 |
好像【路由器】的功能防火墙都有，而且防火墙还支持4层功能，是不是用防火墙当【路由器】更好呢？
答案是肯定的。 下一个问题，【路由器】可以当防火墙用吗？ 答案也是肯定的。 既然【路由器】可以当防火墙用，为何还要有防火墙这个东西？或者说，既然防火墙可以实现【路由器】功能，为何还要【路由器】？ 带着这个问题，先来回顾一下互联网的发展史。 世界上第一台商用的【路由器】是哪个公司的产品？ Cisco的，同时Cisco也是世界上第一家商用【路由器】厂商。
1986年3月，思科通过向犹他州州立大学提供第一款创新的路由产品——AGS（先进网关服务器），确立了网络通信行业和互联网的发展方向。 Cisco名字的由来 美国旧金山市San Francisco有一座著名的大桥—“金门大桥”。
Cisco取自“Francisco”后五个字母的组合，寓意为连接整个世界，公司的logo也是一个桥的形状。 不知道是由于互联网追逐【路由器】，还是【路由器】追逐互联网。最终的结果是互联网爆发式发展了起来，同时也奠定了TCP/IP协议的垄断地位。 Cisco【路由器】占据70%+以上的运营商核心【路由器】的份额，而【路由器】是优先支持TCP/IP协议的，所以最终TCP/IP脱颖而出一点也不奇怪。 【路由器】的核心目标 是将世界上大大小小的网络连接起来，使得形形色色的主机能够互相通信起来。 【路由器】实现的这个功能，称之为“路由”功能，这也是【路由器】（Router）名字的由来。 这是人类的低级需求，即连接需求。 但是，人类更高级的需求会不断出现。人们会发现连接自己主机的，并不总是受邀的客人，往往夹杂着不怀好意的陌生人、甚至敌人。于是就渐渐地产生了更高级需求，安全需求。 防火墙的核心目标 满足人类的安全需求，如同保镖/警卫一样，站在私家园林的门口，阻挡着哪些不坏好意的闯入者。对于受邀的客人，自然可以通过警卫的检查，可以自由出入。 有了防火墙的帮助，人类的安全需求得到了满足。防火墙实现的这个功能，称之为“安全”功能。 【路由器】衍生安全功能 【路由器】厂商比一般的用户更能嗅到用户的安全需求，所以很早就在【路由器】产品里开发出了“安全过滤”ACL功能、安全加密功能、甚至入侵检测/防止系统IDS/IPS。 紧接着越来越多的功能模块的引入，【路由器】内部的流水线处理的任务越来越繁杂，这样势必会影响【路由器】的路由转发性能。 这些安全功能有“License”控制，用户要想使用必须购买License。 用户的购买习惯是，面对一个体积庞大的、看得见摸得着的黑箱子，很愿意掏钱包。而购买看不见摸不着的软件、License，用户往往很抠门。 针对这个消费习惯，厂商很快调整了开发产品的思路，将【路由器】里嵌入的安全功能，搬运到一个大黑箱子，并起一个很牛叉的名字“防火墙”。 防火墙 这个名字确实很强大，不仅可以镇得住IT甲方的采购，还可以唬得住粗懂IT技术的老板。 防火墙提供专业的安全服务，设计之初硬件做了优化。安全加密、安全过滤、深度报文检测提供了专门的加速芯片，而传统的【路由器】更多依赖于CPU的软件处理，所以报文的安全处理效率更高。 桥接模式防火墙 防火墙放置在网络上，如同一根网线一样透明，除了部署防火墙工程师知道它们的存在，没有人知道它的存在。 防火墙尽管透明，并不意味着它不干活，否则还有什么存在的意义呢？ 透明防火墙，对于流经它的流量做一套流水线工作，这种流水线的工作大体归纳为：
如果流水线的每道工序都没有问题，报文顺利通过，仿佛什么都没有发生，用户的报文没有任何的改变。 如果其中的某道工序出问题了，按照预案处理，一般是丢弃处理并生成日志告警。 透明防火墙的这种工作方式，称之为桥接模式。 路由模式防火墙 但是，不是所有的网络都希望采用桥接模式的防火墙，更愿意防火墙成为转发路径上的一跳（Hop），如同【路由器】一样的存在。 防火墙需要支持路由协议，这样才能与网络里的【路由器】交换路由，否则就是只懂安全的大傻子。 对于很多中小型企业，买一台防火墙既可以做网关，提供内网不同网段流量的隔离与通信，同时又防御着来自于互联网上的安全威胁，一举两得，省的再买一台【路由器】或三层交换机，经济又实惠。 术业有专攻 【路由器】提供专业的路由功能，顺带着提供一点安全功能。 防火墙提供专业的安全功能，顺带着提供一点路由功能。 |
Powered by Discuz! X3.4
© 2001-2023 Discuz! Team.
