防火墙终结者是什么：下一代防火墙和UTM到底差在哪
做网络安全或者运维的朋友，买边界设备的时候肯定在UTM和下一代防火墙（NGFW）之间纠结过。市场上叫法很乱，有的厂家叫"防火墙终结者"，有的叫UTM，有的叫下一代防火墙，其实说的都是同一类东西——把多种安全功能集成在一个盒子里的统一威胁管理设备。
传统防火墙只干一件事：根据IP地址、端口、协议做访问控制，就是包过滤。这在早期网络够用了，但现在攻击手段越来越复杂，光靠端口过滤根本防不住。于是厂家开始把入侵检测（IPS）、防病毒、URL过滤、应用识别这些功能往防火墙里塞，就有了UTM。
UTM的思路是"一个盒子全搞定"，部署起来方便，不用在出口串好几个设备。但早期UTM有个大问题：性能。开启IPS和防病毒之后，吞吐量会断崖式下跌，因为这些功能需要深度解析数据包内容，计算量大。很多用户买回去不敢开全功能，开了网络就卡。
下一代防火墙（NGFW）就是为了解决这个问题来的。它在UTM的基础上做了几个升级：首先是应用层识别，能识别具体是哪个APP在通信，而不只是看端口；其次是集成了入侵防御系统（IPS），能实时阻断攻击；还有就是性能架构升级，用多核处理器甚至专用芯片来加速深度检测，让全功能开启后性能还能过得去。
那"防火墙终结者"又是什么？这其实是国内一些厂家的营销叫法，指的是功能更全、性能更强的下一代防火墙，号称能替代传统防火墙+IPS+防病毒网关+上网行为管理等多台设备，所以叫"终结者"。本质上还是NGFW的范畴，只是集成度和性能更高。
选型的时候别被名字忽悠，看几个实指标。一是全功能开启后的实际吞吐量，不是厂家标称的"最大吞吐"；二是最大并发连接数和每秒新建连接数，这两个决定了能带多少终端；三是应用识别库和威胁库的更新频率，库不更新等于没装；四是管理界面好不好用，策略配置复杂不复杂。
部署上，NGFW一般放在网络出口，下面接核心交换机。策略要按业务梳理，先放通必要的服务，其他默认拒绝。定期审计规则，把不用的策略删掉，规则越多越容易出安全洞。日志和告警也要对接好，不然设备就是个哑巴，被攻击了都不知道。
下一篇：没有了