防火牆是網路安全基石。本文追溯名稱由來，系統闡述核心功能與工作原理，建立正確防火牆認知框架。

名稱溯源：從汽車工程借鑑而來

「防火牆」源自汽車設計：隔離引擎艙與乘客艙的鋼板屏障。引擎起火時，防火牆保護乘客安全，同時保留駕駛對引擎的操控。網路領域借鑑此隱喻：隔離內部受信網路與外部公共網路（Internet），在允許合法通訊的前提下阻擋威脅。

核心定位：存取控制閘門

防火牆是兩個網路通訊之間的強制存取控制點。依據預定安全策略：
• 允許授權人員/資料進入內網。
• 拒絕未授權存取與惡意流量。
• 審計關鍵事件供事後分析。
使內部人員安全訪問 Internet，外部無法擅自探測/連接內部系統。

三大核心功能

• 過濾不安全協定：僅放行經審核的應用協定（HTTP/HTTPS/SMTP/SSH 等），阻擋 NFS、r-services、SMBv1 等已知高風險協定進入受保護網段，消除協定層面攻擊面。
• 防禦路由層攻擊：攔截 IP 選項源路由攻擊、ICMP 重定向攻擊、IP 分片重組攻擊、TTL 過期攻擊等利用網路層特性的惡意封包。
• 主動告警與聯動：拒絕攻擊封包的同時，即時通知管理員（Syslog、SNMP Trap、Email、Webhook），並可聯動 IPS/EDR/SAEA 自動封鎖源 IP、隔離受影響主機。

演進與現代形態

• 封包過濾防火牆（第一代）：僅檢查 L3/L4 標頭（IP/埠/協定），無狀態，效能高但無法識別應用層攻擊。
• 狀態檢測防火牆（第二代）：維護連線狀態表，驗證封包屬於合法會話，支援 FTP/SIP 等動態埠協定。
• 應用層防火牆/新一代防火牆（第三代+）：深度封包檢測（DPI），識別應用（App-ID）、用戶、內容、威脅簽名，整合 IPS、防毒、URL 過濾、SSL 解密、沙箱、威脅情報，實現可見性、控制力、自動化三位一體。

總結：防火牆是網路安全第一道防線，透過嚴格存取控制與封包深度檢測，為內部網路構建堅實安全屏障。選型時應關注吞吐效能、並發連接數、應用識別準確率、威脅情報更新頻率、自動化編排能力等關鍵指標。