北信源第二代防火墙
立即咨询
首页
识别维度
用户应用地址时间
协议变量
六百种以上
流控层级
四级规则嵌套
部署模式
透明路由与旁路
⚠️行业痛点与挑战
🔍只按端口管不住
视频与网盘都走加密端口，按端口放行等于全放，限速也限不到具体应用，出口带宽还是被占满，扩容只解决一时。
⏱️不知道是谁在用
出口流量涨了只知道总带宽满，哪个部门、哪个账号占用的说不清，找人也找不到依据，最后只能整体限速，业务部门也不认。
🧠带宽被非业务挤占
开视频会时画面卡顿，一查是几个终端在下载，临时拔网线解决不了根本问题，第二天照旧，会议还得改期，扩容申请也不好批。
🔗认证与策略两张皮
上网认证一套系统，防火墙策略另一套，同一个人在两边身份对不上，按人下发策略落不了地，只能退回按地址分组。
📉分片报文绕过检测
攻击者把载荷拆进分片，简单匹配看不到内容，日志里只剩一条会话记录，等于没检出，值班也很难判断，事后查不出细节。
🚧策略越加越乱
几年下来规则上千条，谁也不敢删，命中计数也没人看，排障时不敢动任何一条，只能继续往上叠，性能也被慢慢拖下去。
🎯产品定位与核心价值
它把上网身份、应用识别与带宽配额挂到同一条策略上，让出口治理从按端口放行变成按人与应用分配，限速也有了可解释的依据。
💡可靠交付保障
应用层防火墙方案的实施配套包含培训与知识转移，团队可持续自主运营。
🔁灵活扩展路径
业务增长带来的出口应用识别与限速系统新需求，在既有架构上按模块扩展承接。
🧷能力可度量
应用层防火墙方案的各项输出均有可核验的记录，出口应用识别与限速系统的成效不依赖主观判断。
⚙️核心能力详解
🧮用户身份识别
支持地址与物理地址绑定、Radius、LDAP 与门户认证，把地址映射到具体账号，策略按人下发，人员调岗后权限自动跟随。
🧱应用识别
综合单包特征、多包关联与特征学习识别应用，覆盖主流应用、高风险应用与移动热点类应用，识别结果可按会话下钻。
⚡深度包检测
对分片做重组、按协议还原报文内容，提取六百种以上协议变量参与匹配，减少拆分绕过，也提高识别准确度。
📊应用层策略
按用户、应用、地址与时间组合下发允许、阻断、限速动作，策略支持排序与命中统计，改前可模拟评估影响范围。
🌐带宽管理
支持四级流控规则嵌套，按应用与用户分配保证带宽与上限带宽，保障关键业务的可用性，配额可按部门拆分。
🔧内容与病毒过滤
对下载文件与邮件附件做病毒扫描，按网址分类阻断不良站点与非法链接的访问，命中记录可按终端汇总。
📐技术规格
| 产品名称 | 第二代防火墙 |
| 所属厂商 | 北信源 |
| 产品分类 | 网络安全·应用层防火墙方案 |
| 核心能力 | 用户身份识别、应用识别、深度包检测 |
| 应用场景 | 办公区出口带宽治理、访客网络准入、研发区代码外传管控 |
| 产品定位 | 第二代防火墙·网络安全领域的产品形态与应用边界 |
| 能力主线 | 应用层防火墙方案·第二代防火墙的能力主线，配套上网行为管理系统形成完整链路 |
| 部署方式 | 支持云端与私有化等多种交付形态（以官方为准） |
| 适用对象 | 面向应用层防火墙方案相关业务场景的企业客户 |
🏭典型应用场景
✈️办公区出口带宽治理
网络管理员按部门与应用看流量构成，给视频会议设保证带宽，把下载与网盘类应用压到上限，观察一周后再调整配额，避免一刀切。配额调整要留记录，避免部门之间互相攀比。
🚗访客网络准入
访客连上无线后走门户认证，只放通网页与邮件，禁止访问内网段，认证记录与终端物理地址一并留存，离场后会话自动失效。访客账号按天失效，重连需重新认证。
🔋研发区代码外传管控
研发部门按用户组放行代码托管与制品库，阻断个人网盘与聊天工具的大文件上传，命中记录每周交主管复核，异常账号单独约谈。命中记录要能按人导出，便于主管核对。
🌊车间终端白名单
车间终端只允许访问制造执行系统与打印服务，其余应用一律阻断，避免工位机装娱乐软件影响生产网，也减少病毒横向传播。白名单由工艺与信息部门共同确认后下发。
🏗️分支上网行为规范
分支按总部模板下发应用策略，上班时段限制娱乐与购物类应用，午休时段放宽，减少人工申诉，策略版本由总部统一维护。申诉入口要留在门户页面上，处理时限写清。
🚢考试培训期间限流
考试期间把考试系统列入保证带宽，其余应用降级，结束后恢复原策略，切换以策略版本为单位完成，不影响日常配置。策略版本保留两个历史版本，便于回退。
🏆典型应用案例
📦
先看七天再动策略
新设备上线先只记录不阻断，导出应用与用户两个维度的流量排名，和部门确认后再收紧。口径看误阻断工单数量与投诉处理时长。投诉要按应用归类，避免同一问题反复出现却没人认领。
🛫
认证先接目录服务
把目录服务接进来，用域账号做策略主体，避免按地址分组；地址变动频繁的办公区尤其需要。口径看策略主体中账号占比与因地址变更引发的工单数。地址分组只保留给打印机等无法认证的终端。
🏭
限速按应用分档
给每类应用设保证与上限两档带宽，先压下载与视频，观察关键业务时延后再调整。口径看高峰时段关键应用的平均时延与丢包率。配额调整前先看一周的时延曲线，不要凭单次卡顿决策。
📦
策略清理做成季度动作
每季度导出零命中策略，交归属人确认后下线，保留导出记录以便回溯。口径看策略条数、零命中占比与因清理引发的故障次数。清理前先做一次策略模拟，确认没有隐式依赖。清理记录保留两个季度。
🔌接入方式
🖥️与目录服务对接
通过 LDAP 或 AD 同步组织与账号，认证走 Radius 或门户，账号变更后策略主体自动跟随，不需要逐条改规则；同步按小时跑，失败时回落到本地账号，保证管理员还能登录。
☁️与上网行为管理和审计
应用与会话日志外送到上网行为管理或审计系统，按用户维度合并上网记录，满足留存与检索要求，导出按部门分权限。导出权限按部门分级，敏感记录单独审批。
🤝与终端管理系统联动
终端管理系统提供在线状态与合规标签，防火墙按标签放行，未装客户端或补丁不合规的终端限制访问范围，修复后自动恢复。标签同步失败时按未合规处理。
🧩生态协同与能力底座
🧩渠道与集成商
由渠道做出口改造与策略梳理，厂商提供应用特征库与配置模板，交付含策略清单与带宽配额表，验收按业务系统逐个确认，缺项当场补齐。
🔗特征库与情报
应用特征、网址分类与病毒特征依赖持续更新，需要约定更新频率与离线升级方式，内网环境尤其要考虑，升级失败要有回退包。离线升级包要留回退版本。
🌱网络设备厂商
与交换机、路由器的镜像口和聚合口配合部署，透明模式下的生成树与环路问题要与网络厂商一起确认，避免接入即环路。环路问题要在试接阶段暴露。
🚀产品差异化特点
🌟身份与防护一次匹配
用户认证与应用层检测在同一次匹配中完成，不需要先认证再跳到另一个策略引擎，减少策略之间的缝隙，时延也更可控。策略不必在两个引擎之间重复维护。
🆚分片重组后再匹配
先做 IP 与 TCP 分片重组，再还原应用层内容，提取协议变量参与匹配；拆分报文不容易绕过，重组深度可按链路质量调整，兼顾转发时延与识别准确性。
🧬流控四级嵌套
带宽策略支持四级嵌套，能同时按部门、应用、地址与时段分配，不必为每个组合单独建规则；策略条数增长可控，便于长期维护，规则条数长期可控。
✅最佳实践
📝
透明接入先确认环路
透明模式接入要确认生成树状态与旁路设备位置，接错口会形成环路，割接前画清拓扑与流量方向，并在低峰时段试接。试接安排在业务低峰，接错能快速恢复。
🔄
认证逃生策略先定
认证服务故障时的放行范围要提前定好并演练，否则一次目录服务重启就会让整层楼断网，逃生策略也要有人工开关。逃生开关要交给值班组长保管。
🎯
应用识别留观察期
直接阻断容易误伤，先记录一到两周，把识别错误的应用放进白名单，再开阻断动作；例外条目要设复核时间，避免长期堆积，复核不通过就下线。
📈
带宽别一次压到底
限速过狠会引发大量投诉，按保证与上限分档，先压最占带宽的两三类应用；配额按部门拆分到组，每次调整留记录便于回溯，避免一刀切引发投诉。
🗺️企业落地路径
1️⃣
流量画像
上线后先只观察不拦截，导出应用与用户两维度的流量排名，确定管控优先级，结果交业务部门确认后再排策略，分批实施。
2️⃣
身份接入
对接目录服务与认证，把策略主体从地址换成账号，完成用户分组与权限映射；先在一个楼层试点，两周后再扩到其他楼层。
3️⃣
策略与限速
按优先级下发应用策略与带宽配额，先覆盖出口，再扩到区域之间；每批上线后观察三天再推下一批，异常就回退，回退操作提前写成卡片。
4️⃣
复核与清理
按月复核命中与投诉，季度清理零命中策略形成变更记录，作为下一次调整的依据；清理前做一次策略模拟，模拟结果留档备查，未通过就暂缓。
💬常见问题 FAQ
识别不准怎么办
先看流量是否走了加密隧道，再看特征库版本；自研应用可以补自定义特征，抓包确认握手与首包特征后再写规则，写完先在镜像流量上验证。自定义特征要单独编号。
认证断了会不会断网
认证服务不可达时按逃生策略处理，通常放通已认证会话、新会话降级到默认组；逃生范围要提前设定并演练，写进变更单由值班组长保管开关。
旁路模式能做管控吗
旁路只能镜像分析，不能阻断；要做带宽与阻断必须串接或透明接入，旁路适合先做识别与流量画像，再决定串接位置。旁路只适合做画像，不能当作管控手段。
加密流量怎么识别
可依据证书、域名与握手特征做识别，无法解密时按访问目标与行为特征判断，识别率低于明文场景，需要接受这个边界并在策略上留余量。
策略上千条会不会拖慢
策略按顺序匹配，命中靠前的规则影响性能；建议按业务分区拆分策略集，并定期清理零命中条目，把常用规则前置。策略集拆分要按业务分区，不要按部门。
双机切换业务会断吗
主备切换依赖会话同步，长连接业务可能重建；建议关键业务配长连接保活，并在维护窗口演练切换，记录切换耗时。切换耗时要在演练中实测。耗时超过业务容忍就改单机。
能不能只对某些人限速
可以，策略主体支持用户组，带宽策略与用户组绑定；临时放开用策略版本切换，避免逐条改规则，切换前通知值班，事后可回滚，回滚后核对生效范围。
日志能查到具体访问吗
会话日志含用户、应用、目的地址与动作，网址级记录需要开启内容日志；存储量按开启范围评估，建议只对重点用户组开启，其余按会话留存。
📄信息来源与免责声明
本页面内容由云巴巴整理，产品信息参考北信源官方公开资料，包括第二代防火墙的官方文档与公开介绍页面。
页面中涉及的应用层防火墙方案等功能描述基于官方公开信息整理，如有更新请以北信源官方最新发布为依据。
云巴巴作为企业级软件与 AI 产品选型与服务平台，可协助企业进行第二代防火墙及同类产品的选型咨询与接入支持。
产品推荐
匠人科技CREAMS楼宇资产管理系统是一款专业的楼宇管理软件，提供全面的资产数据管理、租金核算、合同管理、财务分析等功能。系统采用云架构，支持移动访问，实现资产状况实时监控和高效运营。通过智能报表和预警机制，助力企业优化资产配置，提升管理效率和决策质量。
Authing身份云医药医械行业身份认证管理解决方案，统一身份认证管理平台，打造企业全场景身份基础设施。细粒度权限模型，从源头保护信息资产安全。Authing 竭力为医药医械打通网络、设备、身份全链路的安全防护。基于 Authing可轻量化、自动化等身份治理问题，大幅度提升合规、效率、安全能力。
腾讯云-车主云SaaS产品解决方案，以企业微信应用为触点，连接数十万车服门店，建立一个商家自主运营的门店及会员管理营销系统化工具，同时借助腾讯生态和能力，实现车服门店的持续付费意识培养，形成良性商业模式。
数字化社区
视频
文章
