下一代防火墙

定义

下一代防火墙是一种部署在不同信任级别网络之间、对流量进行实时深度检查并执行安全策略的在线安全设备^[1]。按 Gartner 在 2009 年研究报告中给出的界定，它至少要同时满足几项条件：具备包过滤、网络地址转换、状态检测和虚拟专用网等第一代防火墙功能；内置入侵防御能力并与防火墙真正一体化而非简单并列；能够不依赖端口与协议识别应用并施加控制；可引入防火墙之外的用户目录、地址信誉等信息；并留有接入新情报源的技术路径^[1][2]。

国家互联网信息办公室等监管机构未对该词作出统一的技术标准界定，业界通行说法主要沿用上述咨询机构定义^[4]。有分析指出，NGFW 一词带有厂商推广色彩，并非严格的学术术语，各厂商对它的实现程度并不一致^[4]。

原理

这类设备的工作起点仍是流量识别。传统防火墙主要依据源地址、目的地址、端口和协议组成的五元组判断一条连接是否放行，下一代防火墙则在此基础上解析报文载荷，把 IP 与端口信息映射为具体的应用、用户身份和访问动作^[3]。同一条使用标准网页协议的连接，在前者可看到的只是某个地址访问了某个端口，在后者则可区分出是哪个账号在使用哪一类应用、执行了何种操作^[3]。

识别之后是分级处置。设备按风险等级、应用类别和带宽占用情况对流量分类，再分别施加放行、阻断、限速或进一步内容扫描等策略；细粒度策略可以只关闭某个应用内的文件传输功能，而不必整体封禁该应用^[3]。与只把多种安全模块装进同一台机箱的统一威胁管理设备不同，下一代防火墙强调单次解析：报文进入后一次性完成策略匹配、应用识别与协议解码、病毒与入侵特征扫描，避免逐模块重复拆包带来的性能损耗^[3][2]。

入侵防御与防火墙的联动是定义中的核心要求。设备检测到来自某一地址的持续恶意流量后，可直接生成建议策略并阻断该地址，无需管理员在多个控制台之间转换结论^[1]。此外，设备还可调用外部系统的用户目录信息，把策略绑定到具体用户而非固定 IP，以适配移动办公场景下地址频繁变化的情况^[2]。

flowchart LR

A[进入流量] --> B[策略匹配]

B --> C[应用与用户识别]

C --> D[入侵防御与病毒扫描]

D --> E[放行/阻断/限速]

E --> F[日志与情报回传]

F --> B

发展历程

防火墙的形态是随网络应用方式变化而逐步演进的。1989 年出现包过滤防火墙，主要实现基于地址和端口的访问控制；1994 年基于状态检测技术的防火墙问世，把处理对象从单个报文转为连接流，防护范围扩展到网络层与传输层^[2]。2004 年业界提出统一威胁管理概念，把防病毒、入侵防御、URL 过滤和虚拟专用网等功能集成到一台设备中，降低了部署复杂度，但各模块独立运行、逐次拆包检测，效率提升有限^[2]。

随着网页应用普及，同一协议端口下可能同时跑着办公、娱乐和文件传输等不同业务，仅凭五元组已无法看清流量构成，应用识别成为新的需求^[2]。Gartner 于 2007 年前后提出下一代防火墙的提法，并在 2009 年发布专门报告加以定义，这一名称随后被厂商与媒体广泛采用^[2][3]。总部位于美国的 Palo Alto Networks 被视为较早推出该类产品的厂商，其产品线对传统防火墙厂商形成了明显压力^[4]。

2010 年前后，此类设备的实际部署比例仍然很低，Gartner 曾估计由其承载的安全互联不足 1%，并预计到 2014 年可升至 35%^[4]。此后形态继续分化：2014 年前后出现面向云环境的虚拟化与云原生部署方式；2018 年华为发布内置智能检测引擎的 AI 防火墙，用机器学习模型补充静态特征库，被厂商视为下一代防火墙之后的又一次演进^[5]。

华为与 Forrester 在 2019 年联合发布的白皮书把后续方向归纳为三点：靠内置算力在本地完成高级威胁检测、以联邦学习在不迁移数据的前提下更新模型、用自动化分析减少需人工研判的日志与策略数量^[6]。华为方面也说明，业界尚未形成关于下一代防火墙之后产品的通用定义，相关能力对比仅代表单个厂商的产品路线^[7]。

应用

最主要的场景是企业互联网出口。设备串接在边界处，替代以往「传统防火墙加独立入侵防御设备」的两台部署，既减少设备数量，也降低运维成本。在政府机构和大型企业的核心边界，这类设备承担流量清洗、应用管控与攻击阻断等职责。

第二种用法是分阶段改造。对短期难以整体替换既有设备的单位，可将下一代防火墙串接在原防火墙之后或旁路部署于核心交换机一侧，先对原有设备识别不了的应用流量做可视化与控制，作为现有策略的补充^[3]。

分支机构和远程接入也是常见落点。设备通常内置 IPsec 与 SSL 虚拟专用网功能，用于分支互联和员工远程办公的加密传输^[8]。云化部署方面，已有服务商提供以虚拟主机形态交付的云下一代防火墙，功能涵盖入侵防御、病毒过滤、沙箱和 IP 信誉等^[9]。

云与分支场景的普及还推动这类设备与软件定义广域网能力合并，在物理设备、虚拟机和公有云实例上以同一套策略运行，并由统一控制台管理^[8]。

局限

开启深度检测会显著压低实际吞吐。厂商标称的整机吞吐量通常是在未启用防病毒、深度包检测和入侵防御的情况下测得，三项功能同时开启后的应用层性能大致只有网络层标称值的 10% 左右，表现较好的产品约 20%，较差的不足 5%。这意味着选型时按标称吞吐估算容量容易失准。

检测效果受限于特征库。基于签名的入侵防御依赖对已知威胁的特征描述，特征库容量有限，面对未知或快速变种的攻击容易失效，并伴随误报与响应滞后^[7]。有测试显示，多数厂商商用入侵防御与防病毒库的检出率处于 75% 至 80% 区间，个别产品低于 40%。

加密流量构成另一重障碍。大量攻击借助加密通道传输，而依靠「先解密再检测」的深度包检测方式在算力、时延和隐私合规上都面临压力，业界因此把不解密条件下的流量分析视为演进方向。与此相关，设备能够识别用户正在访问哪个应用，却难以判断该访问是否为仿冒页面或是否偏离预期业务目标。

统一威胁管理设备常被与下一代防火墙混用。按 Gartner 的区分，前者只是把多种安全功能装在同一台设备里，缺少应用感知能力，也不是真正的一体化单引擎产品，更适合分支机构和小型企业^[1]。另外，多数此类设备与统一威胁管理产品并不包含 Web 应用防火墙能力，面向网站的防护仍需专门设备或服务^[2]。

参见

• 防火墙 —— 本词条所描述设备的基础形态，下一代防火墙由其演进而来。

• 入侵防御系统 —— 下一代防火墙要求与之深度融合的核心安全功能。

• 统一威胁管理 —— 常被与本词条并提的多功能安全设备类别，二者边界需区分。

• 深度包检测 —— 设备解析报文载荷、识别应用与威胁所依赖的关键技术。

• 虚拟专用网 —— 下一代防火墙普遍内置的分支互联与远程接入功能。

• 零信任 —— 推动边界防护架构调整的安全理念，影响此类设备的部署方式。