使用单独设备的一个原因是您可以删除防火墙安全操作并非严格要求的所有内容。这减少了对设备的可能攻击次数，从而提高了安全性。

有许多作为独立设备运行的优秀软件防火墙。问题是“单独的设备”比什么都重要。

单独设备的意义在于它是整个网络的单点控制。

例如，假设有人将笔记本电脑插入网络。如果没有防火墙设备，它对 Internet 和本地 Internet 都是开放的，黑客可以利用它跳入您的网络。

从技术上讲，您实际上并不需要在服务器上安装防火墙：只需运行netstat，并禁用所有不应打开和侦听的端口。你有一个单独的防火墙设备提供中央控制的原因是你经常犯错误，而不是在防火墙中。

正如您所料，对于大公司而言，防火墙规则集变得如此庞大且容易出错，以至于它们成为单点故障而不是单点控制。

单独设备的目的是减少被利用的可能性。您在设备上运行的任何服务都可能存在攻击者可以利用的漏洞。

防火墙的工作实际上是根据一组规则对流量做出访问控制决策。例如，如果它还运行 ftp 服务器，攻击者可能会尝试利用该 ftp 服务器升级到控制防火墙，然后修改访问控制规则以允许任何内容进出。

虽然使用 netstat 会有所帮助，并且要真正锁定环境，您可以在每台设备上运行访问控制，但实际上更容易在那些将流量传入和传出网络的设备上进行控制。

如今，大多数公司确实对每个端点都有有限的控制——防病毒、阻止某些网站、防火墙以防止拆分隧道等，但程度不同。