深信服下一代防火墙 NGAF（AF 系列）
深信服 NGAF（AF 系列）是国内政企使用最广的下一代防火墙之一，把访问控制、IPS 入侵防御、防病毒、应用识别、URL 过滤与威胁情报整合在一台设备上，是等保二级、三级边界防护的常见选择。本页说明 AF 的选型逻辑与等保对应关系，具体型号与授权按带宽、并发与功能模块核算。
AF 选型与等保对应关系
型号怎么选？看三个数
第一是出口带宽：AF 的性能标称分"网络层吞吐"与"应用层吞吐（开启 IPS/AV 后）"，后者才是真实可用值，按实际出口带宽的 1.5–2 倍余量选型。第二是并发连接数与新建连接数，办公网按人均 200–500 并发估算。第三是功能授权：IPS、AV、URL 库、威胁情报通常按年订阅，报价必须把三年授权算进去，否则第二年功能会失效。
等保二级、三级分别要什么？
等保二级通常要求边界防护、访问控制、入侵防范与安全审计，一台开启 IPS 与日志功能的 AF 加一台上网行为管理（AC）即可覆盖多数测评项。等保三级要求更细：需要在边界做入侵防范与恶意代码防范，配合日志留存 6 个月、集中审计与威胁监测（如 SIP 安全感知平台），常见组合是 AF + AC + SIP。最终以测评机构的整改建议为准。
部署方式与常见坑
AF 常见部署为路由模式（替代出口路由器做 NAT 与策略）或透明网桥模式（串在现有链路中不改网络结构）。上线前要确认：现有出口 IP 与策略、内网网段划分、是否需要做双机热备（建议双机，单点故障会导致全网断网）、以及策略迁移（老设备策略要提前梳理，否则上线当天大面积不通）。
续费与运维
安全设备的授权是持续成本：特征库、URL 库、威胁情报按年续费，到期后新威胁无法识别。建议在采购时一次买三年，并在设备上开启自动升级与日志外发。
- 网络层与应用层吞吐差异大，按开启 IPS 后的实际值选型
- IPS / AV / URL / 威胁情报为订阅授权，报价需含三年
- 建议双机热备，避免单点故障导致全网中断
- 支持路由、透明、旁路等多种部署模式
- 可配合 AC 上网行为管理与 SIP 安全感知做等保三级方案
常见问题
AF 一台大概多少钱？
价格由型号（吞吐档位）+ 功能授权年限决定，入门档到高端档差距很大。把出口带宽、内网人数、等保级别告诉我们，当天出选型建议与报价。
等保三级必须买防火墙吗？
边界防护是等保的基本要求，防火墙是必备项之一。三级还需要入侵防范、恶意代码防范、安全审计与日志留存，通常配合 AC 与 SIP 一起建设。
能只买硬件不买授权吗？
可以，但不建议：不开 IPS/AV 授权的防火墙等同于普通路由器，等保测评时入侵防范项无法达标。
老防火墙的策略能迁移过来吗？
可以协助梳理迁移，但建议借上机机会重新梳理策略——很多老设备积累了数百条历史策略，反而影响性能与安全。