凌晨三点，防火某电商平台数据库突然涌入大量请求，墙企防火墙日志显示来自同一IP段的业网应用扫描流量在十分钟内翻了四十倍。安全工程师老张后来回忆，安全要不是防火边界防火墙上那条“禁止非业务端口对外通信”的规则，攻击者可能已经顺着暴露的墙企Redis端口摸进了内网。这不是业网应用电影桥段，而是安全上个月真实发生在某初创公司的事故。

防火墙在企业网里的防火角色，更像写字楼门口的墙企安保系统。它不负责抓小偷，业网应用但能拦住没带工牌的安全人。很多中小企业把防火墙当成路由器用，防火插上电、墙企配好网段就完事，业网应用这等于让保安只登记访客姓名却不检查包里装了什么。真正的防火墙策略，得先弄清楚哪些流量必须放行——比如销售部要访问CRM系统，财务部要连银行专线——其余的一律拒绝。默认拒绝，这四个字才是防火墙的灵魂。

我见过一家制造业企业，生产车间的PLC控制器和办公电脑共用一个网段。IT主管振振有词：“反正有防火墙，怕什么。”直到某个周末，一台办公电脑中了勒索病毒，横向扫描直接锁死了三条生产线。事后排查发现，防火墙规则里赫然写着“允许所有设备互访”。这不是防火墙的错，是人偷懒的结果。网络安全里最贵的从来不是设备，而是决策者对规则颗粒度的重视程度。

当然，光有边界防火墙还不够。内部流量的东西向防护，现在越来越多企业开始用微隔离技术。但说实话，对大多数预算有限的公司来说，先把边界防火墙的规则做细更实际。比如，把内部服务器区单独划成DMZ区，Web服务器和数据库服务器分开放，中间用防火墙隔离。这样就算Web服务器被攻破，攻击者也得再闯一道关才能碰到核心数据。

还有个细节容易被忽略——防火墙的日志审计。很多企业装了防火墙就再也不看日志，等于买了监控摄像头却从不回放录像。有一次我给一家贸易公司做安全评估，发现他们的防火墙半年里拦截了上万次境外IP的扫描，但管理员从没留意过。后来我们调整了规则，把某些高危端口的访问直接改成“拒绝并告警”，两周内就抓到了三次内鬼尝试连接外部服务器的行为。

说到底，防火墙的价值取决于使用它的人。技术本身没有魔力，规则写得再漂亮，如果没人维护、没人分析告警，防火墙就是一块昂贵的砖头。企业网安全不是买完设备就结束的采购项目，而是需要持续运营的过程。今天设好的规则，明天可能因为新业务上线而需要调整。这活儿不轻松，但总比出事后再补救要划算得多。