匹兹堡和克利夫兰的网络安全服务
KawaConnect 为匹兹堡、宾夕法尼亚州西部以及克利夫兰地区和俄亥俄州东北部的企业网络提供保护。我们管理 OPNsense 防火墙、网络分段、VPN 与远程访问，以及多重身份验证。本页讲的是如何保护您现有的网络。
检查您的网络安全 网络与防火墙
本服务涉及的平台
我们如何保护网络
四项控制措施承担了大部分工作：运行良好的防火墙、划分为多个区域的网络、受控的远程访问，以及强身份验证。
OPNsense 防火墙
由专人维护防火墙规则、更新和日志；在中断会令业务停摆的场合，部署高可用主备组合。
网络分段
通过 VLAN 把访客、电话、摄像头、服务器和员工电脑相互隔离，使某一区域的问题不会扩散到其他区域。
站点到站点 VPN
在您各个办公地点之间建立加密隧道，让分支机构可以访问共享系统，而无需把这些系统暴露在互联网上。
MFA 与条件访问
通过 Microsoft Entra ID 实施多重身份验证登录，以及根据登录者身份和登录位置判断的访问规则。
审查与监控
我们查看防火墙日志和告警，并审查开放端口和规则，避免陈旧的例外规则不断堆积。
保护网络与搭建网络的区别
我们的网络与防火墙页面介绍网络的设计与安装：交换机、Wi-Fi、布线以及首次防火墙搭建。我们的终端安全服务则负责网络上的笔记本电脑、台式机和服务器。本页介于两者之间，讲的是决定谁可以访问什么的规则、边界和登录控制。
OPNsense 防火墙支持
OPNsense 是一款开源防火墙。在高可用主备组合中，一旦第一台设备出现故障，第二台就会接管。我们既支持自己搭建的防火墙，也支持接手而来的防火墙。
- 规则审查：删除过时的规则，为保留的规则建立文档，并关闭不再需要开放的端口。
- 更新：按计划应用固件和软件包更新，并在出问题时保留回退方案。
- 日志：保存防火墙日志，并认真查看。
- 配置备份：保存一份防火墙配置副本，以便能快速启用替换设备。
分段可以限制损害范围
在扁平网络中，一台被感染的电脑或一位不够谨慎的访客，就可能访问到所有设备。我们用 VLAN 划分网络，并在各区域之间编写防火墙规则。常见的做法包括单独的访客网络、IP 摄像头专用网段，以及受保护的服务器区域。零售业的销售终端系统同样会有自己的网段。
无需开放端口的远程访问
我们倾向于通过 VPN 或 Tailscale 访问系统，而不是向互联网开放端口。安防摄像头也采用同样的做法，远程查看通过 VPN 进行。员工获得其工作所需的访问权限，供应商则获得可随时关闭的有限访问权限。
MFA 与条件访问
密码被盗是入侵企业的常见途径。多重身份验证能大幅降低被盗密码的作用，条件访问则进一步加入基于设备和位置的规则。作为我们 Microsoft 365 服务的一部分，这两项都在 Microsoft Entra ID 中配置。
合作流程
- 审查。我们检查您的防火墙、网络布局、远程访问和登录设置。
- 书面方案。我们按顺序列出需要修复的事项，并与您商定。
- 实施与验证。我们在计划好的时间窗口内进行变更，并测试业务系统是否仍然正常。
- 文档与监控。我们记录新的设计；如果您需要长期支持，我们会通过托管 IT持续监控。
服务匹兹堡和克利夫兰的企业
我们在宾夕法尼亚州的办公室位于 Coraopolis 和 Beaver Falls。我们为匹兹堡和宾夕法尼亚州西部以及克利夫兰地区和俄亥俄州东北部的企业提供支持。大多数安全工作通过远程完成；在宾夕法尼亚州，现场工作需预约；在俄亥俄州，则根据项目安排。
关于网络安全的常见问题
你们能支持别人安装的防火墙吗？
可以。接手之前，我们会先检查配置、建立文档并进行整理。如果您更合适，我们也可以把它替换为 OPNsense。
只有防火墙够用吗？
不够。防火墙控制的是流量，但您还需要网络分段、登录控制、补丁管理，以及对设备告警的持续关注。设备由我们的终端安全服务负责。
你们为在家办公的团队提供 VPN 吗？
提供。在家办公的员工通过 VPN 或 Tailscale 连接，只能看到其工作所需的系统。
适合哪些客户
- 只有一个扁平网络、所有设备都能互相访问的企业
- 有多个办公地点、需要在站点之间建立安全连接的公司
- 防火墙多年未经审查的办公室
- 必须能够说明谁可以访问哪些系统的受监管企业
相关指南
来自我们知识库的通俗讲解。
防火墙OPNsensepfSenseVPNWireGuardTailscale远程桌面与 RDPSSH多重身份验证（MFA）
