在網(wǎng)絡安全產品界，隨著技術發(fā)展的日新月異，產品功能也日漸強大。而技術的發(fā)展也帶來產品的不斷融合。在這一過程中，下一代防火墻與Web應用防火墻(WAF)的分合之爭也在業(yè)界引起了廣泛討論。有人認為，這是兩款獨立部署的產品，而同時，業(yè)內也有廠商推出了融合WAF功能的下一代防火墻產品。二者究竟應該是分是合呢？

有關安全專家認為，從技術的角度來看，這個問題并不復雜。

首先從防護對象來說，NGFW的防護對象是網(wǎng)絡中的外部應用，例如FACEBOOK、P2P下載等。而WAF的防護對象是網(wǎng)絡內部的WEB服務器。也就是說這兩款產品的保護對象、防護的威脅種類、安全需求都是不一樣的。

而從產品設計的角度看，針對不同問題最好采用不同的產品來獨立完成，強行放在一起，反而會使得兩方面都做不好。

其次，從部署位置來說，NGFW一般部署在整個網(wǎng)絡的網(wǎng)關位置，而WAF部署在WEB服務器之前，二者的性能壓力完全不一樣。

以一個高校網(wǎng)絡為例，在總體1個G的帶寬中，web訪問的流量不超過20M。假如將二者做成一款產品的話，就只能把WAF也部署在網(wǎng)關，這就會帶來兩種后果：要么是WAF處理了太多非WEB訪問流量，導致壓力太大而處理不了;要么就是用戶支付了不必要的成本，使得本來只需要處理幾十兆流量的WAF必須處理1個G的流量。所以，從這個角度看，這兩款產品也不適合做在一起。

另外從采用的技術上看，下一代防火墻采用的是包轉發(fā)技術，而WAF采用的是代理技術。這是兩種完全不同的技術手段，如果通過代理技術來做NGFW,將會極大地限制NGFW的吞吐能力。而如果采用包轉發(fā)技術來做WAF，則會嚴重影響waf的安全防護能力。所以，從技術上看這兩者也不適合放在一起。

那么業(yè)界廠商的各個產品情況又是如何呢？

下一代防火墻的開山鼻祖PALOALTO是全球第一臺下一代防火墻的創(chuàng)造者。在PA的產品實現(xiàn)中，我們并沒有發(fā)現(xiàn)WAF的設計。

除了PA之外，Sonicwall、Checkpoint、梭子魚等眾多國外下一代防火墻廠商也都沒有將WAF放在他們的NGFW產品中。

而在國內，今年堪稱下一代防火墻的爆發(fā)之年，先后有綠盟、啟明、山石等一大批安全廠商發(fā)布了下一代防火墻。但無一例外，他們都沒有將WAF放在他們的產品之中。

既然眾多廠商都沒有將NGFW與WAF合為一體，為何市場上仍會存在著WAF與NGFW的分合之爭呢？

關于這一點，下一代防火墻的定義者Gartner在最新發(fā)布的企業(yè)防火墻魔力象限報告(Magic Quadrant for Enterprise Network Firewalls)中就正式指出，導致這種混亂現(xiàn)象的原因主要有兩個：

一個是在技術術語上，不同產品之間確實有重合之處(Overlapping terminology);另一個方面則是由于廠商混淆視聽的營銷宣傳( confusing marketing)所致。

Gartner同時強調，下一代防火墻有其獨特的產品價值，與WA等產品有著明顯的區(qū)別，企業(yè)在選型時需要著重留意。