安全的第一问不是"装什么设备"，而是"要保护什么"——系统里真正值钱的是信息资产：公开信息丢了不心疼但绝不能被篡改，保密信息（图纸、客户资料、薪资）泄漏就是真金白银的损失。应对非法访问与数据泄漏，先靠信息安全策略立规矩（机密性/完整性/可用性三条底线），再上设备：防火墙在外网与内网之间砌墙，原则是默认拒绝、逐条放行；而必须对外的网页、邮件服务器则放进 DMZ 缓冲地带——两道墙夹一层，失守也只丢一层。
网络课第七章讲的是"包在路上怎么防"（认证、加密、签名、证书）——本篇换到公司整体的视角：资产在哪、墙砌在哪、规矩怎么立。第四章 4.8-4.12 的反向代理"替服务器挡门口"，本篇的防火墙是它的纪律版；2.8-2.12 讲过服务器放在哪（机房/云），本篇回答"放在网络结构的哪一层"。第一章说过"服务器=角色"，本篇的 DMZ 就是给"对外角色"和"对内角色"划了个安全分区。
一、信息资产：系统中需要保护的是什么
先破一个误区：需要保护的不是服务器这台铁箱子，而是箱子里的信息资产——数据、客户资料、图纸、账目、员工的账号权限。铁箱子坏了可以再买，图纸泄漏了没法回收。
资产到手先分级，因为不同级别的信息，保护姿势完全不同：
| 级别 | 例子 | 保护重点 |
|---|---|---|
| 公开信息 | 官网内容、产品手册、招聘启事 | 不怕被看，怕被篡改——官网被人挂了赌博广告，丢的是脸面和信任 |
| 保密信息 | 设计图纸、客户资料、薪资表、账目 | 怕看更怕拿——泄漏就是直接损失，还可能违法 |
顺手记住风险公式：风险 = 威胁 × 脆弱性。外面有贼（威胁）但门锁得好（脆弱性低），风险就小；没贼的地方装十道锁也是浪费。安全投入和资产级别要匹配——这就是"从公司的角度考虑"在安全领域的翻版。
二、非法访问与数据泄漏：两类威胁两条战线
非法访问：没权限的人闯进来——猜口令、钻系统漏洞、冒用账号。对应防线：认证（12 课 7.1 的三要素与 MFA）、访问控制（本篇 7.6-7.7 展开）、防火墙（本篇 7.4）。
数据泄漏：数据跑到了不该去的地方。路径不只是"黑客闯入"——发错邮件附件、离职员工拷走客户名单、笔记本丢在出租车上、图省事把图纸传到个人网盘，都是日常泄漏的主力。对应防线：加密（偷了看不懂）、权限最小化（拿不走那么多）、制度与审计（留痕可追责）。
一句话分工：非法访问防"人进来"，数据泄漏防"数据出去"——两件事要分开布防，只防一头等于只锁前门不锁后门。
三、信息安全策略：先立规矩，再买设备
信息安全策略是公司层面的一套书面规矩：哪些信息是保密的、谁能访问什么、口令多久换、丢了设备怎么报备、出了事故找谁。它是所有安全设备的上位文件——防火墙的每一条规则、账号的每一项权限，都该能从策略里找到出处。
策略围绕三条底线展开（信息安全的 CIA 三要素）：
- 机密性——该看的才看得见（加密、权限）
- 完整性——数据没被改过（哈希、签名、审计）
- 可用性——要用的时候能用（备份、冗余——本篇 7.8 以后全是为它服务的）
为什么"重视信息安全策略"？ 因为没有规矩的设备是散装零件：买了防火墙，规则随口开；发了笔记本，不签保密协议——钱花了，风险没降。反过来，规矩立清楚了，设备才知道往哪使劲。这也是为什么安全审计第一件事永远是看文档不是看机器。
四、防火墙：外部与内部之间的墙
防火墙站在公司内网与外网的边界上，按规则决定每个包过不过。最基础的工作方式是包过滤：看包的头——来源 IP、目的 IP、端口——对照规则表放行或丢弃。
核心原则只有一句：默认拒绝，逐条放行（deny all, permit some）。 不是"列出坏人挡掉"，而是"默认全挡，认识的才开门"。两者天差地别：前者你得列举所有坏法（列不完），后者只需列举所有业务（列得完）。
防火墙是网络层保安：它看地址和门牌号，不看信封里的内容。要查内容（病毒、敏感词）得靠别的岗位——所以防火墙从来不是安全的全部，它只是第一道墙。
五、DMZ：外网与内网之间的缓冲地带
麻烦在于：公司总有些服务器必须对外服务——网页、邮件、对外 FTP。把它们放进内网？等于在银行金库上开营业窗口。挡在墙外？它们就没有内网资源可用了。
解法就是 DMZ（demilitarized zone，非军事区/隔离区）：在两道防火墙之间划出一个缓冲地带，对外服务器全部住在这里：
- 墙 1（外网 → DMZ）：只放行业务必需的端口——80/443 给网页，25 给邮件
- 墙 2（DMZ → 内网）：DMZ 发起的连接一律挡回——内网服务器永远不接 DMZ 主动打来的电话
这带来的质变：DMZ 里的服务器哪怕整个被攻陷，攻击者也被墙 2 困在缓冲区里，进不了内网——丢了前厅，保住了金库。反过来内网客户端访问 DMZ 的响应可以正常回（墙 2 放行"已建立连接的回包"）。这套"分区 + 最小放行"的思想，和 2.8-2.12 混合云"图纸资料不出内网"是同一个思路：按敏感度划区，按区设防。
六、常见误区
- "装了防火墙就安全了"——防火墙只防"从外面进来的非法连接"，防不了内部泄漏、防不了 U 盘病毒、也防不了"业务端口本身被攻击"（80 端口必须开着，Web 应用的漏洞它管不着）；安全是策略+设备+人的整套体系。
- "DMZ 是一台设备"——DMZ 是一个网络区域，由两道防火墙（或一台防火墙的三个接口）划出来的地带，不是买回来的一台机器。
- "小公司没资产，不需要安全策略"——客户名单、报价底单、设计图纸，小公司样样有；而且小公司往往更依赖口碑，一次泄漏可能就是灭顶。策略可以薄，但不能没有。
- "保密信息加密存好就万事大吉"——可用性也是保密信息的命门：加密文件 + 密钥丢了 = 数据永久丢失；只守机密性忘了完整性和可用性，是安全工作最常见的偏科。
七、动手 Demo：看看自家电脑的"墙"
Windows 自带防火墙就是一套现成的教学素材：
看墙的状态（三个网络位置的墙是否开着）：
以管理员身份打开 PowerShell：
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, DefaultOutboundAction
看到什么算成功：三行输出（Domain/Private/Public），Enabled 均为 True，DefaultInboundAction 为 Block——亲眼确认 Windows 的墙执行的就是"进来默认拒绝、出去默认放行"这条铁律。
看一条具体的"逐条放行"：
Get-NetFirewallRule -Direction Inbound -Enabled True | Select-Object -First 5 DisplayName, Action
看到什么算成功：列出正在生效的入站放行规则——每一条都是"某程序/某端口被允许进门"的白纸黑字。这就是"默认拒绝 + 逐条放行"在你的电脑上的真实形态。
30 秒实验：打开"控制面板 → Windows Defender 防火墙 → 高级设置 → 入站规则"，找找有没有你装过的软件自己加的规则（比如某个播放器的端口）——你会立刻明白为什么策略要管住设备：规则是软件自己加的，不加审计就没人知道墙上有多少扇窗。
自测三问（点开对答案）
1. 信息资产分级后，公开信息和保密信息各自最怕什么？——公开信息不怕被看、怕被篡改（丢完整性）；保密信息怕看更怕拿（丢机密性）。 2. 防火墙的核心原则？它和"列出坏人挡掉"有何区别？——默认拒绝、逐条放行；坏法列举不完而业务列举得完，前者防线是漏的，后者是收口的。 3. DMZ 解决什么矛盾？墙 2 对 DMZ 发起的连接怎么处理？——"服务器必须对外"与"内网必须隔离"的矛盾；DMZ 主动发起的连接一律挡回，只放行内网访问 DMZ 的回包。- ☐ 7.6-7.7 服务器内部的安全（目录服务器与访问控制、病毒防范）
相关笔记
- 网络 7.1 身份认证 —— 非法访问防线的认证部分
- 网络 7.2 加密 —— 数据泄漏防线的加密部分
- 身份认证与业务系统 —— 反向代理"挡门口"与防火墙的对照
- 服务器的位置与外部世界 —— "图纸不出内网"与按敏感度划区的同源思路
- 服务器处理与高速化处理 —— 安全策略要落地，同样离不开监控与审计留痕