让电脑既快速又安全的防火墙设置方法

方法一：确保流向外部的数据符合策略     清除不好的数据，清理网络。不好的数据包括与策略不符的，未授权的或不受欢迎的数据。如果发生服务器直接用对外否认的DNS，NTP，SMTP, HTTP和HTTP Secure请求等攻击防火墙时，要通知服务器管理员。然后，管理员应重新配置服务器，支起不会发送不受欢迎的对外数据。     方法二：在路由而不是防火墙上过滤不想要的数据     将过滤不受欢迎数据的规则更改到边缘路由上，以平衡安全策略的性能和效用。首先，要将那些通往路由的顶端注入请求当作标准ACL过滤器。这样或许有些耗费时间，但却不失为阻止数据涌入路由的良方，因为这样有利于节约防火墙所占用的CPU和内存。     而后，如果你的网络与防火墙之间具备内部障碍路由，可考虑将普通对外流量转移到该障碍路由上。这样可以释放更多防火墙进程。     方法三：删除不需要使用的规则和对象     删除规则库中不需要使用的规则和对象。虽然清除一个难以控制的规则库听上去有些令人望而生畏，但是还是有许多自动化工具可助你一臂之力。这些自动化工具可以减少防火墙策略管理的困难。     方法四：减少规则库的复杂度     减少规则库的复杂度，而且规则尽可能不要重复。再一次强调，有很多工具可极大减少我们清理和简化规则库的时间和障碍。     方法五：控制传送流量     如果防火墙界面直接连接到LAN部分，那么你应该创建一条规则来控制无记录的传送流量(bootp, TCP/IP 协议之上运行的NetBIOS等。 )     方法六：将使用较频繁的规则列于规则库靠前位置     将使用较频繁的规则列于规则库靠前位置。注意有些防火墙(如，思科Pix）不依赖于规则顺序执行，因为他们使用优化法则来匹配数据包。     方法七：避免DNS对象     避免那些需要DNS查找的对象。     方法八：防火墙界面的设置应与交换机和路由设置相匹配     你的防火墙界面应该与你的路由和交换机界面相匹配。如果你的录音或交换机是双向100Mbps，那么防火墙也应该是半双工100Mbps。界面设置或许匹配起来有些困难，但应尽可能实现全双工通信制100Mbps。     你的路由与防火墙或者交换机与防火墙应该以同样的模式和速度运作。如果你的交换机和防火墙都是千兆以太网，那么他们都应被设置成自动调节速度与双工。如果你的千兆接口不能与防火墙和交换机，可以尝试更换电缆或插线板端口。无法以 1000Mbps全双工连接的千兆接口往往是出现其他问题的症状。     方法九：将防火墙与VPN隔离     将防火墙与VPN隔离以便卸载VPN数据和进程。     方法十：从防火墙卸载性能     从防火墙卸载的统一威胁管理性能包括：反病毒，反垃圾邮件，入侵防御系统以及URL扫描。     方法十一：软件升级到最新版本     将软件升级到最新版本。经验告诉我们，新的软件不仅包含更多对性能的改进，而且还添加了很多新功能——而新的功能并没有安全保障，因而要及时更新防火墙版本。