工業防火墻的適用場景

 工業安全網關可以部署在生產管理層（L3）與過程監控層（L2）之間，作為控制網邊界的道防線，用來阻止來自企業管理信息網、生產管理網的病毒、木馬、網絡等安全威脅。也可以部置在過程監控層（L2）和現場控制層（L1）內各個功能區域間，幫助用戶根據業務和功能特性對控制網絡劃分安全域。繼而根據各區域的安全特點有針對性的為該區域提供安全防護策略，控制病毒或攻擊事件擴散。

工業網閘與防火墻的區別

 首先解釋下網閘與防火墻的區別。從硬件架構上來說，網閘為2+1的結構，及前后主機+隔離硬件，防火墻是單主機系統。由于這種架構的區別，網閘在數據交換時所有數據需要落地轉換，數據進入擺渡區之前要經過的協議剝離，到了后主機上再進行數據封裝，故不存在內外網之間的回話，連接終止與內外網主機；而防火墻工作在路由模式，直接進行數據包轉發，其內部所有的TCP/IP會話都是在網絡之間進行，存在被劫持和復用的風險；

 其次部署位置上，網閘一般部署在辦公網和業務網之間，高安全與低安全區域之間，其功能主要為文件同步、數據庫同步、組播工控協議等；防火墻主要部署在網絡邊界，功能包括***,NAT,IPS等。

工控防火墻概述

 我們將應用于工業控制網絡環境中的防火墻稱為工業控制防火墻、工業防火墻或工控防火墻（在本文中主要稱為工控防火墻）。和ICT環境的防火墻作用類似，其是一個具體設備（物理或虛擬），用于兩個網絡之間的隔離控制。在ICT環境中，防火墻主要用于保護一個網絡區域免受來自另一個網絡區域的網絡攻擊和網絡行為。因其隔離、防守的屬性，靈活應用于網絡邊界、子網隔離等位置，具體如企業網絡出口、大型網絡內部子網隔離、數據中心邊界等等。而在ICS環境中，工控防火墻主要部署于管理網（辦公網）與生產網之間或部署在控制設備層的邊界，對通過的工業控制網絡流量進行解析、識別和控制，以抵御來自內外網對工業生產設備的攻擊。