[浅析如何让刚入园的孩子尽快适应新环境]新生入园时，都会有一个相当长的适应期。幼儿入园不适应现象，不仅给老师带来许多麻烦，同时也使家长非常担心和忧虑，更影响了幼儿的身心健康成长。为了能缩短孩子的适应期，减轻和降...+阅读
安全性对比 浅析防火墙与路由器配置
防火墙已经成为企业网络建设中的一个关键组成部分。但有很多用户，认为网络中已经有了路由器，可以实现一些简单的滤功能，所以，为什么还要用防火墙呢？以下我们针对Eye防火墙与业界应用最多、代表性的CISCO路由器在安全方面的对比，来阐述为什么用户网络中有了路由器还需要防火墙。
一、 两种设备产生和存在的背景不同
1.两种设备产生的根源不同
路由器的产生是基于对网络数据包路由而产生的。路由器需要完成的是将不同网络的数据包进行有效的路由，至于为什么路由、是否应该路由、路由过后是否有问题等根本不关心，所关心的是：能否将不同的网段的数据包进行路由从而进行通讯。
防火墙是产生于人们对于安全性的需求。数据包是否可以正确的到达、到达的时间、方向等不是防火墙关心的重点，重点是这个
（一系列）数据包是否应该通过、通过后是否会对网络造成危害。
2.根本目的不同
路由器的根本目的是：保持网络和数据的"通"。
防火墙根本的的目的是：保证任何非允许的数据包"不通"。
二、核心技术的不同
Cisco路由器核心的ACL列表是基于简单的滤，从防火墙技术实现的角度来说，Eye防火墙是基于状态滤的应用级信息流过滤。
下图是一个最为简单的应用：企业内网的一台主机，通过路由器对内网提供服务（假设提供服务的端口为tcp 1455）。为了保证安全性，在路由器上需要配置成：外－》内 只允许client访问 server的tcp 1455端口，其他拒绝。
针对现在的配置，存在的安全脆弱性如下：
1、IP地址欺骗（使连接非正常复位）
2、TCP欺骗（会话重放和劫持）
存在上述隐患的原因是，路由器不能监测TCP的状态。如果在内网的client和路由器之间放上Eye防火墙，由于Eye防火墙能够检测TCP的状态，并且可以重新随机生成TCP的序列号，则可以彻底消除这样的脆弱性。同时，Eye 防火墙的一次性口令认证客户端功能，能够实现在对应用完全透明的情况下，实现对用户的访问控制，其认证支持标准的Radius协议和本地认证数据库，可以完全与第三方的认证服务器进行互操作，并能够实现角色的划分。
虽然，路由器的"Lock-and-Key"功能能够通过动态访问控制列表的方式，实现对用户的认证，但该特性需要路由器提供Tel服务，用户在使用使也需要先Tel到路由器上，使用起来不很方便，同时也不够安全（开放的端口为黑客创造了机会）。
三、安全策略制定的复杂程度不同
路由器的默认配置对安全性的考虑不够，需要一些高级配置才能达到一些防范攻击的作用，安全策略的制定绝大多数都是基于命令行的，其针对安全性的规则的制定相对比较复杂，配置出错的概率较高。
Eye 防火墙的默认配置既可以防止各种攻击，达到既用既安全，安全策略的制定是基于全中文的GUI的管理工具，其安全策略的制定人性化，配置简单、出错率低。
四、对性能的影响不同
路由器是被设计用来转发数据包的，而不是专门设计作为全特性防火墙的，所以用于进行滤时，需要进行的运算非常大，对路由器的CPU和内存的需要都非常大，而路由器由于其硬件成本比较高，其高性能配置时硬件的成本都比较大。
Eye防火墙的硬件配置非常高（采用通用的INTEL芯片，性能高且成本低），其软件也为数据包的过滤进行了专门的优化，其主要模块运行在操作系统的内核模式下，设计之时特别考虑了安全问题，其进行数据滤的性能非常高。
由于路由器是简单的滤，滤的规则条数的增加，NAT规则的条数的增加，对路由器性能的影响都相应的增加，而Eye防火墙采用的是状态滤，规则条数，NAT的规则数对性能的影响接近于零。
五、审计功能的强弱差异巨大
路由器本身没有日志、事件的存储介质，只能通过采用外部的日志服务器（如syslog，trap）等来完成对日志、事件的存储；路由器本身没有审计分析工具，对日志、事件的描述采用的是不太容易理解的语言；路由器对攻击等安全事件的相应不完整，对于很多的攻击、扫描等操作不能够产生准确及时的事件。审计功能的弱化，使管理员不能够对安全事件进行及时、准确的响应。
Eye防火墙的日志存储介质有两种，包括本身的硬盘存储，和单独的日志服务器；针对这两种存储，Eye 防火墙都提供了强大的审计分析工具，使管理员可以非常容易分析出各种安全隐患；Eye 防火墙对安全事件的响应的及时性，还体现在他的多种报警方式上，包括蜂鸣、trap、邮件、日志；Eye 防火墙还具有实时监控功能，可以在线监控通过防火墙的连接，同时还可以捕捉数据包进行分析，非分析网络运行情况，排除网络故障提供了方便。
六、防范攻击的能力不同
对于像Cisco这样的路由器，其普通版本不具有应用层的防范功能，不具有入侵实时检测等功能，如果需要具有这样的功能，就需要生级升级IOS为防火墙特性集，此时不单要承担软件的升级费用，同时由于这些功能都需要进行大量的运算，还需要进行硬件配置的升级，进一步增加了成本，而且很多厂家的路由器不具有这样的高级安全功能。可以得出：
·具有防火墙特性的路由器成本 >防火墙 + 路由器
·具有防火墙特性的路由器功能< 防火墙 + 路由器
·具有防火墙特性的路由器可扩展性< 防火墙 + 路由器
综上所述，可以得出结论：用户的网络拓扑结构的简单与复杂、用户应用程序的难易程度不是决定是否应该使用防火墙的标准，决定用户是否使用防火墙的一个根本条件是用户对网络安全的需求！
即使用户的网络拓扑结构和应用都非常简单，使用防火墙仍然是必需的和必要的；如果用户的环境、应用比较复杂，那么防火墙将能够带来更多的好处，防火墙将是网络建设中不可或缺的一部分，对于通常的网络来说，路由器将是保护内部网的第一道关口，而防火墙将是第二道关口，也是最为严格的一道关口。
以下为关联文档：
舞在诗词间——浅析诗歌与舞蹈融合教学提高学生学习力摘要：近年来，教育界也越来越重视学科间的交叉融合。本文试以从舞蹈教学引入诵读经典的方式促进学科教育融合，浅析诗歌与舞蹈融合教学提升学生学习力的意义和路径方法。关键词：...
如何购买路由器的五个知识方法/步骤无线路由器选择标准1、无线标准我们常看到产品说明书上会写遵循IEEE802.11b，IEEE802.11g标准，这个就是无线协议标准。可能大家一听到这些就会头大，说的简单点，802.11...
路由器设置怎么进不去界面怎么办路由器设置进不去界面的解决方法1：清理IE缓存单击左下角的【开始】按钮弹出的菜单单击【控制面板】在控制面板中单击【Inter 选项】在【常规】选项卡下的【浏览历史记录】...
华为路由Q1怎么设置上网1、打开设置界面打开电脑中的浏览器，在地址栏中输入：192.168.3.1 并按下键盘中的回车在跳转的界面中，点击马上体验。打开华为路由Q1的设置界面2、设置上网此时华为路由Q1会...
路由器的品牌排行榜(始创于1984年,美国财富500强,全球领先的网络解决方案供应商,思科系统(中国)信息技术服务有限公司)路由器的品牌排行榜2、华为HUAWEI(成立于1988年中国深圳,十大无线路由...
华为单臂路由的配置方法步骤图首先利用华为模拟器eNSP来设计逻辑网络拓朴图，有一台路由器AR1220，一台二层交换机S3700，二台PC主机。其之间用线缆连接并作好标注。在华为模拟器eNSP中打开终端配置交换机S370...
华为路由器忘记了用户名和密码怎么办如果忘记了华为路由器的登陆用户名和密码，可以按照以下2个步骤来解决：1、尝试用默认用户名和密码登录;2、把华为路由器恢复出厂设置。下面详细进行详细介绍华为路由器登陆用...
732例聋儿心理浅析与早期干预对策聋儿由于听力障碍，造成语言发育迟缓，他们心理发展的特点、规律有一定的特殊性。聋儿康复就是对聋儿进行早期干预，全面康复，其中对聋儿心理康复是一个不容忽视的重要课题。 本文...
幼师队伍“逆淘汰”现象浅析及对策教师被誉为“人类灵魂工程师”，教师职业被视为“太阳底下最光辉的职业”。随着社会对知识的尊重、对人才的尊重，必定带来对教育的重视、对教师的尊重。教师地位不再是“臭老九...
