防火墙允许流量通过，入侵入侵防御系统（IPS）把已经进来的防御可疑流量掐断。这个差别听起来很细，和防火墙但实际运维里搞混了，区别后果很直接。入侵

去年有个客户，防御出口防火墙配了ACL，和防火墙只放行80和443端口。区别按理说够严了。入侵结果一台Web服务器还是防御被打了，攻击载荷藏在正常HTTP请求的和防火墙POST body里。防火墙看了端口、区别看了源IP、入侵看了协议，防御全都合规，和防火墙放行。它没看body里写了什么。这就是防火墙的边界——它管的是"谁能进哪个门"，不管"进来的人口袋里装了什么"。

防火墙的工作层面

防火墙本质上是策略执行点。它依据五元组（源IP、目的IP、源端口、目的端口、协议）做判断，后来的下一代防火墙（NGFW）加上了应用识别和用户身份，但核心逻辑没变：匹配规则，执行动作。允许、拒绝、或者更复杂的NAT转换。它的判断发生在连接建立阶段，一旦会话建立，后续数据包基本就是快速转发。

传统包过滤防火墙连会话都不看，每个包独立判断。状态检测防火墙稍微聪明点，知道TCP握手建了会话，后续包属于这个会话就放。应用层防火墙会拆开HTTP头看看URL和Host。但也就到这儿了。你把恶意代码塞进图片的EXIF字段传进去，防火墙大概率无感。

IPS在干什么

IPS是深度检测。它把流量还原到应用层，拿特征库去比对，或者跑异常行为模型。SQL注入的' OR 1=1--、命令注入里的; cat /etc/passwd、漏洞利用的shellcode特征，这些是IPS的猎物。它不只看包头，它看载荷。不只看单个包，它做流重组，把分散在多个包里的攻击片段拼起来再判断。

部署位置也不同。防火墙串在边界，IPS可以串在防火墙后面，也可以旁路部署。旁路模式下它只告警不阻断，串接模式下它能直接丢包、重置会话。串接的IPS对延迟敏感，特征库匹配要快，否则业务先扛不住。

一个容易混淆的点

很多NGFW现在集成了IPS模块，界面里叫"入侵防御"功能。这导致有人觉得防火墙=IPS。不是的。集成归集成，底层是两个引擎。防火墙策略先过，放行了才轮到IPS检测。防火墙拒绝的流量，IPS根本看不到。反过来，IPS阻断的流量，防火墙日志里显示的是"已允许"。排障的时候如果只看防火墙日志，会以为一切正常，其实IPS那边已经拦了一堆。

还有个实际观察：防火墙规则写错了，业务直接不通，问题暴露很快。IPS特征库太激进，可能把正常业务请求当攻击拦了，这种误报排查起来更费劲。见过一次，IPS把包含select关键词的搜索请求全阻断了，因为特征匹配到了SQL注入。用户搜个"select model"就白屏。防火墙不会犯这种错，它压根不看这些。

该用哪个

不是二选一的问题。边界防火墙做粗粒度隔离，IPS做细粒度威胁拦截。防火墙挡扫描、挡未授权访问、做NAT和路由。IPS挡漏洞利用、挡Web攻击、挡恶意软件回连。两个都开着，日志分开看，策略分开调。防火墙规则变更影响面大，改之前想清楚。IPS特征库更新频繁，调误报是常态。

预算有限只能选一个？先上防火墙，把不必要的端口全关掉，把出站规则收紧。这一步能挡掉大部分自动化扫描和 opportunistic 攻击。IPS是第二步，针对的是那些绕过端口限制、伪装成正常流量的攻击。顺序别反了。