2．3．4．1．支持透明连接

透明性是指对客户的透明和对网络设备的透明。无论安装防火墙还是卸载防火墙，第一不必改变网络的拓扑结构，不需要修改网络设备的参数与设置。第二在用户端亦不必作任何修改和设置就可以实现基于IP协议的各种信息的传输。

2．3．4．2．带有DMZ区的连接

DMZ原意为停火区，在防火墙的应用中是指防火墙将逻辑上同一网段分成物理上的两个网段，其中一个物理网段为正常的受保护网段，另一个物理网段为DMZ，用来连接要对外开放的主机，防火墙对DMZ区只作少量的保护或不做保护。

2．3．4．3．包过滤功能

包过滤功能防火墙最主要的功能之一，是防火墙必备的功能模块。

包过滤指的是对IP数据包的过滤。对防火墙需要转发的数据包，先获取包头信息，包括IP层所承载的上层协议的协议号，数据包的源地址、目的地址、源端口、目的端口等，然后和设定规则进行比较，根据比较的结果对数据包进行转发或者丢弃。大多数数据包过滤系统在数据本身上不作任何事，不作关于内容的决定。有了数据过滤包，可以不让任何人从外界使用Telent 登录，或者让每个人经SMTP向我们发送电子邮件，或者是某个机器经由NNTP把新闻发给我，而其他机器不能这样做。但是你不能控制这个用户能从外部远程登录而他用户不能这样做，因为“用户”不是数据过滤包系统所能辨认的。同时你也不能做到发送这些文件而不是那些文件，因为“文件”也不是数据包过滤系统所能辨认的。

防火墙包过滤功能应具有的特点：支持对进入报文、转发报文和出去的报文的分别过滤。支持非操作符；支持端口范围的控制；支持ICMP报文类型的控制。

使用包过滤模块会对网络传输速率有影响，但速率的降低不能超过25%

2．3．4．4．应用层过滤

应用层的过滤是一种细粒度的过滤，实际上是对报文数据内容的过滤。在应用层可以实现对URL的过滤以及其它网络应用层协议（如FTP）的协议命令的过滤和报文内容的过滤。通过应用层过滤，可以禁止非法站点的连接（这些站点通常是含有反动、黄色信息）达到对非法信息的过滤。

2．3．4．5．透明代理与控制功能

代理的功能是对来自局域网内的用户的会话请求进行会话规划请求转发。从安全角度讲，这样做有以下几个用处：

●完全阻断了网络的传输通道。

●可以进行访问控制。

●隐藏内部网络结构，因为最终请求是由防火墙发出的，外面的主机并不知道与哪个用户通信。

●解决IP地址紧缺的问题。使用代理服务器只需防火墙有一个公网的IP地址。

代理服务器优点在于：支持多种TCP上层协议，完全的透明性，对防火墙以外任何设备以及主机无需作任何修改。代理服务器不仅仅是为了接通网络，更重要的一点是为了保证网络的安全。代理层访问控制模块使代理服务器模块具有完整的安全手段。

2．3．4．6防止IP 地址欺骗。

黑客的一种惯用手段是修改报文，使报文的源地址成为他要攻击的主机的同网段的地址。利用这种办法欺骗目标主机并取得目标主机的信任，达到为所欲为的目的。防火墙应能智能地判断数据报文的真正来源，对假冒报文予以，使黑客无法进入内部网络，做到防止外部用户盗用内部网段空闲的IP 地址。

2．3．4．6．地址绑定功能

地址绑定即固定主机IP地址和网络适配器的MAC地址的一一对应关系。地址绑定的主要作用是防止非法用户盗用合法用户的IP地址，由于每块网卡的MAC地址都是固定的，经过地址绑定后，地址就与计算机或用户（若每台计算机的用户固定）的对应关系就固定了。也就是说，只有特定的主机才能使特定的IP地址，这就可以保证IP地址不盗用。

地址绑定加快了网络的速度，因为绑定之后，防火墙就不用定时地动态查询局域网内部主机的MAC地址，这就减少了网络资源的浪费，加快了网络的速度。

2．3．4．7．地址转换功能

防火墙通过地址转换技术，将所有从内部发出的通过防火墙报文的源地址修改成为防火墙本身的IP地址，使得外部网络无法了解内部网络的结构使用地址转换技术，要求所有的网络连接只能从内部发起，这样更是极大的提高了网络安全性。另外除了安全性，地址转换,还有一个好处，解决IP地址缺乏的问题，如果一个园区只有少数的公网地址，利用地址转换技术，可以使所有连接到防火墙上的主机都可以与Ｉｎｔｅｒｎｅｔ相连。局域网的用户认为在与Ｉｎｔｅｒｎｅｔ之间通信，而Ｉｎｔｅｒｎｅｔ上的主机以为是与防火墙通信。这样就因隐藏了网段的网络结构，因为只能见到防火墙的一个地址。

2．3．4．8．VPN功能

VPN是指虚拟专用网络。实际上是在公共网上建立内部网络。其重点就是保证在公众网上传播的内部信息不被外人获取。一般有专用的网络保密机与防火墙在此功能上有交叉　。

2．3．4．9．规则设施功能

网络安全管理人员想知道一个确定的包进入入防火墙后会发生什么事情，这时可以利用规则测试的功能。安全管理员可以设计一些虚拟的报文，利用规则测试功能来验证设计的规则是否正确，是否符合设计的目标。这样可以增加工作效率并保证规则设置的正确性。

2．3．4．10．支持远程在线状态管理、配置管理、审记管理

通过安全管理中心和其他管理软件可以对防火墙进行远程在线管理。既可以在远程非常直观的观察到防火墙的运行情况，也可以远程启动关闭防火墙和重新启动防火墙。

防火墙系统中运行的代理守护进程，通过守护进程管理程序，可以在远端对防火设备的各个功能模块进行设置和维护，以便于安全管理人员对防火墙的管理。

日志能记录完整的网络信息，包括建立的连接时间，双方地址，以及传输信息量。

支持远程审记日志是保障安全的重要手段，由于网络设备的审记信息通常大得惊人，观察分析审记日志是让管理人员非常头痛的是工作。好的防火墙应支持远程审记管理，使得管理人员能够在远端的GUI界面下轻松地观察和分析审记信息，使得审记的分析更加直观。从安全的角度讲，日志主要是起到抗抵赖的作用的，即防火墙记录了用户的网络使用情况，如果有人对网络进行了攻击或是有窃密的行为，事后使我们有据可查，对这样的人进行法律上的制裁或者防止他下一次的攻击。

2．3．1．11．支持安全管理中心集中统一管理

防火墙的管理代理守护进程为安全管理中心留有接口程序，能够实现安全管理中心对防火墙的安全管理。使用安全管理中心，好处在于它的安全性和集中统一管理能力。

其一、安全管理中心通过安全通道与网络安全设备通信来保证对防火墙设备设置和维护管理信息的安全。

其二、安全管理中心能够做到远程的统一管理，一台安全管理中心机可以管理多台防火墙以及其它网络安全设备。

３．安全方案实施的生命周期

　　安全管理的方案的实施需要正确的方法和次序，全面的网络信息安全方案需要在正确的企业安全策略的指导下按部就班地进行实施。网络安全方案实施生命周期如下所示

风险评估――＞方案设计―――＞方案实施―――＞人员培训―――＞安全监控―――＞信息反馈――>重新评估

　　安全管理方案的核心是制定的安全策略。任何安全产品和方案都必须服从此安全策略。应由安全管理专家与领导者一同制定系统的安全管理策略。

　 在安全方案实施的第一步，是实施方案的风险评估。即对目前网络环境进行综合考察， 发现安全隐患，分析可能面临的不安全因素，从而为将来的安全方案提供总体策略。从信息安全的角度来为校园IT环境进行进行合理划分，找出边界因素，对症下药，并对指定的安全策略进行方案设计和具体实施。在实施的过程中或实施之后，必须重视人的因素。要对用户和相关人员进行有效的培训。为网络信息安全培养安全管理人员是安全方案中非常重要的一个方面。 实施企业安全方案，对安全性进行总体监控是网络安全生命周期中的执行阶段，如果发生不安全事件，检查是否能够实施企业安全策略，能否进行正确的反应：安全防范的强度是否足够；是否有未能防止的入侵事件。定时或随时进行园区网络安全策略的检查，及时反馈安全信息，针对漏洞重新进行安全评估，网络安全方案周期重新开始。