网络世界最经常用到的,也是最重要的一个安全设备就是防火墙了,面对当今形形×××的防火墙,我们到底选择谁呢,CISO,华为,jump,还是干脆自己diy,防火墙的选择指标是什么呢,cpu,带宽还是OS呢,对于功能的选择我们需要***,layer7过滤,流控,还是IDS、交换路由结合呢?当然还有价格,功率,稳定性等影响。。。
其实就两种大选择一种是直接购买品牌防火墙(当然肯定会宰你几万几十万的呵呵,能拿点回扣不错),二中当然是自己diy罗,下面咱们就进入主体,观点纯属虚构,如有雷同,纯属巧合:
1,防火墙操作系统的选择
其实这个问题也牵扯到防火墙硬件的选择,很简单硬件是基础,操作系统就是驱动各种硬件,给软件开发使用搭建的一个平台,市场上有的系统有linux(debian,clearos,openwrt,dd-wrt,tomato,router,ros) bsd(freebsd,pf,m0ll0wall,netbsd,openbsd),我们到底选择谁呢,要回答这个问题首先我们要来认识下防火墙的架构:
通常来说我们只分为86架构,非86架构,86架构是早期很多开发商采用的硬件防火墙操作系统,开发难度小,功能多,但是有一个致命的缺点,就是86架构的cpu是复杂指令集,处理一个数据包需要执行几万个指令,而非86架构(我们常说的嵌入式cpu)的是精简指令的,甚至是专门为防火墙优化的,所以在处理大量小包的64位性能是86的十倍20十倍那么高,这就是为什么千兆万兆防火墙一般都是x86主cpu+mips多核心网络cpu的构架了,有人会问为什么不配置一块高性能的intel网卡来分担任务呢,其实一块高性能的网卡是对网络性能有帮助,但是网卡毕竟是一种低级的设备,功能,复杂度都没有CPU来的狠,最后还是要交给cpu来处里高级任务,这样往往网卡能顶住,cpu挂了!!所以有时候当cpu不够强悍时,还不如买一块性能低下的网卡来配合cpu,不让cpu累死!说了那么多我就是想说64为小包syn***防御,嵌入式的800MHZ的非86cpu 比3GHZ 的86cpu强不知道多少倍,个人估计起码要是10倍!
a,当你的防火墙要对付高流量,小包***ddos请选用嵌入式,arm,NP,mips构架防火墙硬件,操作系统就直接选择linux正营吧,其代表就是起源于ciso/syslink系统的opoenwrt或者dd-wrt,tomato(国人的支持多wan口叠加其实就是策略路由),为什么不选择freebsd-因为freebsd不支持硬件,为什么不选择netbsd/openbsd,因为性能低下,很多无线,新硬件,网卡不支持!而且防火墙不开放什么服务器软件,不需要太高的放******,强制访问安全等等。。。。。。这其中我建议选择openwrt吧,免费,可定制非常高,就和一台linux机器一样的配置!!dd-wrt收费!tomato也是根据openwrt来的,作者配置好了策略路由支持双,四wan!至于route,ros也是国人改的linux系统,收费,功能繁琐,网吧可以考虑下!!
b,如果你选择的硬件是x86架构的,我建议只有一个系统合适你,就是freebsd,要么自己定制防火墙,要么选择m0llowakk或者pfsense!为什么不是linux很简单,当遇到大量小包***的时候(syn)freebsd的扛压能力大大超过linux,最极端的时候可以开启网卡polling模式,可以有效地降低cpu中断负载,不至于你的cpu0 100%占用!而且,特别是pfsense选用了openbsd的pf防火墙,支持syn三次握手代理,地址池,自动黑名单等等有用的功能,而且很小巧稳定,性能只是比linux 差一点,不过完全够用!可以直接配置一台不带硬盘,只有cpu,内存,内存卡的小盒子系统,省电,稳定,完全!!而且可以通过ipfw-classic实现和iptable layer-7一样的应用层过滤,反正大家都是山寨人家clearos公司的!还有商业的panbit,流控大师也是选用freebsd的,不过可惜啊,特征码给加密了。。。。。。!!!!!
c,当你的服务器处于vps guess中时,那就没办法了,装linux就用自带的iptale装freebsd就使用自带的ipfw,ipfiter,pf吧!
2,功能选择
现在很多防火墙默认都很强大,***,web界面控制,7层过滤,ids/ips,甚至还把防火墙放到交换机中,路由器中 组成了什么7层交换机啊 ,四层交换机,7层四层路由器等等,当然他们也不是简单的利用bsd/linux装交换机软件,路由软件,或者防火墙,是进行了二次开发的,可以有效地加速交换,路由性能,但是如果我们是Diy的防火墙需要那么多功能吗?
一个原则,功能影响性能,也同样影响安全!反过来也是功能影响安全,影响性能!其实我们要根据自己的情况来开启功能:
1,关闭web控制,既然是定制,肯定都是高手了,全屏幕console操作,手写防火墙,路由规则,要哪个web干嘛!影响性能安全!
2,关闭远程登录访问入口,直接本地登录防火墙diy机器,进行控制,什么ssh,telent就算了吧保持防火墙就干三件事,就是转发过滤流控!!就用基本的系统定制内核,配置策略路由,防火墙转发过滤,或者使用layer7过滤(不过要自己定制7层过滤特征码,免费的都很过时了,使用分析包软件分析,书写正则表达式,不难学,需要耐性和观察力呵呵!
3,至于***,ids,ips还是通过过防火墙转发到独立的电脑上进行分析,处理吧,防火墙本身就是拿老硬件定制的,不是什么专业的硬件防火墙,不要运行那么多消耗资源大的程序,
4,当所有的配置都设置好了,就可以学习m0n0wall干脆吧控制台也禁用了吧,谁也别想登陆了!
3,硬件的购买
1,选择老的硬件,淘汰的电脑,最好找个U盘吧硬盘去掉,最容易出错的东东!
2,到专门的定制防火墙设备的地方,定制盒子机箱,电源的等等,主板最好选择嵌入式开发板,或者nimi型x86板子,淘宝上大把大把的呵呵
3,想支持无线,3G只要购买无线网卡,3G网卡插上就去了只要系统支持10跟天线都可以呵呵
4,diy防火墙的成本控制(购买新硬件)看你要达到那款品牌防火墙性能,如果是20万的防火墙性能,你最好准备5000左右吧,一般是1/10-1/100,要看品牌黑不黑了
好了,就说怎么多,就一句话概括,选择防火墙一看构架(影响OS)二看小包转发带宽三看价格,希望能给大家一点启示,无论你是想自己DIY防火墙,可还是购买展业防火墙。
转载于:https://blog.51cto.com/cookingbsd/1032947