Когато един разрастващ се офис най-накрая надрасне своя-в-рутер, първото целево-устройство, което повечето екипи купуват, е мрежова защитна стена. Проблемът е, че номерът на заглавието на листа с продажби рядко описва мрежата, която някой действително управлява. Кутия с надпис „5 Gbps“ се измерва при условия, които реален клон, кампус или център за данни никога няма да възпроизведе, така че устройството, което изглеждаше щедро на хартия, тихо се превръща в тясно място шест месеца след инсталирането. Това ръководство разглежда спецификациите, които определят реалната производителност - капацитет за препращане, едновременни сесии, нови връзки в секунда, оформление на интерфейса и дълбочина на проверка - и показва как да оразмерите устройството за трафика, който ще имате след три години, а не за трафика, който имате днес.
Защо мрежовата защитна стена е решение за капацитет, а не само решение за сигурност
Повечето разговори за покупка започват с функции: предотвратяване на проникване, контрол на приложения, VPN тунели, URL филтриране. Всяка една от тези функции консумира процесорна мощност и всяка допълнителна стъпка на проверка намалява скоростта, с която мрежовата защитна стена може да препраща пакети. Ефектът е по-скоро мултипликативен, отколкото адитивен. Активирайте задълбочена проверка на пакети, TLS декриптиране и идентификация на приложението заедно и устройство, оценено за мулти-гигабитово пренасочване, може да достави само скромна част от тази цифра, след като през него преминат реални сесии.
Ето защо опитни купувачи искат матрица вместо едно число. Един достоверен лист с данни за мрежова защитна стена цитира няколко стойности една до друга: необработено пренасочване, проверка на защитната стена с големи пакети, разрешено предотвратяване на заплахи и криптирана пропускателна способност на VPN. Разликата между първата и последната цифра ви казва колко реално пространство има платформата, когато политиката за сигурност е напълно заредена.
Пропускателна способност: Няколко числа зад една цифра
Претенциите за пропускателна способност не са нечестни, те са условни. Доставчиците ги измерват с избран размер на пакета, избран набор от правила и избран микс от трафик. Три условия са най-важни, когато сравнявате мрежова защитна стена с нейните конкуренти.
Размер на пакета.Доставчиците обикновено цитират най-големия пакет, който стандартният тест позволява, обикновено 1518 байта. Истинският корпоративен трафик е смесица от малки потвърждения, средно-размерени уеб отговори и прехвърляне на големи файлове. Защитна стена, обработваща голям обем малки пакети, изчерпва бюджета за-за-секунда много преди да изчерпи бюджета за честотна лента.
Активирани функции.Цифра-само за защитна стена не предполага проверка на заплахи. Всеки набор от подписи включва цикли на разходите. Когато доставчик цитира -защитена пропускателна способност на заплаха, проверете дали е включена проверка на TLS, тъй като дешифрирането и повторното-шифроване на сесиите е най-тежката задача, която мрежовата защитна стена изпълнява.
Брой правила и сложност на правилата.Дълги списъци за достъп, NAT преводи и правила за-приложение добавят работа по търсене. Една защитна стена, носеща двеста правила, се държи различно от същия хардуер, носещ пет хиляди.
Едновременни сесии и нови връзки за секунда
Едновременните сесии описват колко потока мрежовата защитна стена може да държи отворени наведнъж. Всеки раздел на браузъра, всеки цикъл на запитване на API, всеки видео поток и всяка връзка с база данни заема запис в таблицата на сесиите. Съвременните работни натоварвания увеличават тази цифра бързо, защото едно уеб приложение може да отвори десетки паралелни връзки.
Нови връзки за секунда, често съкратено CPS, измерва колко бързо устройството може да създава и премахва записи. Това е показателят, който се срива при сканиране, синхронизираща буря или тест за натоварване. Устройство с голяма таблица на сесиите, но скромна скорост на свързване, все още ще намали трафика, когато клиентът се опитва агресивно.
Таймерите за сесии са толкова важни, колкото и необработеният капацитет. Агресивното стареене поддържа таблицата на сесиите подредена, но може да прекъсне дълготрайни сесии, като например връзки към бази данни или индустриални контролни канали. Щедрите таймери запазват тези сесии, но позволяват да се натрупват неактивни записи. Оразмерете таблицата на сесиите така, че пиковата едновременност да използва не повече от около половината от капацитета и настройте таймерите за приложение, а не глобално.
Интерфейси, връзки нагоре и висока наличност
Оформлението на порта определя дали мрежовата защитна стена пасва на мрежата, която вече имате. Пребройте интерфейсите, от които се нуждаете за WAN, LAN, демилитаризирана зона, управление и бъдещи оптични връзки, след което добавете поне два резервни порта. Смесените медни и оптични SFP портове са по-гъвкави от фиксираното оформление само-с медна връзка, а поддръжката на приемопредавател, съвместим с Cisco-, поддържа предвидимата цена на платформата, когато разширите до нова сграда.
Излишъкът заслужава същото внимание като пропускателната способност. Две единици на мрежова защитна стена в активна-пасивна двойка защитават срещу хардуерен срив, но двойката трябва да синхронизира сесиите, или всеки отказ ще нулира потребителските връзки. Проверете дали синхронизирането на състоянието е включено, а не лицензирано като екстра, и проверете дали връзката за преход при срив има достатъчна честотна лента, за да пренесе пълната таблица на сесиите.
За разгръщания,-изправени към интернет, планирайте заобиколен път или процедура за ръчно-счупване на стъклото, така че една неизправност на защитната стена да не отведе целия сайт офлайн. Наличността е част от производителността на защитната стена, тъй като едно бързо устройство, което е недостъпно, не препраща нищо.
Характеристики, които оформят реален размер
Виртуална частна мрежа, предотвратяване на проникване, уеб филтриране и контрол на приложенията са четирите характеристики, които най-често са отговорни за изненадващ дефицит. Оценете общата им цена, преди да купите.
| Сценарий на внедряване | Типични потребители | Предложен профил на мрежова защитна стена |
|---|---|---|
| Малък клон | 20 – 50 | 1 Gbps пропускателна способност на защитната стена, 100 Mbps инспектирани, 1 – 2 Gbps VPN |
| Среден{0}}офис | 100 – 300 | 2 – 4 Gbps пропускателна способност на защитната стена, 500 Mbps инспектирани, 2 Gbps VPN |
| Ядро на кампуса | 500 – 2000 | 10 Gbps пропускателна способност на защитната стена, 2 – 4 Gbps инспектирани, 10 Gbps SFP+ връзки нагоре |
| Край на центъра за данни | 2000 + | 20 Gbps и повече, хардуерно ускорение, специална равнина за управление |
Прочетете таблицата като отправна точка, а не като спецификация. Вашият собствен микс от трафик, брой сесии и дълбочина на правилата ще тласнат изискването нагоре или надолу, а платформа, закупена за грешния ред, или ще ограничи потребителите, или ще загуби бюджета.
Често срещани грешки при оразмеряване на мрежова защитна стена
Купуване на пропускателна способност-само на защитна стена.Най-честата грешка е сравняването на най-голямото число във всеки лист с данни. Две платформи за мрежова защитна стена с еднакви скорости на пренасочване могат да се различават с коефициент четири, след като проверката на заплахи е активирана.
Пренебрегване на разходите за проверка на TLS.Криптираният трафик вече доминира в повечето корпоративни връзки. Ако планирате да декриптирате, оразмерете мрежовата защитна стена за декриптиране, а не за обикновено пренасочване.
Забравяне на таблицата на сесиите.Екипите проверяват честотната лента и пренебрегват паралелността, след което се чудят защо мрежовата защитна стена отчита изчерпване на масата по време на натоварената понеделник сутрин.
Третиране на неуспешната двойка като свободна.Високата достъпност удвоява хардуера, но също така консумира връзка и добавя сложност на конфигурацията. Планирайте и двете.
Не оставя място за растеж.Защитна стена, която работи с осемдесет процента използване на първия ден, няма капацитет за нов сайт, нова облачна връзка или нова политика за проверка.
Контролен списък за разполагане
Използвайте този списък, преди да подпишете поръчка за покупка.
- Потвърдете смесения трафик, включително дела на малките пакети.
- Записвайте пикови едновременни сесии от вашата съществуваща мрежова защитна стена или рутер.
- Решете кои функции за проверка ще се изпълняват през първата година и кои през третата година.
- Проверете цитираните стойности на пропускателна способност и попитайте кои функции са били активирани по време на тестването.
- Брой интерфейси, включително управление и бъдещи оптични връзки нагоре.
- Потвърдете поддръжката на-съвместим трансивър на Cisco и наличието на резервна оптика.
- Тествайте преодоляване на неизправност със състояние в лаборатория, не за първи път по време на прекъсване.
- Документирайте процедура за байпас или с-счупване на стъкло за прозорци за поддръжка.
- Планирайте преглед на правилата на мрежовата защитна стена, за да оттеглите остарелите политики всяко тримесечие.
ЧЗВ
Q1: Пропускателната способност на защитната стена същата ли е като честотната лента на интернет?
Не. Пропускателната способност на защитната стена описва колко бързо устройството препраща трафик. Интернет честотната лента е това, което предоставя вашият доставчик на услуги. Мрежовата защитна стена трябва да надвишава вашата WAN скорост с пространство, тъй като вътрешният източен-западен трафик и VPN тунели също преминават през нея.
Q2: Колко едновременни сесии са ми необходими?
Измерете пиковите сесии на текущия си шлюз и умножете по три. Браузър-тежки и облачни-тежки среди броят на сесиите расте по-бързо от броя на потребителите, така че сайт с 200 потребители може лесно да поддържа 100 000 едновременни сесии.
Q3: Може ли мрежова защитна стена да замени рутер?
Много модели маршрутизират, превеждат мрежови адреси и прекратяват VPN тунели, така че една защитна стена може да обслужва само малък клон. По-големите сайтове обикновено поддържат специални рутери или комутатори от слой 3 за основно маршрутизиране и оставят мрежовата защитна стена да се концентрира върху политиката и проверката.
Въпрос 4: По-голямата производителност винаги ли означава по-добра производителност?
Не. Закъснението, трептенето и скоростта на настройка на връзката са толкова важни, колкото и необработеният капацитет. Устройство с по-ниска честотна лента, но по-висока скорост на свързване често изглежда по-бързо за интерактивни приложения.
Въпрос 5: Трябва ли да активирам проверка на TLS при всяка сесия?
Селективно. Дешифрирането на всичко е скъпо и повдига въпроси относно поверителността. Започнете с категории, които носят реален риск, изключете доверени вътрешни услуги и наблюдавайте натоварването на процесора на мрежовата защитна стена, докато разширявате покритието.
Q6: Колко често трябва да се преглеждат правилата на защитната стена?
Тримесечният преглед е разумна база. Премахнете правилата, които препращат към пенсионирани сървъри, изтекли проекти или неименувани обекти, тъй като по-малък набор от правила подобрява както сигурността, така и скоростта на препращане.
Q7: Кой модул трябва да купя първо, VPN или предотвратяване на заплахи?
Купете този, от който се нуждае вашият бизнес още в първия ден. Дистанционната работа обикновено прави VPN първото изискване, докато регулираните или изложените-в интернет сайтове се нуждаят от незабавно предотвратяване на проникване. Така или иначе, потвърдете, че мрежовата защитна стена може да работи и двете, без да пада до неизползваема скорост.
Заключение
Изборът на мрежова защитна стена е упражнение за четене между числата. Пропускателна способност, едновременни сесии, скорост на свързване, брой интерфейси и дълбочина на проверка заедно определят какво наистина може да направи устройството и само вашият собствен профил на трафик може да ви каже кое от тези ограничения се свързва първо. Започнете от измерените данни, оставете поне петдесет процента свобода и настоявайте за условията на теста, преди да приемете цифра.
AITI Tech Limited доставя Cisco-съвместими платформи за мрежова защитна стена, комутатор и рутер с опциите за интерфейс, поддръжка за резервиране и техническа документация, които се изискват при внедряването на предприятието. Ако имате нужда от помощ за картографиране на вашия профил на трафик към правилната конфигурация, нашите инженери ще прегледат вашата топология и ще препоръчат спецификация на мрежовата защитна стена, която отговаря както на вашата политика за сигурност, така и на вашия бюджет.
