部署防火牆策略的 16 條鐵律
- 電腦沒有大腦，ISA 行為與預期不符時，請檢查設定而非怪罪軟體。
- 僅允許必要的客戶、來源、目的地與協定；逐條核對規則元素。
- 拒絕規則必須置於允許規則之前。
- 需拒絕時，優先採用明確拒絕。
- 在不影響效果前提下，優先放置匹配度更高的規則。
- 同樣前提下，針對所有用戶的規則前置。
- 盡量簡化規則，單條規則執行效率優於多條。
- 商業網路嚴禁使用
Allow 4 ALL，否則防火牆形同虛設。
- 若系統策略可實現，勿另建自訂規則。
- 每條存取規則獨立執行，互不影響。
- 絕不允許任何網路存取 ISA 本機所有協定，內網同樣不可信。
- SNAT 客戶無法提交驗證資訊，使用驗證時請設為 Web Proxy 或防火牆客戶端。
- 規則中的來源/目的地址，盡量使用 IP 位址。
- 必須用網域名稱集或 URL 集時，建議將客戶端設為 Web Proxy。
- 記住：策略末尾永遠有一條隱性的
DENY 4 ALL。
- 防火牆策略測試是必要步驟。
copyright ©
萬盛學電腦網 all rights reserved