用途：在关键 PLC、RTU 前部署区域级工业防火墙，对 OT 协议做深度包检测（DPI），用于实现 IEC 62443 区域与管道边界、为无法打补丁的老旧 PLC 提供补偿控制、在不中断现有工业通信的前提下做控制网分区。不适合企业 IT 防火墙部署、IT 与 OT 之间的边界防火墙（应在 DMZ 使用 Palo Alto/Fortinet），或仅用 IP 协议且无需 OT 专用 DPI 的环境。
主要能力：Tofino Xenon 设备或虚拟设备以 inline bridge（透明桥）模式部署，支持 fail-open 失效放行以保障可用性；通过可加载安全模块（LSM）对 Modbus、EtherNet/IP、OPC、S7comm 提供协议级 DPI；可用中央管理平台（CMP）集中下发和管理策略。规则可限制 Modbus 功能码（如仅 1、2、3、4 只读），限制 S7comm 操作（如禁止 cpu_stop、download），限制 EtherNet/IP CIP 服务（如禁止固件刷写）。提供以 Python 的 TofinoRuleGenerator 生成带 DPI 的策略配置，并附默认拒绝规则（rule_id 9999）。
使用方式/前提：需要 Tofino Xenon 或虚拟设备及相应许可证、Tofino CMP、标明 PLC/RTU 位置与通信需求的网络拓扑图、OT 协议通信基线，以及在线部署的变更管理审批。工作流为先设计部署架构，再配置 DPI 规则，最后生成配置并输出部署报告。
限制：资料未提供具体价格、许可细则、性能指标与部署步骤细节，相关事实暂未提供。