防火墙无授权问题

没有配置IPS、AV等安全特征库的情况下。防火墙只能基于五元组进行防护，无法识别并阻断已知漏洞利用、恶意流量；

你提出的这个问题很关键。结论很明确：仅靠无授权防火墙的基础访问控制，无法实现有效的对外部（Untrust）防护。 它只能完成最基础的“门禁”工作，但无法抵御现代网络中复杂的应用层攻击。

无授权并不等于设备完全不可用。它仍然可以执行基于网络层和传输层的核心功能，这些功能不需要License，可以看作是防火墙的“出厂基础能力”。

• 域间策略（基础ACL）：这是最核心的可用功能。你可以配置从Untrust到Trust（或服务器区）的策略，基于源/目的IP地址、端口和协议来允许或拒绝流量。例如，只允许外部访问服务器的443端口，拒绝其他所有端口，这能阻断大量基于开放端口的扫描和直接攻击。

• 路由与NAT：路由协议（如OSPF、BGP）、NAT（网络地址转换）等基础网络功能通常不受授权影响，可以正常使用，确保网络连通性。

• 基础DoS防护：一些基于连接数或速率的泛洪攻击防护功能，可能作为基础特性提供，但具体取决于厂商和型号。

这恰恰是应对现代攻击最需要的部分。没有授权，以下安全功能要么完全不可用，要么因特征库无法更新而形同虚设。

• IPS（入侵防御）功能基本失效：虽然策略界面可能允许你“启用”IPS，但它依赖的攻击特征库无法升级。出厂自带的特征库规则非常老旧且稀少，只能识别极少数陈旧的攻击模式，对于近几年的新漏洞和攻击手法几乎无能为力。

• AV（防病毒）功能同样受限：原理与IPS相同。没有授权，病毒特征库无法更新，设备无法识别和阻断新型恶意软件。有厂商文档明确指出，无授权时启用AV/IPS策略“无法提供完全的安全防护功能”，会“错过其他类型的攻击和威胁”。

• 应用识别与URL过滤失效：基于应用特征的识别和行为管理需要License。这意味着你无法精确识别并阻断通过非常规端口（如80端口）进行的P2P下载、隧道穿透等行为。

• 依赖实时云查的功能停止：像Fortinet的Web/DNS过滤、爆发防御（Outbreak Prevention）等依赖云端实时威胁情报的功能，在授权过期后会直接停止工作。

无授权时防火墙的基础防护能力有限。虽然防火墙配置完成后，当内网用户访问外网受到病毒攻击时，可有效防止已知病毒对内网用户的攻击，但这依赖于具体的功能授权。若未购买相关授权（如防病毒、入侵防御等），这些深度安全功能将无法生效，无法有效阻断来自Untrust区域的已知病毒和攻击。

因此，不能仅依赖无授权状态下的基础包过滤来确保外部防护安全。基础的安全策略（如域间策略）可以控制流量放行，但无法提供病毒查杀、漏洞防护等高级安全能力。对于高安全需求的场景，建议购买并激活相应授权以启用完整的安全防护特性。