1.帮我找找有关于防火墙的用途和例子，我写论文用的谢谢
2.学校人数1万人左右，在做网络设计方案时，应该选什么样的交换机和防火墙。具体一点
3.opc防火墙是什么意思
4.厂房彩钢棚顶防火墙高度
5.工业路由器选择哪个厂家比较好？
6.真心请问工业防火墙和普通防火墙的区别在哪！
7.简述红色、橙色、**、绿色、蓝色、白色在工业建筑上的应用范围。
8.防火墙真的很重要吗？如果不装会发生什么？
关于防火墙的描述不正确的是：是一种能有效查杀，保护电脑安全的杀毒软件 。
所谓防火墙指的是一个由软件和硬件设备组合而成，将内部网和公众访问网（如Internet）分开的方法，是一种隔离技术，最大限度地阻止网络中的黑客来访问你的网络。
只允许符合特定规则的封包通过，其余的一概禁止穿越防火墙（除外，防火墙不能防止侵入）。
常见的OT/工业防火墙错误：
留IP“任意”访问规则：
防火墙对于接入和传出连接的表现是不一致的。默认情况下，大多数用户防火墙都拒绝所有接入本地网络的连接，但对于所有传出连接的规则是“允许任何／任意”。
这一点上，商业级和工业级防火墙表现得有所不同——有些防火墙对所有方向的流量都具有“拒绝所有”的默认策略。而有些则默认设置为“允许所有人共享”。
在配置第一个非默认规则之前，有些默认设置为“允许任意使用”，然后默认设置切换为“全部拒绝”。有些只在其配置用户界面中显示其默认规则，而其他地方不显示。
对于某些型号的防火墙来说，就很容易错误地将“允许任意使用”规则保留。
而错误地保留可见的默认值或不可见的隐含“允许任意使用”规则的后果是，使工业网络中的多种类型的连接都处于启用状态——这就等于允许那些并未被我们配置的其他规则明确禁止的所有连接／攻击进入我们的工业网络之中。
帮我找找有关于防火墙的用途和例子，我写论文用的谢谢
工业防火墙丢包率多少算正常，[最佳回答]正常值是一个可以接受的范围，一般没有多少算真正正常，但是通常，千兆网卡流量大于于200Mbps时，丢包率小于万分之五；百兆网卡在流量大于60Mbps时，丢包率小于万分之一。
学校人数1万人左右，在做网络设计方案时，应该选什么样的交换机和防火墙。具体一点
防火墙的概念
当然，既然打算由浅入深的来了解，就要先看看防火墙的概念了。防火墙是汽车中一个部件的名称。在汽车中，利用防火墙把乘客和引擎隔开，以便汽车引擎一旦著火，防火墙不但能保护乘客安全，而同时还能让司机继续控制引擎。再电脑术语中，当然就不是这个意思了，我们可以类比来理解，在网络中，所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。
防火墙的功能
防火墙是网络安全的屏障：
一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。
防火墙可以强化网络安全策略：
通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。
对网络存取和访问进行监控审计：
如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。
防止内部信息的外泄：
通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger，DNS等服务。Finger显示了主机的所有用户的注册名、真名，最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的DNS信息，这样一台主机的域名和IP地址就不会被外界所了解。
除了安全作用，防火墙还支持具有Internet服务特性的企业内部网络技术体系***（虚拟专用网）。
参考资料：
防火墙的用途简单的说，就是防止非法程序对计算机的入侵。非法程序包括，木马程序，黑客入侵，等等，只要是未经许可的入侵，均可视为非法。
防火墙的用途（Firewall Purpose）
撰文者： Indeepnight 位於 上午 8:55
防火墙是近年才开始受大众注目，以前都只把焦点放在防毒软体的能力上
不过，防火墙的用意虽然是好的，可是对於大众来说，它的功能经常都会让人摸不著头绪，甚至会防碍原有操作电脑的顺畅性
现在的作业系统，也都预设有防火墙的功能（M$、Linux皆有），不过大多数都是行销策略的手法，让大家感觉到物超所值，但实际的应用面就...乏人问津，至於硬体与软体之间的差异，可以参考笔者先前写的防火墙的使用，有粗略的说明
今天笔者就来说明一些较为常见的应用与设定：
Internet的发展给企业带来了革命性的改革和开放，企业正努力通过利用
它来提高市场反应速度和办事效率，以便更具竞争力。企业通过Internet，可
以从异地取回重要数据，同时又要面对Internet开放带来的数据安全的新挑战
和新危险：即客户、销售商、移动用户、异地员工和内部员工的安全访问；以
及保护企业的机密信息不受黑客和工业间谍的入侵。因此企业必须加注安全的
“战壕”，而这些“战壕”又要在哪里修建呢?
基于Internet体系应用有两大部分：Intranet和Extranet。Intranet是借
助Internet的技术和设备在Internet上面构造出企业3W网，可放入企业全部信
息；而Extranet是在电子商务、互相合作的需求下，用Intranet间的通道，可
获得其它体系中部分信息。因此按照一个企业的安全体系可知防火墙战壕须在
以下位置上位置：
①保证对主机和应用安全访问；
②保证多种客户机和服务器的安全性；
③保护关键部门不受到来自内部的攻击、外部的攻击、为通过Internet与
远程访问的雇员、客户、供应商提供安全通道。
同时防火墙的安全性还要来自其良好的技术性能。一般防火墙具备以下特
点：
①广泛的服务支持，通过将动态的、应用层的过滤能力和认证相结合，可
实现WWW浏览器、HTTP服务器、FTP等；
②对私有数据的加密支持，保证通过Internet进行虚拟私人网络和商务活
动不受损坏；
③客户端认证只允许指定的用户访问内部网络或选择服务，是企业本地网
与分支机构、商业伙伴和移动用户间安全通信的附加部分；
④反欺骗，欺骗是从外部获取网络访问权的常用手段，它使数据包好似来
自网络内部。Firewall-1能监视这样的数据包并能扔掉它们；C/S 模式
和跨平台支持，能使运行在一平台的管理模块控制运行在另一平台的监
视模块。
网络安全：初上网者必看---我们为什么需要防火墙
来源：赛迪网 时间：2006-10-04 09:10:44
很多网络初级用户认为，只要装了杀毒软件，系统就绝对安全了，这种想法是万万要不得的！在现今的网络安全环境下，木马、肆虐，黑客攻击频繁，而各种流氓软软件、间谍软件也行风作浪。怎样才能让我们的系统立于如此险恶的网络环境呢？光靠杀毒软件足以保证我们的系统安全吗？下面我就从影响系统安全的几个方面来剖析防火墙的重要性。
现在的网络安全威胁主要来自攻击、木马攻击、黑客攻击以及间谍软件攻击。杀毒软件发展了十几年，依然是停留在被动杀毒的层面（别看那些自我标榜主动防御，无非是一些骗人的幌子，看看这个文章就知道了://column.chinabyte/388/2014388.shtml），而国外的调查表明，当今全球杀毒软件对80%的无法起到识别作用，也就是说，杀毒软件之所以能杀毒，纯粹是根据样本的代码特征来识别他是否是，就如警察抓住一个小偷，这个小偷留着大胡子，于是警察就天天在街上盯着大胡子的人。这样的杀毒效果可想而知。同样的道理，杀毒软件对于木马、间谍软件的防范也是基于这种方式。
现在、木马的更新很快，从全球范围内来看，能造成较大损失的木马，大部分都是新出现的，或者是各类变种，由于这些木马的特征并没有被杀毒软件掌握，因此杀毒软件对它们是既不能报警，也无法剿杀。难道我们就任木马宰割了吗？当然不！高手岂能向几个木马低头！虽然杀毒软件只能干瞪眼，可是我们还有严守大门的防火墙呢！
防火墙为什么就能挡住木马甚至是最新的木马变种呢？这就要从防火墙的防御机制说起了。防火墙是根据连接网络的数据包来进行监控的，也就是说，防火墙就相当于一个严格的门卫，掌管系统的各扇门（端口），它负责对进出的人进行身份核实，每个人都需要得到最高长官的许可才可以出入，而这个最高长官，就是你自己了。每当有不明的程序想要进入系统，或者连出网络，防火墙都会在第一时间拦截，并检查身份，如果是经过你许可放行的（比如在应用规则设置中你允许了某一个程序连接网络），则防火墙会放行该程序所发出的所有数据包，如果检测到这个程序并没有被许可放行，则自动报警，并发出提示是否允许这个程序放行，这时候就需要你这个“最高统帅”做出判断了。一般来说，自己没有运行或者不太了解的程序，我们一律阻拦，并通过搜索引擎或者防火墙的提示确认该软件的性质。
写到这里，大家估计对杀毒软件和防火墙的区别有一定了解了，举个直观的例子：你的系统就好比一座城堡，你是这个城堡的最高统帅，杀毒软件和防火墙是负责安全的警卫，各有分工。杀毒软件负责对进入城堡的人进行鉴别，如果发现可疑的人物就抓起来（当然，抓错的几率很大，不然就没有这么多误杀误报了）；而防火墙则是门卫，对每一个进出城堡的人都进行检查，一旦发现没有出入证的人就向最高统帅确认。因此，任何木马或者间谍软件，或许可能在杀毒软件的眼皮底下偷偷记录你的帐号密码，可是由于防火墙把城门看得死死的，再多的信息也传不出去，从而保护了你的系统安全。
另外，对于黑客攻击，杀毒软件是没有任何办法的，因为黑客的操作不具有任何特征码，杀毒软件自然无法识别，而防火墙则可以把你系统的每个端口都隐藏起来，让黑客找不到入口，自然也就保证了系统的安全。
目前全球范围内防火墙种类繁多，不过从个人经验来说，推荐天网防火墙给大家。天网防火墙可以有效的防止黑客、木马或者其他恶意程序**您的隐私包括：网上银行、网络游戏、QQ等的帐号和密码。
opc防火墙是什么意思
也没什么具体不具体的 具体还是要看你有多大的金钱投资 所以这里给你一点建议把
由于是1万人使用的网络平台 设备肯定是要非常强大的
防火墙 你可以选择 Juniper 防火墙 一台十万左右吧 中高端设备
如果不差钱 在核心层也可以放置 堡垒主机 增加安全性
网络设 无非是 3层 核心层 汇聚层 接入层
设备主要是 支持协议多 数据交互能力 背板带宽 一定要大
核心层设备首选 思科设备 稳定 要不就华为的 选用高端点的 毕竟是核心层嘛 数据交互量非常大 能力得出众
汇聚成 可以选择 H3C 的产品吧 性价比不错
接入层就选择 工业级别的设备 H3C TP-LINK 等 无线设备 AP AC 就要选择负载能力一定要强大 校园无线网络需要嘛
设备齐全后 就是网络环境配置了
主要的就是 网络热备份 负载均衡 MSTP QOS 等协议
不同的资金 肯定有不一样的设备组网 但是网络架构 就是这样的 只是设备能力不一样而已
厂房彩钢棚顶防火墙高度
首先，我们需要了解什么是OPC防火墙。OPC防火墙是一种网络安全工具，主要用于保护OPC服务器、客户端及其通信数据不被未经授权的访问、恶意攻击或破坏。在工业控制系统和自动化领域，OPC防火墙通常被应用于保护自动化系统和生产线等重要设备。
其次，OPC防火墙是如何工作的？OPC防火墙主要通过限制网络数据传输或访问的方式来保护OPC系统。它可以筛选和阻止不安全的网络流量，只允许合法和被授权的设备或用户进行网络通信。此外，OPC防火墙还可以监控并记录系统中的异常网络活动，以及定期检查和更新其自身的安全策略和规则。
OPC防火墙的应用有哪些优点？使用OPC防火墙可以极大地提高OPC系统的安全性和可靠性，防止黑客攻击、感染和恶意软件威胁等。同时，OPC防火墙还可以降低系统运维和管理的成本，简化系统配置和维护，提升生产效率和质量。总之，OPC防火墙是控制系统安全的重要组成部分，是现代工业自动化领域不可或缺的一项技术。
工业路由器选择哪个厂家比较好？
不小于40厘米和50厘米。防火墙直接设置在基础上或钢筋混凝土的框架上，当建筑物的屋盖为耐火极限不低于0.5小时的非燃烧体时、高层工业建筑屋盖为耐火极限不低于1小时的非燃烧体时，厂房彩钢棚顶的防火墙高度应高出非燃烧体屋面不小于40厘米，高出燃烧体或难燃烧体屋面不小于50厘米。
真心请问工业防火墙和普通防火墙的区别在哪！
选择标准无非就是这几个方面
1、品牌，大厂的品牌效应比较好
2、功能，工业路由器的
3、质量，考虑买已经上市一年以上的产品，这样的工业级路由器是经过市场的检验，性价比非常不错
4、价格，货比三家的考虑够买价格。
品牌方面像华为、思科都比较不错。工业级无线理由器方面厦门计讯还是挺好的。应用比较广泛。
简述红色、橙色、**、绿色、蓝色、白色在工业建筑上的应用范围。
工业防火墙，顾名思义就是针对工业网络的，可以解析工业协议，专门针对工业的，一般使用的是白名单机制；普通防火墙，也就是我们平时说的网络防火墙主要是放在内网与外网隔离的位置，不能解析工业协议，基于黑名单机制，需要定期升级库。
防火墙真的很重要吗？如果不装会发生什么？
答案：红色：用以表示电器、火灾的危险标志；禁止通行的通道和门；防火消防设备，高压电的室内电裸线，电器开关起动机件、防火墙上的分隔门。
橙色：用以表示危险标志，用于高速转动的设备，机械、车辆、电器开关柜门；也用于有毒物品及放射性物品的标志。
**：用以表示警告的标志，用于车间吊车、吊钩、户外大型起重运输设备，翻斗车、推土机、挖掘机、电瓶车，使用中常涂刷**与白色、**与黑色相间的条纹，以提示人们避免碰撞。
绿色：安全标志，常用于洁净车间的安全出入口的指示灯。
蓝色：多用于上下水道、冷藏库的门，也可用于压缩空气的管道。
白色：界线标志，用于地面分界线。
要想知道它的作用，必须先了解它的工作原理。
防火墙是一个或一组系统，它在网络之间执行访问控制策略。实现防火墙的实际方式各不相同，但是在原则上，防火墙可以被认为是这样一对机制：一种机制是拦阻传输流通行，另一种机制是允许传输流通过。一些防火墙偏重拦阻传输流的通行，而另一些防火墙则偏重允许传输流通过。了解有关防火墙的最重要的概念可能就是它实现了一种访问控制策略。如果你不太清楚你需要允许或否决那类访问，你可以让其他人或某些产品根据他（它）们认为应当做的事来配置防火墙，然后他（它）们会为你的机构全面地制定访问策略。
2．为何需要防火墙？
同其它任何社会一样，Internet也受到某些无聊之人的困扰，这些人喜爱在网上做这类的事,像在现实中向其他人的墙上喷染涂鸦、将他人的邮箱推倒或者坐在大街上按汽车喇叭一样。一些人试图通过Internet完成一些真正的工作，而另一些人则拥有敏感或专有数据需要保护。一般来说，防火墙的目是将那些无聊之人挡在你的网络之外，同时使你仍可以完成工作。
许多传统风格的企业和数据中心都制定了计算安全策略和必须遵守的惯例。在一家公司的安全策略规定数据必须被保护的情况下，防火墙更显得十分重要，因为它是这家企业安全策略的具体体现。如果你的公司是一家大企业，连接到Internet上的最难做的工作经常不是费用或所需做的工作，而是让管理层信服上网是安全的。防火墙不仅提供了真正的安全性，而且还起到了为管理层盖上一条安全的毯子的重要作用。
最后，防火墙可以发挥你的企业驻Internet“大使”的作用。许多企业利用其防火墙系统作为保存有关企业产品和服务的公开信息、下载文件、错误修补以及其它一些文件的场所。这些系统当中的几种系统已经成为Internet服务结构（如UUnet.uu.net、whitehouse.gov、gatekeeper.dec）的重要组成部分，并且给这些机构的赞助者带来了良好的影响。
3．防火墙可以防范什么？
一些防火墙只允许电子邮件通过，因而保护了网络免受除对电子邮件服务攻击之外的任何攻击。另一些防火墙提供不太严格的保护措施，并且拦阻一些众所周知存在问题的服务。
一般来说，防火墙在配置上是防止来自“外部”世界未经授权的交互式登录的。这大大有助于防止破坏者登录到你网络中的计算机上。一些设计更为精巧的防火墙可以防止来自外部的传输流进入内部，但又允许内部的用户可以自由地与外部通信。如果你切断防火墙的话，它可以保护你免受网络上任何类型的攻击。
防火墙的另一个非常重要的特性是可以提供一个单独的“拦阻点”，在“拦阻点”上设置安全和审计检查。与计算机系统正受到某些人利用调制解调器拨入攻击的情况不同，防火墙可以发挥一种有效的“听”（Phone tap）和跟踪工具的作用。防火墙提供了一种重要的记录和审计功能；它们经常可以向管理员提供一些情况概要，提供有关通过防火墙的传流输的类型和数量以及有多少次试图闯入防火墙的企图等等信息。
4．防火墙不能防范什么？
防火墙不能防范不经过防火墙的攻击。许多接入到Internet的企业对通过接入路线造成公司专用数据数据泄露非常担心。不幸得是，对于这些担心来说，一盘磁带可以被很有效地用来泄露数据。许多机构的管理层对Internet接入非常恐惧，它们对应当如何保护通过调制解调器拨号访问没有连惯的政策。当你住在一所木屋中，却安装了一扇六英尺厚的钢门，会被认为很愚蠢。然而，有许多机构购买了价格昂贵的防火墙，但却忽视了通往其网络中的其它几扇后门。要使防火墙发挥作用，防火墙就必须成为整个机构安全架构中不可分割的一部分。防火墙的策略必须现实，能够反映出整个网络安全的水平。例如，一个保存着超级机密或保密数据的站点根本不需要防火墙：首先，它根本不应当被接入到Internet上，或者保存着真正秘密数据的系统应当与这家企业的其余网络隔离开。
防火墙不能真正保护你防止的另一种危险是你网络内部的叛变者或白痴。尽管一个工业间谍可以通过防火墙传送信息，但他更有可能利用电话、传真机或软盘来传送信息。软盘远比防火墙更有可能成为泄露你机构秘密的媒介！防火墙同样不能保护你避免愚蠢行为的发生。通过电话泄露敏感信息的用户是社会工程（social engineering）的好目标；如果攻击者能找到内部的一个“对他有帮助”的雇员，通过欺骗他进入调制解调器池，攻击者可能会完全绕过防火墙打入你的网络。
5．防火墙能否防止的攻击？
防火墙不能有效地防范像这类东西的入侵。在网络上传输二进制文件的编码方式太多了，并且有太多的不同的结构和，因此不可能查找所有的。换句话说，防火墙不可能将安全意识（security-consciosness）交给用户一方。总之，防火墙不能防止数据驱动的攻击：即通过将某种东西邮寄或拷贝到内部主机中，然后它再在内部主机中运行的攻击。过去曾发生过对不同版本的邮件寄送程序和幻像脚本（ghostscript）和免费PostScript阅读器的这类攻击。
对十分忧虑的机构应当在整个机构范围内取控制措施。不要试图将挡在防火墙之外，而是保证每个脆弱的桌面系统都安装上扫描软件，只要一引导计算机就对进行扫描。利用扫描软件防护你的网络将可以防止通过软盘、调制解调器和Internet传播的的攻击。试图御于防火墙之外只能防止来自Internet的，而绝大多数是通过软盘传染上的。
尽管如此，还是有越来越多的防火墙厂商正提供“探测”防火墙。这类防火墙只对那种交换Windows-on-Intel执行程序和恶意宏应用文档的毫无经验的用户有用。不要指望这种特性能够对攻击起到任何防范作用。
6．在防火墙设计中需要做哪些基本设计决策？
在负责防火墙的设计、制定工程以及实施或监督安装的儿面前，有许多基本设计问题等着他去解决。
首先，最重要的问题是，它应体现你的公司或机构打算如何运行这个系统的策略：安装后的防火墙是为了明确地拒绝除对于连接到网络至关重的服务之外的所有服务，或者，安装就绪的防火墙是为以非威胁方式对“鱼贯而入”的访问（"queuing" access）提供一种计量和审计的方法。在这些选择中存在着某种程度的偏执狂；防火墙的最终功能可能将是行政上的结果，而非工程上的决策。
第二个问题是：你需要何种程度的监视、冗余度以及控制水平？通过解决第一个问题，确定了可接受的风险水平（例如你的偏执到何种程度）后，你可以列出一个必须监测什么传输、必须允许什么传输流通行以及应当拒绝什么传输的清单。换句话说，你开始时先列出你的总体目标，然后把需求分析与风险评估结合在一起，挑出与风险始终对立的需求，加入到完成的工作的清单中。
第三个问题是财务上的问题。在此，我们只能以模糊的表达方式论述这个问题，但是，试图以购买或实施解决方案的费用多少来量化提出的解决方案十分重要。例如，一个完整的防火墙的高端产品可能价值10万美元，而低端产品可能是免费的。像在Cisco或类似的路由器上做一些奇妙的配置这类免费选择不会花你一分钱，只需要工作人员的时间和几杯咖啡。从头建立一个高端防火墙可能需要几个人工月，它可能等于价值3万美元的工作人员工资和利润。系统管理开销也是需要考虑的问题。建立自行开发的防火墙固然很好，但重要的是使建立的防火墙不需要费用高昂的不断干预。换句话说，在评估防火墙时，重要的是不仅要以防火墙目前的费用来评估它，而且要考虑到像支持服务这类后续费用。
出于实用目的，我们目前谈论的是网络服务提供商提供的路由器与你内部网络之间存在的静态传输流路由服务，因此基于为一事实，在技术上，还需要做出几项决策。传输流路由服务可以通过诸如路由器中的过滤规则在IP层实现，或通过代理网关和服务在应用层实现。
需要做出的决定是，是否将暴露的简易机放置在外部网络上为telnet、ftp、news等运行代理服务，或是否设置像过滤器这样的屏蔽路由器，允许与一台或多台内部计算机的通信。这两种方式都存在着优缺点，代理机可以提供更高水平的审计和潜在的安全性，但代价是配置费用的增加，以及可能提供的服务水平的降低（由于代理机需要针对每种需要的服务进行开发）。由来以久的易使性与安全性之间的平衡问题再次死死地困扰着我们。
7．防火墙的基本类型是什么？
在概念上，有两种类型的防火墙：
1、网络级防火墙
2、应用级防火墙
这两种类型的差异并不像你想像得那样大，最新的技术模糊了两者之间的区别，使哪个“更好”或“更坏”不再那么明显。同以往一样，你需要谨慎选择满足你需要的防火墙类型。
网络级防火墙一般根据源、目的地址做出决策，输入单个的IP包。一台简单的路由器是“传统的”网络级防火墙，因为它不能做出复杂的决策，不能判断出一个包的实际含意或包的实际出处。现代网络级防火墙已变得越来越复杂，可以保持流经它的接入状态、一些数据流的内容等等有关信息。许多网络级防火墙之间的一个重要差别是防火墙可以使传输流直接通过，因此要使用这样的防火墙通常需要分配有效的IP地址块。网络级防火墙一般速度都很快，对用户很透明。
网络级防火墙的例子：在这个例子中，给出了一种称为“屏蔽主机防火墙”（screened host
firewall）的网络级防火墙。在屏蔽主机防火墙中，对单个主机的访问或从单个主机进行访问是通过运行在网络级上的路由器来控制的。这台单个主机是一台桥头堡主机（bastion host），是一个可以（希望如此）抵御攻击的高度设防和保险的要塞。
网络级防火墙的例子：在这个例子中，给出了一种所谓“屏蔽子网防火墙”的网络级防火墙。在屏蔽子网防火墙中，对网络的访问或从这个网络中进行访问是通过运行在网络级上的路由器来控制的。除了它实际上是由屏蔽主机组成的网络外，它与被屏蔽主机的作用相似。
应用级防火墙一般是运行代理服务器的主机，它不允许传输流在网络之间直接传输，并对通过它的传输流进行记录和审计。由于代理应用程序是运行在防火墙上的软件部件，因此它处于实施记录和访问控制的理想位置。应用级防火墙可以被用作网络地址翻译器，因为传输流通过有效地屏蔽掉起始接入原址的应用程序后，从一“面”进来，从另一面出去。在某些情况下，设置了应用级防火墙后，可能会对性能造成影响，会使防火墙不太透明。早期的应用级防火墙，如那些利用TIS防火墙工具包构造的防火墙，对于最终用户不很透明，并需要对用户进行培训。应用级防火墙一般会提供更详尽的审计报告，比网络级防火墙实施更保守的安全模型。
应用级防火墙举例：这此例中，给出了一个所谓“双向本地网关”（dual homed gateway）的应用级防火墙。双向本地网关是一种运行代理软件的高度安全主机。它有两个网络接口，每个网络上有一个接口，拦阻通过它的所有传输流。
防火墙未来的位置应当处于网络级防火墙与应用级防火墙之间的某一位置。网络级防火墙可能对流经它们的信息越来越“了解”（aware），而应用级防火墙可能将变得更加“低级”和透明。最终的结果将是能够对通过的数据流记录和审计的快速包屏蔽系统。越来越多的防火墙（网络和应用层）中都包含了加密机制，使它们可以在Internet上保护流经它们之间的传输流。具有端到端加密功能的防火墙可以被使用多点Internet接入的机构所用，这些机构可以将Internet作为“专用骨干网”，无需担心自己的数据或口令被偷看。
8．什么是“单故障点”？应当如何避免出现这种故障？
安全性取决于一种机制的结构具有单故障点。运行桥头堡主机的软件存在错误。应用程序存在错误。控制路由器的软件存在错误。使用所有这些组件建造设计安全的网络，并以冗余的方式使用它们才有意义。
如果你的防火墙结构是屏蔽子网，那么，你有两台包过滤路由器和一台桥头堡主机。（参见本节的问题2）Internet访问路由器不允许传输流从Internet进入你的专用网络。然而，如果你不在桥头堡主机以及（或）阻塞（choke）路由器上与其它任何机制一道执行这个规则（rule）的话，那么只要这种结构中的一个组件出现故障或遭到破坏就会使攻击者进入防火墙内部。另一方面，如果你在桥头堡主机上具有冗余规则，并在阻塞路由器上也有冗余规则，那么攻击者必须对付三种机制。
此外，如果这台桥头堡主机或阻塞路由器使用规则来拦阻外部访问进入内部网络的话，你可能需要让它触发某种报警，因为你知道有人进入了你的访问路由器。
9．如何才能将所有的恶意的传输拦在外面？
对于重点在于安全而非连接性的防火墙来说，你应当考虑缺省拦阻所有的传输，并且只特别地根据具体情况允许你所需要的服务通过。
如果你将除特定的服务集之外的所有东西都挡在外面，那么你已经使你的任务变得很容易了。你无需再为周围的每样产品和每件服务的各种安全问题担心了，你只需关注特定产品和服务存在的各种安全问题。:-)
在启动一项服务之前，你应当考虑下列问题：
＊这个产品的协议是人们熟知的公开协议吗？
＊为这个协议提供服务的应用程序的应用情况是否可供公开检查？
＊这项服务和产品是否为人们熟知？
＊使用这项服务会怎样改变防火墙的结构？攻击者会从不同的角度看待这些吗？攻击者能利用这点进入我的内部网络，或者会改变我的DMZ中主机上的东西吗？
在考虑上述问题时，请记住下列忠告：
＊“不为人所知的安全性根本不安全。许多未公开的协议都被那些坏家伙研究并破解过。
＊无论营销人员说些什么，不是所有的协议或服务在设计时考虑了安全性。事实上，真正在设计时考虑了安全性的协议或服务数量很少。
＊甚至在考虑过安全性的情况下，并不是所有的机构都拥有合格的负责安全的人员。在那些没有称职负责安全的人员的机构中，不是所有的机构都愿意请称职的顾问参与工程项目。这样做的结果是那些其它方面还称职的、好心肠的开发者会设计出不安全的系统。
＊厂商越不愿意告诉你他们系统的真正工作原理，它就越有可能可存安全性（或其它）问题。只有有什么东西需要隐瞒的厂商才有理由隐瞒他们的设计和实施情况。
10．有哪些常见的攻击？应当如何保护系统不受它们的攻击呢？
每个站点与其它站点遭受攻击的类型都略有不同。但仍有一些共同之处。
SMTP会话攻击（SMTP Session Hijacking）
在这种攻击中，垃圾邮件制造者将一条消息复制成千上万份，并按一个巨大的电子邮件地址清单发送这条消息。由于这些地址清单常常很糟糕，并且为了加快垃圾制造者的操作速度，许多垃圾制造者取了将他们所有的邮件都发送到一台SMTP服务器上作法，由这台服务器负责实际发送这些邮件。
当然，弹回（bounces）消息、对垃圾制造者的抱怨、咒骂的邮件和坏的PR都涌入了曾被用作中继站的站点。这将着实要让这个站点破费一下了，其中大部分花费被用到支付以后清除这些信息的人员费用上。
《防止邮件滥用系统传输安全性建议》（The Mail Abuse Prevention System Transport Security Initiative）中对这个问题作了详尽的叙述，以及如何对每个寄信人进行配置防止这种攻击。
利用应用程序中的错误（bugs）
不同版本的web服务器、邮件服务器和其它Internet服务软件都存在各种错误，因此，远程（Internet）用户可以利用错误做从造成对计算机的控制到引起应用程序瘫痪等各种后果。
只运行必要的服务、用最新的补丁程序修补程序以及使用应用过一段时间的产品可以减少遭遇这种风险的可能。
利用操作系统中的错误
这类攻击一般也是由远程用户发起的。相对于IP网络较新的操作系统更易出现问题，而很成熟的操作系统有充分的时间来发现和清除存在的错误。攻击者经常可以使被攻击的设备不断重新引导、瘫痪、失去与网络通信的能力，或替换计算机上的文件。
因此，尽可能少地运行操作系统服务可以有助于防范对系统的攻击。此外，在操作系统前端安装一个包过滤器也可以大大减少受这类攻击的次数。
当然，选择一个稳定的操作系统也同样会有帮助。在选择操作系统时，不要轻信“好货不便宜”这类说法。自由软件操作系统常常比商用操作系统更强。
11．我必须满足用户要求的各种要求吗？
对这个问题的答案完全有可能是“不”。对于需要什么，不需要什么，每个站点都有自己的策略，但是，重要的是记住作为一家机构的看门人的主要工作之一是教育。用户需要流、实时聊天，并要求能够向请求在内部网络上的活数据库进行交互查询的外部客户提供服务。
这意味着完成任何这类事情都会给机构造成风险，而造成的风险往往比想像中沿着这条路走下去的“价值”的回报更高。多数用户不愿使自己的机构遭受风险。他们只看一看商标，阅读一下广告，他们也愿意做上述那些事。重要的是了解用户真正想干些什么，帮助他们懂得他们可以以更安全的方式实现他们的真正目的。
你不会总受到欢迎，你可以甚至会发现自己收到了难以置信愚蠢的命令，让你做一些诸如“打开所有的口子”这样的事，但不要为此担心。在这种时刻，明智的做法是将你的交换数据全都保存起来，这样当一个十二岁的小孩闯入网络时，你至少能够使你自己远离混乱局面。
12．如何才能通过自己的防火墙运行Web／HTTP？
有三种办法做到这点：
1、如果你使用屏蔽路由器的话，允许“建立起的”连接经过路由器接入到防火墙外。
2、使用支持SOCKS的Web客户机，并在你的桥头堡主机上运行SOCKS。
3、运行桥头堡主机上的某种具有代理功能的Web服务器。一些可供选择的代理服务器包括Squid、Apache、Netscape Proxy和TIS防火墙工具包中的-gw。这些选件中的多数还可以代理其它协议（如gopher和ftp），并可缓存捕获的对象。后者一般会提高用户的性能，使你能更有效地使用到Internet的连接。基本上所有的Web客户机（Mozilla、Internet Explorer、Lynx等等）都具有内置的对代理服务器的支持。
13．在使用防火墙时，怎样使用DNS呢？
一些机构想隐藏DNS名，不让外界知道。许多专家认为隐藏DNS名没有什么价值，但是，如果站点或企业的政策强制要求隐藏域名，它也不失为一种已知可行的办法。你可能必须隐藏域名的另一条理由是你的内部网络上是否有非标准的寻址方案。不要自欺欺人的认为，如果隐藏了你的DNS名，在攻击者打入你的防火墙时，会给攻击者增加困难。有关你的网络的信息可以很容易地从网络层获得。如你有兴趣证实这点的话，不妨在LAN上“ping”一下子网广播地址，然后再执行“arp -a”。还需要说明的是，隐藏DNS中的域名不能解决从邮件头、新闻文章等中“泄露”主机名的问题。
这种方法是许多方法中的一个，它对于希望向Internet隐瞒自己的主机名的机构很有用。这种办法的成功取决于这样一个事实：即一台机器上的DNS客户机不必与在同一台机器上的DNS服务器对话。换句话说，正是由于在一台机器上有一个DNS服务器，因此，将这部机器的DNS客户机活动重定向到另一台机器上的DNS服务器没有任何不妥（并且经常有好处）。
首先，你在可以与外部世界通信的桥头堡主机上建立DNS服务器。你建立这台服务器使它宣布对你的域名具有访问的权力。事实上，这台服务器所了解的就是你想让外部世界所了解的：你网关的名称和地址、你的通配符MX记录等等。这台服务器就是“公共”服务器。
然后，在内部机器上建立一台DNS服务器。这台服务器也宣布对你的域名具有权力；与公共服务器不同，这台服务器“讲的是真话”。它是你的“正常”的命名服务器，你可以在这台服务器中放入你所有的“正常”DNS名。你再设置这台服务器，使它可以将它不能解决的查询转发到公共服务器（例如，使用Unix机上的/etc/
named.boot中的“转发器”行（forwarder line））。
最后，设置你所有的DNS客户机（例如，Unix机上的/etc/resolv.conf文件）使用内部服务器，这些DNS客户机包括公共服务器所在机器上的DNS客户机。这是关键。
询问有关一台内部主机信息的内部客户机向内部服务器提出问题，并得到回答；询问有关一部外部主机信息的内部客户机向内部服务器查询，内部客户机再向公共服务器进行查询，公共服务器再向Internet查询，然后将得到的答案再一步一步传回来。公共服务器上的客户机也以相同的方式工作。但是，一台询问关于一台内部主机信息的外部客户机，只能从公共服务器上得到“限制性”的答案。
这种方式定在这两台服务器之间有一个包过滤防火墙，这个防火墙允许服务器相互传递DNS，但除此之外，限制其它主机之间的DNS。
这种方式中的另一项有用的技巧是利用你的IN-ADDR.AROA域名中通配符PTR记录。这将引起对任何非公共主机的“地址到名称”（address-to-name）的查找返回像“unknown.YOUR.DOMAIN”这样的信息，而非返回一个错误。这就满足了像ftp.uu.net匿名FTP站点的要求。这类站点要求得到与它们通信的计算机的名字。当与进行DNS交叉检查的站点通信时，这种方法就不灵了。在交叉检查中，主机名要与它的地址匹配，地址也要与主机名匹配。
14．怎样才能穿过防火墙使用FTP？
一般来说，可以通过使用像防火墙工具包中的ftp-gw这类代理服务器，或在有限的端口范围允许接入连接到网络上（利用如“建立的”屏蔽规则这样的规则来限制除上述端口外的接入），使FTP可以穿过防火墙工作。然后，修改FTP客户机，使其将数据端口连接在允许端口范围内的一个端口上。这样做需要能够修改在内部主机上的
FTP客户机应用。
在某些情况下，如果FTP的下载是你所希望支持的，你不妨考虑宣布FTP为“死协议”（dead protocol），并且让户通过Web下载文件。如果你选择FTP-via-Web方式，用户将不能使用FTP向外传输文件，这可能会造成问题，不过这取决你试图完成什么。
另一个不同的办法是使用FTP "PASV"选项来指示远程FTP服务器允许客户机开始连接。PASV方式设远程系统上的FTP服务器支持这种操作。（详细说明请参看RFC1579）
另一些站点偏爱建立根据SOCKS库链接的FTP程序的客户机版本。
15．怎样才能穿过防火墙使用telnet？
利用像防火墙工具包中的tn-gw这类应用代理，或简单地配置一台路由器使它利用像“建立的”屏蔽规则等策略允许接出，一般都可以支持使用telnet。应用代理可以以运行在桥头堡主机上的独立代理的形式，或以SOCKS服务器和修改的客户机的形式存在。
16．怎样才能穿过防火墙使用RealAudio？
RealNetworks中含有关于如何使穿过防火墙RealAudio的一些说明。在没有清楚地了解做哪些改动，了解新的改动将带来什么样的风险的情况下，就改动你的防火墙，是很不明智的。
17．如何才能使web服务器作为专用网络上的一个数据库的前端呢？
实现这点的最佳途径是通过特定的协议在web服务器与数据库服务器之间允许很有限的连接。特定的协议只支持你将使用的功能的级别。允许原始SQL或其它任何可为攻击者利用来进行定制提取（extractions）的东西，一般来说不是一个好主意。
设攻击者能够进入你的web服务器，并以web服务器同样的方式进行查询。难道没有一种机制能提取web服务器不需要的像信息这样的敏感信息吗？攻击者难道不能发出一次SQL选择，然后提取你整个的专用数据库吗？
同其它所有应用一样，“电子商务”应用从一开始设计时就充分考虑到了安全问题，而不是以后再想起来“增加”安全性。应当从一个攻击者的角度，严格审查你的结构。设攻击者了解你的结构的每一个细节。现在，再问问自己，想要窃取你的数据、进行非授权的改动或做其它任何你不想让做的事的话，应当做些什么。你可能会发现，不需要增加任何功能，只需做出一些设计和实施上的决策就可大大地增加安全性。
下面是一些如何做到这点的想法：
以一般的原则，从数据库中提取你所需要的数据，使你不用对包含攻击者感兴趣的信息的整个数据库进行查询。对你允许在web服务器与数据库之间传输流实行严格的限制和审计。
回答者：引力流 - 经理 四级 3-11 23:46
提问者对于答案的评价：
bn
其他回答
共 6 条
记得<一个馒头>中说无极=无聊X2,那我想现在普通网友认为的安全应该是 安全=防火墙+杀毒.鉴于普通网友不具备主动发现和手工清除的能力,所以用杀毒软件来清除是很好的办法,但是有的时候杀毒软件确实也发现不了一些木马后门.而且经常因为清除造成一些程序无法正常使用,防火墙是阻挡外界攻击的,网络上的攻击形形所以我们合理的配置好我们的防火墙还是很有必要的,你问题中提到了后台活动的程序那我推荐你安装反间谍程序,这样就一目了然了。 所以这些防护软件该怎么用,并没有严格限制,根据自己需求吧.
总而言之一句话，防火墙是守城的，是站岗放哨的，没有系统给他的命令是不
允许放不明身份的敌人（程序）进来的。而杀毒软件是把不小心潜入的敌人（程序）给消灭掉的。
