以下问题主要是针对客户选型及需求提出的。本FAQ内容不定期更新，请注意当前版本号。转载时请注明原著者——武汉中神通。
什么是UTM？
UTM的全称是Unified Threat Management，中文翻译是统一威胁管理。UTM设备是由硬件、软件和网络技术组成的具有专门用途的设备，它主要提供一项或多项安全功能，它将多种安全特性集成于一个硬设备里，构成一个标准的统一管理平台。UTM设备应该具备的基本功能包括网络防火墙、网络入侵检测/防御和网关防病毒功能。UTM起源于为防止混合型、应用型攻击的快速蔓延而对灵活的、整合各种功能的设备的需求。
为保护单位网络，在只能购买一台产品的前提下，应该选择防火墙还是UTM？
UTM。因为威胁的发展趋势表明，攻击主要来自于两个方面，一是混和攻击，二是对应用层的攻击，要抵御这样的攻击，单台防火墙的防护能力是不够的，只有选择基于防火墙的UTM产品，才能提供全面的保护功能。UTM可以配置成防火墙，而防火墙不能配置成UTM。
市面上冒出很多UTM设备，如何判断其真伪？
判别UTM设备真伪的关键在于4W1H：全部功能（What）能否同时（When）在所有网卡（Where）（包括VPN隧道）上实现全双工（Way），并且有相应的功能设置界面及日志（How）。如果有些功能只能在某一网卡上实现，则和两台单一设备桥接在一起使用没有本质的区别，无法针对全部安全域实现统一威胁管理，因此只能叫做“多功能威胁管理（MTM）”，充其量也只是“UTM 1.0”。
另外，还可以通过公安部计算机信息系统安全产品质量监督检验中心公布的资料查看其是否通过了检测，对于那些以“内容过滤安全网关”或“小型防火墙”名义通过检测的产品，选择时要多加比较。
如何判别UTM产品里的一项功能的价值？
首先看该UTM产品是否模块化，如果是，则应判断其所处模块的整体价值；如果没有模块化，则应把该功能单独拿出和同类单一产品进行比较，如果不能够代替同类单一产品，则说明该功能还不完善，只是该UTM产品中的点缀，说的好听是锦上添花，说的难听是滥竽充数。另外，再看此项功能能否同时在全部网卡上生效，如果只能同时在一个网卡上生效，则价值至少缩水8成以上。
单位已购置了一台防火墙，还有必要再购置了一台UTM吗？
有必要。为了完善您的安全，消除"安全短板"，对于安全等级高的资产的保护不能只依靠防火墙。在资金有限的情况下，选择购买UTM比选择购买IDS/IPS，防毒墙，AAA认证设备等单一功能设备更能适应单位发展的趋势。
UTM可以用于上网行为管理，以提高用户的生产率吗？
可以，二代UTM的应用过滤模块包括千万级不良网址库、百余种应用控制库、74类10万条的自定义URL过滤功能、多语种关键词网页内容过滤，加上身份认证、FTP过滤，邮件过滤、备份，MSN、QQ帐号级过滤，基本可以满足一般企事业单位的上网管理需求。另外，应用过滤模块还具有防病毒、防木马、防垃圾邮件、防网页钓鱼，流量拦截，VPN隧道内、无线网络中仍可进行上网行为管理等功能，这是一般旁路式监听产品所无法拥有的。广义的上网行为管理还包括用户级时间、会话数、流量、带宽控制等，这不是只做第7层过滤就能达到的。另外，上网行为管理功能只是UTM的一部分，它偏重于内网出外网的管理，因此不能叫做UTM。
单位有一套应用系统准备对外发布，如何对其进行安全防护？
根据该应用系统的类型及价值，可以进行如下防护：防火墙（端口重定向、包过滤）、抗DoS攻击（SYN洪水攻击、IP碎片攻击、假冒IP地址攻击等）、时间控制（一天中的多段时间）、流量控制（每日/星期/月流量）、带宽优化（保障关键应用的带宽）、会话控制（保障资源合理利用）、WEB缓存（加快系统反应时间）、IDS（检测应用攻击）、IPS（阻拦应用攻击）、身份认证（鉴别使用者身份）、应用加密（不被窃听）、VPN（鉴别使用者身份、加密、抗抵赖）、负载均衡（保障应用性能）等。那种只靠防火墙＋抗DoS攻击的防护措施只能保证应用系统基本的可用性，不能保证应用系统的机密性、完整性、可控性和不可抵赖性。
xx厂家既有防火墙、IDS又有UTM，怎么选择呢？
首先，看该UTM是否是OEM国外的产品，若是则不如直接选择国外品牌；其次，看该UTM包含了哪些原防火墙、IDS的功能，如果功能不全则不如选择原防火墙＋IDS的组合。若资金有限，还是选择只做UTM厂家的产品性价比高。
因为某种原因，UTM可以不要入侵检测与阻拦模块吗？
可以。对于二代UTM产品，您可以选择不要除防火墙模块外的任何其它模块。
有无限制用户数的UTM/防火墙吗？
没有。所谓的“无限制用户数”是指：一、没有在管理功能上做限制，二、没有有效的控制用户会话数的手段。由于性能上的局限，这种产品所能带的用户终究是有限制的。
流量管理就是带宽管理吗？
不是。单位时间（每秒）的流量是带宽，一定时间范围内（每天/每星期/每月）的流量不是带宽而是总流量。目前市面上的防火墙/UTM/流量优化设备一般只有带宽管理功能而没有全面的总流量管理功能，二代UTM同时具备带宽和流量管理功能，既可以对IP又可以对用户的不同应用进行管理。
如何选择带宽（QoS）管理设备？
可以考虑两个标准：一、带宽管理功能和包过滤功能在同一条策略中设置；二、能针对源IP及目的端口的组合进行设置。如果带宽管理功能和包过滤策略分离，就不能做到统一带宽管理；如果只能针对源IP或目的端口进行设置就不能实现对每一客户端的精细控制，就有可能导致受控IP的所有应用同时变慢等副作用。
UTM可以被托管吗？
可以。二代UTM设有多个不同角色的用户，可以将策略管理员的职责外包给专业机构，如MSSP，在建立好安全策略后，还可以将此职责收回，也可以将审计员的职责外包给信息安全审计机构，同时，统一威胁管理也使得管理者的工作大大简便。
为安全起见，可以有多个DMZ区，一个DMZ区放一台服务器吗？
可以。您可以将任何网卡配置成DMZ区。
为了提高出网效率，可以有多个WAN连接吗？
可以。您可以将任何网卡配置成WAN连接，用于连接电信、网通、教育网等不同的网络。
内网控制（或某一其它）功能只能在LAN口处才有吗？
不是，根据需求及配置，您可以在任意网卡处拥有全部或部分功能，从而不影响内网安全域细化。
多WAN口的设备好还是多LAN口的设备好？
多LAN口的设备更能保护内网安全，它相当于内置了一台三层交换机，各个LAN口所在的网络之间是缺省隔离的，并受到UTM的保护，这使得内网安全域可以细化，例如财务部、高级管理人员的网络可以和其它部门的网络分开，保障其不受内部人员或网络蠕虫的攻击（据美国FBI统计70～85％的攻击来自于内部），这是用网卡别名生成不同网段所不能比拟的。多WAN口设备主要用于业务连续性要求高的单位，不能解决内部的安全问题。多MDZ口的设备和多LAN口的设备类似，可以更进一步保障DMZ网络的安全。
只能有LAN、WAN、DMZ三种安全域吗？
不是，根据需求及配置，您可以拥有2～N个不同的安全域，相当于同时拥有N/2台UTM防火墙，其中N等于网卡的数量。那些号称有1LAN、1DMZ、2WAN网卡的设备，由于网卡角色固定，扩展性及灵活性不高，不能满足变化多端的实际用户网络环境，所能实现的安全等级也不会很高。
为方便管理及节约投资起见，可以将管理员主机设在任意安全域内吗？
可以。您可以将管理员主机设在任意安全域内以方便管理。与此相反，您也可以将某一安全域专门用于管理以加强安全性。
内网的计算机是装备了可信计算技术的安全计算机，还需要老三样（防火墙、防病毒、入侵检测）的保护吗？
需要。可信计算技术只解决了用户及终端可信的问题（正确的用户使用正确的计算机），它不能保证用户及终端不受病毒（除了BIOS病毒）等外界攻击，也不能保证经过验证的用户及终端不攻击其他用户及终端。实践证明，在只装备了可信技术的计算机上安装Windows操作系统，将100％被黑，若是被网络蠕虫侵犯，这台可信计算机还将充当傀儡攻击其它计算机。因此，可信计算技术和"老三样"不是代替的关系而是互补的关系。
UTM可以用于内网安全吗？
可以。中神通内网安全网关是UTM在内网安全领域的实践，它在防御外部攻击的同时，也可以防御内网之间的窃听和攻击。
绑定IP及MAC地址可以用来解决身份认证问题吗？
不能，即使在一级接入交换机的端口上绑定，也不能根据IP及MAC地址来判定一台计算机是否合法，这是因为计算机的IP和MAC地址可以同时改变，在Windows下这种改变更加简便易行。
有更好的办法用来解决内网IP地址盗用的问题吗？
可以。您可以启用身份认证功能，将内网的安全域细化。
有更好的办法用来解决内网用户私设代理、路由逃避收费吗？
可以。一般用户机器和网关的不同在于同时连接数的不同，可以将内网用户的同时连接数设为一个合理值，并对连接会话的流量进行排序，流量排在前几名的连接可能是代理发出的。还可以检测同一IP的QQ、MSN帐号，多个帐号表明可能是代理。
可以通过封闭端口来阻止BT、P2P下载吗？
不能。BT、P2P的端口可以在全部65535个端口中变换，不能指定某个端口就是BT、P2P所用的端口。如果只保留80、53等常用端口而封掉1024以上端口将影响FTP等常见软件的使用，好的控制方法是在全开的前提下进行的，这样不会影响正常工作。
通过特征值来阻拦聊天、游戏、BT、P2P软件好吗？
不一定，可以用特征值来阻拦的网络软件只是很少的一部分，面对层出不穷、日新月异的此类软件，与其封堵不如限制使用，这样才能在不妨碍正常工作的前提下管好网络，即应该将工作重点放在优化正常工作流量上，而不是相反。
限制了源端IP的最大同时会话数是否能够解决BT下载等资源滥用的问题？
不能。关键在于不好确定具体的取值，如果小了，例如，100，从整体上讲，单个用户的滥用行为不会影响到整个网络的性能，但是每个用户可用的资源将受到固定的限制，即在限制BT下载的最大同时会话数的同时也限制了正常工作用的最大同时会话数，最终结果是工作效率的下降，这可能比因BT下载而导致的损失更大更持久；反之，如果大了，例如，1000，则不足以限制因多个IP同时BT下载而导致的资源滥用。总之，这种方法是一种似是而非的解决方案，二代UTM可以做到基于会话的最大同时会话数的控制，即对源IP＋目的IP＋目的端口＋协议组合的控制，可以完美的解决BT下载等资源滥用的问题，同时不会影响正常工作效率。
可以查看同时连接数吗？
可以。您可以查看客户端的同时连接数，也可以查看服务器的同时连接数，并且可以按多种条件进行查询，查到的连接可以马上中断，即所见即所断。
设置时间策略后，当时间到时可以将已建立的连接中断吗？
可以。状态检测防火墙的基本功能不仅包括建立、维护新连接状态，还包括定时或手工中断已建立的连接，如果只做到前者而做不到后者就会导致安全策略只能控制新连接而不能控制已建立的连接，使得防火墙形同虚设。
针对应用的用户认证、授权、计费（AAA）可以不只限于WEB应用吗？
可以。您可以针对任何应用启用用户认证、授权、计费（AAA）功能，但只有WEB应用才有认证重定向功能。如果只对WEB应用（一种应用）做用户认证（一个A）则意义不大。
WEB重定向需要修改网站的网页吗？
不需要。您不用修改任何网站的网页。
针对应用的流量控制可以不只限于WEB或P2P应用吗？
可以。您可以针对任何应用启用流量控制功能。那些只针对P2P应用的流量控制没有普遍性，不能控制所有的应用，适用于ISP方的控制而不适用于终端客户的使用。
可以不让用户通过WEB邮件、网盘等上传文件吗？
可以。您可以通过WEB代理的"最大上下载文件大小"参数进行控制。
可以提供过滤URL来阻止用户浏览黄色网站吗？
不一定，目前全世界的黄色网站有3.7亿之多（截止2007年6月），而厂家的URL数据库最多也就是千万级的，且不谈不能覆盖全部黄色网站，就是把现有URL全都过滤一遍，其上网速度也将慢得出奇。另外，加密隧道的使用将逃避所有的URL过滤设备的检查，对此用户应该有心理准备。
如何设置网页的内容过滤？
在设置关键词之前请先确定网页编码的格式，同样是显示简体中文，网页的编码格式就有GB2312和Unicode两种，因此要查看网页源代码，确定网页编码的格式后，再设置关键词及其权重。
为什么内网装了防病毒软件仍然病毒、木马泛滥？
因为现在的病毒、木马在释放出来前都是经过各种防病毒软件的检测，在做到基本“免疫”之后才会放出来捣乱，各种防病毒软件只有取得病毒、木马样本之后才能做到防病毒（参看：CCW报道：熊猫烧香病毒幕后黑手曝光）。这种结构性的缺陷导致各种病毒、木马泛滥成灾，性能再高的内容过滤设备对此也无能为力。二代UTM可以从病毒、木马的源头防止这种情况的发生，起到了治标又治本的作用。
网关防病毒和网络版防病毒软件有什么区别？
网关防病毒是对内网所有网络流量进行实时的过滤，协议有HTTP、POP3、SMTP等，网络版防病毒软件的控制方式是网络的，执行端还是在各个终端处。在桌面防病毒软件不起作用的时候，网关防病毒可以帮助这些机器抵御来自网络的病毒，因此是桌面防病毒软件的最佳拍档。如果您要保护Windows共享资源，请选用IDS/IPS模块，它具备5000多条针对windows漏洞的防御规则，可以让您放心打开PC防火墙共享Windows资源。
有更好的办法用来阻拦MSN、QQ聊天吗？
有。您不必在客户端安装任何控制软件，不必让客户端加入域，不必阻拦客户端的IP，也不必上网查询MSN、QQ服务器IP地址，因为二代UTM只针对MSN、QQ帐号进行阻拦，上班时只让工作帐号上线，其它时间不做限制。IM过滤的三重境界是：端口过滤、协议过滤和帐号过滤，帐号级过滤可以对客户端设施更加灵活的访问控制策略，可以避免因封MSN、QQ而带来的工作上的不便，是目前最好的控制方法。
P2P、HTTP TUNNEL如何检测？
首先，在打开的端口中不包括常见的P2P服务端口，这将导致P2P通过Port 80通讯。然后，启用Port 80过滤功能，通过查看日志找到P2P、HTTP TUNNEL软件留下的痕迹，在Port 80过滤规则中拒绝这些特征，这样可以将大部分P2P、HTTP TUNNEL通讯阻拦。
所有模块都打开，网速变慢怎么办？
首先，查看DNS服务器设置是否是本地ISP提供的，IE浏览器是否中毒等，可以通过IP地址访问一个稳定、快速的站点（例如百度等），确认不是所有网站同时出了问题。另外一种情况是网络内有ARP病毒，注意查看ARP、系统日志，及时了解ARP请求的异常情况。其次，查看是否是因为硬件处理能力不够而导致网速变慢，如果是这样，建议增强硬件配置，或将安全模块分散在多台优强UTM中使用。
性能是防火墙、UTM最重要的因素吗？
不全是。防火墙、UTM是控制设备，其最重要的因素依次为安全、稳定、性能、扩展性，路由器、交换机是连接设备，其最重要的因素依次为性能、稳定、扩展性、安全。例如，当无法检测网络蠕虫的攻击而导致其在网上蔓延时，一台高性能的防火墙、UTM所具有的"同时连接数"及"每秒新建连接数"的性能指标在帮助它长时间不当机的同时，也帮助了网络蠕虫大面积的传播，与此相反，一台马上当机的低性能的防火墙、UTM反到能阻止这种情况的发生。
利用虚假IP地址进行攻击会使入侵阻拦（IPS）产生负面影响吗？
不会。入侵阻拦利用多项技术尽量减轻这种影响。首先，每条规则均可自定义，其次，使用IP地址白名单方式，然后，可以将阻拦限制在发生攻击所在的网卡处，再次，可以将阻拦时间设为一段较短的时间。
IPSEC中可以用证书认证而不用CA吗？
可以。请使用RSA证书认证，它比共享口令认证安全，比X.509证书认证简便，适用于10个连接以内的IPSEC虚拟专用网。
用户远程访问必须使用VPN吗？
不一定。VPN的优势之一是加密，若远程访问的应用有加密措施，则使用优强UTM的基于用户认证的安全策略（应用）就可以满足客户的需求。
用户远程接入的首选是SSL VPN吗？
不一定。SSL VPN的起源是为了多种应用（HTTP、FTP、终端服务、X11、VNC等）只通过80或443端口访问远程服务器，可是当客户端方网关进行内容过滤时，这种连接将被拦截。反之，若不检测则这种或其它隧道技术也可以利用80或443端口逃避网关的检查，成为网关上的一个"洞"。若SSL VPN丧失配置便利的优势，则二代UTM的PPTP VPN可以成为用户远程接入的理想选择。所以，SSL VPN作为内部的工作门户比作为远程接入更合适。
PPTP用户可以改口令吗？
可以。二代UTM提供WEB Portal，用户可以在其上修改口令，而且不需要任何第3方的软件或服务（CA、RADIUS等）。一个不能让用户自己修改口令的VPN产品，其可用性几乎为零。
IPSEC、PPTP VPN加密隧道内可以进行并发连接数、带宽、流量管理、内容过滤以及入侵检测与阻拦（IDS/IPS）吗？
可以。二代UTM可以对VPN隧道进行全功能的控制，能够提供比所谓的“Clear VPN”更全面的控制。