下一代防火墙(NGFW)是当前安全市场的热点。除拥有传统防火墙的所有功能外，NGFW拥有6000+应用识别，结合IPS进行一体化防御，并集成了URL、AV等安全功能。下一代墙USG6000与传统的USG2000、USG5000最显著的区别在于性能。通常，传统UTM开启IPS(入侵防御功能)后性能下降到原有的20%~30%，再开启AV(防病毒)功能后性能下降到仅剩10%。而下一代防火墙在开启IPS和AV功能后，性能下降不超过50%，性能依旧，这得益于华为智能感知引擎--IAE。

　　高性能一体化框架

　　IAE是通过从多个网关类产品的内容安全处理机制中抽象出的稳定的一体化的内容安全业务处理框架，集成各种安全知识库，可以方便配套各网关产品进行内容安全业务的定制、扩展、集成和快速发布。

　　安全特性或组件的集合，配合各种安全知识库，以及和安全智能中心实时联动，是方便各种产品在其上进行内容安全业务的定制、扩展、集成和快速发布的安全服务程序。

　　一次解析，并行高效处理

　　传统的UTM，各个安全引擎采用串行方式对网络数据报文进行解析处理，这种架构实现简单，但是对于每个安全的处理过程，都必须经过上层的数据报文处理过后，再次进行重复的解码、解析，所以在面临这个开启IPS、URL过滤、AV防毒等功能的时候，防火墙的性能下降得非常厉害，达到了性能很差的一个境地。

　　面对这种情况，是否采用一种高效的处理方式，进行一次解析，并行处理。使得整个处理引擎不用进行重复的解析，提高设备的处理能力。

　　华为NGFW采用全新的设计思路，采用智能感知引擎(IAE)，能够对网络报文统一在协议解码这一层次做统一的解析，把解析出来的数据，分成协议内容、URL和文件内容分别送给三个不同的处理流程分支，并行处理。每个不同模块的多个进程上进行融合处理，通过这种把多个安全业务进行统一处理的方式，来提高检测的效率，减少重复的解析、匹配和检查，最后把各个处理分支的处理请求结果送到响应模块，响应根据处理动作的优先级别进行统一的处理，性能下降在整体性能的50%以下，达到了性能依旧的效果。

　　体验IAE业务感知能力

　　随着互联网、新兴业务的高速发展，传统防火墙一般基于三层和四层的特征来设置策略，例如基于IP地址和端口，传统防火墙很难将其与web浏览区分开来，另外还有很多应用是基于动态端口的，传统防火墙便是没有合理的处理机制去解决这个难题。

　　为了解决这个问题，IAE的SA(Service Awareness)除了支持传统的普通报文检测，还增加了应用层分析，识别各种应用及其内容，从而确定报文所承载的真正业务。IAE SA特性负责OSI模型4层以上的协议类型和应用类型的识别。协议类型例如HTTP、FTP、SMTP等标准的或者私有的应用层协议类型，应用类型例如Skype、QQ、迅雷等应用软件。IAE根据SA识别出来的协议类型进行解码，根据应用类型设置安全策略，使得华为NGFW能够更加关注网络的感知、智能管理，应用防御高性能等方面。

　　小结

　　传统防火墙产品只在4层网络防护时保持高性能，若是开启L4-L7的功能，如入侵防御、防病毒、URL过滤等功能，则性能下降严重，下降到设备性能的10%。随着网络威胁的多样化、隐形化、网络的边界的模糊化，网络的智能化防御以及在开启应用层防护功能时真实性能将是一个很重要的竞争点。因此下一代墙只是具备安全功能是远远不够的，必须保证在开启应用层防御功能时发挥重要的作用。采用智能感知引擎(IAE)技术和硬件加速，实现高性能的应用层全威胁防御。