重置防火墻的七個要訣
和路由器，交換機(jī)等網(wǎng)絡(luò)設(shè)備相比，硬件防火墻并沒有什么不同。它們同樣具有不長的生命周期，過不了幾年就要更新?lián)Q代。但是和其它設(shè)備相比，更換防火墻做的好的話是挺麻煩的一件事，做不好還會給網(wǎng)絡(luò)帶來安全隱患。
對于中小企業(yè)來說，管理防火墻時網(wǎng)絡(luò)管理員或系統(tǒng)管理員所承擔(dān)的眾多職責(zé)中的一項(xiàng)。因此，作為一個IT技術(shù)人員，至少也要知道防火墻的內(nèi)部結(jié)構(gòu)。一般來說，對防火墻的操作都是間歇性的，比如企業(yè)網(wǎng)絡(luò)上添加了新的應(yīng)用程序，或者添加了新的服務(wù)器，才需要對防火墻進(jìn)行適當(dāng)配置。對于日常工作來說，這種偶爾的工作不會有什么問題，但是對于一些更復(fù)雜深入的工作，比如將一個廠商的防火墻更換為另一個廠商的產(chǎn)品，或者從低端產(chǎn)品升級到高端產(chǎn)品，這個過程對于IT技術(shù)人員來說會有更多的要求。
升級防火墻所涉及到的問題包括很多，有的問題比較簡單直接，有些則很復(fù)雜，但不論怎樣，該考慮的方面非常多。
圖A
比如 Cisco ASA 5505 (圖A)的操作手冊有114頁。這種情況不止是Cisco產(chǎn)品獨(dú)有的， Welch-Abernathy的長達(dá) 656頁的Essential Checkpoint Firewall (2004) 手冊被Amazon 的評測人員評為“最適合新手學(xué)習(xí)”的手冊。
近日我采訪了Rich Gallo ，作為一家小型技術(shù)企業(yè)的系統(tǒng)管理員，他剛剛升級了公司一臺防火墻。在采訪中，他提供了一個很長的升級防火注意事項(xiàng)列表。粗略來看分為七大類，如圖B所示。
圖 B
Gallo在工作中遇到的主要問題包括處理之前由ISP Verizon設(shè)置的未使用過的外部Ip地址，以及與遠(yuǎn)程辦公室子網(wǎng)進(jìn)行協(xié)調(diào)。兩個技術(shù)人員協(xié)同工作無疑可以極大的降低防火墻手工遷移過程中出錯的概率。
防火墻升級的同時，也是路由器線纜重排，交換機(jī)移動位置，調(diào)整帶寬分配或重新整理機(jī)柜的好時機(jī)。
好的測試是必要的一個環(huán)境，而測試不僅包括連接性的測試，還包括應(yīng)用程序的測試。比如，面向公眾的網(wǎng)絡(luò)應(yīng)用就必須從內(nèi)網(wǎng)和外網(wǎng)兩個環(huán)境進(jìn)行測試，必要時還要使用特殊測試工具或軟件。還應(yīng)該審慎的檢查故障應(yīng)急計(jì)劃以及恢復(fù)計(jì)劃，以防萬一。
VPN是一個特殊的情況，可能會影響到防火墻規(guī)則設(shè)置。在Gallo的公司，有站點(diǎn)到站點(diǎn)的VPN連接需要格外注意。另外，在設(shè)定VPN時，還要注意特定客戶的問題，因?yàn)橐瑫r支持x32 和x64 位系統(tǒng)， Mac系統(tǒng), Windows和 Linux系統(tǒng)平臺的客戶，以及其它各種環(huán)境下的用戶。比如在設(shè)置過程中發(fā)現(xiàn)一個 Snow Leopard系統(tǒng)無法進(jìn)行正確的VPN連接。管理員通過收集各方面信息以及DNS記錄，最終解決了問題。
防火墻規(guī)則是防火墻的核心能力的體現(xiàn)，但是新舊防火墻可能在規(guī)則設(shè)置上存在很大的差別。此時正好可以將這些差別通過文檔形式記錄下來，刪除無用的規(guī)則，并通過程序管理器運(yùn)行新規(guī)則。防火墻規(guī)則應(yīng)該同時采用機(jī)器可讀的防火墻特定格式，以及明文可閱讀格式書寫。
新的防火墻會影響到日志以及警告進(jìn)程。因此應(yīng)該計(jì)劃升級警告和日志閱讀程序，以便能夠?qū)π碌木孀龀鲰憫?yīng)，并能讓安全分析程序以及其它類似的程序正常工作。
在升級防火墻時，有很多工作要做。有可能出現(xiàn)防火墻許可證支持DMZ問題，處理電子郵件服務(wù)器的特殊問題，或者為了支持遠(yuǎn)端辦公室而設(shè)置額外邏輯規(guī)則等。而這個列表基本上能夠模擬你在面對防火墻升級時所考慮的問題以及問題的順序。
【編輯推薦】
