设计和选用防火墙首先要明确哪些数据是必须保护的，这些数据的被闯入会导致什么样的后果及网络不同区域需要什么等级的安全级别。不管采用原始设计还是使用现成的防火墙，对于管理员来说，首先得根据安全级别确定防火墙的安全标准。
其次，设计或选用防火墙必须与网络接口匹配，要尽量防止所能想到的威胁。防火墙可以是软件或硬件模块，并能集成于网桥、网关、路由器等设备之中。
面对市场上的数十种产品，应当从安全策略开始考虑，选择最适合于本公司的产品。许多组织常常以一种不叫确的思想开始，并没有一个他们打算做什么的清楚的概念，这样是很危险的。
有了采用适当的安全级别和特别设计出来的防火墙，入侵者企图闯入网络时必须付出时间和金钱上的昂贵代价，且它容易暴露并具有较大的风险。
设计防火墙系统之前必须制定明确的安全策略。
在确定安全策略之前，管理员要首先明确企业与internet联接的最主要的目的是什么？是为了宣传企业的形象，还是为了电子贸易，或者是为了在网上查找信息?
在明确建立防火墙的目的之后，管理员还要了解企业对系统的具体要求。包括：
管理员依据企业的需求倍息，进一步确定系统设计方案，包括：
在学习了防火墙的基木概念和理论之后，下面用一个实例来说明如何将防火墙用于实际的系统设计方案。
我们先假设建立一个虚构的企业，其组织机构和运行方式如下：
公司设有计划部、生产部、市场部、财务部等部门，其中市场部的销售人员分散在各地，并在各地设有分部。
公司的运营方式是：销售人员寻找客户并开定单，定单先传到本地分部，然后从本地分部传到总部的市场部和财务部。财务部对定货方的信任度进行确认，将发货的通知发送给市场部，市场部组织发货，并通知财务部。财务部对在规定时间内未付货款的客户提出警告，或与银行交涉处理。计划部研究分析市场部、财务部有关数据，结合其他信息，提出调整计划，报请总经理批复，然后向生产部、市场部和采购部一一传达。
这样，各部门都有各自的信息，有的仅供领导使用，有的供公司内部人员使用，有的向网上发布。
对web的需求:
企业之所以要建立内部网并且要和internet联接，主要是考虑如下需要：
n在web站点上建立公司主页，扩大产品影响。
n建立e-mail服务，收集客户对产品的反映。
n各地的销售人员通过e-mail向市场部传递销售定单。
n采购人员通过e-mail向采购部传递采购定单。
n计划部和生产部通过web查阅网上的技术参考资料。
n企业各部门之间实现必要的快速信息文流。
为此，提出并分析如下的建议方案。
方案一如图7.9所示。
财务部
web服务器
internet
生产部
计划部
市场部
采购部
防火墙
方案一将企业内部的各部门联入内部网，并将内部网与外部网用防火墙隔离。同时，将web服务器放在了防火墙之外，各市场分部通过internet与总部进行通信。该方案的主要出发点是为了能够满足企业建立主页以宣传企业形象、实现企业内部信息交流和保护内部网安全的最基本要求。在方案一中，由于外部网与内部网被防火墙隔离，因此，外部黑客不易闯入内部网。对于内部数据安全要求不高的小型企业，该方案是合适的。
但是，此方案实施中，一但黑客突破了防火墙，整个内部网就处于完全暴露状态。并且，在外地的销售人员或市场分部与总部通过internet联系也容易造成安全漏洞。
方案二如图7.10所示。
该方案针对方案一的不足将web服务器放在防火墙之内，有利于企业对web服务器上企业主页的及时维护。同时，外部用户访问web服务器经过防火墙，可以防止大量的非法入侵。
如果外部用户访问内部网，还必须再经过访问服务器的过滤，进一步加强了安全性。但是，这种配置使内部用户访问internet受到限制，因此，在访问服务器之外加上终端机器，使内部用户可以使用Ftp以及telnet等服务。
方案三如图7.11所示。
尽管方案二提高了保护层次，但市场分部销售人员与总部的联系仍然存在安全隐患。方案三是针对企业接受订单并及时在内部网处理的需要而提出的，是方案2的补充，市场分部返回的信息由市场部专门组织处理。同时，为了保证邮件传输的安全性，方案中选用了带邮件转发和包含双宿主网关的防火墙产品，用来保护邮件服务器。
财务部 web服务器 客户端 internet 生产部 计划部 市场部 采购部 访问服务器 防火墙……
……
方案4如图7.12所示。
图 邮件服务器 和 双宿主网关 intranet 销售代表 调制解调器在前面的几个方案中，对于防止外部的入侵是较好的，但都没有考虑到内部的数据保护问题。实际上，各部门之间，有些数据是互相公开的，而有些数据只能供企业内部本部门或部门内的少数人使用，例如：财务部的数据。因此，为了防止部门内部的攻击，需要对内部网用防火墙隔离。将财务部和其他部门用防火墙隔开。该结构作为对内部网安全的补充，可以构成完整的系统。
财务部 生产部 计划部 市场部 采购部 防火墙……
……
图
