防火牆是伺服器防禦的第一道關卡，但面對琳瑯滿目的產品，如何選型？本文從架構（硬體/軟體）與技術代系（封包過濾/應用代理/狀態檢測）兩個維度，系統比較優缺點與適用情境，協助管理員依據預算、效能需求、管理能力做出最適決策。
一、依架構分類：硬體防火牆 vs 軟體防火牆
| 維度 | 硬體防火牆 | 軟體防火牆 |
|---|
| 本質 | 專用 ASIC/NP 處理封包，內建強化 OS | 安裝於通用 OS（Windows/Linux）之應用程式 |
| 效能 | 高吞吐、低延遲、專用 CPU/記憶體 | 佔用主機 CPU/記憶體，高負載時影響業務 |
| 安全性 | 無通用 OS 漏洞暴露，攻擊面極小 | 依賴底層 OS 修補狀態，需同步強化 OS |
| 彈性 | 功能固化，擴充需廠商授權/模組 | 功能豐富，易整合主機端防毒/EDR |
| 成本 | 採購成本高（萬至百萬級），維護費另計 | 授權費較低，甚至開源免費 |
| 管理 | Web/CLI 專用介面，學習曲線較陡 | 整合於 OS 管理工具，上手快 |
| 適用場景 | 核心機房邊界、高流量入口、合規要求嚴格 | 分支機構、雲端 VM、開發測試環境、預算有限 |
二、依技術代系分類：三大核心技術
1. 封包過濾——第 1 代，網路層/傳輸層
- 原理：依據封包標頭（來源/目的 IP、埠號、協定、Flags）比對規則表（ACL），決定允許/拒絕。
- 優點：速度極快、資源消耗低、邏輯簡單。
- 缺點：
- 無狀態感知，無法識別 TCP 連線狀態（如僅看 SYN/ACK 無法防禦偽造封包）。
- 規則表隨服務增長呈指數膨脹，難以維護、易產生衝突漏洞。
- 無法檢視應用層承載（HTTP、DNS、SMTP 內容）。
- 適用：邊界路由器 ACL、簡單 DMZ 隔離、高速核心網路。
2. 應用代理——第 2 代，應用層深度檢測
- 原理：防火牆代理終結客戶端連線，建立新連線至伺服器，完整解析應用協定（HTTP、FTP、SMTP），依內容規則放行/阻擋。
- 優點：可防禦應用層攻擊（SQLi、XSS、指令注入）、支援內容過濾、病毒掃描、資料防洩漏 (DLP)。
- 缺點：
- 效能開銷大（需完整解析封包），延遲高、吞吐低。
- 每種協定需專用代理模組，新協定支援滯後。
- 部署複雜，可能破壞非標準協定行為。
- 適用：Web 應用防火牆 (WAF)、郵件閘道、高安全區域應用層稽核。
3. 狀態檢測——第 3 代，主流平衡之選
- 原理：維護連線狀態表，記錄 TCP 三向交握、序號、Flags，只允許符合已建立連線狀態的回應封包通過；並可結合應用層感知（ALG）處理 FTP、SIP 等動態埠協定。
- 優點：兼顧效能與安全，支援動態埠、防禦掃描/洪水攻擊、規則管理直覺。
- 缺點：深度應用層檢測能力弱於純代理模式。
- 適用：企業邊界防火牆、資料中心東西向微分割、雲端安全群組。
選型決策矩陣
- 預算充足、核心邊界、高合規 → 硬體防火牆（狀態檢測 + 應用代理模組）。
- 預算有限、雲端/虛擬化、需彈性 → 軟體防火牆（iptables/nftables、Windows Defender 防火牆、第三方 Host-based FW）。
- Web 公開服務 → 必加部署 WAF（應用代理層），無論邊界採何種防火牆。
- 微服務/容器叢集 → 服務網格 + 網路原則 + eBPF 為基礎的 L4/L7 防火牆（如 Cilium、Calico）。
防火牆選型無標準答案，唯有「依據資產價值、威脅模型、營運預算、團隊能力」四維度綜合評估，才能找到當下最適的平衡點。
