企业上有必要用防火墙吗？

1、企业的数据是否价值足够高，比如当年我刚刚毕业，和同学一起大学生创业注册那个小公司，我们公司还没防火墙贵，当然不用防火墙。

2、企业所处的环境是否危险，比如政务内网，用的全是自己的专线，没有任何外部数据，也不和互联网相连，是不需要防火墙的。但是和互联网相连的外网就必须上防火墙，而且不仅仅要上防火墙，还要有WAF，堡垒机，IPS，漏扫，审计等一系列的安全设备。

当然，还是文章前面讲的，不能一概而论，如果市级省级政府内网，也是有防火墙的，毕竟网络大了，除了防外，还要防内。

3、企业除了网络安全，是否还有其他需求，比如“行为管理”，就是上班时间禁止看股票玩游戏等摸鱼行为。

1、防火墙顾名思义，可以把不安全的流量挡在网络外面，这样lesuobingdu进不来，黑客进不来。

但是lesuobingdu也不会在脑门上写着，我是病毒。黑客也不会在脑门上写着，我是黑客。

防火墙是“人性本恶”的，所有陌生流量都禁止出入，所以任何正常的工作数据，都要在防火墙进行设置，放行后才可以。类似疫情时期，每个小区都实行封闭式管理，任何不认识的人都禁止进入，这样的话，不管是不是病毒黑客，只要不是企业工作相关的流量，都进不来。

2、自动检测出特殊应用的随机端口号。

普通路由器也有acl（访问控制列表），可以实现对数据包的过滤，但是是针对明确的五元组来进行过滤的，五元组就是源ip、目标ip、源端口、目标端口、协议号，在路由器上使用acl实现数据滤，必须输入明确的五元组信息。

但是像FTP（文件传输协议），H.323（视频会议协议），都包含控制连接和数据连接双连接，且端口号是随机的，路由器就没办法jingque配置过滤规则，但是防火墙可以从他们的控制连接中，发现他们的端口号，进而jingque放行。

3、特征码识别现在gaoji点的病毒和攻击都懂的伪装自己，把自己伪装成正常的流量，路由器的五元组是无法识别的。但是防火墙类似杀毒软件，会不停的升级特征码，来识别各种伪装的攻击和病毒。当然，控制员工上班时不要摸鱼，也是用特征码来识别抖音，优酷，股票等和工作无关但降低工作效率的流量，并进行阻断。