拥有专用防火墙是否有任何安全优势？

Question

与在路由器上建立防火墙相比，拥有专用防火墙是否有任何安全优势？谢谢。

Answer 1

这在很大程度上取决于相关路由器。例如，Cisco Catalyst 交换机中的 ASA 服务模块比某些低端专用防火墙具有更多功能。但是，这里的论点是，“刀片是专用防火墙吗？ ”

专用硬件通常为防火墙角色提供更好的功能，并包括其他外围服务，例如：

• 入侵检测系统/入侵检测系统
• 更强大的应用级网关（确保 TCP/80 确实是 HTTP 而不是 SSH 之类的）
• VPN、IPSec 和 SSL。
• 与身份验证系统集成
• 能够代理某些应用程序流量

关于让专用设备处理您的外围连接，还有一个强有力的论据：如果外部攻击破坏了您的边界设备，您网络上唯一受影响的就是与外部世界的连接。

Answer 2

我认为您在这里所说的防火墙是指基于硬件的防火墙，而不是基于软件的防火墙，例如 Linux 中的 netfilter。

大多数（如果不是全部）路由器都支持某种类型的访问控制列表 (ACL)，它可以充当防火墙。专用硬件防火墙更好，因为它们更强大（可以处理更多流量）并支持状态检查，并且可以具有更高级的功能，如攻击检测 (IDS/IPS)。最后，这取决于您的要求和选择的硬件。