公司只有一台幾千元的無線分享器，接在中華電信的數據機後面，全公司就這樣上網。這樣用個幾年也沒事，直到有人點開釣魚信，或是打開 NAS 一看，登入紀錄裡塞滿來路不明的嘗試，才開始想是不是該買台防火牆。
分享器跟防火牆差在哪
分享器做的是位址轉換，把對外的一個 IP 分給內部多台電腦，順便提供基本連線管控和無線網路。防火牆多的是判斷能力：哪個應用程式可以連出去、連到哪個地區、封包裡是不是夾帶攻擊特徵，這些要靠規則和特徵資料庫來決定。
二十人以下的公司，一台帶防火牆功能的分享器未必不夠用。但當你開始要對外開服務，或客戶要求提供資安紀錄時，兩者的差距就出來了。
採購前常見的四個誤解
- 有分享器就等於有防火牆。基本 NAT 擋得住隨機掃描，擋不住針對性的入侵。
- 買了防火牆就自動安全。設備出廠時規則是全開或全關，沒調過就等於擺著。
- 只看進來的流量。挖礦、勒索軟體回報、資料外傳，都是從內部發起的連線。
- 忘了訂閱到期。入侵防禦、應用程式識別、威脅情資靠資料庫更新，授權過期後就只剩基本路由功能。
採購前該盤點的事
先列出對外開放的服務，VPN、郵件主機、自架網站各自用到哪些埠。再算使用者數、同時連線數和頻寬。這裡有個容易吃虧的地方：規格表上的吞吐量通常是關閉防護時測的，開啟入侵防禦和應用程式識別之後會往下掉，選購時要看開啟防護後的數字。另外要確認有沒有跨點 VPN 需求、需不需要報表和稽核紀錄，以及日後由誰維護。
設定上容易漏掉的地方
管理介面不要開在對外埠，預設帳號密碼一定換掉。遠端管理沒有需求就關閉。規則原則是只放行必要的，不要為了省事全部允許。日誌至少保留一段時間，出事時才有東西可查。韌體和特徵碼要定期更新，這件事沒排進流程就容易忘。
還有一點，防火牆要放在數據機和內網交換器之間，不要和無線基地台擠在同一台設備上，流量一多，兩件事會互相拖累。
自己設定還是找廠商
公司如果只有一條線、五台電腦，自己設定還過得去。帳號權限、VPN、跨點連線、日誌調閱這些需求會慢慢累積，交給有經驗的人一次把規則定清楚，通常比事後補救省事。
尚筠科技協助中小企業規劃防火牆與網路架構，包含設備採購建議、規則設定與後續維護。電話 02-2397-2716。