硬件防火墻怎么選?

wowchris

公司現(xiàn)在有2個服務器在電信機房，主要是數(shù)據(jù)庫和CRM應用，iptables配置這樣的：

iptables -P INPUT DROP
iptables -F INPUT   
iptables -P OUTPUT ACCEPT
iptables -F OUTPUT
iptables -P FORWARD DROP
iptables -F FORWARD
iptables -t nat -F

iptables -A INPUT -p tcp --sport 22 -j ACCEPT
iptables -A INPUT -p tcp --sport 8038 -j ACCEPT

iptables -A INPUT -s 127.0.0.1 -j ACCEPT
iptables -A INPUT -s xxx.xxx.xxx.xxx -p 0 -j ACCEPT

iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 8038 -j ACCEPT


/etc/rc.d/init.d/iptables save
/etc/rc.d/init.d/iptables restart


secure里老看到有人掃描SSH，后來我的做法是改了端口和認證，由于數(shù)據(jù)比較重要，并且以后數(shù)據(jù)量的增大，考慮到會拖慢機器，所以想加個防火墻，可不知道加什么的好，太貴的買不動，買什么樣的比較好呢？
選用思科PIX-506E-BUN-K9大家覺得好嗎？

dreamice

你到底是選硬件防火墻還是自己配置iptables進行防御？

wowchris

2個都做，server本身做iptables，硬件防火墻也要用到，以防火墻為主，

dreamice

2個都做，server本身做iptables，硬件防火墻也要用到，以防火墻為主，
wowchris 發(fā)表于 2011-12-05 10:33

    你防御的目標要明確，才能有針對性的采取防范措施。

wowchris

我是這么想的，首先我的服務器是暴露在公網(wǎng)上的，雖然在電信機房，但是通過IP就能直接找我到機器，我現(xiàn)在設置了iptaboles，雖然說是經(jīng)過端口包過濾，但是不排除間接式掃描和端口掃描，密碼探測器我也遇到過，我覺得暴露在公網(wǎng)上始終是隱患比較大，所以想弄個硬防火墻NAT,一是減少我服務器的壓力，2是DDOS之類的也不會直接對沖擊我的服務器，我是這個意思，不知道這樣說大家能看明白不?

dreamice

我是這么想的，首先我的服務器是暴露在公網(wǎng)上的，雖然在電信機房，但是通過IP就能直接找我到機器，我現(xiàn)在設 ...
wowchris 發(fā)表于 2011-12-05 17:10

    你自己搭硬件服務器，還是買專業(yè)的啊？
另外，對于你不需要對外提供服務的端口，一定要關(guān)閉掉。

wowchris

我有兩個想法，一個是買硬件firewall，參考的是Juniper SG140和H3C_F100-A-AC，另外方法就是單拿個機器出來做NAT和網(wǎng)關(guān)，要是流量高的話就配置4網(wǎng)卡，，最終目的還是把server放在后端，
服務器端口設置的只開放SSh端口和其他指定端口，


問題就是我不知道那款設備適合我

dreamice

我有兩個想法，一個是買硬件firewall，參考的是Juniper SG140和H3C_F100-A-AC，另外方法就是單拿個機器出來 ...
wowchris 發(fā)表于 2011-12-06 11:41

    你要防的是網(wǎng)絡攻擊還是服務器4—7層的攻擊？
如果網(wǎng)絡層攻擊，那你買juniper的防火墻沒問題，如果是應用層攻擊，比如說hacker的sql注入，xss跨站等，juniper防火墻就愛莫能助了。
所以你還是要把需求弄明白才行哦。

wowchris

服務器上跑都是數(shù)據(jù)庫，后期會有其他的應用平臺，網(wǎng)站會跟上去，只是個門面，主要我還是針對的數(shù)據(jù)庫的防護，而且后期還有可能會上win系統(tǒng)，所以現(xiàn)在我感覺什么都要防護，問下應用層用什么型號，或者說有什么比較好的解決辦法�。�

dreamice

服務器上跑都是數(shù)據(jù)庫，后期會有其他的應用平臺，網(wǎng)站會跟上去，只是個門面，主要我還是針對的數(shù)據(jù)庫的防護 ...
wowchris 發(fā)表于 2011-12-06 16:43

    現(xiàn)在有應用防火墻和數(shù)據(jù)庫防火墻，看你怎么選擇了。
對于數(shù)據(jù)庫方面，因為不是直接暴露，程序?qū)懙煤脡闹苯佑绊懥似浒踩�性�?