服務器防火牆的選擇

　　關於服務器安全，新手最常遇到的一個問題就是：該選擇哪種防火牆?面對種類如此繁多的服務器防火牆，在選擇的時候，是考慮廠商的知名度還是防火牆本身的性能?是選擇國內防火牆好還是國外防火牆?該使用收費的企業級防火牆還是嘗試免費的防火牆?這些問題，都讓人十分頭痛。

　　不同應用環境和不同的使用需求，對防火牆性能的要求各不一樣。所以要真正找到一款合適的服務器防火牆，重點便是在選擇服務器防火牆的時候，認真分析自身的需求，綜合考慮各種不同類型的服務器防火牆的優缺點。為了幫助新手在選擇服務器防火牆的時候，能夠有一個比較大概的方向，我們將介紹服務器防火牆的大致分類，以及不同類型服務器防火牆各自的優缺點。

　　一、按照組成結構劃分，服務器防火牆的種類可以分為硬件防火牆和軟件防火牆。

　　硬件防火牆本質上是把軟件防火牆嵌入在硬件中，硬件防火牆的硬件和軟件都需要單獨設計，使用專用網絡芯片來處理數據包，同時，采用專門的操作系統平台，從而避免通用操作系統的安全漏洞導致內網安全受到威脅。也就是說硬件防火牆是把防火牆程序做到芯片裡面，由硬件執行服務器的防護功能。因為內嵌結構，因此比其他種類的防火牆速度更快，處理能力更強，性能更高。

　　軟件防火牆，顧名思義便是裝在服務器平台上的軟件產品，它通過在操作系統底層工作來實現網絡管理和防御功能的優化。軟件防火牆運行於特定的計算機上，它需要客戶預先安裝好的計算機操作系統的支持，一般來說這台計算機就是整個網絡的網關。軟件防火牆就像其它的軟件產品一樣需要先在計算機上安裝並做好配置才可以使用。

　　硬件防火牆性能上優於軟件防火牆，因為它有自己的專用處理器和內存，可以獨立完成防范網絡攻擊的功能，不過價格會貴不少，更改設置也比較麻煩。而

　　軟件防火牆是在作為網關的服務器上安裝的，利用服務器的CPU和內存來實現防攻擊的能力，在攻擊嚴重的情況下可能大量占用服務器的資源，但是相對而言便宜得多，設置起來也很方便。

　　二、除了從結構上可以把服務器防火牆分為軟件防火牆和硬件防火牆以外，還可以從技術上分為“包過濾型”、“應用代理型”和“狀態監視”三類。一個防火牆的實現過程多麼復雜，歸根結底都是在這三種技術的基礎上進行功能擴展的。

　　1. 包過濾型

　　包過濾是最早使用的一種防火牆技術，它的第一代模型是靜態包過濾，工作在OSI模型中的網絡層上，之後發展出來的動態包過濾則是工作在OSI模型的傳輸層上。包過濾防火牆工作的地方就是各種基於TCP/IP協議的數據報文進出的通道，它把這網絡層和傳輸層作為數據監控的對象，對每個數據包的頭部、協議、地址、端口、類型等信息進行分析，並與預先設定好的防火牆過濾規則進行核對，一旦發現某個包的某個或多個部分與過濾規則匹配並且條件為“阻止”的時候，這個包就會被丟棄。

　　基於包過濾技術的防火牆的優點是對於小型的、不太復雜的站點，比較容易實現。但是其缺點是很顯著的，首先面對大型的，復雜站點包過濾的規則表很快會變得很大而且復雜，規則很難測試。隨著表的增大和復雜性的增加，規則結構出現漏洞的可能性也會增加。其次是這種防火牆依賴於一個單一的部件來保護系統。如果這個部件出現了問題，或者外部用戶被允許訪問內部主機，則它就可以訪問內部網上的任何主機。

　　2. 應用代理型

　　應用代理防火牆，實際上就是一台小型的帶有數據檢測過濾功能的透明代理服務器，但是它並不是單純的在一個代理設備中嵌入包過濾技術，而是一種被稱為應用協議分析的新技術。應用代理防火牆能夠對各層的數據進行主動的，實時的監測，能夠有效地判斷出各層中的非法侵入。同時，這種防火牆一般還帶有分布式探測器， 能夠檢測來自網絡外部的攻擊，同時對來自內部的惡意破壞也有極強的防范作用。

　　應用代理型防火牆基於代理技術，通過防火牆的每個連接都必須建立在為之創建的代理程序進程上，而代理進程自身是要消耗一定時間，於是數據在通過代理防火牆時就不可避免的發生數據遲滯現象，代理防火牆是以犧牲速度為代價換取了比包過濾防火牆更高的安全性能。

　　3. 狀態監視型

　　這種防火牆技術通過一種被稱為“狀態監視”的模塊，在不影響網絡安全正常工作的前提下采用抽取相關數據的方法對網絡通信的各個層次實行監測，並根據各種過濾規則作出安全決策。狀態監視可以對包內容進行分析，從而擺脫了傳統防火牆僅局限於幾個包頭部信息的檢測弱點，而且這種防火牆不必開放過多端口，進一步杜絕了可能因為開放端口過多而帶來的安全隱患。

　　由於狀態監視技術相當於結合了包過濾技術和應用代理技術，因此是最先進的，但是由於實現技術復雜，在實際應用中還不能做到真正的完全有效的數據安全檢測，而且在一般的計算機硬件系統上很難設計出基於此技術的完善防御措施。

　　三、主流服務器軟件防火牆推薦

　　在選擇軟件防火牆的時候，應該注意軟件防火牆本身的安全性及高效性。同時，要考慮軟件防火牆的配置及管理的便利性。一個好的軟件防火牆產品必須符合用戶的實際需要，比如良好的用戶交互界面，既能支持命令行方式管理、又能支持GUI和集中式管理等。以下我們推薦幾款比較知名的軟件防火牆供大家參考：

　　1. 卡巴斯基軟件防火牆 Anti-Hacker

　　這是卡巴斯基公司出品的一款非常優秀的網絡安全防火牆，它和著名的殺毒軟件AVP是同一個公司的產品。所有網絡資料存取的動作都會經由它對用戶產生提示，存取動作是否放行都由用戶決定，而且可以抵擋來自於內部網絡或網際網絡的黑客攻擊。此軟件的另一特色就是病毒庫更新的及時。卡巴斯基公司的病毒數據庫每天更新兩次，用戶可根據自己的需要任意預設軟件的更新頻率。此款產品唯一不足的是，其無論是殺毒還是監控，都會占用較大的系統資源。

　　2. 諾頓防火牆企業版

　　諾頓防火牆企業版，適用於企業服務器、電子商務平台及VPN環境。此款可以提供安全故障轉移和最長的正常運轉時間等。這款軟件防火牆采用經過驗證的防火牆管理維護、監測和報告來提供細致周到的周邊保護，其靈活的服務能夠支持任意數目的防火牆，既可以支持單個防火牆，也可以支持企業的全球范圍防火牆部署。同時，軟件還提供了包括 Windows NT Domain、Radius、數字認證、LDAP、S/Key、Defender、SecureID 在內的一整套強大的用戶身份驗證方法，使管理員可以從用戶環境中靈活地選擇安全數據。

　　3. 服務器安全狗

　　服務器安全狗是為IDC運營商、虛擬主機服務商、企業主機、服務器管理者等用戶提供服務器安全防范的實用系統。是一款集DDOS防護、ARP防護、查看網絡連接、網絡流量、IP過濾為一體的服務器安全防護工具。具備實時的流量監測，服務器進程連接監測，及時發現異常連接進程監測機制。同時該防火牆還具備智能的DDOS攻擊防護，能夠抵御 CC攻擊、UDP Flood、TCP Flood、SYN Flood、ARP等類型的服務器惡意攻擊。該防火牆還提供詳盡的日志追蹤功能，方便查找攻擊來源。

　　4. KFW傲盾服務器版

　　KFW傲盾防火牆系統是一套全面、創新、高安全性、高性能的網絡安全系統。它根據系統管理者設定的安全規則(Security Rules)把守企業網絡，提供強大的訪問控制、狀態檢測、網絡地址轉換(Network Address Translation)、信息過濾、流量控制等功能。提供完善的安全性設置，通過高性能的網絡核心進行訪問控制。

　　5. McAfee Firewall Enterprise

　　McAfee Firewall Enterprise 的高級功能如應用程序監控、基於信譽的全球情報、自動化的威脅更新、加密流量檢測、入侵防護、病毒防護以及內容過濾等，能夠及時攔截攻擊使其無法得逞。

　　6. 冰盾專業抗DDOS防火牆軟件

　　冰盾防火牆軟件具備較好的兼容性、穩定性和增強的抗DDOS能力，適用於傳奇服務器、奇跡服務器、網站服務器、游戲服務器、音樂服務器、電影服務器、聊天服務器、論壇服務器、電子商務服務器等多種主機服務器。該防火牆軟件能夠智能識別各種DDOS攻擊和黑客入侵行為。在防黑客入侵方面，軟件可智能識別Port掃描、Unicode惡意編碼、SQL注入攻擊、Trojan木馬上傳、Exploit漏洞利用等2000多種黑客入侵行為。