防火墙无授权问题

没有配置IPS、AV等安全特征库的情况下。防火墙只能基于五元组进行防护，无法识别并阻断已知漏洞利用、恶意流量；

你提出的这个问题很关键。结论很明确：仅靠无授权防火墙的基础访问控制，无法实现有效的对外部（Untrust）防护。 它只能完成最基础的“门禁”工作，但无法抵御现代网络中复杂的应用层攻击。

无授权并不等于设备完全不可用。它仍然可以执行基于网络层和传输层的核心功能，这些功能不需要License，可以看作是防火墙的“出厂基础能力”。

• 域间策略（基础ACL）：这是最核心的可用功能。你可以配置从Untrust到Trust（或服务器区）的策略，基于源/目的IP地址、端口和协议来允许或拒绝流量。例如，只允许外部访问服务器的443端口，拒绝其他所有端口，这能阻断大量基于开放端口的扫描和直接攻击。

• 路由与NAT：路由协议（如OSPF、BGP）、NAT（网络地址转换）等基础网络功能通常不受授权影响，可以正常使用，确保网络连通性。

• 基础DoS防护：一些基于连接数或速率的泛洪攻击防护功能，可能作为基础特性提供，但具体取决于厂商和型号。

这恰恰是应对现代攻击最需要的部分。没有授权，以下安全功能要么完全不可用，要么因特征库无法更新而形同虚设。

• IPS（入侵防御）功能基本失效：虽然策略界面可能允许你“启用”IPS，但它依赖的攻击特征库无法升级。出厂自带的特征库规则非常老旧且稀少，只能识别极少数陈旧的攻击模式，对于近几年的新漏洞和攻击手法几乎无能为力。

• AV（防病毒）功能同样受限：原理与IPS相同。没有授权，病毒特征库无法更新，设备无法识别和阻断新型恶意软件。有厂商文档明确指出，无授权时启用AV/IPS策略“无法提供完全的安全防护功能”，会“错过其他类型的攻击和威胁”。

• 应用识别与URL过滤失效：基于应用特征的识别和行为管理需要License。这意味着你无法精确识别并阻断通过非常规端口（如80端口）进行的P2P下载、隧道穿透等行为。

• 依赖实时云查的功能停止：像Fortinet的Web/DNS过滤、爆发防御（Outbreak Prevention）等依赖云端实时威胁情报的功能，在授权过期后会直接停止工作。

无授权时防火墙的基础防护能力有限。虽然防火墙配置完成后，当内网用户访问外网受到病毒攻击时，可有效防止已知病毒对内网用户的攻击，但这依赖于具体的功能授权。若未购买相关授权（如防病毒、入侵防御等），这些深度安全功能将无法生效，无法有效阻断来自Untrust区域的已知病毒和攻击。

因此，不能仅依赖无授权状态下的基础包过滤来确保外部防护安全。基础的安全策略（如域间策略）可以控制流量放行，但无法提供病毒查杀、漏洞防护等高级安全能力。对于高安全需求的场景，建议购买并激活相应授权以启用完整的安全防护特性。

核心结论：基础包过滤安全策略不需要授权，可以阻断 untrust 方向访问；但入侵防御、病毒、威胁检测类高级防护必须 License 授权，无授权该部分功能不生效。只靠基础策略，能做访问控制，但做不到攻击检测与防御。

1、无 License 授权可以使用的能力（免费，设备出厂自带）

1. 安全策略（域间包过滤）：trust‑untrust、untrust‑trust 访问控制，允许 / 拒绝 IP、端口；可以直接拦截外网 untrust 网段的 IP、端口访问。
2. NAT、路由、接口、域划分、会话表、COPP 控制平面保护。
3. 黑名单、IP‑MAC 绑定。

也就是说：无授权，依靠安全策略，可以拒绝外网 IP / 端口访问内网，实现基础边界访问隔离。

2、必须 License 授权才生效的高级安全能力（无授权则不工作）

• IPS 入侵防御：漏洞攻击、EXP 攻击、SQL 注入、XSS 攻击检测阻断；
• AV 防病毒：病毒、木马检测；
• 应用识别、URL 过滤；
• 威胁情报、云沙箱、APT 检测；
• 数据防泄漏 DLP。

⚠️关键点：Web 页面上这些菜单虽然可以点开配置，没有对应 License，配置下发成功但实际不检测、不阻断攻击报文。

3、问题回答：“控制好内部安全，无授权也能做好外部防护？”

1. ✅基础访问防护可以做到：通过安全策略严格收紧 untrust‑>trust，只放通必要业务端口，其余全部 deny，可以挡住大部分非法外网连接。
2. ❌无法抵御应用层攻击：如果业务端口必须对外开放（例如 80、443），外网针对开放端口的漏洞攻击、注入攻击，无 IPS 授权防火墙识别不到，不会拦截，攻击流量会直接放行到内网服务器。

通俗举例

• 需求：外网完全不能访问内网任何端口 → 仅安全策略 deny 全部 untrust‑trust，无授权也足够防护。
• 需求：外网需要访问内网 Web 服务 443 端口 → 策略放通 443，但黑客发送 Web 漏洞攻击报文，没有 IPS 授权，防火墙识别不出攻击，直接放行，服务器有被攻陷风险。

4、工程实践建议

1. 无 IPS 授权场景：尽可能最小化开放对外端口，不需要的端口全部 deny；服务器自身做好系统加固、打补丁，弥补防火墙缺少 IPS 的短板。
2. 如果对外提供业务服务，强烈建议配置 IPS 授权，边界识别阻断应用层攻击。
3. 查看授权命令：

看 IPS、AV 字段是否为Valid有效状态。