上周三凌晨两点十七分，防火我的防火朋友圈被一条消息刷屏了。某家做跨境电商的防火朋友发了个截图，他们的防火官网被挂上了勒索页面，数据库被拖走，防火后台数据被加密。防火他配文说：“防火墙一直开着，防火还是防火被打了。”

我问他，防火防火墙规则是防火谁配的？他说是某外包公司，去年年底做的防火等保测评，报告上写着“基本符合”。防火我又问，防火那你们有没有做过渗透测试？防火他说没做过，觉得没必要。防火

你看，问题从来不是防火墙没用，而是很多人把防火墙当成了保险箱，以为装上了就万事大吉。我认识一个做安全运维的老哥，干了十二年，他说他经手的入侵事件里，八成以上是配置不当或者规则过时导致的。防火墙就像门锁，你装了个C级锁芯，但门框是木头做的，撬棍一别就开了，这能怪锁不好吗？

前阵子某医院被勒索病毒搞得门诊瘫痪，事后调查发现，他们防火墙的IPS规则库还停留在2019年。那会儿连Log4j漏洞都还没爆出来呢。这就像你拿着去年的流感疫苗，想防今年的变异株，怎么可能防得住？

但你要是就此说防火墙没用，那就太冤了。去年我们给一家制造业客户做安全加固，他们之前总觉得防火墙是浪费钱，直到有一次，一个钓鱼邮件进来，内网一台电脑中了挖矿木马，木马想外连矿池，被防火墙的出口策略拦住了。就那一次，他们省下的电费和带宽费，够买三台下一代防火墙了。

更典型的例子是隔壁楼那家做设计的公司，二十来号人，觉得用不上防火墙，直接光猫接交换机。结果有一天，打印机开始自己打印乱码文件，监控摄像头被人控制着转来转去。最后查出来，是有人扫描到了他们暴露在公网上的端口，拿打印机当了跳板。后来他们装了个入门级防火墙，半年了，再没出过幺蛾子。

说白了，防火墙的价值不是让你刀枪不入，而是把大多数乱拳挡在门外。真正的高水平攻击，确实能绕过它，但那种攻击的成本，不是普通小贼愿意付出的。就像你家装了防盗窗，专业大盗照样能撬开，可那些顺走快递的、踩点的小偷，看见防盗窗就换下一家了。

我自己家里也装了台软路由，开了防火墙功能。有一次看到日志里，一个IP连续扫描我家的SSH端口，被自动封禁了。那一刻我特别踏实。你说这防火墙有用吗？它没挡住什么国家级黑客，但它挡住了无数个像这样的自动扫描脚本，那些脚本背后，可能是某个想练手的脚本小子，也可能是某个挖矿僵尸网络的探测。

所以，别再说防火墙没用了。真正该问的是，你的防火墙有没有在认真工作，规则有没有更新，日志有没有人看，策略有没有跟着业务变化调整。防火墙不是万能药，但它是你安全体系里最基础的那道防线。没有它，你连被攻击的门槛都降低了。