什么是防火墙的部署方式

1透明模式

透明模式也可叫作桥模式。最简单的网络由客户端和服务器组成，客户端和服务器处于同一网段。为了安全方面的考虑，在客户端和服务器之间增加了防火墙设备，对经过的流量进行安全控制。

正常的客户端请求通过防火墙送达服务器，服务器将响应返回给客户端，用户不会感觉到中间设备的存在。工作在桥模式下的防火墙没有IP地址，当对网络进行扩容时无需对网络地址进行重新规划，但牺牲了路由、等功能。

2网关模式

网关模式适用于内外网不在同一网段的情况，防火墙设置网关地址实现路由器的功能，为不同网段进行路由转发。网关模式相比桥模式具备更高的安全性，在进行访问控制的同时实现了安全隔离，具备了一定的私密性。

3NAT模式

NAT(Network Address Translation)地址翻译技术由防火墙对内部网络的IP地址进行地址翻译，使用防火墙的IP地址替换内部网络的源地址向外部网络发送数据;当外部网络的响应数据流量返回到防火墙后，防火墙再将目的地址替换为内部网络的源地址。

NAT模式能够实现外部网络不能直接看到内部网络的IP地址，进一步增强了对内部网络的安全防护。同时，在NAT模式的网络中，内部网络可以使用私网地址，可以解决IP地址数量受限的问题。

所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关，从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信均要经过此防火墙。 部署防火墙： 规则实施
规则实施看似简单，其实需要经过详尽的信息统计才可以得以实施。在过程中我们需要了解公司对内对外的应用以及所对应的源地址、目的地址、TCP或UDP的端口，并根据不同应用的执行频繁程度对策率在规则表中的位置进行排序，然后才能实施配置。原因是防火墙进行规则查找时是顺序执行的，如果将常用的规则放在首位就可以提高防火墙的工作效率。另外，应该及时地从病毒监控部门得到病毒警告，并对防火墙的策略进行更新也是制定策略所必要的手段。
规则启用计划
通常有些策略需要在特殊时刻被启用和关闭，比如凌晨3：00。而对于网管员此时可能正在睡觉，为了保证策略的正常运作，可以通过规则启用计划来为该规则制定启用时间。另外，在一些企业中为了避开上网高峰和攻击高峰，往往将一些应用放到晚上或凌晨来实施，比如远程数据库的同步、远程信息采集等等，遇到这些需求网管员可以通过制定详细的规则和启用计划来自动维护系统的安全。
日志监控
日志监控是十分有效的安全管理手段，往往许多管理员认为只要可以做日志的信息，都去采集，比如说对所有的告警或所有与策略匹配或不匹配的流量等等，这样的做法看似日志信息十分完善，但可以想一下每天进出防火墙的数据报文有上百万甚至更多，你如何在这些密密麻麻的条目中分析你所需要的信息呢？虽然有一些软件可以通过分析日志来获得图形或统计数据，但这些软件往往需要去二次开发或制定，而且价格不菲。所以只有采集到最关键的日志才是真正有用的日志。
一般而言，系统的告警信息是有必要记录的，但对于流量信息是应该有选择的。有时候为了检查某个问题我们可以新建一条与该问题匹配的策略并对其进行观测。比如：内网发现蠕虫病毒，该病毒可能会针对主机系统某UDP端口进行攻击，网管员虽然已经将该病毒清除，但为了监控有没有其他的主机受感染，我们可以为该端口增加一条策略并进行日志来检测网内的流量。
另外，企业防火墙可以针对超出经验阀值的报文做出响应，如丢弃、告警、日志等动作，但是所有的告警或日志是需要认真分析的，系统的告警支持根据经验值来确定的，比如对于工作站和服务器来说所产生的会话数是完全不同的，所以有时会发现系统告知一台邮件服务器在某端口发出攻击,而很有可能是这台服务器在不断的重发一些没有响应的邮件造成的。
设备管理
对于企业防火墙而言，设备管理方面通常可以通过远程Web管理界面的访问以及Internet外网口被Ping来实现，但这种方式是不太安全的，因为有可能防火墙的内置Web服务器会成为攻击的对象。所以建议远程网管应该通过IPsec 的方式来实现对内端口网管地址的管理．原则参考： >一般而言，防火墙部署于公司网络的出口位置，以便对进出公司的所有访问流量进行限制。然而，如果防火墙部署在公司网络出口位置，一旦防火墙发生故障，就会影响到整个网络业务。因此，为了提升防火墙的可靠性，可以类似路由交换设备中的VRRP技术一样，配置防火墙双机热备技术。
在防火墙双击热备架构中，当一台防火墙出现故障时，业务流量能平稳地切换到另一台防火墙上，保证流量业务不中断，使得对内外网用户透明，感知不到防火墙的故障

硬件防火墙是放在局域网的出口上的，具体放在路由器的前后要看具体需求，一般是放前面。

在安全策略中，要写明修改硬件防火墙配置的步骤，如哪些授权需要修改、谁能进行这样的修改、什么时候才能进行修改、如何记录这些修改等。安全策略还应该写明责任的划分，如某人具体做修改，另一人负责记录，第三个人来检查和测试修改后的设置是否正确。详尽的安全策略应该保证硬件防火墙配置的修改工作程序化，并能尽量避免因修改配置所造成的错误和安全漏洞。

如果有必要，管理员还可以用数据包扫描程序来确认硬件防火墙配置的正确与否，甚至可以更进一步地采用漏洞扫描程序来进行模拟攻击，以考核硬件防火墙的能力。

软件防火墙也是要根据具体需求，如果要求比较严格，建议安装杀毒软件企业版的网络套装。

所谓防火墙指的是一个有软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关(Security Gateway)，从而保护内部网免受非法用户的侵入，防火墙主要由服务访问政策、验证工具、包过滤和应用网关4个部分组成，

防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件(其中硬件防火墙用的很少只有国防部等地才用,因为它价格昂贵)。该计算机流入流出的所有网络通信均要经过此防火墙。

软件防火墙单独使用软件系统来完成防火墙功能，将软件部署在系统主机上，其安全性较硬件防火墙差，同时占用系统资源，在一定程度上影响系统性能。其一般用于单机系统或是极少数的个人计算机，很少用于计算机网络中。

在大部分企业中,防火墙都是网络与应用服务的第一道防线。防火墙一直是构建传统网络安全架构的首要基础。

---