防火墙不是攻击墙。它更像一扇带门禁的绕开旋转门——正常流量刷卡进出，攻击者却可以贴着别人的防火卡混进去。2023年，墙进某中型电商平台被拖库，行攻事后溯源发现，攻击攻击者根本没碰防火墙的绕开规则集，而是防火用了一个已经离职三个月的运维账号，从VPN通道大摇大摆进了内网。墙进防火墙日志里，行攻那次登录被标记为“合法用户，攻击正常访问”。绕开

问题出在“信任”两个字上。防火防火墙默认信任已认证的墙进流量，可认证不等于安全。行攻攻击者拿到的那个运维账号，密码没改，双因素认证也没开。他登录的时间是凌晨两点，IP归属地显示为某二线城市，而该运维人员 historically 只从公司所在城市登录。这些异常，防火墙的规则引擎没管，因为规则只写了“允许该账号访问内网”，没写“只允许在特定时间、特定地点访问”。

更常见的绕行方式是协议隧道。防火墙放行DNS查询，因为几乎每台机器都要用DNS。攻击者就把C2指令编码进DNS请求的TXT记录里，一条条看似正常的域名解析，实际在往外传数据。某安全团队做过实验，用DNS隧道传一个10MB的文件，全程没触发任何告警。防火墙的深度包检测？很多中小企业的设备根本没开，或者开了也认不出这种“合法协议里的非法载荷”。

还有更省事的：直接打防火墙自己。2024年初，某厂商防火墙被曝出一个远程代码执行漏洞，攻击者构造一个特制数据包，防火墙在解析时直接执行了恶意代码，然后自己把自己关了。内网瞬间门户大开。补丁呢？厂商发了，但很多管理员想着“下周再打”，结果下周攻击者先来了。

云环境让这事更微妙。传统防火墙守的是网络边界，可云上根本没有固定边界。安全组规则、IAM策略、容器网络策略，各管一摊，谁跟谁都不完全同步。攻击者拿到一个低权限的云函数，利用角色继承，跳转到有S3读权限的角色，再读取备份桶里的数据库凭证。整个路径上，每一跳都符合“合法授权”，防火墙？它连这些API调用都看不见。

我见过最离谱的绕行，是物理层面的。某公司防火墙配得密不透风，结果保洁阿姨把一台树莓派插到了会议室的网口上。那网口在防火墙策略里属于“访客区”，只允许访问互联网。但树莓派开了热点，攻击者连上热点，从访客区横向扫到了办公区的一台打印机——打印机有漏洞，被拿下后成了跳板。防火墙的日志里，访客区到办公区的流量被标记为“内部信任”，直接放行。

所以别指望防火墙能挡住所有东西。它是个过滤器，不是保险箱。真正有效的做法是：假设攻击者已经在里面了。把内网切成更小的段，每个段之间也要认证；给所有账号上多因素认证，别管它是不是“内部服务”；DNS、HTTP这些放行协议，要么做深度解析，要么限制目标；打补丁别等下周，等一天都可能出事。防火墙该用还得用，但把它当唯一防线，等于把家门钥匙藏在门口脚垫下面——你自己觉得藏得好，小偷一摸就摸到了。