防火牆本質是「依規則決定封包通行與否」的檢查點。核心技術演進：靜態封包過濾 → 狀態檢測 → 應用層代理 → 下一代防火牆（應用識別、IPS、威脅情報整合）。
核心機制
- 封包過濾：檢查 L3/L4 標頭（來源/目的 IP、埠號、協定、TCP 旗標），速度快但不懂應用語意。
- 狀態檢測：維護連線狀態表，允許回應封包、阻擋非預期連線，平衡效能與安全。
- 應用層代理：終止客戶端連線、建立新連線至伺服器，可深度檢查 HTTP、FTP、DNS 等應用協定內容，延遲較高。
- NAT（網址轉譯）：內網私有 IP ↔ 公網 IP 映射，隱藏內部拓撲，節省公網 IP。
常見部署模式
- 邊界防火牆：企業出口，執行封包過濾、NAT、VPN 終端、IPS、URL 過濾。
- 內部區段防火牆：DMZ、核心資料庫區、辦公區隔離，實施零信任微隔離。
- 主機型防火牆：Windows Defender Firewall、iptables/nftables、商用端點防護，保護單一主機。
- 雲端/虛擬防火牆：AWS Security Groups、Azure NSG、Palo Alto VM-Series、FortiGate-VM，保護雲端工作負載。
規則設計原則
- 預設拒絕：僅允許業務必要流量。
- 最小權限：限制來源/目的 IP、埠號、應用、用戶身分。
- 分層日誌與告警：記錄拒絕/允許事件，整合 SIEM 做關聯分析。
- 定期審核清理：移除過期、冗餘、過寬鬆規則。
工具推薦
- 路由器 ACL（Cisco ASA、H3C、Huawei）
- Linux：iptables/nftables、firewalld、UFW
- Windows：Windows Defender Firewall w/ Advanced Security、Windows Filtering Platform
- 開源：pfSense、OPNsense、IPFire
- 商用新一代：Palo Alto、Fortinet、Check Point、Cisco Firepower
防火牆非銀彈，需搭配入侵偵測/防禦（IDS/IPS）、端點偵測回應（EDR）、資料外洩防護（DLP）構建完整防禦體系。