及和迅猛发展，针对入网主机的入侵的日益增多，应用防火墙技术势在必行 。但各种各样的防火墙产品种类繁多，功能不一，这就给防火墙系统的实现和维护带来了许多难处。如何构建一个安全实用，容易实现的防火墙系统是值得研究的，一般来说，一个完整的防火墙系统既要防止外部入侵，又要防止内部人员的非法访问。对于Cisco PIX Firewall防火墙来说，通过动态和静态的地址映射，管道技术，我们可以方便容易地实现一个较为完整的防火墙系统。

我在Cisco 2514系列访问路由器上安装了版本为12.2的IOS防火墙。在那个时候，这个路由器还在使用扩展ACL来过滤从互联网接口中进入的流量。在断开外部接口的电缆后，我整理并删除了现存的ACL，然后实现如下的IOS防火墙性能。

我把下午做试验的PIX配置贴出来：

手动配置clock set hh:mm:ss month day year,关于通过NTP来配置，大家查查资料吧，也没有见过别人来做过，安全要求太高了.

最终目的是：不使用nat让内部网络的地址直接出去，pix内外均为cernet地址。