问：我们目前的网络有两套防火墙系统：Fortinet的FortiGate和思科的PIX Firewall。为减少处理延迟，我建议使用一个防火墙，而不是两套设施。从安全角度讲，采用不同厂商的多个防火墙有什么好处吗？ 答：你的问题提出了几个有趣的事情。 首先，你假定两个防火墙给网络带来了明显的延迟。
一般说来，如果使用能适应现代企业网络容量的现代防火墙，即使结合使用两个防火墙，应该不会出现任何明显的延迟。如果你的网络出现延迟，很有可能表示其中的一个防火墙或者两个防火墙都不能跟上网络带宽的需求。因此，可能需要升级成更大容量的防火墙。 &nb……
我们一直都在努力坚持原创.......请不要一声不吭，就悄悄拿走。
我原创，你原创，我们的内容世界才会更加精彩！
【所有原创内容版权均属TechTarget，欢迎大家转发分享。但未经授权，严禁任何媒体（平面媒体、网络媒体、自媒体等）以及微信公众号复制、转载、摘编或以其他方式进行使用。】
微信公众号
TechTarget
官方微博
TechTarget中国
问：我们目前的网络有两套防火墙系统：Fortinet的FortiGate和思科的PIX Firewall。为减少处理延迟，我建议使用一个防火墙，而不是两套设施。从安全角度讲，采用不同厂商的多个防火墙有什么好处吗？
答：你的问题提出了几个有趣的事情。
首先，你假定两个防火墙给网络带来了明显的延迟。一般说来，如果使用能适应现代企业网络容量的现代防火墙，即使结合使用两个防火墙，应该不会出现任何明显的延迟。如果你的网络出现延迟，很有可能表示其中的一个防火墙或者两个防火墙都不能跟上网络带宽的需求。因此，可能需要升级成更大容量的防火墙。
其次，考虑一下防火墙的安装方式。它们是直接互相连接吗？如果是这种情况的话，建议采用能使两个防火墙发挥最大功效的拓扑结构。想要了解更多的安装信息，可参考我的文章《在防火墙拓扑结构中安装系统》。如果防火墙并非直接相连，确保它们不是多宿主拓扑结构的一部分。
如果安装两个防火墙不是为了满足商业上的需求，那么我觉得应该考虑较少其中一个。这倒不是强调性能方面的原因，而是维护两套不同的系统会带来一定的难度困难和管理开支。如果规则有所改变，两个防火墙都要做相应的调整，这样管理时间会成倍增加。不过，如果你想安装两个防火墙，以防止出现硬件故障，建议在高容量的部署中考虑使用同种设备的两个防火墙。这样，当一个防火墙失效时，另一个防火墙能取而代之。
作者
Mike Chapple, CISSP，University of Notre Dame的IT安全专家。他曾担任国家安全局和美国空军的信息安全研究员。Mike经常为SearchSecurity.com撰稿，是《信息安全》杂志的技术编辑。
相关推荐
-
NSS实验室评估下一代防火墙
根据NSS实验室对下一代防火墙的评估发现，来自七家供应商的产品可有效保护企业免受恶意流量的侵害，而且总体拥有成 […]
-
为什么单靠网络外围安全行不通？
近20年来，大多数企业对网络安全采取了古老的“吊桥和护城河”的方法，即把所有企业流量汇集到网关，同时通过防火墙阻止所有不良流量。现在这种方法怎么会可行…
-
“外围”消亡 企业安全防护需要新形态
外围不复存在，所以我们如何期望防火墙保护员工呢？防火墙如何保护移动设备上的应用呢？因此，企业既要利用网络级的保护，更要重视利用应用级的保护。
-
怎样正确地测试和维护防火墙？
大多数企业认为防火墙是一种成熟的技术，且通常安全专家也不会过多考虑防火墙。在审计或评估防火墙时，企业通常只是简单地勾选表明防火墙在保护网络的选项就完事……