针对家庭办公室用户的简单防火墙安装

    如果有人在家里能够帮助您过滤您的电话，情况会怎么样呢？您可以告诉他完全不要理会除了来自可信任来源的其他电话。或者，您可以告诉他阻止来自指定来源的电话，或者来自家庭中某人的电话。在计算机网络中就有这样一个东西；它被称为防火墙。

    著名的专业术语词典 对防火墙有一个很好的解释：“一个具有特殊安全防范措施的专用网关机器，用于为网络连接和拨入线路外提供服务。”防火墙有两个有用的用途：它们过滤哪些来自外部世界的流量可以进入您的网络；它们还控制您的网络中哪些计算机可以发送流量到外部世界。

　　设置防火墙的第一步十分简单：确定最符合您需求的硬件和软件解决方案。防火墙产品有着很多不同的形式，从免费可用的计算机软件到防篡改的工业设备。无论您是否购买一个认证的防火墙，也无论您购买了何种类型的防火墙，所有的防火墙都提供相同的基本特性：控制入站和出站流量。

　　在做出选择前，您应该首先回答下面的问题：

1.	我是否正在运行Windows XP? 如果是，那么您已经拥有了一个内置的防火墙——Internet连接防火墙(ICF)，因此您可能不再需要购买其他附件。
2.	我是否希望在多台计算机之间共享我的Internet连接? 如果是，那么您一定已经（或者将要）将您的计算机建成网络了。在这种情况下，您可以使用 Windows 的Internet连接共享(ICS) 特性来共享这个连接。
3.	我是否希望能够共享我的连接，而不将某个计算机设为防火墙? 也许您希望共享您的Internet连接，但是您不想使用一台特定的计算机作为网关——ICS只在运行它的计算机开机并处于网络中时才起作用。作为替代，您可以购买一个便宜的设备作为共享连接的网关——这些被称为“Internet访问路由器”或“家用网关”的设备几乎都包括防火墙功能。

　　为了实现最大的安全性，您可以安装一个硬件防火墙来保护您的家庭办公室网络，然后将它与ICF或其他软件防火墙进行结合。软件防火墙可以在每个单独的计算机上进行配置，因此如果需要，网络中每台计算机可以拥有不同的网络权限。另外，软件防火墙在被保护的计算机违规发送数据时，可以向您发出警报。通常，硬件防火墙非常灵活，而且功能强大；在您完成硬件防火墙的设置后，您可以不必再去管它，让它静静地保护您。当然，设置硬件防火墙可能会是一次困难的体验!两种类型防火墙的结合能够为您提供比单独某种防火墙更出色的安全性。

　　Windows XP的Internet连接防火墙是在每个连接上配置的。这意味着如果在您的计算机上有多个访问Internet的途径（例如，有些时候使用调制解调器，其他时候使用DSL），那么您将需要为每个连接单独地配置ICF。如果您正在使用宽带连接，那么您将在“网络连接”小程序中拥有一个它的图标（可能被标记为“局域网连接”，也许还有数字接在后面）。下面是如何启用ICF的方法：

1.	导航到“开始”菜单，打开控制面板。
2.	找到并打开网络连接applet。
3.	在任何您希望启用ICF的连接上点击右键，然后选择属性。
4.	进入“高级”选项卡，选中复选框来保护您的计算机

图3：指定网络连接的高级设置属性选项卡。

　　这就是所有需要执行的工作。现在，ICF 已经启用并在您的系统中运行了。但是，请稍等!如果您由于某些原因希望允许其他计算机连接到您的计算机时，情况会怎么样呢？例如，您可能正在运行一个Web服务器，希望家庭网络以外的用户能够进行浏览。ICF 允许您这样做。只需要在网络连接高级属性选项卡中点击设置按钮（参见图3）。 您可以从一个多种常用服务中进行选择，用于暴露给外部世界。请注意：如果您选择这样做，那么您将需要保持所暴露服务的最新安全性更新和补丁，否则您的计算机可能很容易受到攻击。

　　行动 如果您正在运行Windows XP，请在主Internet连接中启用ICF。然后，您可以跟以往一样的使用Internet——请注意，ICF并不会干扰您使用Internet，即使它正在静静地保护着您。

　　如果您现在没有使用 Windows XP，或者您希望根据您的需要更好地控制（和了解）防火墙的工作，那么您可能需要购买单独的个人防火墙软件。有很多优秀产品可以用来增强您计算机的安全性。例如，Zone Labs 的 Zone Alarm 不仅能够过滤传入连接，而且能够过滤传出连接。这意味着您可以指定计算机中的哪些程序可以通过Internet进行通讯，哪些应该被阻止这样做。

　　如果您拥有或计划设置一个家庭网络，那么您将需要创建一个从防火墙到网络其他部分的网关。如果您要在一台特定的计算机上实施软件防火墙，那么就意味着您需要在这台机器上至少部署两块网卡。其中一块网卡连接到公共接口（例如DSL或电缆调制解调器），而另一块网卡连接到您的内部网络。然后，您需要配置这台计算机来允许网络的两端进行通讯。在Windows 2000和Windows XP中，ICS 都允许您这样做。

　　但是，如果需要这么做，很多家庭用户都决定购买专用的家用网关。这些设备直接插入到DSL路由器或电缆调制解调器中，提供防火墙和网络集线器的功能。

图4：具有家用网关的全功能家庭网络。

　　在与 ISP 进行联系时，家用网关应该被配置为取代运行 ICS 计算机的角色。例如，如果您拥有静态IP地址，那么您应该将这个IP地址分配给网关，而不是您的计算机。您可以将一个新的IP地址分配给您的计算机，或者在更多情况下命令计算机向网关请求IP地址。与ICF一样，网关通常能够阻止或过滤指定的流量。例如，如果家庭Web站点在位于地下室的计算机中运行，那么这个家用网关能够无缝地将所有Web站点（HTTP）请求定向到地下室的计算机。

　　在这里提供了所有选择中，唯一您可能出错的就是不选择任何一种防火墙。不要认为没有人会攻击您，随着自动攻击工具的发展，您和每台在Internet中的计算机一样都处于被攻击的风险中。不幸的是，存在一种强大的亚文化，人们往往错误地认为自己已经十分了解网络和计算机安全性如何对付数字入侵。而由于始终联机连接的普及和容易使用，家用网络将成为最容易的目标。通过一些简单的防范措施，您将能够保护您自己和您的数据。