一、部署网络防火墙策略基本原则

1、计算机没有大脑。所以，当ISA的行为和你的要求不一致时，请检查你的配置而不要埋怨ISA。

2、只允许你想要允许的客户、源地址、目的地和协议。仔细的检查你的每一条规则，看规则的元素是否和你所需要的一致。

3、拒绝的规则一定要放在允许的规则前面。

4、当需要使用拒绝时，显式拒绝是首要考虑的方式。

5、在不影响防火墙策略执行效果的情况下，请将匹配度更高的规则放在前面。

6、在不影响防火墙策略执行效果的情况下，请将针对所有用户的规则放在前面。

7、尽量简化你的规则，执行一条规则的效率永远比执行两条规则的效率高。

8、永远不要在商业网络中使用Allow 4 ALL规则(Allow all users use all protocols from all networks to all networks)，这样只是让你的ISA形同虚设。

9、如果可以通过配置系统策略来实现，就没有必要再建立自定义规则。

10、ISA的每条访问规则都是独立的，执行每条访问规则时不会受到其他访问规则的影响。

11、永远也不要允许任何网络访问ISA本机的所有协议。内部网络也是不可信的。

12、SNat客户不能提交身份验证信息。所以，当你使用了身份验证时，请配置客户为Web代理客户或防火墙客户。

13、无论作为访问规则中的目的还是源，最好使用IP地址。

14、如果你一定要在访问规则中使用域名集或URL集，最好将客户配置为Web代理客户。

15、请不要忘了，防火墙策略的最后还有一条DENY 4 ALL.

16、最后，请记住，防火墙策略的测试是必需的。

二、防火墙基本安全策略准则

1、定期收集并查看防火墙日志：在配置防火墙之后会产生大量的日志信息。收集这些日志最重要的原因是对网络活动的审计跟踪。如果网络遭受攻击或者网络资源的恶意使用，可以依据系统日志记录作为证据。计算机

2、制定精确的入站ACL：必须严格控制流量从公共网络或者不安全的方面进入到受保护网络。

3、、在不同方面保护DMZ：一些不怀好意的人会通过DMZ区攻击内部网络，如果在DMZ服务器和内部区域之间开放访问（任何协议或端口），DMZ区就会成为一个“跳板”，使外部的恶意用户能够危害DMZ服务器，并使用它来危害内部其他主机。

4、多留意ICMP流量：当需要诊断到某台主机的访问时间或网络响应时间时,ICMP数据包是十分有用的。外部的恶意用户可能使用ICMP来侦测或者攻击位于DMZ或者内部网络的活动的主机。最佳做法，只允许指定类型的ICMP数据包从外部进入网络。

5、保存所有安全的防火墙管理流量

6、定时检查防火墙规则

三、 防火墙的基本配置原则：

默认情况下，所有的防火墙都是按以下两种情况配置的：拒绝所有的流量，这需要在你的网络中特殊指定能够进入和出去的流量的一些类型。允许所有的流量，这种情况需要你特殊指定要拒绝的流量的类型。可论证地，大多数防火墙默认都是拒绝所有的流量作为安全选项。一旦你安装防火墙后，你需要打开一些必要的端口来使防火墙内的用户在通过验证之后可以访问系统。换句话说，如果你想让你的员工们能够发送和接收Email，你必须在防火墙上设置相应的规则或开启允许POP3和SMTP的进程。在防火墙的配置中，我们首先要遵循的原则就是安全实用，从这个角度考虑，在防火墙的配置过程中需坚持以下三个基本原则：

(1)简单实用：对防火墙环境设计来讲，首要的就是越简单越好。其实这也是任何事物的基本原则。越简单的实现方式，越容易理解和使用。而且是设计越简单，越不容易出错，防火墙的安全功能越容易得到保证，管理也越可靠和简便。
(2)全面深入：单一的防御措施是难以保障系统的安全的，只有采用全面的、多层次的深层防御战略体系才能实现系统的真正安全。
(3)在防火墙配置中不要停留在几个表面的防火墙语句上，而应系统地看待整网安全防护体系，使各方面配置相互加强，从深层次上防护整个系统。一方面体现在防火墙系统部署上，多层次防火墙部署体系，即采用集互联网边界防火墙、部门边界防火墙和主机防火墙于一体的层次防御;另一方面将入侵检测、网络加密、病毒查杀等多种安全措施结合在一起的多层安全体系。