AWS Network Firewall
对 VPC 流量进行有状态检测，提供入侵防护和域名过滤的托管网络防火墙服务
概述
AWS Network Firewall 是一项对 VPC 内网络流量进行精细控制的托管防火墙服务。它提供安全组和 NACL 无法实现的高级流量检测功能（有状态检测、入侵检测与防护、基于域名的过滤、TLS 检测）。采用 Suricata 兼容的规则引擎，大多数 Suricata 规则无需修改即可使用。可与 Transit Gateway 和 Gateway Load Balancer 结合使用，作为多 VPC 环境的集中式防火墙运行。
无状态规则与有状态规则的两级架构
Network Firewall 的规则由无状态规则组和有状态规则组两种类型构成。无状态规则基于 IP 地址、端口和协议进行简单过滤，行为类似于 NACL。有状态规则跟踪连接状态，支持 Suricata 兼容的 5 元组规则、域名列表规则和 Suricata IPS 规则三种格式。据开发者指南，有状态规则与 Suricata 兼容，大多数 Suricata 规则无需修改，但 Lua 脚本和阈值设置等部分功能不受支持。在 Azure Firewall 中，IDPS 是 Premium SKU 的功能，Microsoft 的文档说明通过按签名切换模式 (禁用、警报、警报并拒绝) 进行调整 (截至 2026 年 10 月)。在实践中，可以采用两级架构：先用无状态规则丢弃明显不需要的流量 (已知恶意 IP 范围)，再用有状态规则对剩余流量进行详细检测。
域名过滤与 TLS 检测
Network Firewall 的域名列表规则可用于仅允许与特定域名进行 HTTP/HTTPS 通信。适用于限制对外部 API 的通信或阻止恶意软件的 C2 (Command and Control) 通信。HTTP 通信通过检查 Host 头部判定域名，HTTPS 通信通过检查 TLS 的 SNI (Server Name Indication) 字段判定域名。对出站流量启用 TLS 检测后可检查加密流量的内容，但由于使用 ACM (AWS Certificate Manager) 管理的 CA 证书对通信进行解密和重新加密，需要在客户端配置信任该 CA 证书。
集中检测 VPC 与 Firewall Manager 的组织级部署
Network Firewall 的部署模式之一是集中检测 VPC。通过 Transit Gateway 路由将所有 VPC 的互联网流量汇聚到检测 VPC，由 Network Firewall 统一检测。这种架构无需在每个 VPC 中单独部署防火墙，实现了规则的集中管理。结合 Firewall Manager 可以将防火墙策略应用于 Organizations 的整个组织或部分账户和 VPC，在分布式管理模型中，Firewall Manager 会为策略范围内的每个账户和 VPC 创建防火墙并部署防火墙端点。成本方面需注意，防火墙端点需要在每个可用区创建，3 可用区架构会产生 3 个端点的固定费用。加上流量处理的按量计费，在处理大量流量的环境中成本不可忽视。如果安全组和 NACL 能满足需求，也可以不引入 Network Firewall。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。