两个网络防火墙比一个好吗？

　　问：我们的网络目前使用两个防火墙系统：Fortinet公司的FortiGate和思科的PIX防火墙。为了减少处理延迟，我建议使用一个防火墙，而不是两个防火墙设备。采用不同厂商的多个防火墙有什么安全方面的好处吗?

　　专家答：你的提问提出了几个有趣的问题。首先，你暗含的推测是两个防火墙正在给你的网络引起能够注意到的延迟。一般来说，当使用容量适合现代企业网络的现代的防火墙的时候，应该不会有任何明显的延迟，即使把两个防火墙连接在一起也不会引起明显的延迟。如果你遇到了延迟的情况，这可能表明你的一个防火墙或者这两个防火墙都不能满足带宽的要求。因此，现在是你升级到更高容量的防火墙的时候了。

　　接下来，你要考虑防火墙放置的位置。这两个防火墙是直接连接在一起，中间没有任何东西吗?如果是这样的话，考虑使用一种不同的防火墙结构以便最充分地利用这两个防火墙。要了解关于这种安排的更多信息，请你阅读我的文章“在防火墙结构中放置系统”。如果你没有把这两个防火墙直接连接在一起，你要确认这些防火墙不是多连接结构实施方案的一部分。

　　如果没有多余的防火墙的商业实例，取消其中一个防火墙是值得的。不要强调性能的原因，我要说管理两个不同系统会造成混乱和更多的管理开支。规则的变化必须要在两台设备上分别进行，因此把管理时间增加了一倍。然而，如果你对增加冗余设备防备硬件故障感兴趣，你可以考虑在高可用性应用中使用两台同样的防火墙设备，这样，如果一台防火墙出故障，另一个防火墙可以接替工作。