香港抗攻擊服務器租用商淺談防火墻怎么設計為好
防火墻對于服務器租用以及服務器托管的用戶而言十分重要。當攻擊來襲時防火墻對于保護用戶的數據起到了十分關鍵的作用，那么對于用戶而言如何進行防火墻的布局呢？
防火墻的設計目標
一種良好的防火墻策略和網絡設計應當能夠減少（而不是根除）下面的這些安全風險：
1.來自互聯網的攻擊DMZ服務的攻擊
3.企業用戶或服務器攻擊DMZ服務器
4.DMZ服務器攻擊用戶、服務器，或者損害自身。
5.來自合伙人和外延網（extranet）的威脅
6.來自通過WAN連接的遠程部門的威脅
這些目標聽起來也許有點太過頭了，因為這基本上并不是傳統的方法，不過它卻其自身的道理。
第一點是非常明顯的，那就是限制通過互聯網試圖訪問DMZ服務器的服務端口，這就極大地減少了它們被攻克的機會。例如，在一個SMTP郵件服務器上，僅允許互聯網的通信通過25號TCP端口。因此，如果這臺SMTP服務器碰巧在其服務器服務或程序中有一個漏洞，它也不會被暴露在互聯網上，蠕蟲和黑客總在關心80號端口的漏洞。
下一條聽起來可能有點兒古怪，我們為什么要關心通過自己的網絡來保護公共網絡呢？當然，任何公民都不應當散布惡意代碼，這是起碼的要求。但這樣做也是為了更好地保護我們自己的的網絡連接。以SQL slammer 蠕蟲為例，如果我們部署了更好的防火墻策略，那么就可以防止對互聯網的拒絕服務攻擊 ，同時還節省了互聯網資源。
最不好對付的是內部威脅。多數昂貴的防火墻并不能借助傳統的設計來防止網絡免受內部攻擊者的危害。如一個惡意用戶在家里或其它地方將一臺感染惡意代碼的筆記本電腦掛接到網絡上所造成的后果可想而知。一個良好的網絡設計和防火墻策略應當能夠保護DMZ服務器，使其免受服務器和用戶所帶來的風險，就如同防御來自互聯網的風險一樣。
事情還有另外一方面。因為DMZ服務器暴露在公共的互聯網上，這就存在著它被黑客或蠕蟲破壞的可能。管理員采取措施限制DMZ服務器可能對內部服務器或用戶工作站所造成的威脅是至關重要的。此外，一套穩健的防火墻策略還可以防止DMZ服務器進一步損害自身。如果一臺服務器被黑客通過某種已知或未知的漏洞給破壞了,他們做的第一件事情就是使服務器下載一個rootkit。防火墻策略應當防止下載這種東西。
還可以進一步減少來自外延網（Extranet）合伙人及遠程辦公部門WAN的威脅。連接這些網絡的路由器使用了廣域網技術，如幀中繼、VPN隧道、租用私有線路等來保障，這些路由器也可以由防火墻來保障其安全。利用每一臺路由器上的防火墻特性來實施安全性太過于昂貴，這樣不但造成硬件成本高，更主要的是其設置和管理上難度也很大。企業的防火墻借助于超過傳統防火墻的附加功能可以提供簡單而集中化的廣域網和外延網的安全管理。
關鍵在于防火墻能夠限制不同網絡區域的通信，這些區域是根據邏輯組織和功能目的劃分的。但防火墻不能限制并保護主機免受同一子網內的其它主機的威脅，因為數據絕對不會通過防火墻接受檢查。這也就是為什么防火墻支持的區域越多，它在一個設計科學的企業網絡中也就越有用。由于一些主要的廠商都支持接口的匯聚，所以區域劃分實現起來也就簡單多了。單獨一個千兆比特的端口可以輕松地支持多個區域，并且比幾個快速以太網端口的執行速度更快。
