所以我想知道：从10 000美元以上的防火墙，到2U服务器，运行4个10Gbit的网卡（例如OpenBSD / FreeBSD / Linux），我们得到了什么？
硬件防火墙可能有一个Web界面。
但是，还有什么人得到$ 10,000或$ 100,000防火墙？
这只是一个规模问题。 数千美元的防火墙具有可扩展和全球pipe理的特性和容量。 许多人不使用它们的function在他们（我们）能够欣赏他们的个人优点之前要进行相当多的研究。
您典型的家庭路由器并不需要能够处理办公室设备或多个ISP连接，所以它更便宜。 无论是在接口的数量/types，还是硬件容量（RAM等）方面。 办公室防火墙也可能需要一些QoS，您可能希望它能够build立到远程办公室的VPN连接。 对于那个小型办公室来说，你还需要稍微好一点的日志logging。
不断扩展，直到您需要处理每个站点数百或数千个用户/设备，连接到公司全球数十个/数百个其他防火墙，并在一个位置使用一个小团队进行pipe理。
（我忘了提到IOS更新，支持合同，硬件保证 – 而且可能还有几十个其他我不知道的事情……但是你明白了）
通常情况下，随着硬件防火墙，你会得到一个经常性的年度维护费用和未来的date的承诺，当“硬件支持”将不再可用，你将不得不叉车装备和更换（思科PIX到ASA过渡）。 你也被困在与单一供应商的关系中。 例如，尝试从其他Cisco系统获取Cisco PIX 515E的软件更新。
你也许可以说我对专门构build的防火墙硬件相当负面。
免费和开源（FOSS）操作系统为一些着名的“硬件”防火墙设备供电，并不是任何延伸的未经证实的技术。 您可以从许多不同的方面购买FOSS的软件支持协议。 您可以使用您select的任何备件/服务协议购买任何硬件。
如果你真的在推动很多的话，也许，一个特制的硬件防火墙设备将是必要的。 然而，FOSS可以在很多情况下为您提供支持，并为您提供巨大的灵活性，性能和总体拥有成本。
你已经有一些很好的答案已经谈论技术的东西和支持。 所有重要的事情。
让我来介绍另外一个需要考虑的事情：你在内部创build，configuration和支持一个“自己的”硬件防火墙的时间是你的雇主的投资。 像所有的事情一样，企业必须决定投资是否值得。
你/你的经理需要考虑的是你的时间花在哪里。 如果你是一个专业的networking安全人员和/或你的雇主有专门的防火墙要求，而不是在一个现成的产品中设置，那么是否“滚动你自己”是值得的问题可能会完全改变。除了networking安全以外，还有很多职责需要考虑，通过插入networking设备很容易满足其需求。
不仅仅是在这个特定的情况下，总的来说，我已经有几次购买了“现成的”解决scheme，或者在一些咨询公司雇佣了一些我可以自己做的事情，因为我的雇主宁愿我的时间被花费别处。 这可能是一个相当常见的情况，特别是如果你面临最后期限，节省时间比节省金钱更重要。
而且不要打折“责怪别人”的能力 – 当你在早上3点追踪到防火墙中的一个漏洞时，能够与供应商说话并说“我不知道” 不pipe它的软件还是硬件，它都是你的问题“。
您的自制防火墙如何处理在线硬件维护？
当达到40 + Gbps的吞吐量时，你的自制防火墙将如何维持？
您的自制防火墙分段对于不同业务部门的pipe理员来说将如何授予权限，以便他们只能pipe理自己的规则库部分？
如果你有15000多条规则，你将如何pipe理你的规则库？
当你走进沟里的时候谁支持你？
它将如何承担一个共同的标准审计。
顺便说一下，对于防火墙来说，10万美元并不是靠近“高端”的任何地方。 另一个零会让你在那里。 对于他们所保护的资源而言，这确实是一笔不小的开支
显然，对这个问题没有一个通用的答案，所以我会描述我所做的和为什么。
设置图片：我们是一个相当小的企业，大约有25名办公室员工，生产车间的人数可能相同。 我们的主要业务是作为专业打印机，曾经享有垄断地位，但现在正遭受越来越多来自中国廉价import品的反对。 这意味着，虽然我们会喜欢劳斯莱斯的服务和硬件，但我们通常还需要解决更多的问题。
在我们的情况下，像思科或类似的东西的成本是不合理的，特别是因为我没有经验（我是一个单独的IT部门）。 而且，昂贵的商业单位对我们并没有真正的好处。
看了看公司的产品和需求之后，我select使用旧电脑并安装了Smoothwall Express，部分原因是因为我已经使用了该产品多年，并且已经对此感到自信和舒适。 这当然意味着防火墙没有外部的支持，但是这是一个风险，但是这是一个风险。 我只是将其作为一个防火墙进行添加Smoothwall就像我见过的那样好，但对于一个更大的组织来说，它不一定是最好的select。
该解决scheme适用于我们。 它可能会或可能不会为你工作。 只有你可以做出这个决定。
如果您拥有一个具有95％数据包丢失率的XXXisco品牌防火墙，则可以起诉某人; 如果你的盒子上有相同的掉落率（这也不是罕见的，那么在一个很好的旧的简单的ICMP洪水下），那么你即将下船看看你的工资即将被放入新的防火墙。
在一定程度上存在“它只是有效”的论点。 不用担心硬件怪癖，也不用担心软件问题。
我在热备份configuration中使用一对PIX，并且从未失败过。 插入，input必要的规则，并把它留给它。 pipe理一个自己的方框所涉及的很多麻烦和努力都被完全覆盖了。 我们确实有一些OpenBSD盒子，它们使用pf进行一些过滤，并且我花费了10倍的时间，像PIX那样维护盒子和防火墙。 我们也偶然发现，我们在OpenBSD上遇到了严重的限制。
还值得指出的是，PIX比iptables更重要。 PIX还包括入侵检测系统（IDS）中常见的一些元素以及其他位。 防火墙硬件通常也更专门用于高速处理数据包的目的，而不是沼气标准服务器的更普遍的性质。
也就是说，还有其他厂商与思科同样值得，而且您可以自己重新创build。 你只需要衡量你的时间和任何可能的麻烦是否值得。
对于防火墙，我宁愿知道我有一个坚实可靠的设备的理智。
可以说，其中一部分归结为关于“自己动手”与使用设备的争论
所有设备最终失败。 如果你build立了系统并且失败了，那就是你的问题。 如果你从供应商处购买一个系统，并且失败了，那就是他们的问题 。
有了良好的支持，你已经训练有素的人准备好支持你。 思科，瞻博networking，NetApp等公司都是成功的，因为他们提供优质的产品和高质量的支持。 当他们失败（有时他们这样做），他们的生意受到了损害。
高端设备可以得到一个良好的支持合同。 如果防火墙在除夕之后星期六的凌晨3点崩溃，我可以在5分钟内通过电话联系供应商技术人员。 技术人员可以在2小时内到现场为我换出失败的组件。 如果路由器支持大型企业，在这种情况下停机可能导致高昂的损失，那么获得高端路由器可能是值得的。 当它支持2000万美元或2亿美元的业务时，10万美元或10万美元似乎并不昂贵，停机时间可能使公司每小时花费数千美元。
在许多情况下，这些高端路由器太昂贵或者是不必要的，或者由于预算或政治原因您无法获得高端路由器。 有时，一个自定义比萨盒或Soekris盒子更合适。
多年后，这仍然是一个有趣的问题。 我们把它分成两个子问题：
为什么要购买专有的防火墙，而不是使用开源 （基于Linux，FreeBSD，RouterOS等）？ 这一切都取决于你的需求：
如果购买专有防火墙，为什么购买高端防火墙而不是低性能产品？ 这一切都归结为性能和function要求：
个人经验：权衡上述所有因素，我经常（但并非总是）决定使用专有防火墙，即使是基本的硬件replace服务， 或者至less为最终用途提供备件。 当预算非常紧张，不需要高级function时，我使用开源（Mikrotik）产品。
这里的硬件略有不同，但这个概念仍然适用。 我们在一个networking上运行了几台调制解调器服务器，用一台价格便宜的8端口10/100“交换机”把它们捆绑在一起。 有一天，交换机开始冻结，我们不得不重启。 我们多次这样做，直到它真的被烧毁。 那调制解调器的stream量是非常唠叨的，而这个东西根本无法应对高温。
我们买了一台二手的思科2924交换机，运行起来非常顺利，碰撞一路下滑。 原来的旧交换机是一个10Mbit的集线器，切换到一个100Mbit的集线器。 细微的差异，但这解释了成本差异。