1. 介绍我几个防火墙(只要防火墙)
我是瑞星防火墙的特级代理,看你有多少个点,50-60可以用RFW-SME,300以内用RFW-100+就可以了,价格我保证能给你最低,电话:87010796
瑞 星 全 功 能 N P 防 火 墙 RFW-SME
技术白皮书
URL: http://www.rising.com.cn
1、瑞星全功能NP防火墙简介
瑞星全功能NP防火墙是一款整合多种安全防护功能的智能网络安全防火墙，它是瑞星公司针对中小企业级用户定制的一款高端防火墙，型号为：RFW-SME。
瑞星全功能NP防火墙采用了新型的网络芯片设计技术，这个区别于一般的PC休系架构表现在网络数据处理速度上能够达到线速，性能优越。该防火墙支持500个VPN通道和12800个并发连接，同时提供了80兆/秒的三重数据加密3DES能力和线速（wire-speed）防火墙的处理能力。
瑞星全功能NP防火墙整合了多种安全防护功能，是建构中小型企业网络的最佳选择。RFW-SME拥有通用防火墙功能、网络地址转换（NAT）、主动式入侵检测（IDS）、虚拟专网（VPN）、带宽管理、内容过滤、以及策略管理等功能。通过架设瑞星全功能NP防火墙，可以保护用户的网络免于黑客的攻击，同时也帮助用户利用因特网的资源建构网络安全机制及虚拟专网服务，还提供了不同等级的网络带宽管理，让一些特殊的应用服务可以确保使用带宽。另外，还提供有因特网地址名称过滤、内容过滤、主动式入侵检测以及直接利用浏览器即可管理的简易操作等功能。因为有这个内建支持浏览器的管理接口，你可以在你现有的操作系统下利用你熟悉的浏览器操作来管理这个防火墙。
RFW-SME提供一个10/100Mbps的外网(WAN)接口，一个10/100Mbps的DMZ接口，以及三个10/100Mbps的内网接口。外网接口的IP地址支持下列三种模式：PPPoE，DHCP，或静态IP。根据用户的网络服务提供商所提供的服务方式，任选其中一种设定防火墙的对外IP地址参数。RFW-SME还提供有内建的DHCP(动态主机配置服务协议)服务功能，它可让内网接口上的主机由DHCP服务提供相对应的地址及其他信息，使得用户轻松管理所有的上网主机。
2、瑞星全功能NP防火墙系统组成
硬件配置
机箱 300x185x44(1U) 带标准上架工具
存储 闪盘
网络接口 5个 1个10/100M外网接口
3个10/100M内网接口
1个10/100M DMZ接口
IP-VPN
500 个VPN 通道
80Mbits/sec 168bits 三重数据加密3DES
3DES 和DES encryption 可以使用IKE自动密钥或手工密钥
支持数字签名(PKI X.509) 和手工分发的IKE密钥认证
支持SHA-1 和MD5 强认证
支持L2TP 远程访问通道
带宽管理
分级的服务质量保证（QOS）
支持带宽共享
支持带宽保证（预留）
支持给予连接的服务质量保证（QOS）
基于Web的策略管理系统
图形化的基于Web的管理系统
控制台的命令行界面
攻击报警和日志
支持邮件日志和报警。
有状态防火墙安全性
支持12,800 个并发连接
支持线速的防火墙吞吐率
支持网络地址转换 (NAT) 和 NAPT
有状态包过滤
内容过滤，支持Java, ActiveX, cookie, 关键字过滤
URL 过滤
主动入侵检测引擎
阻止Dos攻击
数据包的规范化检测
扫描检测
扫描欺骗
3、瑞星全功能NP防火墙技术特点
采用新型的网络芯片处理器设计
瑞星全功能NP防火墙其硬件体系架构采用的是新型的网络芯片处理器设计，从而大大的提高了网络数据包处理能力，3DES加密数据处理情况下达到80M/S，而通用防火墙数据处理则可达线速。
集成的多重安全功能
瑞星全功能NP防火墙集成了多重的安全功能，不仅提供了通用防火墙的所有功能，还集成了主动式的入侵检测功能、VPN功能、内容过滤功能及带宽管理等功能，多个安全模块同时工作，起到一个多重保护的功能。
配置向导功能
瑞星全功能NP防火墙支持配置向导，引导用户一步一步配置防火墙及VPN，简单明了，方便快捷。
支持ISP的多种服务模式
瑞星全功能NP防火墙的外网接口IP地址支持三种模式：PPPoE，DHCP，或静态IP。可以根据用户的网络服务提供商所提供的服务方式，任选其中一种设定防火墙的对外IP地址参数。
DHCP服务
瑞星全功能NP防火墙提供了内建的DHCP(动态主机配置服务协议)服务功能，它可让内网接口上的主机由DHCP服务提供相对应的地址及其他信息，使得用户可以轻松管理所有的上网主机。
虚拟专网
瑞星全功能NP防火墙提供虚拟专网功能，该功能支持杂凑式信息验证程序代码HMAC-MD5和HMAC-SHA1杂凑算法为验证规则，及数据加密标准DES-CBC 和三重数据加密标准3DES-CBC算法为加密封装服务。同时支持手动密钥及自动密钥两种模式。自动密钥管理是由自动密钥交换(IKE)协议产生。使用IKE，则启用VPN服务双方所用的加密密钥会自动产生与协商。
瑞星全功能NP防火墙所提供的虚拟专网功能还支持L2TP/PPTP远程访问VPN，使用户使用更方便，更灵活。此功能支持500个VPN通道，同时提供了80M/S的3DES加密吞吐能力。
状态包过滤
瑞星全功能NP防火墙采用了最先进的状态包过滤技术。单纯的包过滤防火墙的安全性是很有限的，因为它只是纯粹的包过滤，只是根据每个数据包的包头信息进行过滤，容易让黑客伪造的数据包穿透防火墙；另外，单纯的包过滤防火墙在工作时对每个通过防火墙的数据包都要进行规则匹配检查，导致包转发的效率低。瑞星全功能NP防火墙根据状态包过滤的思路，在核心中维护一个连接链表，记录着相应连接的状态，对请求建立连接的数据包进行更细粒度的检查，检查通过后记录到状态链表中，从而对后续的或是关联的数据包只需检查其是否属于已建立的连接，不需全部进行规则匹配，经过这样的状态处理机制后不仅使安全性得到加强，同时也大大提高了包过滤的转发效率。
内容过滤，支持Java, ActiveX, cookie, 关键字等过滤
瑞星全功能NP防火墙提供内容过滤功能，支持Java、ActiveX、Cookie及关键字过滤，对活动内容的过滤可以使得浏览网页更安全，支持关键字过滤则可以为用户提供一个健康美好的网页资源浏览。
URL 过滤
瑞星全功能NP防火墙支持网站URL过滤，将相应的URL添加到过滤列表中，上网用户在访问此内资源时就会被拒绝，从而保证用户不能访问一些非法网站及滥用网络资源。
主动入侵检测引擎
瑞星全功能NP防火墙提供了主动入侵检测功能，该功能采用了两大技术来保证网络的安全性：正规化技术与网络扫描及欺骗技术。利用正规化技术可以防止已知的拒绝服务攻击或分布式拒绝服务攻击，这一技术不以入侵数据库的数据样本为基础，所以更能有效的阻挡新的入侵行为。另外网络扫描是黑客入侵的前奏，若能先行获知自己被扫描，进而进行欺骗扫描者，则可以使黑客因为收集信息错误而放弃进一步的入侵可能。
灵活的带宽管理
瑞星全功能NP防火墙提供了灵活的带宽管理功能，此功能可以控制不同类别的数据以不同等级的优先权来使用网络带宽，可以为特殊的应用提供足够的带宽，从而满足企业网络的正常运转。
灵活的控制台和Web管理方式
瑞星全功能NP防火墙支持控制台管理和Web管理两种方式，控制台管理灵活简便，Web管理则清晰明了，基本信息可详细显示。Web管理可启用https方式，更加安全可靠。
4、瑞星全功能NP防火墙的应用
瑞星全功能NP防火墙可以针对企业不同的应用环境灵活地满足不同的安全需要，最常见的应用如下：
应用在企业内网与Internet或其他非安全网络的唯一出入口，防止外部用户对内网的非法访问。
应用在企业内部网络，保护敏感部门的子网；
对内部网的不同域进行隔离，实施不同的安全策略。
限制内网用户对不良网络资源的滥用。
使用瑞星全功能NP防火墙的典型网络拓扑结构图如下：
2. 防火墙的设计与规划
1 引言
网络安全是一个不容忽视的问题，当人们在享受网络带来的方便与快捷的同时，也要时时面对网络开放带来的数据安全方面的新挑战和新危险。为了保障网络安全，当园区网与外部网连接时，可以在中间加入一个或多个中介系统，防止非法入侵者通过网络进行攻击，非法访问，并提供数据可靠性、完整性以及保密性等方面的安全和审查控制，这些中间系统就是防火墙（Firewall）技术。它通过监测、限制、修改跨越防火墙的数据流，尽可能地对外屏蔽网络内部的结构、信息和运行情况、阻止外部网络中非法用户的攻击、访问以及阻挡病毒的入侵，以此来实现内部网络的安全运行。
2 防火墙的概述及其分类
网络安全的重要性越来越引起网民们的注意，大大小小的单位纷纷为自己的内部网络“筑墙”、防病毒与防黑客成为确保单位信息系统安全的基本手段。防火墙是目前最重要的一种网络防护设备，是处于不同网络（如可信任的局域内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的惟一出入口，能根据企业的安全策略控制（允许、拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。
2.1 概述
在逻辑上，防火墙其实是一个分析器，是一个分离器，同时也是一个限制器，它有效地监控了内部网间或Internet之间的任何活动，保证了局域网内部的安全。
1）什么是防火墙
古时候，人们常在寓所之间砌起一道砖墙，一旦火灾发生，它能够防止火势蔓延到别的寓所。现在，如果一个网络接到了Internet上面，它的用户就可以访问外部世界并与之通信。但同时，外部世界也同样可以访问该网络并与之交互。为安全起见，可以在该网络和Internet之间插入一个中介系统，竖起一道安全屏障。这道屏障的作用是阻断来自外部通过网络对本网络的威胁和入侵，提供扼守本网络的安全和审计的关卡，它的作用与古时候的防火砖墙有类似之处，因此就把这个屏障叫做“防火墙”。
防火墙可以是硬件型的，所有数据都首先通过硬件芯片监测；也可以是软件型的，软件在计算机上运行并监控。其实硬件型也就是芯片里固化了UNIX系统软件，只是它不占用计算机CPU的处理时间，但价格非常高，对于个人用户来说软件型更加方便实在。
2）防火墙的功能
防火墙只是一个保护装置，它是一个或一组网络设备装置。它的目的就是保护内部网络的访问安全。它的主要任务是允许特别的连接通过，也可以阻止其它不允许的连接。其主体功能可以归纳为如下几点：
·根据应用程序访问规则可对应用程序联网动作进行过滤；
·对应用程序访问规则具有学习功能；
·可实时监控，监视网络活动；
·具有日志，以记录网络访问动作的详细信息；
·被拦阻时能通过声音或闪烁图标给用户报警提示。
3）防火墙的使用
由于防火墙的目的是保护一个网络不受来自另一个网络的攻击。因此，防火墙通常使用在一个被认为是安全和可信的园区网与一个被认为是不安全与不可信的网络之间，阻止别人通过不安全与不可信的网络对本网络的攻击，破坏网络安全，限制非法用户访问本网络，最大限度地减少损失。
2.2 防火墙的分类
市场上的硬件防火墙产品非常之多，分类的标准比较杂，从技术上通常将其分为“包过滤型”、“代理型”和“监测型”等类型。
1）包过滤型
包过滤型产品是防火墙的初级产品，其技术依据是网络中的分包传输技术。网络上的数据都是以“包”为单位进行传输的，数据被分割成为一定大小的数据包，每一个数据包中都会包含一些特定信息，如数据的源地址、目标地址、TCP/UDP(传输控制协议/用户数据报协议)源端口和目标端口等。防火墙通过读取数据包中的地址信息来判断这些“包”是否来自可信任的安全站点，一旦发现来自危险站点的数据包，防火墙便会将这些数据拒之门外。
2）代理型
代理型防火墙也可以被称为代理服务器，它的安全性要高于包过滤型产品，并已经开始向应用层发展。代理服务器位于客户机与服务器之间，完全阻挡了二者间的数据交流。从客户机来看，代理服务器相当于一台真正的服务器；而从服务器来看，代理服务器又是一台真正的客户机。当客户机需要使用服务器上的数据时，首先将数据请求发给代理服务器，代理服务器再根据这一请求向服务器索取数据，然后由代理服务器将数据传输给客户机。由于外部系统与内部服务器之间没有直接的数据通道，外部的恶意侵害也就很难伤害到企业内部网络系统。
3）监测型
监测型防火墙是新一代的产品，这一技术实际上已经超越了最初的防火墙定义。监测型防火墙能够对各层的数据进行主动的、实时的监测，在对这些数据加以分析的基础上，监测型防火墙能够有效地判断出各层中的非法侵入。同时，这种监测型防火墙产品一般还带有分布式探测器，这些探测器安置在各种应用服务器和其他网络的节点之中，不仅能够检测来自网络外部的攻击，同时对来自内部的恶意破坏也有极强的防范作用。据权威机构统计，在针对网络系统的攻击中，有相当比例的攻击来自网络内部。因此，监测型防火墙不仅超越了传统防火墙的定义，而且在安全性上也超越了前两代产品。
3 防火墙的作用、特点及优缺点
防火墙通常使用在一个可信任的内部网络和不可信任的外部网络之间，阻断来自外部通过网络对局域网的威胁和入侵，确保局域网的安全。与其它网络产品相比，有着其自身的专用特色，但其本身也有着某些不可避免的局限。下面对其在网络系统中的作用、应用特点和其优缺点进行简单的阐述。
3.1 防火墙的作用
防火墙可以监控进出网络的通信量，仅让安全、核准了的信息进入，同时又抵制对园区网构成威胁的数据。随着安全性问题上的失误和缺陷越来越普遍，对网络的入侵不仅来自高超的攻击手段，也有可能来自配置上的低级错误或不合适的口令选择。因此，防火墙的作用是防止不希望的、未授权的通信进出被保护的网络，迫使单位强化自己的安全策略。一般的防火墙都可以达到如下目的：一是可以限制他人进入内部网络，过滤掉不安全服务和非法用户；二是防止入侵者接近防御设施；三是限定用户访问特殊站点；四是为监视Internet安全提供方便。
3.2 防火墙的特点
我们在使用防火墙的同时，对性能、技术指标和用户需求进行分析。包过滤防火墙技术的特点是简单实用，实现成本较低，在应用环境比较简单的情况下，能够以较小的代价在一定程度上保证系统的安全。包过滤技术是一种基于网络层的安全技术，只能根据数据包的来源、目标和端口等网络信息进行判断，无法识别基于应用层的恶意侵入，如恶意的Java小程序以及电子邮件中附带的病毒；代理型防火墙的特点是安全性较高，可以针对应用层进行侦测和扫描，对付基于应用层的侵入和病毒都十分有效。当然代理服务器必须针对客户机可能产生的所有应用类型逐一进行设置，大大增加了系统管理的复杂性；虽然监测型防火墙安全性上已超越了包过滤型和代理服务器型防火墙，但由于监测型防火墙技术的实现成本较高，也不易管理，所以目前在实用中的防火墙产品仍然以第二代代理型产品为主，但在某些方面也已经开始使用监测型防火墙。
防火墙一般具有如下显着特点：
·广泛的服务支持 通过动态的、应用层的过滤能力和认证相结合，可以实现WWW浏览器、HTTP服务器、FTP等；
·对私有数据的加密支持 保证通过Internet进行虚拟私人网络和商业活动不受损坏；
·客户端只允许用户访问指定的网络或选择服务 企业本地网、园区网与分支机构、商业伙伴和移动用户等安全通信的信息；
·反欺骗 欺骗是从外部获取网络访问权的常用手段，它使数据包类似于来自网络内部。防火墙能监视这样的数据包并能丢弃；
·C/S模式和跨平台支持 能使运行在一个平台的管理模块控制运行在另一个平台的监视模块。
3.3 防火墙的优势和存在的不足
防火墙在确保网络的安全运行上发挥着重要的作用。但任何事物都不是完美无缺的，对待任何事物必须一分为二，防火墙也不例外。在充分利用防火墙优点为我们服务的同时，也不得不面对其自身弱点给我们带来的不便。
1） 防火墙的优势
（1）防火墙能够强化安全策略。因为网络上每天都有上百万人在收集信息、交换信息，不可避免地会出现个别品德不良或违反规则的人。防火墙就是为了防止不良现象发生的“交通警察”，它执行站点的安全策略，仅仅允许“认可的”和符合规则的请求通过。
（2）防火墙能有效地记录网络上的活动。因为所有进出信息都必须通过防火墙，所以防火墙非常适合用于收集关于系统和网络使用和误用的信息。作为访问的唯一点，防火墙能在被保护的网络和外部网络之间进行记录。
（3）防火墙限制暴露用户点。防火墙能够用来隔开网络中的两个网段，这样就能够防止影响一个网段的信息通过整个网络进行传播。
（4）防火墙是一个安全策略的检查站。所有进出的信息都必须通过防火墙，防火墙便成为安全问题的检查点，使可疑的访问被拒绝于门外。
2） 防火墙存在的不足
（1）不能防范恶意的知情者。防火墙可以禁止系统用户经过网络连接发送专有的信息，但用户可以将数据复制到磁盘、磁带上，放在公文包中带出去。如果入侵者已经在防火墙内部，防火墙是无能为力的。内部用户可以偷窃数据，破坏硬件和软件，并且巧妙地修改程序而不接近防火墙。对于来自知情者的威胁，只能要求加强内部管理。
（2）不能防范不通过它的连接。防火墙能够有效地防止通过它传输的信息，然而它却不能防止不通过它而传输的信息。例如，如果站点允许对防火墙后面的内部系统进行拨号访问，那么防火墙绝对没有办法阻止入侵者进行拨号入侵。
（3）不能防备全部的威胁。防火墙被用来防备已知的威胁，如果是一个很好的防火墙设计方案，就可以防备新的威胁，但没有一台防火墙能自动防御所有新的威胁。
4 防火墙的管理与维护
如果已经设计好了一个防火墙，使它满足了你的机构的需要，接下来的工作就是防火墙的管理与维护了。在防火墙设计建造完成以后，使它正常运转还要做大量的工作。值得注意的是，这里许多维护工作是自动进行的。管理与维护工作主要有4个方面，它们分别是：建立防火墙的安全策略、日常管理、监控系统、保持最新状态。
4.1 建立防火墙的安全策略
要不要制定安全上的策略规定是一个有争议的问题。有些人认为制定一套安全策略是相当必须的，因为它可以说是一个组织的安全策略轮廓，尤其在网络上以及网络系统管理员对于安全上的顾虑并没有明确的策略时。
安全策略也可以称为访问上的控制策略。它包含了访问上的控制以及组织内其他资源使用的种种规定。访问控制包含了哪些资源可以被访问，如读取、删除、下载等行为的规范，以及哪些人拥有这些权力等信息。
1） 网络服务访问策略
网络服务访问策略是一种高层次的、具体到事件的策略，主要用于定义在网络中允许的或禁止的网络服务，还包括对拨号访问以及PPP（点对点协议）连接的限制。这是因为对一种网络服务的限制可能会促使用户使用其他的方法，所以其他的途径也应受到保护。比如，如果一个防火墙阻止用户使用Telnet服务访问因特网，一些人可能会使用拨号连接来获得这些服务，这样就可能会使网络受到攻击。网络服务访问策略不但应该是一个站点安全策略的延伸，而且对于机构内部资源的保护也起全局的作用。这种策略可能包括许多事情，从文件切碎条例到病毒扫描程序，从远程访问到移动介质的管理。
2） 防火墙的设计策略
防火墙的设计策略是具体地针对防火墙，负责制定相应的规章制度来实施网络服务访问策略。在制定这种策略之前，必须了解这种防火墙的性能以及缺陷、TCP/IP自身所具有的易攻击性和危险。防火墙一般执行一下两种基本策略中的一种：
① 除非明确不允许，否则允许某种服务；
② 除非明确允许，否则将禁止某项服务。
执行第一种策略的防火墙在默认情况下允许所有的服务，除非管理员对某种服务明确表示禁止。执行第二种策略的防火墙在默认情况下禁止所有的服务，除非管理员对某种服务明确表示允许。防火墙可以实施一种宽松的策略（第一种），也可以实施一种限制性策略（第二种），这就是制定防火墙策略的入手点。
3） 安全策略设计时需要考虑的问题
为了确定防火墙安全设计策略，进而构建实现预期安全策略的防火墙，应从最安全的防火墙设计策略开始，即除非明确允许，否则禁止某种服务。策略应该解决以下问题：
·需要什么服务，如Telnet、WWW或NFS等；
·在那里使用这些服务，如本地、穿越因特网、从家里或远方的办公机构等；
·是否应当支持拨号入网和加密等服务；
·提供这些服务的风险是什么；
·若提供这种保护，可能会导致网络使用上的不方便等负面影响，这些影响会有多大；
·与可用性相比，站点的安全性放在什么位置。
4.2 日常管理
日常管理是经常性的琐碎工作，以使防火墙保持清洁和安全。为此，需要经常去完成的主要工作：数据备份、账号管理、磁盘空间管理等。
1） 数据备份
一定要备份防火墙的数据。使用一种定期的、自动的备份系统为一般用途的机器做备份。当这个系统正常做完备份之后，最好还能发送出一封确定信，而当它发现错误的时候，也最好能产生一个明显不同的信息。
为什么只是在错误发生的时候送出一封信就好了呢？如果这个系统只在有错误的时候产生一封信，或许就有可能不会注意到这个系统根本就没有运作。那为什么需要明显不同的信息呢？如果备份系统正常和执行失败时产生的信息很类似。那么习惯于忽略成功信息的人，也有可能会忽略失败信息。理想的情况是有一个程序检查备份有没有执行，并在备份没有执行的时候产生一个信息。
2） 账号管理
账号的管理。包括增加新账号、删除旧账号及检查密码期限等，是最常被忽略的日常管理工作。在防火墙上，正确的增加新账号、迅速地删除旧账号以及适时地变更密码，绝对是一项非常重要的工作。
建立一个增加账号的程序，尽量使用一个程序增加账号。即使防火墙系统上没有多少用户，但每一个用户都可能是一个危险。一般人都有一个毛病，就是漏掉一些步骤，或在过程中暂停几天。如果这个空档正好碰到某个账号没有密码，入侵者就很容易进来了。
账号建立程序中一定要标明账号日期，以及每隔一阶段就自动检查账号。虽然不需要自动关闭账号，但是需要自动通知那些账号超过期限的人。可能的话，设置一个自动系统监控这些账号。这可以在UNIX系统上产生账号文件，然后传送到其他的机器上，或者是在各台机器上产生账号，自动把这些账号文件拷贝到UNIX上，再检查它们。
如果系统支持密码期限的功能，应该把该功能打开。选择稍微长一点的期限，譬如说三到六个月。如果密码有效期太短，例如一个月，用户可能会想尽办法躲避期限，也就无法在安全防护上得到真正的收益。同理如果密码期限功能不能保证用户在账号被停用前看到密码到期通知，就不要开启这个功能。否则，用户会很不方便，而且也会冒着锁住急需使用机器的系统管理者的风险。
3） 磁盘空间管理
数据总是会塞满所有可用的空间，即使在几乎没有什么用户的机器上也一样。人们总是向文件系统的各个角落丢东西，把各种数据转存到文件系统的临时地址中。这样引起的问题可能常常会超出人们的想象。暂且不说可能需要使用那些磁盘空间，只是这种碎片就容易造成混乱，使事件的处理更复杂。于是有人可能会问：那是上次安装新版程序留下来的程序吗？是入侵者放进来的程序吗？那真的是一个普通的数据文件吗？是一些对入侵者有特殊意义的东西？等等，不幸的是能自动找出这种“垃圾”的方法没有，尤其是可以在磁盘上到处写东西的系统管理者。因此，最好有一个人定期检查磁盘，如果让每一个新任的系统管理者都去遍历磁盘会特别有效。他们将会发现管理员忽视的东西。
在大多数防火墙中，主要的磁盘空间问题会被日志记录下来。这些记录应该自动进行，自动重新开始，这些数据最好把它压缩起来。Trimlon程序能够使这个处理程序自动化。当系统管理者要截断或搬移记录时，一定要停止程序或让它们暂停记录，如果在截断或搬移记录时，还有程序在尝试写入记录文件，显然就会有问题。事实上，即使只是有程序开启了文件准备稍后写入，也可能会惹上麻烦。
4.3 监视系统
对防火墙的维护、监视系统是维护防火墙的重点，它可以告诉系统管理者以下的问题：
·防火墙已岌岌可危了吗？
·防火墙能提供用户需求的服务吗？
·防火墙还在正常运作吗？
·尝试攻击防火墙的是哪些类型的攻击？
要回答这几个问题，首先应该知道什么是防火墙的正常工作状态。
1） 专用设备的监视
虽然大部分的监视工作都是利用防火墙上现成的工具或记录数据，但是也可能会觉得如果有一些专用的监视设备会很方便。例如，可能需要在周围网络上放一个监视站，以便确定通过的都是预料中的数据包。可以使用有网络窥视软件包的一般计算机，也可以使用特殊用途的网络检测器。
如何确定这一台监视机器不会被入侵者利用呢？事实上，最好根本不要让入侵者知道它的存在。在某些网络硬件设备上，只要利用一些技术和一对断线器（wire cutter）取消网络接口的传输功能，就可以使这台机器无法被检测到，也很难被入侵者利用。如果有操作系统的原始程序，也可以从那里取消传输功能，随时停止传输。但是，在这种情况下很难确认操作是否已经做成功了。
2） 应该监视的内容
理想的情况是，应该知道通过防火墙的一切事情，包括每一条连接，以及每一个丢弃或接受的数据包。然而实际的情况是很难做到的，而折衷的办法是，在不至于影响主机速度也不会太快填满磁盘的情况下，尽量多做记录，然后再为所产生的记录整理出摘要。
在特殊情况下，要记录好以下内容：一是所有抛弃的包和被拒绝的连接；二是每一个成功的连接通过堡垒主机的时间、协议和用户名；三是所有从路由器中发现的错误、堡垒主机和一些代理程序。
3） 监视工作中的一些经验
应该把可疑的事件划分为几类：一是知道事件发生的原因，而且这不是一个安全方面的问题；二是不知道是什么原因，也许永远不知道是什么原因引起的，但是无论它是什么，它从未再出现过；三是有人试图侵入，但问题并不严重，只是试探一下；四是有人事实上已经侵入。
这些类别之间的界限比较含糊。要提供以上任何问题的详细征兆是不可能的，但是下面这些归纳出的经验可能会对网络系统管理员有所帮助。如果发现以下情况，网络系统管理员就有理由怀疑有人在探试站点：一是试图访问在不安全的端口上提供的服务（如企图与端口映射或者调试服务器连接）；二是试图利用普通账户登录（如guest）；三是请求FTP文件传输或传输NFS（Network File System，网络文件系统）映射；四是给站点的SMTP（Simple Mail Transfer Protocol，简单邮件传输协议）服务器发送debug命令。
如果网络系统管理员见到以下任何情况，应该更加关注。因为侵袭可能正在进行之中：一是多次企图登录但多次失败的合法账户，特别是因特网上的通用账户；二是目的不明的数据包命令；三是向某个范围内每个端口广播的数据包；四是不明站点的成功登录。
如果网络系统管理员了发现以下情况，应该怀疑已有人成功地侵入站点：一是日志文件被删除或者修改；二是程序突然忽略所期望的正常信息；三是新的日志文件包含有不能解释的密码信息或数据包痕迹；四是特权用户的意外登录（例如root用户），或者突然成为特权用户的意外用户；五是来自本机的明显的试探或者侵袭，名字与系统程序相近的应用程序；六是登录提示信息发生了改变。
4） 对试探作出的处理
通常情况下，不可避免地发觉外界对防火墙进行明显试探——有人向没有向Internet提供的服务发送数据包，企图用不存在的账户进行登录等。试探通常进行一两次，如果他们没有得到令人感兴趣的反应，他们通常就会走开。而如果想弄明白试探来自何方，这可能就要花大量时间追寻类似的事件。然而，在大多数情况下，这样做不会有很大成效，这种追寻试探的新奇感很快就会消失。
一些人满足于建立防火墙机器去诱惑人们进行一般的试探。例如，在匿名的FTP区域设置装有用户账号数据的文件，即使试探者破译了密码，看到的也只是一个虚假信息。这对于消磨空闲时间是没有害处的，这还能得到报复的快感，但是事实上它不会改善防火墙的安全性。它只能使入侵者恼怒，从而坚定了入侵者闯入站点的决心。
4.4 保持最新状态
保持防火墙的最新状态也是维护和管理防火墙的一个重点。在这个侵袭与反侵袭的领域中，每天都产生新的事物、发现新的毛病，以新的方式进行侵袭，同时现有的工具也会不断地被更新。因此，要使防火墙能同该领域的发展保持同步。
当防火墙需要修补、升级一些东西，或增加新功能时，就必须投入较多的时间。当然所花的时间长短视修补、升级、或增加新功能的复杂程度而定。如果开始时对站点需求估计的越准确，防火墙的设计和建造做的越好，防火墙适应这些改变所花的时间就越少。
5 结束语
随着Internet在我国的迅速发展，网络安全的问题越来越得到重视，防火墙技术也引起了各方面的广泛关注。我们国家除了自行展开了对防火墙的一些研究，还对国外的信息安全和防火墙的发展进行了密切的关注，以便能更快掌握这方面的信息，更早的应用到我们的网络上面。当然，金无足赤，人无完人，我们从防火墙维护和管理的研究上得知，防火墙能保护网络的安全，但并不是绝对安全的，而是相对的。
参考文献
[1] 虞益诚.网络技术及应用.东南大学出版社，2005.2
[2] 王 睿，林海波.网络安全与防火墙技术.清华大学出版社，2005.7
[3] 黄志晖.计算机网络设备全攻略.西安电子科技大学出版社
[4] 石良武.计算机网络与应用.清华大学出版社，2005.2
3. 什么是防火墙，以及防火墙可以实现什么功能.
一、防火墙的基本概念
古时候，人们常在寓所之间砌起一道砖墙，一旦火灾发生，它能够防止火势蔓延到别的寓所。现在，如果一个网络接到了Internet上面，它的用户就可以访问外部世界并与之通信。但同时，外部世界也同样可以访问该网络并与之交互。为安全起见，可以在该网络和Internet之间插入一个中介系统，竖起一道安全屏障。这道屏障的作用是阻断来自外部通过网络对本网络的威胁和入侵，提供扼守本网络的安全和审计的唯一关卡，它的作用与古时候的防火砖墙有类似之处，因此我们把这个屏障就叫做“防火墙”。
在电脑中，防火墙是一种装置，它是由软件或硬件设备组合而成，通常处于企业的内部局域网与Internet之间，限制Internet用户对内部网络的访问以及管理内部用户访问外界的权限。换言之，防火墙是一个位于被认为是安全和可信的内部网络与一个被认为是不那么安全和可信的外部网络(通常是Internet)之间的一个封锁工具。防火墙是一种被动的技术，因为它假设了网络边界的存在，它对内部的非法访问难以有效地控制。因此防火墙只适合于相对独立的网络，例如企业内部的局域网络等。
二、防火墙的基本准则
1.过滤不安全服务
基于这个准则，防火墙应封锁所有信息流，然后对希望提供的安全服务逐项开放，对不安全的服务或可能有安全隐患的服务一律扼杀在萌芽之中。这是一种非常有效实用的方法，可以造成一种十分安全的环境，因为只有经过仔细挑选的服务才能允许用户使用。
2.过滤非法用户和访问特殊站点
基于这个准则，防火墙应先允许所有的用户和站点对内部网络的访问，然后网络管理员按照IP地址对未授权的用户或不信任的站点进行逐项屏蔽。这种方法构成了一种更为灵活的应用环境，网络管理员可以针对不同的服务面向不同的用户开放，也就是能自由地设置各个用户的不同访问权限。
三、防火墙的基本措施
防火墙安全功能的实现主要采用两种措施。
1.代理服务器(适用于拨号上网)
这种方式是内部网络与Internet不直接通讯，内部网络计算机用户与代理服务器采用一种通讯方式，即提供内部网络协议（NetBIOS、TCP/IP），代理服务器与Internet之间的通信采取的是标准TCP/IP网络通信协议，防火墙内外的计算机的通信是通过代理服务器来中转实现的，结构如下所示:
内部网络→代理服务器→Internet
这样便成功地实现了防火墙内外计算机系统的隔离，由于代理服务器两端采用的是不同的协议标准，所以能够有效地阻止外界直接非法入侵。
代理服务器通常由性能好、处理速度快、容量大的计算机来充当，在功能上是作为内部网络与Internet的连接者，它对于内部网络来说像一台真正的服务器一样，而对于互联网上的服务器来说，它又是一台客户机。当代理服务器接受到用户的请求以后，会检查用户请求的站点是否符合设定要求，如果允许用户访问该站点的话，代理服务器就会和那个站点连接，以取回所需信息再转发给用户。
另外，代理服务器还能提供更为安全的选项，例如它可以实施较强的数据流的监控、过滤、记录和报告功能，还可以提供极好的访问控制、登录能力以及地址转换能力。但是这种防火墙措施，在内部网络终端机很多的情况下，效率必然会受到影响，代理服务器负担很重，并且许多访问Internet的客户软件在内部网络计算机中无法正常访问Internet。
2.路由器和过滤器
这种结构由路由器和过滤器共同完成对外界计算机访问内部网络的限制，也可以指定或限制内部网络访问Internet。路由器只对过滤器上的特定端口上的数据通讯加以路由，过滤器的主要功能就是在网络层中对数据包实施有选择的通过，依照IP（Internet Protocol）包信息为基础，根据IP源地址、IP目标地址、封装协议端口号，确定它是否允许该数据包通过。这种防火墙措施最大的优点就是它对于用户来说是透明的，也就是说不须用户输入账号和密码来登录，因此速度比代理服务器快，且不容易出现瓶颈现象。然而其缺点也是很明显的，就是没有用户的使用记录，这样我们就不能从访问记录中发现非法入侵的攻击记录。 ....
4. 网络防火墙是什么样子的
防火墙不是现实中的一堵墙，它是一段程序，在网络的幕后，是无形的、看不见的一张过滤网，专门过滤那些恶意程序、盗号木马程序、偷窥隐私程序。
5. 为了保护公司内部网络的安全，公司的硬件防火墙应该如何部署，请做出拓扑图
你可以参考一下。
6. 网络防火墙是什么意思
防火墙也被称为防护墙，它是一种位于内部网络与外部网络之间的网络安全系统，可以将内部网络和外部网络隔离。
通常，防火墙可以保护内部／私有局域网免受外部攻击，并防止重要数据泄露。在没有防火墙的情况下，路由器会在内部网络和外部网络之间盲目传递流量且没有过滤机制，而防火墙不仅能够监控流量，还能够阻止未经授权的流量。
简介
在网络中，所谓“防火墙”，是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络。
同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。
7. 网络防火墙是什么
防火墙的英文名为“FireWall”，它是目前一种最重要的网络防护设备。从专业角度讲，防火墙是位于两个(或多个)网络间，实施网络之间访问控制的一组组件集合。
防火墙在网络中经常是以下图所示的两种图标出现的。左边那个图标非常形象，真正像一堵墙一样。而右边那个图标则是从防火墙的过滤机制来形象化的，在图标中有一个二极管图标。而二极管我们知道，它具有单向导电性，这样也就形象地说明了防火墙具有单向导通性。这看起来与现在防火墙过滤机制有些矛盾，不过它却完全体现了防火墙初期的设计思想，同时也在相当大程度上体现了当前防火墙的过滤机制。因为防火最初的设计思想是对内部网络总是信任的，而对外部网络却总是不信任的，所以最初的防火墙是只对外部进来的通信进行过滤，而对内部网络用户发出的通信不作限制。当然目前的防火墙在过滤机制上有所改变，不仅对外部网络发出的通信连接要进行过滤，对内部网络用户发出的部分连接请求和数据包同样需要过滤，但防火墙仍只对符合安全策略的通信通过，也可以说具有“单向导通”性。
防火墙的本义是指古代构筑和使用木制结构房屋的时候，为防止火灾的发生和蔓延，人们将坚固的石块堆砌在房屋周围作为屏障，这种防护构筑物就被称之为“防火墙”。其实与防火墙一起起作用的就是“门”。如果没有门，各房间的人如何沟通呢，这些房间的人又如何进去呢？当火灾发生时，这些人又如何逃离现场呢？这个门就相当于我们这里所讲的防火墙的“安全策略”，所以在此我们所说的防火墙实际并不是一堵实心墙，而是带有一些小孔的墙。这些小孔就是用来留给那些允许进行的通信，在这些小孔中安装了过滤机制，也就是上面所介绍的“单向导通性”。
我们通常所说的网络防火墙是借鉴了古代真正用于防火的防火墙的喻义，它指的是隔离在本地网络与外界网络之间的一道防御系统。防火可以使企业内部局域网（LAN）网络与Internet之间或者与其他外部网络互相隔离、限制网络互访用来保护内部网络。典型的防火墙具有以下三个方面的基本特性：
（一）内部网络和外部网络之间的所有网络数据流都必须经过防火墙
这是防火墙所处网络位置特性，同时也是一个前提。因为只有当防火墙是内、外部网络之间通信的唯一通道，才可以全面、有效地保护企业网部网络不受侵害。
根据美国国家安全局制定的《信息保障技术框架》，防火墙适用于用户网络系统的边界，属于用户网络边界的安全保护设备。所谓网络边界即是采用不同安全策略的两个网络连接处，比如用户网络和互联网之间连接、和其它业务往来单位的网络连接、用户内部网络不同部门之间的连接等。防火墙的目的就是在网络连接之间建立一个安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络的服务和访问的审计和控制。
典型的防火墙体系网络结构如下图所示。从图中可以看出，防火墙的一端连接企事业单位内部的局域网，而另一端则连接着互联网。所有的内、外部网络之间的通信都要经过防火墙。
（二）只有符合安全策略的数据流才能通过防火墙
防火墙最基本的功能是确保网络流量的合法性，并在此前提下将网络的流量快速的从一条链路转发到另外的链路上去。从最早的防火墙模型开始谈起，原始的防火墙是一台“双穴主机”，即具备两个网络接口，同时拥有两个网络层地址。防火墙将网络上的流量通过相应的网络接口接收上来，按照OSI协议栈的七层结构顺序上传，在适当的协议层进行访问规则和安全审查，然后将符合通过条件的报文从相应的网络接口送出，而对于那些不符合通过条件的报文则予以阻断。因此，从这个角度上来说，防火墙是一个类似于桥接或路由器的、多端口的（网络接口>=2）转发设备，它跨接于多个分离的物理网段之间，并在报文转发过程之中完成对报文的审查工作。如下图：
（三）防火墙自身应具有非常强的抗攻击免疫力
这是防火墙之所以能担当企业内部网络安全防护重任的先决条件。防火墙处于网络边缘，它就像一个边界卫士一样，每时每刻都要面对黑客的入侵，这样就要求防火墙自身要具有非常强的抗击入侵本领。它之所以具有这么强的本领防火墙操作系统本身是关键，只有自身具有完整信任关系的操作系统才可以谈论系统的安全性。其次就是防火墙自身具有非常低的服务功能，除了专门的防火墙嵌入系统外，再没有其它应用程序在防火墙上运行。当然这些安全性也只能说是相对的。
8. 网络安全拓扑图和网络拓扑区别
网络安全拓扑图与网络拓扑图没有什么太大的区别。
网络拓扑图：也就是把一些网络设备连接在一起，通过传输介质达到互连互通的目的。