采用工业级的硬件，无风扇全封闭设计、冗余电源，满足工业现场恶劣环境的应用。提供完备的HA双机热备份技术，一台防火墙在发生故障时，业务可以平滑切换到另一台备用设备上，保证主备倒换的时候业务不会发生中断。同时，H3C工控防火墙还支持BYPASS功能，当设备出现故障时，网络流量可以直接BYPASS通过，避免用户业务中断。

采用基于流的状态检测技术

● 采用基于流会话的状态检测技术

● 集成了强大的基于会话管理的核心技术

● 可以支持每秒新建连接的性能

● 具有良好的转发加速体系

支持多种工业协议深度解析

H3C工控防火墙支持涵盖Modbus/TCP，OPC Classic，OPC UA，DNP3，S7，S7 plus，IEC60870-5-104，MMS，Ethernet/IP等在内的各类主流工控网络协议，并且能够对各类数据包进行快速有针对性的捕获与深度解析。解析引擎执行时能够满足工业控制系统在生产和制造过程中的通信效率保障和冗余机制等要求。

集成多种类型工业黑名单规则

H3C工控防火墙集成了多种类型的工业黑名单规则库。黑名单规则是进行工业协议黑名单检测的匹配条目，每一条规则都规针对一个工控安全漏洞攻击，当带有攻击行为的工业流量经过工业防火墙时，会被工业防火墙黑名单检测到，来确保工业网络环境安全运行。目前支持的黑名单规则条目多达千个，主要包含四个分类：HTTP、FTP、工业协议及其他。

支持IPSecVPN

H3C工控防火墙可以通过提供IPSec（IP Security）安全机制，为通讯双方提供访问控制、无连接完整性、数据来源认证、反重放、加密以及对数据流分类加密等服务。通过AH（Authentication Header）和ESP（Encapsulating Security Payload）这两个安全协议来实现对IP数据报或上层协议的保护，支持隧道封装模式。

3C工控防火墙可以部署在管理信息网和工控网络的边界，对工控网络和管理网络的通信流量基于安全策略、NAT、VPN、动态路由等网络安全技术提供网络隔离、访问控制、状态检测、地址转换和通信安全等功能。同时可基于工控黑名单，对于工控网络中的漏洞及漏洞利用攻击行为进行识别与防护，对于工控网络中的流量和数据包进行黑名单匹配，对网络中的攻击和入侵行为进行检测和阻断，防护来自管理信息网络的安全威胁。

此外，H3C工控防火墙也可以部署在工控网络中现场控制层，通过透明部署在重点PLC设备层与过程监控层之间，基于工控协议深度解析功能，对上位机与PLC控制器之间的工控流量进行智能白名单学习和工业协议流量指令级控制，保障工业生产安全稳定运行。

H3C工控防火墙应用组网示意图