一：防火墙部署
防火墙常见的部署有三种：透明模式也叫桥模式、路由模式也叫网关模式或三层模式、NAT模式。
（1）透明模式（桥模式）：
最简单的网络由客户端和服务器组成，客户端和服务器处于同一网段。为了安全方面的考虑，在客户端和服务器之间增加了防火墙设备，对经过的流量进行安全控制。正常的客户端请求通过防火墙送达服务器，服务器将响应返回给客户端，用户不会感觉到中间设备的存在。工作在桥模式下的防火墙没有IP地址，当对网络进行扩容时无需对网络地址进行重新规划，但牺牲了路由、VPN等功能。
个人理解简化：防火墙在客户端和服务器之间相当于连通的线，对所流经的流量进行完全控制（拦截和过滤）。
（2）路由模式（网关模式或三层模式）：
适用于内外网不在同一网段的情况，防火墙设置网关地址实现路由器的功能，为不同网段进行路由转发。网关模式相比桥模式具备更高的安全性，在进行访问控制的同时实现了安全隔离，具备了一定的私密性。
个人理解简化：防火墙相当于一个路由器，控制内外网两个网段的通信流量，同时实现安全隔离。
（3）NAT模式：
NAT(Network Address Translation)地址翻译技术由防火墙对内部网络的IP地址进行地址翻译，使用防火墙的IP地址替换内部网络的源地址向外部网络发送数据;当外部网络的响应数据流量返回到防火墙后，防火墙再将目的地址替换为内部网络的源地址。NAT模式能够实现外部网络不能直接看到内部网络的IP地址，进一步增强了对内部网络的安全防护。同时，在NAT模式的网络中，内部网络可以使用私网地址，可以解决IP地址数量受限的问题。
个人理解简化：防火墙相当于中间介质，外网访问内网时，外网流量到防火墙，然后防火墙再映射到内网主机实现访问，使外部网络不能直接看到内部网络的IP地址增强了对内部网络的安全防护。
二：防火墙等保三级要求配置：
1、周期性备份
2、重命名
3、修改默认密码
4、记录日志（操作日志、运行日志、安全日志）
5、策略不能存在any到any
6、登录失败处理（可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施）
7、更新（规则库和版本更新到最新）
8、用户权限分离
9、IP限制
10、关闭不必要的服务（尽量能使用https，改端口）
来源：https://www.cnblogs.com/liang-chen/p/12631638.html