防火墙采购怎么选？吞吐量、并发连接数和工业协议支持一次讲清
从机械制造和设备联网场景出发，梳理防火墙采购需要关注的吞吐量、并发连接数、接口、工业协议、冗余、环境适应性和验收要点，并附参数表与问答。
先明确：机械行业采购的防火墙通常不只是办公网络设备
在机械制造、工厂自动化、数控机床、机器人产线、SCADA和DCS系统里，防火墙承担的是控制网络与信息网络之间的访问控制、协议过滤、日志审计和远程运维安全接入。采购时如果只按办公网络的路由器或普通防火墙思路选型，容易遇到协议不识别、端口不匹配、环境温度不适配等问题。因此，建议把防火墙当作工业网络基础设施来采购，先看现场工况，再看参数和授权。
一、防火墙采购前先分清用途和部署位置
常见部署位置包括：控制层与监控层之间、监控层与信息层之间、远程运维入口、关键设备单元前端。不同位置对吞吐量、接口、协议识别和冗余要求不同。比如单台机床或机器人单元，可能只需要小型工业防火墙；车间汇聚或厂级核心，则需要更高吞吐、更多光口和双机热备能力。
常见类型对比
| 类型 | 主要用途 | 典型特点 | 采购关注点 |
|---|---|---|---|
| 企业级防火墙 | 办公网、信息网边界 | NAT、VPN、应用识别、IPS | 吞吐量、用户认证、授权费用 |
| 工业防火墙 | 控制网、车间层、设备前端 | 宽温、导轨、冗余电源、工业协议解析 | 协议支持、Bypass、防护等级 |
| 下一代防火墙 | 融合安全边界 | 应用识别、入侵防御、威胁情报 | 开启安全功能后的实际吞吐 |
| UTM类设备 | 中小型网络综合防护 | 防火墙、防病毒、URL过滤等集成 | 功能开启后的性能衰减 |
二、核心参数怎么看
参数表不能只看一个“吞吐量”。建议同时核对整机吞吐、IPS吞吐、应用层吞吐、并发连接数、新建连接数、VPN吞吐和接口配置。尤其要注意，标称吞吐通常是在理想条件下测得，开启IPS、防病毒、应用识别后，实际吞吐会下降。
核心参数速查表
| 参数项 | 说明 | 常见范围或建议 | 采购关注点 |
|---|---|---|---|
| 整机吞吐量 | 设备处理流量的基础能力 | 1Gbps、2Gbps、5Gbps、10Gbps等 | 按高峰流量1.5到2倍预留余量 |
| IPS吞吐量 | 开启入侵防御后的吞吐 | 通常低于整机吞吐 | 以开启安全功能后的值为准 |
| 应用层吞吐量 | 开启应用识别和控制后的吞吐 | 根据型号差异较大 | 有应用管控需求时重点看 |
| 并发连接数 | 同时维持的会话数量 | 50万、100万、200万、500万、1000万等 | 结合设备数量、采集频率和突发访问估算 |
| 新建连接数 | 每秒新建会话能力 | 2万、5万、10万、20万、50万等 | 影响扫描、突发采集和集中上报 |
| VPN吞吐量 | 加密隧道处理能力 | 根据加密算法和隧道数变化 | 远程运维、分支互联时重点看 |
| 接口类型 | 电口、光口、串口、Bypass口 | 千兆电口、2.5G电口、万兆SFP+等 | 核对现场线缆、距离和模块类型 |
| 工业协议 | Modbus TCP、OPC UA、PROFINET、EtherNet/IP等 | 型号支持范围不同 | 要求支持现场实际协议和深度过滤 |
| 冗余能力 | 双电源、双机热备、Bypass | 按连续生产要求选择 | 避免单点故障影响产线 |
| 工作温度 | 设备稳定运行的环境温度 | 商业级0到40摄氏度，工业级可到零下20到70摄氏度等 | 控制柜、车间现场重点核对 |
| 防护等级 | 外壳防尘防水能力 | IP20、IP30、IP40等 | 粉尘、油雾、潮湿环境需关注 |
| 管理与日志 | Web、CLI、SNMP、Syslog | 支持集中管理和日志外发 | 便于审计、排障和统一运维 |
按规模做初步匹配
| 使用层级 | 典型吞吐量 | 并发连接数参考 | 新建连接数参考 | 接口参考 | 适用场景 |
|---|---|---|---|---|---|
| 入门级 | 1Gbps以下 | 20万到50万 | 1万到3万 | 4到8个千兆电口 | 单机设备、小型单元、远程运维入口 |
| 标准级 | 1Gbps到5Gbps | 50万到200万 | 3万到10万 | 8到16个千兆电口加2到4个光口 | 车间汇聚、产线分区、多个控制单元 |
| 高性能级 | 5Gbps到20Gbps | 200万到1000万 | 10万到50万 | 万兆光口、模块化扩展 | 厂级核心、多车间互联、数据中心边界 |
以上数字用于初步沟通，实际选型应以现场流量、协议清单、拓扑结构和安全策略为准。建议让供应商提供开启相关安全功能后的测试数据。
三、工业协议支持是机械行业采购的重点
机械行业网络里常见PLC、变频器、伺服、机器人、视觉系统、仪表和SCADA。防火墙如果只能识别通用TCP/IP，虽然可以做端口过滤，但难以对协议功能码、寄存器地址、对象和主题做精细控制。采购时可要求供应商提供协议清单和测试方法。
| 协议 | 常见用途 | 采购关注点 |
|---|---|---|
| Modbus TCP | PLC、仪表、传感器 | 是否支持功能码过滤、地址范围控制 |
| OPC UA | 数据采集、系统集成 | 是否支持证书、用户认证、发布订阅 |
| PROFINET | 西门子自动化网络 | 是否支持透明传输或代理、实时性影响 |
| EtherNet/IP | 罗克韦尔等自动化系统 | 是否支持CIP对象识别 |
| IEC 60870-5-104 | 电力监控、能源管理 | 是否支持ASDU类型过滤 |
| DNP3 | 电力、水处理、能源 | 是否支持对象和功能码控制 |
| S7通信 | 西门子PLC | 是否支持S7协议深度解析 |
| MQTT | 物联网、边缘采集 | 是否支持主题、客户端权限控制 |
四、采购问答
问：工业防火墙和普通防火墙有什么区别？
普通防火墙更偏向办公网和信息网，强调上网行为、VPN、应用识别等。工业防火墙通常增加宽温设计、导轨安装、冗余电源、Bypass、工业协议深度解析和抗振动等特性，更适合控制柜和车间现场。采购时要根据安装环境、协议类型和连续性要求判断。
问：吞吐量应该怎么估算？
先统计控制网与信息网之间的高峰流量，再考虑未来三到五年的扩展。一般建议按高峰流量的1.5到2倍预留。若计划开启IPS、防病毒、应用识别等功能，应按开启后的吞吐量选型，而不是只看整机吞吐。
问：并发连接数和新建连接数哪个更重要？
两者都重要。并发连接数反映同时维持会话的能力，新建连接数反映突发建立会话的能力。采集系统、SCADA轮询、远程访问和扫描行为都可能带来突发。建议把在线设备数、单设备会话数、采集周期、上位机数量列成清单，再向供应商确认。
问：需要支持哪些接口？
常见接口包括千兆电口、2.5G电口、万兆光口、SFP或SFP+插槽、Console口和Bypass口。若现场有光纤环网、远距离传输或电磁干扰，光口和工业级光模块更常见。接口数量不足时，可以通过交换机扩展，但要同步规划安全域和VLAN。
问：双电源和双机热备有必要吗？
对于连续生产、无人值守或关键控制单元，双电源、双机热备和Bypass通常值得纳入方案。具体是否采用，取决于停机影响、预算和维护能力。采购时应确认切换方式、切换条件和切换时间是否符合项目要求。
问：防火墙采购价格由哪些部分构成？
通常包括硬件平台、软件功能授权、工业协议模块、VPN授权、日志或集中管理授权、安装调试和维保服务。不同品牌和项目差异较大，建议把需要的功能、端口、吞吐和年限列清楚后统一询价，避免只看初始硬件价格。
问：如何判断是否需要下一代防火墙功能？
如果只需要控制层与信息层之间的端口和地址访问控制，基础防火墙或工业防火墙可能已经够用。如果需要应用识别、入侵防御、威胁情报、URL过滤和更细的审计，则要考虑下一代防火墙，并关注开启这些功能后的性能。
五、选型步骤建议
- 盘点资产：PLC、机器人、数控机床、SCADA服务器、工程师站、远程访问终端等。
- 梳理流量：峰值带宽、平均带宽、并发会话、采集周期、南北向和东西向流量。
- 列出协议：Modbus TCP、OPC UA、PROFINET、EtherNet/IP、S7等，并标注是否需深度过滤。
- 确定边界：控制层、监控层、信息层、远程运维入口分别需要什么策略。
- 核对环境：控制柜尺寸、供电、温度、粉尘、振动、安装方式。
- 评估管理：是否需要集中管理、Syslog、SNMP、报表和分级权限。
- 安排测试：用样机验证协议识别、策略生效、吞吐、冗余切换和日志记录。
- 明确服务：培训、固件更新、规则库更新、备件和响应方式写入合同。
六、部署与验收要点
| 验收项目 | 建议标准 | 验证方法 |
|---|---|---|
| 吞吐性能 | 达到合同约定值 | 使用测试仪或实际业务流量验证 |
| 并发与新建连接 | 满足高峰业务需求 | 模拟采集、访问和并发会话 |
| 协议识别 | 能识别现场主要工业协议 | 接入PLC、仪表或仿真环境测试 |
| 访问策略 | 允许和阻断符合安全规划 | 逐条验证策略和日志 |
| 冗余切换 | 切换过程满足项目要求 | 断开主电源或主设备测试 |
| 日志审计 | 事件可记录、可外发、可查询 | 检查Syslog、SNMP和本地日志 |
| 环境适应 | 温度、供电、安装符合现场条件 | 查看铭牌、证书和实际运行 |
| Bypass功能 | 断电或故障时业务连续性符合方案 | 按项目要求进行旁路测试 |
部署时建议采用最小权限原则，默认拒绝，按业务需要开放。串联部署要确认Bypass策略，双机热备要确认心跳和切换条件，远程运维建议使用VPN和双因素认证。所有策略变更应留档，便于后续审计和排障。
七、采购沟通清单
向供应商询价时，可以直接提供以下信息：网络拓扑图、设备数量、协议清单、高峰流量、并发会话、接口需求、安装环境、工作温度、供电方式、冗余要求、管理方式、日志留存要求、验收标准和维保年限。信息越完整，方案匹配度越高。
总体来看，防火墙采购要围绕现场工况、网络边界、协议支持、性能余量、冗余能力和运维便利性综合判断。先做需求盘点，再安排样机测试，最后把性能、功能、服务和验收条款写进合同，更有利于项目顺利落地。