防火墙连接在出口路由器和内网核心交换机之间,怎么选择交换机、路由器和防火墙,路由器连接运营商提供的出口网络,网络设备的IP地址使用32位掩码的地址,采用了类似与运营商网络的结构组建企业网,一个大型企业怎么来规划网络,网络设备的互联地址使用30位掩码的地址,路由器和防火墙的问题。

什么是下一代防火墙

2009年，著名咨询机构Gartner介绍为应对当前与未来新一代的网络安全威胁认为防火墙必需要再一次升级为“下一代防火墙”。第一代防火墙已基本无法探测到利用僵尸网络作为传输方法的威胁。由于采用的是基于服务的架构与Web2.0使用的普及，更多的通讯量都只是通过少数几个端口及采用有限的几个协议进行，这也就意味着基于端口/协议类安全策略的关联性与效率都越来越低。深层数据包检查入侵防御系统（IPS）可根据已知攻击对操作系统与漏失部署补丁的软件进行检查，但却不能有效的识别与阻止应用程序的滥用，更不用说对于应用程序中的具体特性的保护了。

Gartner将网络防火墙定义为在线安全控制措施，即：可实时在各受信级网络间执行网络安全策略。Gartner使用“下一代防火墙”这一术语来说明升级防火墙的必要性，以应对业务程序使用IT的方法以及针对业务系统所发起的攻击方法所发生的改变。

一个大型企业怎么来规划网络，比如1000台电脑，怎么选择交换机、路由器和防火墙，有哪些好的建议吗

对于1000多个节点的企业组网，需要考虑网络规划，网络可靠性设计，网络安全设计等，不仅仅是购买交换机，路由器和防火墙的问题。下文针对这个问题说一说。

需求分析

• 与不同的业务部门进行沟通，了解每个时间段的业务量，组网结构需要满足业务部门的需求；

• 针对这种中大型局域网，需要根据部门或者位置划分VLAN,每个部门对应一个VLAN和网段，不同VLAN的数据在三层汇聚交换机或者核心交换机中交换数据；

• 如下表所示，给出了一个VLAN划分和IP端的划分，根据实际情况进行规划。

网络拓扑结构

• 网络拓扑结构如下图所示，内部网络采用三层结构，核心层，汇聚层，接入层。其中核心层用来完成数据的高速转发，核心层设备最好部署两台，增加整个网络的了可靠性。接入层设备用来实现办公电脑的接入，无线AP的接入，并且完成上网认证等；-下一代防火墙

• 路由器连接运营商提供的出口网络；

• 防火墙连接在出口路由器和内网核心交换机之间，用于保护内网，阻拦非法访问；

• 如果企业有对外服务，比如对外网站，邮件等，需要将这些服务器连接到防火墙的DMZ区域。

IP地址的分配

• 业务服务器和监控，打印机等应该使用静态地址，以便于管理控制；

• 网络设备的IP地址使用32位掩码的地址，与办公网等隔离，防止非授权人员随意配置网络设备；

• 网络设备的互联地址使用30位掩码的地址，比如静态路由器，OSPF路由的互联地址等，节约ip地址的同时可以提高收敛速度；

• 办公电脑,无线终端的IP地址，建议使用DHCP服务器根据不同部门的VLAN进行自动分配。

一种新的组网方案

• 可以考虑PON网络，即无源光网络，采用了类似与运营商网络的结构组建企业网，由OLT、ODN、ONU组成；

• OLT设备连接上游核心交换机，ODN连接ONU，实现接入，全程使用了光网络，用光纤代替双绞线，用分光器代替了汇聚交换机；

• 这种组网方式适合初次组网，一次性投资比较大，但是后期管理维护费用会低很多；

• 网络结构参考下图。

总结

这里只是对企业网络的建设做个简要的介绍，还需要考虑机房建设，综合布线等各类问题。

对于企业网的组建，大家有什么看到呢，欢迎在评论区，留言讨论。

如需更多帮助，请私信关注，谢谢。

有哪些值得推荐的千兆路由器

市面上的千兆无线路由器非常多，选购千兆无线路由器要符合一定的标准。

1）无线标准支持802.11ac，支持2.4G和5G双频，双频并发速率1167Mbps以上。带有独立的功放芯片，增强无线信号的穿墙性能。支持LDPC弱信号算法。

2）有线端口支持千兆，WAN端口用于连接光猫，LAN端口用于连接有线设备。

3）硬件性能不能太弱，目前，家庭联网设备越来越多，硬件性能决定了联网设备的数量和稳定性。

华为荣耀Pro2路由器

华为荣耀Pro路由器符合双千兆的标准，采用了自主研发的凌霄四核1.4G处理器、256M内存、128M闪存，凌霄WiFi模块。2.4G和5G频段各带有2颗信号放大器，无线信号穿墙能力比较好。

华为荣耀Pro2采用了内置免调天线，外观方方正正，放在家里没有违和感，更像一个智能家居设备。华为路由器支持端口盲插、双网双通、智联等功能，用户可以根据自己的需求选择。

TP WDR7660千兆版

TP WDR7660千兆版采用了MTK的解决方案，支持MU-MIMO 3*3，支持多个设备同时与路由通信，无线总速率为1900Mbps，并且支持2.4G的256-QAM调制技术。带有两个功放芯片，增强了穿墙能力。下图显示了WDR7660与华硕AC66U_B1的速率对比。-防火墙

华硕AC66U_B1

华硕AC66U_B1是一款比较经典的路由了，虽然是2017年的产品，但是放到现在仍然不过时，能够满足大部分的需求。

华硕AC66U B1采用了处理器、WiFi模块均采用了博通过解决方案，稳定性比较好，长时间使用不用关机。无线并发速率1900Mbps，1个千兆WAN端口，4个千兆LAN端口。

华硕路由器大多数支持刷梅林固件，用于扩展路由器的功能，比如单线双拨、视频去广告等。

总之，千兆家庭无线路由器尽量选择华为、华硕、网件等品牌路由器，硬件性能和固件性能稳定很多，长期使用不会出现掉速、网络不稳定的问题。