一、封包過濾防火牆 (第一代)

原理：檢查每個封包表頭（來源/目的 IP、埠號、協定、TCP Flag），依規則比對決定放行/丟棄。
優點：速度快、延遲低、透明不修改封包、成本低。
缺點：無狀態感知（易受 TCP 序號預測、IP 欺騙）、無法檢查應用層負載、規則集複雜時難維護、不支援動態埠協定 (FTP/RPC)。

二、狀態/動態檢測防火牆 (第三代主流)

原理：建立連線狀態表，記錄 TCP 三向交握、序號、旗標、逾時；回程封包自動匹配放行。支援應用層閘道 (ALG) 動態開放 FTP data port、SIP/RTP 埠。
優點：防禦掃描/洪水攻擊更強、支援動態協定、規則簡潔（只需定義發起方向）。
缺點：狀態表佔記憶體、高併發下可能耗盡、ALG 歷史漏洞多、加密流量 (TLS/SSH/VPN) 內容不可見。

三、應用層代理防火牆 (第二代/專用)

原理：防火牆終結雙向連線，分別代理客戶端與伺服端，完整解析應用協定 (HTTP/SMTP/DNS/DB) 內容，可深度檢查指令/參數/承載。
優點：最強應用層可見性、可阻斷 SQLi/XSS/指令注入、支援內容過濾 (DLP/關鍵字)。
缺點：效能損耗大、需為每協定寫專用代理、新協定支援滯後、破壞端到端加密語意 (需中間人解密)。

四、新一代防火牆 NGFW (第四代/現主流)

核心能力：App-ID 識別數千應用 (不依埠)、User-ID 綁定 AD/LDAP 身分、Content-ID (IPS/AV/沙箱/URL/DNS/檔案阻斷)、SSL Forward Proxy 解密檢測、威脅情報雲同步、API/自動化整合 (Ansible/Terraform/Panorama)。
優點：單一設備整合多功能、可視性極高、支援零信任/SASE 延伸。
缺點：價格昂貴、授權訂閱制、SSL 解密涉隱私法規、效能需硬體加速 (SPU/DPU)、配置複雜度高需專業人員。

選型建議

• 中小企業：UTM 一體機 (FortiGate/Sophos/WatchGuard) 平衡成本與功能。
• 大型/監管業：NGFW 叢集 + 專用 WAF/資料庫防火牆/郵件閘道 深度防禦。
• 雲原生：原生安全群組 + 雲端 NGFW (Palo Alto VM-Series/FortiGate-VM) + CNAPP 整合。