路由器与防火墙有什么区别 网络出口选择防火墙多

晚上好,我是老杨。

随着技术的发展,防火墙和路由器很多功能已经重叠,比如路由功能(静态路由/RIP/OSPF/BGP等)、NAT、ACL、DHCP等。

路由器主要用来跑路由协议,防火墙主要侧重安全,其实对两者不存在功能重叠的问题,一起用或者二选一都是可以的。

老杨想问问你,你的网络设计出口,一般选择防火墙还是路由器多?

这个分情况讨论,本篇文章分三点切入,为了照顾萌新,老杨的讲解会从基础开始。

老网工想看答案,可以直接拖到最后。

今日文章阅读福利:《网络设计解决方案》

私信老杨,备注“方案”前10名粉丝即可获取此份高清版资源。

什么是防火墙?

防火墙,顾名思义,也就是隔离,防火的意思,在网络世界里,防火墙主要起的就是隔离的作用。

我们知道,数据通常在网络空间中的计算机与服务器和路由器之间进行交换,而防火墙存在的目的,就是监视此数据(以数据包的形式发送)并检查是否安全。

防火墙通过确定数据包是否符合已经建立的规则来做到这一点。根据这些规则,数据包被拒绝或接受,从而达到隔离过滤的效果。

路由器与防火墙有什么区别 网络出口选择防火墙多(1)

编辑切换为居中

添加图片注释,不超过 140 字(可选)

防火墙不但用于防范外网,对企业内网的 DoS 攻击或非法访问等,后来也逐步发展到防范从内部网络向互联网泄露信息、把内部网络作为攻击跳板等行为。

防火墙的本质是安全设备,虽然集成了很多路由功能,但很多路由器高级功能它也无能为力,比如MPLS V.P.N、MPLS TE,或者多业务接入,比如运营商甩过来的是ATM、POS线路。

你有思考过吗,如果不考虑成本,防火墙是否能代替路由器?

如果环境中只有以太网,我个人认为,是可以用防火墙代替路由器的。

毕竟,路由器的路由、NAT等功能,防火墙也是支持的。

如果企业的网络环境较为复杂,比如说,有以太网,还有ppp等传统广域网,那单一的防火墙肯定是不够用的。

什么是路由器?

路由器(Router)是连接因特网中各局域网、广域网的设备,它会根据信道的情况自动选择和设定路由,以最佳路径,按前后顺序发送信号。

简单粗暴来说,路由器就是把同一个IP地址给不同的电脑使用。当某台电脑想要连接网络的时候,会通过路由器,做出地址转换之后,连接到互联网,路由器起的是通信的作用。

路由器可以减少网络混乱。

若没有路由器,广播将转发到每个设备的每个端口,并由每个设备处理。

路由器与防火墙有什么区别 网络出口选择防火墙多(2)

编辑切换为居中

添加图片注释,不超过 140 字(可选)

当广播数量太大时,整个网络都会比较混乱,这时候路由器将网络细分为两个或多个由其连接的较小的网络,并且不允许广播在子网之间传输。

现在的路由器,也集成了部分防火墙的基础安全功能,但重点还是在路由,MPLS V.P.N/TE、广域网优化等还是防火墙无可替代的功能,而且表项更加丰富,能支持超大规模网络。

网络设计中,到底用防火墙还是路由器?

防火墙与路由器都可以提供三层转发功能,路由是天然的防火墙,防火墙具备基本的路由功能。但他们本身是有明显差距的:

防火墙接口之间默认是无法通信的,而路由器接口默认是可以通信的。

大多数的政府,企业的网络基本用防火墙或者安全网关是最好的选择,MPLS,OSPF,BGP这些协议基本都OK。

我们分场景讨论,看看如何选择防火墙和路由器的才是最佳的选择?

01 场景一

一般中小型企业、政府政务外网、中小学等网络出口都会选择防火墙,简单省事,性能要求不高,买一台设备啥功能都有(现在主流都是下一代防火墙,集成防火墙、行为管理、负载均衡、流量控制、*等各种功能)

中小型网络使用防火墙出口较多,拓扑如图所示:

路由器与防火墙有什么区别 网络出口选择防火墙多(3)

编辑切换为居中

添加图片注释,不超过 140 字(可选)

02 场景二

特定行业出口必须选择路由器,比如电子政务内网、法院/检察院内网。

第一,政策要求,必须用路由器。

第二,业务需要,比如电子政务需要跑MPLS V.P.N,防火墙不支持。

第三,为了实现对等通信,比如公安内网里面,要求公安部能够访问到最底层的民警,严禁在网络内部接入防火墙,如果中间加些防火墙,很多流量会被莫名其妙干掉,比如视频会议不通。不过现在部分地区也在接入防火墙。

特定行业/网络 出口必须使用路由器,拓扑如图所示:

路由器与防火墙有什么区别 网络出口选择防火墙多(4)

编辑切换为居中

添加图片注释,不超过 140 字(可选)

03 场景三

大型企业/高校校园网网络出口使用路由器,专门负责路由、NAT功能,也会部署防火墙,专门负责安全功能,各司其职,术业有专攻!(其实很多中小单位也是这种架构,可能防火墙/路由器都是2台冗余,出口多运营商多链路)

大型网络路由器与防火墙并存:

路由器与防火墙有什么区别 网络出口选择防火墙多(5)

编辑切换为居中

添加图片注释,不超过 140 字(可选)

运营商/公安/金融骨干网节点全是路由器,中国电信Chinanet 骨干节点也是高端路由器,拓扑图如下。

路由器与防火墙有什么区别 网络出口选择防火墙多(6)

编辑切换为居中

添加图片注释,不超过 140 字(可选)

总而言之:

1. 中小型单位互联网出口推荐使用防火墙,简单实用,功能多还便宜。(或UTM、行为管理、负载均衡、广域网优化、多业务路由器等设备都可以,功能多合一)

2. 特定行业必须用路由器,政策要求和业务需要。

3. 大型网络会同时使用防火墙和路由器,如果只用防火墙,性能可能扛不住。

这个地球上依赖于安全漏洞生存的人越多,企业网络越要重视网络安全。

如果企业机密数据的价值,远远超出防火墙的价值,建议还是买买买。

但如果你的企业很小,就这么十多个人,甚至依然依靠QQ传文件,要啥防火墙,能上网就行了呗。

整理:老杨丨9年资深网络工程师,更多网工提升干货,请关注公众号:网络工程师俱乐部

,

免责声明:本文仅代表文章作者的个人观点,与本站无关。其原创性、真实性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容文字的真实性、完整性和原创性本站不作任何保证或承诺,请读者仅作参考,并自行核实相关内容。文章投诉邮箱:anhduc.ph@yahoo.com

    分享
    投诉
    首页