防火墙的进化：从包过滤到 NGFW 的网络边界防护

一、防火墙不是"一堵墙"而是"一个安检口"

防火墙的概念很简单：在内部网络和外部网络之间设置一个检查点，按照预设规则决定哪些数据包可以通过、哪些需要丢弃。如果把网络比作小区，防火墙就是门口的保安——根据"允许清单"放行访客。区别在于防火墙每秒要检查数百万个数据包而且不能影响网络速度。

包过滤防火墙是第一代技术，只检查 IP 地址和端口号。状态检测防火墙加入了连接状态概念——记录每个 TCP 连接的建立过程。到了 NGFW（下一代防火墙），检查深度已经达到了应用层——能识别出流量是微信视频还是 YouTube 直播，并针对不同应用执行不同的策略。

二、NGFW 的核心能力

一）应用识别和用户识别

传统防火墙只能说"允许来自 IP 1.2.3.4 的 443 端口流量"，NGFW 可以说"允许张三从市场部网段访问 Salesforce 但禁止他访问 Dropbox"。应用识别通过深度包检测分析流量特征判定应用类型，用户识别通过与 AD 域集成来把 IP 地址映射到具体员工。

二）集成 IPS 和威胁情报

NGFW 通常内置入侵防御系统，在检测到已知攻击特征时不仅告警还能主动阻断。威胁情报订阅让防火墙实时获取全球最新的恶意 IP 和域名——一个恶意站点在全球被曝光后，全量订阅该情报源的防火墙可以在几分钟内将其拉黑。

三、云原生时代的防火墙新形态

当企业业务迁移到公有云后，物理防火墙失去了"网络边界"这个存在前提。云防火墙变成了虚拟化形态——AWS 的 Security Group 和 NACL 就是最基本的防火墙。更高级的云原生防火墙如 Palo Alto VM-Series 把 NGFW 的全部功能搬到了云端，通过 API 和云管平台联动实现策略的自动下发。