下一代防火墙(Next Generation Firewall，简称NGFW)是一款能够全面应对应用层威胁的高性能防火墙。它是在传统防火墙的基础上，集成了多种先进的安全技术，提供了更高的可见性和控制能力，以应对现代复杂的网络威胁。
一、定义与背景
2009年，著名咨询机构Gartner提出，为应对当前与未来新一代的网络安全威胁，防火墙必须要升级为“下一代防火墙”。这一术语的提出，旨在说明升级防火墙的必要性，以应对业务程序使用IT的方法以及针对业务系统所发起的攻击方法所发生的改变。
二、主要功能与特性
深度包检测(DPI)：深度包检测是NGFW的一大亮点，它可以深入到数据包的内容层面，检查数据包中的实际内容，例如是否包含恶意代码、病毒或其他威胁，从而阻止隐藏在常见协议中的攻击。
应用识别与控制：NGFW通过应用签名、行为模式分析等技术，可以精确识别特定的应用程序，并对其进行控制。例如，能区分出同一端口上的不同应用(如Skype、WhatsApp、YouTube)，并能针对应用的特定功能设置访问策略。
用户身份识别与基于用户的访问控制：NGFW能够与企业的用户认证系统(如Active Directory、LDAP等)集成，从而实现基于用户身份的精细化访问控制。这支持按用户组或个人定制访问策略，而不受动态IP地址变化的影响。
集成多种安全功能：NGFW将多种网络安全功能集成到一台设备中，如入侵防御系统(IPS)、防病毒与反恶意软件、沙箱分析等，避免了传统防火墙单一功能的限制。
SSL/TLS解密与重新加密：NGFW具备对加密流量解密、检查并重新加密的能力，从而识别潜在威胁，确保HTTPS流量和VPN隧道中的数据同样安全。
中央化管理与可视化报告：NGFW提供了统一的管理界面，支持多设备的集中管理以及详细的网络流量可视化。这有助于管理员从单一平台配置策略、查看日志和监控网络状态，并生成涵盖应用使用情况、用户行为分析以及威胁检测结果的详细报告。
三、优势与挑战
优势：
提供了全面的网络防护能力，有助于抵御现代复杂的网络威胁。
允许管理员制定更精细的安全策略，提高网络安全性。
降低了硬件成本、人力成本和时间成本(相对于多个单一功能设备)。
挑战：
深度包检测和加密流量检查会占用大量计算资源，可能影响网络性能。
功能的多样化增加了配置和管理的复杂性，对管理员的技术水平要求更高。
相比传统防火墙，NGFW的初始投资和后期维护成本较高。
四、主要供应商及解决方案
Palo Alto Networks：作为NGFW的先驱者之一，以其先进的应用识别和威胁防护能力著称，广泛应用于大型企业和政府机构。
Cisco：其Firepower系列NGFW集成了高级IPS、DPI、应用控制和VPN功能，适合各种规模的企业，并提供强大的管理平台。
Fortinet：其FortiGate NGFW以高性能和性价比著称，广泛应用于中小企业和分支机构，集成了丰富的安全功能。
Check Point：以其卓越的安全管理功能和细粒度控制著称，适用于大中型企业，并提供丰富的安全功能模块供用户灵活配置。
综上所述，下一代防火墙是一款集成了多种先进安全技术的高性能防火墙，旨在应对现代复杂的网络威胁。虽然其部署和使用面临一定的挑战，但其在提高网络安全性、降低成本和简化管理方面的优势使其成为企业网络安全的首选设备。
