眾所周知，防火墻是企業(yè)安全的一個(gè)重要方面，如今大多數(shù)路由器都內(nèi)置了一個(gè)，雖然有用但難于配置。但不少開(kāi)源操作系統(tǒng)的Linux的發(fā)行版，可專門(mén)用作防火墻。通常具有比路由器上更高級(jí)的功能，并且可以讓你更好地控制個(gè)人或企業(yè)網(wǎng)絡(luò)的安全。

[[240840]]

本文將介紹六種最流行的免費(fèi)防火墻發(fā)行版。在考慮這些產(chǎn)品及其相對(duì)優(yōu)點(diǎn)時(shí)，我會(huì)強(qiáng)調(diào)功能和易用性。這些發(fā)行版可以安裝到物理的計(jì)算機(jī)，也可以只有一臺(tái)設(shè)備，從虛擬機(jī)運(yùn)行。大多數(shù)發(fā)行版都可以作為ISO文件下載。你可以使用UNetbootin等程序?qū)⑺鼈儚?fù)制到USB并啟動(dòng)。

ClearOS

ClearOS易于使用，針對(duì)用戶友好的擴(kuò)展，以滿足你的需求。ClearOS是簡(jiǎn)潔的防火墻發(fā)行版。由于大多數(shù)防火墻發(fā)行版有墨守成規(guī)的極客編寫(xiě)，所以ClearOS的變化令人耳目一新。對(duì)于更高級(jí)的用戶，ClearOS從命令行運(yùn)行會(huì)非常順手。

安裝簡(jiǎn)單，大約需要10分鐘完成。可以選擇以公共服務(wù)器或網(wǎng)關(guān)模式啟動(dòng)，具體取決于希望如何使用ClearOS。完成后，重新啟動(dòng)，你將獲得遠(yuǎn)程訪問(wèn)和管理新防火墻所需的所有信息。一切都很簡(jiǎn)單。

完成設(shè)置并訪問(wèn)基于Web的管理系統(tǒng)后，不需要花費(fèi)很長(zhǎng)時(shí)間熟悉ClearOS的各種設(shè)置和功能，因?yàn)橐坏┠愕卿沇eb界面，發(fā)行版就會(huì)提供“入門(mén)”幫助。與其他配置一樣，設(shè)置防火墻規(guī)則快速而輕松。

ClearOS最相關(guān)的功能是它的可用性，但這個(gè)發(fā)行版不僅僅有平滑的外觀，它還包含許多功能。它不僅為你提供了一種簡(jiǎn)單，干凈的方式來(lái)管理防火墻，而且還可以為你的網(wǎng)絡(luò)添加額外的服務(wù)。

總的來(lái)說(shuō)，ClearOS是一個(gè)強(qiáng)大的發(fā)行版。由于它既有免費(fèi)的“社區(qū)”版本，也有付費(fèi)的“專業(yè)”版本，非常適合小型企業(yè)。

IPCop

該發(fā)行版雖然與IPFire完全分開(kāi)，但使用類似于后者的有用的顏色方案，以表示不同的連接。綠色用于LAN，紅色用于互聯(lián)網(wǎng)，橙色用于DMZ，藍(lán)色用于無(wú)線客戶端。

IPCop最初是Smoothwall的一個(gè)分支，但I(xiàn)PCop的更新很少。最新版本(2.1.9)于2015年2月發(fā)布。

安裝相對(duì)簡(jiǎn)單，但有一些通配符問(wèn)題。雖然這些可能會(huì)困擾新手用戶，但接受默認(rèn)選項(xiàng)不會(huì)導(dǎo)致任何問(wèn)題，除非你有非常特定的網(wǎng)絡(luò)配置。IPCop的主要優(yōu)點(diǎn)之一是安裝鏡像非常小(約60MB)，可以復(fù)制到USB上。

IPCop的網(wǎng)絡(luò)界面感覺(jué)很笨，但看個(gè)人感覺(jué)吧。除了Smoothwall提供的“實(shí)時(shí)”圖表之外，IPCop還提供了有關(guān)LAN設(shè)置以及防火墻本身運(yùn)行的更多信息，包括當(dāng)前打開(kāi)的連接列表。

防火墻還提供“緩存代理”，以便你可以在本地緩存經(jīng)常訪問(wèn)的頁(yè)面。IPCop作為防火墻做得很好，提供了大量有關(guān)網(wǎng)絡(luò)流量的信息，雖然它可能不是世界上最漂亮的發(fā)行版，但它可以做到它的設(shè)計(jì)目的。

OPNsense

OPNsense是一款易于使用的基于FreeBSD 10.1的開(kāi)源防火墻，可確保長(zhǎng)期支持。OPNsense項(xiàng)目于2015年1月開(kāi)始作為更成熟的防火墻pfSense的分支。該團(tuán)隊(duì)聲稱他們分支項(xiàng)目的原因部分是由于當(dāng)時(shí)使用的許可證類型，部分是因?yàn)樗麄兿嘈潘麄兛梢詣?chuàng)建一個(gè)更安全的防火墻。

防火墻現(xiàn)在只與原始pfSense項(xiàng)目共享大約10%的代碼。另請(qǐng)注意，在Reddit上，pfSense diehards和OPNsense支持者之間的分歧引起了很多爭(zhēng)議。

OPNsense提供每周安全更新，因此可以快速響應(yīng)威脅。它包含許多高級(jí)功能，你通常只能在商業(yè)防火墻中找到它們，例如正向緩存代理和入侵檢測(cè)。它還支持使用OpenVPN。

OPNsense采用了Phalcon PHP編寫(xiě)的非常豐富的GUI，非常適合使用。除了比pfSense的界面更具吸引力之外，OPNsense的創(chuàng)建部分是由于團(tuán)隊(duì)認(rèn)為圖形界面不應(yīng)具有root訪問(wèn)權(quán)限，因?yàn)檫@可能會(huì)導(dǎo)致安全問(wèn)題。

GUI具有簡(jiǎn)單的搜索欄以及新的系統(tǒng)健康模塊。此模塊是交互式的，在分析網(wǎng)絡(luò)時(shí)提供可視反饋。你現(xiàn)在還可以以CSV格式導(dǎo)出數(shù)據(jù)以進(jìn)行進(jìn)一步分析。

防火墻使用內(nèi)聯(lián)入侵防御系統(tǒng)。這是一種強(qiáng)大的深度包檢測(cè)形式，OPNsense不僅可以阻止IP地址或端口，而且可以檢查單個(gè)數(shù)據(jù)包或連接，并在必要時(shí)在它們到達(dá)發(fā)送方之前將其停止。 OPNsense還通過(guò)OpenSSL提供LibreSSL。

IPFire

IPFire是一個(gè)Linux防火墻發(fā)行版，專注于用戶友好性和輕松設(shè)置，不會(huì)影響你的安全性，支持一些有用的功能，如入侵檢測(cè)。IPFire采用基于netfilter構(gòu)建的SPI(狀態(tài)包檢測(cè))防火墻，采取嚴(yán)肅的安全措施。

IPFire專為不熟悉防火墻和網(wǎng)絡(luò)的人士而設(shè)計(jì)，可在幾分鐘內(nèi)完成設(shè)置。安裝過(guò)程允許你將網(wǎng)絡(luò)配置為不同的安全段，每個(gè)段都采用顏色編碼。綠色部分是一個(gè)安全區(qū)域，代表連接到本地有線網(wǎng)絡(luò)的所有普通客戶端。紅色部分代表互聯(lián)網(wǎng)。

沒(méi)有流量可以從紅色傳遞到任何其他段，除非你在防火墻中專門(mén)配置了它。默認(rèn)設(shè)置適用于具有兩個(gè)僅具有紅色和綠色段的網(wǎng)卡的設(shè)備。但是，在設(shè)置過(guò)程中，還可以為任何公共服務(wù)器實(shí)現(xiàn)無(wú)線連接的藍(lán)色段和稱為DMZ的橙色段。

設(shè)置完成后，可以通過(guò)直觀的Web界面配置其他選項(xiàng)和附加組件。

IPFire的ISO鏡像大小僅為171MB，或者，你可以下載閃存鏡像以將其安裝到路由器，甚至可以下載用于ARM設(shè)備(如Raspberry Pi)的鏡像。

pfSense

與OPNsense一樣，pfSense基于FreeBSD，專門(mén)設(shè)計(jì)用作防火墻和路由器。正如我們已經(jīng)提到的，這兩個(gè)項(xiàng)目之間的分歧是有爭(zhēng)議的，pfSense仍然有許多忠實(shí)的用戶。更新每季度發(fā)布一次。

此發(fā)行版在一系列硬件上運(yùn)行，但目前僅支持x86架構(gòu)。該網(wǎng)站有一個(gè)方便的硬件指南，允許你選擇兼容的設(shè)備。

安裝是從命令行完成的，但它非常簡(jiǎn)單。可以選擇從CD或USB驅(qū)動(dòng)器啟動(dòng)。安裝助手會(huì)要求在安裝期間分配接口，而不是在啟動(dòng)到Web界面后分配接口。可以使用自動(dòng)檢測(cè)功能來(lái)確定哪個(gè)網(wǎng)卡是哪個(gè)。

防火墻具有少量?jī)?nèi)置功能，例如多WAN，動(dòng)態(tài)DNS，硬件故障轉(zhuǎn)移和不同的身份驗(yàn)證方法。與IPFire不同，pfSense已經(jīng)具有強(qiáng)制門(mén)戶功能，可以將所有DNS查詢解析為單個(gè)IP地址，例如公共Wi-Fi熱點(diǎn)的登錄頁(yè)面。

這個(gè)發(fā)行版具有干凈的界面，使用起來(lái)非常流暢。再一次，因?yàn)樗贐SD，所使用的一些術(shù)語(yǔ)令人困惑，但不需要花費(fèi)很長(zhǎng)時(shí)間才能掌握。

pfSense可能是功能最豐富的防火墻發(fā)行版，但由于缺少與防火墻無(wú)關(guān)的額外功能而導(dǎo)致發(fā)生故障。如果你剛剛使用簡(jiǎn)單的防火墻，那么選擇pfSense就不會(huì)出錯(cuò)，但如果需要超出該基本功能的任何東西，可能需要考慮其他發(fā)行版之一。

Smoothwall Express

Smoothwall Express可能是最著名的防火墻發(fā)行版。Smoothwall Express的安裝是基于文本的，但不需要熟悉Linux控制臺(tái)，這一切都非常簡(jiǎn)單。可能更愿意下載或打印出安裝指南，以指導(dǎo)你完成設(shè)置過(guò)程。為此，需要?jiǎng)?chuàng)建一個(gè)my.smoothwall配置文件。

有三種安裝選項(xiàng)：Standard，Developer和Express。開(kāi)發(fā)人員專為那些真正想要編寫(xiě)Smoothwall項(xiàng)目編碼的人保留。Express是Smoothwall的精簡(jiǎn)版本，可確保與舊硬件的最大兼容性。

除非你具有非常特定的網(wǎng)絡(luò)配置，否則通常可以接受默認(rèn)選項(xiàng)。基于Web的控制面板簡(jiǎn)單易懂。Smoothwall Express不提供額外功能，但允許你使用單獨(dú)的帳戶來(lái)控制主連接，這在你使用撥號(hào)以及緩存Web代理服務(wù)時(shí)尤其有用。

Smoothwall Express的一個(gè)好處是它在運(yùn)行內(nèi)部DNS時(shí)提供的簡(jiǎn)單性，添加新主機(jī)名只需幾秒鐘。只需點(diǎn)擊幾下鼠標(biāo)，即可完成分配靜態(tài)IP和啟用遠(yuǎn)程訪問(wèn)。

結(jié)語(yǔ)

選擇正確的防火墻發(fā)行版在很大程度上取決于具體要求，但無(wú)論它們是什么，如果考慮到互聯(lián)網(wǎng)上存在的大量危險(xiǎn)，防火墻只是常識(shí)問(wèn)題。也就是說(shuō)，除了基本保護(hù)之外，一旦安裝了防火墻，就可以有一些額外的功能來(lái)衡量。

如果你正在使用基本的防火墻，那么這里的所有發(fā)行版都會(huì)做得很好，有些表現(xiàn)優(yōu)于其他發(fā)行版。如果你沒(méi)有追求太復(fù)雜的話，那么IPCop和Smoothwall Express是很好的選擇。如果需要商業(yè)級(jí)解決方案，可以選擇Smoothwall的付費(fèi)版本。

如果想要占用空間小或者在嵌入式設(shè)備上運(yùn)行，pfSense是不錯(cuò)的選擇，盡管它只能在x86架構(gòu)上運(yùn)行。對(duì)于其他類型的硬件，請(qǐng)考慮IPFire。