比较防火墙型号前，先确认设计需支持的流量路径、应用访问及策略责任。本指南协助 IT 和采购团队在选型前梳理架构及迁移问题。
说明流量与信任边界
列明用户、应用路径、远程访问和网络分段，说明允许流量及策略负责人。NIST 防火墙资料提供基础策略规划原则，不是产品排名或 Express 认证。
区分安全层的用途
网络防火墙、Web 应用防火墙、SASE 与应用交付平台作用不同。应结合实际流量及现有身份、路由和服务商依赖评估控制措施。
安排运维变更
审阅规则、许可、证书、日志和高可用要求，切换前约定验证与回退。设计应明确安装后谁批准变更、谁处理告警。
技术参考
NIST SP 800-41 修订版1 防火墙与策略指南：csrc.nist.gov
某一安全层能替代所有其他控制吗？
不能，应按其作用选择，并评估其他所需控制。
旧规则都应复制吗？
保留前先审阅用途、依赖和兼容性。