防火墙实用发展史 – 第二部分：管理的价值

Jody Brazil，FireMon 首席执行官 Check Point 与状态检测防火墙在早期与代理防火墙的较量中胜出（第一部分：早期岁月）。人们很容易认为这完全取决于检测技术，但这忽略了 Check Point 解决方案的一项关键创新：策略管理。状态检测防火墙在 90 年代中期战胜代理产品，很大程度上归功于管理的便捷性。本文大部分内容聚焦于 Check Point。这主要是因为 Check Point 在 90 年代末和 2000 年代初的防火墙市场中占据主导地位。当然，这也可能与我在那些年间对 Check Point 的接触有关。欢迎您分享看法，也期待您的评论。90 年代中期，网络正在快速演进。例如，以太网只是一种选择，而并非始终是当时使用的本地网络协议（还记得令牌环吗？）。接入互联网并非理所当然，而是需要讨论的议题。拨号上网仍很常见，AOL 是当时的主导厂商。若说防火墙是主流技术，那就是对互联网的主流地位有所误解。这种快速变化的网络环境所带来的影响之一，是大量的认知不足与经验欠缺。在此背景下，防火墙的可管理性不容忽视，它是决定该市场最终赢家的关键驱动因素。今天，在软件开发领域，我们谈论用户体验和易用性。虽然这些在当时并非流行词，但我们今天之所以谈论它们的原因，在当时同样重要。客户更“喜欢”这款产品。因此，尽管安全性和性能很重要，Check Point 防火墙图形界面的易用性也不应被忽视。引用当时一位 Gauntlet 销售代表的话：“无论潜在客户是谁，我进入的每一个客户，都必须与 Check Point 的图形界面较量——而且通常都会输。”Check Point 推出的防火墙具备集中管理和极具创新性的用户界面。其中一些关键能力包括：

• 图形化规则编辑器
• 在各防火墙策略之间共享的集中式对象库
• 集中式日志记录
• 多域管理与 OPSEC

Check Point 策略编辑器

防火墙规则由源、目的、协议、端口（协议与端口合并为一个称为服务的对象）和动作构成五元组，这一概念早在 Check Point 策略编辑器出现之前就已存在。80 年代的早期访问控制列表就支持这一概念。然而，Check Point 以图形化规则编辑器改变了这一范式。创建规则不再需要掌握 CLI 语法，只需一个鼠标和几次点击即可。此外，规则编辑还增加了诸多实用功能，如复制粘贴、用户自定义注释、每列支持多个对象。最后这一点——每列支持多个对象——具有革命性意义。此前的访问控制列表在各列中仅支持单一源、单一目的和单一服务。对多个对象的支持使每条规则更加强大，编辑策略往往变成修改现有规则，而非创建新规则。这一策略编辑器在很大程度上依赖于另一项进步：集中式对象库。

Check Point 集中式对象库

以往，访问控制列表在创建时会直接引用某个特定 IP 地址作为源或目的。这种方式可行，但如果某个系统的 IP 发生变化，就意味着每一条规则都需要更新。类似于可复用的源代码，Check Point 意识到创建集中式对象库并在规则中使用这些对象是更好的策略。此后，如果某台主机更改了 IP，只需更新该对象，由于策略引用的是所存储的对象，策略便会自动正确反映这一更新。此外，还可以创建这些对象的组（以及组的组），从而在整个策略中复用常用的对象组。这些都是实现更有效策略管理的重大进步。

集中式日志记录

防火墙极为常见的一个问题是阻断了错误的流量，尤其是在两个此前未做分段的网络之间部署防火墙时——而在 90 年代末，几乎每一次新的防火墙部署都属于这种情况。所有防火墙日志的集中记录且便于检索，使得诊断策略错误变得非常直观且相对简单。用户可以报告问题并提供源 IP / 目的 IP 组合，管理员便可在日志查看器中找到“丢弃”日志以及导致该丢弃的相关规则（或者反过来，找到“允许”日志并告知用户其判断有误）。防火墙策略管理中的失误过去常见，如今依然如此，因此便捷的故障排查是任何防火墙平台的关键增值点。

多域管理与 OPSEC

2000 年代初，Check Point 通过推出基于 Provider-1 的多域管理以及基于 OPSEC 的集成 API，进一步加码管理能力。两者都是对管理能力的重大押注，意在使 Check Point 区别于其他防火墙竞争对手——而这一策略奏效了。正如其名称所示，Provider-1 面向服务提供商群体、电信运营商以及托管服务提供商。虽然服务提供商是该技术的早期采用者，但企业很快也找到了使用该产品的理由。其关键能力包括权限控制、通过拆分大型策略和对象数据库提升管理与界面性能，以及可在全局范围内应用和强制执行的全局规则，这些都是大型企业所需的重要功能。在很大程度上，这些是标准管理平台的局限所在。尽管有人会认为 Check Point 本应修复管理平台，而不是要求客户为 Provider-1 支付高额溢价，但客户看到了其中的价值，并愿意为这些高级管理能力付费。OPSEC 是 Check Point 发布的合作伙伴计划和一套 API，旨在鼓励第三方产品集成。早期的成功案例包括使用日志导出 API（LEA）的报告类产品、使用 URL 过滤协议（UFP）的 URL 过滤产品，以及使用 Check Point 管理接口（CPMI）的管理类产品，例如 FireMon。该计划及相关集成取得了巨大成功。如今，已有 100 多家 OPSEC 合作伙伴提供与该平台的某种集成能力。这一安全产品生态为客户带来了附加价值，也增强了他们对自身投资的信心。今天，我们把 API 集成视为理所当然，但在 2001 年 OPSEC 推出之时，这远未普及。

Cisco 与 CLI 曾是主导力量

市场并非完全由 Check Point 和图形界面主导。Check Point 凭借强大且易用的图形界面确立了防火墙市场的领先地位，而 Cisco 则坚守自身传统，在 Pix 中采用命令行界面（CLI）。Pix 是防火墙市场的较早竞争者，可追溯至 1994 年，并于 1995 年被 Cisco 收购。网络管理员对 Cisco 和 CLI 的熟悉，使得在由网络团队负责安全时，Pix 成为首选。Check Point 则凭借其安全功能和图形界面逐步削弱这一优势，同时企业组织结构的缓慢转变也起到了助推作用——安全逐渐从网络团队中独立出来，成为单独的团队。随着这一转变发生，Cisco 与网络团队既有的关系在防火墙厂商选型中的作用日益减弱。增强的管理能力帮助 Check Point 巩固了市场地位，也印证了管理对安全产品的价值。但是，正如性能在 90 年代帮助 Check Point 击败代理防火墙一样，在此后的岁月里，性能将再次成为关键决策标准，而这一次受到威胁的将是 Check Point。 第三部分：性能走上舞台中央