方法一：確保流向外部的數據符合策略 清除不好的數據，清理網(wǎng)絡(luò )。不好的數據包括與策略不符的，未授權的或不受歡迎的數據。如果發(fā)生服務(wù)器直接用對外否認的DNS，NTP，SMTP, HTTP和HTTP Secure請求等攻擊防火墻時(shí)，要通知服務(wù)器管理員。然后，管理員應重新配置服務(wù)器，支起不會(huì )發(fā)送不受歡迎的對外數據。
方法二：在路由而不是防火墻上過(guò)濾不想要的數據
將過(guò)濾不受歡迎數據的規則更改到邊緣路由上，以平衡安全策略的性能和效用。首先，要將那些通往路由的頂端注入請求當作標準ACL過(guò)濾器。這樣或許有些耗費時(shí)間，但卻不失為阻止數據涌入路由的良方，因為這樣有利于節約防火墻所占用的CPU和內存。
而后，如果你的網(wǎng)絡(luò )與防火墻之間具備內部障礙路由，可考慮將普通對外流量轉移到該障礙路由上。這樣可以釋放更多防火墻進(jìn)程。
方法三：刪除不需要使用的規則和對象
刪除規則庫中不需要使用的規則和對象。雖然清除一個(gè)難以控制的規則庫聽(tīng)上去有些令人望而生畏，但是還是有許多自動(dòng)化工具可助你一臂之力。這些自動(dòng)化工具可以減少防火墻策略管理的困難。
方法四：減少規則庫的復雜度
減少規則庫的復雜度，而且規則盡可能不要重復。再一次強調，有很多工具可極大減少我們清理和簡(jiǎn)化規則庫的時(shí)間和障礙。
方法五：控制傳送流量
如果防火墻界面直接連接到LAN部分，那么你應該創(chuàng )建一條規則來(lái)控制無(wú)記錄的傳送流量(bootp, TCP/IP 協(xié)議之上運行的NetBIOS等。 )
方法六：將使用較頻繁的規則列于規則庫靠前位置
將使用較頻繁的規則列于規則庫靠前位置。注意有些防火墻(如，思科Pix）不依賴(lài)于規則順序執行，因為他們使用優(yōu)化法則來(lái)匹配數據包。
方法七：避免DNS對象
避免那些需要DNS查找的對象。
方法八：防火墻界面的設置應與交換機和路由設置相匹配
你的防火墻界面應該與你的路由和交換機界面相匹配。如果你的錄音或交換機是雙向100Mbps，那么防火墻也應該是半雙工100Mbps。界面設置或許匹配起來(lái)有些困難，但應盡可能實(shí)現全雙工通信制100Mbps。
你的路由與防火墻或者交換機與防火墻應該以同樣的模式和速度運作。如果你的交換機和防火墻都是千兆以太網(wǎng)，那么他們都應被設置成自動(dòng)調節速度與雙工。如果你的千兆接口不能與防火墻和交換機，可以嘗試更換電纜或插線(xiàn)板端口。無(wú)法以 1000Mbps全雙工連接的千兆接口往往是出現其他問(wèn)題的癥狀。
方法九：將防火墻與VPN隔離
將防火墻與VPN隔離以便卸載VPN數據和進(jìn)程。
方法十：從防火墻卸載性能
從防火墻卸載的統一威脅管理性能包括：反病毒，反垃圾郵件，入侵防御系統以及URL掃描。
方法十一：軟件升級到最新版本
將軟件升級到最新版本。經(jīng)驗告訴我們，新的軟件不僅包含更多對性能的改進(jìn)，而且還添加了很多新功能——而新的功能并沒(méi)有安全保障，因而要及時(shí)更新防火墻版本。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
