防火牆是什麼？白話解釋運作原理、種類差異與企業選購重點

防火牆是什麼：白話定義

防火牆這個名稱來自建築：建築物裡用來阻隔火勢蔓延的牆，就叫防火牆。借用到網路世界，指的是一道把「可信任的內部網路」與「不可信任的外部網路」隔開的關卡。所有要進出的網路流量都要先經過它，由它依規則判斷：這筆連線從哪裡來、要去哪裡、使用什麼服務、是不是某個已建立連線的回應，再決定放行、拒絕或記錄下來。

用辦公大樓來比喻：內部網路是大樓裡的各間辦公室，網際網路是大樓外的街道，防火牆就是大門口的警衛與門禁系統。員工出門辦事（內部連到外部）通常放行，但陌生人想直接闖進某間辦公室（外部主動連進內部）就會被擋下，除非事先登記、而且只能去指定的樓層（只開放特定服務）。

要注意的是，防火牆管的是「網路連線能不能通過」，而不是檢查電腦裡的檔案有沒有中毒。它和防毒軟體、資料備份、帳號權限管理一樣，都是資安防護的一部分，彼此互補，而不是互相取代。

防火牆怎麼運作：四種主要技術

防火牆從早期到現在經歷了幾個世代，檢查的深度越來越深。現今的企業防火牆通常同時具備下列多種技術。

封包過濾（Packet Filtering）

最早期也最基本的做法。網路上的資料會被切成一個個封包，每個封包都帶有來源 IP、目的 IP、通訊協定與連接埠等資訊。封包過濾防火牆就依據這些欄位比對規則表，例如「允許內部所有電腦連到外部的網頁服務」、「拒絕外部任何人連到內部的遠端桌面埠」。它速度快、設定直觀，但只看封包表頭，不知道這個封包是否屬於一段正常的對話，也看不懂封包裡面的內容。

狀態檢測（Stateful Inspection）

狀態檢測防火牆會記錄每一條連線的狀態，建立一張連線表。當內部電腦主動連出去時，防火牆記下這條連線；外部回傳的封包，只要屬於這條已建立的連線，就會自動放行；不屬於任何已知連線、又不符合規則的外部封包，則一律擋下。這讓防火牆可以用「預設拒絕外部主動連入、允許內部連出與其回應」的簡單原則，擋掉大量不請自來的連線。目前幾乎所有企業防火牆與商用路由器都具備這項基本能力，規格上常見的 SPI（Stateful Packet Inspection）指的就是它。

應用層防火牆與次世代防火牆（NGFW）

傳統防火牆以連接埠判斷服務，但現在大量應用都走同樣的網頁連接埠，光看埠號已分辨不出是正常的雲端辦公，還是影音串流或可疑程式。應用層防火牆會進一步解析流量內容，辨識實際使用的應用程式。

次世代防火牆（Next-Generation Firewall，NGFW）則把這些能力整合在一起，常見特色包括：

• 應用程式識別與管控：可以針對特定應用允許、封鎖或限制頻寬，而不只是開關某個埠。
• 使用者身分辨識：政策可以依員工帳號或部門設定，而不只依 IP 位址。
• 整合入侵防禦（IPS）：比對已知攻擊特徵，攔截利用漏洞的攻擊流量。
• 加密流量檢查：在政策允許與效能足夠的前提下，對加密連線進行解密檢查，找出藏在加密流量中的威脅。
• 威脅情資更新：透過定期更新的特徵資料，辨識新出現的惡意網站與攻擊手法。

UTM 整合式威脅管理

UTM（Unified Threat Management）是把多種資安功能整合在一台設備上的做法，常見包含防火牆、VPN、入侵防禦、閘道防毒、網頁過濾、垃圾郵件過濾與流量管理。UTM 的定位偏向中小企業：用一台設備、一個管理介面，涵蓋多層防護，減少設備數量與管理負擔。NGFW 與 UTM 的界線在市場上已逐漸模糊，選購時與其糾結名稱，不如直接確認需要的功能是否具備、開啟後效能是否足夠。

硬體防火牆與軟體防火牆差別

比較面向	硬體防火牆	軟體防火牆
型態	獨立設備，架在對外線路與內部網路之間	安裝在電腦、伺服器上的程式，或作業系統內建功能
保護範圍	整個網段內的所有裝置	主要保護安裝的那一台裝置
效能來源	專用硬體，不佔用電腦資源	使用主機本身的運算資源
管理方式	集中一處設定全公司政策	需逐台設定或透過管理軟體派送
適合對象	企業、辦公室、門市	個人電腦、伺服器的第二層防護

另外還有虛擬防火牆與雲端防火牆，以軟體形式部署在虛擬化平台或雲端環境中，用來保護雲端上的伺服器與服務。對一般辦公室來說，最常見的組合是一台硬體防火牆守住整個網路出入口，再加上每台電腦的內建防火牆，形成多層防護。

網路防火牆和電腦內建防火牆（Windows 防火牆）有何不同

Windows 與 macOS 都內建防火牆功能。以 Windows 為例，系統內建的 Windows Defender 防火牆會依「網域、私人、公用」等網路類型套用不同規則，控制哪些程式可以接受外部連線。它屬於主機型防火牆，保護的是這一台電腦本身。

網路防火牆則是守在整個網路的出入口，負責整間公司對外的連線政策、VPN、入侵防禦與上網管理。兩者的差異與關係可以這樣理解：

• 保護位置不同：網路防火牆擋在公司大門，電腦內建防火牆擋在每間辦公室的門口。
• 能看到的範圍不同：網路防火牆看得到全公司的流量與紀錄，電腦防火牆只看得到自己這台。
• 內部威脅的防護：如果內網已有一台電腦中毒，網路防火牆不一定看得到內網電腦之間的橫向連線，這時電腦內建防火牆就能限制惡意程式在內網擴散。
• 不建議關閉：即使公司已有網路防火牆，也不建議把電腦內建防火牆關掉，兩層同時啟用才是縱深防禦。

至於一般分享器或家用路由器，多半透過 NAT 與基本的狀態檢測，讓外部無法直接主動連進內網，具備最基本的防火牆效果；但通常缺少細緻的政策管理、VPN 效能、入侵防禦與完整日誌，是否足以應付公司需求，可參考 公司要不要裝防火牆。

企業防火牆需要哪些功能

存取政策

依來源、目的、服務、使用者與時間訂定放行與阻擋規則，是防火牆最核心的功能。良好的政策遵循「最小權限」與「預設拒絕」原則：只開放業務真正需要的連線，其他一律關閉。例如只允許特定 IP 連入管理介面、訪客網路不能存取內部檔案伺服器。

VPN

分公司互連需要站對站 VPN，員工在家或出差需要遠端存取 VPN。選購時要注意同時連線數上限，以及開啟加密後的 VPN 吞吐量，並搭配強密碼與多因素驗證。

入侵防禦（IPS）

比對已知攻擊手法的特徵，主動攔截針對漏洞的攻擊。IPS 的效果取決於特徵資料是否持續更新，這部分通常與原廠的訂閱服務有關。

網頁過濾與應用管控

依網站分類封鎖已知的惡意、釣魚或與工作無關的網站，並管控特定應用程式的使用，降低員工誤點惡意連結的風險，也能管理頻寬分配。

日誌與報表

記錄哪些連線被放行、哪些被阻擋、何時有異常流量。日誌是事後調查與持續改善政策的依據，應確認保存天數、搜尋方便程度，以及是否能匯出或送到集中的紀錄系統。

其他常見功能

• 多 WAN 負載平衡與斷線備援，讓對外連線不中斷。
• VLAN 與網段隔離，把辦公、訪客、監控、事務機等裝置分區管理。
• 閘道防毒與郵件過濾，在進入內網前先攔截部分惡意檔案。
• 高可用性（HA），以兩台設備互為備援，適合不能停機的環境。

防火牆種類比較表

類型	檢查深度	主要能力	限制	常見用途
封包過濾	封包表頭	依 IP、埠號、協定放行或阻擋	不記連線狀態、看不懂內容	路由器存取清單、簡單過濾
狀態檢測	表頭加連線狀態	自動放行已建立連線的回應，阻擋不請自來的連入	無法辨識應用與內容	商用路由器、基本防火牆
次世代防火牆（NGFW）	應用層內容	應用識別、使用者政策、IPS、加密流量檢查	開啟完整功能後效能需求高	中大型企業、重視資安的組織
UTM	依開啟功能而定	防火牆、VPN、IPS、防毒、網頁過濾整合一機	全開功能時效能下降，需選對規模	中小企業、門市、分公司
主機型軟體防火牆	單機連線	控制單一電腦的程式連線	只保護本機、需逐台管理	個人電腦、伺服器的第二層防護

小公司防火牆怎麼選

1. 先盤點需求：公司有多少人與裝置、對外線路幾條、頻寬多大，是否需要分公司互連或遠端辦公，是否有對外提供的服務。
2. 看「開啟功能後」的效能：防火牆規格表上的最大吞吐量，通常是只開基本防火牆時的數字。開啟 IPS、防毒、網頁過濾或 VPN 後，實際吞吐量會明顯下降，應以這些功能開啟時的數據對照公司的對外頻寬。
3. 確認同時連線數與 VPN 數量：人數多、雲端應用多，同時連線數需求也高；遠端辦公人數決定 VPN 使用者數。
4. 了解授權模式：IPS、防毒、網頁過濾等功能的特徵更新，常需要訂閱授權，應事先確認授權期限、續約方式，以及授權到期後哪些功能會停止更新。
5. 管理介面與日誌：選擇介面清楚、容易查看紀錄與告警的產品，對沒有專職資安人員的公司特別重要。
6. 預留成長空間：預估未來兩三年的人數與頻寬成長，避免設備很快就效能不足。

一般來說，單一辦公室、人數不多、只需要基本防護與少量遠端連線的公司，可以從具備狀態檢測、VPN 與多 WAN 的商用 VPN 路由器起步；資料較敏感、有多個據點或需要入侵防禦與上網管理的公司，則適合選擇 UTM 或次世代防火牆。企業路由器與防火牆設備的分工與功能差異，可參考 企業路由器與防火牆設備指南。

防火牆的常見誤解

• 有防火牆就不會被駭：防火牆能大幅降低風險，但無法攔截所有攻擊，例如員工自己點開的釣魚郵件、被盜用的帳號密碼。仍需要搭配更新修補、防毒、備份與教育訓練。
• 裝好就不用管：規則會隨業務改變而過時，韌體與特徵資料需要持續更新，日誌也需要定期檢視。
• 公司小不會被盯上：大量攻擊是自動化程式對整個網際網路進行掃描，與公司規模、知名度無關。
• 規則越多越安全：規則雜亂反而容易產生漏洞與衝突，定期清理用不到的規則、保持政策清楚，才是比較安全的做法。

防火牆重點整理

防火牆是依規則檢查網路連線、決定放行或阻擋的資安機制，技術上從封包過濾、狀態檢測，演進到能辨識應用與使用者的次世代防火牆，以及整合多種功能的 UTM。硬體防火牆保護整個網路，軟體與電腦內建防火牆保護單一裝置，兩者並用效果最好。企業選購時，應依人數、頻寬、據點與遠端需求，確認存取政策、VPN、入侵防禦、網頁過濾與日誌功能，並以開啟功能後的實際效能作為依據。上伊美企業網通可協助依公司規模評估合適的防火牆架構。