下一代防火墙的概念是五年前提出的，到了今天已经由“过去将来式”转变为“现在进行式”。经过多年的实践，下一代防火墙产品已进入成熟期，在海内外各个行业已经有很多成功的应用。知名咨询机构Gartner在《2014年企业防火墙魔力象限》报告中指出，下一代防火墙已经成为网络防火墙市场的领军产品，并预测2014年企业在边界防火墙的新采购中70%都会选择下一代防火墙。面对这样的市场热潮，各厂商纷纷推出自己的下一代防火墙产品，但在实际的使用中表现却参差不齐。企业在采购中必须擦亮眼睛，重点关注下一代防火墙几个方面的表现。

　　第一，应用识别的数量更多精度更准。应用识别也是下一代防火墙区别与传统防火墙的重要特征，因此，识别数量和精度是判别下一代防火墙优劣最重要的指标之一。首先，应用识别会用于访问控制。安全制度严格的大企业，会基于应用进行访问控制，仅放行必需的应用。例如，仅允许网盘应用的下载，但禁止向网盘上传。这种情况下，识别数量和精度上的不足会直接影响业务。其次，应用识别会用于业务带宽管理和QoS优化。例如，优先转发网页浏览等高优先级应用流量，却限制P2P等流量耗费型应用的应用带宽，将VoIP这类重要的业务流量转向高质量、有保障的链路通道。这些都依赖于应用识别的能力。再次，应用识别的结果还会用于后期的智能联动防护。例如：对Oracle流量进行仅和Oracle相关特定漏洞的IPS防护，从而提升性能、降低误报率。由此看来，应用识别能力有限的下一代防火墙产品防护效果也有限，业界领先的产品的应用识别数量基本在3000以上。

　　第二，功能全面性与应用防护性能兼备。客户在选择产品时常常仅看到功能的全面性，却忽视了开启这些功能后的性能，以至于购买的设备仅能作为传统防火墙使用。这样的下一代防火墙只是徒有其名，真实的能力只是和UTM差不多。下一代防火墙至少应融合IPS的防护，各厂家根据各自的理解还集成了其他更多的功能。IPS是下一代防火墙的重要功能，优秀的下一代防火墙产品开启该功能后整机性能下降不应超过50%。

　　第三，设备更加智能化，成为身边的安全专家。这里说的易用性并不只是界面友好这么简单。下一代防火墙增加了应用识别和IPS等更多功能后变的更加复杂，学习成本急剧增加。而安全设备非常依赖使用者的经验和技能，如果没有部署恰当的安全策略，再好的设备也无法发挥作用。企业通常缺乏专职的安全管理员，没有深厚的安全专业技能就很难做出正确的决策。这就要求下一代防火墙应当更加智能，从一个单纯的策略执行者转变为使用者身边的安全专家，辅助使用者做出决策。

　　当前，很多企业在采购新的安全设备时都在考虑选择下一代防火墙。在可以预见的未来，下一代防火墙将像智能手机取代功能手机一样统治企业防火墙市场。企业需要选择适合自己的下一代防火墙。