硬件防火墻有什么功能？硬件防火墻可以發揮多大的作用？

　　硬件防火墻是保障內部網絡安全的一道重要屏障，TA的作用和軟件防火墻一樣重要，不過卻是尤甚于前者，它跟注重安全和穩定，是直接關系到整個內部網絡的安全的保障。那硬件防火墻可以發揮多大的作用呢？又是怎么維護的？

　　系統中存在的很多隱患和故障在暴發前都會出現這樣或那樣的苗頭，例行檢查的任務就是要發現這些安全隱患，并盡可能將問題定位，方便問題的解決。

　　一、硬件防火墻的例行檢查主要針對以下內容：

　　1、硬件防火墻的配置文件

　　不管你在安裝硬件防火墻的時候考慮得有多么的全面和嚴密，一旦硬件防火墻投入到實際使用環境中，情況卻隨時都在發生改變。硬件防火墻的規則總會不斷地變化和調整著，配置參數也會時常有所改變。作為網絡安全管理人員，最好能夠編寫一套修改防火墻配置和規則的安全策略，并嚴格實施。所涉及的硬件防火墻配置，最好能詳細到類似哪些流量被允許，哪些服務要用到代理這樣的細節。

　　在安全策略中，要寫明修改硬件防火墻配置的步驟，如哪些授權需要修改、誰能進行這樣的修改、什么時候才能進行修改、如何記錄這些修改等。安全策略還應該寫明責任的劃分，如某人具體做修改，另一人負責記錄，第三個人來檢查和測試修改后的設置是否正確。詳盡的安全策略應該保證硬件防火墻配置的修改工作程序化，并能盡量避免因修改配置所造成的錯誤和安全漏洞。

　　2、硬件防火墻的磁盤使用情況

　　如果在硬件防火墻上保留日志記錄，那么檢查硬件防火墻的磁盤使用情況是一件很重要的事情。如果不保留日志記錄，那么檢查硬件防火墻的磁盤使用情況就變得更加重要了。保留日志記錄的情況下，磁盤占用量的異常增長很可能表明日志清除過程存在問題，這種情況相對來說還好處理一些。在不保留日志的情況下，如果磁盤占用量異常增長，則說明硬件防火墻有可能是被人安裝了Rootkit工具，已經被人攻破。

　　因此，網絡安全管理人員首先需要了解在正常情況下，防火墻的磁盤占用情況，并以此為依據，設定一個檢查基線。硬件防火墻的磁盤占用量一旦超過這個基線，就意味著系統遇到了安全或其他方面的問題，需要進一步的檢查。

　　3、硬件防火墻的CPU負載

　　和磁盤使用情況類似，CPU負載也是判斷硬件防火墻系統運行是否正常的一個重要指標。作為安全管理人員，必須了解硬件防火墻系統CPU負載的正常值是多少，過低的負載值不一定表示一切正常，但出現過高的負載值則說明防火墻系統肯定出現問題了。過高的CPU負載很可能是硬件防火墻遭到DoS攻擊或外部網絡連接斷開等問題造成的。

　　4、硬件防火墻系統的精靈程序

　　系統文件關鍵的系統文件的改變不外乎三種情況：管理人員有目的、有計劃地進行的修改，比如計劃中的系統升級所造成的修改；管理人員偶爾對系統文件進行的修改；攻擊者對文件的修改。

　　經常性地檢查系統文件，并查對系統文件修改記錄，可及時發現防火墻所遭到的攻擊。此外，還應該強調一下，最好在硬件防火墻配置策略的修改中，包含對系統文件修改的記錄。

　　上述幾個方面的例行檢查也許并不能立刻檢查到硬件防火墻可能遇到的所有問題和隱患，但持之以恒地檢查對硬件防火墻穩定可靠地運行是非常重要的。

　　二、硬件防火墻能夠作到些什么？

　　1、包過濾

　　具備包過濾的就是防火墻？對，沒錯！根據對防火墻的定義，凡是能有效阻止網絡非法連接的方式，都算防火墻。早期的防火墻一般就是利用設置的條件，監測通過的包的特征來決定放行或者阻止的，包過濾是很重要的一種特性。雖然防火墻技術發展到現在有了很多新的理念提出，但是包過濾依然是非常重要的一環，如同四層交換機首要的仍是要具備包的快速轉發這樣一個交換機的基本功能一樣。通過包過濾，防火墻可以實現阻擋攻擊，禁止外部/內部訪問某些站點，限制每個ip的流量和連接數。

　　2、包的透明轉發

　　事實上，由于防火墻一般架設在提供某些服務的服務器前。如果用示意圖來表示就是 Server—FireWall—Guest 。用戶對服務器的訪問的請求與服務器反饋給用戶的信息，都需要經過防火墻的轉發，因此，很多防火墻具備網關的能力。

　　3、阻擋外部攻擊

　　如果用戶發送的信息是防火墻設置所不允許的，防火墻會立即將其阻斷，避免其進入防火墻之后的服務器中。

　　4、記錄攻擊

　　如果有必要，其實防火墻是完全可以將攻擊行為都記錄下來的，但是由于出于效率上的考慮，目前一般記錄攻擊的事情都交給IDS來完成了，我們在后面會提到。

　　以上是所有防火墻都具備的基本特性，雖然很簡單，但防火墻技術就是在此基礎上逐步發展起來的。

　　三、防火墻有哪些缺點和不足？

　　1、防火墻可以阻斷攻擊，但不能消滅攻擊源。

　　“各掃自家門前雪，不管他人瓦上霜”，就是目前網絡安全的現狀?；ヂ摼W上病毒、木馬、惡意試探等等造成的攻擊行為絡繹不絕。設置得當的防火墻能夠阻擋他們，但是無法清除攻擊源。即使防火墻進行了良好的設置，使得攻擊無法穿透防火墻，但各種攻擊仍然會源源不斷地向防火墻發出嘗試。例如接主干網10M網絡帶寬的某站點，其日常流量中平均有512K左右是攻擊行為。那么，即使成功設置了防火墻后，這512K的攻擊流量依然不會有絲毫減少。

　　2、防火墻不能抵抗最新的未設置策略的攻擊漏洞

　　就如殺毒軟件與病毒一樣，總是先出現病毒，殺毒軟件經過分析出特征碼后加入到病毒庫內才能查殺。防火墻的各種策略，也是在該攻擊方式經過專家分析后給出其特征進而設置的。如果世界上新發現某個主機漏洞的cracker的把第一個攻擊對象選中了您的網絡，那么防火墻也沒有辦法幫到您的。

　　3、防火墻的并發連接數限制容易導致擁塞或者溢出

　　由于要判斷、處理流經防火墻的每一個包，因此防火墻在某些流量大、并發請求多的情況下，很容易導致擁塞，成為整個網絡的瓶頸影響性能。而當防火墻溢出的時候，整個防線就如同虛設，原本被禁止的連接也能從容通過了。

　　4、防火墻對服務器合法開放的端口的攻擊大多無法阻止

　　某些情況下，攻擊者利用服務器提供的服務進行缺陷攻擊。例如利用開放了3389端口取得沒打過sp補丁的win2k的超級權限、利用asp程序進行腳本攻擊等。由于其行為在防火墻一級看來是“合理”和“合法”的，因此就被簡單地放行了。

　　5、防火墻對待內部主動發起連接的攻擊一般無法阻止

　　“外緊內松”是一般局域網絡的特點?；蛟S一道嚴密防守的防火墻內部的網絡是一片混亂也有可能。通過社會工程學發送帶木馬的郵件、帶木馬的URL等方式，然后由中木馬的機器主動對攻擊者連接，將鐵壁一樣的防火墻瞬間破壞掉。另外，防火墻內部各主機間的攻擊行為，防火墻也只有如旁觀者一樣冷視而愛莫能助。

　　6、防火墻本身也會出現問題和受到攻擊

　　防火墻也是一個os，也有著其硬件系統和軟件，因此依然有著漏洞和bug。所以其本身也可能受到攻擊和出現軟/硬件方面的故障。

　　7、防火墻不處理病毒

　　不管是funlove病毒也好，還是CIH也好。在內部網絡用戶下載外網的帶毒文件的時候，防火墻是不為所動的（這里的防火墻不是指單機/企業級的殺毒軟件中的實時監控功能，雖然它們不少都叫“病毒防火墻”）。

　　看到這里，或許您原本心目中的防火墻已經被我拉下了神臺。是的，防火墻是網絡安全的重要一環，但不代表設置了防火墻就能一定保證網絡的安全。“真正的安全是一種意識，而非技術！”請牢記這句話。

　　不管怎么樣，防火墻仍然有其積極的一面。在構建任何一個網絡的防御工事時，除了物理上的隔離和目前新近提出的網閘概念外，首要的選擇絕對是防火墻。

　　以上便是關于硬件防火墻的只是，硬件防火墻一般用于服務器，可以更好的防御來自外圍的攻擊，對于個人電腦而言，毫無意義。