《魔力象限：下一代防火墙将成为主流（一）》初步介绍了下一代防火墙的流行趋势，本文将指出下一代防火墙潜在的实现问题。

　　下一代防火墙：潜在的实现问题

　　根据Gartner公司Young的观点，下一代防火墙执行的应用层分析极耗费计算能力，所以企业在部署这些新型设备时必须仔细斟酌。例如，许多统一威胁管理（UTM）供应商将他们的设备称为下一代防火墙，但是企业很快发现这些设备更适合小型公司使用。当他们开启全部特性，包括应用程序检测，UTM设备就会成为严重的瓶颈。

　　Young说：“我们已经发现规模问题，大多数都是因为开启了那些不是面向企业设计的特性。我们急需面向企业的UTM。下一代防火墙还有许多其他的性能问题未得到解决。如果只是硬件整合，将大量的元件强加到一个设备上，那么这就是问题的根源，它的性能会很差。”

　　但是，Young强调，许多防火墙供应商现在已经有强大的企业级下一代防火墙产品。各个供应商相互争论，认为的产品是最好的，但防火墙用户必须自己评估这些产品，寻找最适合他们环境的产品。

　　下一代防火墙还给运营团队带来一个文化转变。防火墙管理员长年都在规定处理端口和IP地址的规则，下一代防火墙将迫使他们离开自己经营多年的乐土。

　　首都地区医院的Starry说：“它植入了防火墙概念。您编写的是基于应用程序的规则，而非基于端口和IP地址的。防火墙管理员适应基于应用程序的规则有一定的难度。但是，您能够掌握这两种方法，也必须掌握这两种方法。”

　　下一代防火墙：不要局限于精细应用程序管理

　　加州大学欧文分校的系统管理员Steve Gilmer指出，应用程序可见性是很重要的，但是在选择下一代防火墙时，这并非是他唯一的关注点。

　　Gilmer在大学安装WatchGuard防火墙，以保护课堂网络。他介绍说，他曾经认真地研究每个下一代防火墙是如何进行HTTPS流量解密和检测。他认为HTTPS是一个重要的恶意软件威胁目标，但是大多数防火墙供应商不推荐对HTTPS进行解密和检测。相反，他们认为他们的产品能够检测出所有在网络内部发起攻击的恶意软件，允许网络安全管理员在网络中隔离感染病毒的机器。

　　Gilmer说：“显然，恶意软件已经进入网络，这就是问题所在。”所以Gilmer研究了各个防火墙供应商是如何检测恶意软件的。许多供应商都通过第三方供应商产品来实现这个功能，但是很难评估每一个供应商的优劣。