导师：虽然路由器可以使用访问控制列表为我们的网络提供一些保护过滤,
但它实际上是一种专用设备, 称为防火墙,
擅长使用访问控制列表｡
现在, 访问控制列表对于我们能够保护我们的网络免受不必要的流量的影响非常重要｡
在我们的Linux中使用的permit和deny语句的很大一部分都是基于端口号的,
因为这些端口号与我们希望允许或阻止的应用程序或服务直接相关｡
访问控制列表（Access Control List,
缩写为ACL）是放置在防火墙､ 路由器和其他网络基础设施设备上的规则集,
这些设备允许通过特定接口的通信｡
这些规则集将控制进出我们网络的流量｡
现在, 要在我们的防火墙上配置访问控制列表,
我们将使用基于Web的界面或基于文本的命令行界面｡
在配置这些路由器时,
请务必记住, 它们的列出顺序指定了对特定流量采取的操作顺序｡
操作总是在访问控制列表中自上而下执行｡
将流量与第一条规则进行比较,
如果它与要应用的操作的条件相匹配,
则将执行该操作, 并且不会检查任何其他操作｡
出于这个原因,
我们最具体的规则应该总是放在列表的顶部,
更通用的规则位于底部｡
现在, 路由器可以使用这些访问控制列表和过滤规则提供基本的安全性｡
但实际上, 我们的网络防火墙最常用于网络安全和批量阻止和允许｡
防火墙可以是基于硬件的设备,
也可以是安装在客户端或服务器上的专用软件,
以执行此功能｡
防火墙的主要作用是检查和控制试图进入或离开网络边界的流量｡
有许多不同类型的防火墙,
包括包过滤防火墙､ 状态防火墙､ 代理防火墙､
动态包过滤防火墙和内核代理防火墙｡
每种类型的防火墙都将集中于对流量进行或多或少的彻底检查｡
与网络安全中的所有事情一样,
将根据我们进行的检查的深度来权衡性能｡
如果防火墙进行更深入的检查, 那么设备可以实现同样高的吞吐量,
因为它将花费更多的时间来检查每一个ACL规则,
并检查每一个数据包｡
这可能会对我们的网络效率产生负面影响,
并增加网络延迟｡
现在, 由于防火墙是我们网络不可或缺的安全设备,
因此它们不断发展, 为我们提供更好的功能和更高的安全性｡
值得注意的是, 许多组织一直在向统一威胁管理防火墙（UTM）迁移｡
统一威胁管理设备提供了在单个设备或网络设备中执行多种安全功能的能力｡
这些设备包括多个专用设备的功能,
例如网络防火墙､ 网络入侵防御系统､
网关防病毒和反垃圾邮件､ 虚拟专用网络集中､
内容过滤､ 负载平衡和数据丢失防护,
所有这些都在单个网络设备中｡
这些统一威胁管理设备也有很多好处,
例如减少技术人员需要学习､ 操作和维护的设备数量｡
这可以帮助降低提供这些保护的总体成本,
但仍然会有一些缺点｡
UTM设备的最大问题是它们是单点故障｡
例如, 如果设备发生故障,
我们不仅会失去防火墙｡
我们现在正在失去我们的防火墙, 我们的防病毒,
我们的入侵防御系统, 以及类似的东西｡
我们所有的安全堆栈都可以包含在这一个设备中,
这意味着, 如果我们失去它, 我们就失去了整个安全堆栈｡
因此, 在决定在我们的架构中实施统一威胁管理之前,
我们的组织需要考虑统一威胁管理的优点和缺点｡
使用UTM的一些优点包括较低的前期成本､
维护和功耗｡
因为所有这些功能都驻留在单个机架式设备中｡
它们也将更容易安装和配置,
而不是为每个功能做多个设备｡
它们可以完全融合,
这也有很多好处｡
最大的缺点是它们是单点故障,
并且它们通常缺乏更专业的工具提供的细节, 并且它们的性能通常不如单功能设备那么有效｡
虽然UTM设备在大多数情况下都能很好地工作,
但它们在安全检查中尝试执行的每个功能都使用了单独的引擎｡
然而, 当你使用下一代防火墙时,
你将使用一个更有效的引擎｡
因此, 如果网络速度和效率是您组织的主要关注点,
您应该考虑在统一威胁管理设备上使用下一代防火墙｡
现在, 如果您的组织决定使用统一威胁管理设备,
您将把它放在LAN和Internet连接之间,
就像内联配置中的防火墙一样｡
正如您所看到的, 在设计网络架构时,
有很多不同的防火墙选择｡