防火墙的设计原则
来源：上海市欧博官网督畔信息技术有限公司中国|
类型：网站百科|
时间：2014-07-22
(1) 所有从内到外和从外到内的通信最都必须经过防火墙，这是通过物理上阻塞所有不经过防火墙的局城网访问来实现。不同的配置是可能的。(2) 只有被认可的通信量通过本地安全策略进行定义后才允许传递。使用不同类型的防火墙实现不同的安全策略。(3) 防火墙对于渗透是免疫的，在
网站设计Internet 防火墙时，网络管理员必须做出几个决定：防火墙的姿态(Stance)，机构的整体安全策略、防火墙的经济费用、防火墙系统的组件或构件。
一、internet防火墙可能会扮演两种截然相反的姿态
(1)拒绝没有特别允许的任何事情
这种姿态假定防火墙应该阻塞所有的信息，而每一种所期望的服务或应用都是实现在case-by-cas的基础上，这是一个受推荐的方案。其建立的是一个非常安全的环境，因为只有审慎选择的服务才被支持。当然这种方案也有缺点，即不易使用，因为其限制了提供给用户的选择范圈。
(2)允许没有特别拒绝的任何事情
这种姿态假定防火墙应该转发所有的信息，任何可能存在危害的服务都应在case-by-ca的基础上关掉。这种方案建立的是一个非常灵活的环境，能提供给用户更多的服务。缺点是由于将易使用这个特点放在了安全性的前面，网络管理员处于不断地响应当中，因此随着网络规模的增大，很难保证网络的安全。
二、机构的安全策略
(1) Internet 防火墙并不是独立的，它只是机构总体安全策略的一部分。机构总体安全策略定义了安全防御的方方面面。为确保成功，机构必须知道其保护的对象。
(2) 安全策略必须建立在精心进行的安全分析、风险评估以及商业需求分析基础之上。如果机构没有详尽的安全策略，无论如何精心构建的防火墙都会被绕过去，从而整个内部网络都暴露在攻击面下。
(3) 机构能够负担起什么样的防火墙?
简单的包过虑防火墙的费用最低，因为机构至少需要一个路由器才能连接Internet，并且包过滤功能包括在标准的路由器配置中。商业的防火墙系统提供了附加的安全功能，而费用在4 000--30 000美元之间，具体价格取决于系统的复杂性和要保护的系统的数量。如果一个机构有自已的专页人员，也可以构建自己的防火墙系统，但是仍有开发时间和部署防火墙系统等的费用问题。防火墙系统需要管理，一般性的维护、软件升级、安全上的补漏、事故处理等都要产生费用。
三、Internet防火墙与安全策略的关系
(1) Internet防火墙不仅仅是路由器、堡垒主机或任何提供网络安全的设备的组合，它还是安全策略的一个部分。（2)安全策略建立了全方位的防御体系来包含几个的信息资源。这种安全策略应包括在出版的安全指南中，告诉用户其应有的责任，机构规定的网络访问、服务访问、本地和远地的用户认证、拨人和拨出、磁盘和数据加密、病毒防护措施，以及雇员培训等所有可能受到网络攻击的地方都必须以同样安全级别加以保护。(3)仅设立防火墙系统，而没有全面的安全策略.则防火墙就形同虚设.
四、防火墙的测试验证
防火墙能否起到防护作用。最根本、最有效的证明方法是对其进行测试，甚至站在“黑客”的角度采用各种手段对防火墙进行攻击。然而具体执行时难度较大。(I)防火墙性能测试目前还是一种很新的技术，尚无正式出版刊物，可用的工具和软件更是寥寥无几。据了解，目前只有美国ISS公司提供有防火墙性能测试的工具软件。(2)防火墙测试技术尚不先进，与防火墙设计并非完全吻合，使得测试工作难以达到既定的效果。(3)选择“谁”进行公正的测试也是一个问题。可见，防火墙的性能测试绝不是一件简单的事情，但这种测试又相当必要，因为不进行测试.就不能证明防火墙的安全.
五、防火墙必须进行动态维护
防火墙安装和投人使用后，要想充分发挥它的安全防护作用，必须对它进行跟踪和维护，要与商家保持密切的联系.时刻注视商家的动态。因为商家一旦发现其产品存在安全漏洞，就会尽快发布补救(Patch〕产品，此时应尽快确认真伪，并对防火墙软件进行更新.
六、正确评估防火墙的失效状态
评价防火墙性能如何，不仅要看它工作是否正常，能否阻挡或捕捉到恶意攻击和非法访问的蛛丝马迹.而且要看到一旦防火墙被攻破，它的状态如何。按级别来分，它应有以下4种状态。1、未受伤害能够继续正常工作 ，2、关闭并重新启动，同时恢复到正常工作状态，3、关闭并禁止所有的数据通行，4、关闭并允许所有的数据通行。前两种状态比较理想，而第四种最不安全。但是许多防火墙由于没有条件进行失效状态测试和验证.无法确定其失效状态等级，因此网络必然存在安全隐患。
来源声明：本文章系上海市欧博官网督畔信息技术有限公司中国编辑原创或采编整理，如需转载请注明来自上海市欧博官网督畔信息技术有限公司中国。以上内容部分(包含图片、文字)来源于网络，如有侵权，请及时与本站联系（021-71886699）。
