阅读时长：2 分 14 秒 | 发布日期：2025 年 10 月 1 日
什么是防火墙设计？
防火墙设计包括组织的整体安全策略决策，例如使用哪些防火墙功能、在何处实施防火墙，以及最终如何配置防火墙。
防火墙设计如何工作？
构建防火墙设计时要遵循的五个连续步骤包括：
1. 确定组织的安全要求。分析这些要求，评估当前的安全态势，然后使用这些信息来细化安全需求并调整要求。
2. 定义总体安全策略。完善定义的安全策略包括网络资源、访问策略和授权控制，并可确保防火墙满足所有安全要求。
3. 定义防火墙设计原则。明确识别需要防范内部攻击和外部威胁的资源、应用和服务，这样可以简化防火墙的定义和配置。
4. 确定允许的通信。制定可接受使用策略，明确局域网内允许和禁止的网络活动类型（如应用和流量）以及支持的 Web 服务。
5. 明确防火墙执行点。确定执行点是防火墙设计的基础。防火墙部署在边缘，通常位于私有 LAN 和公共网络（例如 Internet 链路）之间。
制定识别网络正常流量模式的基准配置文件，作为额外保护措施。设置基准可以监控异常行为，然后可设置阈值来检测和防范攻击。
防火墙设计解决的问题
防火墙技术已经从包过滤式防火墙发展到下一代防火墙。各种新型服务和解决方案应运而生，旨在应对网络环境的复杂性、保护资源并阻止攻击者恶意突破防火墙的企图。要为网络部署有效的防火墙，所需做的远不止配置工作。制定最佳实践有助于创建安全策略和有效运营模式，完善与网络关联的防火墙设计与配置流程，最终部署符合组织整体安全要求的防火墙。
防火墙设计能做什么？
建议采取以下最佳实践来协助进行网络特征分析、记录安全态势以及评估组织的安全状态：
- 确定网络资源和安全要求并进行分类。
- 确定如何有效检测已知威胁以及如何应对攻击。
- 记录操作系统、版本和应用的相关信息。
- 根据员工角色和用户需求，定义组织允许的通信流程及访问权限。
- 确定防火墙执行点：部署防火墙来保护边缘（面向互联网）、核心（面向企业）或 DMZ（堡垒第一道防线）。
- 防火墙的设计应尽量简单，必须考虑运营需求。
制定识别网络正常流量模式的基准配置文件作为保护措施。设置基准可以衡量异常行为，然后可设置阈值来防范攻击。
HPE Juniper Networking 实施
Juniper Networks SRX 系列设备以简化的设计与部署流程提供防火墙安全服务。这包括创建符合功能需求的安全区域、隔离用户组与服务器、基于子网将用户组分配至相应区域，以及设计组织的特定策略。