防火墙可以做什么？

1）普通访问控制（类似于传统交换机ACL，但是功能比ACL要强；例如交换机可以上256条的ACL规则，路由器可以达到几千条甚至上万条，但是防火墙普遍都可以上万条规则以上）

2）高性能状态化的访问控制（高级别安全区域能够访问低级别的安全区域，类似于CISCO的反射访问控制列表）

3）入侵检测和防御（可以根据预先或者自定义的规则，对攻击进行检测和阻断，这个功能我认为是最重要的）

4）URL过滤（这个功能在园区网比较有用，在IDC几乎没什么作用）

5）反病毒（这个功能目前比较鸡肋）

6）流量控制（跟传统的流控比起来，这个功能会相对比较鸡肋）

7）抗DDOS（这个功能相对比较鸡肋，带宽型的DDOS抗不了、CC几乎没有用、只能防护一些非常低级的DDOS攻击）

8）其他功能

什么时候需要部署防火墙

1）访问控制（如果策略的数量比较少的话可以用交换机代替，稍微高档一些的交换机的ACL规则可以高达几百条）

2）防止攻击（防火墙入侵检测和防御功能）

3）高带宽、高并发的NAT场景，例如校园网、IDC等（预算不充足的话可以使用linux的iptables集群代替，前提是要对linux内核网路方面的参数比较了解）

3）上网行为管理（限速、禁止访问某些RUL、禁止访问某类网站）

防火墙的发展历史和趋势

UTM：把所有功能做成流水线的模式，一个包裹来，要经过很多模块检测，对性能和质量造成较大影响。

下一代防火墙：所有的模块采用并行的模式，一个包过来，多个模块同时运作，性能有很大提高。

未来发展趋势：目前防火墙对应用层的检测相对来说是比较鸡肋的。未来防火墙的发展趋势会往应用层深度检测攻击的方向发展。和大数据结合在一起，具有更强的发现功能能力。

防火墙的采购注意事项

防火墙厂商的参数以吹牛为主（尤其大陆厂商）。看上去好像很屌，实际上防火墙的吞吐一般要打个30%。对于吞吐，还有分类，例如普通吞吐、IPS吞吐、IPSEC VPN吞吐、SSL VPN吞吐、AV吞吐、URL吞吐等等。

购买防火墙的时候要购买不同功能的license（例如IPS、URL过滤等等），否则买回来只是一台高档一点的ACL、NAT设备。不具备防攻击的功能。

防火墙的投入是持续的，并非一次性投资，例如要购买IPS升级特征库。

防火墙的部署误区

缺乏管理：很多单位/企业，购买了防火墙后，放在出口开启NAT后就没有下文了。这个还倒不如部署一台iptables来的划算。

对防火墙的认知误区：很多人认为防火墙部署后就可以高枕无忧了。如果你没有对日志进行分析或者使用一些高级的功能，防火墙只会是一台普通的ACL、NAT设备。不能阻挡任何攻击。

防火墙部署原则

1）明确知道要保护的资产

2）资产的保护价值

3）想通过什么方法去保护资产

防火墙的衍生产品或者类似产品

入侵检测/防御

防毒墙

流控

DDOS墙

说明：以上这些产品都可以继承在防火墙上。如果对某个功能的要求很高（例如抗DDOS的并发数、流量），那么可以考虑串联专门用于某种功能的设备