3. 部署前需求调研
下一代防火墙（NGFW）的部署质量，很大程度上不取决于设备本身有多强，而取决于部署前是否把“要保护什么、流量怎么走、必须满足什么、能承受多大压力、允许中断多久”这五件事问清楚。需求调研不是填一张表，而是把业务语言翻译成防火墙可执行的策略语言、接口语言和容量语言。本节围绕业务流量模型、安全域划分、合规要求、性能容量与高可用目标五个维度，给出可落地的收集方法与示例。
一、业务流量模型：先画“谁访问谁、走什么协议、量有多大”
流量模型的核心是回答三个问题：源、目的、服务。调研时不要只问“有哪些系统”，而要按业务系统逐条梳理访问关系。推荐使用“业务—源区域—目的区域—协议/端口—峰值带宽—并发连接—时延敏感度”七列清单。例如某企业办公网访问ERP系统：源为办公终端区，目的为数据中心服务器区，协议为HTTPS(443)与Oracle(1521)，峰值带宽约80Mbps，并发连接约3000，时延敏感度为高。这类信息直接决定后续策略条目的粒度与接口带宽规划。
收集方法上，可组合三种手段：一是访谈业务与运维人员，获取已知访问关系；二是导出既有防火墙、交换机ACL或负载均衡的会话表，统计真实流量；三是用NetFlow/sFlow采样，观察Top Talker与端口分布。三者交叉验证，能发现“文档里没有、但实际在跑”的隐性流量。需要特别记录东西向流量（服务器之间）与南北向流量（内外网之间）的比例，因为NGFW若承担东西向微隔离，其吞吐与并发压力往往被低估。
二、安全域划分：把“信任等级”落到接口与网段
安全域不是简单的VLAN划分，而是按信任等级和访问控制需求对网络区域进行分组。常见划分包括：互联网区（Untrust）、DMZ区、办公终端区、数据中心服务器区、管理区、生产控制区等。每个安全域应明确：包含哪些网段、对应哪些物理/逻辑接口或子接口、默认信任级别、允许的跨域访问方向。
调研时要重点确认三件事：第一，是否存在必须隔离的合规区域（如PCI-DSS的持卡人数据环境、等保三级的核心系统区）；第二，域间访问是“默认拒绝、按需放行”还是存在大量任意互访；第三，是否存在同一网段内不同信任等级主机混用的情况，这类“域内污染”会迫使后续策略细化到IP级。安全域划分结果应形成一张域间访问矩阵，行与列均为安全域，单元格填写允许的协议与方向，这张矩阵就是后续策略设计的骨架。
三、合规要求：把条款翻译成可验证的技术指标
合规要求不能停留在“满足等保三级”这样的口号上，而要拆解为防火墙可配置、可审计的具体项。以等保三级为例，常见落地项包括：安全区域边界访问控制、入侵防范、恶意代码防范、安全审计。对应到NGFW，就是要求开启应用识别与入侵防御、配置日志外发至日志服务器、日志留存不少于6个月、管理面与业务面隔离、采用双因素认证登录设备。
若涉及PCI-DSS，则需重点关注持卡人数据环境（CDE）的边界隔离、入站与出站流量的显式允许、以及每季度外部扫描的配合。调研时应形成一张“合规条款—技术指标—NGFW配置项—验证方法”的对照表。例如“审计记录应包含事件日期、时间、用户、事件类型、成败”对应“日志字段完整、时间同步NTP、外发Syslog”，验证方法为“抽查日志样本并核对字段”。这样合规才不是纸面工作，而是可检查的部署约束。
四、性能容量：用“峰值+余量”而不是“平均值”选型
性能容量调研最容易犯的错误是用平均流量选型。NGFW的关键指标包括：吞吐量（含应用识别与IPS开启后的吞吐）、新建连接速率（CPS）、并发连接数、IPSec VPN吞吐、虚拟系统数量。选型时应以业务峰值流量为基准，并预留30%～50%的余量。例如某园区出口峰值带宽为600Mbps，若开启IPS与AV，实际吞吐可能下降至标称值的40%～60%，则不应选择标称1Gbps的入门型号，而应选择开启安全功能后仍能稳定承载900Mbps以上的型号。
并发连接数同样需要按“峰值并发×增长系数”估算。若当前统计峰值为8万并发，考虑三年业务增长，可按12万～15万规划。新建连接速率则直接影响用户体验，尤其是短连接较多的Web业务。调研时应记录现有出口的CPS峰值，并确认NGFW在该数值下CPU与内存占用是否可控。建议在测试环境用真实流量或打流工具验证，而不是只看厂商 datasheet。
五、高可用目标：明确RTO、RPO与切换行为
高可用调研要回答：允许业务中断多久（RTO）、允许丢失多少会话或配置（RPO）、采用主备还是主主、切换是自动还是手动、切换后是否需要重新建立会话。对于大多数企业，双机主备（Active-Standby）配合心跳链路是较稳妥的选择，RTO通常要求小于30秒，RPO要求配置零丢失。若业务对会话连续性要求极高，则需开启会话同步，并确认同步链路带宽与延迟满足要求。
调研时还应确认：机房是否具备双路供电、双上行链路、设备是否支持双机热备的License、切换后NAT地址池与路由如何收敛。建议形成一份高可用目标表，字段包括：业务系统、RTO、RPO、切换方式、会话同步要求、验证方法（如手动断主链路观察切换时间）。这份表将直接指导后续HA部署与切换演练。
需求调研的深度决定了后续策略治理的上限。流量模型让策略有据可依，安全域让策略有边界，合规让策略有底线，性能容量让设备扛得住，高可用让业务断得起。五者缺一，部署都可能在上线后返工。