家里装WiFi，公司搭网络，谁都想安全一点。防火墙是网络安全的第一道防线，但很多人装了防火墙却没起作用，问题往往出在“部署位置”上。位置不对，防护效果大打折扣，甚至形同虚设。
防火墙该放在路由器前面还是后面？
常见的误区是把防火墙当成普通设备随便接。实际上，最有效的部署方式是把防火墙放在公网入口处，也就是光猫或运营商线路接入之后，路由器之前。这样所有进出网络的数据都得先过防火墙这一关。
举个例子：你家宽带从墙上网口进来，接了个路由器就直接分给手机、电脑。这种情况下，外部攻击一旦突破路由器，内网设备立马暴露。如果在光猫和路由器之间加一层硬件防火墙，恶意扫描和攻击流量就会被提前拦截。
企业网络中的典型部署位置
在公司环境里，网络结构更复杂，防火墙通常部署在三层结构的边界点：外网接入层、核心交换层之间。常见拓扑如下：
Internet > 防火墙 > 核心交换机 > 内部服务器/办公终端这种布局能集中控制出入站流量。比如财务系统的服务器单独划分VLAN，通过防火墙策略限制只有指定IP才能访问，防止内部横向渗透。
内网也要部署防火墙？
不少人觉得防火墙只防外不防内，其实不然。大型网络中，内部不同部门之间也需要隔离。比如研发部的代码服务器，不希望销售部随意访问。这时可以在内网核心交换机后级联一台防火墙，或者启用支持ACL和区域策略的三层交换机模拟防火墙功能。
有些单位用软件防火墙做补充，比如在重要服务器上开启Windows防火墙，设置只允许80、443端口对外开放，其他一律拒绝。这种主机级防护属于“纵深防御”的一部分。
云服务器上的防火墙怎么放？
现在很多人用阿里云、腾讯云，虚拟机直接对外提供服务。这时候物理位置不存在了，但逻辑位置一样讲究。云平台一般提供安全组和网络ACL，相当于虚拟防火墙。
正确做法是：安全组作为第一道过滤，只开放必要的端口（如Web服务开80，SSH开22），并且限制源IP。再配合云防火墙服务，对全流量做深度检测。别图省事把安全组全放开，写着“0.0.0.0/0”，等于大门敞开。
家庭用户也能用的简单方案
不是非得买几千块的防火墙设备。家用场景可以用软路由替代，比如刷了OpenWrt的路由器。它自带防火墙功能，还能自定义规则。
比如设置一条规则，禁止外部访问你的NAS管理页面（5000端口），同时记录异常登录尝试。再配合DDNS，出门也能安全连回家，不怕被扫到。