防火墙不是万能锁，但缺它真不行
你家的WiFi密码设了八位数，手机银行也装了双重验证，可为什么某天突然发现账号在异地登录？网络安全就像居家防盗，光靠一把好锁不够，还得有门禁、监控、报警系统配合。防火墙，就是网络世界里的那道电子门禁。
它到底拦什么？
想象一下快递员送包裹上门，保安会先问：谁找你？东西从哪来？防火墙干的就是这事儿。当数据包试图进入你的电脑或公司服务器时，它会检查来源IP、端口号和协议类型。比如一个来自陌生国家IP、试图通过23端口（Telnet）连接的请求，大概率会被直接拦下。
企业内网常配置规则阻止外部访问数据库端口。一条典型的防火墙策略可能长这样：
iptables -A INPUT -p tcp --dport 3306 -s 0.0.0.0/0 -j DROP这条命令的意思是：所有想通过TCP协议连上3306端口（MySQL默认端口）的外部请求，统统拒绝。普通用户用的Windows Defender防火墙，其实也在默默执行类似逻辑——只是图形界面让你不用敲命令。
防得了“明抢”，防不了“暗偷”
病毒伪装成正常软件更新包发过来，防火墙很难识别。因为它看着像合法流量，来源可能是正规CDN节点，走的是443加密端口。这时候就得靠杀毒软件分析文件行为，或者EDR系统监测异常进程。防火墙更擅长对付“暴力破解”这类直白攻击，比如黑客用工具不断尝试SSH登录，防火墙发现同一IP频繁失败后，可以自动拉黑该地址。
家庭路由器自带的基础防火墙能挡住大部分扫描探测，但遇到针对性攻击就力不从心。就像小区大门保安能拦住闲逛推销的，可要是有人穿上外卖服混进去，就得靠楼道监控和住户自己警惕了。
规则设置比存在更重要
很多单位部署了硬件防火墙却形同虚设，问题出在配置上。默认放行所有出站流量、只简单过滤常见危险端口，这种“半开模式”留了太多缝隙。合理的策略应该遵循最小权限原则：员工办公电脑不需要访问FTP服务，那就禁止出站21端口；财务系统仅限内网访问，边界防火墙就得明确限制源地址范围。
家用场景也有优化空间。给孩子用的平板连接网络时，可以在防火墙里屏蔽游戏服务器的IP段，比单纯依赖家长控制软件更底层有效。这些操作在OpenWRT类固件路由器中都能实现，关键是得清楚自己要守什么。
和其他防线怎么配合
现在流行说“零信任”，但防火墙依然是第一道物理隔离层。它和入侵检测系统（IDS）搭伙干活很常见：防火墙负责堵大路，IDS在内部盯着有没有人翻墙。发现异常流量后，能触发防火墙动态添加封锁规则。比如Suricata检测到勒索软件通信特征，立刻通知iptables加入新拦截条目。
云服务商提供的安全组本质上也是虚拟防火墙。你在阿里云开了台ECS，默认所有端口对外关闭，必须手动开启80端口才能建网站。这种“默认拒绝”机制比传统“默认放行”安全得多，相当于把门禁权限收归管理员手里。
别指望一道墙挡住所有威胁，但也别忽视它的基础价值。就像没人会因为防盗门防不住钓鱼诈骗就拆掉它，合理配置的防火墙永远是防御体系中最实在的一块砖。