Palo Alto Networks Next-Generation Firewall (PA-Series)

App-ID 通过深度包检测在端口握手前识别应用类型，不依赖端口号，可精准识别加密流量中的 1500+ 应用并按功能（如微信传文件 vs 聊天）下发策略，比传统防火墙策略粒度更细。

硬件按型号 PA-220 到 PA-7080 分档一次性购买。后续按年订阅 Threat Prevention 防病毒、URL 过滤、WildFire 沙箱和设备管理许可，总年费约为硬件价格的 20%-30%。

适用于大型企业数据中心边界、园区核心、分支互联及混合云统一安全管控。PA-5280 以上型号适合 100Gbps 以上骨干环境，中小分支可选 PA-220、PA-410 等桌面型设备。

支持物理硬件、VM-Series 虚拟机（vSphere/Hyper-V/AWS/Azure）、CN-Series 容器防火墙。Panorama 集中管控平台可纳管数千台设备，统一策略下发、日志分析和威胁情报共享。

PA-Series 在应用识别精度和策略一致性上领先，但单机价格较高。FortiGate 集成度高、性价比优；思科 Firepower 与 Cisco 网络设备协同更好。选型核心权衡安全精细度与整体 TCO。