忘记密码   免费注册 查看新帖 | 论坛精华区

ChinaUnix.net

  平台 论坛 博客 认证专区 大话IT HPC论坛 徽章 文库 沙龙 自测 下载 频道自动化运维 虚拟化 储存备份 C/C++ PHP MySQL 嵌入式 Linux系统
最近访问板块 发新帖
查看: 1369 | 回复: 1

[其他] 防火墙安装的十步骤,加强网络第一道保护屏 [复制链接]

论坛徽章:
0
发表于 2017-06-28 09:46 |显示全部楼层
防火墙是保护我们网络的第一道屏障,如果这一道防线失守了,那么我们的网络就危险了。把防火墙想象成你家的院子,如果院子的围墙倒了,也就失去了有力的第一道保护屏障,所以我们有必要把注意一下安装防火墙的注意事项下面这些是我用过的一家3A网络服务器上使用防火墙的一些经验

  1、防火墙实现了你的安全政策。
防火墙加强了一些安全策略。如果你没有在放置防火墙之前制定安全策略的话,那么现在就是制定的时候了。它可以不被写成书面形式,但是同样可以作为安全策略。如果你还没有明确关于安全策略应当做什么的话,安装防火墙就是你能做的最好的保护你的站点的事情,并且要随时维护它也是很不容易的事情。要想有一个好的防火墙,你需要好的安全策略写成书面的并且被大家所接受。

    2、防火墙并不是现成的随时获得的产品。
选择防火墙更像买房子而不是选择去哪里度假。防火墙和房子很相似,你必须每天和它待在一起,你使用它的期限也不止一两个星期那么多。都需要维护否则都会崩溃掉。建设防火墙需要仔细的选择和配置一个解决方案来满足你的需求,然后不断的去维护它。需要做很多的决定,对一个站点是正确的解决方案往往对另外站点来说是错误的。

  3、一个防火墙在许多时候并不是一个单一的设备。
  除非在特别简单的案例中,防火墙很少是单一的设备,而是一组设备。就算你购买的是一个商用的“all-in-one”防火墙应用程序,你同样得配置其他机器(例如你的网络服务器)来与之一同运行。这些其他的机器被认为是防火墙的一部分,这包含了对这些机器的配置和管理方式,他们所信任的是什么,什么又将他们作为可信的等等。你不能简单的选择一个叫做“防火墙”的设备却期望其担负所有安全责任。

  4、使用默认的策略。
正常情况下你的手段是拒绝除了你知道必要和安全的服务以外的任何服务。但是新的漏洞每天都出现,关闭不安全的服务意味着一场持续的战争。美国服务器

  5、防火墙并不会解决你所有的问题。
  并不要指望防火墙靠自身就能够给予你安全。防火墙保护你免受一类攻击的威胁,人们尝试从外部直接攻击内部。但是却不能防止从LAN内部的攻击,它甚至不能保护你免首所有那些它能检测到的攻击。

  6、 有条件的妥协,而不是轻易的。
  人们都喜欢做不安全的事情。如果你允许所有的请求的话,你的网络就会很不安全。如果你拒绝所有的请求的话,你的网络同样是不安全的,你不会知道不安全的东西隐藏在哪里。那些不能和你一同工作的人将会对你不利。你需要找到满足用户需求的方式,虽然这些方式会带来一定量的风险。

  7、只安装你所需要的。
  防火墙机器不能像普通计算机那样安装厂商提供的全部软件分发。作为防火墙一部分的机器必须保持最小的安装。即使你认为有些东西是安全的也不要在你不需要的时候安装它。

8、使用分层手段。
  并在一个地点以来单一的设备。使用多个安全层来避免某个失误造成对你关心的问题的侵害。

  9、使用可以获得的所有资源。
  不要建立基于单一来源的信息的防火墙,特别是该资源不是来自厂商。有许多可以利用的资源:例如厂商信息,我们所编写的书,邮件组,和网站。

  10、只相信你能确定的。
不要相信图形界面的手工和对话框或是厂商关于某些东西如何运行的声明,检测来确定应当拒绝的连接都拒绝了。检测来确定应当允许的连接都允许了。

论坛徽章:
23
天蝎座
日期:2014-05-13 18:05:59IT运维版块每日发帖之星
日期:2015-11-26 06:20:00操作系统版块每月发帖之星
日期:2015-12-02 14:57:54IT运维版块每月发帖之星
日期:2016-01-07 23:01:56IT运维版块每周发帖之星
日期:2016-01-07 23:04:2615-16赛季CBA联赛之青岛
日期:2016-01-23 07:58:272016猴年福章徽章
日期:2016-02-18 15:30:3415-16赛季CBA联赛之北控
日期:2016-03-23 14:20:06IT运维版块每日发帖之星
日期:2016-04-01 06:20:0015-16赛季CBA联赛之吉林
日期:2016-06-28 13:51:54IT运维版块每日发帖之星
日期:2015-11-23 06:20:00IT运维版块每日发帖之星
日期:2015-11-23 06:20:00
发表于 2017-09-12 08:28 |显示全部楼层
本帖最后由 woxizishen 于 2017-09-12 08:33 编辑

1.一般企业服务器多的话,不会考虑在内部服务器上使用软件防火墙,会统一在外部的硬件防火墙进行拦截。
企业服务器不多的话,是可以考虑用软件防火墙

2.笔者还是建议公司有能力,还是买个硬件级防火墙才是王道,一来节省大量人工成本,二来专业级别的就是比公司兼职做防火的这款就是要精湛。
我承认有些大牛iptables firewall用的是得心用手,但新人了?公司不能因为你一个大牛跑路,就让公司因为新人承担未知风险。

3.微软的软件防火墙都成了鸡肋,linux的防火墙难道就能有很大前景吗?我起初也研究多款软件防火墙,其实都是换汤不换药,但是不同版本方式和方法各不相同,很劳神费力。
就像以前软路由有多流行,之前花大量精力学习的人,现在估计肠子都悔青了。不要整天想着靠免费软件去节省硬件的成本,多想想学习成本和后期维护的成本。
你的成本和你维护的软体硬体成本是成正比例的。你维护的玩意不值钱,你的价值在哪?
维护大型机人员工资高,大型机多少钱,
维护桌面人员工资低,PC电脑多少钱,这就是现实。别扯技术方面那些没用的玩意,只要不是傻子你能学会,别人一样能学会。
您需要登录后才可以回帖 登录 | 注册

本版积分规则

SACC2017购票8.8折优惠进行时

2017中国系统架构师大会(SACC2017)将于10月19-21日在北京新云南皇冠假日酒店震撼来袭。今年,大会以“云智未来”为主题,云集国内外顶级专家,围绕云计算、人工智能、大数据、移动互联网、产业应用等热点领域展开技术探讨与交流。本届大会共设置2大主会场,18个技术专场;邀请来自互联网、金融、制造业、电商等多个领域,100余位技术专家及行业领袖来分享他们的经验;并将吸引4000+人次的系统运维、架构师及IT决策人士参会,为他们提供最具价值的交流平台。
----------------------------------------
优惠时间:2017年8月2日前

活动链接>>
  

北京盛拓优讯信息技术有限公司. 版权所有 京ICP备16024965号 北京市公安局海淀分局网监中心备案编号:11010802020122
广播电视节目制作经营许可证(京) 字第1234号 中国互联网协会会员  联系我们:
感谢所有关心和支持过ChinaUnix的朋友们 转载本站内容请注明原作者名及出处

清除 Cookies - ChinaUnix - Archiver - WAP - TOP