网络安全，选什么方案？

上周末开会，因为我们的新版应用要正式部署到生产环境了。运维部门的同事发现了大问题：所有的应用都要求必须暴露公网IP和端口，而这个IP是由应用自己通过gethostbyname获得并对外公布的，不可以配置。这下糟糕了，生产环境一直都是把所有的应用放到防火墙后面，外界的访问通过端口映射完成。如果按当前的应用模式，必须暴露一大堆公网IP。运维部门赶紧发起会议，讨论一下怎么办。

当时就有技术主管回邮件说，机器直接暴露在公网也没什么关系，做好端口扫描和漏洞扫描就OK了。实在不行，在操作系统的防火墙软件里配置规则。并举例说，公司的某个项目就是这么做的，聘请第三方公司做安全扫描，客户没意见。运维当然满腹狐疑：比如DDOS怎么破？

说老实话，我对网络安全并不在行。但我就只想在会上讲一句话：硬件防火墙不是软件防火墙可以替代的。

到底哪些功能不能替代，我不清楚，应该有人清楚。但我们的产品从未真正上线运营过，安全上还没吃过亏，谨慎一些总是有必要的。

讨论结果：暂时先这样，上线之后发起应用的修改和测试，最终还是要部署到防火墙后面。