防火墻作為網(wǎng)絡安全zui主要和zui基本的基礎設施，已經(jīng)得到廣大用戶的認同，是*的成熟的技術、成熟的產(chǎn)品和成熟的市場。隨著信息技術的發(fā)展，防火墻市場近幾年得到了突飛猛進的發(fā)展，信息安全已經(jīng)得到了各個行業(yè)的高度重視，特別是防火墻產(chǎn)品的應用已經(jīng)延伸到銀行、保險、證券、郵電、*、海關、稅務、政府等各個行業(yè)。因此，防火墻產(chǎn)品已成為國內(nèi)安全產(chǎn)品競爭的焦點。

    網(wǎng)絡安全體系中zui重要的安全要素是訪問控制的控制點，其處于網(wǎng)絡通信通道的出入口，也就是在內(nèi)部網(wǎng)絡與外部網(wǎng)絡的通信通道上。一般來講，內(nèi)部網(wǎng)絡通過路由器的廣域網(wǎng)接口與Internet/外部公網(wǎng)相連，再通過此路由器的局域網(wǎng)接口接入內(nèi)部網(wǎng)絡。早些時候,網(wǎng)絡方案中未設計安全體系時，實施訪問控制安全策略往往直接使用路由器的簡單訪問控制列表（ACL）。但是，路由器上定義訪問控制列表有許多局限性，同時也給路由器增加了很重的負荷。作為IP交通樞紐，實現(xiàn)強大的路由協(xié)議才是路由器的己任，承擔業(yè)余的控制功能自然就很顯吃力。因此，獨立的訪問控制設備因應而生，形象稱為防火墻，它將網(wǎng)絡分隔成兩部分。根據(jù)其功能定義，防火墻不應該重復路由器已經(jīng)具備并優(yōu)勢的任何功能，這主要包括路由協(xié)議的實現(xiàn)和Internet的接入能力。顯然，在防火墻的使用方案中，它自然地布置在邊界路由器的后面，這樣防火墻就不必為實現(xiàn)各種類型的廣域網(wǎng)接口而努力，可以專心致力于訪問控制的各項功能。也正因為如此，才極大地推動了防火墻的發(fā)展，使其訪問控制能力和效率不斷提高和完善。

事實上，無論是現(xiàn)有運行網(wǎng)絡還是設計中的網(wǎng)絡方案，防火墻均如此使用，也很少有防火墻支持以太以外的其它類型接口，即使有，也幾乎未使用。因此，為了滿足與Internet間的訪問控制，以及滿足內(nèi)部網(wǎng)絡不同安全屬性網(wǎng)絡間的訪問控制要求，用戶總是在需要控制的網(wǎng)絡出口的地方，毫不猶豫地將防火墻串接進去，讓網(wǎng)絡通信均通過它，依此控制網(wǎng)絡通信及網(wǎng)絡應用的訪問權限。

防火墻具備在網(wǎng)絡方案中對網(wǎng)絡通信進行訪問控制的天然條件。無論如何，通信分組必須要通過防火墻中轉(zhuǎn)，不存在不通過防火墻的第二條途徑，防火墻可以依據(jù)其安全策略直接判定訪問行為的許可特性：轉(zhuǎn)發(fā)、拒絕、丟棄、日志、報警等。理論上，只要能設計出詳細而廣泛的策略，任何不安全事件，防火墻均能夠進行直接而有效的控制，并且，由于它專施其職，往往還很！

防火墻的不斷發(fā)展使其形成為一個系統(tǒng)，對防火墻整體也提出了更高要求，這主要體現(xiàn)在：高性能、高穩(wěn)定可靠性和高應用適應能力。

自然，如此多的功能實現(xiàn)必然要求系統(tǒng)具有的處理能力。通常，性能提高主要集中在兩方面：硬件和軟件，這也與防火墻的類型有關。

軟件型防火墻在軟件設計上下工夫，并對系統(tǒng)平臺提出更高的要求。軟件方面的性能提高，主要體現(xiàn)在操作系統(tǒng)和應用系統(tǒng)的結構和實現(xiàn)上。國外廠商的產(chǎn)品大都自己設計系統(tǒng)，所以往往很精小，效率也很高。如某國外防火墻，盡管其使用的硬件平臺性能并不高，但同比性能卻很好。

硬件防火墻則同時在軟件和硬件兩方面作出努力，這方面，國外防火墻廠商的通常做法是軟件運算硬件化，其所設計或選用的運行平臺本身的性能可能并不高，但它將主要的運算程序（查表運算是防火墻的主要工作）做成芯片，以減少對主機器系統(tǒng)CPU的運算壓力。這樣做的效果往往很好，這也是國外廠商的優(yōu)勢之一。國內(nèi)廠商的防火墻主要為硬件形態(tài)，硬件平臺往往采用通用IPC（工控機）系統(tǒng)（可以節(jié)省硬件開發(fā)成本），所以硬件性能的提高往往直接表現(xiàn)為提升系統(tǒng)CPU的處理能力，增大內(nèi)存容量。在軟件性能方面，國內(nèi)廠商下大工夫的就不多了，幾乎所有廠家的軟件系統(tǒng)都是基于Linux。

防火墻系統(tǒng)為所做的努力往往也直接影響其穩(wěn)定可靠性指標，一個紛繁復雜系統(tǒng)的可靠性是很難讓人信任的，而可靠性對用戶來說至關重要，甚至是致命的。頻繁故障的系統(tǒng)讓網(wǎng)絡管理員膽顫心驚，在重要系統(tǒng)中所造成的損失也是無法承受的，這在金融證券應用中尤為突出。

防火墻的可靠性同樣也體現(xiàn)在兩方面：硬件和軟件。

IPC（工控機）在此方面做得較好，盡管其也使用InX86 PC結構，但它做了如下處理：基本系統(tǒng)*集成在一塊PCB上，主要體現(xiàn)在所使用的網(wǎng)絡接口In82559芯片直接集成在板上，這樣一來自然提高了產(chǎn)品的可靠性。存儲器使用電子存儲，而非機械式磁介質(zhì)存儲，其可靠性的提高是顯而易見，無論是抗震還是對溫度和濕度的適應能力，以及長時期的運行，芯片要可靠得多，而硬盤總是有壽命的。

當然，軟件可靠性的提高也是防火墻優(yōu)劣的主要差別所在。安全需求和網(wǎng)絡應用的不斷發(fā)展，使防火墻一直處于不停的擴充和修訂中，這為其可靠穩(wěn)定性帶來了很大的難度。一般地，一次小修訂都需要對防火墻進行完整的測試和應用檢測。

防火墻的應用適應能力是產(chǎn)品使用和推廣到一定階段必然面臨的問題，這主要體現(xiàn)在產(chǎn)品的使用靈活性上。其實，靈活性往往不是設計師所設計出來的，而是用戶使用出來的。滿足用戶的一次應用要求，產(chǎn)品的使用靈活性就可能前進一步，因此，一個產(chǎn)品的成熟是需要時間的。產(chǎn)品使用的靈活性是相對與一定的使用環(huán)境的，這也形成了國內(nèi)用戶對防火墻使用的特性要求。

主機型防火墻：機箱IPC-8112/主板NET-1612VD4N/CPU PIII 1GHz/內(nèi)存 256M/硬盤 40G

（也可采用“EVOC”P4主板NET-1711VD4N來實現(xiàn)）

網(wǎng)關型防火墻：機箱IPC-8112/主板NET-1612V4N/CPU PIII  850MHz/內(nèi)存 256M/硬盤 40G

個人型防火墻：機箱EC-301/主板 EC3-1544CLD3N（集成GX1 300MHz CPU和64M內(nèi)存）/硬盤 258M（Compact Flash卡）

路由器：機箱IPC-8206/主板FSC-1613VN/ CPU P3 1.0GHz/內(nèi)存 128M/硬盤 40G

各種服務器：機箱IPC-8101/主板FSC-1613VN/ CPU P3 1.0GHz /內(nèi)存 256M/硬盤 70G

終端：機箱IPC-810/主板FSC-1713VN/ CPU 4 2.0GHz /內(nèi)存 256M DDR /硬盤 30G

安全軟件在運行、存儲中是不能保障安全的，軟件運行時很多重要信息都會在某個時間清晰地出現(xiàn)于計算機的存儲器中，因而“高水平”的不法分子竊取并利用這些重要信息十分容易。所以采用由“EVOC” 工業(yè)標準的EIP（Embedded Inligent Platform）產(chǎn)品搭建的硬件平臺，保障了整個系統(tǒng)的安全。

“EVOC”工業(yè)標準的EIP（Embedded Inligent Platform）產(chǎn)品是基于PC總線的工業(yè)計算機，能滿足綜合業(yè)務系統(tǒng)的時間需要，運行可靠穩(wěn)定。主板上的硬件監(jiān)控功能保障系統(tǒng)的正常運行。

網(wǎng)絡安全系統(tǒng)不僅依靠獨立的安全保密設備，還需要從整個系統(tǒng)的安全角度進行考慮。“EVOC”工業(yè)標準的EIP（Embedded Inligent Platform）產(chǎn)品進行了整體化的設計，采用一體化結構，保障整個系統(tǒng)的安全性、保密性。

“EVOC”工業(yè)標準的EIP（Embedded Inligent Platform）產(chǎn)品充分考慮客戶使用的便易性，個性化的設計、生產(chǎn)，滿足不同客戶、系統(tǒng)的要求。