包过滤防火墙和下一代防火墙的差异点

防火墙定义

传统包过滤防火墙

部署于不同安全域之间，具备网络层访问控制以及过滤功能，具备应用层协议分析、控制、及内容检测等功能，能够适用于ipv4、ipv6等不同的网络环境的安全网关设备。

引用于：
《信息安全技术　防火墙安全技术要求和测试评价方法》
https://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=DC339A62C32B0B5C64F567DD5F09EDE0

下一代防火墙

部署于两个或者多个计算机网络间，以以应用、用户和内容识别为基本能力，在对网络流量深度可视化的基础上，通过统一策略管理确保在网络间安全启用应用的安全设备。（具备应用感知和全栈可视化、集成IPS、ids、icg等产品功能）

gartner机构受限提出 https://www.gartner.com/cn

问题：

防火墙需要集成多个功能模块，就需要解决多个功能同时运行导致性能下降的问题。提升性能就需要更改计算机构、扩大硬件功率。

防火墙功能

传统包过滤防火墙

1. 二层、三层包转发
2. 状态检测
3. 提供私有网络到公有网络的地址转换
4. ipsec vpn

下一代防火墙

1. 增加对应用层协议的识别以及过滤

文件过滤
内容过滤
邮件过滤
行为过滤等