浅析Windows防火墙的缺陷(1)

中华网科技 http://tech.china.com 2005-06-28 09:52:07

【进入BBS】【进入聊天室】【 推荐给朋友 】【浏览字号：大 中 小】【关闭窗口】

　　有这样一个问题：“我不知道该为Windows服务器选择什么防火墙”。事实上，人们经常就这个问题向我咨询，然而我自己也没能找到最好的答案。很多次，即便服务器处于硬件防火墙保护之内时，我仍然喜欢在服务器自身上安装额外的软件防护。因为有时候，我的服务器可能位于比较偏远的地方，没有硬件级防火墙来保护它们，这时我就得完全依赖于在服务器上安装软件来保证它们的安全。

　　听起来，这似乎比较简单。然而事实上，我一直在用足够的耐心等待着有一天能够找到完美的Windows防火墙，这样我就可以不用跟那些向我咨询的人解释为什么很多时候理想的选择是部署了Iptables的Linux系统。但是我想我的等待是徒劳的，很多时候我都以为我终于找到了最好的Windows防火墙解决方案，然而那只是我又一次失望的开始。

　　TCP/IP过滤器的速度的确非常快，但它的优点也仅局限于此，因为当你使用TCP/IP过滤器时，你肯定还需要添加其他层的保护。

　　IPSec是不错的，当你挑选出适用的规则、过滤条款后，你可以通过图形界面或者命令行界面来设置，但是无论是图形界面还是命令行界面都容易把人搞糊涂。最后，你终于配置完成，并成功让它运行起来——这时，你将会发现网络变慢了，因为IPSec过滤“包”的时候，它本身就能让网络变慢10%~15%。在这里顺便再说说其他令我憎恨IPSec的事情：它是以Windows事件的方式来记录日志的——当你想要观看你的防火墙日志的时候，你需要点击那些事件日志，然后找出你想要的东西——这已经足够让我放弃使用它了。

　　Internet Connection Firewall(ICF)在Windows Server 2003中稍微好一点，它有不错的性能，并且在规则方面有一定弹性。当Windows Server 2003 SP1来到以后，新的Windows防火墙将变得更好。Windows防火墙是个大的进步，而且它具备群组策略。不幸的是Windows防火墙不允许你针对发出端设置任何规则，此外，它还需要开启远程管理和通讯服务——这些都是我平时不需要的。

　　可能有人会问RAS怎么样呢？你可能注意到，它具备包过滤功能，并且事实上它还为其他工具提供了不错的API接口以便对过滤器进行配置。但是，这些过滤器无法控制底层协议，比如ICMP，所以实际上它没多大用处。

　　还有许多个人版防火墙可以非常好的运行于桌面系统，但是它们都无法达到服务器用户的需要。虽然在它们当中，某些产品明显超出同类产品的水平，但是所有个人版防火墙的共同的问题是：简单的记录工具、缓慢的执行效率，而最糟糕的是，大多数个人版防火墙在数据流通量非常大的时候都有可能造成系统蓝屏。

　　个人版防火墙的这些问题源自它们与Windows的结合性上。它们通过多种途径来截取信息包，而这也造成了它们的一些缺陷。某些个人版防火墙产品涉及到拦截系统内核信息，或改写硬件驱动的问题。由于这种工作方式，你最好祈祷它们的产品是稳定的，否则将经常看到蓝屏现象，你瞧，当流通量比较大的时候我们的确经常看到系统蓝屏。

首页 上页 | 1 | 2 | 下页 尾页  共 2 页