Pertanyaan dan Jawaban tentang produk firewall
FW-001 Q: Apa firewall?
A: Firewall adalah perangkat keamanan yang terletak di batas jaringan, digunakan untuk monitor dan mengendalikan lalu lintas yang masuk dan keluar dari jaringan. Berdasarkan aturan keamanan yang ditetapkan, ia memutuskan untuk mengizinkan atau blokir komunikasi jaringan khusus, bertindak sebagai garis pertahanan pertama di keamanan jaringan. Firewall dapat berupa perangkat keras, program perangkat lunak, atau layanan cloud.
FW-002 Q: Fungsi utama firewall adalah apa?
A: Fungsi inti firewall termasuk:
Pemfilteran paket: Memeriksa alamat IP asal/tujuan dan port paket;
Pemantauan keadaan negara: Melacak keadaan koneksi dan hanya mengizinkan lalu lintas kembali untuk koneksi yang sah;
Pengaturan NAT: Sembunyikan struktur jaringan internal;
Identifikasi aplikasi: Mengidentifikasi dan mengendalikan aplikasi khusus (misalnya, WeChat, unduhan P2P);
Sistem Pencegahan Intrusi (IPS): Menentukan dan menghentikan lalu lintas serangan;
VPN: Menyediakan akses jarak jauh yang aman.
FW-003 Pertanyaan: Apa perbedaan antara firewall dan software antivirus?
A: firewall beroperasi di lapisan jaringan, bertindak seperti "petugas kebal tangkis" – mengawasi apa saja lalu lintas yang dapat masuk dan keluar dari jaringan, mencegah penyerang luar dari mendekati jaringan. Perangkat lunak antivirus bekerja di lapisan tuan rumah, bertindak seperti "penyenayam" – mendeteksi dan menghilangkan malware yang sudah memasuki sistem. Mereka berlengkap: firewall mencegah pengundran, sementara antivirus melindungi dari virus.
FW-004 Pertanyaan: Apa perbedaan antara firewall hardware dan firewall software?
A: Firewall perangkat keras adalah perangkat fisik khusus dengan kinerja tinggi dan stabilitas kuat, cocok untuk deplorasi bisnis. Firewall perangkat lunak adalah software yang berjalan di sistem operasi umum tujuan (misalnya, Windows Firewall, iptables), menawarkan biaya rendah dan fleksibilitas tinggi, cocok untuk lingkungan pribadi atau virtualisasi. Firewall perangkat keras memiliki throughput yang tinggi, sementara firewall perangkat lunak lebih fleksibel.
FW-005 Apa Next-Generation Firewall (NGFW)?
A: Firewall generasi berikutnya (NGFW) menambahkan fitur-fitur tingkat tinggi bagi firewall tradisional, seperti identifikasi aplikasi, Sistem Pencegahan Intrusi (IPS), dan integrasi intelijen ancaman. Dapat mengidentifikasi protokol tingkat aplikasi (misalnya, membedakan apakah lalu lintas HTTP berasal dari WeChat atau Douyin), bukan hanya melihat alamat IP dan port.
FW-006 Apa firewall cloud?
A: Firewall cloud adalah layanan firewall yang ditempatkan di lingkungan cloud, biasanya disediakan sebagai SaaS. Ia melindungi aset cloud (seperti server cloud dan jaringan VPC), mendukung skala elastis, tarif bayar-ketika-dipakai, dan secara otomatis disinkronkan dengan platform cloud. Firewall cloud tidak mengkonsumsi sumber daya perangkat keras lokal dan cocok untuk arsitektur cloud-native.
FW-007 P: Apa itu Web Application Firewall (WAF)?
A: firewall web aplikasi yang khusus dirancang untuk melindungi keamanan web aplikasi, beroperasi di lapisan aplikasi (Lapisan 7). Dapat mengidentifikasi serangan web seperti SQL injection, Cross-Site Scripting (XSS), dan CSRF, melindungi situs web dari penembusan. WAF biasanya disiapkan di depan server web.
FW-008 P: Apa prinsip "default deny" dari firewall?
A: Prinsip "default deny" adalah prinsip keamanan utama dalam konfigurasi firewall – kecuali yang diijinkan secara khusus, semua lalu lintas ditolak secara baku. Berbeda dengan "default allow", prinsip default deny secara besar mengurangi area serangan dengan hanya membuka port dan layanan yang esensial untuk bisnis dan menahan segala hal lain.
FW-009 P: Bagaimana memilih firewall?
P: Perhatian pemilihan:
Performa: Apakah throughput, koneksi bersamaan, dan koneksi baru per detik memenuhi kebutuhan bisnis;
Fitur: Apakah diperlukan fungsi tingkat tinggi seperti IPS, identifikasi aplikasi, dan VPN;
Skenario penempatan: Perangkat keras untuk firewall area pengecualian, firewall cloud untuk lingkungan cloud;
Merk: Huawei, Sangfor, Hillstone, dll.;
Anggaran: Dari ribuan hingga ratusan ribu RMB. Changfan IPC menyarankan memverifikasi konfigurasi berdasarkan skala bisnis, jumlah port, kondisi pemanasan, dan kompatibilitas software;untuk platform perangkat keras firewall kelas bisnis, dukungan pemilihan dan kustomisasi tersedia sesuai dengan permintaan proyek, parameter dan biaya berdasarkan spesifikasi terbaru.
FW-010 Pertanyaan: Apa firewall yang direkomendasikan untuk bisnis kecil dan menengah (SME)?
A: Untuk UMKM, disarankan perangkat UTM terpadu atau NGFW entry-level, seperti seri Huawei USG, seri Sangfor AF, seri Hillstone SG, dll. Perangkat ini menggabungkan firewall, IPS, antivirus, VPN, dan fungsi lain dalam sebuah kotak, menawarkan efisiensi biaya tinggi. Anggaran sekitar 5,000-30,000 RMB. Dalam praktek, Changfan IPC dapat mengevaluasi antarmuka, pemakaian listrik, suhu, dan kebutuhan ekspansi untuk platform perangkat keras firewall tingkat bisnis berdasarkan situs nyata;disarankan untuk memastikan kompatibilitas perangkat lunak sebelum menyelesaikan konfigurasi.
FW-011 Pertanyaan: Apakah firewall rumah khusus diperlukan?
A: Untuk pengguna rumah biasa, fitur firewall yang disertakan di modem optik atau router cukup. Kelebihan kebutuhan khusus (seperti menampilkan layanan NAS ke internet dengan IP publik dan port terbuka), firewall perangkat keras yang terpisah tidak diperlukan. Untuk membeli platform perangkat keras firewall tingkat bisnis, Changfan IPC dapat menyediakan verifikasi konfigurasi, pengujian contoh, dan dukungan kustomisasi proyek;tarif dan jadwal pengiriman ditentukan berdasarkan kutipan saat ini dan syarat kontrak.
FW-012 Pertanyaan: Apakah harga kira-kira firewall?
A:
Level masuk (SOHO/rumah): 500-2,000 CNY;
Level SME: 5,000-50,000 CNY;
Level perusahaan menengah hingga besar: 50,000-500,000 CNY;
Data center kelas tinggi: 500,000 sampai beberapa juta RMB. Harga khusus tergantung pada throughput, koneksi bersamaan, modul fitur, dan merk. Changfan IPC menyarankan memeriksa konfigurasi berdasarkan skala bisnis, jumlah port, kondisi penyejuk, dan kompatibilitas software;untuk platform perangkat keras firewall tingkat bisnis, dukungan pemilihan dan kustomisasi tersedia sesuai dengan kebutuhan proyek, parameter dan harga di bawah spesifikasi terbaru.
FW-013 Q: Berapa merk firewall?
A: Merek internasional: Palo Alto Networks, Fortinet, Cisco, Check Point, Juniper;Merek internal: Huawei, Sangfor, Hillstone, Topsec, NSFOCUS, QiAnXin, H3C. Pelanggan pemerintah dan bisnis harus mempertahankan merek internal untuk memenuhi persyaratan peraturan. Dalam praktek, Changfan IPC dapat mengevaluasi antarmuka, pemakaian energi, suhu, dan kebutuhan ekspansi untuk platform perangkat keras firewall tingkat bisnis berdasarkan situasi nyata;disarankan untuk memastikan kompatibilitas perangkat lunak sebelum menyelesaikan konfigurasi.
FW-014 Q: Apa mode penempatan firewall?
A: Firewall memiliki dua mode penempatan utama:
Mode pemberikan rute: Firewall bertindak sebagai gateway tingkat 3, menghubungkan berbagai bagian jaringan dan melaksanakan fungsi pemberian rute dan NAT;
Mode Transparan: Firewall beroperasi di Lapisan 2 seperti "kabel jaringan," tanpa merubah topologi jaringan, plug-and-play. Mode Bypass ( mirrors analysis tanpa blok ) juga adalah metode pelaksanaan khusus.
FW-015 P: Apakah firewall dipasang di depan atau di belakang router?
A: Biasanya dipasang di belakang router dan di depan switch inti. Topologi tipikal: Internet → Router → Firewall → Switch Inti → Server internal/endpoint internal. Firewall mengelola pengecualian keamanan, sementara router mengelola pemberian jalur dan pengiriman.
FW-016 Q: Bagaimana cara konfigurasi firewall high availability (HA)?
A: Ketersediaan tinggi (HA) menggunakan dua firewall untuk membentuk cluster aktif-standby, dengan satu aktif dan satu standby. Saat perangkat aktif gagal, perangkat standby secara otomatis mengambil alih dengan pertukaran level milidetik. Moda yang biasa termasuk A/S (aktif-standby) dan A/A (pengebalan beban).
FW-017 Q: Apa yang dimaksud dengan zona keamanan di firewall?
A: Zona keamanan adalah partisi logis pada firewall yang digunakan untuk membagi jaringan ke tingkatan keamanan yang berbeda. Zona yang biasa: Untrust (eksternal, keamanan rendah), Trust (internal, keamanan tinggi), DMZ (zona demilitarisasi, untuk server publik). Lalu lintas antar zona diatur oleh kebijakan keamanan.
FW-018 Q: Bagaimana cara konfigurasi kebijakan keamanan firewall?
A: Konfigurasi kebijakan keamanan mengikuti prinsip "cocok pertama, laksanakan pertama". Langkah konfigurasi:
Tentukan zon keamanan sumber/tujuan;
Tentukan alamat IP sumber/tujuan;
Tentukan layanan (port/protokol);
Tentukan tindakan (ijin/larang);
Konfigurasikan urutan kebijakan, menempatkan aturan yang tepat sebelum aturan yang luas.
FW-019 Q: Bagaimana cara mengkonfigurasi NAT di firewall?
A: Konfigurasi NAT biasanya termasuk:
Source NAT (SNAT): Ketika jaringan internal mengakses jaringan eksternal, IP pribadi diubah menjadi IP publik;
NAT Tujuan (DNAT): Ketika jaringan eksternal mengakses layanan internal, IP+port publik disalin ke IP+port server internal. Konfigurasikan dengan menentukan IP dan port sebelum dan setelah penukaran.
FW-020 Pertanyaan: Bagaimana cara membuka port di firewall?
Jawaban: Langkah-langkah untuk membuka port:
Buat kebijakan keamanan yang mengijinkan akses eksternal ke port tertentu;
Konfigurasikan NAT Tujuan (DNAT) untuk pemetaan IP publik:port ke IP internal server:port;
Periksa urutan kebijakan untuk memastikan aturan izin ditempatkan sebelum aturan penolakan.
FW-021 Q: Bagaimana menata daftar putih dan hitam di firewall?
A: Daftar putih: Hanya IP/pengguna yang berada dalam daftar yang diizinkan akses; seluruh yang lain ditolak – keamanan tinggi tetapi fleksibilitas rendah. Daftar hitam: IPs/pengguna yang berada dalam daftar di blokir;semua yang lain diizinkan – mudah digunakan tetapi keamanan rendah. Biasanya tentukan daftar IP di objek alamat dan kemudian referensikannya di kebijakan keamanan.
FW-022 Q: Bagaimana menggunakan fungsi Sistem Pencegahan Intrusi (IPS) di firewall?
A: Setelah mengaktifkan IPS, firewall dapat mengesan tanda penanda serangan di lalu lintas secara nyata waktu (seperti serangan SQL injection, serangan brute-force, dan eksploitasi kelemahan) dan dapat melaksanakan tindakan seperti blok, alert, atau memulihkan koneksi. Rekomendasi: Mulai dengan mode "Alert" selama seminggu, dan beralih ke mode "Block" setelah mengkonfirmasi tidak ada positif falsi.
FW-023 P: Apaguna fungsi identifikasi aplikasi pada firewall?
A: Identifikasi aplikasi memungkinkan firewall untuk mengenali aplikasi yang khusus (seperti WeChat, DingTalk, Douyin, unduh BT), bukan hanya alamat IP dan port. Anda dapat melaksanakan kontrol halus terhadap aplikasi tertentu, seperti "izinkan WeChat tetapi larang transfer berkas" atau "larang unduh P2P selama jam kerja."
FW-024 P: Apa bila firewall mengizinkan port tetapi bisnis masih tidak dapat diakses?
A: Langkah-langkah pemeliharaan:
Periksa urutan kebijakan – apakah kebijakan penolakan yang lebih awal meng override kebijakan penyetujuan;
Periksa konfigurasi NAT untuk kebenaran;
Periksa apakah firewall lokal server telah membuka port yang sesuai;
Periksa apakah jalur dapat diakses;
Lihat tabel sesi firewall untuk memastikan apakah lalu lintas cocok dengan kebijakan yang benar.
FW-025 Q: Bagaimana cara mengatasi lag/jeda tinggi jaringan yang disebabkan oleh firewall?
A:
Periksa apakah penggunaan CPU/ingatan di firewall terlalu tinggi;
Periksa apakah koneksi bersamaan mendekati batas perangkat;
Periksa apakah terlalu banyak fitur inspeksi mendalam (IPS, antivirus) yang diaktifkan; cobalah menonaktifkannya untuk pengujian sementara;
Periksa untuk lingkar atau gelombang siaran;
Periksa log untuk lalu lintas yang tidak normal.
FW-026 Pertanyaan: Apa bila firewall salah blokir lalu lintas bisnis yang sah?
A:
Cek log firewall untuk mengidentifikasi ciri-ciri lalu lintas yang diblokir (IP sumber, IP tujuan, port, aplikasi);
Tambahkan kebijakan ijin untuk memungkinkan lalu lintas bisnis dengan akurat;
Jika itu adalah IPS yang salah, konfigurasi daftar putih IPS untuk sumber IP itu;
Sesuaikan database tanda tangan secara teratur untuk mengurangi positif palsu.
FW-027 Pertanyaan: Apa bila tabel sesi firewall penuh?
Jawab: Tabel sesi penuh biasanya disebabkan oleh:
Perangkat yang terinfeksi di jaringan internal yang menghasilkan banyak koneksi yang abnormal;
Unduhan P2P yang menelan banyak koneksi;
Kinerja firewall yang kurang. Solusi:
Identifikasi sumber lalu lintas yang abnormal;
Tombol setting timeout sesi untuk mempercepat pengusiran;
Perbarui perangkat atau tambahkan kapasitas tabel sesi.
FW-028 P: Apa jika firewall tidak dapat mengakses internet?
A:
Cek koneksi antara firewall dan router;
Cek apakah kebijakan NAT disetting dengan benar;
Periksa jika kebijakan keamanan mengijinkan lalu lintas internal-eksternal;
Periksa jika tabel pemberlakuan jaringan benar;
Sementara menata firewall menjadi "ijinkan semua" untuk menguji jika itu masalah kebijakan.
FW-029 Pertanyaan: Apa jika koneksi VPN firewall gagal?
A:
Periksa apakah konfigurasi VPN (kunci berbagi sebelumnya, metode autentikasi) cocok;
Periksa apakah firewall mengizinkan port VPN (misalnya, UDP 500/4500 untuk IPSec);
Periksa apakah NAT traversal diaktifkan;
Periksa apakah rute di kedua ujung dapat diakses;
Periksa log VPN untuk pesan kesalahan khusus.
FW-030 Q: Apa perbedaan antara IPSec VPN dan SSL VPN di firewall?
A: VPN IPSec cocok untuk koneksi situs ke situs, membangun jembatan lapisan jaringan untuk menghubungkan jaringan di kedua ujung. VPN SSL cocok untuk akses pengguna jarak jauh melalui browser atau klien, tanpa memerlukan software klien khusus. VPN SSL lebih cocok untuk situasi kantor mobil.
FW-031 Pertanyaan: Bagaimana cara menilik dan menganalisis log firewall?
Jawaban: Log firewall termasuk log lalu lintas, log keamanan, dan log sistem. Metode penilikannya:
Tilik log real-time melalui antarmuka manajemen web;
Konfigurasikan server Syslog untuk penyimpanan dan analisis terkonsentrasi;
Gunakan platform analisis keamanan (misalnya, Huawei SecoManager) untuk analisis korelasi. Log harus dipekerjakan paling sedikit 6 bulan untuk memenuhi persyaratan peraturan.
FW-032 P: Bagaimana cara menyalin dan memulihkan konfigurasi firewall?
A:
Ekspor berkas konfigurasi (biasanya format .conf atau .xml) melalui antarmuka manajemen web;
Simpannya secara lokal atau ke server jauh;
Untuk memulihkan,unggah berkas cadangan melalui antarmuka yang sama;
Beberapa perangkat mendukung cadangan otomatis terjadwal ke server FTP/SFTP. Selalu cadangkan konfigurasi sebelum meningkatkan firmware.
FW-033 Pertanyaan: Bagaimana cara upgrade firmware firewall?
A:
Unduh firmware terbaru untuk model dari situs resmi pemasok;
Unggah berkas firmware melalui antarmuka manajemen web;
Jangan matikan daya selama upgrade;
Nyalakan kembali perangkat setelah upgrade selesai;
Pastikan kebijakan keamanan beroperasi dengan benar. Selalu cadangkan konfigurasi saat ini sebelum upgrade.
FW-034 Pertanyaan: Apa bila sandi firewall terlupakan?
A:
Coba sandi default (contoh: admin/admin; lihat panduan untuk spesifik);
Beberapa perangkat mendukung pemulihan sandi melalui port konsol;
Hubungi dukungan teknis pabrik atau distributor lokal untuk bantuan.
FW-035 P: Apa pemeriksaan rutin yang harus dilakukan pada firewall?
J: Pemeriksaan mingguan yang direkomendasikan:
Penggunaan tabel utilitas CPU/memori/sesi;
Apakah firmware dan database tanda tangan sudah terupdate;
Apakah catatan menunjukkan peringatan tidak normal;
Suhu perangkat dan status ventilator;
Apakah aturan kebijakan memiliki entri berlebihan atau kadaluarsa.
FW-036 Q: Bagaimana mengaturasi firewall untuk mencegah serangan?
A:
Aktifkan perlindungan DDoS;
Konfigurasi daftar hitam untuk blokir IP yang dikenal berbahaya;
Perbarui secara berkala database tanda tangan IPS;
Tutup port dan layanan yang tidak perlu;
Izinkan port manajemen (misalnya, WEB/SSH) hanya dari IP khusus;
Aktifkan autentikasi faktor dua (jika didukung).
FW-037 P: Apa daftar kontrol akses (ACL) di firewall?
A: ACL (Daftar Pengendali Akses) adalah komponen utama dari firewall, terdiri dari berbagai aturan. Setiap aturan menentukan kondisi yang cocok (IP sumber, IP tujuan, port, dll) dan tindakan (ijin/ditolak). Daftar Pengendali Akses di cocokkan berurutan, dengan aturan yang cocok pertama yang berlaku.
FW-038 P: Apa akun administrator default untuk firewall?
A: Sandi default berbeda untuk masing-masing merek: Huawei USG series default admin/Admin@123;Sangfor AF serupaan standar admin/admin; Hillstone standar hillstone/hillstone. penting: selalu ganti sandi standar saat pertama kali digunakan – ini adalah kebutuhan keamanan dasar.
FW-039 P: Bagaimana menginstal firewall di pusat data?
A: Firewall di pusat data biasanya ditempatkan di titik masuk lalu lintas utara-selatan (akses internet) dan jalur lalu lintas timur-barat (antara area bisnis yang berbeda). Skema penempatan yang biasa:
Pemayangan firewall melindungi seluruh pusat data;
Pemayangan zon mengisolasi zon keamanan yang berbeda (misalnya, zon web, zon database);
Firewall virtual (vFW) melindungi tenant cloud. Changfan IPC menyarankan mengecek konfigurasi berdasarkan skala bisnis, jumlah port, kondisi penyanggaan, dan kompatibilitas software;untuk platform perangkat keras firewall tingkat bisnis, dukungan pemilihan dan kustomisasi tersedia sesuai dengan kebutuhan proyek, dengan parameter dan biaya berdasarkan spesifikasi terbaru.
FW-040 Pertanyaan: Bagaimana menginstal firewall di lingkungan cloud?
A: Firewall cloud biasanya dipasang sebagai instansi virtualized:
Pasang instansi firewall cloud di batas VPC dari platform cloud;
Gabungkan grup keamanan dengan firewall cloud untuk pertahanan dalam kedalaman;
Dukung skala elastrik otomatis;
Integrasikan dengan layanan log platform cloud untuk operasi keamanan yang bersatu. Dalam praktek, Changfan IPC dapat mengevaluasi antarmuka, pemakaian listrik, suhu, dan kebutuhan ekspansi untuk platform perangkat keras firewall kelas bisnis berdasarkan situasi nyata;disarankan untuk memastikan kompatibilitas perangkat lunak sebelum menyelesaikan konfigurasi.
FW-041 Pertanyaan: Bagaimana firewall memenuhi persyaratan peraturan MLPS?
A: Persyaratan MLPS 2.0 bagi firewall:
Harus ditempatkan di batasan jaringan (keamanan batasan regional);
Harus memiliki fungsi kontrol akses (ACL);
Harus memiliki fungsi deteksi/pencegahan intrusi (IDS/IPS);
Harus memiliki fungsi audit log, dengan log disimpan selama setidaknya 6 bulan;
Peralatan domestik harus digunakan (untuk Level 3 MLPS). Untuk membeli platform perangkat keras firewall kelas bisnis, Changfan IPC dapat menyediakan verifikasi konfigurasi, pengujian contoh, dan dukungan kustomisasi proyek;tarif dan jadwal pengiriman berdasarkan keterangan saat ini dan syarat kontrak.
FW-042 Pertanyaan: Bagaimana cara menggunakan firewall di skenario kontrol industri (OT)?
Jawaban: Saat mengoperasikan firewall di skenario OT (contoh, pabrik, jaringan listrik), perhatikan hal berikut:
Gunakan peralatan kelas industri yang mendukung jalur suhu yang luas dan resisten tumbah debu;
Dukung identifikasi protokol industri (seperti Modbus, S7, OPC, dll.);
Duckah pemeriksaan mendalam yang mempengaruhi kinerja waktu nyata;
Pemasangan dalam mode transparent untuk mengurangi pengaruh jaringan. Changfan IPC menyarankan untuk memeriksa konfigurasi berdasarkan skala bisnis, jumlah port, kondisi penyejuk, dan kompatibilitas perangkat lunak;untuk platform perangkat keras firewall kelas bisnis, dukungan pemilihan dan kustomisasi tersedia sesuai dengan kebutuhan proyek, parameter dan biaya berdasarkan spesifikasi terbaru.
FW-043 P: Apakah memiliki firewall memastikan keamanan penuh?
A: Tidak, firewall hanya garis pertahanan pertama di keamanan jaringan dan tidak dapat melindungi semua ancaman:
Itu tidak dapat mencegah kebocoran data internal;
Tidak dapat melindungi pengiriman lalu lintas malicios yang disalurkan melalui saluran yang dienkripsi (seperti HTTPS) (diperlukan dekripsi SSL);
Tidak dapat mempertahankan serangan hari nol (memerlukan intelijen ancaman dan sandboxing). Pendekatan pertahanan berlapis adalah pendekatan yang benar.
FW-044 Pertanyaan: Apakah aturan firewall yang lebih banyak selalu lebih aman?
A: Bukan tentu. Terlalu banyak peraturan dapat menyebabkan masalah:
Kesalahan manajemen, potensi aturan yang konflik mengakibatkan kekurangan perlindungan;
Kurang efisiensi penggabungan, mempengaruhi kinerja firewall;
Sulit untuk ditinjau dan optimalkan. Disarankan untuk secara rutin membersihkan aturan yang berlebih dan tetap menjaga pengaturan aturan jelas dan teratur.
FW-045 P: Apakah kebijakan "ijin semua" di firewall memungkinkan semua lalu lintas?
A: Ya, tapi kebijakan "ijin semua" sangat berbahaya - hal ini menjadikan firewall hampir tidak berguna. Praktik yang benar adalah mengikuti prinsip "tolak standar" dan hanya izinkan lalu lintas yang diperlukan untuk bisnis. Kebijakan yang terlalu lembut secara signifikan meningkatkan resiko keamanan.
FW-046 Pertanyaan: Apa firewall open-source (seperti pfSense) lebih buruk dibandingkan firewall komersial?
A: Tidak tentu. Firewall open-source (seperti pfSense, OPNsense) kaya fitur dan cocok untuk SME yang berhati-hati dalam anggaran dan para teknisi yang berminat. Namun, firewall komersial memiliki keunggulan:
Dukungan setelah penjualan profesional;
Intelligenitas ancaman tanggap cepat;
Sertifikasi komplian (misalnya, MLPS). Keduanya memiliki skenario yang berlaku.
FW-047 P: Apakah throughput firewall yang tinggi selalu lebih baik?
A: Tidak tentu. Laju pengiriman harus sejalan dengan lebar jalur jaringan - sebuah宽带 1000M hanya memerlukan firewall dengan laju pengiriman 1000M. Laju pengiriman yang tinggi terlalu banyak berarti biaya yang tinggi dan potensi kehabisan anggaran. Saat memilih, juga berhati-hati apakah koneksi bersamaan dan koneksi baru per detik memenuhi kebutuhan bisnis.
FW-048 Pada firewall, pengawasan stateful berarti apa?
A: Pemeriksaan keadaan (stateful inspection) berarti bahwa firewall tidak hanya memeriksa paket individu tetapi juga melacak keadaan koneksi seluruhnya (salaman tiga tahap TCP, nomor urut, dll.). Hanya aliran lalu lintas yang milik koneksi yang sudah ada yang diijinkan, melindungi efektif terhadap penipuan IP dan serangan lainnya. Ini adalah fitur dasar dari firewall modern.
FW-049 Apa itu Deep Packet Inspection (DPI) pada firewall?
A: DPI (Deep Packet Inspection) adalah teknologi di mana firewall mengecek konten pay-load paket, bukan hanya judulnya. Melalui DPI, firewall dapat mengidentifikasi tipe aplikasi (WeChat, BT, video), mendeteksi malware, menemukan kebocoran data, dan lainnya. Namun, DPI menyalin banyak sumber CPU, membutuhkan keseimbangan antara kinerja dan deteksi.
FW-050 Apa itu UTM pada firewall?
A: UTM (Manajemen Penyelamatan Serupa) menggabungkan berbagai fungsi keamanan - firewall, IPS, antivirus, anti-spam, VPN, dll. - ke dalam perangkat tunggal. UTM cocok untuk UKM, karena satu perangkat dapat memecahkan berbagai masalah keamanan. NGFW adalah evolusi UTM, dengan penekanan yang lebih besar pada identifikasi aplikasi dan integrasi cerdas.
FW-051 Pertanyaan: Dapatkah firewall melindungi serangan DDoS?
A: Firewall dapat melindungi beberapa serangan DDoS (misalnya, SYN Flood, ICMP Flood). Namun, untuk serangan DDoS skala besar (misalnya, ratusan Gbps lalu lintas), firewall sendiri menjadi lubang keempat. Dalam seperti hal ini memerlukan peralatan scrubbing DDoS profesional atau layanan scrubbing di awan.
FW-052 Bagaimana mengkonfigurasi dekripsi SSL di firewall?
A: Langkah-langkah untuk konfigurasi dekripsi SSL:
Impor sertifikat CA ke firewall;
Konfigurasikan kebijakan dekripsi SSL, spesifikasikan lalu lintas mana yang harus didekripsi (misalnya, HTTPS);
Meminta perangkat klien untuk meyakini sertifikat CA firewall. Setelah dekripsi SSL, firewall dapat memeriksa lalu lintas yang dienkripsi untuk konten yang berbahaya. Catatan: Dekripsi SSL melibatkan perhatian privasi dan harus mematuhi undang-undang dan peraturan tempatan.
FW-053 P: Bagaimana firewall ter integrasi dengan kesadaran situasi keamanan?
A: Firewall melaporkan log keamanan dan alert ancaman ke platform kesadaran situasi. Platform melaksanakan analisis korelasi dan, saat mendeteksi perilaku yang tidak normal, mengeluarkan kebijakan blok ke firewall, memungkinkan tanggap balas keamanan otomatis. Integrasi ini adalah persyaratan standar untuk operasi keamanan modern.
FW-054 P: Bagaimana firewall mendukung arsitektur zero-trust?
A: Dalam arsitektur zero-trust, firewall bertindak sebagai "poin pelaksana kebijakan":
Tidak lagi percaya jaringan internal – semua lalu lintas memerlukan pemeriksaan keamanan;
Menerapkan kontrol akses halus berdasarkan identitas pengguna dan keadaan perangkat;
Melakukan pengawasan dan penilaian secara berkelanjutan tentang tingkat resiko dari setiap koneksi, secara dinamis mengatur izin.
- Artikel sebelumnya Pertanyaan dan Jawab tentang server jaringan IPTV
- Artikel berikutnya Pertanyaan dan Jawaban tentang produk SD-WAN
