硬件防火墙

企业建网站，最痛苦的是莫过于有限的经费和无限的性能要求。网站设计者对硬件得投入总是慎之有慎:小型机太贵了，不如用PC做负载均衡;对外提供的服务多，还是多买几台PC，每两台提供一种服务，整体性能和可靠性都有保证;安全不能不考虑，防火墙至少要有一台。北京某企业门户网站正是按照这个想法开始建设，决定提供WEB、FTP下载、在线点播等服务，并预定了开通日期。

防火墙作为网络安全体系的基础设备，其作用是切断受控网络的通信主干线，对通过受控干线的任何通信进行安全处理。目前防火墙主要有包过滤、应用代理和状态检测等几种类型。

在当今企业庞大的网络中，网络安全一直是管理人员担心的问题，病毒传播和黑客入侵已成为企业网络受到外来攻击的最主要的威胁。目前仅以病毒或黑客的单一手段对网络进行攻击的现象越来越少，而更多的则是采用多种攻击手段的综合使用。目前最突出的就是将病毒的传播特性和黑客进攻特点相结合(例如各种木马)，使其具有不需要人工操作，完全是自动完成的特点，具有传播范围广、传播速度快、危害性大的特点。为了防范新的攻击手段，强氧科技推出了一整套防火墙解决方案，其采用的是SuperMicro(超微)服务器，功能强大，性价比高，可以最大限度的保障企业网络的安全性，提供了包括防病毒、企业级防火墙、入侵检测、服务器核心防护等在内的网络安全整体解决方案。

某市电子政务工程总体规划方案》主要建设内容为:一个专网(政务通信专网)，一个平台(电子政务基础平台)，一个中心(安全监控和备份中心)，七大数据库(经济信息数据库、法人单位基础信息数据库、自然资源和空间地理信息数据库、人口基础信息库、社会信用数据库、海洋经济信息数据库、政务动态信息数据库)，十二大系统(政府办公业务资源系统、经济管理信息系统、政务决策服务信息系统、社会信用信息系统、城市通卡信息系统、多媒体增值服务信息系统、综合地理信息系统、海洋经济信息系统、金农信息系统、金水信息系统、金盾信息系统、社会保障信息系统)。主要包括:政务通信专网、电子政务基础平台、安全监控和备份中心、政府办公业务资源系统、政务决策服务信息系统、综合地理信息系统、多媒体增值服务信息系统。

企业不能容忍网络中的攻击扩散到公司的所有敏感资源。企业希望能够迅速识别、控制并消除攻击以确保网络资源不会受到影响和破坏。为了进一步完善周边防火墙并保护内部网络，使它们免遭日益复杂的各种类型攻击，包括隐藏在网络流量中的攻击或完全绕过安全性防范措施的攻击(如通过盗用的笔记本电脑)，企业需要在他们的基础设施内保证安全性。基础设施防火墙使企业可以对网络进行分段，防止用户在未经授权的情况下漫游，同时在出现攻击时尽量减少损坏。入侵防护设备可以进一步完善和补充防火墙，因为它可以检测出并丢弃网络流量中的应用级攻击，以避免给网络造成影响。

随着网络不断扩大、安全性威胁不断增多且日益复杂，传统的异构防火墙可能会给网络带来危险。许多厂商提供的安全性解决方案可能会为企业带来多个方面的挑战：需要同时使用多个管理接口、需要随时了解最新攻击威胁的信息、或需要在不同设备上部署不同的补丁等。这不但会使企业花费大量时间和金钱，而且可能会导致配置错误，进而为黑客留下有机可乘的安全漏洞。更糟糕的是，如果网络运行速度被升级到以千兆位以上，那么以百万位速度运行的基于软件的防火墙可能无法处理网络连接的总吞吐量，从而为潜在的黑客创造了突出的DoS攻击机会。

很多年来，Cisco PIX一直都是Cisco确定的防火墙。但是在2005年5月，Cisco推出了一个新的产品——适应性安全产品（ASA，Adaptive Security Appliance）。不过，PIX还依旧可用。我已听到很多人在多次询问这两个产品线之间的差异到底是什么。让我们来看一看。

三层核心交换机最好别用VLAN1连接防火墙内口。可能会因为IP 重定向问题导致内网访问外网速度奇慢！！具体事例及解决办法如下

PIX（Private Internet Exchange）防火墙是Cisco产品系列中称得上佼佼者的防火墙产品。PIX防火墙可以部署到各种各样的设计方案中。简单的情况如下，PIX防火墙可能只有两个接口，一个接口连接至受保护的内部网络（内部接口），而另一个接口则连接到公共网络（外部接口），一般来说就是指因特网。这里所谓的内部和外部具有特别的意义，且各个接口在PIX防火墙配置中分别被命名为Inside接口（内部）和Outside接口（外部）。

假设你已经通过串口初始化了防火墙4000（配置接口IP、GUI用户登录权限以及相关对象等），并使用管理软件连接上了防火墙（如有疑问请参看“防火墙4000 管理配置”以及“如何创建对象”等相关 DEMO演示）；

SecPath系列防火墙之软件升级

SecPath防火墙之两个私网通过GRE互连

防火墙测评不应只看数字，凡是都有失败的可能，硬件防火墙测评也不例外。笔者结合自己的实践体会，尝试着整理了产品用户在硬件防火墙测评中的常见误区，供同行探讨。

这项测试用来确定防火墙在接收和发送数据包而没有丢失情况下的最大数据传输速率，是测试防火墙在正常工作时的数据传输处理能力，是其它指标的基础。它反映的是防火墙的数据包转发能力。因为数据流中一帧的丢失会导致由于高层协议等待超时而产生重大延迟，所以知道防火墙实际的最大数据传输速率是非常有用的。同时该项指标还能用于判断防火墙设备在超过自身负载的情况下稳定性问题。

ISS（Integrated Security System）集成安全体系架构，以高速安全处理芯片作为业务处理的主要核心，采用高性能CPU发挥多种安全业务的高层应用，产品主要表现形式为基于电信级的高可靠、背板交换式的机架式设备，容量大性能高，各单元及系统更为灵活。

假如你的老板交给你一个新的PIX防火墙。这个防火墙是从来没有设置过的。他说，这个防火墙需要设置一些基本的IP地址、安全和一些基本的防火墙规则。你以前从来没有使用过PIX防火墙。你如何进行这种设置?在阅读完这篇文章之后，这个设置就很容易了。下面，让我们看看如何进行设置。

基于32位PCI总线的X86平台是不能做为千兆防火墙使用的，因为32位PCI总线的通讯速率不能达到千兆防火墙的要求。针对这个问题，Intel提出了解决方案，可以把32位的PCI总线升级到了PCI-E ，即：PCI-Express，这样，PCI-E 4X的总线的速度就可以达到 2000MB Bytes/S，即：16Gbits/S，并且PCI-E各个PCI设备之间互相独立不共享总线带宽

从技术上来说，防火墙产品的物理性能越高，网络处理能力就越强，就能使网络以高效率的状态处理数据。原则上来说是用户的首选，但物理性能高的防火墙价格就相对的高了很多，相对些企业来说，昂贵的价格并不是任何企业都能接受的，因此在选用防火墙的时候要根据自身的需求来酌情考虑。

东软此次率先推出的基于IXP2400架构的NetEye FW 5200，在国内同类产品中处于领先位置，是我国自主知识产权信息安全产品的又一硕果。自1996年东软成立网络安全实验室开始，东软NetEye品牌一直稳健发展，9年里东软在网络安全行业不断创新，致力于为用户提供先进的安全技术和周到满意的服务，东软NetEye千兆NP防火墙5200再次体现了东软在信息安全领域强大的技术实力和深厚的行业积累。

方正黑鲨产品是专门防范资源耗尽型DDoS攻击的硬件网关产品，产品采用北大计算机研究所自行研发的高效网络检测技术，创新性地采用零拷贝流分类、特有快速搜索算法和规则定位等技术，针对网络攻击进行高效识别。对于可疑的数据包，黑鲨会代替目的主机，自动根据来包做出智能回应，并与前面的“智能IP识别技术”联合，检查源主机的后续数据包，完成与合法源主机建立连接的操作。