先说句实在话，我以前一听“防火墙”三个字，脑子里就浮现出一台黑乎乎的机箱，插满网线，旁边还得坐个戴眼镜的网管，后来自己做内容、帮朋友看小店网络、折腾云服务器，才发现防火墙早就不是“一个盒子”那么简单了，它有很多种，像家里的防盗门、楼道的门禁、商场的安检、保险柜的锁，作用都叫“防”，但场景完全不一样，今天就用大白话聊聊防火墙种类,顺便说说我踩过的坑和不太客气的个人观点。
先从前几天一个生活实例说起，朋友开了一家小咖啡馆，图省事，路由器买回来只改了WiFi密码，后台管理密码还是默认的，结果有段时间店里网络特别卡，团购核销都转圈，我进去一看，路由器后台被人试出了默认密码，蹭网是小事，设备还被扫了一遍，后来我们把路由器管理密码改掉、关闭远程管理、开启基础防火墙功能，又给收银电脑装了主机防火墙，才消停，你看，这就是最容易被忽略的一类：家用/小型网络里的基础防火墙，它通常藏在路由器里，做的是包过滤、地址转换、简单访问控制，不能指望它扛住高级攻击，但挡一挡乱扫端口、陌生设备接入,还是有用的。
往大了说，防火墙种类大致可以分成几层，第一类是包过滤防火墙，老一辈网络里的“看门大爷”，只看数据包的源地址、目的地址、端口，符合规则就放行，优点是简单快，缺点是“只看证件不看人”，容易被伪装包绕过去，第二类是状态检测防火墙，它比包过滤聪明一点，会记住连接状态，知道“这个回包是不是刚才那台机器要的”，家里路由器和很多企业边界设备都有类似能力，第三类是代理防火墙/应用层网关，它像中间人，帮你去访问外网，能看应用层内容，但性能和配置复杂度也上来了，现在企业里更常见的是下一代防火墙（NGFW），把入侵防御、应用识别、URL过滤、病毒检测等揉在一起；还有UTM统一威胁管理，功能多、适合预算有限的中小企业，再细分，还有Web应用防火墙（WAF），专门保护网站，防SQL注入、XSS这些；云防火墙，管云上资产和流量；主机防火墙/个人防火墙，装在电脑、服务器上，管本机进出连接；以及硬件防火墙、软件防火墙这种按形态分的说法。
再说一个公司里的实例，我之前接触过一家做本地服务的小公司，网站放在云服务器上，技术同事为了远程调试，把数据库端口直接对公网开放了，安全组规则写得跟“欢迎光临”似的，后来网站被爬、日志里一堆异常请求，才想起来上WAF、收紧安全组、给服务器开主机防火墙，这里我的观点很明确：很多安全问题不是“没买防火墙”，而是“把防火墙当万能符”，你买一台下一代防火墙，不代表网站就安全；你开了云防火墙，不代表弱口令就消失了；你装了WAF，也不代表代码漏洞不用修，防火墙是分层防护的一环,不是免死金牌。
我个人不太喜欢一种营销话术：动不动就吓唬普通人“你不装专业防火墙就完了”，真没必要，对大多数家庭用户来说，路由器自带的基础防火墙、电脑系统自带的主机防火墙，加上别乱点陌生链接、别用默认密码，已经能挡住大量低水平风险，对小微企业，先搞清楚自己有什么资产：是门店WiFi、收银电脑、办公NAS，还是对外网站、云服务器、远程办公VPN，门店网络重点是把路由器管理权管好、访客网络和收银网络隔开；有网站就考虑WAF和云安全组；有远程办公就把VPN、多因素认证和主机防火墙配起来，预算有限时,UTM或带基础安全能力的路由器可能比堆一堆用不上的高级功能更实在。
最后总结一下我的观点：防火墙种类多，不是让你全买一遍，而是让你按场景选对“门”，家庭别裸奔，但也别过度焦虑；企业别只买设备不改配置，更别把默认密码和全开放端口留给互联网，防火墙像门锁，锁再好，钥匙插在门上也没用，选种类之前，先问自己三个问题：我要保护什么？谁会来访问？出了事我能看到日志吗？想清楚这三件事,比背一堆防火墙种类名词有用得多。