Soal Jawab mengenai produk tembok api

FW-001 Soalan: Apakah itu tembok api?
Jawapan: Tembok api ialah peranti keselamatan yang terletak di sempadan rangkaian, digunakan untuk memantau dan mengawal trafik yang masuk dan keluar dari rangkaian. Berdasarkan peraturan keselamatan yang telah ditetapkan, ia memutuskan untuk membenarkan atau menyekat komunikasi rangkaian tertentu, berfungsi sebagai barisan pertahanan pertama dalam keselamatan rangkaian. Tembok api boleh menjadi peranti perkakasan, program perisian, atau perkhidmatan awan.

FW-002 Soalan: Apakah fungsi utama tembok api?
Jawapan: Fungsi teras tembok api termasuk:

• Penapisan paket: Memeriksa alamat IP sumber/destinasi dan port paket;

• Pemeriksaan stateful: Menjejak keadaan sambungan dan hanya membenarkan trafik balasan untuk sambungan sah;

• Terjemahan NAT: Menyembunyikan struktur rangkaian dalaman;

• Pengenalan aplikasi: Mengenal pasti dan mengawal aplikasi tertentu (contohnya, WeChat, muat turun P2P);

• Sistem Pencegahan Pencerobohan (IPS): Mengesan dan menyekat trafik serangan;

• VPN: Menyediakan akses jauh yang selamat.

FW-003 Soalan: Apakah perbezaan antara tembok api dan perisian antivirus?
Jawapan: Tembok api beroperasi pada lapisan rangkaian, bertindak sebagai "penjaga pintu" – mengawal trafik apa yang boleh masuk dan keluar dari rangkaian, menghalang penyerang luar daripada menembusi rangkaian. Perisian antivirus berfungsi pada lapisan hos, bertindak sebagai "pengimbas" – mengesan dan membuang perisian hasad yang telah masuk ke dalam sistem. Mereka saling melengkapi: tembok api menghalang pencerobohan, manakala antivirus melindungi daripada virus.

FW-004 Soalan: Apakah perbezaan antara tembok api perkakasan dan tembok api perisian?
Jawapan: Tembok api perkakasan ialah peranti fizikal khusus dengan prestasi tinggi dan kestabilan yang kuat, sesuai untuk penggunaan perusahaan. Tembok api perisian ialah perisian yang berjalan pada sistem pengendalian tujuan umum (contohnya, Windows Firewall, iptables), menawarkan kos rendah dan fleksibiliti tinggi, sesuai untuk persekitaran peribadi atau maya. Tembok api perkakasan mempunyai daya pemprosesan yang lebih tinggi, manakala tembok api perisian lebih fleksibel.

FW-005 Soalan: Apakah itu Tembok Api Generasi Seterusnya (NGFW)?
Jawapan: Tembok Api Generasi Seterusnya (NGFW) menambah ciri lanjutan kepada tembok api tradisional, seperti pengenalan aplikasi, Sistem Pencegahan Pencerobohan (IPS), dan integrasi risikan ancaman. Ia boleh mengenal pasti protokol lapisan aplikasi (contohnya, membezakan sama ada trafik HTTP berasal dari WeChat atau Douyin), bukannya hanya melihat alamat IP dan port.

FW-006 Soalan: Apakah itu tembok api awan?
Jawapan: Tembok api awan ialah perkhidmatan tembok api yang digunakan dalam persekitaran awan, biasanya disediakan sebagai SaaS. Ia melindungi aset awan (seperti pelayan awan dan rangkaian VPC), menyokong penskalaan elastik, harga bayar-sebagaimana-digunakan, dan disepadukan secara asli dengan platform awan. Tembok api awan tidak menggunakan sumber perkakasan di premis dan sesuai untuk seni bina asli awan.

FW-007 Soalan: Apakah itu Tembok Api Aplikasi Web (WAF)?
Jawapan: Tembok Api Aplikasi Web (WAF) ialah tembok api yang direka khusus untuk melindungi keselamatan aplikasi web, beroperasi pada lapisan aplikasi (Lapisan 7). Ia boleh mengenal pasti serangan web seperti suntikan SQL, Cross-Site Scripting (XSS), dan CSRF, melindungi laman web daripada penggodaman. WAF biasanya digunakan di hadapan pelayan web.

FW-008 Soalan: Apakah prinsip "penafian lalai" tembok api?
Jawapan: Prinsip "penafian lalai" ialah prinsip keselamatan teras dalam konfigurasi tembok api – melainkan dibenarkan secara jelas, semua trafik ditolak secara lalai. Tidak seperti "kebenaran lalai," prinsip penafian lalai mengurangkan permukaan serangan dengan ketara dengan hanya membuka port dan perkhidmatan yang penting untuk perniagaan dan menyekat semua yang lain.

FW-009 Soalan: Bagaimana memilih tembok api?
Jawapan: Pertimbangan pemilihan:

• Prestasi: Sama ada daya pemprosesan, sambungan serentak, dan sambungan baharu sesaat memenuhi keperluan perniagaan;

• Ciri: Sama ada fungsi lanjutan seperti IPS, pengenalan aplikasi, dan VPN diperlukan;

• Senario penggunaan: Perkakasan untuk tembok api perimeter, tembok api awan untuk persekitaran awan;

• Jenama: Huawei, Sangfor, Hillstone, dan lain-lain;

• Bajet: Dari beberapa ribu hingga ratusan ribu CNY. Changfan IPC mengesyorkan mengesahkan konfigurasi berdasarkan skala perniagaan, bilangan port, keadaan penyejukan, dan keserasian perisian; untuk platform perkakasan tembok api gred perusahaan, sokongan pemilihan dan penyesuaian tersedia mengikut keperluan projek, dengan parameter dan harga tertakluk kepada spesifikasi terkini.

FW-010 Soalan: Tembok api apakah yang disyorkan untuk perusahaan kecil dan sederhana (PKS)?
Jawapan: Untuk PKS, peranti UTM bersepadu atau NGFW peringkat permulaan disyorkan, seperti siri Huawei USG, siri Sangfor AF, siri Hillstone SG, dan lain-lain. Peranti ini menyepadukan tembok api, IPS, antivirus, VPN, dan fungsi lain dalam satu kotak, menawarkan kos efektif yang tinggi. Bajet kira-kira 5,000-30,000 CNY. Dalam amalan, Changfan IPC boleh menilai antara muka, penggunaan kuasa, suhu, dan keperluan pengembangan untuk platform perkakasan tembok api gred perusahaan berdasarkan senario sebenar; disyorkan untuk mengesahkan keserasian perisian sebelum memuktamadkan konfigurasi.

FW-011 Soalan: Adakah tembok api khusus rumah diperlukan?
Jawapan: Untuk pengguna rumah biasa, ciri tembok api terbina dalam modem optik atau penghala adalah mencukupi. Melainkan terdapat keperluan khas (seperti mendedahkan perkhidmatan NAS ke internet dengan IP awam dan port terbuka), tembok api perkakasan berasingan tidak diperlukan. Untuk pembelian platform perkakasan tembok api gred perusahaan, Changfan IPC boleh menyediakan pengesahan konfigurasi, ujian sampel, dan sokongan penyesuaian projek; harga dan jadual penghantaran tertakluk kepada sebut harga semasa dan terma kontrak.

FW-012 Soalan: Apakah harga anggaran tembok api?
Jawapan:

• Peringkat permulaan (SOHO/rumah): 500-2,000 CNY;

• Gred PKS: 5,000-50,000 CNY;

• Gred perusahaan sederhana hingga besar: 50,000-500,000 CNY;

• Gred pusat data mewah: 500,000 hingga beberapa juta CNY. Harga khusus bergantung kepada daya pemprosesan, sambungan serentak, modul ciri, dan jenama. Changfan IPC mengesyorkan mengesahkan konfigurasi berdasarkan skala perniagaan, bilangan port, keadaan penyejukan, dan keserasian perisian; untuk platform perkakasan tembok api gred perusahaan, sokongan pemilihan dan penyesuaian tersedia mengikut keperluan projek, dengan parameter dan harga tertakluk kepada spesifikasi terkini.

FW-013 Soalan: Apakah jenama tembok api?
Jawapan: Jenama antarabangsa: Palo Alto Networks, Fortinet, Cisco, Check Point, Juniper; Jenama domestik: Huawei, Sangfor, Hillstone, Topsec, NSFOCUS, QiAnXin, H3C. Pelanggan kerajaan dan perusahaan harus mengutamakan jenama domestik untuk memenuhi keperluan pematuhan. Dalam amalan, Changfan IPC boleh menilai antara muka, penggunaan kuasa, suhu, dan keperluan pengembangan untuk platform perkakasan tembok api gred perusahaan berdasarkan senario sebenar; disyorkan untuk mengesahkan keserasian perisian sebelum memuktamadkan konfigurasi.

FW-014 Soalan: Apakah mod penggunaan tembok api?
Jawapan: Tembok api mempunyai dua mod penggunaan utama:

• Mod penghalaan: Tembok api bertindak sebagai gerbang Lapisan 3, menyambungkan segmen rangkaian yang berbeza dan melaksanakan fungsi penghalaan dan NAT;

• Mod telus: Tembok api beroperasi pada Lapisan 2 seperti "kabel rangkaian," tanpa mengubah topologi rangkaian, pasang dan guna. Mod pintasan (analisis cermin tanpa menyekat) juga merupakan kaedah penggunaan khas.

FW-015 Soalan: Adakah tembok api digunakan di hadapan atau di belakang penghala?
Jawapan: Biasanya digunakan di belakang penghala dan di hadapan suis teras. Topologi tipikal: Internet → Penghala → Tembok Api → Suis Teras → Pelayan/terminal dalaman. Tembok api mengendalikan penapisan keselamatan, manakala penghala mengendalikan penghalaan dan pemajuan.

FW-016 Soalan: Bagaimana mengkonfigurasi ketersediaan tinggi (HA) tembok api?
Jawapan: Ketersediaan tinggi (HA) menggunakan dua tembok api untuk membentuk kluster aktif-siap sedia, dengan satu aktif dan satu siap sedia. Apabila peranti aktif gagal, peranti siap sedia mengambil alih secara automatik dengan pensuisan peringkat milisaat. Mod biasa termasuk A/S (aktif-siap sedia) dan A/A (pengimbangan beban).

FW-017 Soalan: Apakah zon keselamatan pada tembok api?
Jawapan: Zon keselamatan ialah partition logik pada tembok api yang digunakan untuk membahagikan rangkaian kepada tahap keselamatan yang berbeza. Zon biasa: Untrust (luaran, keselamatan rendah), Trust (dalaman, keselamatan tinggi), DMZ (zon demiliterisasi, untuk pelayan yang menghadap awam). Trafik antara zon yang berbeza dikawal oleh dasar keselamatan.

FW-018 Soalan: Bagaimana mengkonfigurasi dasar keselamatan tembok api?
Jawapan: Konfigurasi dasar keselamatan mengikut prinsip "padanan pertama, laksana pertama." Langkah konfigurasi:

• Tentukan zon keselamatan sumber/destinasi;

• Tentukan alamat IP sumber/destinasi;

• Tentukan perkhidmatan (port/protokol);

• Tentukan tindakan (benarkan/tolak);

• Konfigurasikan susunan dasar, letakkan peraturan tepat sebelum peraturan luas.

FW-019 Soalan: Bagaimana mengkonfigurasi NAT pada tembok api?
Jawapan: Konfigurasi NAT biasanya termasuk:

• NAT sumber (SNAT): Apabila rangkaian dalaman mengakses rangkaian luaran, IP persendirian diterjemahkan kepada IP awam;

• NAT destinasi (DNAT): Apabila rangkaian luaran mengakses perkhidmatan dalaman, IP awam+port dipetakan kepada IP pelayan dalaman+port. Konfigurasikan dengan menentukan IP dan port sebelum dan selepas terjemahan.

FW-020 Soalan: Bagaimana membuka port pada tembok api?
Jawapan: Langkah membuka port:

• Cipta dasar keselamatan yang membenarkan akses luaran ke port tertentu;

• Konfigurasikan NAT Destinasi (DNAT) untuk memetakan IP awam:port ke IP pelayan dalaman:port;

• Periksa susunan dasar untuk memastikan peraturan benarkan diletakkan sebelum peraturan tolak.

FW-021 Soalan: Bagaimana menyediakan senarai putih dan senarai hitam pada tembok api?
Jawapan: Senarai putih: Hanya IP/pengguna dalam senarai dibenarkan akses; semua yang lain ditolak – keselamatan tinggi tetapi fleksibiliti rendah. Senarai hitam: IP/pengguna dalam senarai disekat; semua yang lain dibenarkan – mudah dikendalikan tetapi keselamatan lebih rendah. Biasanya tentukan senarai IP dalam objek alamat dan kemudian rujuk dalam dasar keselamatan.

FW-022 Soalan: Bagaimana menggunakan fungsi Sistem Pencegahan Pencerobohan (IPS) tembok api?
Jawapan: Selepas mengaktifkan IPS, tembok api mengesan tandatangan serangan dalam trafik dalam masa nyata (seperti suntikan SQL, serangan brute-force, eksploitasi kelemahan) dan boleh melakukan tindakan seperti menyekat, memberi amaran, atau menetapkan semula sambungan. Cadangan: Mulakan dengan mod "Amaran" selama seminggu, dan tukar kepada mod "Sekat" selepas mengesahkan tiada positif palsu.

FW-023 Soalan: Apakah kegunaan pengenalan aplikasi pada tembok api?
Jawapan: Pengenalan aplikasi membolehkan tembok api mengenali aplikasi tertentu (seperti WeChat, DingTalk, Douyin, muat turun BT), bukannya hanya alamat IP dan port. Anda boleh melaksanakan kawalan terperinci ke atas aplikasi tertentu, seperti "benarkan WeChat tetapi larang pemindahan fail" atau "larang muat turun P2P semasa waktu bekerja."

FW-024 Soalan: Apakah yang perlu dilakukan jika tembok api membenarkan port tetapi perniagaan masih tidak dapat diakses?
Jawapan: Langkah penyelesaian masalah:

• Periksa susunan dasar – sama ada dasar tolak sebelumnya mengatasi dasar benarkan;

• Periksa konfigurasi NAT untuk ketepatan;

• Periksa sama ada tembok api tempatan pelayan telah membuka port yang sepadan;

• Periksa sama ada laluan boleh dicapai;

• Lihat jadual sesi tembok api untuk mengesahkan sama ada trafik sepadan dengan dasar yang betul.

FW-025 Soalan: Bagaimana menyelesaikan masalah lag/kependaman tinggi rangkaian yang disebabkan oleh tembok api?
Jawapan:

• Periksa sama ada penggunaan CPU/memori pada tembok api terlalu tinggi;

• Periksa sama ada sambungan serentak hampir dengan had peranti;

• Periksa sama ada terlalu banyak ciri pemeriksaan mendalam (IPS, antivirus) diaktifkan; cuba lumpuhkan sementara untuk ujian;

• Periksa gelung atau ribut siaran;

• Periksa log untuk trafik tidak normal.

FW-026 Soalan: Apakah yang perlu dilakukan jika tembok api tersilap menyekat trafik perniagaan yang sah?
Jawapan:

• Periksa log tembok api untuk mengenal pasti ciri trafik yang disekat (IP sumber, IP destinasi, port, aplikasi);

• Tambah dasar benarkan untuk membenarkan trafik perniagaan itu dengan tepat;

• Jika ia positif palsu IPS, konfigurasikan senarai putih IPS untuk IP sumber tersebut;

• Kemas kini pangkalan data tandatangan secara berkala untuk mengurangkan positif palsu.

FW-027 Soalan: Apakah yang perlu dilakukan jika jadual sesi tembok api penuh?
Jawapan: Jadual sesi penuh biasanya disebabkan oleh:

• Peranti dijangkiti dalam rangkaian dalaman menjana banyak sambungan tidak normal;

• Muat turun P2P menggunakan sejumlah besar sambungan;

• Prestasi tembok api tidak mencukupi. Penyelesaian:

• Kenal pasti sumber trafik tidak normal;

• Laraskan tetapan timeout sesi untuk mempercepatkan penuaan;

• Naik taraf peranti atau tingkatkan kapasiti jadual sesi.

FW-028 Soalan: Apakah yang perlu dilakukan jika tembok api tidak dapat mengakses internet?
Jawapan:

• Periksa konektiviti antara tembok api dan penghala;

• Periksa sama ada dasar NAT dikonfigurasikan dengan betul;

• Periksa sama ada dasar keselamatan membenarkan trafik dalaman ke luaran;

• Periksa sama ada jadual penghalaan betul;

• Tetapkan tembok api sementara kepada "benarkan semua" untuk menguji sama ada ia isu dasar.

FW-029 Soalan: Apakah yang perlu dilakukan jika sambungan VPN tembok api gagal?
Jawapan:

• Periksa sama ada konfigurasi VPN (kunci pra-kongsi, kaedah pengesahan) sepadan;

• Periksa sama ada tembok api membenarkan port VPN (contohnya, UDP 500/4500 untuk IPSec);

• Periksa sama ada NAT traversal diaktifkan;

• Periksa sama ada laluan di kedua-dua hujung boleh dicapai;

• Periksa log VPN untuk mesej ralat tertentu.

FW-030 Soalan: Apakah perbezaan antara IPSec VPN dan SSL VPN pada tembok api?
Jawapan: IPSec VPN sesuai untuk interkoneksi tapak-ke-tapak, mewujudkan terowong lapisan rangkaian untuk menyambung rangkaian di kedua-dua hujung. SSL VPN sesuai untuk akses pengguna jauh melalui pelayar atau klien, tanpa memerlukan perisian klien khusus. SSL VPN lebih sesuai untuk senario pejabat mudah alih.

FW-031 Soalan: Bagaimana melihat dan menganalisis log tembok api?
Jawapan: Log tembok api termasuk log trafik, log keselamatan, dan log sistem. Kaedah melihat:

• Lihat log masa nyata melalui antara muka pengurusan web;

• Konfigurasikan pelayan Syslog untuk penyimpanan dan analisis berpusat;

• Gunakan platform analisis keselamatan (contohnya, Huawei SecoManager) untuk analisis korelasi. Log harus disimpan sekurang-kurangnya 6 bulan untuk memenuhi keperluan pematuhan.

FW-032 Soalan: Bagaimana membuat sandaran dan memulihkan konfigurasi tembok api?
Jawapan:

• Eksport fail konfigurasi (biasanya format .conf atau .xml) melalui antara muka pengurusan web;

• Simpan secara tempatan atau ke pelayan jauh;

• Untuk memulihkan, muat naik fail sandaran melalui antara muka yang sama;

• Sesetengah peranti menyokong sandaran automatik berjadual ke pelayan FTP/SFTP. Sentiasa buat sandaran konfigurasi sebelum menaik taraf firmware.

FW-033 Soalan: Bagaimana menaik taraf firmware tembok api?
Jawapan:

• Muat turun firmware terkini untuk model dari laman web rasmi vendor;

• Muat naik fail firmware melalui antara muka pengurusan web;

• Jangan matikan kuasa semasa menaik taraf;

• Mulakan semula peranti selepas menaik taraf selesai;

• Sahkan bahawa dasar keselamatan berfungsi dengan betul. Sentiasa buat sandaran konfigurasi semasa sebelum menaik taraf.

FW-034 Soalan: Apakah yang perlu dilakukan jika kata laluan tembok api terlupa?
Jawapan:

• Cuba kata laluan lalai (contohnya, admin/admin; periksa manual untuk butiran);

• Sesetengah peranti menyokong pemulihan kata laluan melalui port konsol;

• Hubungi sokongan teknikal vendor atau pengedar tempatan untuk bantuan.

FW-035 Soalan: Apakah pemeriksaan rutin yang perlu dilakukan pada tembok api?
Jawapan: Pemeriksaan mingguan yang disyorkan:

• Penggunaan CPU/memori/jadual sesi;

• Sama ada firmware dan pangkalan data tandatangan terkini;

• Sama ada log menunjukkan amaran tidak normal;

• Suhu peranti dan status kipas;

• Sama ada peraturan dasar mempunyai entri berlebihan atau tamat tempoh.

FW-036 Soalan: Bagaimana melindungi tembok api daripada serangan?
Jawapan:

• Aktifkan perlindungan DDoS;

• Konfigurasikan senarai hitam untuk menyekat IP berniat jahat yang diketahui;

• Kemas kini pangkalan data tandatangan IPS secara berkala;

• Tutup port dan perkhidmatan yang tidak perlu;

• Benarkan port pengurusan (contohnya, WEB/SSH) hanya dari IP tertentu;

• Aktifkan pengesahan dua faktor (jika disokong).

FW-037 Soalan: Apakah itu Senarai Kawalan Akses (ACL) pada tembok api?
Jawapan: ACL (Access Control List) ialah komponen teras tembok api, terdiri daripada satu siri peraturan. Setiap peraturan menentukan syarat padanan (IP sumber, IP destinasi, port, dan lain-lain) dan tindakan (benarkan/tolak). ACL dipadankan mengikut urutan, dengan peraturan padanan pertama berkuat kuasa.

FW-038 Soalan: Apakah kelayakan pentadbir lalai untuk tembok api?
Jawapan: Kelayakan lalai berbeza mengikut jenama: siri Huawei USG lalai admin/Admin@123; siri Sangfor AF lalai admin/admin; Hillstone lalai hillstone/hillstone. Penting: Sentiasa tukar kata laluan lalai semasa penggunaan pertama – ini ialah keperluan keselamatan asas.

FW-039 Soalan: Bagaimana menggunakan tembok api di pusat data?
Jawapan: Tembok api di pusat data biasanya digunakan di titik masuk trafik utara-selatan (akses internet) dan laluan trafik timur-barat (antara zon perniagaan yang berbeza). Skim penggunaan biasa:

• Tembok api perimeter melindungi seluruh pusat data;

• Tembok api zon mengasingkan zon keselamatan yang berbeza (contohnya, zon web, zon pangkalan data);

• Tembok api maya (vFW) melindungi penyewa awan. Changfan IPC mengesyorkan mengesahkan konfigurasi berdasarkan skala perniagaan, bilangan port, keadaan penyejukan, dan keserasian perisian; untuk platform perkakasan tembok api gred perusahaan, sokongan pemilihan dan penyesuaian tersedia mengikut keperluan projek, dengan parameter dan harga tertakluk kepada spesifikasi terkini.

FW-040 Soalan: Bagaimana menggunakan tembok api dalam persekitaran awan?
Jawapan: Tembok api awan biasanya digunakan sebagai instans maya:

• Gunakan instans tembok api awan di sempadan VPC platform awan;

• Gabungkan kumpulan keselamatan dengan tembok api awan untuk pertahanan berlapis;

• Menyokong penskalaan elastik automatik;

• Sepadukan dengan perkhidmatan log platform awan untuk operasi keselamatan bersatu. Dalam amalan, Changfan IPC boleh menilai antara muka, penggunaan kuasa, suhu, dan keperluan pengembangan untuk platform perkakasan tembok api gred perusahaan berdasarkan senario sebenar; disyorkan untuk mengesahkan keserasian perisian sebelum memuktamadkan konfigurasi.

FW-041 Soalan: Bagaimana tembok api memenuhi keperluan pematuhan MLPS?
Jawapan: Keperluan MLPS 2.0 untuk tembok api:

• Mesti digunakan di sempadan rangkaian (keselamatan sempadan wilayah);

• Mesti mempunyai fungsi kawalan akses (ACL);

• Mesti mempunyai fungsi pengesanan/pencegahan pencerobohan (IDS/IPS);

• Mesti mempunyai fungsi audit log, dengan log disimpan sekurang-kurangnya 6 bulan;

• Peralatan domestik harus digunakan (untuk MLPS Tahap 3). Untuk pembelian platform perkakasan tembok api gred perusahaan, Changfan IPC boleh menyediakan pengesahan konfigurasi, ujian sampel, dan sokongan penyesuaian projek; harga dan jadual penghantaran tertakluk kepada sebut harga semasa dan terma kontrak.

FW-042 Soalan: Bagaimana menggunakan tembok api dalam senario kawalan industri (OT)?
Jawapan: Apabila menggunakan tembok api dalam senario OT (contohnya, kilang, grid kuasa), perhatikan perkara berikut:

• Gunakan perkakasan gred industri yang menyokong julat suhu luas dan rintangan habuk;

• Sokong pengenalan protokol industri (seperti Modbus, S7, OPC, dan lain-lain);

• Elakkan pemeriksaan mendalam yang menjejaskan prestasi masa nyata;

• Gunakan dalam mod telus untuk meminimumkan kesan rangkaian. Changfan IPC mengesyorkan mengesahkan konfigurasi berdasarkan skala perniagaan, bilangan port, keadaan penyejukan, dan keserasian perisian; untuk platform perkakasan tembok api gred perusahaan, sokongan pemilihan dan penyesuaian tersedia mengikut keperluan projek, dengan parameter dan harga tertakluk kepada spesifikasi terkini.

FW-043 Soalan: Adakah mempunyai tembok api menjamin keselamatan sepenuhnya?
Jawapan: Tidak. Tembok api hanyalah barisan pertahanan pertama dalam keselamatan rangkaian dan tidak boleh mempertahankan daripada semua ancaman:

• Ia tidak boleh menghalang kebocoran data dalaman;

• Ia tidak boleh mempertahankan daripada trafik berniat jahat yang dibawa melalui saluran disulitkan (seperti HTTPS) (memerlukan penyahsulitan SSL);

• Ia tidak boleh mempertahankan daripada serangan hari sifar (memerlukan risikan ancaman dan sandbox). Pertahanan berlapis ialah pendekatan yang betul.

FW-044 Soalan: Adakah lebih banyak peraturan tembok api sentiasa lebih selamat?
Jawapan: Tidak semestinya. Terlalu banyak peraturan boleh menyebabkan masalah:

• Kekacauan pengurusan, peraturan bercanggah yang berpotensi membawa kepada jurang perlindungan;

• Kecekapan padanan berkurang, menjejaskan prestasi tembok api;

• Sukar untuk audit dan optimum. Disyorkan untuk membersihkan peraturan berlebihan secara berkala dan memastikan set peraturan ringkas dan teratur.

FW-045 Soalan: Adakah dasar "benarkan semua" pada tembok api membenarkan semua trafik?
Jawapan: Ya, tetapi dasar "benarkan semua" sangat berbahaya – ia menjadikan tembok api hampir tidak berguna. Amalan yang betul ialah mengikut prinsip "penafian lalai" dan hanya membenarkan trafik yang diperlukan untuk perniagaan. Mana-mana dasar yang terlalu permisif meningkatkan risiko keselamatan dengan ketara.

FW-046 Soalan: Adakah tembok api sumber terbuka (seperti pfSense) lebih rendah daripada tembok api komersial?
Jawapan: Tidak semestinya. Tembok api sumber terbuka (seperti pfSense, OPNsense) kaya dengan ciri dan sesuai untuk PKS yang mementingkan bajet dan peminat teknologi. Walau bagaimanapun, tembok api komersial mempunyai kelebihan:

• Sokongan selepas jualan profesional;

• Risikan ancaman tindak balas pantas;

• Pensijilan pematuhan (contohnya, MLPS). Kedua-duanya mempunyai senario yang sesuai.

FW-047 Soalan: Adakah daya pemprosesan tembok api yang lebih tinggi sentiasa lebih baik?
Jawapan: Tidak semestinya. Daya pemprosesan harus sepadan dengan lebar jalur rangkaian – jalur lebar 1000M hanya memerlukan tembok api dengan daya pemprosesan 1000M. Daya pemprosesan yang terlalu tinggi bermakna kos lebih tinggi dan potensi pembaziran bajet. Semasa memilih, pertimbangkan juga sama ada sambungan serentak dan sambungan baharu sesaat memenuhi keperluan perniagaan.

FW-048 Soalan: Apakah maksud pemeriksaan stateful pada tembok api?
Jawapan: Pemeriksaan stateful bermaksud tembok api bukan sahaja memeriksa paket individu tetapi juga menjejak seluruh keadaan sambungan (tiga hala TCP, nombor jujukan, dan lain-lain). Hanya trafik balasan yang tergolong dalam sambungan yang telah ditetapkan dibenarkan, dengan berkesan mempertahankan daripada penipuan IP dan serangan lain. Ini ialah ciri asas tembok api moden.

FW-049 Soalan: Apakah Pemeriksaan Paket Mendalam (DPI) pada tembok api?
Jawapan: DPI (Deep Packet Inspection) ialah teknologi di mana tembok api memeriksa kandungan muatan paket, bukan hanya pengepala. Melalui DPI, tembok api boleh mengenal pasti jenis aplikasi (WeChat, BT, video), mengesan perisian hasad, menemui kebocoran data, dan banyak lagi. Walau bagaimanapun, DPI menggunakan sumber CPU yang ketara, memerlukan keseimbangan antara prestasi dan pengesanan.

FW-050 Soalan: Apakah UTM pada tembok api?
Jawapan: UTM (Unified Threat Management) menyepadukan pelbagai fungsi keselamatan – tembok api, IPS, antivirus, anti-spam, VPN, dan lain-lain – ke dalam satu peranti. UTM sesuai untuk PKS, kerana satu peranti menyelesaikan pelbagai masalah keselamatan. NGFW ialah evolusi UTM, dengan penekanan lebih besar pada pengenalan aplikasi dan integrasi pintar.

FW-051 Soalan: Bolehkah tembok api mempertahankan daripada serangan DDoS?
Jawapan: Tembok api boleh mempertahankan daripada sesetengah serangan DDoS (contohnya, SYN Flood, ICMP Flood). Walau bagaimanapun, untuk serangan DDoS berskala besar (contohnya, ratusan Gbps trafik), tembok api itu sendiri menjadi halangan. Senario sedemikian memerlukan peranti pembersihan DDoS profesional atau perkhidmatan pembersihan berasaskan awan.

FW-052 Soalan: Bagaimana mengkonfigurasi penyahsulitan SSL pada tembok api?
Jawapan: Langkah untuk konfigurasi penyahsulitan SSL:

• Import sijil CA ke tembok api;

• Konfigurasikan dasar penyahsulitan SSL, menentukan trafik mana yang hendak dinyahsulit (contohnya, HTTPS);

• Pastikan peranti klien mempercayai sijil CA tembok api. Selepas penyahsulitan SSL, tembok api boleh memeriksa trafik yang disulitkan untuk kandungan berniat jahat. Nota: Penyahsulitan SSL melibatkan kebimbangan privasi dan mesti mematuhi undang-undang dan peraturan tempatan.

FW-053 Soalan: Bagaimana tembok api disepadukan dengan kesedaran situasi keselamatan?
Jawapan: Tembok api melaporkan log keselamatan dan amaran ancaman ke platform kesedaran situasi. Platform melakukan analisis korelasi dan, apabila mengesan tingkah laku tidak normal, mengeluarkan dasar menyekat kepada tembok api, membolehkan tindak balas keselamatan automatik. Integrasi ini ialah keperluan standard untuk operasi keselamatan moden.

FW-054 Soalan: Bagaimana tembok api menyokong seni bina tanpa kepercayaan?
Jawapan: Dalam seni bina tanpa kepercayaan, tembok api bertindak sebagai "titik penguatkuasaan dasar":

• Tidak lagi mempercayai rangkaian dalaman – semua trafik memerlukan pemeriksaan keselamatan;

• Melaksanakan kawalan akses terperinci berdasarkan identiti pengguna dan keadaan peranti;

• Sentiasa memantau dan menilai tahap risiko setiap sambungan, melaraskan kebenaran secara dinamik.