硬件防火墙怎么做？

什么是硬件防火墙？怎么配置~

硬件防火墙是指把防火墙程序做到芯片里面，由硬件执行这些功能，能减少CPU的负担，使路由更稳定。

硬件防火墙是保障内部网络安全的一道重要屏障。它的安全和稳定，直接关系到整个内部网络的安全。因此，日常例行的检查对于保证硬件防火墙的安全是非常重要的。

系统中存在的很多隐患和故障在暴发前都会出现这样或那样的苗头，例行检查的任务就是要发现这些安全隐患，并尽可能将问题定位，方便问题的解决。

一般来说，硬件防火墙的例行检查主要针对以下内容：

1.硬件防火墙的配置文件

不管你在安装硬件防火墙的时候考虑得有多么的全面和严密，一旦硬件防火墙投入到实际使用环境中，情况却随时都在发生改变。硬件防火墙的规则总会不断地变化和调整着，配置参数也会时常有所改变。作为网络安全管理人员，最好能够编写一套修改防火墙配置和规则的安全策略，并严格实施。所涉及的硬件防火墙配置，最好能详细到类似哪些流量被允许，哪些服务要用到代理这样的细节。

在安全策略中，要写明修改硬件防火墙配置的步骤，如哪些授权需要修改、谁能进行这样的修改、什么时候才能进行修改、如何记录这些修改等。安全策略还应该写明责任的划分，如某人具体做修改，另一人负责记录，第三个人来检查和测试修改后的设置是否正确。详尽的安全策略应该保证硬件防火墙配置的修改工作程序化，并能尽量避免因修改配置所造成的错误和安全漏洞。

2.硬件防火墙的磁盘使用情况

如果在硬件防火墙上保留日志记录，那么检查硬件防火墙的磁盘使用情况是一件很重要的事情。如果不保留日志记录，那么检查硬件防火墙的磁盘使用情况就变得更加重要了。保留日志记录的情况下，磁盘占用量的异常增长很可能表明日志清除过程存在问题，这种情况相对来说还好处理一些。在不保留日志的情况下，如果磁盘占用量异常增长，则说明硬件防火墙有可能是被人安装了Rootkit工具，已经被人攻破。

因此，网络安全管理人员首先需要了解在正常情况下，防火墙的磁盘占用情况，并以此为依据，设定一个检查基线。硬件防火墙的磁盘占用量一旦超过这个基线，就意味着系统遇到了安全或其他方面的问题，需要进一步的检查。

3.硬件防火墙的CPU负载

和磁盘使用情况类似，CPU负载也是判断硬件防火墙系统运行是否正常的一个重要指标。作为安全管理人员，必须了解硬件防火墙系统CPU负载的正常值是多少，过低的负载值不一定表示一切正常，但出现过高的负载值则说明防火墙系统肯定出现问题了。过高的CPU负载很可能是硬件防火墙遭到DoS攻击或外部网络连接断开等问题造成的。

4.硬件防火墙系统的精灵程序

每台防火墙在正常运行的情况下，都有一组精灵程序（Daemon），比如名字服务程序、系统日志程序、网络分发程序或认证程序等。在例行检查中必须检查这些程序是不是都在运行，如果发现某些精灵程序没有运行，则需要进一步检查是什么原因导致这些精灵程序不运行，还有哪些精灵程序还在运行中。

5.系统文件

关键的系统文件的改变不外乎三种情况：管理人员有目的、有计划地进行的修改，比如计划中的系统升级所造成的修改；管理人员偶尔对系统文件进行的修改；攻击者对文件的修改。

经常性地检查系统文件，并查对系统文件修改记录，可及时发现防火墙所遭到的攻击。此外，还应该强调一下，最好在硬件防火墙配置策略的修改中，包含对系统文件修改的记录。

6.异常日志

硬件防火墙日志记录了所有允许或拒绝的通信的信息，是主要的硬件防火墙运行状况的信息来源。由于该日志的数据量庞大，所以，检查异常日志通常应该是一个自动进行的过程。当然，什么样的事件是异常事件，得由管理员来确定，只有管理员定义了异常事件并进行记录，硬件防火墙才会保留相应的日志备查。

上述6个方面的例行检查也许并不能立刻检查到硬件防火墙可能遇到的所有问题和隐患，但持之以恒地检查对硬件防火墙稳定可靠地运行是非常重要的。如果有必要，管理员还可以用数据包扫描程序来确认硬件防火墙配置的正确与否，甚至可以更进一步地采用漏洞扫描程序来进行模拟攻击，以考核硬件防火墙的能力。

那是超级高手才能做的．必须很熟DOS的系统．和一些低级语言，没有一定的基础是玩不来的．个人建议你还是买带防火墙的路由器比较好．

第一步：准备防火墙硬件平台 按照DIY防火墙网站上的要求，我准备了如下硬件： 1、 电脑一台，我选择的是压箱底的原来在淘宝淘到的IBM ThinkCentre S50准系统一台。这是我原来花760元淘到的。准系统自带了一片Intel的千兆网卡，正好用来接外网。 2、 CPU一片，我使用的是用来搭配IBM ThinkCentre S50的P4 2.4G的CPU.400元。 3、 内存一条。我使用的是威刚1G的内存条。 4、 128M DOM电子盘一个。我使用的是PQI的电子盘，没有电子盘使用硬盘也行，容量>128M就可以了。注意：电子盘或硬盘要安装到连接到主板的IDE1的MASTER位置，请参照你使用主板的说明文档。 5、 网卡一片。用来接内网，因S50上已经带了一个千兆网卡用来接外网，因手头上没有更好的网卡，就随便用了一片8139的网卡用来接内网。 6、 刻录光盘一片。用来刻录网站上下载的内核安装文件。 7、 刻录光驱一个。 安装好后的防火墙硬件平台：两个网口分别用来一个接内网（左上那个8139），一个接外网（下面那个S50自带的Intel千兆网卡）。 这样，防火墙硬件平台就完全安搭建好了。 第二步：准备内核安装光盘 防火墙硬件平台准备好后，我们就要着手准备防火墙安装光盘了。到ChinaDDOS网站上（ http://www.chinaddos.com ）下载最新版本的内核镜像文件，刻录成光盘即可。具体步骤如下： 1、 打开ChinaDDOS DIY硬防的内核下载页面： www.chinaddos.com/news/download.html ，下载一个适合的版本，这里我下载的是V3.1BETA01的最新版本。 PS：本人一直比较喜欢最新的东西。 2、 将下载的RAR文件解压缩，得到ISO光盘镜像文件。 3、 将镜像文件刻录至光盘。 第三步：安装防火墙内核 将内核安装光盘准备好后，确认硬盘或电子盘连接到了IDE1的MASTER位置后，在防火墙平台上连接好光驱，接通防火墙平台电源，把上一步准备好的内核安装光盘放入光驱。启动防火墙平台。 1、 屏幕显示如下图，等待内核安装光盘引导一会后（屏幕上快速闪过整屏的英文），将停留在下图的位置： 2、 按回车键继续安装， 屏幕显示如左图，出现三个选择项目： ① 安装防火墙内核， ② 开始一个命令行， ③ 重新启动系统。 3、 这里我们选择1并回车。回车后出现如右图。选择一个内核安装源文件的位置。上面列表中红色字部分标记出了我的光驱安装位置hdc，于是我键入hdc后回车。 4、 屏幕出现绿色done字样，表示安装光盘识别成功。又提示安装的目标驱动器。上面列表中紫色字部分标记出了系统自动识别的目标安装位置had，这里如果系统没有自动识别到硬盘或电子盘，请检查电子盘或硬盘是不是正确安装到了IDE1的MASTER位置。我键入had后回车。 5、 键入had后，屏幕提示"正在将防火墙内核从hdc安装到had……"，这里需要等待2分钟左右。安装工作正在进行。 6、 直到屏幕上出现"Install completed！"字样，表示安装已结束。这时按回车键返回。 7、 重新回到选择菜单后，选择3重新启动防火墙平台，记得将光盘从光驱中取出。这样，防火墙的安装就完成了。 第四步：启动并配置防火墙 在防火墙安装完成之后，便可以启动防火墙并进行防火墙配置工作了。仔细阅读了在ChinaDDOS网站中下载的"操作手册"，我按如下步骤进行了防火墙配置： 1、 启动防火墙。ChinaDDOS防火墙是应该是使用更专门改过的Linux系统作为防火墙操作系统的。启动防火墙时需等待一小会，直到听到喇叭发出清脆的音乐，表示防火墙已启动完毕。防火墙启动完毕后，防火墙显示器上显示"OK Ｌｏｇｉｎ"字样，由于网站和手册中均未提供控制台登陆的密码，因此我们只能通过Ｗｅｂ界面对防火墙进行管理了。至此，用于防火墙安装的光驱和显示器不再需要了。 2、 将防火墙连接至网络，在任意一台连通内网的电脑浏览器中输入防火墙的初始ＩＰ和管理端口：http://192.168.1.27：81 ，输入初始用户名admin 和密码123456 即可打开防火墙的管理界面： 3、 启动防火墙内核模块。单击 "安全分析中心"，在出现的菜单中选择"运行信息".出现如图界面： 在界面中点击"启动防火墙模块"，内核模块运行状态将变为"启用"，信息窗口中将出现不断刷新的防火墙内核运行信息。如果点击"启用防火墙模块"，内核模块运行状态一直不变为"启用"，可能是你的内存没有1G导致的，笔者在初次试用时被这个问题困扰了很久。 4、 单击 "网络参数配置"，查看防火墙注册状态。在配置界面的左下角，查看防火墙的注册状态，我现在的注册状态是"未注册用户".未注册用户无法启动防火墙的防御功能。 5、 注册防火墙。将上面的认证字复制下来，打开ChinaDDOS的用户防火墙管理平台： http://www.chinaddos.com/members .没有用户的需要先注册一个用户，这里我就不说明注册步骤了，相信大家都会，只是如果希望防火墙的攻击告警功能起作用，需要填写正确的手机号码。 6、 注册并登陆之后，点击 "注册防火墙管理"，在弹出的防火墙管理界面中添加一个新的防火墙。在如图界面中点击"新增防火墙"。 7、 在"新增防火墙"窗口中，任意取一个名字，IP地址也可以任意填写，但认证字填写第5步中复制下来的认证字，完成后确定即可。注册类型不可更改，保存后便是注册用户了，不知道有什么其他作用没有。 8、 完成后，重启防火墙并加载内核模块，即可看到防火墙的注册类型为"已注册防火墙".不过似乎这个验证只有在公网上才能成功进行，在内网无法验证成功，所以一定要放在网关的前面。 第五步：总结 整个安装过程稍嫌复杂，尤其是内核安装部分的人机界面不友好，容易出错。不动英文的朋友上手可能比较困难。 经过了"繁琐"的安装过程后，这才算真正见到了ChinaDDOS DIY硬防平台的庐山真面目。整体看来，操作界面让人看起来很舒服，完全不是以前看到的网络设备的管理界面的样子，整个管理平台应该是使用Flash制作的，操作起来很流畅。尤其是"安全分析中心"中各种数据表和实时图表，应该是每秒刷新的，而且可以按照需要任意拖动和排列，如图： 整个管理平台分为"网络参数配置"、"安全配置中心"、"安全告警中心"、"安全分析中心"、"系统管理"几个大项，管理功能非常全面。 浏览过所有的管理功能后，感觉没有辜负之前繁琐的安装过程所耗费的精力。 系统配置完成后，就要进行详细的防御功能配置了，ChinaDDOS防火墙提供的防御功能太多，篇幅原因无法向各位一一说明，有兴趣请参考网站上提供的使用说明。附：防火墙内核下载地址： www.chinaddos.com/download 官方介绍： www.chinaddos.com/product ChinaDDOS防火墙操作手册下载： www.chinaddos.com/download

硬件防火墙是可以用pc做,但是需要你对操作系统相当了解

---

虎亭区19536801684： 硬件防火墙 - 搜狗百科？
唱毛贝儿： 一般来说,硬件防火墙的例行检查主要针对以下内容: 1.硬件防火墙的配置文件 不管你在安装硬件防火墙的时候考虑得有多么的全面和严密,一旦硬件防火墙投入到实际使用环境中,情况却随时都在发生改变.硬件防火墙的规则总会不断地变...

虎亭区19536801684： 怎么硬件防火墙安装?怎样连接?怎样配置? ？
唱毛贝儿： 硬件防火墙,一般指的是带交换机,和路由器功能的这两种,按照安装交换机和路由器的接法就可以了,没有其他的特别的,驱动有厂商的驱动盘,直接安装就可以的.

虎亭区19536801684： 怎样做硬件防火墙的连接和设置？
唱毛贝儿：硬件防火墙一般都有WEB界面 直接在浏览器里输入防火墙的管理地址就可以了

虎亭区19536801684： 怎么自己做硬件防火墙 - ？
唱毛贝儿： 你好 “1000Gwall硬件防火墙内核 O.40^u~ jJ{ w -$ 官方网站:www.1000gwall.com V44sNi rQQPs\o 众所周知,目前国内的防火墙厂商,对于各自的硬件防火墙内核都珍藏不露,网上很难找到 tZ{q\+h 像样的硬件防火墙内核. 1X:whS5S 1000...

虎亭区19536801684： 硬件防火墙怎么做?？
唱毛贝儿： 可以找电脑一台,双网卡,一接外网 一接内网 再加装ISA!可以实现防火墙功能!

虎亭区19536801684： 什么是硬件防火墙??如何使用旧机器构建一个硬件防火墙??? - ？
唱毛贝儿： 对于咱们个人或者家庭用户来说 ,,,,,使用 专门的硬件防火墙 ,有点奢侈 ,,, 具体来说 ,硬件防火墙 可以实现软件防火墙的所用功能,并且不会占用系统资源 ,他一般用在你所处的局域网的边缘 ,直接连接internet 或者其他的局域网 ...

虎亭区19536801684： 堡垒主机,硬件防火墙都是什么,个人怎么搞? - ？
唱毛贝儿： 这些不是专有名词,一般只是用来吹嘘.硬件防火墙,你可以理解为硬盘保护卡等设备(就是学校用的那些,重启后起码能还原C盘),同理,还有USB密码狗,甚至更高级的强开能重写整个硬盘数据的硬件.至于堡垒主机,压根儿就没听说过

虎亭区19536801684： 如何把一台普通电脑做成一个专用的硬件防火墙? - ？
唱毛贝儿： 那是超级高手才能做的.必须很熟DOS的系统.和一些低级语言,没有一定的基础是玩不来的.个人建议你还是买带防火墙的路由器比较好.

虎亭区19536801684： 硬件防火墙的介绍 - ？
唱毛贝儿： 把软件防火墙嵌入在硬件中,一般的软件安全厂商所提供的硬件防火墙便是在硬件服务器厂商定制硬件,然后再把linux系统与自己的软件系统嵌入.(Symantec的SGS便是DELL+Symantec的软件防火墙)这样做的好处是linux相对Windows的...