能否详细的介绍一下何谓"硬防""软防"?

硬防就是硬件防火墙

软防就是软件防火墙

硬防是指硬件防火墙, 硬件防火墙是指把防火墙程序做到芯片里面，由硬件执行这些功能，能减少CPU的负担，使路由更稳定。

硬件防火墙是保障内部网络安全的一道重要屏障。它的安全和稳定，直接关系到整个内部网络的安全。因此，日常例行的检查对于保证硬件防火墙的安全是非常重要的。

系统中存在的很多隐患和故障在暴发前都会出现这样或那样的苗头，例行检查的任务就是要发现这些安全隐患，并尽可能将问题定位，方便问题的解决。

一般来说，硬件防火墙的例行检查主要针对以下内容：

1.硬件防火墙的配置文件

不管你在安装硬件防火墙的时候考虑得有多么的全面和严密，一旦硬件防火墙投入到实际使用环境中，情况却随时都在发生改变。硬件防火墙的规则总会不断地变化和调整着，配置参数也会时常有所改变。作为网络安全管理人员，最好能够编写一套修改防火墙配置和规则的安全策略，并严格实施。所涉及的硬件防火墙配置，最好能详细到类似哪些流量被允许，哪些服务要用到代理这样的细节。

在安全策略中，要写明修改硬件防火墙配置的步骤，如哪些授权需要修改、谁能进行这样的修改、什么时候才能进行修改、如何记录这些修改等。安全策略还应该写明责任的划分，如某人具体做修改，另一人负责记录，第三个人来检查和测试修改后的设置是否正确。详尽的安全策略应该保证硬件防火墙配置的修改工作程序化，并能尽量避免因修改配置所造成的错误和安全漏洞。

2.硬件防火墙的磁盘使用情况

如果在硬件防火墙上保留日志记录，那么检查硬件防火墙的磁盘使用情况是一件很重要的事情。如果不保留日志记录，那么检查硬件防火墙的磁盘使用情况就变得更加重要了。保留日志记录的情况下，磁盘占用量的异常增长很可能表明日志清除过程存在问题，这种情况相对来说还好处理一些。在不保留日志的情况下，如果磁盘占用量异常增长，则说明硬件防火墙有可能是被人安装了Rootkit工具，已经被人攻破。

因此，网络安全管理人员首先需要了解在正常情况下，防火墙的磁盘占用情况，并以此为依据，设定一个检查基线。硬件防火墙的磁盘占用量一旦超过这个基线，就意味着系统遇到了安全或其他方面的问题，需要进一步的检查。

3.硬件防火墙的CPU负载

和磁盘使用情况类似，CPU负载也是判断硬件防火墙系统运行是否正常的一个重要指标。作为安全管理人员，必须了解硬件防火墙系统CPU负载的正常值是多少，过低的负载值不一定表示一切正常，但出现过高的负载值则说明防火墙系统肯定出现问题了。过高的CPU负载很可能是硬件防火墙遭到DoS攻击或外部网络连接断开等问题造成的。

4.硬件防火墙系统的精灵程序

每台防火墙在正常运行的情况下，都有一组精灵程序（Daemon），比如名字服务程序、系统日志程序、网络分发程序或认证程序等。在例行检查中必须检查这些程序是不是都在运行，如果发现某些精灵程序没有运行，则需要进一步检查是什么原因导致这些精灵程序不运行，还有哪些精灵程序还在运行中。

5.系统文件

关键的系统文件的改变不外乎三种情况：管理人员有目的、有计划地进行的修改，比如计划中的系统升级所造成的修改；管理人员偶尔对系统文件进行的修改；攻击者对文件的修改。

经常性地检查系统文件，并查对系统文件修改记录，可及时发现防火墙所遭到的攻击。此外，还应该强调一下，最好在硬件防火墙配置策略的修改中，包含对系统文件修改的记录。

6.异常日志

硬件防火墙日志记录了所有允许或拒绝的通信的信息，是主要的硬件防火墙运行状况的信息来源。由于该日志的数据量庞大，所以，检查异常日志通常应该是一个自动进行的过程。当然，什么样的事件是异常事件，得由管理员来确定，只有管理员定义了异常事件并进行记录，硬件防火墙才会保留相应的日志备查。

上述6个方面的例行检查也许并不能立刻检查到硬件防火墙可能遇到的所有问题和隐患，但持之以恒地检查对硬件防火墙稳定可靠地运行是非常重要的。如果有必要，管理员还可以用数据包扫描程序来确认硬件防火墙配置的正确与否，甚至可以更进一步地采用漏洞扫描程序来进行模拟攻击，以考核硬件防火墙的能力。http://baike.baidu.com/view/56475.htm

软防是指软件防火墙.顾名思义，软件防火墙就是像office 等，是一个安装在PC上（当然，这里是指可以在PC上安装，但具体使用的时候最好用服务器），的一个软件，而且一般的防火墙都带了gateway功能。

一般需要使用防火墙的网络拓扑图：

<IMG SRC="/tech/UploadPic/2005-9/2005112732020599.gif" border=0>

交换机企业内网。

一般的企业网络结构图就是，路由器->防火墙

交换机DMZ区。

OK，这样一个大致的企业网络拓扑图就出来了。乍一看防火墙在这里就起到了路由的作用。其实也是，防火墙，在没有定致规则以前，也就是一个路由。

防火墙的作用：

有些人可能会问到以前一些问题

软件防火墙能防黑客吗？能，前提是，你必须及时的升级，及定制正确的策略。

软件防火墙能防DOS攻击吗？能，绝对可以，现在DOS攻击已经不再可怕。

软件防火墙能防DDOS攻击吗？也许可能。看攻击量是否很大，结合你的代宽。

软件防火墙能防反射性DDOS攻击吗？不能。所谓的反射性DDOS攻击，所攻击的对象不是防火墙，而是你的带宽，你将面临的是几千、几万甚至更多的服务器，来对你一条10M、100M或者1000M的带宽来进行攻击，在理论上，任何防火墙都无法做到完全防止这种攻击，至于在使用IP v4的时候，软件防火墙还做不到。除非你不用TCP/IP协议。

那么说到底，防火墙到底能做些什么呢？在这里就说一下比较常用的（结合上图）。

 内网对外网：

一般而言，一个企业都会对用户访问外网做限制。如：是否允许使用HTTP、FTP、TELNET，都可以在防火墙中策略、规则。

 外网对内网：

跟上面相反，内网的资源是否允许外网进来防问。一般而言是禁止的，即使要限问的话，一般也用到VPN（详见下篇文章）。只要这样才能最大可能的保证内网的安全。

 内网与DMZ：

内网与DMZ都是属于防火保护区。一般而言都是允许内网对DMZ区进行访问，但不允许DMZ区对内网访问。

 DMZ与外网：

DMZ区的服务器一般都是以NAT到Internet。可以理解成路由器的端口映射。

 DMZ区的保护：

对从Internet来访问DMZ数据做的一些限制，如：web服务器只许访问web资源、mail服务器只允许防问mail资源等。

一般而言，这是防火墙建立起来后常常要做的一些规则、策略。并不是说防火墙只能做到这些。当然，还有VPN等防火墙与防火墙的会话等都是可以做限制的。

说到这就顺便说说软件防火墙与硬件防火墙的区别吧。

其实说到底，软件防火墙与硬件防火墙是没有区别的，几乎硬件防火墙有的功能他都有了。不同点在于，软件防火墙是基于操作系统的如：2000/linux/Sun等。而硬件防火墙呢，是基于硬件的（当然它也带有系统，但并不是像2000/Linux/Sun这类的）。一个简单的例子。相信大家都知道刻录机吧，它就分为内置和外置的。系统配置可以直接影响到刻盘的的效果，比如内置刻录机在刻盘的时候，你在玩游戏（星际、雷神等）的时候，可能刻出的光盘会有很多你意想不到的问题。而外置的刻录机，一般都是带有缓存的，就是说，你可以把他看作是一个独立的系统，他的工作是在操作系统之外的，但是必须有操作系统支配。而软件防火墙也一样，服务器的性能也可以直接影响到他的性能，比如在装有防火墙的机器上上网、玩游戏等都是可能给防火墙带来负面的影响。http://www.newasp.net/tech/security/17917.html

硬防是软硬件一体的，用户购买后不需要再投入其他费用。一般硬件防火墙的报价在1万到2万之间。

软防俗称“个人防火墙”有三方面的成本开销：软件的成本、安装软件的设备成本以及设备上操作系统的成本。Windows Server 2003价格在4400-6000之间。

备注：景安机房部署傲盾硬件ddos防火墙

稳定性和安全性比较

稳定性能的优劣主要来自于防火墙运行平台即服务器系统。

硬件防火墙一般使用经过内核编译后的Linux，凭借Linux本身的高可靠性和稳定性保证了防火墙整体的稳定性，Linux永远都不会崩溃，其稳定性是由于它没有像其他操作系统一样内核庞大且漏洞百出。系统的稳定性主要取决于系统设计的结构。计算机硬件的结构自从1981设计开始没有作特别大的改动，而连续向后兼容性使那些编程风格极差的应用软件勉强移植到Windows的最新版本，这种将的软件开发模式极大地阻碍了系统稳定性的发展。最令人注目的Linux开放源代码的开发模式，它保证了任何系统的漏洞都能被及时发现和修正。Linux采取了许多安全技术措施，包括对读、写进行权限控制、带保护的子系统、审计跟踪、核心授权等，这为网络多用户环境中的用户提供了必要的安全保障。

软件防火墙一般要安装在windows平台上，实现简单，但同时由于windows本身的漏洞和不稳定性带来了软件防火墙的安全性和稳定性的问题。虽然Microsoft也在努力的弥补这些问题，Windows 2003 server本身的漏洞比前期的Windows NT少了很多，但与Linux比起来还是漏洞倍出。在病毒侵害方面，从linux发展到如今，Linux几乎不感染病毒。而作为Windows 平台下的病毒我们不必多说了，只要是使用过电脑的人都有感受。像近几个月以来在内网中广泛传播的ARP欺骗病毒，造成了内网不稳定、网络时断时序、经常掉线，无法开展正常的工作，使得很多的网络管理人员束手无策。

软硬件防火墙的吞吐量和包转发率比较

吞吐量和报文转发率是关系防火墙应用的主要指标，硬件防火墙的硬件设备是经专业厂商定制的，在定制之初充分考虑了吞吐量的问题，在这一点上远远胜于软件防火墙，因为软件防火墙的硬件是用户自己选择的很多情况下都没有考虑吞吐量的问题，况且windows系统本身很耗费硬件资源，其吞吐量和处理大数据流的能力远不及硬件防火墙，这一点是不言而喻的。吞吐量太小的话，防火墙是网络的瓶颈，会带来网络速度慢

。

---