web防火墙和防火墙区别

传统防火墙管的火墙和防火墙是网络层和传输层，看的区别是IP地址、端口号、火墙和防火墙协议类型。区别它像个大楼保安，火墙和防火墙站在门口查证件——你的区别工牌是不是这个楼的，进的火墙和防火墙是不是指定的楼层。至于你进了楼之后干什么，区别它不管。火墙和防火墙Web防火墙（WAF）不一样，区别它站在具体某个网站应用的火墙和防火墙门口，检查的区别是你发过来的HTTP请求里到底夹带了什么。SQL注入语句、火墙和防火墙跨站脚本payload、区别恶意文件上传，火墙和防火墙这些藏在正常流量里的东西，传统防火墙根本看不见。

我去年帮一个做电商的朋友处理过一次攻击事件。他的服务器前面有硬件防火墙，规则配得挺严，只开了80和443端口。结果呢，网站还是被拖库了。攻击者用的就是最普通的SQL注入，请求长得跟正常用户搜索商品一模一样，传统防火墙放行了，因为端口对、协议对、IP也不在黑名单里。后来上了WAF，同样的请求直接被拦——WAF认得那个' OR 1=1 --的变形。

这就是核心差异。传统防火墙工作在OSI模型的第三、四层，WAF工作在第七层。前者看的是数据包的头，后者要拆开数据包的肚子，看里面的内容。拆包这件事很耗资源，所以WAF的吞吐量通常比传统防火墙低一个数量级。你让传统防火墙去解析HTTP body里的每一个参数，它干不了，也不该它干。

部署位置也完全不同。传统防火墙一般串在网络边界，所有流量必经之路。WAF可以串在Web服务器前面，也可以旁路部署——镜像一份流量过来分析，发现攻击就发RST包阻断。旁路模式对延迟影响小，但阻断不够及时。串行模式阻断干脆，但万一WAF自己出故障，网站就彻底打不开了。我见过一个金融客户，WAF串行部署，结果一次规则更新导致误杀，整个交易系统停了四十分钟。所以现在很多团队用“传统防火墙做粗筛 + WAF做精筛”的组合，各干各的活。

规则逻辑也不一样。传统防火墙的规则是“允许/拒绝某IP访问某端口”，静态、明确。WAF的规则要复杂得多，有基于正则的签名匹配，有基于会话的异常检测，还有机器学习模型判断请求是不是机器人发的。比如ModSecurity的OWASP核心规则集，光SQL注入的检测规则就有几百条，还要考虑各种编码绕过。维护WAF规则是个持续对抗的过程，攻击者天天在研究怎么绕过，你不可能配完就不管了。

还有个容易被忽略的点：传统防火墙通常不关心HTTP会话状态，但WAF必须关心。一个用户登录后拿到的session cookie，WAF要跟踪。攻击者可能先正常登录，再在后续请求里注入恶意代码。如果WAF不维持会话上下文，这种攻击就漏了。我见过一些轻量级WAF只做单请求检测，遇到这种多步攻击直接瞎掉。

成本上差距也大。一台企业级传统防火墙可能几万块，吞吐量能到几十Gbps。同样价格的WAF，可能只能处理几百Mbps的HTTP流量。因为第七层解析太吃CPU了。云WAF按请求数或带宽计费，小网站用起来便宜，大流量站点账单会很吓人。所以有些公司只在关键业务接口前面挂WAF，静态资源走CDN，不浪费WAF的解析能力。

说到底，传统防火墙是网络的门禁系统，WAF是应用的贴身保镖。门禁防不住有人带着伪装成礼物的炸弹进来，保镖得搜身。两个都要有，但别指望其中一个能替代另一个。我见过太多人以为有了防火墙就安全了，结果被一个简单的Web漏洞打穿。安全这件事，分层永远比单点靠谱。

本文地址：http://www.79wt.cn/news/894d9899007.html