家用防火墙
部署在家庭网络入口的安全防护硬件，过滤异常流量保护隐私数据不被窃取
时间轴 (近 90 天)
家用场景选择硬件防火墙需确认吞吐量≥千兆线速（≥940Mbps），否则开启IPS/DPI深度检测后实际带宽会腰斩到300-500Mbps，跑不满千兆宽带
非专业用户应优先选择内置UTM一体机（防火墙+IPS+防病毒+URL过滤集成）而非纯策略防火墙，前者依赖厂商云端威胁库自动更新，无需手动写iptables规则
威胁特征库（IPS/IDS签名）需确认更新频率：商用级每日更新，消费级多为每周；选择需订阅制威胁情报的产品要注意首年免费、次年是否强制续费才能保持检测能力
IDS（入侵检测，只报警）与IPS（入侵防御，会阻断）区别关键：家庭若无人盯监控日志，务必选支持IPS自动阻断的型号，纯IDS对普通家庭等于摆设
入侵检测能力越强（全流量DPI深度包检测）越吃CPU，与吞吐量性能直接冲突：同价位设备要么高检测低带宽，要么高带宽浅检测，家庭日常上网选后者、有暴露服务器选前者
与路由器集成度越高（防火墙路由二合一）越省事，但故障时防火墙和路由同时失效，且防护能力通常弱于独立旁路部署的专业防火墙；追求安全隔离应选独立设备串联
规则越丰富、检测越深越安全，但误报（false positive）会导致正常应用/游戏/视频会议被阻断，家用需要产品支持一键白名单和应用识别，否则天天要排查断网
家里只有手机电脑、不跑任何对外服务（无NAS/无端口映射/无自建服务器）的用户，不建议单独购买硬件防火墙，现代路由器自带SPI防火墙已足够，加装反而徒增功耗和运维
不建议非技术用户购买需自行安装pfSense/OPNsense的软路由/裸机方案，虽然免费开源功能强，但规则配置、更新维护门槛极高，配错反而造成安全漏洞
不建议依赖需长期付费订阅威胁库的低价硬件，此类设备订阅到期后IPS/防病毒功能关闭，退化为普通路由器，总持有成本反超一次性授权的产品
还有 1 条时间轴事件
全部知识事实 (11)
家用场景选择硬件防火墙需确认吞吐量≥千兆线速（≥940Mbps），否则开启IPS/DPI深度检测后实际带宽会腰斩到300-500Mbps，跑不满千兆宽带
88%待验证IDS（入侵检测，只报警）与IPS（入侵防御，会阻断）区别关键：家庭若无人盯监控日志，务必选支持IPS自动阻断的型号，纯IDS对普通家庭等于摆设
86%待验证不建议非技术用户购买需自行安装pfSense/OPNsense的软路由/裸机方案，虽然免费开源功能强，但规则配置、更新维护门槛极高，配错反而造成安全漏洞
85%待验证非专业用户应优先选择内置UTM一体机（防火墙+IPS+防病毒+URL过滤集成）而非纯策略防火墙，前者依赖厂商云端威胁库自动更新，无需手动写iptables规则
85%待验证入侵检测能力越强（全流量DPI深度包检测）越吃CPU，与吞吐量性能直接冲突：同价位设备要么高检测低带宽，要么高带宽浅检测，家庭日常上网选后者、有暴露服务器选前者
84%待验证家庭网络安全升级标准路径：第一步启用现有路由器SPI防火墙+关闭UPnP+改默认密码；第二步智能家居设备划分独立VLAN/访客网络隔离；第三步暴露公网服务再上带IPS的硬件防火墙旁路部署
83%待验证规则越丰富、检测越深越安全，但误报（false positive）会导致正常应用/游戏/视频会议被阻断，家用需要产品支持一键白名单和应用识别，否则天天要排查断网
83%待验证家里只有手机电脑、不跑任何对外服务（无NAS/无端口映射/无自建服务器）的用户，不建议单独购买硬件防火墙，现代路由器自带SPI防火墙已足够，加装反而徒增功耗和运维
82%待验证威胁特征库（IPS/IDS签名）需确认更新频率：商用级每日更新，消费级多为每周；选择需订阅制威胁情报的产品要注意首年免费、次年是否强制续费才能保持检测能力
82%待验证与路由器集成度越高（防火墙路由二合一）越省事，但故障时防火墙和路由同时失效，且防护能力通常弱于独立旁路部署的专业防火墙；追求安全隔离应选独立设备串联
80%待验证不建议依赖需长期付费订阅威胁库的低价硬件，此类设备订阅到期后IPS/防病毒功能关闭，退化为普通路由器，总持有成本反超一次性授权的产品
78%