网络防火墙必需系统文件（网站用什么样硬件防火墙）

本文目录

• 网站用什么样硬件防火墙
• 何谓防火墙
• win7防火墙设置详解
• 为什么有些网站打不开

网站用什么样硬件防火墙

硬件防火墙是指把防火墙程序做到芯片里面，由硬件执行这些功能，能减少CPU的负担，使路由更稳定。

硬件防火墙是保障内部网络安全的一道重要屏障。它的安全和稳定，直接关系到整个内部网络的安全。因此，日常例行的检查对于保证硬件防火墙的安全是非常重要的。

系统中存在的很多隐患和故障在暴发前都会出现这样或那样的苗头，例行检查的任务就是要发现这些安全隐患，并尽可能将问题定位，方便问题的解决。

一般来说，硬件防火墙的例行检查主要针对以下内容：

1.硬件防火墙的配置文件

不管你在安装硬件防火墙的时候考虑得有多么的全面和严密，一旦硬件防火墙投入到实际使用环境中，情况却随时都在发生改变。硬件防火墙的规则总会不断地变化和调整着，配置参数也会时常有所改变。作为网络安全管理人员，最好能够编写一套修改防火墙配置和规则的安全策略，并严格实施。所涉及的硬件防火墙配置，最好能详细到类似哪些流量被允许，哪些服务要用到代理这样的细节。

在安全策略中，要写明修改硬件防火墙配置的步骤，如哪些授权需要修改、谁能进行这样的修改、什么时候才能进行修改、如何记录这些修改等。安全策略还应该写明责任的划分，如某人具体做修改，另一人负责记录，第三个人来检查和测试修改后的设置是否正确。详尽的安全策略应该保证硬件防火墙配置的修改工作程序化，并能尽量避免因修改配置所造成的错误和安全漏洞。

2.硬件防火墙的磁盘使用情况

如果在硬件防火墙上保留日志记录，那么检查硬件防火墙的磁盘使用情况是一件很重要的事情。如果不保留日志记录，那么检查硬件防火墙的磁盘使用情况就变得更加重要了。保留日志记录的情况下，磁盘占用量的异常增长很可能表明日志清除过程存在问题，这种情况相对来说还好处理一些。在不保留日志的情况下，如果磁盘占用量异常增长，则说明硬件防火墙有可能是被人安装了Rootkit工具，已经被人攻破。

因此，网络安全管理人员首先需要了解在正常情况下，防火墙的磁盘占用情况，并以此为依据，设定一个检查基线。硬件防火墙的磁盘占用量一旦超过这个基线，就意味着系统遇到了安全或其他方面的问题，需要进一步的检查。

3.硬件防火墙的CPU负载

和磁盘使用情况类似，CPU负载也是判断硬件防火墙系统运行是否正常的一个重要指标。作为安全管理人员，必须了解硬件防火墙系统CPU负载的正常值是多少，过低的负载值不一定表示一切正常，但出现过高的负载值则说明防火墙系统肯定出现问题了。过高的CPU负载很可能是硬件防火墙遭到DoS攻击或外部网络连接断开等问题造成的。

4.硬件防火墙系统的精灵程序

每台防火墙在正常运行的情况下，都有一组精灵程序（Daemon），比如名字服务程序、系统日志程序、网络分发程序或认证程序等。在例行检查中必须检查这些程序是不是都在运行，如果发现某些精灵程序没有运行，则需要进一步检查是什么原因导致这些精灵程序不运行，还有哪些精灵程序还在运行中。

5.系统文件

关键的系统文件的改变不外乎三种情况：管理人员有目的、有计划地进行的修改，比如计划中的系统升级所造成的修改；管理人员偶尔对系统文件进行的修改；攻击者对文件的修改。

经常性地检查系统文件，并查对系统文件修改记录，可及时发现防火墙所遭到的攻击。此外，还应该强调一下，最好在硬件防火墙配置策略的修改中，包含对系统文件修改的记录。

6.异常日志

硬件防火墙日志记录了所有允许或拒绝的通信的信息，是主要的硬件防火墙运行状况的信息来源。由于该日志的数据量庞大，所以，检查异常日志通常应该是一个自动进行的过程。当然，什么样的事件是异常事件，得由管理员来确定，只有管理员定义了异常事件并进行记录，硬件防火墙才会保留相应的日志备查。

上述6个方面的例行检查也许并不能立刻检查到硬件防火墙可能遇到的所有问题和隐患，但持之以恒地检查对硬件防火墙稳定可靠地运行是非常重要的。如果有必要，管理员还可以用数据包扫描程序来确认硬件防火墙配置的正确与否，甚至可以更进一步地采用漏洞扫描程序来进行模拟攻击，以考核硬件防火墙的能力。

何谓防火墙

通俗点就是当程序访问你的机子或你的程序访问网络的时候他回提醒你的东东
专业点就是一、防火墙的概念
1. 最初含义：当房屋还处于木制结构的时侯，人们将石块堆砌在房屋周围用来防止火灾的发生。这种墙被称之为防火墙 。
2. Rich Kosinski(Internet Security公司总裁）：
防火墙是一种访问控制技术，在某个机构的网络和不安全的网络之间设置障碍，阻止对信息资源的非法访问。换句话说，防火墙是一道门槛，控制进/出两个方向的通信。
3. William Cheswick和Steve Beilovin（1994）：
防火墙是放置在两个网络之间的一组组件，这组组件共同具有下列性质：
（1）只允许本地安全策略授权的通信信息通过；
（2）双向通信信息必须通过防火墙；
（3）防火墙本身不会影响信息的流通。
4. 防火墙是位于两个信任程度不同的网络之间（如企业内部网络和Internet之间）的软件或硬件设备的组合，它对两个网络之间的通信进行控制，通过强制实施统一的安全策略，防止对重要信息资源的非法存取和访问以达到保护系统安全的目的。
注意：防火墙主要用于保护安全网络免受不安全网络的侵害。
典型情况：安全网络为企业内部网络，不安全网络为因特网。
但防火墙不只用于因特网，也可用于Intranet各部门网络之间。（内部防火墙）。E.g.：财务部与市场部之间。
5. 在逻辑上，防火墙是分离器，限制器，也是一个分析器，有效地监控了内部网和外部网之间的任何活动，保证了内部网络的安全。
在物理上，防火墙通常是一组硬件设备——路由器、主计算机，或者是路由器、计算机和配有软件的网络的组合。
防火墙一般可分为多个部分，某些部分除了执行防火墙功能外还执行其它功能。E.g.：加密和解密——VPN。
6. 防火墙的实质是一对矛盾（或称机制）：限制数据流通，允许数据流通。
两种极端的表现形式：除了非允许不可的都被禁止，安全但不好用。（限制政策）；除了非禁止不可的都被允许，好用但不安全。（宽松政策）
多数防火墙都在两种之间采取折衷。
在一个没有防火墙环境中，网络安全完全依赖于主机安全，并且在某种意义上所有主机都必须协同达到一个统一的高安全标准。基于主机的安全伸缩性不好：当一个站点上主机的数量增加时，确定每台主机处于高安全级别之上，势必会使性能下降。如果某个网络软件的薄弱点被发现，没有防火墙保护的站点必须尽可能快地更正每个暴露的系统，这并不现实，特别是在一些不同版本的操作系统正被使用时。
二、防火墙的作用
1. 网络安全的第一道防线（防盗门、战壕、交通警察、门卫）
2. 防火墙是阻塞点，可强迫所有进出信息都通过这个唯一狭窄的检查点，便于集中实施安全策略。
3. 防火墙可以实行强制的网络安全策略，E.g.：禁止不安全的协议NFS，禁止finger 。
4. 对网络存取和访问进行监控审计。E.g.:网络使用和滥用的记录统计。
5. 使用内部防火墙可以防止一个网段的问题传播到另一个网段。
三、防火墙体系结构
1. 基本原理
（1）防火墙是网络之间的一种特殊的访问控制设施，放置在网络的边界上，用于隔离Internet的一部分，限制其与Internet其他部分之间数据的自由流动，在不可靠的互连网络中建立一个可靠的子网。
（2）安全域：一个计算机子网中具有相同安全政策的计算机的集合。
（3）过滤器：本地安全政策的具体体现，对穿越的流量实施控制以阻止某一类别的流量。
2. 防火墙分类
（1）IP级防火墙，又称报文过滤防火墙。
原理：在路由软件中根据报文的信源、信宿及服务类型来实现报文过滤功能。
特点：网络性能好，透明、方便；不能针对特定用户和特定请求，粒度不够。
（2）应用级防火墙，又称代理防火墙。
原理：双穴主机隔离内外直接连接，为两端代理服务请求。
特点：不存在直接报文交换，安全性好，粒度精确完备；但效率低，只能针对专门服务，有局限性。
（3）链路级防火墙
原理：双穴主机提供通用的TCP/UDP连接中继服务。
3. 防火墙的使用
（1）一般原则
1）防火墙的使用是以额外的软硬件设备和系统性能的下降为代价的。
2）防火墙的设置取决于对网络的安全防卫要求和所能承受的经济能力，以及系统被攻破之后可能产生的后果的严重性。
3）防火墙适用于保护内部主机安全管理不太严格的大型组织机构。
（2）防火墙的使用形式
1）路由器过滤方式防火墙
在内部网与外部网的关键路径上设置一台带有报文过滤功能的路由器，通过设置过滤规则准确完备地表达本地网络的安全政策。
2）双穴信关方式防火墙
双穴主机使用两个接口分别连接内部和外部网络，并隔离两个网络之间的直接IP报文交换。分为代理服务和用户直接登录两种访问控制方式。
3）主机过滤方式防火墙
提供安全保护的堡垒主机仅与内部网相连，通过过滤路由器连接内部网和外部网，外部网只能访问堡垒主机。更具安全性和可操作性。
4）子网过滤方式防火墙：DMZ方式（非军事区方式）
在主机过滤的基础上增加子网过滤，用过滤子网隔离堡垒主机与内部网，减轻攻击者入侵堡垒主机后对内部网的冲击。
5）内部防火墙
用于大型网络内部子网分隔，以阻止访问控制中信赖关系的传递转移。
（3）使用防火墙的问题
1）灵活性差，不能满足网络互连的复杂形式。
2）防火墙重点防卫网络传输，不保证高层协议的安全。
3）防火墙必须设置在路由的关键点，且安全域内不能存在备份的迂回路由。
4. 防火墙的管理
（1）防火墙日志：用于安全追踪。
（2）备份：防火墙系统的所有配置文件和系统文件。
四、IP级防火墙
1. 工作原理
（1）多端口交换设备，根据报文报头执行过滤规则来进行报文转发。
（2）传输控制表
1）定义过滤规则，报文依次运用每一条规则直至匹配的规则，然后执行对应的操作。
2）传输控制表的建立：安全政策→形式化描述→防火墙软件语法格式
3）制定过滤规则：规则之间并不互斥，长前缀匹配优先。
4）不同的IP级防火墙产品有不同的传输控制表格式。
2. 报文过滤规则
（1）SMTP处理：服务器端口25，客户机端口》1023
（2）POP处理：服务器端口110，客户机端口》1023
（3）HTTP处理：服务器端口80，客户机端口》1023
（4）FTP处理：服务器控制连接端口21，数据连接端口20，客户机端口》1023
（5）Telnet处理：服务器端口23，客户机端口》1023
（6）DNS处理：服务器端口53，客户机端口》1023
（7）RPC处理：端口映射服务器111，不提倡在不安全环境中提供RPC服务
（8）UDP处理：很难控制和验证，通过应用级防火墙拒绝UDP报文
（9）ICMP处理：容易遭受DOS攻击，ICMP过滤范围取决于网络的管理域
（10）路由处理：应阻止内部路由信息出去，同时阻止外部路由信息进来
（11）IP分段报文处理：取决于网络的安全要求，必要时应设置上下文
（12）IP隧道：由于开销过大，一般IP级防火墙不对IP隧道进行过滤
3. 内部路由与防火墙的混合结构
内部网使用一个路由器同时处理内部路由和外部防火墙功能，此时防火墙的定义要针对路由器的端口进行，需要路由器各端口的路由表配合。
4. IP防火墙的政策控制
（1）鉴别：验证用户的标识
（2）授权：判定用户是否有权访问所申请的资源。
5. 源点鉴别
（1）目的：防止盗用资源和服务失效攻击
（2）验证形式：抽样检查
1）对报文流当场进行抽样检查
2）一边转发，一边抽样进行后台检查
3）将样本记入日志，事后进行审计
（3）鉴别方法：过滤标准，临时口令，报文摘录，报文签名
6. IP级防火墙技术评价
（1）优点（P191）
（2）目前存在的问题（P192）
五、应用级防火墙
1. 基本原理
（1）在堡垒主机中使用应用代理服务器控制内部网络与外部网络的报文交换。
（2）优点
1）对特定的应用服务在内部网络内外的使用实施有效控制，具有很强的针对性和专用性。
2）内部网络中的用户名被防火墙中的名字取代，增加了攻击者寻找攻击对象的难度。
3）可以对过往操作进行检查和控制，禁止了不安全的行为。
4）提供报文过滤功能，还能实现对传输时间、带宽等进行控制的方法。
（3）缺点
1）通用性较差，需要为每个应用协议配置不同的代理服务器。
2）需要对正常的客户软件进行相应的调整或修改。
3）新服务的出现和对应代理的出现存在较大延迟，成为新的不安全因素。
（4）设计原则（P193）
1）不允许内部网络与外界直接的IP交互，要有边界防火墙。
2）允许内部用户发起向外的FTP和Email，但可以通过代理进行审计。
3）外部网络用户是不可信任的，要有鉴别功能。
4）内部用户所使用的涉及外部网络的服务应该是可控制的。
5）防火墙的功能是针对外部网络访问的。

win7防火墙设置详解

一、Windows防火墙的演变

Windows XP中的防火墙是一款简单、初级仅保护流入信息，拦截任何不是由你主动发启入站连接的软件－－它是默认关闭的。SP2后它才被默认启动并可以通过组策略的方式由管理员进行配置。而 Vista  Firewall 是建立在一个新的Windows Filtering Platform (WFP、Windows过滤平台)上、并通过Advanced Security MMC嵌入式管理单元 添加了新的过滤外发信息的能力。在Windows 7中MS对firewall做了进一步的微调，使其更具可用性，尤其针对移动计算机，更是舔加了对多重作用防火墙策略的支持。

二、Windows 7 firewall（防火墙）设置方法

与Vista相同的是，可以通过访问控制面板程序对Windows 7 firewall进行基础配置。与Vista不同的是，你还可以通过访问控制面板的方式对其进行高级配置（包括对出站连接过滤器的配置），而不是一定要创建空白MMC并加入嵌入式管理单元来实现。只是点击一下左侧面板里的高级配置选项。

更多的网络配置

Vista firewall允许你去选择是在公共网格上还是在专用网络中，而在Windows 7中你有三个选择－－公用网络、家庭网络、办公网络。后两个选项是专用网络的细化。

如果你选择了“家庭网络”选项，你将可以建立一个“家庭组”。在这种环境中，“网路发现”会自动启动，你将可以看到网络中其它的计算机和设备，同时他们也将可以看到你的计算机。隶属于“家庭组”的计算机能够共享图片、音乐、视频、文档库以及如打印机这样的硬件设备。如果有你不想共享的文件夹在文档库中，你还可以排除它们。

如果你选择的是“工作网络”，“网路发现”同样会自动启动，但是你将不能创建或是加入“家庭组”。如果你的计算机加入了Windows域（通过控制面板－－系统和安全－－系统－－高级系统配置－－计算机名选项卡）并通过DC验证，那么防火墙将自动识别网络类型为域环境网络。

而“公用网络”类型是当你在机场、宾馆、咖啡馆或使用移动宽带网络联通公共wi-fi网络时的适当选择，“网路发现”将默认关闭，这样其它网络中的计算机就不会发现你的共享而你也将不能创建或加入“家庭组”。

在全部的网络模式中，Windows 7 firewall都将在默认情况下拦截任何发送到不属于白名单中应用程序的连接。Windows 7允许你对不同网络类型分别配置。

多重作用防火墙策略

在Vista中，尽管你有公用网络和私用网络两个配置文件，但是只会有一个在指定的时间内起作用。所以如果你的计算机发生要同时连接两个不同网络的情况，那你就要倒霉啦。最严格的那条配置文件会被用户到所有的连接上，这意味着你可能无法在本地（私用）网络中做你想做的事，因为你是在公用网络在规则下操作。而在Windows 7 (和 Server 2008 R2)中，不同网络适配器上可以使用不同的配置文件。也就是说专用网络之间的网络连接受专用网络规则支配，而与公用网络之间的流量则应用公用网络规则。

起作用的是那些不显眼的小事

在很多事例中，更好的可用性往往取决于小的改变，MS听取了用户的意见并将一些“不显眼而又起作用小东西”加入了Windows 7 firewall之中。比如，在Vista中当你创建防火墙规则时，必须分别列出各个IP地址和端口。而现在你只需要指定一个范围，这样一来用在执行一般管理任务上的时间就被大大缩短了。

你还可以在防火墙控制台中创建连接安全规则（Connection Security Rules）来指定哪些端口或协议有使用IPsec的需求，而不必再使用netsh命令，对于那些喜欢GUI的人，这是一个更方便的改进。

连接安全规则（Connection Security Rules）还支持动态加密。意思是如果服务器收到一个客启端发出的未加密（但是通过了验证）的信息，安全关联会通过已议定的“运行中”来要求加密，以建立更安全的通讯。

在“高级设置”中对配置文件进行配置

使用“高级设置”控制面板，你可以对每一个网络类型的配置文件进行设置.

对配置文件，你可以进行如下设置：

开启/关闭防火墙

（拦截、拦截全部连接或是允许）入站连接

（允许或拦截）出部连接

（在有程序被拦截后是否通知你）通知显示

允许单播对多播或广播响应

除组策略防火墙规则以外允许本地管理员创建并应用本地防火墙规则。Windows 7防火墙还是已经专业起来了。

为什么有些网站打不开

1、清除DNS缓存。这个主要用于某些网站打不开的情形。
首先同时按WINDOWS+R键，在弹出窗口输入CMD，然后回车。
在弹出的命令提示符中输入ipconfig /flushdns，然后回车。
2、重置winsock目录，在命令提示符中输入netsh winsock reset，然后回车。重置成功后要重启电脑。这个命令非常好用。
3、如果还是无法访问，使用电脑管家，打开工具箱，选择“系统急救箱”检查下是否dns被劫持导致，全盘查杀下病毒。