A. 防火牆主要有哪幾種部署方式
防火牆在實際的部署過程中主要有三種模式可供選擇，這三種模式分別是：基於TCP/IP協議三層的NAT模式；
基於TCP/IP協議三層的路由模式；
基於二層協議的透明模式。
1、NAT模式
當Juniper防火牆入口介面（「內網埠」）處於NAT模式時，防火牆將通往Untrust區（外網或者公網）的IP數據包包頭中的兩個組件進行轉換：源IP地址和源埠號。
防火牆使用Untrust區（外網或者公網）介面的IP地址替換始發端主機的源IP地址；同時使用由防火牆生成的任意埠號替換源埠號。
NAT模式應用的環境特徵：
注冊IP地址（公網IP地址）的數量不足；
內部網路使用大量的非注冊IP地址（私網IP
地址）需要合法訪問Internet；
內部網路中有需要外顯並對外提供服務的伺服器。
2、Route-路由模式
當Juniper防火牆介面配置為路由模式時，防火牆在不同安全區間（例如：Trust/Utrust/DMZ）轉發信息流時IP數據包包頭中的源地址和埠號保持不變（除非明確採用了地址翻譯策略）。與NAT模式下不同，防火牆介面都處於路由模式時，防火牆不會自動實施地址翻譯；與透明模式下不同，當防火牆介面都處於路由模式時，其所有介面都處於不同的子網中。
路由模式應用的環境特徵：
防火牆完全在內網中部署應用；
NAT模式下的所有環境；
需要復雜的地址翻譯。
3、透明模式
當Juniper防火牆介面處於「透明」模式時，防火牆將過濾通過的IP數據包，但不會修改IP數據包包頭中的任何信息。防火牆的作用更像是處於同一VLAN的2層交換機或者橋接器，防火牆對於用戶來說是透明的。
透明模式是一種保護內部網路從不可信源接收信息流的方便手段。使用透明模式有以下優點：
不需要修改現有網路規劃及配置；
不需要實施地址翻譯；
可以允許動態路由協議、Vlantrunking的數據包通過。
希望這個回答對你有幫助
B. 用web應用防火牆軟體真的能夠起到作用嗎
肯定是可以的，現在很多的企業防火牆上已經花費了不少的心思，不過騰訊T-Sec We能夠很好的幫助企業，實現自己的安全保護，成為軟體中的佼佼者。
C. 如何選擇合適的Web應用防火牆
開放式Web應用程序安全項目(OWASP)是一個側重於促進應用軟體安全發展的開發式非營利性組織，OWASP建議在選擇Web應用防火牆時應該參照一下標准：·很少出現誤報
(例如，不應該拒絕授權請求等)·默認防禦的強度·容易操作模式·可以預防的漏洞類型·能夠限制個人用戶只能在當前對話中所看到的內容·配置預防特定問題的能力
，如緊急補丁等·WAF提供形式：軟體與硬體(一般偏好硬體)Web應用防火牆主要需要考慮的問題·WAF與源代碼掃描的比較
WAF能夠實時保護應用程序，而不是修復漏洞，這在過去一直受到大家的批評。有些供應商甚至避免使用「WAF」字眼，而是採用「應用層意識」或者「應用層智能」來形容他們的產品。然而，現在越來越普遍的共識是，只有通過正確的部署，WAF才可以作為多層安全模型中重要的組成部分，因為WAF可以在修復應用程序漏洞的時候提供保護。
筆者曾與安全設備提供商交流中表示，應用程序中存在太多漏洞，根本來不及修復代碼本身，並建議通過評估發現的漏洞應該作為自定義規則嵌入WAF中，這樣就能夠減輕目前的狀況並能過後再修復問題。
另一方面，Gartner公司建議客戶考慮採用消除應用程序漏洞的技術，「在你花錢購買設備之前，應該考慮一下，能否通過更強大的系統開發生命周期來消除漏洞，或者通過使用其他工具，如源代碼掃描器。」
對於大多數企業而言，採用其中任意一種方法就足夠了，雖然對於應用安全需求很好的金融或內源用戶而言，筆者認為綜合的安全保護措施不失為更好的選擇。
·硬體設備與軟體比較
Jarden Consumer Solutions公司的全球網路服務和運作IT主管Jack Nelson表示，他們選擇硬體安全網關（集成Web應用安全技術）的主要原因在於，能夠有效的對這兩者進行配置。Jarden公司有個沒有配備IT人員的遠程辦公室，因此Nelson使用基於軟體的版本解決方案，這樣辦公室管理人員就可以在現有WAF失效的時候輕松將任何電腦配置為WAF。「這比購買第二個防火牆更靈活，這樣比快速反應維護費要便宜，」他表示，這種界面非常簡單並且不需要防火牆專家來配置，另外授權是基於密鑰的，這樣比較適用於遠程。
D. 求USG6650在Web界面下，配置防火牆的方式方法
Juniper防火牆IPSec VPN的配置
Juniper所有系列防火牆都支持IPSec VPN，其配置方式有多種，包括：基於策略的VPN、基於路由的VPN、集中星形VPN和背靠背VPN等。在這里，我們主要介紹最常用的VPN模式：基於策略的VPN。
站點間（Site-to-Site）的VPN是IPSec VPN的典型應用，這里我們介紹兩種站點間基於策略VPN的實現方式：站點兩端都具備靜態公網IP地址；站點兩端其中一端具備靜態公網IP地址，另一端動態公網IP地址。
4.1、站點間IPSec VPN配置：staic ip-to-staic ip
當創建站點兩端都具備靜態IP的VPN應用中，位於兩端的防火牆上的VPN配置基本相同，不同之處是在VPN gateway部分的VPN網關指向IP不同，其它部分相同。
VPN組網拓撲圖：staic ip-to-staic ip
4.1.1、使用Web瀏覽器方式配置
① 登錄防火牆設備，配置防火牆為三層部署模式；
② 定義VPN第一階段的相關配置：VPNs=>Autokey Adwanced=>Gateway
配置VPN gateway部分，定義VPN網關名稱、定義「對端VPN設備的公網IP地址」
為本地VPN設備的網關地址、定義預共享密鑰、選擇發起VPN服務的物理埠。
E. 什麼是防火牆我們應在怎樣部署防火牆部署防火牆的原則是什麼
所謂防火牆指的是一個由軟體和硬體設備組合而成、在內部網和外部網之間、專用網與公共網之間的界面上構造的保護屏障.是一種獲取安全性方法的形象說法，它是一種計算機硬體和軟體的結合，使Internet與Intranet之間建立起一個安全網關，從而保護內部網免受非法用戶的侵入，防火牆主要由服務訪問規則、驗證工具、包過濾和應用網關4個部分組成，防火牆就是一個位於計算機和它所連接的網路之間的軟體或硬體。該計算機流入流出的所有網路通信均要經過此防火牆。 部署防火牆： 規則實施
規則實施看似簡單，其實需要經過詳盡的信息統計才可以得以實施。在過程中我們需要了解公司對內對外的應用以及所對應的源地址、目的地址、TCP或UDP的埠，並根據不同應用的執行頻繁程度對策率在規則表中的位置進行排序，然後才能實施配置。原因是防火牆進行規則查找時是順序執行的，如果將常用的規則放在首位就可以提高防火牆的工作效率。另外，應該及時地從病毒監控部門得到病毒警告，並對防火牆的策略進行更新也是制定策略所必要的手段。
規則啟用計劃
通常有些策略需要在特殊時刻被啟用和關閉，比如凌晨3：00。而對於網管員此時可能正在睡覺，為了保證策略的正常運作，可以通過規則啟用計劃來為該規則制定啟用時間。另外，在一些企業中為了避開上網高峰和攻擊高峰，往往將一些應用放到晚上或凌晨來實施，比如遠程資料庫的同步、遠程信息採集等等，遇到這些需求網管員可以通過制定詳細的規則和啟用計劃來自動維護系統的安全。
日誌監控
日誌監控是十分有效的安全管理手段，往往許多管理員認為只要可以做日誌的信息，都去採集，比如說對所有的告警或所有與策略匹配或不匹配的流量等等，這樣的做法看似日誌信息十分完善，但可以想一下每天進出防火牆的數據報文有上百萬甚至更多，你如何在這些密密麻麻的條目中分析你所需要的信息呢？雖然有一些軟體可以通過分析日誌來獲得圖形或統計數據，但這些軟體往往需要去二次開發或制定，而且價格不菲。所以只有採集到最關鍵的日誌才是真正有用的日誌。
一般而言，系統的告警信息是有必要記錄的，但對於流量信息是應該有選擇的。有時候為了檢查某個問題我們可以新建一條與該問題匹配的策略並對其進行觀測。比如：內網發現蠕蟲病毒，該病毒可能會針對主機系統某UDP埠進行攻擊，網管員雖然已經將該病毒清除，但為了監控有沒有其他的主機受感染，我們可以為該埠增加一條策略並進行日誌來檢測網內的流量。
另外，企業防火牆可以針對超出經驗閥值的報文做出響應，如丟棄、告警、日誌等動作，但是所有的告警或日誌是需要認真分析的，系統的告警支持根據經驗值來確定的，比如對於工作站和伺服器來說所產生的會話數是完全不同的，所以有時會發現系統告知一台郵件伺服器在某埠發出攻擊,而很有可能是這台伺服器在不斷的重發一些沒有響應的郵件造成的。
設備管理
對於企業防火牆而言，設備管理方面通常可以通過遠程Web管理界面的訪問以及Internet外網口被Ping來實現，但這種方式是不太安全的，因為有可能防火牆的內置Web伺服器會成為攻擊的對象。所以建議遠程網管應該通過IPsec VPN的方式來實現對內埠網管地址的管理．原則參考： http://wenku..com/view/fb08f948cf84b9d528ea7a16.html
F. 平時使用web應用防火牆配置，有什麼講究
要注意防火牆的部署方法：
Web應用防火牆的部署方式：
1、透明代理模式：當web客戶端與伺服器連接請求時，TCP連接請求時會被WAF截取和監控，之後從WAF工作轉發原理看和透明網橋轉發是一樣的。
2、路由模式部署：和普通的那些路由部署方式沒有什麼差別，從外網進來的流量會到WAF進行安全處理，處理完成後才會轉發給內網的web伺服器。
G. web防火牆用什麼框架
模糊歸納和定位攻擊、事前主動防禦，細化訪問行為。 5，為評估安全狀況提供詳盡報表、應用交付於一體的WEB整體安全防護設備、面向服務的負載均衡、分析攻擊數據、面向過程的應用控制，消除「安全事故」於萌芽之中、事後行為審計。 2、阻斷應用攻擊，改善WEB訪問體驗，擴展服務能力，快速P2DR建模、網頁保護，適應業務規模的快速壯大、防範網頁篡改，全方位保護WEB應用，深度挖掘訪問行為，保障用戶核心應用與業務持續穩定的運行，智能分析應用缺陷、負載均衡，強化應用服務能力、提升應用價值WEB應用防火牆是集WEB防護。 3。 4。 部署圖示 1、屏蔽惡意請求。 6。它集成全新的安全理念與先進的創新架構，阻止風險擴散、事中智能響應，提升系統性能、面向客戶的應用加速
H. 我司的waf web應用防火牆支持哪些部署方式
模式一：透明代理模式（網橋代理模式）
原理：
1、當WEB客戶端對伺服器有連接請求時，TCP連接請求被WAF截取和監控。WAF偷偷的代理了WEB客戶端和伺服器之間的會話，將會話分成了兩段，並基於橋模式進行轉發。
2、從WEB客戶端的角度看，WEB客戶端仍然是直接訪問伺服器，感知不到WAF的存在；
3、從WAF工作轉發原理看和透明網橋轉發一樣。
優勢：
1、對網路的改動最小，可以實現零配置部署；
2、通過WAF的硬體Bypass功能在設備出現故障或者掉電時可以不影響原有網路流量，只是WAF自身功能失效；
3、無需配置映射關系
缺點:
1、網路的所有流量（HTTP和非HTTP）都經過WAF，對WAF的處理性能有一定要求；
2、採用該工作模式無法實現伺服器負載均衡功能；
3、需配置映射關系
模式二：反向代理模式
原理：
1、將真實伺服器的地址映射到反向代理伺服器上，此時代理伺服器對外就表現為一個真實伺服器。由於客戶端訪問的就是WAF，因此在WAF無需像其它模式（如透明和路由代理模式）一樣需要採用特殊處理去劫持客戶端與伺服器的會話然後為其做透明代理。
2、當代理伺服器收到HTTP的請求報文後，將該請求轉發給其對應的真實伺服器。後台伺服器接收到請求後將響應先發送給WAF設備，由WAF設備再將應答發送給客戶端。
和透明代理的唯一區別是——
透明代理客戶端發出的請求的目的地址就直接是後台的伺服器，所以透明代理工作方式不需要在WAF上配置IP映射關系。
優勢：
可以在WAF上同時實現負載均衡；
缺點：
1、需要對網路進行改動，配置相對復雜；
2、除了要配置WAF設備自身的地址和路由外，還需要在WAF上配置後台真實WEB伺服器的地址和虛地址的映射關系；
3、另外如果原來伺服器地址就是全局地址的話（沒經過NAT轉換），還需要改變原有伺服器的IP地址以及改變原有伺服器的DNS解析地址。
模式三：路由代理模式
與網橋透明代理的唯一區別是——
該代理工作在路由轉發模式而非網橋模式，其它工作原理都一樣。由於工作在路由（網關）模式因此需要為WAF的轉發介面配置IP地址以及路由。
優勢：
1、對網路進行簡單改動，要設置該設備內網口和外網口的IP地址以及對應的路由；
2、可以直接作為WEB伺服器的網關，但是存在單點故障問題；
缺點：
1、不支持伺服器負載均衡功能；
2、存在單點故障
3、要負責轉發所有的流量
模式四：埠鏡像模式
原理：
1、只對HTTP流量進行監控和報警，不進行攔截阻斷；
2、該模式需要使用交換機的埠鏡像功能，也就是將交換機埠上的HTTP流量鏡像一份給WAF；
3、對於WAF而言，流量只進不出。
優勢：
1、不需要對網路進行改動；
2、它僅對流量進行分析和告警記錄，並不會對惡意的流量進行攔截和阻斷；
3、適合於剛開始部署WAF時，用於收集和了解伺服器被訪問和被攻擊的信息，為後續在線部署提供優化配置參考。
4、對原有網路不會有任何影響。
缺點：
不會對惡意的流量進行攔截和阻斷。
I. 什麼是防火牆的部署方式
1.透明模式
透明模式也可叫作橋模式。最簡單的網路由客戶端和伺服器組成，客戶端和伺服器處於同一網段。為了安全方面的考慮，在客戶端和伺服器之間增加了防火牆設備，對經過的流量進行安全控制。
正常的客戶端請求通過防火牆送達伺服器，伺服器將響應返回給客戶端，用戶不會感覺到中間設備的存在。工作在橋模式下的防火牆沒有IP地址，當對網路進行擴容時無需對網路地址進行重新規劃，但犧牲了路由、VPN等功能。
2.網關模式
網關模式適用於內外網不在同一網段的情況，防火牆設置網關地址實現路由器的功能，為不同網段進行路由轉發。網關模式相比橋模式具備更高的安全性，在進行訪問控制的同時實現了安全隔離，具備了一定的私密性。
3.NAT模式
NAT(Network Address Translation)地址翻譯技術由防火牆對內部網路的IP地址進行地址翻譯，使用防火牆的IP地址替換內部網路的源地址向外部網路發送數據;當外部網路的響應數據流量返回到防火牆後，防火牆再將目的地址替換為內部網路的源地址。
NAT模式能夠實現外部網路不能直接看到內部網路的IP地址，進一步增強了對內部網路的安全防護。同時，在NAT模式的網路中，內部網路可以使用私網地址，可以解決IP地址數量受限的問題。
J. F5web應用防火牆解決方案咋樣
現在面對應用層級的潛在威脅、安全漏洞和多層攻擊，傳統單一的網路防火牆越來越顯得束手無策了，F5提供全球部署量最大、最靈活的Web安全防火牆，今年還位列Gartner WEB應用防火牆魔力象限領導者。