从网络协议到业务语义，从已知签名到行为基线，天云网关把 NAT 转发、四层清洗、七层检测、告警、审计、合规整合在统一的自研引擎中，Windows / Linux 双平台开箱即用。
自研轻量正则虚拟机（支持环视、词边界、十六进制转义，无 PCRE 依赖），装配 44,056 条规则，覆盖 SQL 注入、XSS、命令注入、文件包含/上传、WebShell、反序列化、XXE、SSRF、SSTI、请求走私等全类别。支持异常评分（Anomaly Score）模式，先观察后阻断，灰度上线。
SQL、命令注入、XSS、SSRF、路径穿越、LDAP、XXE 共 7 类语义解析器，不依赖特征字符串，能识别语法等价的变形 payload（注释拆分、大小写混淆、语法重排），是对正则规则的本质性补位。
滑动窗口计数 + IP / URL 维度阈值限流，支持观察模式、自动封禁与到期解禁，顶住高频 CC 与接口刷量，不误伤正常突增流量。
UA 黑白名单、JS 挑战、Cookie 签名三重机制，区分搜索引擎、真实浏览器、脚本爬虫与自动化攻击工具，可配置挑战放行或直接封禁。
基于 MaxMind 二进制 MMDB 的国家/地区级 allow / deny，亚毫秒查询，按站点独立配置；未命中数据库的请求有明确兜底策略。
平台统一整合多源情报（ThreatFox / Feodo、blocklist.de、CINS 等 CC0/CC-BY 合规来源），签名封包后由设备在控制台手动拉取，ECDSA 验签通过才热加载，命中 C2、僵尸网络、已知攻击源即时阻断。情报不区分用户，但设备需持有有效授权；平台不主动推送、设备不定时外联，元数据可追溯。
黑白名单可在云端按账号集中维护，名下设备手动同步时按版本号增量拉取（含删除），也可把设备本地名单回传云端。名单严格按账号隔离，与其他用户互不可见。
攻击日志按规则匹配、时间窗聚合去抖，经 Syslog / Webhook / SNMP 外发；登录、配置变更、用户管理全部审计留痕，RBAC 四角色权限分离，合规报告一键导出。
HTTP/1.1、HTTP/2（含自研 HPACK）、HTTPS/TLS 终结；反向代理多上游负载均衡、被动健康检查与连接池复用；豪华版支持集群分布式、主备高可用、配置同步与灰度发布。
在 Web 检测之前，先把网络层做对：转发收敛攻击面，四层清洗挡住 Flood，策略控制精确放行。
SNAT 源地址转换统一出口、DNAT 目的转换发布内网服务、端口映射一对多复用；真实服务器无需暴露公网，拓扑天然隐藏。
SYN / UDP / ICMP Flood 检测与连接频率限速，异常源 IP 自动封禁到期解禁；清洗在 TCP 握手层完成，不消耗业务资源。
基于源/目的 IP + 协议端口的 ACL 策略，支持黑白名单与默认拒绝；策略变更实时生效并全量审计，满足等保访问控制要求。
Windows Server 2012 R2+ 以系统服务安装运行，授权验签走系统自带 CNG（ECDSA P-256），Linux 侧走 OpenSSL，双平台行为一致。
规则在匹配前经过可配置的解码链：URL → HTML 实体 → JS 转义 → IIS Unicode，配合空字节移除与空白压缩，让 %55nion、union select 等变体无处遁形。
uri / headers / body
%xx / 双重编码
&#xx; / &name;
\xNN / \uNNNN
%c0%af 等
正则 + 语义双引擎