下面是小编给大家带来关于选好防火墙 电脑更新安全保障两不误服务器教程（共含10篇），一起来看看吧，希望对您有所帮助。同时，但愿您也能像本文投稿人“高田健太”一样，积极向本站投稿分享好文章。
许多人的电脑都会发生问题，我也不例外，前几天，我的电气工程师告诉我说，当他离开的时候，不管他离开多一会儿，都要关掉他的电脑。
他的电脑上安装有防病毒软件和防火墙，但是当他回到家的时候就把它们关闭了，于是他就遭到了一些人的攻击。
这件事情引起了我深深地思考，虽然这只是一个一般性问题，但它有可能会使事情变得很糟。
想想最近的Zotob**吧：当人们发现了漏洞并且发布了补丁程序之后不到一个星期，这个蠕虫病毒的第一个变种就出现了。
在那个时候不难找到一台没有打过补丁的电脑，也不难找到联在互联网上的新电脑在发现漏洞之后不到一周就可能受到攻击。
事实上，最普通的安全建议就是：在你不使用电脑的时候，关掉它！这个理论成立的依据就是，减少你的电脑在互联网上的时间，就能降低受到攻击的概率。
但是这也让另一方面受到了损失，也就是说它同时减少了你能够更新你的电脑的时间。这也就激发我去写一个专栏告诉用户时刻开着他们的电脑。
一个比较好的解决方案应该是一种特殊的通讯方式，通过这种通讯方式能够在完全启用网络堆栈之前进入Windows能够进入的地方。一份需要严格保密的“白名单”（whitelist）地址，能够定义一个唯一的web地址。有了这个地址电脑就能够使用一些非常常用的用户界面元素进行通讯，除非你强行把它从“白名单”中去掉。
在这个“白名单”中最显而易见的条目可以说就是不同的微软升级站点。在一个企业安装中可能是一个SUS服务器或一些其它相关的服务器，
一个OEM服务也能够把它自己的更新站点和任何捆绑的安全软件放到这些条目中，比如赛门铁客的LiveUpdate。
一旦进入这种模式，就会有一些更新列表呈现在用户面前，并且询问他或者她是否想下载和应用这些更新。或者能够定制一个策略自动安装这些更新，然后退出这种模式。
我认为个人防火墙是实施这个策略的一个不错选择。一些流行的防火墙都可能经过升级来提供这种保护。
如果我没有搞错的话，Windows XP SP 2 在启动网络堆栈之前加载Windows防火墙或者其它任何第三方的防火墙。
所以，防火墙软件经销商（包括微软在内）能够执行这个策略，但是我更希望能够开发一些标准来定制“白名单”和这种模式的其它属性。
在一段时间的非活动状态之后，重新进入这种模式，就是容易理解的了。这样，如果某个用户彻夜离开他的系统，唯一能发生的一件事情就是软件的更新。
当然，这可能会影响到在这台电脑上收回电子邮件和运行一些peer-to-peer服务，解决这个问题的方法就是把决定权交给用户，由用户来把握定制“白名单”的“度”。
就像我看到的那样，“白名单”模式并不能指出一个主要的漏洞，那仅仅是一个低概率的边缘事件。像这样的边缘事件即使是防护严谨的用户也会发生的，纯粹就是碰上坏运气了。我认为这种模式将会弥补现在的不足，并且能够全面增强系统安全性，也能够让用户知道他们的安全措施以及他们的系统是否是最新的。
原文作者Larry Seltzer系eWeek安全中心编辑，从1983年起就在从事计算机业界的编辑写作报道工作。
什么是应用安全呢？应用安全就是对网络应用的安全保障，这些应用包括：信用卡号码、机密资料、用户档案等信息，那么什么是保护这些应用不受恶意攻击的困难所在呢？，在我们看来这些应用最薄弱的环节是通过网络防火墙上的端口80（主要用于HTTP）和端口443（用于SSL）时受到的攻击。那么防火墙怎么对这些攻击进行发现及封阻呢？下文总结了八项应用安全技术，全文如下：
深度数据包处理
深度数据包处理有时被称为深度数据包检测或者语义检测，它就是把多个数据包关联到一个数据流当中，在寻找攻击异常行为的同时，保持整个数据流的状态。深度数据包处理要求以极高的速度分析、检测及重新组装应用流量，以避免给应用带来时延。下面每一种技术代表深度数据包处理的不同级别。
TCP/IP终止
应用层攻击涉及多种数据包，并且常常涉及多种请求，即不同的数据流，
流量分析系统要发挥功效，就必须在用户与应用保持互动的整个会话期间，能够检测数据包和请求，以寻找攻击行为。至少，这需要能够终止传输层协议，并且在整个数据流而不是仅仅在单个数据包中寻找恶意模式。
SSL终止
如今，几乎所有的安全应用都使用HTTPS确保通信的保密性。然而，SSL数据流采用了端到端加密，因而对被动探测器如入侵检测系统（IDS）产品来说是不透明的。为了阻止恶意流量，应用防火墙必须终止SSL，对数据流进行解码，以便检查明文格式的流量。这是保护应用流量的最起码要求。如果你的安全策略不允许敏感信息在未加密的前提下通过网络传输，你就需要在流量发送到Web服务器之前重新进行加密的解决方案。
URL过滤
一旦应用流量呈明文格式，就必须检测HTTP请求的URL部分，寻找恶意攻击的迹象，譬如可疑的统一代码编码（unicode encoding）。对URL过滤采用基于特征的方案，仅仅寻找匹配定期更新的特征、过滤掉与已知攻击如红色代码和尼姆达有关的URL，这是远远不够的。这就需要一种方案不仅能检查RUL，还能检查请求的其余部分。其实，如果把应用响应考虑进来，可以大大提高检测攻击的准确性。虽然URL过滤是一项重要的操作，可以阻止通常的脚本少年类型的攻击，但无力抵御大部分的应用层漏洞。
三层的出口连接防火墙的内口
三层核心交换机最好别用VLAN1连接防火墙内口，可能会因为IP重定向问题导致内网访问外网速度奇慢！！
具体事例及解决办法如下：
某企业网核心为4506，接入基本为2950系列。核心有一块X4548GB&nbs p;-RJ业务板，其中48口上联到防火墙，其他下联到客户端。客户端网关指向核心交换机，上网速度奇慢。指向防火墙则速度正常，防火墙地址为172.16.1.1核心配置如下：
core_switch#showrunBuildingconfiguration...
Currentconfiguration:6061bytes
!
version12.1
noservicepad
servicetimestampsdebuguptime
servicetimestampsloguptime
noservicepassword-encryption
servicecompress-config
!
hostnamecore_switch
!
enablesecret5$1$21p4$rcisbziyY7iFWx0w7jm6d.
enablepasswordkindy
!
vtpmodetransparent
ipsubnet-zero
!
spanning-treeextendsystem-id
!
!
vlan2
namevlan2
!
interfaceGigabitEthernet1/1
!
interfaceGigabitEthernet1/2
!
interfaceGigabitEthernet2/1
descriptionToZXC
switchporttrunkencapsulationdot1q
switchportmodetrunk
!
interfaceGigabitEthernet2/2
descriptionToHYS-310
switchporttrunkencapsulationdot1q
switchportmodetrunk
!
interfaceGigabitEthernet2/3
descriptionToHYS-303
switchporttrunkencapsulationdot1q
switchportmodetrunk
!
interfaceGigabitEthernet2/4
descriptionToPGZ
switchporttrunkencapsulationdot1q
switchportmodetrunk
!
interfaceGigabitEthernet2/5
descriptionToWLZ
switchporttrunkencapsulationdot1q
switchportmodetrunk
!
interfaceGigabitEthernet2/6
switchporttrunkencapsulationdot1q
switchportmodetrunk
!
interfaceGigabitEthernet3/1
descriptionToBACK_24
switchporttrunkencapsulationdot1q
switchportmodetrunk
!
interfaceGigabitEthernet3/2
switchporttrunkencapsulationdot1q
switchportmodetrunk
!
interfaceGigabitEthernet3/3
!
interfaceGigabitEthernet3/4
!
interfaceGigabitEthernet3/5
!
interfaceGigabitEthernet3/6
!
interfaceGigabitEthernet4/1
switchporttrunkencapsulationdot1q
switchportmodetrunk
!
....
....
....
!
interfaceGigabitEthernet4/47
switchporttrunkencapsulationdot1q
switchportmodetrunk
!
interfaceGigabitEthernet4/48
!
interfaceVlan1
ipaddress172.16.1.121255.255.255.0
!
interfaceVlan2
ipaddress172.16.2.1255.255.255.0
!
ipclassless
iproute0.0.0.00.0.0.0172.16.1.1
noiphttpserver
!
!
!
linecon0
password******
login
stopbits1
linevty04
password******
login
!
end
--------------------------------------------
因为上面的配置是把防火墙的内口直接接如了三层核心的VLAN1内，所以出现访问外网速度奇慢的现象，
。
解决办法如下：
1、关闭VLAN1的重定向功能
intvlan1noipredirects
2、将防火墙的内网线接如核心的其他VLAN
防火墙采用NP技术并不是什么新的概念，那么东软在这一领域的大张旗鼓，又有着怎样的意义呢？
防火墙已经是企业网络必不可少的安全设备，目前市场上的防火墙品牌众多，所采用的技术方案也不尽相同，日前，东软与英特尔紧密合作，推出了全系列基于NP（Network Processor）技术的NETEYE防火墙产品。在此之前，联想、方正等国产厂商也推出了基于NP技术的防火墙产品，这说明NP技术已经逐步得到了用户的认可。
我们知道，NP技术并不是什么新的技术概念，NP，即网络处理器，是英特尔专门为处理数据包而设计。除此之外，防火墙产品设计或采用专用ASIC芯片，或者干脆采用基于x86架构的通用处理器。其中，基于ASIC芯片的防火墙是公认的能够达到线速转发、满足高速网络环境骨干级应用的方案。但是其缺点是缺乏灵活性，由于指令或计算逻辑固化在硬件中，因此不便于修改和升级；此外，现在网络需要的深层次包（L4+）分析，使得ASIC设计复杂度增加，需要非常高的技术含量。与之相比，NP技术完全可编程的特点恰好弥补了ASIC的弱点。
国内很多的防火墙产品以前是采用x86架构通用处理器设计的，虽然在满足功能实现方面具有很好的灵活性，但是x86架构通用处理器毕竟是为数据的处理而设计的，尽管所使用的PCI总线最大带宽达到了1Gb/s，但由于PCI 总线是共享式的，这样，当一个网络组成模块发出指令时，就有可能由于冲突而影响PCI总线传输速度。因此，在流量比较大的网络环境，特别是千兆网络环境中，往往会造成整体网络性能的下降，
此外，x86防火墙的稳定性也存在问题，PCI接口、功耗、灰尘、振动等都有可能导致防火墙的故障。与之相比，专门为处理数据包而设计的NP处理器显然解决了性能和稳定性的问题。因此，国产的防火墙产品在采用了NP处理器之后，往往会有更好的性能表现。
那么，国产的防火墙产品为什么在采用了NP技术之后就具备了市场竞争力能力呢？为此，记者也专门采访了东软网络安全产品营销中心的总经理曹斌先生。“市场没有那么简单，采用了NP技术之后，也不意味着大家的防火墙产品都处于同一个起跑线上，不同的防火墙产品还是具有很大的分别的，需要用户进行认真的分辨，”曹斌表示，“其中最大的差别在于技术上的积累和沉淀。”
曹斌表示，不同的用户对于防火墙产品的需求不完全相同，不能按照同一个标准要求，例如电信用户比较看重防火墙产品的通讯能力，对于界面和接口，以及产品可靠性具有很高的要求，有些用户对于防火墙的速度比较偏重，而有些用户则要求防火墙具有非常好的安全防护策略。因此，防火墙产品并不是功能越全越好，性能越出色越好，要根据用户的需求进行设计。目前，很多国产的防火墙产品仍然在强调单一的性能或者“状态检测”的功能，实际上，这基本上是3年前的技术，如今，防火墙产品的挑战在于如何更好的识别应用，与用户的应用系统很好的结合，提供更强的安全防护。在这个基础上，未来的防火墙产品竞争将更多体现在成本制造方面的竞争，曹斌对此进行了大胆的预测。
专家表示，东软防火墙的优势在于功能，如其独树一帜的流过滤技术，如今，原有的这些功能都移植到了NP架构下，产品的性能和稳定性得到进一步提升，这将大大提高东软防火墙的竞争能力。期待国产防火墙超越“状态检测”阶段，针对VoIP、视频会议、P2P等用户应用，提供更好的安全防护方案。
小知识:什么是Internet 连接防火墙
防火墙是一种充当网络与外部世界之间保护屏障的安全系统，Windows XP/操作系统就包含了 Internet 连接防火墙 (Internet Connection Firewall，ICF) ，一旦启用了ICF，只有经过域的认证的用户才可以正常访问主机，而所有其他来自Internet的TCP/ICMP/ICMP链接包都将被丢弃。主要可用于在使用Internet连接共享(Internet Connection Sharing，ICS)时保护NAT机器和内部网络，当然也可用于保护单机。
一、启用“Internet 连接防火墙”
双击“控制面板”中的“网络连接”图标，打开“网络连接”窗口。右击所要保护的拨号、局域网或高速 Internet 连接，如“本地连接3”，选择“属性”命令，然后在出现的“本地连接3 属性”对话框中，单击切换到“高级”选项页，勾选“通过限制或阻止来自 Internet 的对此计算机的访问来保护我的计算机和网络”复选项(如图1)，这样就启用了Internet连接防火墙。
二、让安全和共享和平共处
在图1中，单击“设置”按钮，弹出“高级设置”窗口，
在“服务”选项页中，已经列举出了一些常用的网络服务，但是这里并没有我们要使用的“网络共享”规则，因此我们需要添加规则。单击下部的“添加”按钮，打开“服务设置”对话窗口。在“服务描述”中输入:文件共享服务 端口号，“计算机的名称或者IP地址”栏中输入:127.0.0.1，端口协议可以选择:TCP 或者 UDP，“此服务的外部端口号”栏和“此服务的内部端口号”栏中都输入“135”。由于Windows的文件共享功能需要用到TCP和UDP协议的135、136、137、138、139、445这六个通讯端口，所以我们依次要添加6个TCP协议端口服务和6个UDP协议端口服务(如图2)。
服务添加完成后，再在“高级设置”对话窗口的“服务”选项页中一一勾选中刚添加的12项服务。这样，Windows的“Internet 连接防火墙”和“网络共享”已经可以和平共处啦，你就可以随意地访问共享文件夹了!
小提示
为了计算机的安全，请大家不要轻易共享文件资源，非得使用共享的资源，请为每个共享资源都设置允许访问的合理权限。
网络是美好的，它可以让我们足不出户就能知晓天下之事，也能够很便捷的和远在天边的朋友聊天通信，但是由于目前操作系统或者是其它网络软件中存在一些缺陷，使得那些别有用心的人可以利用这些缺陷进入你的机器中，如果一个不小心的话，你的绝密文件就会赤裸裸的暴露在网络上，而这还算是好的呢，要是你的资料被悄悄的删除了，你哭都来不及！再加上现在有许多 工具，即使你是一个计算机新手的话，也可以利用它们很轻松的实现自己的 梦，是不是很可怕？如果你想真正确保自己计算机的安全，不妨用Norton Personal Firewall在PC上构筑一个属于自己的防火墙。
一、初识防火墙
所有的Internet通信都是通过独立数据包的交换来完成的，而每个数据包都是由源主机向目标主机传输的，所以数据包是Internet上信息传输的基本单位。虽然我们常说电脑之间的“连接”，但这“连接”实际上是由被“连接”的两台电脑之间传送的独立数据包组成的。为了到达目的地，不论两台电脑是隔着几米远还是在不同的大洲上，每个数据包都必须包含一个目标地址和端口号以及源主机的IP地址及端口号，以便接收者知道是谁发出了这个包。也就是说，每一个在Internet上传送的包，都必须含有源地址和目标地址。一个IP地址总是指向Internet上的一台单独机器，而端口号则和机器上的某种服务或会话相关联。而防火墙的目的就是使用一段“代码墙”把你的电脑和Internet分隔开，
它检查到达防火墙两端的所有数据包，无论是进入还是发出，从而决定该拦截这个包还是将其放行。
因为防火墙检查每个到达你的电脑的数据包，所以在这个数据包被你机上运行的任何软件看到之前，防火墙有完全的否决权，可以禁止你的电脑接收Internet上的任何东西。当第一个请求建立连接的数据包被你的电脑回应后，一个TCP/IP端口被打开。如果到达的数据包不被受理，这个端口就会迅速地从Internet上消失，谁也别想和它连上。但防火墙的真正威力在于选择哪些数据包该拦截，哪些数据包该放行。既然每个到达的数据包都含有正确发送者的IP地址（以便接收者发送回应数据包），那么基于源主机IP地址及端口号和目标主机IP地址及端口号的一些组合，防火墙就可以“过滤”掉一些到达的数据包。
简单一点说来，比如你需要允许远程主机在80端口（http）和你的电脑连接,防火墙就可以检查每个到达的包，并只允许由80端口开始的连接。新的连接将会在所有的其 丝谏媳痪芫。即使你的电脑不小心被装入了特洛伊木马程序，向外界打开了一个监听端口，禁止特洛伊木马通行的扫描也可以检测到它的存在，因为所有联络系统内特洛伊木马程序的企图都被防火墙拦截了。所以ü防火墙可以建立一条安全隧道，以便你的家庭电脑和办公室电脑可以共享文件而不受外来的侵入。你可以在办公室电脑中的防火墙上设定，只允许来自你家庭电脑的IP地址的连接，使用NetBios文件共享端口137－139；类似的，在家庭电脑的防火墙上可以设定，只允许来自你办公室电脑的IP地址的连接，使用137－139端口。这样，两台机器都可以看到对方的NetBios端口，而在Internet上的其它人都看不见这两台机器之间的通讯模式。
4月到6月，国外传统上称为“防火墙月”，据说这与“防火墙”的诞生有关，此后，每一种革命意义的防火墙技术都在此期间发布。遵照传统，编辑也收集了国内外论坛中的防火墙专帖，一起分享其中的安全理念与部署技巧。
定义所需要的防御能力
防火墙的监视、冗余度以及控制水平是需要进行定义的。通过企业系统策略的设计，IT人员要确定企业可接受的风险水平（偏执到何种程度）。接下来IT人员需要列出一个必须监测什么传输、必须允许什么传输通行，以及应当拒绝什么传输的清单。换句话说，IT人员开始时先列出总体目标，然后把需求分析与风险评估结合在一起，挑出与风险始终对立的需求，加入到计划完成的工作清单中。
关注财务问题
很多专家建议，企业的IT人员只能以模糊的表达方式论述这个问题。但是，试图以购买或实施解决方案的费用多少来量化提出的解决方案十分重要。例如，一个完整的防火墙的高端产品可能价值10万美元，而低端产品可能是免费的；从头建立一个高端防火墙可能需要几个月，
另外，系统管理开销也是需要考虑的问题。建立自行开发的防火墙固然很好，但重要的是，使建立的防火墙不需要高额的维护和更新费用。
体现企业的系统策略
IT人员需要明白，安装后的防火墙是为了明确地拒绝——除对于连接到网络至关重要的服务之外的所有服务。或者，安装就绪的防火墙是为以非威胁方式对“鱼贯而入”的访问提供一种计量和审计的方法。在这些选择中存在着某种程度的偏执狂，防火墙的最终功能可能将是行政上的结果，而非工程上的决策。
网络设计
出于实用目的，企业目前关心的是路由器与自身内部网络之间存在的静态传输流路由服务。因此，基于这一事实，在技术上还需要做出几项决策：传输流路由服务可以通过诸如路由器中的过滤规则在IP层实现，或通过代理网关和服务在应用层实现。
IT人员需要做出的决定是，是否将暴露的简易机放置在外部网络上为Telnet、FTP、News等运行代理服务，或是否设置像过滤器这样的屏蔽路由器，允许与一台或多台内部计算机通信。这两种方式都存在着优缺点，代理机可以提供更高水平的审计和潜在的安全性，但代价是配置费用的增加，以及提供的服务水平的降低。
“ 会打上我的主意吗？”这么想就对了， 就想钻鸡蛋缝的苍蝇一样，看到一丝从系统漏洞发出的光亮就会蠢蠢欲动！好，如何保护你的网络呢？计算机的高手们也许一张嘴就提议你安装网络的防火墙，那么第一个问题就来了：到底什么是防火墙呢？
什么是防火墙？
防火墙就是一种过滤塞（目前你这么理解不算错），你可以让你喜欢的东西通过这个塞子，别的玩意都统统过滤掉，在网络的世界里，要由防火墙过滤的就是承载通信数据的通信包。
天下的防火墙至少都会说两个词：Yes或者No。直接说就是接受或者拒绝。最简单的防火墙是以太网桥。但几乎没有人会认为这种原始防火墙能管多大用。大多数防火墙采用的技术和标准可谓五花八门。这些防火墙的形式多种多样：有的取代系统上已经装备的TCP/IP协议栈；有的在已有的协议栈上建立自己的软件模块；有的干脆就是独立的一套操作系统，
还有一些应用型的防火墙只对特定类型的网络连接提供保护（比如SMTP或者HTTP协议等）。还有一些基于硬件的防火墙产品其实应该归入安全路由器一类。以上的产品都可以叫做防火墙，因为他们的工作方式都是一样的：分析出入防火墙的数据包，决定放行还是把他们扔到一边。
所有的防火墙都具有IP地址过滤功能。这项任务要检查IP包头，根据其IP源地址和目标地址作出放行/丢弃决定。看看下面这张图，两个网段之间隔了一个防火墙，防火墙的一端有台UNIX计算机，另一边的网段则摆了台PC客户机。
当PC客户机向UNIX计算机发起telnet请求时，PC的telnet客户程序就产生一个TCP包并把它传给本地的协议栈准备发送。接下来，协议栈将这个TCP包“塞”到一个IP包里，然后通过PC机的TCP/IP栈所定义的路径将它发送给UNIX计算机。在这个例子里，这个IP包必须经过横在PC和UNIX计算机中的防火墙才能到达UNIX计算机。
电子邮件以便捷快速等特点成为人们日常交流必不可少的工具之一，但是我们每天接收到垃圾电子邮件远远超过正常邮件，垃圾邮件给我们带来很大的麻烦， 当一个网民打开电子邮箱，很可能在他收下的10封EMAIL里有8封是垃圾邮件。一位“反垃圾邮件联盟”的专家详细地阐述了这样一个现象：在南方浙江省的一个地区有一家生产塑料筷子的小厂，因为没有太多的钱做广告，于是就花几百块钱找一个服务器地址来狂发邮件，只要有1%的人感兴趣的话，效果就会和做电视广告差不多，但是花的钱却是连电视广告1%的费用都不到。
网络垃圾邮件给我们造成的危害很大，浪费很多的网络资源，也浪费我们宝贵的时间。网络病毒和垃圾邮件永远是网络安全主要的两个方面。目前，垃圾邮件的解决方案多种多样，但主要有四种：客户端的软件解决方案；远程电子邮件过滤服务；企业级软件解决方案；硬件设备。
客户端的软件解决方案就是安装软件，现在的防垃圾邮件软件零零散散，特别是在国内，不管是个人版或者服务器版的防垃圾邮件软件更多的是出自一些个人开发者之手，其中对垃圾邮件的定义不准确，很多人把垃圾邮件定义成病毒。垃圾邮件主要分为广告邮件、匿名骚扰邮件和虚假邮件3种，目前软件主要采用的是根据发信人地址、邮件主题或者是邮件大小等来进行过滤，
但是一方面由于垃圾邮件存在不固定的随机性，因此很难把握垃圾邮件的准确特征，另一方面由于大部分防垃圾邮件工具本身设计上的误区，造成了难以彻底防住垃圾邮件的现状。同时，对于一个大型企业来说，一个防垃圾邮件软件很难档的住每天成千上万，各式各样的垃圾邮件。
目前对于企业用户来说，大部分是采用高级硬件防火墙，个人用户采用软件防火墙。硬件防火墙和软件防火墙相比，有哪些优点呢？ 硬件防火墙采用专用的硬件设备，然后集成生产厂商的专用防火墙软件。从功能上看，硬件防火墙内建安全软件，使用专属或强化的操作系统，管理方便，更换容易，软硬件搭配较固定。硬件防火墙效率高，解决了防火墙效率、性能之间的矛盾，可以达到线性。
软件防火墙一般基于某个操作系统平台开发，直接在计算机上进行软件的安装和配置。由于客户平台的多样性，软件防火墙需支持多操作系统，如Unix、Linux、SCO-Unix、Windows等，代码庞大、安装成本高、售后支持成本高、效率低。
1、性能优势。防火墙的性能对防火墙来说是至关重要的。它决定了每秒钟通过防火墙的数据流量。单位是Bps，从几十M到几百M不等，还有千兆防火墙甚至达到几G的防火墙。而软件防火墙则不可能达到如此高的速率。
教程|防火墙|win2008
为什么你应该使用这个Windows的基于主机的防火墙?
今天许多公司正在使用外置安全硬件的方式来加固它们的网络。 这意味着，它们使用防火墙和入侵保护系统在它们的网络周围建立起了一道铜墙铁壁，保护它们自然免受互联网上恶意攻击者的入侵。但是，如果一个攻击者能够攻 破外围的防线，从而获得对内部网络的访问，将只有Windows认证安全来阻止他们来访问公司最有价值的资产-它们的数据。
这是因为大多数IT人士没有使用基于主机的防火墙来加固他们的服务器的安全。为什么会出现这样的情况呢?因为多数IT人士认为，部署基于主机的防火墙所带来的麻烦要大于它们带来的价值。
我希望在您读完这篇文章后，能够花一点时间来考虑Windows这个基于主机的防火墙。在Windows Server 2008中，这个基于主机的防火墙被内置在Windows中，已经被预先安装，与前面版本相比具有更多功能，而且更容易配置。它是加固一个关键的基础服务器的 最好方法之一。具有高级安全性的 Windows 防火墙结合了主机防火墙和IPSec。与边界防火墙不同，具有高级安全性的 Windows 防火墙在每台运行此版本 Windows 的计算机上运行，并对可能穿越边界网络或源于组织内部的网络攻击提供本地保护。它还提供计算机到计算机的连接安全，使您可以对通信要求身份验证和数据保护。
那么，这个Windows Server高级防火墙可以为你做什么，你又该如何配置它?让我们继续看下去。
新防火墙具备的功能及对你的帮助
这个Windows Server 2008中的内置防火墙现在“高级”了。这不仅仅是我说它高级，微软现在已经将其称为高级安全Windows防火墙(简称WFAS)。
以下是可以证明它这个新名字的新功能：
1、新的图形化界面，
现在通过一个管理控制台单元来配置这个高级防火墙。
2、双向保护。
对出站、入站通信进行过滤。
3、与IPSEC更好的配合。
具有高级安全性的Windows防火墙将Windows防火墙功能和Internet 协议安全(IPSec)集成到一个控制台中。使用这些高级选项可以按照环境所需的方式配置密钥交换、数据保护(完整性和加密)以及身份验证设置。
4、高级规则配置。
你可以针对Windows Server上的各种对象创建防火墙规则，配置防火墙规则以确定阻止还是允许流量通过具有高级安全性的Windows防火墙。
传入数据包到达计算机时，具有高级安全性的Windows防火墙检查该数据包，并确定它是否符合防火墙规则中指 定的标准。如果数据包与规则中的标准匹配，则具有高级安全性的Windows防火墙执行规则中指定的操作，即阻止连接或允许连接。如果数据包与规则中的标 准不匹配，则具有高级安全性的Windows防火墙丢弃该数据包，并在防火墙日志文件中创建条目(如果启用了日志记录)。
对规则进行配置时，可以从各种标准中进行选择：例如应用程序名称、系统服务名称、TCP端口、UDP端口、本地IP地址、远程IP地址、配置文件、接口类型(如网络适配器)、用户、用户组、计算机、计算机组、协议、ICMP类型等。规则中的标准添加在一起;添加的标准越多，具有高级安全性的Windows防火墙匹配传入流量就越精细。
通过增加双向防护功能、一个更好的图形界面和高级的规则配置，这个高级安全Windows防火墙正在变得和传统的基于主机的防火墙一样强大，例如ZoneAlarm Pro等。
我知道任何服务器管理员在使用一个基于主机的防火墙时首先想到的是：它是否会影响这个关键服务器基 础应用的正常工作?然而对于任何安全措施这都是一个可能存在的问题，Windows 2008高级安全防火墙会自动的为添加到这个服务器的任何新角色自动配置新的规则。但是，如果你在你的服务器上运行一个非微软的应用程序，而且它需要入站 网络连接的话，你将必须根据通信的类型来创建一个新的规则。
通过使用这个高级防火墙，你可以更好的加固你的服务器以免遭攻击，让你的服务器不被利用去攻击别人，以及真正确定什么数据在进出你的服务器。下面让我们看一下如何来实现这些目的。
