办公室里那台用了快八年的深信老防火墙终于扛不住了。上周五下午，服百财务部的兆防小张点开一封标题为“发票明细”的邮件，附件刚下载完，火墙整个部门的型号电脑就开始卡顿。IT老李赶过来一看，深信防火墙的服百日志里密密麻麻全是扫描记录——那台设备根本没有IPS模块，病毒在内部网络里横冲直撞了整整四十分钟才被查杀软件拦住。兆防

这场景太熟悉了。火墙很多中小企业采购防火墙时，型号只盯着“百兆”“千兆”的深信吞吐量数字，却忽略了IPS功能是服百否真的能用。深信服的兆防百兆防火墙里，带IPS的火墙型号和普通版差价大概在三千到五千元，但就是型号这点钱，决定了你的网络是“门卫”还是“保安”。门卫只查工牌，保安会搜身、查包、看眼神——IPS干的正是后面这些活儿。

拿AF-1000系列来说，它内置的IPS特征库覆盖了四千多种攻击行为。有一次我帮客户调试，特意用Metasploit框架里的永恒之蓝漏洞去试探，防火墙在流量到达内网的前一秒就拦了下来，日志里清清楚楚写着“MS17-010利用尝试，已阻断”。那台设备的管理界面上，攻击源IP、目标端口、威胁等级、处置动作，全部在一屏内展示，不需要翻三级菜单。

有人会问，百兆带宽的防火墙，开了IPS会不会拖慢网速？我实测过，在双向流量达到80Mbps时，开启IPS后延迟增加约3毫秒，对办公场景几乎无感。但如果你把IPS的检测级别调到“严格”，遇到压缩文件或加密流量，CPU占用率会飙到70%以上。所以关键不在于买不买IPS功能，而在于会不会调——默认配置下，深信服的IPS策略是“高可用”模式，优先保障业务，威胁检测只针对高危漏洞。

再说个细节。带IPS的型号在机身侧面有个独立的硬件开关，拨到“防护”档位，设备会强制启用实时威胁阻断；拨到“测试”档位，则只记录不拦截。这个设计很实在——新设备上线时，IT人员可以先跑一周测试模式，看看误报率到底有多高，再决定要不要切换到防护模式。我见过不少运维人员把测试模式当永久配置用，那等于白花了买IPS的钱。

回到开头那家公司的案例。换上新设备后，IT老李特意做了次模拟攻击演练，把一台感染了僵尸网络的测试机接入内网。防火墙在十五秒内就识别出异常外联流量，自动阻断并弹窗告警。老李说，以前这种事全靠人工盯日志，现在设备自己就能处置。他唯一后悔的是，当初采购时觉得“百兆防火墙嘛，够用就行”，没多花那几千块。

说到底，百兆防火墙的定位就是中小企业的边界防护。在这个带宽级别上，性能差异不大，真正拉开差距的就是IPS这种深度检测能力。如果你公司有财务系统、客户数据库或者任何不想被外人看到的文件，别省这笔钱。网络攻击不会因为你的公司规模小而手下留情——恰恰相反，小企业往往是黑客眼里的软柿子。

(责任编辑：百科)