最近重新抄起很久以前买的outpost防火墙使了几天，感触颇多。总体上讲，如果信任国产杀软的只能HIPS的话，outpost的主动防护完全没有必要（而且其异常的卡，我的新笔记本可是I7 3612QM，装上了它，我还是有种想去死的感脚）。虽说如此强悍的防火墙过滤功能显得有些过了，总体上并不是很适合国内的使用环境与用户群体，但对于国内目前做的最好的瑞星防火墙（个人认为的）来说，outpost防火墙还是有很多值得借鉴的地方。
先说说outpost和瑞星防火墙各自的优缺点吧：
1. 总体上来说，二者的防护都很智能。


瑞星的方式是直接在云端查询当前需要联网软件、模块的相关信息，云端认为安全的软件就直接放行了；而outpost的方式要更细致一些，对请求联网的程序进行云端查询，如果云端存在该软件的相应规则，就会下载并使用其详细具体的联网规则，这些规则严格的对软件联网的远程地址、本地地址、远程端口、本地端口进行了规定，细致且严谨。对比图如下所示：

                       


看上去，貌似OP的规则设置的更严谨、细致一些，感觉比瑞星更为专业。但其实这种方式对于国内环境来说，恐怕没有必要。个人认为，对于所有用户来说，99%的用户并不是我种Geek、手动党（我更喜欢称之为手贱党），没必要细致的去了解每条规则具体的本地、远程的IP和端口信息，以及各个规则所对应的操作系统的功能，对他们来说，软件的简单、易用性才是最重要的。当然，对于我这种手贱党来说，OP的这种方式，深得吾心。


2. 应对网络攻击方面，瑞星做的更好。


outpost的网络攻击检测看起来貌似很专业，实则里边很多个攻击检测项目都老的掉牙。OP防火墙的官方中文版没出来之前，我曾在某个暑假做过一点OP的手动汉化工作，当时参考了360网络防火墙（做得挺不错的，OP内核，可惜最终流产了）的入侵防护和百度、谷歌，相互印证后，发现OP的很多攻击检测项目都老的可怜、毫无意义，有些攻击项目竟然是DOS或是95时代的产物，对XP系统都没有效果，更不用提现在较多的32位甚至是64位的Win7、Win8了。相比而言，瑞星的网络攻击入侵拦截项目极多，虽说好些项目都比较老，可能已经失效，但其针对性相对较强，包括了很多对针对浏览器的攻击、远程溢出、木马后门的拦截，具有较强的实际意义。此外，outpost防火墙和瑞星防火墙都具有网络隐身能力。对比图如下所示：


                       





3. 联网规则设置方面，outpost强上一些。


（1）二者都有全局规则，瑞星称之为IP规则，OP称之为System-wide Rules（系统级规则）。瑞星防火墙很贴心的为用户设置了一个选项，用户可以选择IP规则优先还是联网程序规则优先（二选一）；而outpost则对其进行了进一步的细化，用户可以设置应用于联网程序前的规则和应用于联网程序之后的规则（二选二，这点我很喜欢），此外用户还可以为系统使用的，不依赖于联网程序的数据设置过滤规则。


               





（2）在对ICMP协议的过滤方面，二者的能力基本上是相同的，但outpost更为直观，方便。二者都能够为每一种ICMP类型的数据包制定规则，差别是，瑞星将对ICMP协议过滤规则设置在了全局规则——即IP规则内，而OP将ICMP协议过滤拿到了全局规则以外，单独设置了一个ICMP协议规则，并且默认阻止除了指定选取的规则以外的数据包，此外，由于OP支持IPv6，其ICMP协议过滤也对ICMPv6协议设置了过滤规则。这点上，outpost防火墙更好一点。


                       





（3）在设置应用程序规则方面，瑞星防火墙亮点颇多，但outpost防火墙更详细、方便一些。对于瑞星防火墙，其可以设置某个应用程序是否可以监听端口，此外，其还可以控制应用程序的每个联网模块的网络访问（个人感觉这个针对最近的白加黑木马极为有效），这两点上，瑞星完胜outpost。
       



然而，在设置具体的程序规则方面，OP明显比瑞星更为方便。二者的程序规则设置中，都可以控制本地端口、远程端口、远程IP（瑞星多一个设置本地IP地址的选项，但个人看不出其有什么意义），并且端口均可以设置为“端口列表”的形式（这点上，个人认为，由于端口列表可以方便的实现“指定端口”和“端口范围”两项的功能，故瑞星的“指定端口”和“端口范围”这两项显得有些多余，完全可以去掉），但是在远程IP和本地IP两项上边，瑞星显然做得很糟糕，只有“任意地址”和“地址范围”两项，相比而言，outpost防火墙的地址设置就是一个列表，列表中可以添加：域名，IP地址，带子网掩码的IP地址，IPv6地址，和地址宏（个人认为地址宏这项非常出彩）。outpost的列表形式的地址访问设置较为方便，希望瑞星能借鉴一下。


                       



在具体的程序联网规则的通信协议选择上，outpost可以设置每个程序对于ICMPv4和ICMPv6协议的访问规则，瑞星无此项功能；而瑞星在TCP、UDP两种访问协议外，加入了同时访问两种协议的TCP/UDP，这点虽说看似普通，但实际编辑程序联网规则中，十分方便，同样一条规则，outpost需要对TCP、UDP协议分别设置，但瑞星一条规则就搞定了。
                       





（4）禁止端口通信方面，瑞星远比outpost方便。outpost的端口禁止访问只能在全局规则中通过分别设置禁止所有TCP、UDP协议的数据通过本地某个端口来曲线救国；而对于瑞星防火墙，只需要在端口规则里边禁止某个端口就行了。
                       


4. 在安全上网保护上，瑞星防火墙可以把outpost防火墙秒出N条街。
由于中国的实际互联网环境和西方国家的互联网环境的先天差别，实际上，国内用户面临的最大威胁还是网络钓鱼与欺诈。在应对这点上，瑞星防火墙做得十分不错，可以在安全上网的设置中，对电脑上的浏览器进行高强度的防护，具体的原理我不是很清楚，但目测貌似设置后的浏览器的所有流量会让瑞星防火墙过滤一遍，相信安全性还是比较有保障的。而且貌似瑞星防火墙的钓鱼网址库也基本是个几天就给更新一次的。


晕，论坛里边有发帖的图片数量限制么？怎么到了20张图后，就再也发不上去了？不过还好，必须要贴图对比的基本也都弄完了，后边的凑合用嘴说吧。
God damn it ！！！

5. 兼容性方面，瑞星强于outpost。
这个想必不会有太多的人有疑问的吧。安装瑞星防火墙甚至不会默认关闭windows的系统防火墙，用了快1个月的瑞星，还没蓝过屏，而虚拟机了装outpost不到两天，蓝了三次。




6. 附加功能上边，瑞星强于outpost。
瑞星防火墙内置了很多贴心的小功能，比如网速保护，防蹭网，共享管理，流量统计，以及我最喜欢的IP切换工具。



以上就是两个浏览器的对比。其实其他的防火墙我也用过几个，比如pctools的防火墙，COMODO的防火墙，nod32的互联网安全套装自带的防火墙。这些防火墙也是各有优劣。例如COMODO防火墙可以手动设置联网程序的集合，IP集合，以及端口集合，方便对于网络访问级HIPS规则的设置。




除了这些可以从outpost这种国际级防火墙学习的东西以外，个人认为，瑞星还可以在其他的一些方面有所作为：


1. 对于IPv6的支持。
这点真的十分重要，COMODO和Outpost两家国外顶级防火墙，很早以前就对IPv6有了较为完善的支持。而且现在的使用教育网的广大高校学生，很多都有在东北大学的六维空间下载影视游戏资源的习惯，瑞星防火墙想要吸引这些学生的使用，总不能告诉他们说，你们上六维空间的视乎就关闭瑞星浏览器吧。而且，貌似很快就要进行IPv4到IPv6的过渡了么，总不能那天到了之后，在考虑加上对IPv6的支持吧。所以么，我真的恳请瑞星防火墙团队尽快加上对IPv6的支持。


2. 广告过滤。
之前用nod32的时候，就感觉nod32的广告过滤功能做的十分有趣，并一直使用其过滤迅雷以及一些视频网站的广告。除了NOD32，新出的一个叫火绒的安全软件也具有类似的功能（貌似这个火绒也是有原先在瑞星工作的一些人做出来的）。相信，对于瑞星来说，实现这个功能应该不算很难。


3. 完美实现浏览器的“Do not track”功能。
众所周知，“Do not track”是一个君子协定，广告投送放可以遵守，也完全可以不用理会。既然瑞星的浏览器高强度防护可以直接接管并过滤浏览器的所有网络访问流量，那实现这个“Do not track”来保护用户的隐私想必也不会很困难吧。而且对于公民的隐私保护意识逐渐加强的今天，有了这个功能，想必一定能够吸引很多很多用户的使用。


4. 增强防火墙的自我保护功能。
刚才，就在刚才，我用系统的任务管理器轻松结束掉了瑞星防火墙的所有进程。希望瑞星防火墙能加入自保护功能。






PS：要说的我基本也都说完了，不过估计上边的东西基本也像是老太太的裹脚布，又臭又长吧，估计官人不一定有耐心仔细看完。那么我下边再把我对瑞星的建议再简单的罗列一下吧：



1. 增加对IPv6的支持，这点很重要，当然，ICMPv6协议过滤应该也是包括在里边的吧。个人认为，支持IPv6也是需要优先考虑的。
2. 将IP规则分为应用于应用程序规则前，和应用于应用程序之后两种。加不加关系不大，请酌情考虑吧。
3. 将ICMP协议过滤单独从IP协议过滤里边拿出来，单独设置成一个单独的“ICMP过滤规则”，便于使用。（这点上，可以参考outpost防火墙和火绒盾）加不加关系不大，请酌情考虑吧。
4. 在IP规则和联网程序规则中，把远程IP地址的选项设置为：“任意地址”，和“IP地址列表”两种。“IP地址列表”的设计方式，可以参考Outpost防火墙。希望改进这项。
5. 在IP规则和联网程序规则中，去掉“指定端口”和“端口范围”两个选项，因为“端口列表”已经可以极为方便快捷的实现这两个选项的功能，完全没必要把这两个选项单独拿出来。希望改进这项。
6. 希望能够在IP规则和联网程序规则的“协议类型”中，加入对ICMP和ICMPv6协议。这个加不加关系不是很大，需求不是十分紧迫。
7. 增加基于数据包过滤的底层广告过滤功能。这个估计对很多用户都会有较大的吸引力吧。
8. 加入增强版“Do not track”功能，以吸引大量用户的使用。这个我完全不知道如何去实现，就是觉得这给想法估计会比较有吸引力。
9. 加入一定的防火墙自保护功能，别让它太过容易的被kill了。


以上就是我对瑞星防火墙的一些看法与建议，由于我只是一个手贱党的用户，所以具体功能建议合理不合理我不是很清楚，如果瑞星官方觉得我说的有道理的话，麻烦加入相应的功能吧。




最后，祝愿国产安全软件越做越好，祝愿瑞星的用户越来越多，谢谢。

用户系统信息：Mozilla/5.0 (Windows NT 5.1) AppleWebKit/535.12 (KHTML, like Gecko) Maxthon/3.0 Chrome/27.0.1229.79 Safari/535.12