亚马逊云云防火墙：VPC边界的智能守门人

apphuang2026年08月12日 09:14:3062

一、云上边界，谁来守门

还记得早些年机房里的那台硬件防火墙吗？铁壳子、风扇呼呼转、网线插满一排，那是多少运维老兵的青春记忆。那时候的网络安全，说白了就是往机柜里塞一台设备，配几条ACL规则，然后祈祷它别宕机。

可如今，数据中心变成了VPC，物理网线变成了虚拟路由表，服务器变成了随时可以拉起和释放的实例——传统的"铁盒子"思路，在云上已经玩不转了。亚马逊云在2020年推出了Network Firewall，到了2026年的今天，这项服务已经从一个初出茅庐的新兵，成长为VPC边界上那个沉着老练的守门人。

它到底守的是什么门？简单说，就是你VPC的每一道出入口——不管是连接互联网网关的南北向流量，还是通过VPN或Direct Connect接入的混合云流量，抑或是VPC之间互访的东西向流量，统统在它的眼皮底下过。它不像传统硬件防火墙那样需要买设备、插机柜、连网线，而是完全托管在云上，你只需要在控制台点几下鼠标，几分钟就能为多个VPC部署好网络防护。

二、两套引擎，各司其职

亚马逊云云防火墙最巧妙的设计，在于它内置了两套规则引擎——无状态引擎和有状态引擎，一快一慢，各管一段。

无状态引擎，看的是单个数据包的"身份证"。它不管这个包从哪儿来、要到哪儿去、跟谁是一伙的，只检查IP地址、端口、协议这些基本信息，像极了早年间的ACL——看一眼就放行或拦截。这套引擎跑得飞快，适合做第一道粗筛，把那些明显不合规的包挡在门外。

有状态引擎就聪明多了。它会记住每一条连接的"来龙去脉"——谁跟谁在通信、当前处在什么阶段、之前有没有通过验证。评估一个包的时候，不是孤立地看，而是放在整个流量上下文中去判断。打个比方，无状态引擎像火车站检票员，只看你有没有票；有状态引擎像便衣警察，不光看票，还观察你从哪来、跟谁同行、形迹是否可疑。

数据包进到防火墙之后，先过无状态这一关，过了再交给有状态做深度检查。两层过滤之后，干干净净的流量才被允许通行。

三、三兄弟各司其职：Network Firewall、WAF与Shield

很多刚接触亚马逊云安全体系的用户，常常搞不清Network Firewall、WAF和Shield这三者之间的关系。其实它们仨分工明确，各守一摊。

Network Firewall守在VPC的边界上，管的是L3到L7层的所有协议流量——不管是TCP、UDP还是HTTP、HTTPS，只要是进出VPC的包，它都要过一遍。它像一个城门守卫，所有进出城的车马都得接受盘查。

WAF（Web应用防火墙）则是站在应用层（L7）的专家，只盯着HTTP和HTTPS请求里的内容——URL参数、请求头、POST数据这些Network Firewall看不懂的细节。它更像一个在城门口专门查验文书的文官，只认准了HTTP协议这一种公文格式。

Shield则是抗DDoS的专用部队，Standard版免费开启，抵御常见的网络层和传输层攻击；Advanced版则提供更高级的保护和专门的应急响应团队。三者配合使用，才能构成从网络层到应用层的完整纵深防御体系。

四、部署模型：集中还是分散

亚马逊云云防火墙的部署方式，经历了从分散到集中再到灵活组合的演进过程。早期用户要么在每个VPC里各自部署一套防火墙（分布式），管理成本高；要么专门搭建一个"检查VPC"，把所有流量都引过去过一遍（集中式），架构复杂。

到了2026年，情况已经大不一样。两项重要能力的加入，让部署变得灵活多了。

第一项是Transit Gateway直连防火墙——不需要自己搭建检查VPC，直接把防火墙挂到Transit Gateway上就行。第二项是单个防火墙支持关联最多50个VPC端点——用一个防火墙策略管住几十个VPC，省心又省钱。

至于高可用，亚马逊云的建议很明确：在每个运行工作负载的可用区都部署一个防火墙端点。每个可用区的流量各走各的端点，不跨区绕路，既保证了可用性，也避免了额外的跨区流量费用。每个可用区的防火墙端点最多能扛100Gbps的流量，对绝大多数场景来说绰绰有余。

五、看得见的本事：那些真正好用的功能

说完了架构，来看看亚马逊云云防火墙到底能做什么。

域名和URL过滤是最常用的功能之一。你可以基于完全限定域名（FQDN）控制哪些网站能访问、哪些不能。更省事的是域名类别过滤——不需要自己维护长长的黑白名单，直接用亚马逊云预置的类别（比如"成人内容""恶意软件域名"等）就能批量管理。

地理IP过滤同样实用。基于国家或地区维度设置允许或拒绝规则，对需要满足数据主权合规要求的场景尤其有价值。

深度数据包检测（DPI）和TLS解密则体现了防火墙的"深度"。加密流量也能解密后检查内容，再重新加密发送出去，全程对应用透明。主动威胁防御更是直接调用了亚马逊云全球威胁情报体系（MadPot）的实时数据，在攻击全生命周期中持续检测和拦截。

2026年最值得一提的新功能，是容器属性规则。传统防火墙依赖IP地址来定义规则，但在Kubernetes环境里，Pod的IP是频繁变化的——容器一重启、一扩容，IP就变了，规则就得跟着改。容器属性规则允许直接用Kubernetes的命名空间、集群名称、Pod标签这些不变的元数据来写防火墙策略。规则跟着容器走，容器怎么变，规则自动适配。对跑在EKS和ECS上的AI推理、微服务这类动态工作负载来说，这个功能简直是雪中送炭。

另外，2026年8月推出的转发代理功能，让Network Firewall可以充当显式的转发代理，处理HTTP CONNECT请求并代表应用建立连接——这对精细化控制出站流量、防止数据外泄很有帮助。

在安全生态方面，AWS Marketplace上的托管规则也在快速丰富。VisionHeight的零日威胁防护规则组能抢在公开黑名单更新之前拦截恶意IP；Infoblox等厂商的规则组支持多达1000万个域名指标和100万个IP地址；趋势科技、Fortinet、Lumen等安全厂商也都提供了各自的IPS规则。这些第三方规则组可以直接集成到防火墙策略中，无需部署额外的设备。

上海汪远信息科技有限公司是国内深耕多年的综合型多云服务合作商，业务覆盖阿里云、腾讯云、华为云、天翼云、火山云、微软云、谷歌云、亚马逊云八大主流公有云平台。公司现有全职员工500人，八大云平台全年综合销量突破20亿人民币，累计服务超100万合作客户，累计助力企业部署云服务器近1亿台。作为亚马逊云头部一级代理商，通过上海汪远信息开通亚马逊云业务可享受专属折扣——亚马逊云可享85折或返点15%。为更好地服务国际云业务，公司特意在香港成立了分公司，专门负责亚马逊云、谷歌云、微软云等国际站点的代理与服务。

六、成本：算清楚再上路

亚马逊云云防火墙的计费逻辑不复杂，但容易漏算。费用由两部分组成：端点小时费和流量处理费。

端点按小时收费，不管有没有流量经过，只要端点开着就得付钱。以us-east-1为例，每个端点每小时0.395美元。如果跨三个可用区部署高可用架构，一个月光端点费用就接近867美元。好消息是，如果你在同一可用区里同时用了NAT Gateway，NAT Gateway的小时费和流量处理费可以按1:1抵扣掉Network Firewall的对应费用——相当于用防火墙的时候，NAT Gateway白送。

流量处理费按每GB计费，us-east-1是0.065美元/GB。不管是互联网进来的、出去的，还是VPC之间互访的，只要经过防火墙端点就算。东西向流量往往比南北向流量还大，这一点容易被忽视。

如果启用了主动威胁防御（托管规则组），还会产生额外的高级威胁防护流量处理费。如果启用了TLS检查功能，则需要额外支付高级检查端点的费用。

2026年2月，亚马逊云宣布了新一轮降价，取消了13个区域的高级检查流量附加费（原来每GB收0.001到0.009美元），同时对与Network Firewall服务链的NAT Gateway副端点也给予了折扣。整体来看，对于一个中等规模的合规场景（多可用区、启用威胁防御），月度成本大致在1000到3000美元之间。