防火墙部署误区

思考的牛

部署网络防火墙几乎已经成为了企业网络安全管理员潜意识里存在的东西，但是如果不能正确地对网络防火墙进行部署。那么实际上企业网络安全的收效甚微，本篇文章就主要介绍六个防火墙部署误区，希望能够对网络安全管理员有所帮助。

防火墙部署误区一：部署了防火墙并不等于绝对安全

防火墙对于企业网络的保护作用是每位企业网管所共知的，可是，企业网络部署了防火墙，并不意味着企业网络就不再有安全威胁。举个最简单的例子，防火墙的功能仅仅能够对来自外部网络的数据进行过滤，如果有人在企业网络内部搞破坏，防火墙是没有任何防范作用的。

另外，防火墙对来自外部数据的过滤检查是按照过滤规则进行的。如果一种网络攻击模式不在防火墙过滤规则之内，防火墙对于这种网络攻击也是没有任何防范能力的。为此，企业网管不要认为网络中部署了防火墙，企业网络就绝对安全，不再有任何安全隐患，部署了防火墙并不等于绝对安全。

防火墙部署误区二：长期不更新防火墙安全策略

防火墙可以阻挡来自外界的网络攻击，以及过滤一些网络病毒，这都得益于防火墙设备的安全策略。如同杀毒软件一样，凭借防火墙自带默认的安全策略，防火墙设备能够阻挡已知的网络攻击模式，以及一部分网络病毒;对于新的网络攻击模式，以及新的网络病毒，防火墙是没有任何防范能力的。要想让防火墙能够具备非常强大的防范能力，企业网管必须定期的更新防火墙的安全策略。

在网络安全漏洞呈爆炸式增长的今天，如果长期不更新防火墙的安全策略，防火墙无疑会成为一个摆设。每当遇到新的网络安全漏洞，企业网管必须及时的更新防火墙的安全策略，只有这样，防火墙才能真正成为企业网络的安全保护神。

防火墙部署误区三：安装防火墙设备的所有组件

众所周知，部署防火墙这款网络安全设备时，很多企业网管为了保障企业网络的安全，通常会将防火墙所有的功能组件都安装到防火墙设备中。从表面看，安装了所有组件的防火墙，安全更有保障。可是，安装了一些多余的防火墙组件之后，反而会降低防火墙的安全性能。

从技术角度来讲，防火墙的工作过程与普通PC相似。对于一台普通的PC来说，如果安装了过多的功能组件，其系统响应速度会变慢，尤其是PC开机时如果启动了太多的项目，PC可能会因为不堪重负而死机。防火墙亦是如此，防火墙中的组件都是随防火墙启动而启动的，如果网管部署防火墙时安装了所有组件，势必会耗费防火墙太多的资源，在网络数据交换繁忙时，防火墙设备可能会因为系统资源不足而当机。一旦防火墙当机，防火墙将失去了作用，企业网络也将失去防火墙的保护，其后果不难想象。为此，部署防火墙时，不要安装防火墙设备的所有组件。

防火墙部署误区四：把防火墙当成防病毒的武器

从理论上说，防火墙当然可以防病毒，但防火墙只能防范通过网络传播的一部分病毒。道理很简单，防火墙是位于网络通路上的一道关卡，对于一切经过它的数据包，它都可以过滤出禁止传输的数据。可是，大多数病毒在传播过程中是非常隐蔽的，防火墙的过滤规则很难有效的防范病毒入侵，看一下病毒传播的过程就明白了。

病毒在隐蔽在网络应用层中的，在通过防火墙时，病毒被分为若干个数据包。不可否认，防火墙虽然可以过滤一些数据包，但分割为多个数据包的病毒，防火墙是很难识别的，除非防火墙能够将若干个数据包重新拼装起来进行检查，否则防火墙是不可能发现病毒的。防火墙对数据包的过滤，仅仅是决定转发还是放弃，为此，防火墙的过滤规则很难防范通过网络传播的病毒。

不过，对于一些特征非常明显的病毒，防火墙是可以过滤的。例如震荡波病毒，在传播过程中是占用TCP的某些端口，这时，只要企业网管将防火墙的端口封闭，震荡波病毒将无法进入企业网络中。在实际应用中，能够像震荡波这样有如此明显特征的病毒很少。总的来说，防火墙对于病毒有一定的防范能力，但防范能力是非常有限的，为此，不要把防火墙当成防病毒的有效武器。

防火墙部署误区五：忽略防火墙日志文件的作用

与任何一款网络设备一样，防火墙工作过程中也会自动生成日志。在企业网络的日常维护中，很多企业网管认识防火墙日志的存在，更没有意识到防火墙工作日志的重要性。对于防火墙的日志，企业网管存在着诸多误区。

由于防火墙每天在过滤数百万甚至上千万的报文数据包，其生成的日志也是数量众多。面对密密麻麻的日志文件，企业网管该从何处入手呢?其实，对于正常过滤的数据包记录，企业网管是无需理会的。诸如丢弃、告警、日志等动作，企业网管需要慎重的进行审核，并且进行分析，以确定是否有非法的网络攻击存在，切莫忽视防火墙日志文件的作用。

防火墙部署误区六：过滤规则中有太多拒绝规则

对于防火墙的过滤规则，每位企业网管都非常熟悉。防火墙工作过程中，对于允许的数据包直接放行，而对于拒绝的规则，将直接抛弃。毫无疑问，如果防火墙的过滤规则中有太多的拒绝规则，将会浪费防火墙的系统资源，因为防火墙需要不断的拒绝不符合规则的数据包，并且禁止其通过。为此，在配置防火墙的过滤规则时，要少用拒绝规则。

总结：防火墙有保护企业网络安全的功能，可是，防火墙并不是万能的，也会有漏洞。加之防火墙是一个机器，其保护功能需要人的设置才能提高。也就是说，要想让防火墙的保护功能更加完善，部署防火墙时必须躲开上述误区。