1.如何选择正确的防火墙
2.电脑防火墙应该怎么设置 在哪里设置
3.如果在网络中同时使用防火墙和路由器，它们位置如何安排，为什么？
4.防火墙部署在哪个位置
防火墙的作用是：
防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护。
在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全。
如何选择正确的防火墙
大多数防火墙都是免费的，但有些防火墙是和杀毒软件放在一起的。比如安全套装一般都是杀软加防火墙。
国外的最好的是科摩多防火墙（COMODO Firewall）和比斯图防火墙（PC Tools Firewall），首次用的话设置起来有点麻烦，但可以在网上下载防火墙规则。
国内的风云防火墙费尔托斯特防火墙和天网防火墙也不错，当然也可以把微点主动防御当防火墙用。
电脑防火墙应该怎么设置 在哪里设置
先要明确，防火墙不是路由器、交换机或者服务器。（虽然看起来比较象）所以不能用那些产品的指标来选择防火墙。那么选择防火墙应该注意哪些方面呢？
一安全性：这是重中之重。安全性不高的防火墙，其他性能再好也是空谈。安全性包括几个方面，自身安全性、访问控制能力和抗攻击能力。
自身安全性主要是指防火墙系统的健壮性，也就是说防火墙本身应该是难以被攻入的。还有防火墙的管理方式也很重要。管理员用什么方式管理防火墙，是telnet还是web，有没有加密和认证等等。
访问控制能力是防火墙的核心功能。访问控制能力包括控制细度，也就是能控制哪些内容，比如地址、协议、端口、时间、用户、命令、附件等等。还要注意的就是控制强度，也就是说应该限制的内容必须全部阻断，应该通过的内容不应该有任何阻断。
抗攻击能力是指防火墙对各种攻击的抵抗能力。包括抵御攻击的种类，数量。特别是对DOS和DDOS攻击的抵抗力。目前对于DDOS攻击还没有什么完善的解决办法。因此对DDOS攻击主要看能抵御的强度有多大。
用户在选择防火墙的时候，自己来判断以上这些性能是很困难的。因为用户没有专门的测试工具和手段。用户可以根据一些第三方的认证和评测来判断。比如能否拥有安全性较严格的军队认证、还有就是中国信息安全产品测评认证中心的等级证书。现在用的标准是国标GB/T18336，等级越高越好，一共7级。（不过现在最好的好像也就是EAL3）
二网络性能。
防火墙是个网络设备。在保证安全的基础上，应该最大程度减少对网络性能的影响。对于网络性能，主要就是看最大带宽、并发连接数、每秒新增连接数、丢包和延迟。这些指标和交换机、路由器都是相同的，这里就不多说了。但是有一点要注意。防火墙在策略起作用和全通策略的状态下，上述指标都是不一样的。用户一定要考虑实际环境。比如先按照用户的要求添加多少条策略（全通策略在最后）然后再测试。传说中有的百兆防火墙小包（64字节）通过率能达到70%以上，甚至90%，我觉得在实际使用中一定不可能。之所以能够测试出这样的数据只有两个可能：一是用高性能硬件，比如用了千兆网卡芯片，二是在测试机的内核做手脚。
三是网络功能。
这里包括的内容就多了，什么地址转换、IP/MAC绑定、静态和动态路由、源地址路由、代理、透明代理、ADSL拨号、DHCP支持、双机热备、负载均衡等等。
在这些眼花缭乱的功能里，用户应该有一双明亮的眼睛。因为并不是每一个功能用户都需要的，用户也不需要为了一些不需要的功能花冤枉钱。当然，价钱相等的情况下功能越多越好啊，呵呵。用户应该首先明确自己都需要什么功能，并且要确定这些功能都要达到什么效果。然后再寻找相应的设备。有些功能在不同厂家的定义是不同的。实现的效果也不一样。
四是管理功能。这里面的内容也不少。用户不要小看了这里的东西。防火墙这种设备不像交换机，安装好了50年不管。防火墙需要经常管理。日常的管理就是看日志，修订策略，添加和删除用户。更高的管理还包括第三方互动，***建立，远程集中管理等等。管理方面用户应该注意界面的友好性，设置选项应该通俗易懂。日志特别重要，好的日志系统应该有详细的记录，包括连接的状态和内容，应该便于分类和排序，应该方便存入数据库并有syslog等标准的接口。远程管理对用户来说要注意管理命令的加密和认证，是否支持策略远程导入导出等等。至于管理的界面是否好看，那就看个人喜好了。
五是质量。防火墙的质量表现可不是做工精细不精细啊，而是防火墙是否能经久耐用。现在比较先进的防火墙普遍用的是贴板技术。也就是将所有的原件都用贴片的工艺。这样整个防火墙都是一体的，自然不容易出故障。如果防火墙的内存，网口还用插槽的方式，甚至还用普通硬盘作为系统内核存储设备，那系统的稳定性就可想而知了。另外在高稳定性要求的环境里要看有没有双电源，大功率风扇等等。虽然看上去是细节，但是我可是知道很多防火墙室内温度一高就死机的。：）
上面说的内容都是对防火墙产品本身的一些介绍。我想大家应该对怎样选择防火墙有个原理性的认识了。那么下面就针对一些实际情况来讲一讲。先把我在一开始提的几个误区做个Q&A吧。
误区一：防火墙是国外的好。
解释：在网络安全领域，甚至是计算机领域，我们完全不用崇洋媚外。因为国内的研发力量已经渐渐在赶超了。当然，我们的整体实力还是有限的。但是，对于防火墙这种比较成熟的技术来说，我们完全可以做的和国外的一样好。国外品牌，大家熟知的checkpoint，为什么现在的市场份额越来越少？主要是自己不思进取。别人早都用硬件防火墙了，他还死抱着纯软件不放。现在和nokia合作推出硬件产品，是没办法的事。这种合作我也很不看好。毕竟对nokia来说这是小生意，不会重视的。在国内进行的多次评测中，国内的产品在性能指标上和国外的产品各有千秋。当然，国外的产品占了几个最，比如最快的产品是netscreen，支持协议最多的是checkpoint，入侵检测结合的最好的是fortinet。但是不要忘记，这些防火墙往往都是一个方面突出，然而其他方面就很一般了。国内的防火墙优势在于，功能比较全面，很容易用，服务本地化。片面强调一个功能对防火墙来说是不够的。用户应该结合自己的实际来选择防火墙。我认为国内的防火墙在性价比上是很好的。
也有人担心国内防火墙安全性不够。国家在这些方面都有专门的认证和评测机构。我想不是白吃饭的。（当然，有的评测确实只拿钱不测试）而国外的就一定安全么？我想更应该在心里划个问号。
误区二：防火墙纯硬件的比linux架构的好。
解释：硬件还是软件，这个只是跟实现原理有关。要实现防火墙的功能还是靠软件。ASIC的防火墙是把防火墙代码做在芯片里，运行的效率当然高。但是别的呢？防火墙可不是只做包检测的设备。还有很多别的功能。要想全部集成在芯片里，难度很大。特别是如果新出现了一个功能，要添加到原有的ASIC芯片里，往往很难。有人说ASIC芯片速度快。这个问题分两个角度来考虑。第一，韩国也有ASIC芯片的防火墙。而且国内也有OEM的（是哪一家我不说了），但是都是低端产品，并发连接只有几千而已。所以不是ASIC就一定好，要看研发的水平了。第二你需要这么快的速度么？速度是重要的，但不是唯一的。现在netscreen能做到几十个G，但是有个几个用户有这么大的带宽？除了电信，没几个用得着。而linux架构的防火墙在软件上可以很容易的添加功能，甚至可以应用户的要求订制开发。
误区三：防火墙各项指标越高越好。
其实还是那句话：按需选择。可能用户有的是钱，那当然另说了。但是在用户资金有限的情况下，还是应该仔细衡量一下，哪些指标对用户来说更有用。当然，选择产品时一定要有前瞻性，产品最好能适应今后两年网络的扩展。我曾经见过用户的选型方法是这样的：因为我们的专线是电信用光纤拉过来的，所以我们要用千兆防火墙和交换机。其实这根光纤只有8M。我想，电信发展的再快，专线速度达到100M以上恐怕也是5、6年以后的事情了（租金多少还难说），因此现在就选择千兆设备还不如选个好的光电转换模块。有的用户片面追求最大并发连接数，认为并发连接越大越好。其实这也是国内一些厂商的误导。最大并发连接够用就可以了。现在的国内厂家在这个指标上玩花样，你可以对比这两年同型号产品的公开指标，会发现有些产品的并发连接突然成倍增长。当然，也可能是产品升级了，但是很多情况是厂家为了打标，故意修改的数字。反正大部分用户都没条件测试最大并发，我写个几百万你怎么知道？其实对于百兆防火墙来说，有100万的并发应该足够了，富富有余。其他的指标也一样，按需选择才是根本。
如果在网络中同时使用防火墙和路由器，它们位置如何安排，为什么？
WinXP SP2(以下简称SP2)中的Windows防火墙取代了原来的Internet Connection Firewall（ICF，互联网连接防火墙）。这个改进的防火墙默认设置为开启状态，并且支持IPv4和IPv6两种网络协议，可以为我们的电脑提供更 多的安全保护。本文就为大家介绍一下防火墙在哪里设置，如何设置？ 依次单击“开始→控制面板”，然后在控制面板经典视图中双击“Windows防火墙”一项，即可打开Windows防火墙控制台。此外，还可以在SP2新增加的安全中心界面下，点击“Windows防火墙”打开防火墙控制台 。 1．常规选项卡 在Windows防火墙控制台“常规”选项卡中有两个主选项：启用（推荐）和关闭（不推荐），一个子选项“不允许例外”。如果选择了不允许例 外，Windows防火墙将拦截所有的连接用户计算机的网络请求，包括在例外选项卡列表中的应用程序和系统服务。另外，防火墙也将拦截文件和打印机共享， 还有网络设备的侦测。使用不允许例外选项的Windows防火墙简直就完全“闭关”了，比较适用于“高危”环境，如餐馆、宾馆和机场等场所连接到公共网络 上的个人计算机。 2．例外选项卡 某些程序需要对外通讯，就可以把它们添加到“例外”选项卡中，这里的程序将被特许可以提供连接服务，即可以监听和接受来自网络上的连接。 在“例外”选项卡界面下方有两个添加按钮，分别是：“添加程序”和“添加端口”，可以根据具体的情况手工添加例外项。如果不清楚某个应用程序是 通过哪个端口与外界通信，或者不知道它是基于UDP还是TCP的，可以通过“添加程序”来添加例外项。例如要允许Windows Messenger通信，则点击“添加程序”按钮，选择应用程序“C:Program Files MessengerMessengermsmsgs.exe”，然后点击“确定”把它加入列表。 如果对端口号以及TCP/UDP比较熟悉，则可以用后一种方式，即指定端口号的添加方式。对于每一个例外项，可以通过“更改范围”指定其作用 域。对于家用和小型办公室应用网络，推荐设置作用域为可能的本地网络。当然，也可以自定义作用域中的IP范围，这样只有来自特定的IP地址范围的网络请求 才能被接受。 3．高级选项卡 在“高级”选项卡中包含了网络连接设置、安全记录、ICMP设置和还原默认设置四组选项，可以根据实际情况进行配置。 ◆网络连接设置 这里可以选择Windows防火墙应用到哪些连接上，当然也可以对某个连接进行单独的配置，这样可以使防火墙应用更灵活。 ◆安全记录 新版Windows防火墙的日志记录与ICF大同小异，日志选项里面的设置可以记录防火墙的跟踪记录，包括丢弃和成功的所有事项。在日志文件选 项里，可以更改记录文件存放的位置，还可以手工指定日志文件的大小。系统默认的选项是不记录任何拦截或成功的事项，而记录文件的大小默认为4MB。 ◆ICMP设置 Internet控制消息协议（ICMP）允许网络上的计算机共享错误和状态信息。在ICMP设置对话框中选定某一项时，界面下方会显示出相应的描述信息，可以根据需要进行配置。在缺省状态下，所有的ICMP都没有打开。
防火墙部署在哪个位置
我个人比较喜欢把路由器放在防火墙以外，就是直接接入外网。
从2种设备的设计角度来说，路由器是传递路由条目和互联子网的作用，防火墙设计是为了加密和安全
从性能分析，路由器在外面的时候即使有动态路由带来的大量路由条目的时候不会影响到防火墙的性能，防火墙承载路由并转发大量数据的时候会造成防火墙的性能下降，防火墙就是NAT+ACL，很简单的安全策略，当然了，这里说简单只是出于配置的角度来说是简单的，防火墙内核的算法非常复杂。
从安全角度来说，路由器是第一层防御，防御外网对内网地址的侵略，再加上防火墙的NAT，就是一把双刃剑，更好的保护你的网络和用户！
个人意见，仅供参考哦
依次单击“开始→控制面板”，然后在控制面板经典视图中双击“Windows防火墙”一项，即可打开Windows防火墙控制台。此外，还可以在SP2新增加的安全中心界面下，点击“Windows防火墙”打开防火墙控制台 。
1．常规选项卡
在Windows防火墙控制台“常规”选项卡中有两个主选项：启用（推荐）和关闭（不推荐），一个子选项“不允许例外”。如果选择了不允许例外，Windows防火墙将拦截所有的连接用户计算机的网络请求，包括在例外选项卡列表中的应用程序和系统服务。另外，防火墙也将拦截文件和打印机共享，还有网络设备的侦测。使用不允许例外选项的Windows防火墙简直就完全“闭关”了，比较适用于“高危”环境，如餐馆、宾馆和机场等场所连接到公共网络上的个人计算机。
2．例外选项卡
某些程序需要对外通讯，就可以把它们添加到“例外”选项卡中，这里的程序将被特许可以提供连接服务，即可以监听和接受来自网络上的连接。
在“例外”选项卡界面下方有两个添加按钮，分别是：“添加程序”和“添加端口”，可以根据具体的情况手工添加例外项。如果不清楚某个应用程序是通过哪个端口与外界通信，或者不知道它是基于UDP还是TCP的，可以通过“添加程序”来添加例外项。例如要允许Windows Messenger通信，则点击“添加程序”按钮，选择应用程序“C:\Program Files\ Messenger\Messenger\msmsgs.exe”，然后点击“确定”把它加入列表。
如果对端口号以及TCP/UDP比较熟悉，则可以用后一种方式，即指定端口号的添加方式。对于每一个例外项，可以通过“更改范围”指定其作用域。对于家用和小型办公室应用网络，推荐设置作用域为可能的本地网络。当然，也可以自定义作用域中的IP范围，这样只有来自特定的IP地址范围的网络请求才能被接受。
3．高级选项卡
在“高级”选项卡中包含了网络连接设置、安全记录、ICMP设置和还原默认设置四组选项，可以根据实际情况进行配置。
◆网络连接设置
这里可以选择Windows防火墙应用到哪些连接上，当然也可以对某个连接进行单独的配置，这样可以使防火墙应用更灵活。
◆安全记录
新版Windows防火墙的日志记录与ICF大同小异，日志选项里面的设置可以记录防火墙的跟踪记录，包括丢弃和成功的所有事项。在日志文件选项里，可以更改记录文件存放的位置，还可以手工指定日志文件的大小。系统默认的选项是不记录任何拦截或成功的事项，而记录文件的大小默认为4MB。
◆ICMP设置
Internet控制消息协议（ICMP）允许网络上的计算机共享错误和状态信息。在ICMP设置对话框中选定某一项时，界面下方会显示出相应的描述信息，可以根据需要进行配置。在缺省状态下，所有的ICMP都没有打开。
◆默认设置
如果要将所有Windows防火墙设置恢复为默认状态，可以单击右侧的“还原为默认值”按钮。
