梭子鱼：Windows程序时代防火墙的意义

 “下一代防火墙相对于传统防火墙而言，就如同从DOS系统升级到了Windows系统。” 梭子鱼网络有限公司中国区总经理何平这样评价下一代防火墙的意义。

 

    防火墙走向下一代

 

    传统防火墙在保卫网络安全的进程中立下了赫赫战功，但是在僵尸网络大兵压境，网络复杂程度提高，上网行为管理逐渐成为必须的时候，传统防火墙出现了力不从心的状况。安全方面只能依据简单的端口和协议进行控制，而无法对日益丰富的应用，业务和用户完全识别并加以控制;流量控制方面则无法对网络互连及业务流量进行智能管理;在运维管理上的缺陷也凸显出来，难以实现跨区多点统一快捷的运维管理。

 

    针对传统防火墙的问题，这一两年时间里很多厂商和研究机构等都提出了创新的“下一代防火墙”概念。但是，对这个概念的解释却莫衷一是，没有一个确定的说法。

 

    “Garnter提出的下一代防火墙概念需要具备三要素：第一就是基于角色和应用的管理;第二，具有传统防火墙的所有功能;第三，具备智能的流量管理控制和策略配合。梭子鱼在此基础上增加了广域网链路均衡功能。你如果只有一条链路，一旦中断就不能接入了，新增的功能就是防止这种情况的发生。”何平这样解释了梭子鱼对下一代防火墙的定义。

 

    梭子鱼的下一代防火墙采用的是单引擎的技术。单引擎就是当数据包过来以后，只要打开一次，所有需要控制的模块都要来进行访问，而不仅仅局限在端口访问。与传统UTM最大的不同是不需要采用串联的方式，因而可以很大程度的提高效率。“梭子鱼的引擎也比较独特，我们是采用ACPF的引擎模块，当流量进来了，可以通过用户的认证、时间、日期、链路的状况、防火墙的规则以及链路的QS控制，包括前面我讲的所有可控因素，都可以在单引擎的模式下进行工作，所有的数据包只需要打开一次。” 梭子鱼网络有限公司中国区技术总监谷新先生具体解释了单引擎技术。

 

    梭子鱼的收购动作频繁，“下一代防火墙源于2009年收购的奥地利Phion公司，这家公司成立了10年，这一次收购使我们能够做到从网络层到应用层整体安全防护。”何平说。现在可以提供的是C/S版本，需要安装客户端才能看到操作界面，但是是英文的界面。谷新说，“未来，我们会提供B/S版本，也会对界面进行汉化，用户在浏览器上就可以访问操作界面。”

 

    目前仅有不到1%的Internet连接采用下一代防火墙。Gartner认为，到2014年底，这个比例将增加到占安装量的35%，60%新购买的防火墙将是下一代防火墙。“在未来的一段时间下一代防火墙将替代掉所有的网络防火墙，这是趋势。” 何平这样预测下一代防火墙的未来。