防火墙与负载均衡协同是职责分工、能力互补、策略联动的高可用加固机制，须遵循“先防火墙、后负载均衡”路径，实现应用识别驱动的智能分发、双层集群冗余及统一日志溯源。
防火墙与负载均衡协同不是简单串联，而是职责分工、能力互补、策略联动的高可用加固机制。核心在于让防火墙专注“守门”，负载均衡专注“调度”，二者在流量路径、策略粒度、故障响应上形成闭环。
流量路径必须遵循“先防火墙、后负载均衡”顺序
公网流量应严格按“用户→防火墙→负载均衡→服务器”路径流转。这个顺序不可颠倒，否则会带来三类风险：一是防火墙无法获取真实源IP，导致基于地理位置或IP信誉的策略失效；二是DDoS攻击绕过清洗直接冲击负载均衡节点，可能引发雪崩；三是SSL解密若在负载均衡层完成，防火墙就失去对明文内容的检测能力。
- 典型部署中，防火墙需开放且仅开放负载均衡器的VIP和健康检查端口（如80/443/8080），其他端口一律拒绝
- 负载均衡器的源地址池应配置为防火墙内网接口IP段，避免NAT导致回程路径异常
- 若使用云环境，建议将防火墙部署在VPC入口网关层，负载均衡置于子网内部，通过安全组+网络ACL双重收敛
策略协同要打通“应用识别”与“流量分发”两个维度
单纯靠IP和端口做策略已不够用。下一代防火墙（NGFW）支持App-ID识别HTTP/HTTPS流量中的具体应用（如Zoom、钉钉、微信网页版），而负载均衡可基于这些标签做路由决策。例如：识别出视频会议流量后，防火墙放行并打上“video-call”标签，负载均衡据此将该会话固定调度至具备GPU加速能力的专用服务器集群。
- 启用防火墙的应用识别功能，并开启日志字段中的application-name和category
- 在负载均衡器（如HAProxy或F5）中配置HTTP header注入，将防火墙传递的标签写入X-Forwarded-For或自定义header
- 七层规则中引用该header做条件路由，实现“安全策略驱动的智能分发”
高可用设计需双活冗余，避免单点瓶颈
单台防火墙+单台负载均衡仍是常见单点隐患。真正加固需构建双层集群：防火墙采用VRRP或堆叠模式实现主备切换，负载均衡采用Active-Active集群并配合健康探测联动。关键在于二者状态感知要互通——当防火墙某节点故障时，负载均衡应自动减少对其转发权重；反之，当负载均衡后端服务异常率超阈值，防火墙可动态收紧对应业务流的带宽限制。
- 防火墙集群间同步会话表与威胁情报库，切换延迟控制在2秒内
- 负载均衡配置多级健康检查：ICMP探测链路层、TCP探测端口层、HTTP探针验证业务层，任意一级失败即剔除节点
- 通过SDN控制器或脚本定时拉取防火墙CPU/连接数指标，动态调整负载均衡的权重分配算法
审计与日志必须统一溯源，满足等保合规要求
安全事件调查最怕“断点”。防火墙记录了谁访问、访问了什么，负载均衡记录了请求去了哪台机器、响应耗时多少。只有把这两段日志通过统一时间戳、会话ID、X-Request-ID关联起来，才能完整还原一次攻击路径或性能瓶颈。
- 所有设备启用NTP校时，误差控制在50ms以内
- 负载均衡在转发请求时注入唯一request-id，并确保该ID透传至后端应用日志
- 防火墙日志中启用“含应用名+URL路径”的详细格式，与负载均衡access log字段对齐
- 推荐使用ELK或Splunk统一采集，建立“源IP→防火墙策略命中→负载均衡目标节点→应用响应码”的可视化追踪视图
