两者分工不同
防火墙策略回答「谁能访问谁」，IPS 检测回答「放行之后的访问内容是不是恶意的」。攻击者总是走已经放行的业务端口：443 上的漏洞利用、80 上的 webshell 上传，在策略层面看不出任何异常，只有内容级检测才能发现。
缺一不可
只做策略收敛不部署检测，合法端口上的攻击会长驱直入；只部署检测不做策略收敛，暴露面过大，设备要处理的流量与产生的告警都会失控。合理顺序是先收敛暴露面，再用内容检测兜住剩余风险。
基本信息
| 防火墙职责 | 基于五元组与应用维度的访问控制 |
|---|---|
| IPS 职责 | 对已放行流量做攻击特征与行为检测 |
| 配合方式 | 策略最小化减少暴露面，检测兜底内容层风险 |
| 边界 | 检测设备不应用来承担端口封禁这类访问控制工作 |
典型使用场景
- 公网业务只开必要端口，其余在策略层关闭
- 放行的 443 流量需要检测漏洞利用与恶意软件
- 内网互访需要策略收敛，同时检测横向行为
- 事件复盘时区分「本不该通」与「通的内容有问题」
- 评估既有防护体系还缺哪一层
- 变更前判断是改策略还是改检测规则
配合示例
配合示例
# 策略层：互联网到 DMZ 只放行 443
# 检测层：对这条 443 流量检测 Web 漏洞利用与恶意软件
# 叠加效果：暴露面小 + 内容级检测
# 若发现端口开放过多，先收敛策略再谈检测调优职责对照
| 维度 | 防火墙策略 | IPS 检测 |
|---|---|---|
| 判断依据 | 地址、端口、应用 | 报文内容与行为特征 |
| 能否发现合法端口的攻击 | 不能 | 能 |
| 误报影响 | 直接阻断业务 | 告警或阻断，按规则灵敏度 |
| 主要风险 | 策略过宽导致暴露面大 | 规则过松导致漏检 |
策略收敛与检测部署要并行推进，只做其中一件都会留下明显的短板。
把检测设备当访问控制设备使用（用规则做端口封禁），会让规则集变得难以维护，策略与检测的职责边界也会彻底混乱。
排查时先判断流量该不该通：本不该通的流量属于策略问题，本来就该通却出了事，才轮到检测规则和加固。