对于小企业以及小的分支机构如何选择防火墙。

防火墙这样一类网络安全设备，对于没有相关知识的兼职网工。选购，绝对是一个头疼的问题。当你在搜索 引擎上去检索时，映入眼帘可能是"虚拟化"、"DDOS防护"、"下一代防火墙"这种专业名词。一下子就把你绕晕啦。我们先不去讨论谁家广告打得好，先来了解一下防火墙是什么？有啥功能？有哪些重要性能参数。了解清楚啦，其实和选手机没什么区别。

一、防火墙是什么？

所谓“防火墙”是指一种将内部网和公众访问网（如Internet）分开的方法，它实际上是一种建立在现代通信网络技术和信息安全技术基础上的应用性安全技术，隔离技术。越来越多地应用于专用网络与公用网络的互联环境之中，尤其以接入Internet网络为最甚。

我们可以简单理解它的职能就像是学校的门卫大叔。对于学生中午吃饭和晚上放学出校门（类比从防火墙出去的流量）他不会做任何阻拦动作。但是要是上课时间逃课打LOL就一定逮住你。

而对于进入学校的人员来说（类比从防火墙外面进入企业内网的流量）他则会通过校服来进行判断，放行进入校内。

总结一下：防火墙对于匹配自身规则的流量放行，不匹配则阻断。从互联网到企业内网如此，从企业内网到互联网亦是如此。

二、对于小企业有什么实用的功能？

1⃣️-SNAT（源地址转换）

使用场景：员工上网冲浪 ‍♀️

2⃣️-DNAT（目标地址转换）

使用场景：公司网站对外发布

3⃣️-QOS（流量限速）

常用使用场景：领导网速慢

4⃣️-URL访问控制

常用使用场景：限制员工访问 赌博 暴力 等网站

5⃣️-IPS/AV（入侵防护/防病毒）

使用场景：保护公司对外的业务安全。

工作机制：匹配厂商的病毒 特征库，有则阻断，无则放行。

6⃣️-VPN（虚拟专用网络）

使用场景一：分公司客服员工使用总公司的办公系统提交工单。

使用场景二：员工在家 进行交通费报销。

三、关键参数

接口/参数：例如FortiGate30E

1⃣️-USB接口

2⃣️-CONSOLE：用于工程师进行故障排查。

3⃣️-1x GE RJ45 广域网接口：用于连接运营商线路。

4⃣️-4x GE RJ45 交换接口：用于连接交换机和PC。

备注：上图中的设备接口和家用路由器基本一致，这样的设计，可以便于用户自行安装上架设备。但企业级设备不同于家用路由器，1至5口是广域网接口还是交换接口是允许用户自定义的。设置多个广域网接口是为了连接多条运营商线路。

系统性能/参数：

1⃣️-防火墙吞吐量： 系统性能括号中的1518/512/64分别指不同大小的数据包，参数中950Mbps则指在实验室 中当我们一直发送1518的数据包，防火墙最多可以承受950Mbps的吞吐量。其他两项同上。 测试时发送的数据包越小，防火墙处理的次数越多，也就越吃力。 查看防火墙吞吐时可以重点参考小包的参数。 此参数的选择与互联网带宽、内网接口数据量、网络拓扑相关。 例如, K企业办理了一条100Mbps的联通线路（俗称100兆的网）， 连接在我们防火墙的WAN口（GE RJ45 广域网接口），作为其办公网出口。 下联LAN1口（GE RJ45 广域网接口）连接一台交换机。我们假设极端情况下WAN口跑满100Mbps， 上行+下行共200Mbps。内网接口数据流量上下行总共500Mbps。 我们选择的防火墙吞吐量建议大于极端情况下，WAN口和LAN1口的流量总和。 200Mbps + 500Mbps < 750Mbps

2⃣️-并发会话 此参数的选择与公司联网设备数量相关，一个会话可以简单理解为一个浏览器的网页。公司所有设备同时 打开的网页不能超过90万。例如，公司有100人，每人一台电脑、一个手机、一个平板。估算每个设备 同时打开的网页数量为100个，并发会话总数为100 * 100 * 3 = 3000 < 90万

3⃣️-新建会话/秒 此参数表示防火墙处理会话的速度，每秒可打开15,000个网页。

备注：防火墙选型并不是一道简单的数学题，而是一道复杂的综合大题，不同的企业规模在需求和安全要求完全不同。需要考虑到国产化、等保、发展规模等因素。

四、防火墙品牌

我们通过业界比较认可的Gartner 魔力四象限来看看防火墙各个品牌之间的排名。

排名维度：1⃣️-Ability to Execute（执行层面，即当前产品、服务、销售等表现）

2⃣️-Completeness of Vision （战略层面，即未来愿景的清晰完整性）