網路防火牆的設定

如今網路防火牆已經成為了各位網友上網，但是又有對少人能讓他的網路防火牆真正發揮他的作用呢？

許多人對於網路防火牆的功能不加以設定，對網路防火牆的規則不加以設定——這樣，網路防火牆作用就會大大減弱……

網路防火牆的預設設定一般都只能是普遍的設定，也就是說這樣的設定要大致適合成千上百使用者。試問，這樣的設定就一定會100%適合你嗎？肯定不可能。下面，我就以我自己實踐的經驗，談談我自己的看法。

功能設定篇

功能設定屬於外部設定。為什麼這樣說呢？主要因為，這些設定不會改變規則中要求攔截和允許存取對象。

對於我這個經常上網的寬頻使用者來說，隨機啟動是絕對不可少的。如果是撥號使用者或不常上網的使用者來說，防火牆的啟動有兩種方案：

方案一：上網前手動開啟防火牆（一般使用者）

方案二：用一個檔案使防火牆和網路連接一起啟動（進階使用者）

通常，網路防火牆都會有一個安全等級選項。對於這個選擇，絕對不可以隨便選。因為，有不少使用者就是因為不根據實際情況選擇，而導致無法使用某些網路資源或被駭客有機可乘。

像我這樣的固定ip的技術性區域網路使用者來說，我認為設定為中等即可。因為，我們不像某些使用者那樣可以隨意改變自己的ip，所以我們的防禦必須比動態ip使用者要高一些。

但是，是不是越高越好呢？不是。某些使用者，因為不切實際的把安全等級設定為進階，而又不會在規則中設定相應網路規則，而導致無法使用某些網路資源，如線上直播等。

因此，我建議一般使用者將規則設定為中低即可。

至於其他警示設定等，我也不想多說了。但是，我還是要提醒一句，攔截一定要記錄在日誌裡。這樣才以便我們複查。

規則設定篇

ICMP IGMP炸彈都讓一些使用者感到心驚膽戰。所以，某些使用者索性禁止所有ICMP和IGMP。

這樣，顯然是不大好的設定。為什麼呢？因為ICMP IGMP固然被人利用來做炸彈，但是總不能“寧可殺錯一萬，不能放走一個”的全部攔截。且不說別的，就說因為全部攔截ICMP IGMP所耗費的系統資源就數不勝數……

我建議，攔截的只需是ICMP的1型（即echo requset）就已經足夠了。為什麼呢？攔截ICMP的1型主要是為了防駭客用ping命令查詢你是否線上，所以此類ICMP必須攔截。

如果你還是擔心ICMP IGMP炸彈，不妨去微軟那打個補丁。

網路防火牆的一大功能就是防木馬和防駭客，所以自己設定規則攔截木馬和阻截駭客是必要的。

你也許會說，網路防火牆不是有預設的規則嗎？的確，有。但是，這隻是最常見的木馬和漏洞。對於新的危害大的木馬和漏洞，恐怕原先的規則就不能勝任他的任務了。

那麼，我們怎樣設定規則呢？

首先，我們必須利用反病毒廠家網站提供的資訊。因為，那裡詳細記載了許多病毒、木馬的分析結果和漏洞的資料。我認為哪怕你有分析木馬來源程式和找出漏洞的能力，也沒必要任何事情都親力親為，因為木馬和漏洞是在太多了，全部代碼都自己分析，根本是不切實際的。

然後，就設定自己的防火牆。由於不同廠家網路防火牆設定規則上有所不同，所以本文不可能詳細講解。

當然，這需要一定專業知識。對於一般使用者來說，恐怕就有點困難了。怎麼辦？不怕，可以借用別人的成果。例如，去論壇請教高手或直接發郵件詢問高手即可解決。

還應該提醒大家的是防火牆規則不要重複，更不要矛盾。重複的規則浪費系統資源；矛盾的規則讓防火牆左右為難，最終讓別人有機可乘……

網路防火牆設定是一門永遠也講不完的學問，有興趣你也可以去研究研究。