工业防火墙与普通防火墙的区别
工业防火墙同样做包过滤，但额外强调三件事：认识工控协议，能按协议语义而非仅按端口放行；适应现场环境，具备宽温、导轨安装等工业形态；不牺牲实时性，转发时延与丢包率必须满足控制通信的周期要求。它的部署位置决定了防护覆盖范围：放在控制区与办公区之间，挡住来自终端与互联网的风险；放在工艺区之间，限制故障与攻击在产线内部的横向扩散；放在远程接入入口，让供应商与出差人员只能从受控入口进入。位置选择的核心依据是区域与管道清单，而不是机房布局。
基本信息
| 常见部署位置 | 控制区与办公区之间、工艺区之间、安全仪表相关区域边界、远程接入入口 |
|---|---|
| 工作模式 | 透明桥串接、路由串接、旁路监听（只检测不阻断）、混合部署 |
| 过滤能力 | 五元组过滤、工控协议识别与指令级过滤、会话与连接数限制 |
| 关键指标 | 转发时延、吞吐、并发会话数、协议解析深度、断电失效行为 |
| 冗余方式 | 双机热备或旁路开关（bypass），需确认切换时间与切换后行为 |
| 规则来源 | 由区域与管道清单转换而来，每条规则可追溯到业务需求 |
典型部署场景
- 控制区与办公区之间：限制办公终端对控制设备的直接访问，只放行必要的生产数据上行
- 工艺区之间：限制横向移动，避免一个车间的异常扩散到整条产线
- 安全仪表或高后果区域前：对进入该区域的所有通信做最严格的白名单控制
- 远程运维入口：把供应商与外部维护人员的接入收敛到单一入口，可开关、可限时、可审计
- 数据采集出口：对上行到历史库或云端的数据做方向与内容限制
- 新旧系统并存处：对老旧设备加装前置过滤，弥补其自身无认证与无加密的缺陷
部署模式对照
| 模式 | 能否阻断 | 适用情形 | 风险 |
|---|---|---|---|
| 透明桥串接 | 能 | 不改变现有地址规划，改造影响小 | 设备故障会中断链路，需要旁路或冗余 |
| 路由串接 | 能 | 需要重新划分网段与路由的场合 | 改动大，需要重新规划地址与路由 |
| 旁路监听 | 不能 | 先观察流量、后做规则，或作为审计补充 | 只能告警，攻击路径不受影响 |
| 混合部署 | 部分能 | 兼顾可见性与阻断 | 架构复杂，规则需两侧同步维护 |
协议过滤的效果取决于对协议语义的建模：仅按端口放行，等于允许一切使用该端口的操作；能做到指令级过滤时，才可能限制「某主站只允许读某地址范围、不允许写」这类策略。建模深度应以业务必要为界，过深的检查会带来时延与误报成本。