寫在最前：
安全產品系列目錄：目錄&總述
用於邊界安全防護的許可權控制和安全域的劃分
防外不防內，隔離區域
配置策略，按需劃分，最小授權原則
產品簡介
採用應用層安全防護理念，同時結合先進的多核高速資料報併發處理技術，研發而成的下一代邊界安全產品。其核心理念是立足於使用者網路邊界，建立起以應用為核心的網路安全策略和以內網資產風險識別、雲端安全管理為顯著特徵的全方位的安全防護體系。
產品特點
全面的應用、使用者識別能力
細緻的應用層控制
應用層安全防護能力
入侵防護、url過濾、防病毒、內容過濾
應用層安全處理效能
基礎網路資料報的高速**，應用層安全處理的高效能
內網資產風險管理
雲端安全管理模式
高穩定性和可靠性
支援路由、交換、訪問控制、流量管理、snat/dnat、日誌報表等傳統功能
使用者價值
對應用、業務和使用者完全識別並加以控制、可以幫助企業降低管理難度、減少運維成本
事前的風險預知和事後的檢測&響應能力，主動發現被保護的資產物件，以及被保護物件的風險狀況
幫助有關部門、機構和人員及時對網路安全風險資訊進行監測評估
1.部署模式
路由模式
當防火牆位於內部網路和外部網路之間時，需要將防火牆與內部網路、外部網路以及dmz 三個區域相連的介面分別配置成不同網段的ip 位址，重新規劃原有的網路拓撲，此時相當於一台路由器。路由器兩端是不同子網
採用路由模式時，可以完成acl 包過濾、aspf 動態過濾、nat 轉換等功能。然而，路由模式需要對網路拓撲進行修改（內部網路使用者需要更改閘道器、路由器需要更改路由配置等），這是一件相當費事的工作，因此在使用該模式時需權衡利弊。
透明模式
如果防火牆採用透明模式進行工作，則可以避免改變拓撲結構造成的麻煩，此時防火牆對於子網使用者和路由器來說是完全透明的。也就是說，使用者完全感覺不到防火牆的存在。
採用透明模式時，只需在網路中像放置網橋（bridge）一樣插入該防火牆裝置即可，無需修改任何已有的配置。與路由模式相同，ip 報文同樣經過相關的過濾檢查（但是ip 報文中的源或目的位址不會改變），內部網路使用者依舊受到防火牆的保護。
旁路模式
在其他裝置上開乙個映象口接入，邏輯上類似透明模式，檢查流量經過，但不能進行阻斷
部署簡單，不改變現有結構，不影響速度，出現故障不會影響其他裝置
旁路部署可以進行特殊流量配置，比如：三角傳輸
三角傳輸,也叫direct server return(dsr)模式，是旁路部署的乙個特例這種模式下只有入站方向流量進入到裝置，伺服器返回的流量不經過裝置。由於網際網路的流量具有典型的非對稱性，即請求方向上的流量比較小，絕大多數流量集中在伺服器響應的方向上，若充分信任內部安全性，這種配置可以提公升處理能力。
雙機熱備
這種可能會用到混合模式：防火牆既存在工作在路由模式的介面（介面具有ip 位址），又存在工作在透明模式的介面（介面無ip 位址），則防火牆工作在混合模式下
主備模式
主備模式下的兩台防火牆，其中一台作為主裝置，另一台作為備份裝置。主裝置處理所有業務，並將產生的會話資訊傳送到備份裝置進行備份；備份裝置不處理業務，只用做備份。當主裝置故障，備份裝置接替主裝置處理業務，從而保證新發起的會話能正常建立，當前正在進行的會話也不會中斷。
負載分擔模式
兩台裝置均為主裝置，都處理業務流量，同時又作為另一台裝置的備份裝置，備份對端的會話資訊（如下圖所示，firewall 1和firewall 2均處理業務，互為備份）。當其中一台故障後，另一台裝置負責處理全部業務，從而保證新發起的會話能正常建立，當前正在進行的會話也不會中斷
一般部署
會話備份
因為有重傳機制
所以在兩台防火牆完全主備部署的情況下，即使不使用會話備份，在裝置故障切換時只是會影響業務的切換時間，但不會完全導致業務不可用；對於新建連線，只是增加一次會話建立時間，對資料**沒有任何影響
當兩台防火牆做負載分擔，而且資料流量存在來回路徑不一致的時候，防火牆必須開啟會話備份功能。
因為開啟了ospf負載分擔，以tcp資料流為例，假如trust區域的某客戶要去訪問untrust區域的資源，tcp資料流第乙個syn報文根據等價路由被**到firewall 1，但是對方回應的syn-ack報文被上面路由器**到了firewall 2,對於firewall 2由於報文是從untrust到trust，策略是禁止的，而且裝置本身又沒有會話，所以這個報文就會被丟棄，tcp連線建立失敗。儘管tcp超時後會再次發起連線，但是如果上下兩台路由器等價路由的hash方式不變，報文會一直按著上面所說的路徑**，所以tcp連線永遠失敗。
工作過程
路由工作模式
防火牆工作在路由模式下，此時所有介面都配置ip 位址，各界面所在的安全區域是三層區域，不同三層區域相關的介面連線的外部使用者屬於不同的子網。當報文在三層區域的介面間進行**時，根據報文的ip 位址來查詢路由表，此時 防火牆表現為乙個路由器。但是， 防火牆與路由器存在不同， 防火牆中ip 報文還需要送到上層進行相關過濾等處理，通過檢查會話表或acl 規則以確定是否允許該報文通過。此外，還要完成其它防攻擊檢查。路由模式的防火牆支援acl 規則檢查、aspf 狀態過濾、防攻擊檢查、流量監控等功能。
透明工作模式
防火牆工作在透明模式下，此時所有介面都不能配置ip 位址，介面所在的安全區域是二層區域，和二層區域相關介面連線的外部使用者同屬乙個子網。當報文在二層區域的介面間進行**時，需要根據報文的mac 位址來尋找出介面，此時防火牆表現為乙個透明網橋。但是，防火牆與網橋存在不同，防火牆中ip 報文還需要送到上層進行相關過濾等處理，通過檢查會話表或acl 規則以確定是否允許該報文通過。此外，還要完成其它防攻擊檢查。透明模式的防火牆支援acl 規則檢查、aspf 狀態過濾、防攻擊檢查、流量監控等功能。工作在透明模式下的 防火牆在資料鏈路層連線區域網（lan），網路終端使用者無需為連線網路而對裝置進行特別配置，就像lan switch 進行網路連線。
混合工作模式
防火牆工作在混合透明模式下，此時部分介面配置ip 位址，部分介面不能配置ip 位址。配置ip 位址的介面所在的安全區域是三層區域，介面上啟動vrrp功能，用於雙機熱備份；而未配置ip 位址的介面所在的安全區域是二層區域，和二層區域相關介面連線的外部使用者同屬乙個子網。當報文在二層區域的介面間
進行**時，**過程與透明模式的工作過程完全相同。
unified threat management
整合多種功能
若開啟多項功能，可能性能不足，大多用於中低端公司
產品簡介
產品特點
整合多種產品功能，方便配置，管理
使用者價值
便於部署，維護
價效比高
1. 部署模式
與防火牆類似，但一般不用於區域劃分（太貴），只在內外網之間放乙個
生產廠商
Web應用防火牆？Web安全閘道器？
原文 無論是基於web的應用系統還是web 他們都面臨著各種各樣且 不定的安全威脅。他們有些是已被發現，並具有可識別的固定特徵的 則是因 的設計和 以及攻擊者的行為習慣而異的。而所有這些都是web應用系統和web 必須面對和解決的安全問題。傳統的技術手段。如防火牆和ips都是基於已知的安全特徵的安全...
web應用安全閘道器
1.基於web和資料庫結合的b s 瀏覽器 伺服器結構 架構應用已經廣泛使用於企業內部和外部的業務系統中，web系統發揮著越來越重要的作用。2.web應用程式漏洞的存在更加普遍，隨著web應用技術的深入普及，web應用程式漏洞發掘和攻擊速度越來越塊，基於web漏洞的攻擊更容易被利用。1.篡改web系...
Web安全閘道器與下一代防火牆該如何選擇
web安全閘道器與下一代防火牆該如何選擇？對於已經部署過企業級防火牆的企業而言，進一步部署web安全閘道器將會大大將強企業的深度內容安全保護能力，兩者並非簡單的取代關係。在今年8月份gartner發布的資訊保安報告中顯示，ngfws從原理上看，的確超越了普通防火牆的狀態埠與協議過濾機制，其內部可以執...