防火墙部署及等保三级要求配置

一：防火墙部署

　　防火墙常见的部署有三种：透明模式也叫桥模式、路由模式也叫网关模式或三层模式、NAT模式。

（1）透明模式（桥模式）：

　　　　最简单的网络由客户端和服务器组成，客户端和服务器处于同一网段。为了安全方面的考虑，在客户端和服务器之间增加了防火墙设备，对经过的流量进行安全控制。正常的客户端请求通过防火墙送达服务器，服务器将响应返回给客户端，用户不会感觉到中间设备的存在。工作在桥模式下的防火墙没有IP地址，当对网络进行扩容时无需对网络地址进行重新规划，但牺牲了路由、VPN等功能。

　　　　个人理解简化：防火墙在客户端和服务器之间相当于连通的线，对所流经的流量进行完全控制（拦截和过滤）。

（2）路由模式（网关模式或三层模式）：

　　　　适用于内外网不在同一网段的情况，防火墙设置网关地址实现路由器的功能，为不同网段进行路由转发。网关模式相比桥模式具备更高的安全性，在进行访问控制的同时实现了安全隔离，具备了一定的私密性。

　　　　个人理解简化：防火墙相当于一个路由器，控制内外网两个网段的通信流量，同时实现安全隔离。

（3）NAT模式：

　　　　NAT(Network Address Translation)地址翻译技术由防火墙对内部网络的IP地址进行地址翻译，使用防火墙的IP地址替换内部网络的源地址向外部网络发送数据;当外部网络的响应数据流量返回到防火墙后，防火墙再将目的地址替换为内部网络的源地址。NAT模式能够实现外部网络不能直接看到内部网络的IP地址，进一步增强了对内部网络的安全防护。同时，在NAT模式的网络中，内部网络可以使用私网地址，可以解决IP地址数量受限的问题。

　　　　个人理解简化：防火墙相当于中间介质，外网访问内网时，外网流量到防火墙，然后防火墙再映射到内网主机实现访问，使外部网络不能直接看到内部网络的IP地址增强了对内部网络的安全防护。

二：防火墙等保三级要求配置：

　　1、周期性备份

　　2、重命名

　　3、修改默认密码

　　4、记录日志（操作日志、运行日志、安全日志）

　　5、策略不能存在any到any

　　6、登录失败处理（可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施）

　　7、更新（规则库和版本更新到最新）

　　8、用户权限分离

　　9、IP限制

　　10、关闭不必要的服务（尽量能使用https，改端口）