刍议防火墙的合理使用

摘要：  防火墙是近几年发展起来的一种保护计算机网络安全的技术措施，也是目前使用最广泛的一种网络安全防护技术。防火墙是一个或一组实施访问控制策略的系统，它可以是软件、硬件或软硬件的结合，其目的是提供对网络的安全保护。防火墙通常位于内部网络和外部网络之间，可以监视、控制和更改在内部和外部网络之间流动的网络通信；控制外部计算机可以访问内部受保护的环境，并确定访问的时间、权限，服务类型和质量等，检查内部流传的信息，避免保密信息流出，达到抵挡外部入侵和防止内部信息泄密的目的。本文提出了防火墙的配置在网络安全中的重要性，阐释了防火墙规则集是防火墙产品安全的重要措施。

关键词：  防火墙  配置  网络  安全

一、      防火墙的配置与网络的安全
防火墙是网络安全中非常重要的一环，大多数的单位多半认为仅需要安装一套防火墙设备，就应该可以解决他们的安全问题，因此不惜重金购买防火墙，但却忽视了防火墙的配置。防火墙功能的强大与否，除了防火墙本身的性能外，主要是取决对防火墙的正确配置。在我们与使用防火墙的用户接触中，发现常常由于防火墙配置的错误，而留下一些系统安全漏洞，让入侵者有机可趁。
在装有防火墙产品的网络中，内部网络的安全性将在一定程度上依赖于防火墙产品的规则配置。由于一些配置在本质上比其它的配置更安全，因而网络安全系统的一个重要组件，在复杂的没有条理性的配置上想要获得安全性是很困难的，或许是不可能的。一个将网络安全时刻放在心上并清楚地组织网络防火墙的配置，使其易于理解和管理，几乎肯定是更加安全的。
对于使用防火墙的用户来说，最合适的网络配置依赖于对网络安全性、灵活性及数据传输速度的要求。因为防火墙规则的增加会影响其速度，不过现在有些防火墙产品在加一千余条规则后，其传输速度也不受太大的影响。
二、      安全、可靠的防火墙的实现
建立一个条理清楚的防火墙规则集是实现防火墙产品安全的非常关键的一歩。安全、可靠防火墙的实现取决于以下的过程：
1、制定安全策略，搭建安全体系结构
安全策略要靠防火墙的规则集来实现的，防火墙是安全策略得以实现的技术工具。所以，必须首先来制定安全策略，也就是说防火墙要保护的是什么，要防止的是什么，并将要求细节化，使之全部转化成防火墙规则集。
2、制定规则的合理次序
一般防火墙产品在缺省状态下有两种默认规则：一种是没有明确允许，一律禁止；另一种是没有明确禁止，一律允许。因此用户首先要理解自己所用产品的默认状态，这样才能开始配置其它的规则。
在防火墙产品规则列表中，最一般的规则被列在最后，而最具体的规则被列在最前面。在列表中每一个列在前面的规则都比列在后面的规则更加具体，而列表中列在后面的规则比列在前面规则更加一般。
按以上规则要求，规则放置的次序是非常关键的。同样的规则，以不同的次序放置，可能会完全改变防火墙产品的运行状况。大部分防火墙产品以顺序方式检查信息包，当防火墙接收到一个信息包时，它先与第一条规则相比较，然后才是第二条、第三条……，当它发现一条匹配规则时，就停止检查并应用那条规则。如果信息包经过每一条规则而没有发现匹配的规则，那么默认的规则将起作用，这个信息包便会被拒绝。
另外有些防火墙产品专门将对防火墙本身的访问列出规则，这要比一般的包过滤规则严格的多，　通过这一规则的合理配置，阻塞对防火墙的任何恶意访问，提高防火墙本身的安全性。
3、详细的注释，帮助理解
恰当地组织好规则之后，还建议写上注释并经常更新它们。注释可以帮助明白哪条规则做什么，对规则理解的越好，错误配置的可能性就越小。同时建议当修改规则时，把规则更改者的名字、规则变更的日期、时间、规则变更的原因等信息加入注释中，这可以帮助你跟踪谁修改了哪条规则，以及修改的原因。
4、      做好日志工作
日志的记录内容由防火墙管理员制定，可记录在防火墙制定，也可放置在其它的主机。建议防火墙管理员定期的查看日志的内容，归档，便于分析。同时要将被规则阻塞的包及时的通报管理员，以便及时了解网络攻击的状况，采取应急措施，保护网络的安全。
三．结束语
总之，由于防火墙产品的实施相对简单，因此它是维护网络安全普遍采用的安全产品之一。但是防火墙产品仅是给用户提供了一套安全防范的技术手段，只有合理的使用和良好的配置，才能使用户的安全策略很好的融入到防火墙产品之中，使其真正起到保护用户网络安全的作用。