定义
防火墙（Firewall）在网络边界实施访问控制，根据预定义规则（ACL、安全策略）允许或拒绝流量，是安全架构中边界防护的核心组件。物联网场景中，防火墙可保护企业内网、专网网关、云平台入口、VPN隧道端点等，防止未授权访问、DDoS、入侵。与IPSec、TLS、接入认证等配合构建纵深防御。
类型与能力
- 包过滤：基于IP、端口、协议的五元组过滤，简单高效
- 状态检测：跟踪连接状态，仅允许已建立连接的返回流量，防范伪造包
- 应用层网关（ALG）：深度包检测（DPI），识别应用协议（如MQTT、HTTP），支持应用级策略
- NAT/NAPT：地址转换，隐藏内网拓扑，节省公网IP
物联网场景策略
物联网平台防火墙需针对设备接入特点配置：白名单IP/端口、限制设备仅访问指定API、隔离设备间横向流量、限速防滥用。专网网关防火墙配合RADIUS认证，实现基于用户/设备的差异化策略。工业物联网等场景需满足等保、工控安全合规。
典型应用场景
企业网络边界、物联网平台接入层、专网网关、云安全组、车联网TSP平台等。达希物联云平台在接入层部署防火墙策略，保障设备与业务安全隔离。
达希物联云平台在接入层部署防火墙策略，保障物联网设备与企业应用间的安全隔离。配合VPDN、专用APN，达希物联可为客户构建从终端到云端的纵深防御体系。达希物联支持按客户需求配置访问控制规则，满足工业物联网等场景的安全合规要求。
状态表老化若短于心跳，连接会被拆开
状态检测防火墙记住谁先发起了连接，只允许属于这张表的回程包通过。表项在空闲一段时间后删除。物联网设备的心跳若长于这个空闲时间，下一次上报会被当成新连接；若策略只允许已建立连接的回程、不允许设备主动发起，上报直接被丢。症状是刚连上正常，静默一段时间后只有重启设备才能恢复。判断时把心跳间隔和防火墙的会话超时放在一起比，超时必须长于心跳，并短于业务允许的资源占用。
有的设备用一条连接等下行命令，自己很少发包。这种连接在防火墙看来一直空闲。要么让设备在超时前发送保活，要么把该端口的会话超时单独加长。全局把所有会话都加长，会让已经结束的连接占着表项，表满之后新设备无法进入。
只放开端口、不限制方向，设备会互相扫描
五元组规则至少要写明源、目的、端口和发起方向。只写“允许某端口”时，同一专网里的设备可以互相访问这个端口。一只被攻破的传感器就能扫描邻居。物联网平台的正确方向通常是设备访问平台指定地址，平台不应被设备用来访问任意内网。横向流量应默认拒绝，需要设备互访时再按对等地址单独放开。
应用识别可以认出消息协议，但识别失败时策略要有明确的默认动作。默认放行会让未知协议绕过端口限制；默认拒绝则要求每一种固件上报都先被识别到。升级协议或改了端口之后，应先在测试区验证识别规则，再推进到生产区，避免整批设备同时被默认拒绝。
地址转换会把入站回调挡在网关外面
网络地址转换让许多设备共享少量公网地址，外网看不到设备的真实地址。平台若在设备没有先发包的情况下主动回连，转换表里没有对应项，回连到不了设备。需要下行时，应让设备保持由内向外的连接，或使用平台侧的推送通道，而不是让平台去拨设备的私网地址。把转换后的公网地址写进设备回调地址，地址一变，回调就失效。
达希物联的专网和云平台接入层都可以放置访问控制，但两边的对象不同。卡与专网网关决定设备能否进入企业地址段，云平台防火墙决定设备能调用哪些接口。卡已经拿到内网地址、接口仍被拒绝，应查平台或企业防火墙上的目的端口和方向，而不是复机。策略变更应保留拒绝日志，只看“网络不通”无法区分是没路由还是被规则丢掉。
丢弃日志的时刻往往晚于业务已经超时
防火墙丢包不一定立刻通知发送方。设备要等到自己的重传超时才认为失败，日志里的丢弃时间因而早于应用告警，两者相差一个超时周期。对账时要把这段差算进去，否则会以为不是同一次故障。日志至少要有源地址、目的地址、端口、协议和命中的规则名。只有“已丢弃”三个字，无法判断是方向错了、状态表没有表项，还是应用识别没有认出协议。
规则在会话进行中被修改，已有表项可能继续放行到老化，新连接则立即受新规则约束。于是同一台设备旧连接正常、重连后失败，看起来像间歇故障。变更后应清掉相关表项或等待老化，再做验收。达希物联专网网关和云平台上的策略变更都要留下规则版本。卡的地址如果是动态的，规则却写成了上一轮的地址，重连后必然被拒绝。地址变化时应按设备身份更新规则，而不是把整个网段永久放开。