防火牆是網路安全核心設備，面對「買品牌機」與「自行 DIY」兩條路，後者雖需專業維運，卻能以較低成本獲得極大彈性與學習價值。DIY 成敗關鍵在於：硬體架構（x86 / ASIC / NP）與 OS（FreeBSD / Linux）的黃金搭配。

一、x86 架構：靈活但小封包效能受限

• 優點：通用 CPU（Intel/AMD）、PCI/PCIe 總線、軟硬體資源豐富、功能模組靈活增減、開發週期短。
• 缺點：架構層次多、難優化、PCI 總線頻寬瓶頸、通用 CPU 處理能力有限、中斷機制導致 64-byte 小封包轉發率僅 30-40%、CPU 佔用高、發熱大。
• PCIe 升級：雖將總線頻寬推至 16Gbps，但中斷機制未變，小封包效能仍受限，上限約 2Gbps。
• 最佳 OS：FreeBSD（m0n0wall / pfSense）。FreeBSD 抗 SYN flood 能力遠超 Linux，支援網卡 polling 模式降低中斷負載，pf 防火牆支援三次交握代理、地址池、自動黑名單，精簡穩定。商用產品如 Panabit、流控大師亦基於 FreeBSD。

二、ASIC 架構：電信級高效能、靈活度低

• 專用晶片硬體加速，90%+ 封包在晶片層完成（重組、匹配、動作），不經 CPU、無中斷。
• 缺點：開發成本高、週期長（近 2 年）、功能固化、升級維護難。
• 適用：模式單純、對吞吐量與延遲極敏感的電信級大流量場景。

三、網路處理器（NP）架構：介於 x86 與 ASIC 之間

• 每網口一 NPE，微碼編程，開發難度較 ASIC 低、較 x86 高。
• 典型晶片：Marvell IXP 系列、Freescale C-5、Cisco Toaster 2。華為首創商用（NE80/NE40）。
• Intel、IBM 已退出 NP 市場。

四、嵌入式架構：高流量小封包（DDoS）首選

• ARM / MIPS / NP + Linux（OpenWrt / DD-WRT / Tomato）。
• 為何不選 FreeBSD？驅動支援弱（無線、新網卡多不支援）。
• 為何不選 NetBSD/OpenBSD？效能較低。
• 推薦 OpenWrt：免費、高度可定制、等同完整 Linux 環境、支援多 WAN 策略路由、Layer7 過濾（需自寫正則）。RouterOS (ROS) 亦為國人二次開發 Linux，功能豐富但收費，適合網吧等商用場景。

五、DIY 避坑原則

1. 功能即負擔：關閉 Web 管理、SSH/Telnet、VPN/IDS/IPS 等耗資源服務，防火牆只做「轉發、過濾、流控」。
2. 極簡內核：僅保留必要模組，甚至禁用 Console。
3. 硬體採購：優先淘汰舊電腦（去硬碟上 USB/記憶卡）、嵌入式開發板或 Nano-ITX 主板；無線/3G 僅需插卡即用。