在pfsense中的command怎样显示配置

一、WAN和LAN参数的设置及修改

在第二章中有一些初步的设置，那些都是基于向导来进行的，若通过向导设置后要进行修改，在pfSense1.2中修改相当方便，若是在pfSense2.0中修改有些不同。

在pfSense1.2中，点击“Interfaces”(接口)下的“WAN”或“LAN”可进行WAN或LAN参数的设置及修改，与向导方式相同，这里就不赘述。

在pfsesne2.0中，修改WAN接口参数时，WAN的网关是通过修改静态路由的方式来进行修改的，从这点可以看出pfsesne2.0开发者意图在于大型网络的管理。

设置完WAN接口的参数后，可以在系统菜单下的路由子菜单下看到WAN接口的默认网关参数。

二、防火墙规则的使用

pfSense的防火墙规则，有三种动作：通过、阻止和拒绝，能够基于IP地址，端口，网络协议进行，防火墙规则一般做在WAN或LAN接口上。在pfSense中还提供有“Schedules”功能，能做到按时段来起效某些防火墙规则。

由于防火墙规则众多，这里以实例方式进行阐述，请读者自行根据实例，自由发挥，管理你的网络。如网络上一般用“ping”命令检查网络的通断，若将icmp协议在LAN接口上进行阻止或拒绝，那么网内的机子就只能ping通LAN地址，LAN以外的地址就不能ping通。点击“Firewall”（ 防火墙）下的“Rules”（规则）选中“LAN”接口，系统默认有一条规则，表示“Source”（源地址）为与LAN接口地址同网段的IP地址，通过LAN接口所有的目的地址，所有的协议都是予以放行的。点击后面的“e”可能修改此规则，点击后面的“+”可以增加规则， 点击下面的“x”可以删除所选中的规则。（重要说明：初学者最好不要动这条规则，若删除所了此规则，并生效后，就进不了pfSense的web页面进行相关设置，只能通过pfSense的控制台，将pfSense恢复成出厂模式，进行重新设置）

默认的规则下面我们做一个禁止使用ping命令探测网络状况的实验，点击后面的“+”我们增加如下规则，动作：阻止，接口：LAN，协议：ICMP 源地址和目的地址都是任意。

编辑完规则保存后，系统回到LAN接口的规则表页面，点击“Apply changes”系统加载所有规则。这时我们迫不及待的试一下ping命令，不对，还是ping得通LAN以外的地址。如61.139.2.69（电信的DNS服务器地址），选中新增加的规则（点中规则前的小方框，出现一个小勾，就表示选中）接着点一下第一默认的那条规则后的“<”符号，将此规则移动到第一个位置上，并重新加载所有规则。再试一下ping命令，现在就无法ping通了。

从上面的实例，可以看出pfSense在匹配防火墙规则时，自上而下进行匹配的，这点非常重要，后面我们在进行流量整形的时候还要利用这点。

接下来我们再做一个“Schedules”方面的实例，让pfSense 限制内网在某时段访问外网。点击“Firewall”下的“Schedules”我们做一个名叫“100”在五月23日---31日和六月1日---7日的18:30---20:00生效的计划列表。

图3-10计划列表，名字叫“100”在18:30——20:00有效。

在LAN接口添加一条规则：动作：拒绝，协议：任意，源地址：LAN net，计划列表：100。若在图3-11中所设的时间内“schedule”栏那个红叉会由浅色的变成深色，表示该规则被匹配，此时网内所有的机子无法访问外网。不过通过笔者实施，发现只有在此规则被匹配时段的网络请求不能执行，若在此规则被匹配前已存在的网络连接不会中断，如此时段不能登录QQ，但已登录上的QQ此时段不会断线。

三、NAT设置

pfSense的NAT有许多功能，这里用两个实例来进行阐述。

在笔者所在的教育城域网，采用的租用网络运营商的线路，使用vpn模式组成的一个大型的局域网，网络出口统一在市信息中心，市中心、区县中心、网络运营商、学校各级采用三层路由结构组网。为了网络安全，市信息中心配备网络日志服务器，要求各学校必须采用纯路由模式接入教育城域网，一旦出现网络安全事故，方便进行责任追究。所以信息中心严禁将WAN接口地址进行转换（NAT）成另外地址进行网络连接。

在NAT的转出页面上，启用高级转出，将系统自动生成的转出规则删除，因为上级网络设备均做了下级设备的WAN 和LAN的静态路由，此时没有转出规则，就以路由模式进行网络连接了。

在一些常规的，稍大型的单位，采用独立公网IP接入互联网，内部采用NAT模式进行网络连接，一般运营商给单位提供许多公网IP给单位使用，这时网络如何设置呢，下面以一个模拟网络环境的实验来进行此方面的网络连接设置，网络拓扑图及网络参数如下。

设置虚拟地址池10.139.196.8/29 ,此地址池有.8到.15共8个地址，与划分网段有区别，若划分网段则有.9到.14共6个可用主机地址。(按此方法设了一个10.139.196.10/32的单IP)

图3-15 设置虚拟地址池

在防火墙的转出项启用高级转出，并修改自动生成的转出规则，将NAT address修改成虚拟地址池10.139.196.8/29 。

在PC2上使用ping 10.139.196.1 -t的命令长时间ping软路由m0n0wall，并进入m0n0wall在防火墙的状态项中可以查看到NAT成10.139.196.8的数据信息。

在防火墙的端口转发中将192.168.1.1的80端口NAT成10.139.196.10的80端口，在PC1上可以基于10.139.196.10或接口地址10.139.196.2进入pfSense的web页面。

四、多WAN口的配置及负载均衡

现在许多单位的网络采用双出模式，一般是电信和网通双线，在大型核心级的网络（如高校、科研单位）一般采用策略路由的方式进行网络流量分配，以此达到负载均衡，这里我们采用双线自动负载均衡非常适用于网吧等对网络依赖比较大的中小型网络。这里笔者没有公网双出口条件，下面以一个实验来进行pfSense双线负载均衡设置阐述。

实验背景：电信adsl接入，采用NAT路由器进行地址转换成192.168.1.0/24，移动运营商赠送一条已转换成192.168.4.0/24的宽带，它们均是2M带宽。

在WAN口设置好电信ip(说明此ip经路由器进行NAT成私网ip,下同) ，在OPT1接口设置好移动

编辑负载均衡池，说明“行为”第一选项为负载平衡，将流量分到两条线路上。第二项为线路备份，当第一条线路出问题后自动转到第二条线路上。

说明：由于tcp/ip协议中的两大协议TCP和UDP的特性，TCP是面向连接的协议，UDP是无连接协议，当采用以上方式进行网络连接，若是客户机某时正在进行网络游戏（网络游戏一般采用的TCP协议）当WAN或OPT1某条线断了，而此时的网络游戏数据恰好走的是这条线路，此时游戏会中断，用户要重新登录才能继续游戏，若客户机此时正在进行视频观赏（网络视频一般采用的UDP协议），则用户不会有断线感觉，pfSense自动切换到正常线路上来继续进行UDP数据包的下载。

五、VLAN的设置

这里讲的VLAN的设置，有两种模式，一种是在pfSense上基于支持802.1Q协议的网卡进行VLAN的划分，这还必需要有能进行端口汇聚的二层交换机配合才能使用。另一种模式就是使用三层交换机划分VLAN，pfSense相当于一台NAT设备，接在三层交换机前端。

第一种模式，我们以划两个VLAN示例阐述，设置如下，点击“Interfaces”下的“Assign”中的“VLANs”在接中em0(LAN 所用的网卡)划了vlan20和vlan30的两个VLAN，在“Interface assignments”（接口指派）下将此两个VLAN的接口进行指派成OPT1和OPT2。并分别启用这两个接口并设置IP地址。对两个VLAN的接口添加防火墙规则。

同进在NAT转出上启用高级转出并设置好转出规则。若各VLAN互通，还应针对各接口地址设置静态路由。

在二层交换机上也划出vlan20和vlan30，并设好端口汇聚，将汇聚端口接在pfSense的LAN接口上。二层交换机下的机子就能正常接入网络中了。

第二种模式，VLAN的划分主要是在三层交换机上完成，主要思路为pfSense的LAN处在三层交换机的一个VLAN中，三层交换机的默认路由指向pfSense的LAN地址。此时在pfSense的LAN接口上要修改防火墙规则，允许其它VLAN的数据通行。下面我们也以划两个VLAN示例进行阐述。

交换机上设置（这里采用一台神州数码的三层交换机说明）

(1)、启用三层路由

l3-forward enable

(2)、配置vlan 10，将1－4号端口加入该vlan中。 （pfSense的LAN所在的vlan）

vlan 10

interface ethernet 0/0/1-4

switchport access vlan 10

interface vlan 10

ip address 192.168.1.2 255.255.255.0 （说明这是三层交换机与pfSense连接的接口地址）

(3)、配置vlan 20，将5－8号端口加入该vlan中。

vlan 20

interface ethernet 0/0/5-8

switchport access vlan 20

interface vlan 20

ip address 10.139.197.1 255.255.255.0

(4)、配置vlan 30，将,13－24号端口加入该vlan中。

vlan 30

interface ethernet 0/0/13-24

switchport access vlan 30

interface vlan 12

ip address 10.139.198.1 255.255.255.0

(5)、设置默认路由

ip route 0.0.0.0 0.0.0.0 10.139.196.1

在pfSense的防火墙上设置VLAN20和VLAN30的防火墙规则，针对VLAN20和VLAN30做VLAN10接口地址192.168.1.2为网关的静态路由。

LZ好，作为企业用户首选的网络安全产品，防火墙一直是用户和厂商关注的焦点。为了能够为

用户从眼花缭乱的产品中选择出满足需求的防火墙提供客观依据，《网络世界》评测实验室

对目前市场上主流的防火墙产品进行了一次比较评测。

《网络世界》评测实验室依然本着科学、客观公正的原则，不向厂商收取费用，向所有

希望参加评测的厂商开放。

我们此次评测征集的产品包括百兆和千兆防火墙两个系列。此次送测产品有来自国内外

12家厂商的14款产品，其中百兆防火墙包括来自安氏互联网有限公司的LinkTrust CyberWal

l -100Pro、方正数码的方正方御FGFW，联想网御2000，NetScreen-208、清华得实NetST210

4 、ServGate公司的SG300、神州数码的DCFW-1800、天融信网络卫士NGFW4000、三星SecuiW

all 防火墙以及卫士通龙马的龙马卫士防火墙，千兆防火墙包括北大青鸟JB-FW1、 NetScre

en-5200、Servgate SG2000H和阿姆瑞特的F600+。三星SecuiWall防火墙和北大青鸟JB-FW1防

火墙性能测试尚未全部完成就自行退出本次比较测试。在我们评测工程师的共同努力下，顺

利完成了对其他12款产品的评测任务。

测试内容主要涵盖性能、防攻击能力以及功能三个方面，这其中包括按照RFC2504、RFC

2647以及我国标准进行的定量测试和定性测试。我们性能测试和防攻击能力主要采用Spiren

t公司的SmartBits 6000B测试仪作为主要测试设备，利用SmartFlow和WebSuite Firewall测

试软件进行测试。在测防攻击能力时，为准确判定被攻击方收到的包是否是攻击包，我们还

使用NAI公司的Sniffer Pro软件进行了抓包分析。

在功能测试方面，我们的评测工程师则以第一手的感受告诉读者防火墙在易用性、可管

理性、VPN、加密认证以及日志审计等多方面功能。

最后，我们还要感谢向我们提供测试工具的思博伦通信公司以及NAI公司，同时也对那些

勇于参加此次防火墙产品公开比较评测的厂商表示赞赏。

性能综述

对于网络设备来说，性能都是率先要考虑的问题。与其他网络设备相比，防火墙的性能

一直被认为是影响网络性能的瓶颈。如何在启动各项功能的同时确保防火墙的高性能对防火

墙来说是巨大的挑战。

在我们测试的过程中，感受最深的一点就是由于防火墙之间体系结构和实现方式的巨大

差异性，从而也就使得不同防火墙之间的性能差异非常明显。从防火墙的硬件体系结构来讲

，目前主要有三种，一种使用ASIC体系，一种采用网络处理器（NP），还有一种也是最常见

的，采用普通计算机体系结构，各种体系结构对数据包的处理能力有着显著的差异。防火墙

软件本身的运行效率也会对性能产生较大影响，目前防火墙软件平台有的是在开放式系统（

如Linux，OpenBSD）上进行了优化，有的使用自己专用的操作系统，还有的根本就没有操作

系统。我们在进行性能测试时努力地将影响防火墙性能的因素降到最小，测试防火墙性能时

将防火墙配置为最简单的方式：路由模式下内外网全通。

我们此次测试过程中，针对百兆与千兆防火墙的性能测试项目相同，主要包括：双向性

能、单向性能、起NAT功能后的性能和最大并发连接数。双向性能测试项目为吞吐量、10%线

速下的延迟、吞吐量下的延迟以及帧丢失率；单向性能测试项目包括吞吐量、10%线速下的延

迟；起NAT功能后的性能测试包括吞吐量、10%线速下的延迟。

百兆防火墙性能解析

作为用户选择和衡量防火墙性能最重要的指标之一，吞吐量的高低决定了防火墙在不丢

帧的情况下转发数据包的最大速率。在双向吞吐量中，64字节帧，安氏领信防火墙表现最为

出众，达到了51.96%的线速，NetsScreen-208也能够达到44.15%，

在单向吞吐量测试中，64字节帧长NetScreen-208防火墙成绩已经达到83.60%，位居第一

，其次是方正方御防火墙，结果为71.72%。

延迟决定了数据包通过防火墙的时间。双向10%线速的延迟测试结果表明，联想网御200

0与龙马卫士的数值不分伯仲，名列前茅。

帧丢失率决定防火墙在持续负载状态下应该转发，但由于缺乏资源而无法转发的帧的百

分比。该指标与吞吐量有一定的关联性，吞吐量比较高的防火墙帧丢失率一般比较低。在测

试的5种帧长度下，NetScreen-208在256、512和1518字节帧下结果为0，64字节帧下结果为5

7.45%。

一般来讲，防火墙起NAT后的性能要比起之前的单向性能略微低一些，因为启用NAT功能

自然要多占用一些系统的资源。安氏领信防火墙与清华得实NetST 2104防火墙在起NAT功能后

64字节帧的吞吐量比单向吞吐量结果略高。

最大并发连接数决定了防火墙能够同时支持的并发用户数，这对于防火墙来说也是一个

非常有特色也是非常重要的性能指标，尤其是在受防火墙保护的网络向外部网络提供Web服务

的情况下。天融信NGFW 4000以100万的最大并发连接数名列榜首，而龙马卫士防火墙结果也

达到80万。

我们的抗攻击能力测试项目主要通过SmartBits 6000B模拟7种主要DoS攻击。我们还在防

攻击测试中试图建立5万个TCP/HTTP连接，考察防火墙在启动防攻击能力的同时处理正常连接

的能力。

Syn Flood目前是一种最常见的攻击方式，防火墙对它的防护实现原理也不相同，比如，

安氏领信防火墙与NetScreen-208采用SYN代理的方式，在测试这两款防火墙时我们建立的是

50000个TCP连接背景流，两者能够过滤掉所有攻击包。SG-300、联想网御2000在正常建立TC

P/HTTP连接的情况下防住了所有攻击包。大多数防火墙都能够将Smurf、Ping of Death和La

nd-based三种攻击包全部都过滤掉。

Teardrop攻击测试将合法的数据包拆分成三段数据包，其中一段包的偏移量不正常。对

于这种攻击，我们通过Sniffer获得的结果分析防火墙有三种防护方法，一种是将三段攻击包

都丢弃掉，一种是将不正常的攻击包丢弃掉，而将剩余的两段数据包组合成正常的数据包允

许穿过防火墙，还有一种是将第二段丢弃，另外两段分别穿过防火墙，这三种方式都能有效

防住这种攻击。实际测试结果显示方正方御、安氏领信、SG-300、龙马卫士属于第一种情况

，神州数码DCFW-1800、得实NetST2104、联想网御2000属于第二种情况，Netscreen-208属于

第三种情况。

对于Ping Sweep和Ping Flood攻击，所有防火墙都能够防住这两种攻击，SG-300防火墙

过滤掉了所有攻击包，而方正方御防火墙只通过了1个包。虽然其余防火墙或多或少地有一些

ping包通过，但大部分攻击包都能够被过滤掉，这种结果主要取决于防火墙软件中设定的每

秒钟通过的ping包数量。

千兆防火墙性能结果分析

由于千兆防火墙主要应用于电信级或者大型的数据中心，因此性能在千兆防火墙中所占

的地位要比百兆防火墙更加重要。总的来说，三款千兆防火墙之间的差异相当大，但性能结

果都明显要高于百兆防火墙。

双向吞吐量测试结果中，NetScreen-5200 64、128、256、512、1518字节帧结果分别为

58.99%、73.05%、85.55%、94.53%、97.27%线速。千兆防火墙的延迟与百兆防火墙相比降低

都十分明显，NetScreen-5200的双向10%线速下的延迟相当低，64字节帧长仅为4.68祍，1518?纸谥〕さ囊仓挥?4.94祍。起NAT功能后，NetScreen-5200防火墙64字节帧长的吞吐量为62.

5%。由于ServGate SG2000H不支持路由模式，所有只测了NAT 结果，该防火墙在1518字节帧

长达到了100%线速。阿姆瑞特F600+起NAT功能对其性能影响很小。最大并发连接数的测试结

果表明，NetScreen-5200防火墙达到100万。

在防攻击能力测试中， 三款千兆防火墙对于Smurf和Land-based攻击的防护都很好，没

有一个攻击包通过防火墙。对于Ping of Death攻击， NetScreen-5200和阿姆瑞特F600+防火

墙丢弃了所有的攻击包，SG2000H防火墙测试时对发送的45个攻击包，丢弃了后面的两个攻击

包，这样也不会对网络造成太大的危害。在防护Teardrop攻击时，F600+防火墙丢弃了所有的

攻击包，ServGate-2000防火墙只保留了第一个攻击包，NetSreen-5200防火墙则保留了第一

和第三个攻击包，这三种情况都能够防护该攻击。阿姆瑞特F600+和SG2000H在PingSweep攻击

测试结果为1000个攻击包全都过滤掉。

功能综述

在我们此次测试防火墙的过程中，感受到了不同防火墙产品之间的千差万别，并通过亲

自配置体会到防火墙在易用性、管理性以及日志审计等方面的各自特色。

包过滤、状态检测和应用层代理是防火墙主要的三种实现技术，从此次参测的防火墙产

品中我们可以明显地看到状态检测或将状态检测与其他两种技术混合在一起是主流的实现原

理。

在工作方式方面，大部分防火墙都支持路由模式和桥模式（透明模式），来自ServGate

公司的SG300和SG2000H，其工作方式主要是桥模式和 NAT模式，没有一般产品所具有的路由

模式。天融信NGFW 4000和卫士通龙马的龙马卫士防火墙还支持混合模式。

百兆防火墙

与交换机走向融合？

当我们拿到要测试的防火墙时，有一个非常直观的感觉是防火墙不再只是传统的三个端

口，正在朝向多个端口方向发展，带有4个端口的防火墙非常常见，我们都知道三个端口是用

来划分内网、外网和DMZ区，那么增加的第4个端口有什么用呢？不同产品差别很大，但以用

作配置管理的为主，安氏的防火墙将该端口作为与IDS互动的端口，比较独特。像天融信网络

卫士NGFW4000则可以最多扩展到12个端口，Netscreen-208有8个固定端口，Netscreen-5200

则是模块化的千兆防火墙，可以插带8个miniGBIC 1000Base-SX/LX千兆端口或24个百锥丝?的模块，这显示了防火墙与交换机融合的市场趋势。

对DHCP协议的支持方面，防火墙一般可以作为DHCP信息的中继代理，安氏领信防火墙、

清华得实NetST2104、天融信NGFW4000都有这个功能。而Netscreen-208、SG300还可以作为D

HCP 服务器和客户端，这是非常独特的地方。

在VLAN支持方面，Netscreen防火墙又一次显示了强大的实力。与交换机类似，Netscre

en-208支持每个端口划分为子端口，每个子端口属于不同的VLAN，支持802.1Q，并且不同子

端口还可以属于不同区域。安氏领信、联想网御2000、天融信NGFW4000防火墙则有相应选项

支持VLAN，主要支持802.1Q和Cisco的ISL。

管理特色凸现

管理功能是一个产品是否易用的重要标志，对此我们考察了防火墙对管理员的权限设置

、各种管理方式的易用性以及带宽管理特性。

不同的防火墙对管理员的权限分级方式不同，但总的来说，不同的管理员权限在保护防

火墙的信息的同时，通过三权分立确保了防火墙的管理者职责分明，各司其职。方正方御FG

FW通过实施域管理权、策略管理、审计管理、日志查看四个不同权限对管理员权限进行限制

。

目前，对防火墙的管理一般分为本地管理和远程管理两种方式，具体来说，主要包括串

口命令行、Telnet、GUI管理工具以及Web管理。总的来讲，像Netscreen-208、神州数码防火

墙支持命令行、Telnet、GUI管理工具以及Web管理这几种方式，非常方便用户从中选择自己

喜欢的方式。但我们在测试过程中发现不少防火墙的命令行比较难懂，对于很多用户来说使

用会比较困难，而安氏、Netscreen-208、天融信、清华得实防火墙的命令行方式比较简洁明

了，这为喜欢用命令行进行防火墙配置的用户来说带来了便捷。当然，很多防火墙的CLI命令

功能比较简单，主要功能还是留给了GUI管理软件，方正、联想防火墙是非常典型的例子。

从易用性的角度来讲，Web管理是最好的方式。安氏、Netscreen-208的Web管理界面给我

们留下了最深刻的印象，漂亮的界面以及非常清晰的菜单选项可以使用户轻松配置管理防火

墙的各方面，同时Web管理一般都支持基于SSL加密的HTTPS方式访问。当然，对于要集中管理

多台防火墙来说，GUI管理软件应该是不错的选择。联想网御2000、天融信、清华得实、方正

方御的GUI管理软件安装和使用都比较容易。

带宽管理正在成为防火墙中必不可少的功能，通过带宽管理和流量控制在为用户提供更

好服务质量、防止带宽浪费的同时也能够有效防止某些攻击。此次送测的9款百兆防火墙都支

持带宽管理。比如神州数码DCFW-1800防火墙能够实时检测用户流量，对不同的用户，每天分

配固定的流量，当流量达到时切断该用户的访问。龙马卫士防火墙通过支持基于IP和用户的

流量控制实现对防火墙各个接口的带宽控制。

VPN和加密认证

防火墙与VPN的集成是一个重要发展方向。此次参测的防火墙中安氏领信防火墙、方正网

御FGFW、Netscreen-208、SG300、清华得实NetST 2104、龙马卫士防火墙这6款防火墙都有

VPN功能或VPN模块。作为构建VPN最主要的协议IPSec，这6款防火墙都提供了良好的支持。

安氏领信防火墙的VPN模块在对各种协议和算法的方面支持得非常全面，包括DES、3DES

、AES、CAST、BLF、RC2/R4等在内的主流加密算法都在该产品中得到了支持。主要的认证算

法MD5在6款防火墙中都得到了较好支持。不同加密算法与认证算法的组合将会产生不同的算

法，如3DES-MD5就是3DES加密算法和MD5算法的组合结果。安氏和NetScreen-208能够很好地

支持这种不同算法之间的组合。 方正网御、清华得实NetST2104和卫士通龙马的龙马卫士防

火墙则以支持国家许可专用加密算法而具有自己的特点。当然，加密除了用于VPN之外，远程

管理、远程日志等功能通过加密也能够提升其安全性。

在身份认证方面，防火墙支持的认证方法很重要。安氏领信防火墙支持本地、RADIUS、

SecureID、NT域、数字证书、MSCHAP等多种认证方式和标准，这也是所有参测防火墙中支持

得比较全的。非常值得一提的是联想网御2000所提供的网御电子钥匙。带USB接口的电子钥匙

主要用来实现管理员身份认证，认证过程采用一次性口令(OTP)的协议SKEY，可以抵抗网络窃

听。

防御功能

防火墙本身具有一定的防御功能指的是防火墙能够防止某些攻击、进行内容过滤、病毒

扫描，使用户即使没有入侵检测产品和防病毒产品的情况下也能够通过防火墙获得一定的防

护能力。

在病毒扫描方面，表现最突出的当属联想网御2000，它集成了病毒扫描引擎，具有防病

毒网关的作用，能够实时监控HTTP、FTP、SMTP数据流，使各种病毒和恶意文件在途径防火墙

时就被捕获。

在内容过滤方面，大部分防火墙都支持URL过滤功能，可有效防止对某些URL的访问。清

华得实NetST2104、安氏防火墙内置的内容过滤模块，为用户提供对HTTP、FTP、SMTP、POP3

协议内容过滤，能够针对邮件的附件文件类型进行过滤。联想网御2000还支持邮件内容过滤

的功能。

在防御攻击方面，Netscreen-208、方正方御、联想网御2000、SG300以及安氏领信防火

墙则对Syn Flood、针对ICMP的攻击等多种DoS攻击方式有相应的设置选项，用户可以自主设

置实现对这些攻击的防护。安氏领信防火墙除了本身带有入侵检测模块之外，还有一个专门

端口与IDS互动。天融信NGFW 4000则通过TOPSEC协议与其他入侵检测或防病毒产品系统实现

互动，以实现更强劲的防攻击能力。

安全特性

代理机制通过阻断内部网络与外部网络的直接联系，保证了内部网的拓扑结构等重要信

息被限制在代理网关的内侧。

参测的百兆防火墙大都能够支持大多数应用层协议的代理功能，包括HTTP、SMTP、POP3

、FTP等，从而能够屏蔽某些特殊的命令，并能过滤不安全的内容。

NAT通过隐藏内部网络地址，使其不必暴露在Internet上 从而使外界无法直接访问内部

网络设备,而内部网络通过NAT以公开的IP地址访问外部网络，从而可以在一定程度上保护内

部网络。另一方面，NAT也解决了目前IP地址资源不足的问题。此次参测的防火墙对于NAT都

有较强的支持功能，虽然大家叫的名称不同，但主要方式包括一对一、多对一NAT、多对多N

AT以及端口NAT。

高可用性

负载均衡的功能现在在防火墙身上也开始有所体现，Netscreen-208支持防火墙之间的负

载分担，而其他防火墙则支持服务器之间的负载均衡。

目前用户对于防火墙高可用性的需求越来越强烈。此次参测的9款百兆防火墙都支持双机

热备的功能。Netscreen-208可以将8个端口中设定一个端口作为高可用端口，实现防火墙之

间的Active-Active高可用性。

日志审计和警告功能

防火墙日志处理方式主要包括本地和远程两种。但由于防火墙在使用过程中会产生大量

的日志信息，为了在繁多的日志中进行查询和分析，有必要对这些日志进行审计和管理，同

时防火墙存储空间较小，因此单独安装一台服务器用来存放和审计管理防火墙的各种日志都

非常必要。

安氏、方正防御、联想网御2000、清华得实NetST2104、神州数码DCFW-1800、天融信NG

FW4000以及龙马卫士防火墙都提供了日志管理软件实现对日志服务器的配置和管理，可以利

用管理软件对日志信息进行查询、统计和提供审计报表。而NetScreen-208支持多种日志服务

器的存储方式，包括Internal、Syslog、WebTrends、flash卡等。

当日志中监测到系统有可疑的行为或网络流量超过某个设定阈值时，根据设定的规则，

防火墙应该向管理员发出报警信号。安氏、Netscreen-208在警告通知方式方面支持E-mail、

Syslog、SNMP trap等。而方正方御则支持通过LogService消息、E-mail、声音、无线、运行

报警程序等方式进行报警。

对日志进行分级和分类将非常有利于日志信息的查询以及处理。安氏、NetScreen-208、

天融信NGFW4000以及卫士通龙马的龙马卫士防火墙支持不同等级的日志。龙马卫士防火墙将

日志级别分为调试信息、消息、警告、错误、严重错误5种级别。NetScreen-208则将日志分

为负载日志、事件日志、自我日志三种，事件日志分为8个不同等级。

优秀的文档很关键

大部分防火墙产品都附带有详细的印刷文档或电子文档。给我们留下深刻印象的是联想

、方正与安氏防火墙的印刷文档非常精美全面，内容涵盖了主流的防火墙技术以及产品的详

细配置介绍，还举了很多实用的例子帮助用户比较快地配好防火墙，使用各种功能。得实Ne

tST 2104防火墙用户手册、天融信NGFW 4000电子文档都对CLI命令进行了详细解释，非常有

利于那些习惯使用命令行进行配置的防火墙管理员使用。Netscreen网站上有非常完整的用户

手册，但缺憾在于它们全部是英文的。

千兆防火墙

此次总共收集到4款千兆防火墙产品，但北大青鸟在性能测试尚未完成时就自行退出，所

以共测试完成了三款千兆防火墙，它们都是来自国外厂商的产品: NetScreen-5200、阿姆瑞

特F600+和ServGate SG2000H。NetScreen-5200是采用ASIC处理器的代表，而SG2000H则是采

用网络处理器的例子。

从实现原理来看，三者都主要是基于状态检测技术，而在工作方式上，NetScreen-5200

、阿姆瑞特F600+主要支持路由模式和桥模式，而ServGate SG2000H则支持桥模式和NAT模式

。

F600+支持DHCP中继代理，而NetScreen-5200可以作为DHCP服务器、客户端或中继代理。

在VLAN支持方面，NetScreen-5200的每个端口可以设定不同子端口，每个子端口可以支持不

同的VLAN，可以非常容易集成到交换网络中。据称，该设备能够支持4000个VLAN。F600+与S

G2000H也支持802.1Q VLAN。而且，还有一点可以指出的是NetScreen-5200支持OSPF、BGP路

由协议。

从管理上来看，NetScreen-5200和SG2000H主要通过Web和命令行进行管理。而F600+则主

要通过在客户端安装GUI管理软件来进行管理，串口CLI命令功能很简单。从配置上来说，Ne

tScreen-5200配置界面非常美观，菜单清晰，并提供了向导可以指导用户快速配置一些策略

和建立VPN通道。SG2000H功能也比较强大，但配置起来比较复杂一点。阿姆瑞特的F600+在安

装Armarenten管理器的同时还将其中文快速安装手册以及中文用户指南都安装上，非常方便

用户使用，而该管理软件与防火墙之间则通过128位加密进行通信，有利于对多台防火墙

的管理。

在带宽管理上，F600+很有特色，它通过“管道”概念实现，每个管道可以具有优先级、

限制和分组等特点，可以给防火墙规则分配一个或多个管道，还可以动态分配不同管道的带

宽。NetScreen-5200则支持对不同端口分配带宽以及根据不同应用在策略中设定优先级控制

进出的网络流量。

在VPN支持方面，NetScreen-5200不仅支持通过IPSec、L2TP和IKE建立VPN隧道，还支持

DES、3DES、AES加密算法和MD5 、SHA-1认证算法。F600+支持通过IPSec建立VPN，而SG2000

H未加VPN模块。在认证方法上，只有Netscreen-5200支持内置数据库、RADIUS、SecurID和L

DAP。

F600+还有一个非常显著的特点就是提供了一个功能强大的日志管理器，它虽然不支持在

防火墙中记录日志，但能够在防火墙管理器中实时显示日志数据，还支持Syslog 日志服务器

,提供灵活的审计报表，并将日志进行分类。NetScreen-5200和SG2000H在日志报表和审计报

表方面都支持著名的WebTrends软件和Syslog日志服务器，NetScreen还支持将日志通过flas

h卡、NetScreen Global Pro等方式进行处理。 4986希望对你有帮助！

是。黑客愁是神州数码研发出的最新一代防火墙产品，列装各大数据库和服务器，发行于2022年，主要工作于主机或网络的边缘，对经由的报文根据预先定义的规则（匹配条件）进行检测，对于能够被规则匹配到的报文实行某预定义的处理。

---