内容摘要：凌晨两点十七分，机房告警灯闪成一片。值班同事在群里发了张截图：某台边界防火墙在三十七秒内拦截了四千二百多次来自同一个C段地址的SSH爆破尝试。这不是演习，也不是误报——日志里那串IP像疯了一样往22端

凌晨两点十七分，网络机房告警灯闪成一片。安全值班同事在群里发了张截图：某台边界防火墙在三十七秒内拦截了四千二百多次来自同一个C段地址的防火SSH爆破尝试。这不是墙共演习，也不是拦截误报——日志里那串IP像疯了一样往22端口砸数据包，每秒一百多次，网络连喘气的安全间隔都没有。

我盯着屏幕看了会儿，防火顺手查了查那个C段。墙共归属地显示是拦截东欧某家廉价VPS供应商，租一天不到两美元。网络攻击成本低到这个份上，安全难怪有人把它当日常打卡。防火防火墙没客气，墙共直接丢进黑名单，拦截连告警邮件都懒得发——这种量级，连“事件”都算不上，顶多算背景噪音。

它到底在拦什么

很多人以为防火墙就是堵墙，外面进不来，里面出不去。其实它更像小区门口的保安，手里攥着本花名册。你报得出名字、对得上证件，放行；支支吾吾说不清来路的，拦下。区别在于，这个保安一秒钟能翻三千遍花名册，而且从不打瞌睡。

上周处理过一起有意思的案例。某台Web服务器突然往外疯狂发DNS查询，目标全是些随机生成的域名。防火墙的深度包检测模块发现异常——正常业务不会在凌晨三点用这种频率查这种域名。拦下来一分析，果然是中了挖矿木马，正试图通过DNS隧道往外传数据。要是没这道拦截，等发现时服务器早被榨干了。

规则是死的，人是活的

防火墙最怕什么？怕你把它当万能药。见过太多人配完默认策略就撒手不管，结果业务一变，要么该拦的没拦，要么把正常流量给掐了。上个月有家客户投诉说支付接口老是超时，查了半天，发现是防火墙把第三方回调的某个参数当成了SQL注入特征。规则写得太死，误杀率就上去了。

我习惯每周翻一次拦截日志。不是看拦了多少，而是看拦了什么。有些高频拦截的IP，查查归属，如果是云服务商，大概率是扫描器；如果是住宅宽带，可能是被感染的肉鸡。这些细节比数字有意思——比如某天突然冒出一批来自南美某国的RDP爆破，第二天又消失得干干净净。攻击者也在做A/B测试，防火墙的拦截记录就是他们的实验报告。

那些拦不住的

说句实话，防火墙拦得住端口扫描、暴力破解、已知漏洞利用，拦不住人心。钓鱼邮件里的链接点不点，防火墙管不了；员工把密码写在便利贴上贴显示器边框，防火墙也管不了。它只是第一道闸门，不是保险箱。

有次做应急响应，客户坚持说防火墙日志里没异常。我让他把日志导出，翻了翻，发现凌晨四点有个IP成功通过了认证，然后五分钟内传走了2GB数据。防火墙没拦——因为那是合法账号、合法端口、合法协议。攻击者只是偷到了密码。这种时候，防火墙的拦截记录反而成了最干净的证据链：它没做错什么，它只是没理由拦。

所以别指望它包治百病。该打的补丁打上，该改的密码改掉，该做的备份做好。防火墙在边上站着，替你挡掉那些不长眼的乱拳，但真正要命的招数，往往来自你以为最安全的方向。

机房那台设备还在闪灯。四千多次拦截记录静静躺在日志里，像什么都没发生过。天亮之后，运维会照例巡检，安全团队会更新规则库，攻击者会换个IP继续试。这场面每天都在上演，没什么戏剧性，也没什么终点。防火墙就干这个的——把绝大多数麻烦挡在门外，让你有机会去处理那些真正值得头疼的事。