下载文档原格式
防火墙的分类与优缺点知识网络安全成为当今最热门的话题之一，很多企业为了保障自身服务器或数据安全都采用了防火墙。
随着科技的发展，防火墙也逐渐被大众所接受。
但是，由于防火墙是属于高科技产物，许多的人对此还并不是了解的十分透彻。
而这篇文章就是给大家讲述了防火墙工作的方式，以及防火墙的基本分类，并且讨论了每一种防火墙的优缺点。
欢迎大家阅读一、防火墙的基本分类1.包过滤防火墙第一代防火墙和最基本形式防火墙检查每一个通过的网络包，或者丢弃，或者放行，取决于所建立的一套规则。
这称为包过滤防火墙。
本质上，包过滤防火墙是多址的，表明它有两个或两个以上网络适配器或接口。
例如，作为防火墙的设备可能有两块网卡(NIC)，一块连到内部网络，一块连到公共的Internet。
防火墙的任务，就是作为“通信警察”，指引包和截住那些有危害的包。
包过滤防火墙检查每一个传入包，查看包中可用的基本信息(源地址和目的地址、端口号、协议等)。
然后，将这些信息与设立的规则相比较。
如果已经设立了阻断telnet连接，而包的目的端口是23的话，那么该包就会被丢弃。
如果允许传入Web连接，而目的端口为80，则包就会被放行。
多个复杂规则的组合也是可行的。
如果允许Web连接，但只针对特定的服务器，目的端口和目的地址二者必须与规则相匹配，才可以让该包通过。
最后，可以确定当一个包到达时，如果对该包没有规则被定义，接下来将会发生什么事情了。
通常，为了安全起见，与传入规则不匹配的包就被丢弃了。
如果有理由让该包通过，就要建立规则来处理它。
建立包过滤防火墙规则的例子如下：对来自专用网络的包，只允许来自内部地址的包通过，因为其他包包含不正确的包头部信息。
这条规则可以防止网络内部的任何人通过欺骗性的源地址发起攻击。
而且，如果黑客对专用网络内部的机器具有了不知从何得来的访问权，这种过滤方式可以阻止黑客从网络内部发起攻击。
在公共网络，只允许目的地址为80端口的包通过。
这条规则只允许传入的连接为Web连接。
5防火墙一、防火墙基础防火墙通常位于两个信任程度不同的网路间（如：企业内部和internet之间），可以对两个网络之间的通信进行控制，从而保护内部网络的安全。
防火墙特征：1、逻辑区域过滤器2、使用NA T技术可以隐藏内部的网络结构3、自身的安全是有保障的4、可以主动防御攻击防火墙的组成：硬件+软件+控制策略控制策略分为两种：1、宽松的控制策略：除非明确禁止，否则就允许2、限制的控制策略：除非明确允许，否则就禁止按形态分类：硬件防火墙、软件防火墙按保护对象分类：单机防火墙、网络防火墙按防火墙的实现方式，分为三类：1、包过滤防火墙：只检测数据的报头，缺点是：a、无法关联数据包之间的关系b、无法适应多通道协议（比如：VPN）c、不检测应用层的数据2、代理型防火墙：所有的数据包都要经过防火墙才能访问到server，访问速度很慢3、状态检测防火墙：现在运用的防火墙主要都是状态检测防火墙华为防火墙的工作模式：1、路由模式：所有接口均有IP2、透明模式：所有接口均无IP3、混合模式：有的接口有IP，有的接口没有IP防火墙的局限性：1、防外不防内2、不能防御全部的安全威胁，特别是新产生的危险3、在提供深度监测功能和处理转发性能之间需要做平衡4、当使用端到端的加密时，防火墙不能对加密的隧道进行处理5、防火墙本身会存在一些瓶颈，如抗攻击能力，会话限制等防火墙的区域和优先级：1、local区域，优先级1002、trust区域，优先级853、DMZ区域，优先级504、untrust区域，优先级5这些防火墙内设区域的优先级和名字都是无法改变的，优先级低的区域不能访问优先级高的区域（思科），华为设备如果防火墙策略允许可以突破区域访问限制。
防火墙上的所有接口本身都属于local区域，如果把一个接口划分到了trust区域，是指该接口下的设备属于trust区域，接口本身永远属于local区域。
Inbound与Outbound定义：高优先级的访问低优先级：Outbound，反之则是：Inbound安全区域与接口的关系：1、防火墙不允许存在两个具有完全相同安全级别（既优先级相同）的安全区域2、防火墙不允许同一物理接口分属于两个不同的安全区域3、防火墙的不同接口可以属于同一个安全区域防火墙支持的功能：路由器、交换机支持的功能，防火墙都支持衡量防火墙好坏的指标：1、吞吐量：防火墙能同时处理的最大数据量有效吞吐量：除掉因TCP的丢包和超时重发的数据，实际每秒传输的有效速率2、延时：数据包的最后一个比特进入防火墙到第一个比特输出防火墙的时间间隔，是用来衡量防火墙处理数据的速度的理想指标3、每秒新建连接数：指每秒可以通过防火墙建立起来的完整的TCP链接数4、并发连接数：指防火墙可以同时容纳的最大连接数目，一个连接就是一个TCP/UDP的访问防火墙实验拓扑图以后章节所讲的内容都基于此图：默认的情况下，防火墙是有一些配置的：G0/0/0接口的IP地址为：192.168.0.1/24，配置了基于接口的DHCP，且G0/0/0默认属于trust区域。
常见防火墙及其优缺点防火墙有许许多多种形式，有以软件形式运行在普通计算机之上的，也有以固件形式设计在路由器之中的。
总的来说业界的分类有三种：包过滤防火墙，应用级网关和状态监视器。
（1）包过滤防火墙在互联网络这样的TCP/IP网络上，所有往来的信息都被分割成许许多多一定长度的信息包，包中包含发送者的IP地址和接收者的IP地址信息。
当这些信息包被送上互联网络时，路由器会读取接收者的IP并选择一条合适的物理线路发送出去，信息包可能经由不同的路线抵达目的地，当所有的包抵达目的地后会重新组装还原。
包过滤式的防火墙会检查所有通过的信息包中的IP地址，并按照系统管理员所给定的过滤规则进行过滤。
如果对防火墙设定某一IP地址的站点为不适宜访问的话，从这个地址来的所有信息都会被防火墙屏蔽掉。
包过滤防火墙的优点是它对于用户来说是透明的，处理速度快而且易于维护，通常做为第一道防线。
包过滤路由器通常没有用户的使用记录，这样我们就不能得到入侵者的攻击记录。
而攻破一个单纯的包过滤式防火墙对黑客来说还是有办法的。
"IP地址欺骗"是黑客比较常用的一种攻击手段。
黑客们向包过滤式防火墙发出一系列信息包，这些包中的IP地址已经被替换为一串顺序的IP地址，一旦有一个包通过了防火墙，黑客便可以用这个IP地址来伪装他们发出的信息；在另一种情况下黑客们使用一种他们自己编制的路由攻击程序，这种程序使用动态路由协议来发送伪造的路由信息，这样所有的信息包都会被重新路由到一个入侵者所指定的特别地址；破坏这种防火墙的另一种方法被称之为"同步风暴"，这实际上是一种网络炸弹。
攻击者向被攻击的计算机发出许许多多个虚假的"同步请求"信息包，目标计算机响应了这种信息包后会等待请求发出者的应答，而攻击者却不做任何的响应。
如果服务器在一定时间里没有收到响应信号的话就会结束这次请求连接，但是当服务器在遇到成千上万个虚假请求时，它便没有能力来处理正常的用户服务请求，处于这种攻下的服务器表现为性能下降，服务响应时间变长，严重时服务完全停止甚至死机。
防火墙的优缺点及种类防火墙总体上分为包过滤、应用级网关和代理服务器等几大类型。
下面由店铺给你做出详细的防火墙的优缺点及种类介绍!希望对你有帮助!数据包过滤数据包过滤(Packet Filtering)技术是在网络层对数据包进行选择，选择的依据是系统内设置的过滤逻辑，被称为访问控制表(Access Control Table)。
通过检查数据流中每个数据包的源地址、目的地址、所用的端口号、协议状态等因素，或它们的组合来确定是否允许该数据包通过。
数据包过滤防火墙逻辑简单，价格便宜，易于安装和使用，网络性能和透明性好，它通常安装在路由器上。
路由器是内部网络与Internet连接必不可少的设备，因此在原有网络上增加这样的防火墙几乎不需要任何额外的费用。
数据包过滤防火墙的缺点有二：一是非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击;二是数据包的源地址、目的地址以及IP的端口号都在数据包的头部，很有可能被窃听或假冒。
应用级网关应用级网关(Application Level Gateways)是在网络应用层上建立协议过滤和转发功能。
它针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计，形成报告。
实际中的应用网关通常安装在专用工作站系统上。
数据包过滤和应用网关防火墙有一个共同的特点，就是它们仅仅依靠特定的逻辑判定是否允许数据包通过。
一旦满足逻辑，则防火墙内外的计算机系统建立直接联系，防火墙外部的用户便有可能直接了解防火墙内部的网络结构和运行状态，这有利于实施非法访问和攻击。
代理服务代理服务(Proxy Service)也称链路级网关或TCP通道(CircuitLevel Gateways or TCP Tunnels)，也有人将它归于应用级网关一类。
它是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨越防火墙的网络通信链路分为两段。
防火墙的类型概念以及主要优缺点2008年10月27日星期一下午03:22什么是防火墙对于企业的网络而言，未加特别安全保护而放臵在internet上，危险性是显而易见的。
随着决策层对安全认识的逐步加强，防火墙，作为一种应用非常广泛，技术相对比较成熟的网络安全产品也在不同的企业愈来愈多的得到了重视。
然而一个现实的问题是目前关于防火墙的名词以及厂家基于商业目的宣称花样为数众多，这就给使用者选择和应用防火墙带来了一定的误解和困难。
那么什么是防火墙，主要的防火墙之间如何区别呢？对于防火墙的概念，我们可以这样理解：防火墙是在两个网络间实现访问控制的一个或一组软件或硬件系统。
防火墙的最主要功能就是屏蔽和允许指定的数据通讯，而该功能的实现又主要是依靠一套访问控制策略，由访问控制策略来决定通讯的合法性。
那么如何理解种类众多的防火墙呢，下面来做个介绍。
防火墙的类型如果我们从OSI分层模式来考察及分类防火墙，会比较容易的把握住防火墙的脉络，个人认为，目前主要的防火墙可以分为三类，它们分别是：包过滤防火墙、基于状态的包过滤防火墙、应用代理（网关）防火墙，而由这三类防火墙可以推导和演绎出其它可能的变化。
下面我们来逐一说明。
包过滤防火墙首先，我们要提到的是最基本的报文过滤的防火墙，这个层次的防火墙通常工作在OSI的三层及三层以下，由此我们可以看出，可控的内容主要包括报文的源地址、报文的目标地址、服务类型，以及第二层数据链路层可控的MAC地址等。
除此以外，随着包过滤防火墙的发展，部分OSI四层的内容也被包括进来，如报文的源端口和目的端口。
本层次最常见的实际应用的例子就是互联网上的路由设备，比如常见的cisco路由器，使用者可以通过定制访问控制列（ACL）来对路由器进出端口的数据包进行控制，如针对rfc1918的保留地址进屏蔽，在路由器上可以进行如下配臵：interface xip access-group 101 inaccess-list 101 deny ip 10.0.0.0 0.255.255.255 anyaccess-list 101 deny ip 192.168.0.0 0.0.255.255 anyaccess-list 101 deny ip 172.16.0.0 0.15.255.255 anyaccess-list 101 permit ip any any从上面这个例子可以很明显的看出，路由器这里的配臵完全是针对OSI的三层ip地址，也就是ip的包头进行过滤，至于这些IP数据包里携带的具体有什么内容，路由器完全不会去关心。
防火墙总结一．防火墙类型1.包过滤防火墙：具有过滤数据包的防火墙或路由器，表现形式为ACL。
基于源目IP，源目端口和协议。
工作于3，4层。
优点：处理速度快，易于匹配绝大多数的3，4层报头信息。
缺点：ACL配置复杂；不能阻止应用层的攻击；不支持用户的连接认证；不能检测或阻止TCP/IP攻击；流量单向返回问题。
2.状态防火墙：跟踪连接状态，构建相关状态表项，以允许其特定流量的返回。
工作在3，4，5层。
连接状态：面向连接协议（TCP：有控制字段）；非面向连接协议（UDP,ICMP：利用空闲计时器来表示其状态。
）空闲计时器：流量必须在一定时间返回，否则删除其状态表项。
优点：解决了单向返回流量（解决方法：开放大于1023的断口；用established）;解决了IP欺骗。
缺点：不能阻止应用层的攻击；不支持用户的连接认证；对设备开销大。
存在的问题：附加连接；内嵌IP地址。
应用审查：FTP：包括主动模式（标准模式）和被动模式。
控制连接是21号端口，数据连接是20号断口。
是通过动态的打开协商好的端口。
DNS：普通状态防火墙不能转换内嵌的IP地址。
3.应用网关防火墙（AGF）：一般使用软件来完成，首先截取用户初始化连接请求并发送给用户一个认证信息的请求，认证通过后允许流量通过，存储合法用户信息。
工作在3，4，5，7层。
分为：连接网关防火墙（CGF）和直通代理防火墙（CTP－cut-through proxy）。
CGF：认证通过后，对每个用户数据包执行应用层检测，非常安全但处理慢。
CTP：认证通过后，对连接控制不感兴趣，只作3，4，层过滤处理，速度快，但是安全性降低。
优点：可以支持连接认证，能检测应用层数据。
缺点：用软件来处理，消耗系统资源；仅支持很少应用（http,telnet,https,ftp）；可能需要额外的客户端软件。
4.硬件架构实现技术：Intel X86架构（基于软件）；ASIC硬件加速技术(灵活性差，速度快)；NP加速技术（软件）。
防火墙的功能、缺点和分类一、防火墙能够作到些什么,1.包过滤具备包过滤的就是防火墙,对，没错～根据对防火墙的定义，凡是能有效阻止网络非法连接的方式，都算防火墙。
早期的防火墙一般就是利用设置的条件，监测通过的包的特征来决定放行或者阻止的，包过滤是很重要的一种特性。
虽然防火墙技术发展到现在有了很多新的理念提出，但是包过滤依然是非常重要的一环，如同四层交换机首要的仍是要具备包的快速转发这样一个交换机的基本功能一样。
通过包过滤，防火墙可以实现阻挡攻击，禁止外部/内部访问某些站点，限制每个ip的流量和连接数。
2.包的透明转发事实上，由于防火墙一般架设在提供某些服务的服务器前。
如果用示意图来表示就是 Server—FireWall—Guest 。
用户对服务器的访问的请求与服务器反馈给用户的信息，都需要经过防火墙的转发,因此，很多防火墙具备网关的能力。
3.阻挡外部攻击如果用户发送的信息是防火墙设置所不允许的，防火墙会立即将其阻断，避免其进入防火墙之后的服务器中。
4.记录攻击如果有必要，其实防火墙是完全可以将攻击行为都记录下来的，但是由于出于效率上的考虑，目前一般记录攻击的事情都交给IDS来完成了，我们在后面会提到。
以上是所有防火墙都具备的基本特性，虽然很简单，但防火墙技术就是在此基础上逐步发展起来的。
二、防火墙有哪些缺点和不足,1.防火墙可以阻断攻击，但不能消灭攻击源。
“各扫自家门前雪，不管他人瓦上霜”，就是目前网络安全的现状。
互联网上病毒、木马、恶意试探等等造成的攻击行为络绎不绝。
设置得当的防火墙能够阻挡他们，但是无法清除攻击源。
即使防火墙进行了良好的设置，使得攻击无法穿透防火墙，但各种攻击仍然会源源不断地向防火墙发出尝试。
例如接主干网10M网络带宽的某站点，其日常流量中平均有512K左右是攻击行为。
那么，即使成功设置了防火墙后，这512K的攻击流量依然不会有丝毫减少。
2.防火墙不能抵抗最新的未设置策略的攻击漏洞就如杀毒软件与病毒一样，总是先出现病毒，杀毒软件经过分析出特征码后加入到病毒库内才能查杀。
一、防火墙能够作到些什么？
1.包过滤
具备包过滤的就是防火墙？对，没错！根据对防火墙的定义，凡是能有效阻止网络非法连接的方式，都算防火墙。
早期的防火墙一般就是利用设置的条件，监测通过的包的特征来决定放行或者阻止的，包过滤是很重要的一种特性。
虽然防火墙技术发展到现在有了很多新的理念提出，但是包过滤依然是非常重要的一环，如同四层交换机首要的仍是要具备包的快速转发这样一个交换机的基本功能一样。
通过包过滤，防火墙可以实现阻挡攻击，禁止外部/内部访问某些站点，限制每个ip的流量和连接数。
2.包的透明转发
事实上，由于防火墙一般架设在提供某些服务的服务器前。
如果用示意图来表示就是Server—FireWall—Guest 。
用户对服务器的访问的请求与服务器反馈给用户的信息，都需要经过防火墙的转发,因此，很多防火墙具备网关的能力。
3.阻挡外部攻击
如果用户发送的信息是防火墙设置所不允许的，防火墙会立即将其阻断，避免其进入防火墙之后的服务器中。
4.记录攻击
如果有必要，其实防火墙是完全可以将攻击行为都记录下来的，但是由于出于效率上的考虑，目前一般记录攻击的事情都交给IDS来完成了，我们在后面会提到。
以上是所有防火墙都具备的基本特性，虽然很简单，但防火墙技术就是在此基础上逐步发展起来的。
二、防火墙有哪些缺点和不足？
1.防火墙可以阻断攻击，但不能消灭攻击源。
“各扫自家门前雪，不管他人瓦上霜”，就是目前网络安全的现状。
互联网上病毒、木马、恶意试探等等造成的攻击行为络绎不绝。
设置得当的防火墙能够阻挡他们，但是无法清除攻击源。
即使防火墙进行了良好的设置，使得攻击无法穿透防火墙，但各种攻击仍然会源源不断地向防火墙发出尝试。
例如接主干网10M网络带宽的某站点，其日常流量中平均有512K左右是攻击行为。
那么，即使成功设置了防火墙后，这512K的攻击流量依然不会有丝毫减少。
2.防火墙不能抵抗最新的未设置策略的攻击漏洞
就如杀毒软件与病毒一样，总是先出现病毒，杀毒软件经过分析出特征码后加入到病毒库内才能查杀。
防火墙的各种策略，也是在该攻击方式经过专家分析后给出其特征进而设置的。
如果世界上新发现某个主机漏洞的cracker的把第一个攻击对象选中了您的网络，那么防火墙也没有办法帮到您的。
3.防火墙的并发连接数限制容易导致拥塞或者溢出
由于要判断、处理流经防火墙的每一个包，因此防火墙在某些流量大、并发请求多的情况下，很容易导致拥塞，成为整个网络的瓶颈影响性能。
而当防火墙溢出的时候，整个防线就如同虚设，原本被禁止的连接也能从容通过了。
4.防火墙对服务器合法开放的端口的攻击大多无法阻止
某些情况下，攻击者利用服务器提供的服务进行缺陷攻击。
例如利用开放了3389端口取得没打过sp补丁的win2k的超级权限、利用asp程序进行脚本攻击等。
由于其行为在防火墙一级看来是“合理”和“合法”的，因此就被简单地放行了。
5.防火墙对待内部主动发起连接的攻击一般无法阻止
“外紧内松”是一般局域网络的特点。
或许一道严密防守的防火墙内部的网络是一片混乱也有可能。
通过社会工程学发送带木马的邮件、带木马的URL等方式，然后由中木马的机器主动对攻击者连接，将铁壁一样的防火墙瞬间破坏掉。
另外，防火墙内部各主机间的攻击行为，防火墙也只有如旁观者一样冷视而爱莫能助。
6．防火墙本身也会出现问题和受到攻击
防火墙也是一个os，也有着其硬件系统和软件，因此依然有着漏洞和bug。
所以其本身也可能受到攻击和出现软/硬件方面的故障。
7．防火墙不处理病毒
不管是funlove病毒也好，还是CIH也好。
在内部网络用户下载外网的带毒文件的时候，防火墙是不为所动的（这里的防火墙不是指单机/企业级的杀毒软件中的实时监控功能，虽然它们不少都叫“病毒防火墙”）。
看到这里，或许您原本心目中的防火墙已经被我拉下了神台。
是的，防火墙是网络安全的重要一环，但不代表设置了防火墙就能一定保证网络的安全。
“真正的安全是一种意识，而非技术!”请牢记这句话。
不管怎么样，防火墙仍然有其积极的一面。
在构建任何一个网络的防御工事时，除了物理上的隔离和目前新近提出的网闸概念外，首要的选择绝对是防火墙。
那么，怎么选择需要的防火墙呢？
防火墙的分类
首先大概说一下防火墙的分类。
就防火墙（本文的防火墙都指商业用途的网络版防火墙，非个人使用的那种）的组成结构而言，可分为以下三种：
第一种：软件防火墙
软件防火墙运行于特定的计算机上，它需要客户预先安装好的计算机操作系统的支持，一般来说这台计算机就是整个网络的网关。
软件防火墙就象其它的软件产品一样需要先在计算机上安装并做好配置才可以使用。
防火墙厂商中做网络版软件防火墙最出名的莫过于Checkpoint。
使用这类防火墙，需要网管对所工作的操作系统平台比较熟悉。
第二种：硬件防火墙
这里说的硬件防火墙是指所谓的硬件防火墙。
之所以加上"所谓"二字是针对芯片级防火墙说的了。
它们最大的差别在于是否基于专用的硬件平台。
目前市场上大多数防火墙都是这种所谓的硬件防火墙，他们都基于PC架构，就是说，它们和普通的家庭用的PC没有太大区别。
在这些PC 架构计算机上运行一些经过裁剪和简化的操作系统，最常用的有老版本的Unix、Linux和FreeBSD 系统。
值得注意的是，由于此类防火墙采用的依然是别人的内核，因此依然会受到os本身的安全性影响。
国内的许多防火墙产品就属于此类，因为采用的是经过裁减内核和定制组件的平台，因此国内防火墙的某些销售人员常常吹嘘其产品是“专用的os”等等，其实是一个概念误导，下面我们提到的第三种防火墙才是真正的os专用。
第三种：芯片级防火墙
它们基于专门的硬件平台，没有操作系统。
专有的ASIC芯片促使它们比其他种类的防火墙速度更快，处理能力更强，性能更高。
做这类防火墙最出名的厂商莫过于NetScreen.其他的品牌还有FortiNet,算是后起之秀了。
这类防火墙由于是专用OS,因此防火墙本身的漏洞比较少，不过价格相对比较高昂，所以一般只有在“确实需要”的情况下才考虑。
在这里，特别纠正几个不正确的观念：
1.在性能上，芯片级防火墙>硬件防火墙>软件防火墙。
在价格上看来，的确倒是如此的关系。
但是性能上却未必。
防火墙的“好”，是看其支持的并发数、最大流量等等性能，而不是用软件硬件来区分的。
事实上除了芯片级防火墙外，软件防火墙与硬件防火墙在硬件上基本是完全一样的。
目前国内的防火墙厂商由于大多采用硬件防火墙而不是软件防火墙，原因1是考虑到用户网络管理员的素质等原因，还有就是基于我国大多数民众对“看得见的硬件值钱，看不到的软件不值钱”这样一种错误观点的迎合。
不少硬件防火墙厂商大肆诋毁软件防火墙性能，不外是为了让自己那加上了外壳的普通pc＋一个被修改后的内核＋一套防火墙软件能够卖出一个好价钱来而已。
而为什么不作芯片级防火墙呢？坦白说，国内没有公司有技术实力。
而且在中国市场上来看，某些国内的所谓硬件防火墙的硬件质量连diy的兼容机都比不上。
看看国内XX的硬件防火墙那拙劣的硬盘和网卡，使用过的人都能猜到是哪家，我就不点名了。
真正看防火墙，应该看其稳定性和性能，而不是用软、硬来区分的。
至少，如果笔者自己选购，我会选择购买CheckPoint而非某些所谓的硬件防火墙的。
2.在效果上，芯片防火墙比其他两种防火墙好
这同样也是一种有失公允的观点。
事实上芯片防火墙由于硬件的独立，的确在OS本身出漏洞的机会上比较少，但是由于其固化，导致在面对新兴的一些攻击方式时，无法及时应对；而另外两种防火墙，则可以简单地通过升级os的内核来获取系统新特性，通过灵活地策略设置来满足不断变化的要求，不过其OS出现漏洞的概率相对高一些。
3.唯技术指标论
请以“防火墙买来是使用的”为第一前提进行购买。
防火墙本身的质量如何是一回事，是否习惯使用又是另一回事。
如果对一款产品的界面不熟悉，策略设置方式不理解，那么即使用世界最顶级的防火墙也没有多大作用。
就如小说中武林中人无不向往的“倚天剑”、“屠龙刀”被我拿到，肯定也敌不过乔峰赤手的少林长拳是一般道理。
防火墙技术发展至今，市场已经很成熟了，各类产品的存在，自然有其生存于市场的理由。
如何把产品用好，远比盲目地比较各类产品好。
