随着网络安全威胁的手法越来越多，传统防火墙功能早就已经有鞭长莫及之感。在这样的状况下，逐渐出现称作次世代防火墙（NextGenerationFirewall，NGFW）的产品，不少调查机构与研究单位，也开始发表对于NGFW的定义。
这让人不禁开始想探究，到底什么样的设备，才能被称为NGFW？而NGFW又会替企业的网络架构带来什么样的改变？目前NGFW还没有一个肯定的定义，但是对于企业来说，很多现有产品和研究报告所归纳出来的线索，或许已经可以提供给企业使用者在选购符合未来需求的设备时，一条明路。
NGFW没有统一定义，但功能已有明确方向
虽然目前NGFW还没有一个统一的定义，不过很多功能已经是众所公认为NGFW应该要具备的功能。其中最重要的，就是NGFW必须要有能力辨识应用层，看到不同应用程序的流量；在这之后，还必须要能够针对不同应用内细部的不同功能，做到管控的能力。举例来说，可以把Skype的文件传输功能关闭，但保留其他的功能。
或许透过不同研究机构的报告，可以更贴切的描述NGFW该具备的功能。2009年10月，调查机构Gartner推出了一份名为”DefiningtheNextGenerationFirewall”报告，里面对于他们心目中的次世代防火墙，就提供了几个应该具备功能的定义。Gartner列出的几点NGFW该具备的功能如下：能够做为封包检测或安全政策执行的据点；并且拥有传统防火墙的功能，如NAT、封包过滤、科学、传输协定检测等。除此之外，NGFW还需要具备有IDP的功能，并且有能力和防火墙的功能互相沟通，必要时可以透过防火墙阻断危险的流量。
在这些功能之外，Gartner在报告中也特别提到了应用程序流量辨识的能力，并且把这项能力视为NGFW的重点之一。也就是说，NGFW必须提供可视度（Visibility），不光是像过去的防火墙一样，只是透过特徵和连接池的号码来管控流量，还必须有能力看得懂第七层应用层，辨识流经的不同流量，分别属于哪些应用、哪些人使用、透过什么装置使用等信息。
因此，该份报告中还指出，NGFW必须有能力取得其他设备提供的信息，进而透过这些信息达到阻断恶意流量的效果。举例来说，NGFW可能要能够和身分辨识的AD架构、RADIUS等设备沟通，取得使用者身分的信息，然后辅以应用辨识的能力，将不合企业内安全政策与可能的恶意威胁流量阻断，并且能够快速的辨识出使用者位在何方。
最后，报告中谈到，NGFW还必须具备客制化扩充的能力，如此一来，在面对新威胁时，才能快速的反应。Gartner这份报告，排除了传统UTM和中小企业，并且也不列入DLP（DataLeakagePrevention）、Web安全闸道器、信息安全闸道器等功能，报告中认为，这些功能都不算是NGFW需要必备的功能。
不过另一个安全训练与研究机构SANS（SysAdmin、Audit、network、Security）协会，所定义的NGFW，则又是另一番面貌。SANS在2009年2月发表了一份探讨NGFW功能的报告，在其中指出，NGFW应该是除了具备传统防火墙功能外，还能提供包括基础DLP、NAC（NetworkAccessControl）、IDP、防蠕虫、防中介软件、网站过滤、科学、SSLProxy、QoS等功能。
SANS还在该份报告中指出，现有市面号称为NGFW的产品，在DLP、NAC、SSLProxy这三项功能的提供上比较欠缺，未来NGFW的发展，应该要往增加这些功能的方向前进。
同时，报告中也指出NGFW所能带来的优势与可能面临的挑战。首先，由于NGFW能够整合了多种不同功能在单一设备上，于是部分对于时效性要求特别高的功能，如IPS与防火墙的联防，就能更有效率，也比较不会有互通上的难度。举例来说，当网站过滤的功能侦测到有使用者连上恶意的网站，就能快速的透过防火墙阻断连线，或是导引到其他地方。报告中也指出，这一点优势是十分重要的能力，因为根据研究，当使用者连上恶意位址而感染了恶意程序后，一般来说网络上的安全设备，如IDP等，要发现这项威胁，往往都在感染已经发生了数天或数月之后，无法防范于未然。此外，这样的做法也可以省下多数设备的投资，提供企业经济上的效益；并且管理和控管上也更为简便。
不过SANS的报告中也明白的指出，反过来看，这会让企业的网络安全防护更容易倾向只依赖少数的厂商，因为功能都整合到单一设备上，有可能会是一个隐忧。另外就是效能的问题，要提供这么多功能，效能很有可能会是瓶颈。SANS的报告中并没有排除DLP功能和UTM设备，从这一点来看，该份报告所描述的功能细节比起Gartner更为详细，但相对的包含的功能也比较发散。
更灵活的架构与扩充性，也将成为重点
由上述两份针对NGFW所做的报告内容，应该已经可以掌握NGFW大概的方向。不过毕竟这些报告主要针对的还是网络上单点设备的描述，事实上，随着虚拟化技术的发展，网络安全的需求已经越来越需要从网络架构的整体面来考量。因此，我们还可以再进一步归纳出报告中没有谈到的重点，那就是灵活的架构与扩充性。
更灵活的架构除了前述报告中谈到的客制化能力，还有一点很重要的就是硬件资源透过虚拟化技术进行分配的能力。举例来说，NGFW很有可能有能力可以将多台防火墙串连虚拟为单一的防火墙设备，或是将单台防火墙虚拟为多台小型的防火墙，达到分开处理流量的效果。而同时这些虚拟技术，都将让NGFW在分配硬件资源上更灵活，而不再受限于实体的限制。目前已经有不少网络安全设备厂商，已经在往这个方面发展，或是已经有类似的功能，如Juniper、Fortinet等。
而为了达到更灵活分配硬件资源的目标，NGFW其实还有一个发展趋势很值得注意，那就是软、硬件功能脐带割离的趋势。未来的NGFW，功能将不会再受到硬件的限制，取而代之的，将会逐渐转向以”空白的硬件”的方式，让设备的扩充性更佳。
接下来我们将列出NGFW应具备的6项重要功能，这些功能都是透过归纳市面上的产品现状，辅以各家调查机构所列出重点的整理而成。Gartner在报告中，建议企业现在在选择防火墙这样的设备时，已经可以逐渐往NGFW的功能考量。而整理出的这6项功能，也同样希望能够提供读者对NGFW这个概念有一定的认识。
为什么开启杀毒软件，打开劲舞团电脑就自动重启？
那你就关闭360玩，要不怕中毒的话可以下个别的杀软试下看会不会有这样的情况。黑吧安全网已有八年资历的老牌IT技术网，与网易都合作开发教程，在公安厅也备了案,老品牌正规大站值得信赖,非常适合新手学习E！
软路由分哪几种？
一、什么是软件路由器?一般认为用普通PC安装一套专用的路由器程序组成的系统称为软件路由器. 486电脑+免费的软件=专业的软件路由器。 二 、软件路由器技术复杂吗?不复杂,非常简单，会用普通操作PC就可以安装软件路由三、常见的软件路由器有那些？根据使用的操作不同可以分为基于windows平台和基于Linux/bsd平台开发的软件路由器，基于Windows平台的软件防火墙比较常见的有ISA Server、Winroute Firewall等，这些软件都是商业化的，通常根据授权用户数不同收费而不同，购买正版的软件防火墙的费用对许多中小型企业来说无疑是一笔不小的开支。 有而基于Unix/Linux平台的软件防火墙大家一般接触较少，受益于开放源码运行，目前基于Unix/Linux平台的软件防火墙如雨后春笋般不断推出，这些软件防火墙大多是免费的，常见的有RouterOS、m0n0Wall、SmoothWall、Ipcop、CoyoteLinux等，这些系统共有的特点是一般对硬件要求较低，甚至只需要一台486电脑，一张软盘，两块网卡就可以安装出一台非常专业的软件防火墙，这对很多有淘汰下来的低档电脑的朋友来说，意味着拿一台淘汰的电脑，安装一套免费的防火墙软件，不花一分钱就DIY出一台专业的防火墙，而且这些系统自身也包含了NAT功能，同时可以实现宽带共享，这意味着这台免费的防火墙其实也是一台出色的宽带路由器，这是多么令人激动的事情。 四、软件路由器功能如何？不同的软件路由器功能不一样，绝大部分基于Linux/bsd的免费软件路由器功能并不比商业的差，而且比商业的功能还要强大。 五、软件路由器的性能和稳定性如何？目前常见的硬件宽带路由器，绝大部分都是用软件来实现的，跟软件路由器是一样的，而且软件路由器一般硬件配置要比硬件的宽带路由器配置高，所以某些情况下速度比几千上万元的硬件路由器稳定还要快。 至于软件路由器的稳定性，受益于稳定的Linux和BSD内核，软件路由器的稳定性非常好，我见过最长时间不用重启的软件路由器，已经有一年多了.六、制作软件路由器需要什么配件？一台486以上，8M内存以上的普通PC，再加两块网卡就可以了，有些软件路由器如CoyoteLinux只需一张软盘就可以了，对于网卡没有特殊的要求，常见的Rtl8139 和530tx，3COM905B-TX，Intel 服务器网卡等都可以，不过根据我们的经验，一台工作良好的软件路由器，网卡一定要好，所以我们会推荐你使用iNTEL或3COM品牌的网卡，特别是Intel效果非常不错。 如果经验条件许可，购买一个电子硬盘或CF-IDE转接卡再配上CF存储卡，是不错的选择，这样做出来的软件路由器，可以跟硬件的路由器相比了七、软件路由器会淘汰硬件路由器吗？不会，但是软件路由器会逐渐占领更多的硬件路市场，软件路由器还不能淘汰硬件路由器，它们的市场定位不同，而且在高端只有硬件路由器才能胜任，但对于一般的应用象网吧、学校、机关等用软件路由器可以获得更高的经济效益。
SDWAN路由器与传统路由器有何区别？
由于SD-WAN的设备或云端服务可简化控管的复杂性，相较于传统路由器更具经济效益，因而深受企业青睐。
市场上提供此类方案的供应商也相当多元，例如次世代防火墙（NGFW）、应用交付控制器（ADC）、广域网路优化（WAN Optimization）、有线与无线基础架构、虚拟网路技术等业者，皆陆续基于自家可发挥的优势，抑或整合藉由并购取得的SD-WAN技术，建立侦测多种线路品质的机制，并依据应用服务的重要性优先采用高品质线路传输，确保各式分支机构、外部据点应用场景得以拥有良好的使用体验。
发表评论