最适合您企业的防火墙类型是什么？

真正的谈话？我们大多数人都知道防火墙是网络安全的重要组成部分，但不知道防火墙是如何工作的或它们实际做了什么。信不信由你，有多种类型的防火墙，每种类型都提供不同的保护、优点和缺点。为您的企业规模和类型选择正确的防火墙类型可以对您企业的在线安全产生巨大影响。别担心——我们随时为您提供帮助。

我们已经深入研究了网络安全领域。我们已经弄清楚了行业术语，并弄清楚了数据包过滤和应用层检查之间的区别。我们还提供了一系列建议，旨在帮助您找到适合您业务需求的完美防火墙解决方案。

适合企业的最佳防火墙类型

• Windows Defender 或 OS X 应用程序防火墙:最适合创业者
• 第三方软件防火墙：最适合处理敏感数据的个人
• 防火墙和杀毒软件:最适合小型企业
• 基本路由器:最佳预算选项
• 防火墙路由器:最适合中型企业
• VPN路由器：最适合拥有多个地点的企业
• 负载均衡器：最适合托管自己网站的企业
• 统一威胁管理 (UTM):最适合大型企业

Windows Defender 或 OS X 应用程序防火墙：最适合独行者

大多数人没有意识到他们的 Windows 或 Mac 计算机已经包含免费的防火墙软件。因此，如果您是一个独立经营小型企业的个人，您可能已经拥有所需的所有入侵保护——无需昂贵的第三方防火墙。

如果您有一台 Windows 计算机，则您的操作系统已经包含 Windows Defender — Microsoft 的免费防火墙软件。Windows Defender 是一个状态检查防火墙，因此它会在每次在线交换时分析 TCP 握手和数据包标签（稍后会详细介绍）。它已在您的计算机上预先启用，因此您无需执行任何操作即可开始使用。

在 Apple 计算机上，您会获得 OS X 应用程序防火墙——一种监控 TCP 握手的电路级网关软件。虽然它允许您设置自己的防火墙规则，但它不使用数据包过滤，这使得它不如免费的 Windows 防火墙可靠。而且它没有预先启用，因此请务必在连接到 Internet 之前打开您的防火墙软件。

还要记住，Windows Defender 和 OS X 应用程序防火墙都是软件防火墙，因此它们只能保护您的个人计算机 - 因此我们将它们推荐给个人，而不是大公司。它们也相当基础，因此如果您要处理大量敏感数据（如客户信用卡号、地址或电话号码），您可能需要升级到第三方软件防火墙。

第三方软件防火墙：最适合处理敏感数据的个人

第三方防火墙补充了您计算机上现有的防火墙软件。它们提供额外的安全功能来帮助阻止潜在的网络犯罪分子。每个第三方防火墙解决方案都提供了不同的功能组合，因此您可能需要进行一些购物才能找到适合您需求的软件。但功能可能包括额外的深度数据包检测层、反垃圾邮件功能、数据备份等等——可能性几乎是无穷无尽的。

如果您是处理敏感数据的个人，我们建议您使用此选项，因为它为您提供了额外的工具和保护措施，以确保数据的安全，同时价格实惠且易于管理。

话虽如此，拥有多名员工的公司可能更喜欢硬件防火墙。由于软件防火墙只能保护安装了软件的设备，因此它不能保护您的整个网络。此外，您必须在网络上的每台设备（甚至是移动设备！）上手动安装和更新软件。根据软件的不同，您可能还必须为每台设备购买单独的许可证，这很昂贵——尤其是考虑到许多第三方防火墙的价格。

不过，不要误会我们的意思——在公司设备上安装软件防火墙仍然很重要。如果您网络上的每台设备都有软件防火墙，那么即使有一台设备被渗透，您的网络仍然受到保护。软件防火墙还允许您的员工在他们最喜欢的咖啡馆工作，并享受与办公室相同的在线安全性。我们只是说复杂的第三方软件防火墙可能不适用于大公司——至少不能作为您的主要网络安全解决方案。

防火墙 + 防病毒软件：最适合小型企业

您拥有的员工越多，您网络上的某个人就越有可能意外安装恶意软件或下载计算机病毒。这就是为什么我们认为最好的小型企业防火墙是防火墙+防病毒软件的组合。

包含防病毒软件的防火墙使用深度数据包检查来识别和拒绝包含恶意软件或病毒的文件、消息和其他形式的数据。因此，与常规防火墙相比，它们具有更好的入侵检测记录。通常，此类软件充当 Web 应用程序防火墙，因此无论您使用哪个应用程序访问互联网，它都能确保您的安全。

请记住，此建议仍然是软件防火墙，因此它具有与第三方软件防火墙相同的所有缺点。话虽如此，我们认为如果您的员工人数超过几个，那么在每位员工的设备上安装和更新软件所带来的额外成本和不便都是值得的（因为“捕获”恶意软件或病毒的机会会随着您的人数增加而增加）带进来）。

基本路由器：最佳预算选项

如果您经营一家拥有多名员工的小型企业，那么您很可能已经投资了一个基本的 Wi-Fi 路由器，因此办公室中的每个人都可以同时连接到互联网。如果是这样，您已经获得了基本的防火墙保护。

Wi-Fi 路由器是一种出色的低预算、小型企业防火墙解决方案，因为路由器会自动阻止任何不符合基本安全参数（当然，由您设置）的外部流量。这基本上使您的路由器成为无状态防火墙，像保镖一样监控TCP 握手，以确保每个传入的请求都在您的内部网络的“列表”上。

当然，这意味着您的路由器只能提供最低限度的网络安全性——如果您要处理大量不想被泄露的敏感数据，这并不理想。在这种情况下，您可能应该升级到防火墙路由器或第三方软件防火墙。

不过，从好的方面来说，路由器是硬件防火墙，因此它可以保护网络上的所有设备。这可以节省您的资金，因为您不必为每个员工的计算机购买许可证。此外，您只需 10 美元就可以找到基本的路由器，而且您不必浪费宝贵的业务时间在每位员工的计算机上更新、监控和安装防火墙。

防火墙路由器：最适合中型企业

随着业务的发展，在每个员工设备上安装和维护防火墙软件变得越来越不切实际——至少作为网络安全的主要形式。在这种情况下，一次保护整个网络的硬件防火墙可能是更好的解决方案。输入防火墙路由器。

防火墙路由器通过添加更复杂的防火墙规则来更好地识别安全威胁，从而升级您使用基本路由器获得的安全性。某些型号提供状态安全防火墙、内置防病毒软件（通过您的路由器而不是单个设备运行）、应用程序监控和“家长”控制，以阻止员工访问危险站点（或任何您认为不适合工作的站点）。

这意味着您可以获得软件防火墙的所有保护，但您可以在一台设备中控制所有设置和更新。此外，您还可以为连接到 Wi-Fi 网络的每台设备（包括移动设备）提供保护。

VPN路由器：最适合拥有多个地点的企业

如果您的业务分布在多个办公室，或者您有远程员工，您就会知道让每个人都在同一页面上是多么困难。不过，好消息是：使用 VPN 路由器，它会变得更容易并提高您的安全性。

通常，只有 Internet 连接上的设备才能访问您的内部网络。这意味着设备必须物理存在于同一位置才能相互连接以进行文件共享、打印和其他内部网络功能。

但是使用虚拟专用网络（或 VPN），您可以通过 VPN 隧道将您的私有内部业务网络扩展到其他批准的设备和网络。这些隧道充当数据分层的另一层（例如将一封信放入盒子内的信封中），过滤掉试图渗透您内部网络连接的黑客的攻击。

VPN 路由器简化了这个过程。当您的每个地点都使用 VPN 路由器时，您的路由器可以相互通信，有效地将每个办公室的内部网络组合成一个大型专用网络。最后，这使得与远程员工和办公室的沟通和协作变得更加容易，同时仍然享受全公司范围内的高水平网络安全。

负载均衡器：最适合托管自己网站的企业

如果您的企业在您自己的服务器上托管网站，那么除了您的专用网络防火墙解决方案之外，您可能还需要一个负载平衡器。托管网站时，您的服务器需要面向外部，这意味着公众可以访问存储在您服务器上的数据。否则，用户将无法加载您的网站。但您还希望保护您的服务器免受黑客和其他恶意在线实体的侵害。幸运的是，负载平衡器可以充当自动防火墙，就像内部网络的路由器一样。

负载均衡器在您的服务器之间分配传入流量。这样，没有单个服务器会被同时请求所淹没。负载平衡不仅使您的托管网站加载速度更快，还可以保护您的企业免受 DDOS 攻击（黑客劫持多个系统以压倒您的服务器并使您的网站崩溃）。

如果您已经在使用负载平衡，则可能不需要另一个防火墙来保护您的服务器。负载平衡器已经监视TCP 握手并执行数据包过滤功能以确定分发传入请求的最有效方式。换句话说，它已经充当了状态防火墙并丢弃了恶意传入流量。少一件需要担心的事情，对吧？

统一威胁管理 (UTM)：最适合大型企业

如果您经营大型企业级业务，您可能需要比路由器或单个软件更复杂的安全解决方案。在这种情况下，您可能需要考虑统一威胁管理 (UTM) 解决方案。

每个 UTM 产品都是不同的——有些是物理设备，有些是软件，有些是基于云的，有些是这三者的组合。但是，无论采用何种实施方法，所有 UTM 解决方案都旨在为您的所有安全需求提供一站式服务。

UTM 解决方案通常在一个地方提供防火墙、防病毒、VPN 和其他入侵检测和防御功能。这样一来，您就可以对 Wi-Fi 网络（或虚拟专用网络）上所有设备上的所有 Web 应用程序进行深度数据包过滤，但所有这些都在一个地方进行控制。

UTM 解决方案的确切成本可能会因您选择的提供商、业务规模以及 UTM 包含的特定功能组合而有很大差异。一些 UTM 的成本与第三方软件防火墙大致相同。但要为更高的总体成本做好准备——毕竟，您正在将防病毒保护、VPN 安全、软件防火墙和硬件防火墙整合到一个解决方案中。

要知道的防火墙术语

防火墙提供商使用了很多行话，这使得很难理解每个选项实际提供的内容。所以这里是我们在本文中经常使用的一些术语的快速和肮脏的细分。

TCP 握手

TCP听起来像是毒品或高端清洁产品，但实际上是传输控制协议的简称。每个在线设备都使用 TCP 连接到互联网，当两个设备想要相互连接时，它们使用 TCP 握手。

因此，假设您使用笔记本电脑并想要访问一个网站。您的计算机会向托管该网站的服务器发送称为SYNchronize的请求。然后，服务器将发回所谓的ACKnowledge响应。最后，您的计算机会以自己的ACKnowledge响应作为回报，并且——瞧！——你已连接到该网站。

这与防火墙和网络安全有什么关系？聪明的黑客可以伪造 TCP 握手并使用它来访问您企业的内部网络。这就是防火墙保护如此重要的最基本原因之一。

电路级网关

一些防火墙充当电路级网关，这意味着它们监视您的设备或网络上的 TCP 握手以确定这些会话是否合法。这种类型的网络过滤是一种非常基本的安全解决方案，但它可以帮助保护您免受黑客试图伪造 TCP 握手以访问您公司的专用网络。

电路级网关还会屏蔽网络上每个设备的单独 IP 地址。相反，所有来自您网络的传出流量都会被赋予一个 ID，该 ID 与您的电路级网关设备（通常是路由器）的 IP 地址一起使用。这为您的公司和员工提供了额外的隐私保护。

包过滤

互联网上的数据是通过数据包传输的。将数据包想象成信封：外部标有递送信息（递送地址、退货地址等），而内部包含实际消息。TCP 握手完成后，您尝试访问的网站会发送一个数据包。该数据包标有您的 IP 地址（交付地址）和源 IP（发件人地址），其中包含您的计算机用于加载页面的少量数据。

包过滤是一个安全过程，您的防火墙会检查发送到您 IP 地址的任何数据包外部的标签。数据包过滤安全解决方案使用一组预定义的防火墙规则（由您控制​​）来确定（基于数据包标签）传入流量是否是恶意的。如果它是恶意的，防火墙会丢弃数据包，从而拒绝访问您的网络并保护您免受黑客攻击。

无状态防火墙

无状态防火墙是一种仅使用数据包过滤来监控您的在线连接的防火墙。虽然包过滤无疑是阻止恶意流量进入网络的有效方法，但它仍然相当基本，因为它只考虑传入数据包的外部标签。因此，无状态防火墙（虽然通常有效）不会使用更复杂的加密来识别欺诈连接。也就是说，无状态防火墙可能仍带有其他安全功能（如应用程序监控），因此您当然不应该将它们排除在外。

状态检测防火墙

状态检查防火墙稍微复杂一些，因为它结合了 TCP 握手监控和基本数据包过滤的数据包标签检查。这使得有状态检查防火墙比单独的电路级网关或无状态防火墙更安全，但它确实需要额外的计算资源。因此，如果您的小型企业买不起最新的设备，则状态防火墙可能会降低您的计算机和 Internet 加载速度。

代理深度数据包检测

如果数据包是信件，那么代理深度包检测防火墙就是邮政检查员。使用深度数据包检查的安全防火墙代表您（通过代理）打开数据包，以便分析内部的实际内容并识别病毒、恶意软件或其他威胁。这意味着只要您网络中的某人试图访问可疑应用程序或单击电子邮件中的恶意链接，它就会保护您和您的员工。长话短说：深度数据包检测使您的防火墙的入侵检测更加强大。

下一代防火墙

许多网络安全公司喜欢说他们提供“下一代防火墙”。但老实说，这主要只是一个流行语。到目前为止，对于什么是下一代防火墙还没有行业标准，在线安全提供商通过在几乎所有的防火墙产品上贴上“下一代”标签来利用这一点。因此，如果您已经检查了一些选项并且对下一代防火墙是什么（以及您是否需要）感到困惑，请不要担心 - 这不是您。