很多中小企業認為「路由器有 ACL 封包過濾，防火牆就省了」。這是一個危險的迷思。本文從產生背景、核心技術、策略複雜度、效能影響、稽核功能、防禦能力六大面向，說明為何路由器無法取代專業防火牆，雙層防禦才是正解。
一、誕生基因不同：通 vs. 不通
- 路由器：為了「通」而生——核心任務是依路由表轉發封包，預設允許通行，安全性是附加功能。
- 防火牆：為了「不通」而生——核心任務是依安全策略阻擋非授權流量，預設拒絕，僅放行明確允許的服務。
二、核心技術代差：ACL vs. 狀態檢測 + 應用層感知
- 路由器 ACL：無狀態封包過濾，只看 IP/Port/Flag，無法理解連線狀態（如 TCP 三向交握），易被偽造 Flag 繞過。
- 防火牆：狀態檢測，維護連線狀態表，自動放行回應封包；更支援應用層檢測（ALG/Deep Packet Inspection），能識別 HTTP、FTP、DNS、SIP 等協定細節，阻擋應用層攻擊（SQL Injection、XSS、異常指令）。
三、策略管理：命令列 vs. 圖形化 GUI
- 路由器：CLI 設定 ACL，語法嚴謹、易出錯、難審計、版本控管弱。
- 防火牆：Web GUI 策略編輯，支援物件群組、拖曳排序、變更記錄、角色權限分離，人為錯誤率大幅降低。
四、效能影響：CPU 爭奪 vs. 專用優化
- 路由器 CPU 主責轉發，開啟大量 ACL 會搶佔資源，導致轉發延遲、丟包；擴充效能需換高階機種，成本指數級上升。
- 防火牆採用 x86 多核心 + 專用軟體架構，規則數、NAT 數增加對效能影響近乎為零；擴充只需加 RAM/SSD/授權，硬體成本線性增長。
五、稽核與可視化：Syslog 外送 vs. 內建儲存+即時分析
- 路由器：無本地儲存，需外接 Syslog 伺服器；日誌格式晦澀，無分析工具，攻擊事件常被忽略。
- 防火牆：內建硬碟/外接日誌伺服器雙模式；提供圖形化儀表板、即時連線監視、封包擷取、多通道告警（Email、SNMP Trap、蜂鳴器），事件響應從「事後發現」轉為「即時阻斷」。
六、防禦深度：單點 vs. 分層
- 路由器僅能做邊界基本過濾，無 IPS、AV、URL 過濾、SSL 檢測等進階功能（除非購買昂貴 Security License，且效能大打折扣）。
- 防火牆整合 IPS、防毒、應用控制、URL 分類、SSL 解密檢測、沙箱聯動，構成纵深防禦。
結論：路由器是第一道關卡，防火牆是第二道也是最嚴格的關卡
無論網路拓撲多簡單，只要有資安需求，防火牆就是必要投資。成本公式：
具防火牆功能的高階路由器 ＞ 獨立防火牆 + 基礎路由器
功能、擴充性、運維友善度同理。雙層部署，才能在邊界擋住雜訊、在核心精準攔截威脅。
