防火墙的优点与不足

防火墙的优点：

1、  防火墙能强化安全策略。

它执行计算机的安全强化策略，只容许认可的和符合要求的请求通过，因为互联网上每天都有很多信息，不可避免的出现一些危险或者违反规则的人，防火墙在这时候就充当交通警察。

2、  防火墙能有效地记录Internet上的活动，作为访问的唯一点，防火墙能在被保护的网络和外部网络之间进行记录。

因为所有进出信息都必须通过防火墙，所以防火墙非常适用于收集关于系统和网络使用和误用的信息。作为访问的唯一点，防火墙能在被保护的网络和外部网络之间进行记录。

3、  防火墙限制暴露用户点，能够防止影响一个网段的问题通过整个网络传播。

防火墙能够用来隔开网络中的两个网段，这样就能够防止影响一个网段的信息通过整个网络进行传播。

4、防火墙是一个安全策略的检查站，使可疑的访问被拒绝于门外。

所有进出的信息都必须通过防火墙，防火墙便成为安全问题的检查点，使可疑的访问被拒绝于门外。

防火墙的缺点：

1、  防火墙可以阻断攻击，但不能消灭攻击的源头。

“各扫自家门前雪，不管他人瓦上霜”，就是目前网络安全的现状。互联网上病毒、木马、恶意试探等等造成的攻击行为络绎不绝。设置得当的防火墙能够阻挡他们，但是无法清除攻击源。即使防火墙进行了良好的设置，使得攻击无法穿透防火墙，但各种攻击仍然会源源不断地向防火墙发出尝试。例如接主干网10M网络带宽的某站点，其日常流量中平均有512K左右是攻击行为。那么，即使成功设置了防火墙后，这512K的攻击流量依然不会有丝毫减少。

2、  防火墙不能抵抗最新的未设置策略的攻击漏洞。

就如杀毒软件与病毒一样，总是先出现病毒，杀毒软件经过分析出特征码后加入到病毒库内才能查杀。防火墙的各种策略，也是在该攻击方式经过专家分析后给出其特征进而设置的。如果世界上新发现某个主机漏洞的cracker的把第一个攻击对象选中了您的网络，那么防火墙也没有办法帮到您的。

3、  防火墙的并发连接数限制容易导致拥塞或者溢出。

防火墙在某些流量大、并发请求多的情况下，很容易导致拥塞，成为整个网络的瓶颈影响性能。而当防火墙溢出的时候，整个防线就如同虚设，原本被的连接也能从容通过了。

4、  防火墙对服务器合法开放的端口的攻击大多无法阻止。

某些情况下，攻击者利用服务器提供的服务进行缺陷攻击。例如利用开放了3389端口取得没打过sp补丁的win2k的超级权限、利用asp程序进行脚本攻击等。由于其行为在防火墙一级看来是“合理”和“合法”的，因此就被简单地放行了。

5、  防火墙对待内部主动发起连接的攻击一般无法阻止。

“外紧内松”是一般局域网络的特点。或许一道严密防守的防火墙内部的网络是一片混乱也有可能。通过社会工程学发送带木马的邮件、带木马的URL等方式，然后由中木马的机器主动对攻击者连接，将铁壁一样的防火墙瞬间破坏掉。另外，防火墙内部各主机间的攻击行为，防火墙也只有如旁观者一样冷视而爱莫能助。

6、  防火墙本身也会出现问题和受到攻击，依然有着漏洞和Bug。

所以其本身也可能受到攻击和出现软/硬件方面的故障。

7、防火墙不处理病毒。

在内部网络用户下载外网的带毒文件的时候，防火墙是不为所动的。