防火墻和IPS屬于訪問控制類產品，而IDS屬于審計類產品。我們可以用一個簡單的比喻，描述三者的不同和關系——將網絡空間比喻成一個大廈，那么防火墻相當于門鎖，有效隔離內外網或不同安全域，IDS相當于監視系統，當有問題發生時及時產生警報，而IPS則是巡視和保證大廈安全的安保人員，能夠根據經驗，主動發現問題并采取措施。

防火墻較多應用在轉發、內網保護（NAT）、流控、過濾等方面；IDS和IPS主要針對一些攻擊情況。一般的防火墻只能做到3-4層的保護，對于5-7層的應用保護很一般，而5-7層的保護正式IDS和IPS的長處。

防火墻通常采用串行接入，部署在網絡邊界，用來隔離內外網；IDS通常采用旁路接入，在網絡中的位置一般選擇為：盡可能靠近攻擊源、盡可能靠近受保護資源，這些位置通常是：服務器區域的交換機上；Internet接入路由器滯后的第一臺交換機上；重點保護網段的局域網交換機上。IPS通常采用Inline接入，在辦公網絡中，至少需要在以下區域部署：辦公網與外部網絡的連接部位（入口/出口）；重要服務器集群前端；辦公網內部接入層；工作機制不同

防火墻是重要的網絡邊界控制設備，主要通過策略5要素（源、目的、協議、時間、動作，各廠家根據定義不同，會有所擴展）實現對網絡的訪問控制。

IDS主要針對已發生的攻擊事件或異常行為進行處理，屬于被動防護。以NIDS為例：NIDS以旁路方式，對所監測的網絡數據進行獲取、還原，根據簽名進行模式匹配，或者進行一系列統計分析，根據結果對有問題的會話進行阻斷，或者和防火墻產生聯動。IDS的致命缺點在于阻斷UDP會話不太靈，對加密的數據流束手無策。

IPS針對攻擊事件或異常行為可提前感知及預防，屬于主動防護。根據設置的過濾器，分析相對應的數據包，通過檢查的數據包可以繼續前進，包含惡意內容的數據包就會被丟棄，被懷疑的數據包需要接受進一步的檢查。IPS的阻斷方式較IDS更為可靠，可以中斷攔截UDP會話，也可以做到確保符合簽名規則的數據包不漏發到被保護區域。IPS致命的缺點是同樣硬件的情況下，性能比IDS低的多。實際應用中，誤殺和漏殺和IDS一樣，主要是簽名庫決定的。但是隨著UDP協議的廣泛使用，IPS在UDP上的誤殺率可能會高于IDS。

三者在網絡中相互配合，各司其職，實際使用中，需要根據具體網絡需求進行評估和選擇，有效發揮各設備優勢，盡量避免缺點和不足，保證網絡的安全運行。