用途：在 Azure 网络环境中集中实施出口、东西向与入口的流量管控与检查，通常部署在 hub-spoke 拓扑的 hub 中作为统一出口强制点，落实默认拒绝的出口姿态。选择此技能可用于挑选 SKU、设计规则并在 hub 中部署。不适用于 L7 Web 应用防护（Front Door/App Gateway 上的 WAF）、子网微分段（NSG）或第三方 NVA 设计。
主要能力：按能力需求选择 SKU——Basic 适合 SMB/开发/小型环境（低于 250 Mbps，无威胁情报拒绝）；Standard 适合标准出口过滤、FQDN 与威胁情报，是多数企业 hub 的默认选择；Premium 提供 TLS 检查、IDPS 签名、URL 过滤与 Web 分类；多 hub 全球部署可用 Premium + Firewall Manager + Virtual WAN。
使用方式：在 hub 部署（每区域一个防火墙，至少跨两个可用区）；使用 Firewall Policy 而非经典规则，采用父子分层策略；规则顺序为 DNAT → 网络规则 → 应用规则，默认动作设为拒绝；应用规则使用内置 FQDN 标签（如 WindowsUpdate、AzureKubernetesService、Office365）；通过 UDR 将 spoke 出口 0.0.0.0/0 下一跳指向防火墙私网 IP；Premium 启用威胁情报拒绝模式与 IDPS（高严重性签名 Alert+Deny）；将结构化日志发送到 Log Analytics/Sentinel 并监控容量。
限制：Azure Firewall 不能替代 NSG 与 WAF；TLS 检查需要证书/PKI 规划，可能中断证书固定或 mTLS 类应用，应先试点；单可用区部署存在可用区故障风险；没有 UDR 则流量不经过防火墙；不应推测性启用 Premium 功能；不要使用“Allow *”出口或按防火墙逐一编写规则。具体收费与价格资料暂未提供。