晚上好，我是老杨。

随着技术的发展，防火墙和路由器很多功能已经重叠，比如路由功能（静态路由/RIP/OSPF/BGP等）、NAT、ACL、DHCP等。

路由器主要用来跑路由协议，防火墙主要侧重安全，其实对两者不存在功能重叠的问题，一起用或者二选一都是可以的。

老杨想问问你，你的网络设计出口，一般选择防火墙还是路由器多？

这个分情况讨论，本篇文章分三点切入，为了照顾萌新，老杨的讲解会从基础开始。

老网工想看答案，可以直接拖到最后。

今日文章阅读福利：《网络设计解决方案》

私信老杨，备注“方案”，前10名粉丝即可获取此份高清版资源。

什么是防火墙？

防火墙，顾名思义，也就是隔离，防火的意思，在网络世界里，防火墙主要起的就是隔离的作用。

我们知道，数据通常在网络空间中的计算机与服务器和路由器之间进行交换，而防火墙存在的目的，就是监视此数据（以数据包的形式发送）并检查是否安全。

防火墙通过确定数据包是否符合已经建立的规则来做到这一点。根据这些规则，数据包被拒绝或接受，从而达到隔离过滤的效果。

编辑切换为居中

添加图片注释，不超过 140 字（可选）

防火墙不但用于防范外网，对企业内网的 DoS 攻击或非法访问等，后来也逐步发展到防范从内部网络向互联网泄露信息、把内部网络作为攻击跳板等行为。

防火墙的本质是安全设备，虽然集成了很多路由功能，但很多路由器高级功能它也无能为力，比如MPLS V.P.N、MPLS TE，或者多业务接入，比如运营商甩过来的是ATM、POS线路。

你有思考过吗，如果不考虑成本，防火墙是否能代替路由器？

如果环境中只有以太网，我个人认为，是可以用防火墙代替路由器的。

毕竟，路由器的路由、NAT等功能，防火墙也是支持的。

如果企业的网络环境较为复杂，比如说，有以太网，还有ppp等传统广域网，那单一的防火墙肯定是不够用的。

什么是路由器？

路由器（Router）是连接因特网中各局域网、广域网的设备，它会根据信道的情况自动选择和设定路由，以最佳路径，按前后顺序发送信号。

简单粗暴来说，路由器就是把同一个IP地址给不同的电脑使用。当某台电脑想要连接网络的时候，会通过路由器，做出地址转换之后，连接到互联网，路由器起的是通信的作用。

路由器可以减少网络混乱。

若没有路由器，广播将转发到每个设备的每个端口，并由每个设备处理。

​

编辑切换为居中

添加图片注释，不超过 140 字（可选）

当广播数量太大时，整个网络都会比较混乱，这时候路由器将网络细分为两个或多个由其连接的较小的网络，并且不允许广播在子网之间传输。

现在的路由器，也集成了部分防火墙的基础安全功能，但重点还是在路由，MPLS V.P.N/TE、广域网优化等还是防火墙无可替代的功能，而且表项更加丰富，能支持超大规模网络。

网络设计中，到底用防火墙还是路由器？

防火墙与路由器都可以提供三层转发功能，路由是天然的防火墙，防火墙具备基本的路由功能。但他们本身是有明显差距的：

防火墙接口之间默认是无法通信的，而路由器接口默认是可以通信的。

大多数的政府，企业的网络基本用防火墙或者安全网关是最好的选择，MPLS，OSPF，BGP这些协议基本都OK。

我们分场景讨论，看看如何选择防火墙和路由器的才是最佳的选择？

01 场景一

一般中小型企业、政府政务外网、中小学等网络出口都会选择防火墙，简单省事，性能要求不高，买一台设备啥功能都有（现在主流都是下一代防火墙，集成防火墙、行为管理、负载均衡、流量控制、*等各种功能）

中小型网络使用防火墙出口较多，拓扑如图所示：

​

编辑切换为居中

添加图片注释，不超过 140 字（可选）

02 场景二

特定行业出口必须选择路由器，比如电子政务内网、法院/检察院内网。

第一，政策要求，必须用路由器。

第二，业务需要，比如电子政务需要跑MPLS V.P.N，防火墙不支持。

第三，为了实现对等通信，比如公安内网里面，要求公安部能够访问到最底层的民警，严禁在网络内部接入防火墙，如果中间加些防火墙，很多流量会被莫名其妙干掉，比如视频会议不通。不过现在部分地区也在接入防火墙。

特定行业/网络 出口必须使用路由器，拓扑如图所示：

​

编辑切换为居中

添加图片注释，不超过 140 字（可选）

03 场景三

大型企业/高校校园网网络出口使用路由器，专门负责路由、NAT功能，也会部署防火墙，专门负责安全功能，各司其职，术业有专攻！（其实很多中小单位也是这种架构，可能防火墙/路由器都是2台冗余，出口多运营商多链路）

大型网络路由器与防火墙并存：

​

编辑切换为居中

添加图片注释，不超过 140 字（可选）

运营商/公安/金融骨干网节点全是路由器，中国电信Chinanet 骨干节点也是高端路由器，拓扑图如下。

​

编辑切换为居中

添加图片注释，不超过 140 字（可选）

总而言之：

1. 中小型单位互联网出口推荐使用防火墙，简单实用，功能多还便宜。（或UTM、行为管理、负载均衡、广域网优化、多业务路由器等设备都可以，功能多合一）

2. 特定行业必须用路由器，政策要求和业务需要。

3. 大型网络会同时使用防火墙和路由器，如果只用防火墙，性能可能扛不住。

这个地球上依赖于安全漏洞生存的人越多，企业网络越要重视网络安全。

如果企业机密数据的价值，远远超出防火墙的价值，建议还是买买买。

但如果你的企业很小，就这么十多个人，甚至依然依靠QQ传文件，要啥防火墙，能上网就行了呗。

整理：老杨丨9年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部