انتخاب فایروال مناسب فقط به این معنا نیست که دستگاهی با عدد Throughput بالاتر انتخاب کنیم. در یک شبکه واقعی، فایروال علاوه بر عبور دادن ترافیک، ممکن است هم‌زمان وظایفی مانند IPS، Application Control، SSL Inspection، Threat Protection و VPN را نیز انجام دهد. هرکدام از این قابلیت‌ها می‌توانند روی منابع و ظرفیت پردازشی موردنیاز تأثیر بگذارند.

برای مثال، ممکن است یک سازمان اینترنت 2Gbps داشته باشد و تصور کند یک فایروال با Firewall Throughput بالاتر از 2Gbps برای آن کافی است. اما اگر همان سازمان قصد داشته باشد بخش زیادی از ترافیک HTTPS را SSL Inspection کند، IPS را فعال نگه دارد و تعداد زیادی Connection هم‌زمان داشته باشد، انتخاب فایروال فقط بر اساس عدد 2Gbps تصمیم دقیقی نخواهد بود.

بنابراین سؤال اصلی این نیست که فایروال چند گیگابیت Throughput دارد؟؛ بلکه باید پرسید:

این فایروال در شرایط واقعی شبکه من، با قابلیت‌های امنیتی موردنیاز، چه مقدار ترافیک را می‌تواند پردازش کند؟

 

 Firewall Throughput چیست؟

ظرفیت فایروال یا Firewall Throughput ، میزان ترافیکی است که فایروال می‌تواند در یک شرایط مشخص پردازش و عبور دهد.

واحد آن معمولاً Gbps یا Mbps است.

برای مثال، اگر روی Datasheet یک فایروال عدد:

Firewall Throughput = 10 Gbps

ذکر شده باشد، نمی‌توان صرفاً از روی همین عدد نتیجه گرفت که این دستگاه در هر شرایطی می‌تواند  10Gbps ترافیک واقعی را همراه با تمام قابلیت‌های امنیتی پردازش کند.

چرا؟

چون این عدد معمولاً مربوط به یک سناریوی مشخص آزمایشگاهی است و ممکن است با فعال شدن قابلیت‌های امنیتی، نوع ترافیک یا اندازه Packet تغییر کند.

برای همین Vendorها معمولاً چند شاخص Performance مختلف ارائه می‌کنند.

 

تفاوت Firewall Throughput با Threat Protection و NGFW Throughput

این یکی از مهم‌ترین قسمت‌های انتخاب ظرفیت فایروال است.

فرض کنیم در Datasheet یک دستگاه این اعداد را ببینیم:

شاخص

مقدار فرضی

Firewall Throughput

 20Gbps
IPS Throughput

10Gbps

NGFW Throughput

 8Gbps
Threat Protection

5Gbps

SSL Inspection

3Gbps

اگر سازمان فقط Routing و Stateful Firewall استفاده کند، عدد 20Gbps ممکن است برای ارزیابی اولیه مناسب باشد.

اما اگر قرار باشد ترافیک با چند قابلیت امنیتی بررسی شود، نمی‌توان همان 20Gbps را معیار اصلی قرار داد.

یک مثال واقعی:

فرض کنید یک شرکت:

  • لینک اینترنت 5Gbps دارد.
  • IPS فعال است.
  • Application Control فعال است.
  • بخش زیادی از ترافیک HTTPS است.
  • SSL Inspection نیز برای بخشی از کاربران فعال شده است.

اگر مدیر شبکه فقط ببیند ظرفیت فایروال دستگاه 10Gbps است، ممکن است تصور کند این فایروال کاملاً مناسب است.

درحالی‌که باید Performance مربوط به Security Processing را هم بررسی کند.

برای نمونه، Cisco در مشخصات Secure Firewall 4200، مقادیر جداگانه‌ای برای Firewall و Throughput مربوط به FW + AVC + IPS ارائه می‌کند و تأکید می‌کند Performance به قابلیت‌های فعال، ترکیب ترافیک و Packet Size وابسته است.

در Sophos نیز در مشخصات XGS، شاخص‌های Firewall، IPS، NGFW، Threat Protection و SSL/TLS Inspection جداگانه اعلام می‌شوند. برای مثال XGS 3100 در مشخصات رسمی خود Firewall Throughput برابر 47Gbps و Threat Protection برابر  7.4Gbps و Xstream SSL/TLS Inspection برابر 2.47Gbps دارد.

نتیجه: هنگام انتخاب ظرفیت فایروال باید نزدیک‌ترین شاخص به سناریوی واقعی خود را معیار قرار دهید، نه بزرگ‌ترین عدد Datasheet.

 

تأثیر IPS بر ظرفیت فایروال

IPS  ترافیک شبکه را برای شناسایی الگوها و نشانه‌های حمله، Exploitها و رفتارهای مخرب تحلیل می‌کند و در صورت شناسایی تهدید می‌تواند از عبور ترافیک مخرب جلوگیری کند.

فعال بودن IPS باعث می‌شود فایروال علاوه بر پردازش معمول ترافیک، عملیات امنیتی بیشتری نیز انجام دهد. بنابراین هنگام انتخاب ظرفیت فایروال، اگر IPS قرار است روی بخش قابل‌توجهی از ترافیک فعال باشد، باید IPS Throughput یا نزدیک‌ترین شاخص Performance مربوط به سناریوی موردنظر نیز بررسی شود.

 

سناریو:

فرض کنید یک سازمان 3Gbps ترافیک اینترنت دارد  و قرار است تقریباً تمام این ترافیک تحت بررسی IPS قرار بگیرد.

دو فایروال زیر را در نظر بگیرید:

Firewall A

  • Firewall Throughput: 10Gbps
  • IPS Throughput: 2Gbps

Firewall B

  • Firewall Throughput: 7Gbps
  • IPS Throughput: 5Gbps

در نگاه اول، Firewall A به دلیل داشتن 10Gbps Firewall Throughput قدرتمندتر به نظر می‌رسد. اما وقتی IPS برای تقریباً تمام ترافیک فعال باشد، معیار مهم‌تر IPS Throughput است.

Firewall A در سناریوی IPS فقط 2Gbps ظرفیت اعلام‌شده دارد، در حالی که ترافیک سازمان 3Gbps است. بنابراین ظرفیت IPS آن برای پردازش کل ترافیک کافی نیست.

در مقابل، Firewall B با وجود Firewall Throughput پایین‌تر، 5Gbps IPS Throughput دارد و می‌تواند 3Gbps ترافیک موردنظر را با فعال بودن IPS پوشش دهد.

پس در این سناریو Firewall B انتخاب مناسب‌تری است؛ چون ظرفیت مرتبط با قابلیت امنیتی مورد استفاده، یعنی IPS، با نیاز واقعی سازمان مطابقت دارد.

 

تأثیر SSL Inspection

امروزه بخش بزرگی از ترافیک اینترنت رمزنگاری شده است. در نتیجه، اگر سازمان بخواهد محتوای HTTPS را برای شناسایی تهدیدها بررسی کند، فایروال باید عملیات رمزگشایی و بازرسی را نیز انجام دهد.

اینجاست که SSL/TLS Inspection Throughput اهمیت پیدا می‌کند.

 

سناریو:

فرض کنید یک شرکت اینترنت 2Gbps دارد.

در حالت عادی:

2Gbps → Firewall → Internet

اما تصمیم گرفته می‌شود SSL Inspection روی بخش عمده ترافیک فعال شود.

حالا فایروال باید علاوه بر پردازش معمول، ترافیک رمزنگاری‌شده را نیز بازرسی کند.

نکته مهم این است که معمولاً لازم نیست SSL Inspection روی 100 درصد ترافیک اعمال شود. ممکن است سازمان فقط ترافیک گروه خاصی از کاربران، سرویس‌های مشخص یا بخشی از ترافیک را تحت Inspection قرار دهد.

بنابراین هنگام انتخاب فایروال باید مشخص شود چه مقدار از ترافیک واقعاً تحت SSL/TLS Inspection قرار خواهد گرفت.

اگر ظرفیت SSL Inspection دستگاه برای سناریوی موردنظر کافی نباشد، ممکن است در ساعات شلوغی شاهد:

  • افزایش CPU
  • افزایش Latency
  • افت سرعت Applicationها
  • افزایش زمان پاسخ
  • یا ایجاد Bottleneck

باشیم.

بنابراین ظرفیت SSL Inspection باید جداگانه بررسی شود و نباید صرفاً از روی ظرفیت فایروال شبکه نتیجه‌گیری کرد.

برای نمونه، Cisco برای Secure Firewall 4100 یک شاخص جداگانه برای TLS Hardware Decryption ارائه می‌کند و Sophos نیز برای XGS مقدار مستقلی برای Xstream SSL/TLS Inspection اعلام می‌کند.

 

تأثیر Application Control و سایر Security Profileها

در شبکه‌های سازمانی معمولاً فقط IPS فعال نیست.

ممکن است روی ترافیک هم‌زمان قابلیت‌هایی مانند:

  • Application Control
  • Web Filtering
  • Antivirus
  • IPS
  • SSL Inspection
  • DNS Security
  • Threat Protection

فعال باشند.

هرچه پردازش امنیتی بیشتری روی ترافیک انجام شود، سناریوی واقعی از حالت ساده Firewall Throughput فاصله می‌گیرد.

برای مثال، یک شرکت ممکن است روی ترافیک کاربران این Policy را داشته باشد:

Internet → SSL Inspection → IPS → Application Control → Web Filtering → Threat Protection

در چنین شرایطی، عدد ساده Firewall Throughput معیار مناسبی برای انتخاب ظرفیت فایروال شبکه نیست.

Fortinet نیز در ماتریس رسمی محصولات خود شاخص‌هایی مانند Firewall Throughput، SSL Inspection Throughput، Application Control Throughput، تعداد Concurrent Sessions و New Sessions/Sec را جداگانه ارائه می‌کند.

 

Concurrent Sessions؛ فقط سرعت مهم نیست

یکی از اشتباهات رایج این است که ظرفیت فایروال را فقط با Gbps بسنجیم.

فایروال علاوه بر حجم ترافیک باید تعداد زیادی Session را مدیریت کند.

فرض کنید یک شرکت فقط 500Mbps  ترافیک دارد، اما:

20,000 کاربر و دستگاه به شبکه متصل هستند.

ممکن است تعداد Connectionها بسیار زیاد باشد.

در مقابل، یک شبکه دیگر شاید 5Gbps ترافیک داشته باشد اما تعداد Connectionهای هم‌زمان آن بسیار کمتر باشد.

بنابراین هنگام انتخاب فایروال باید Concurrent Sessions را نیز بررسی کرد.

مثلاً Cisco برای Secure Firewall 3100 علاوه بر Throughput، تعداد Maximum Concurrent Sessions و New Connections Per Second را نیز ارائه می‌کند.

 

New Sessions Per Second چیست و چه زمانی مهم می‌شود؟

New Sessions Per Second یا تعداد Connectionهای جدید در هر ثانیه، نشان می‌دهد فایروال با چه سرعتی می‌تواند Sessionهای جدید را ایجاد و مدیریت کند.

این شاخص در همه شبکه‌ها به یک اندازه مهم نیست.

مثال:

یک سازمان دارای یک نرم‌افزار داخلی است که کاربران در طول روز Sessionهای نسبتاً پایدار دارند.

در این حالت ممکن است تعداد Sessionهای هم‌زمان مهم‌تر باشد.

اما فرض کنید یک مرکز خدمات آنلاین یا سامانه‌ای دارید که در زمان کوتاهی تعداد زیادی کاربر جدید وارد آن می‌شوند.

در این شرایط:

New Sessions/Sec

اهمیت بیشتری پیدا می‌کند.

بنابراین دو فایروال با Throughput مشابه، الزاماً در چنین سناریویی عملکرد یکسانی ندارند.

 

تعداد کاربران را چگونه در انتخاب ظرفیت در نظر بگیریم؟

تعداد کاربران به‌تنهایی معیار دقیقی برای انتخاب Firewall نیست.

مثلاً دو سازمان را در نظر بگیرید:

سازمان A

  • 1000 کاربر
  • اینترنت 2Gbps
  • استفاده سنگین از سرویس‌های Cloud
  • SSL Inspection فعال
  • VPN زیاد

سازمان B

  • 1000 کاربر
  • اینترنت 2Gbps
  • ترافیک عمدتاً داخلی
  • SSL Inspection محدود
  • VPN بسیار کم

تعداد کاربران و پهنای باند اینترنت در هر دو سازمان یکسان است، اما الگوی ترافیک و بار پردازشی فایروال متفاوت خواهد بود. پس هنگام انتخاب ظرفیت فایروال باید حداقل این موارد را کنار هم دید:

Users + Traffic + Sessions + Security Features + VPN

در نتیجه نمی‌توان صرفاً بر اساس عباراتی مانند «مناسب برای 1000 کاربر» درباره ظرفیت واقعی یک فایروال تصمیم گرفت.

 

Peak Traffic؛ میانگین ترافیک کافی نیست

یکی دیگر از موارد مهم در انتخاب ظرفیت فایروال، توجه به Peak Traffic یا بیشترین حجم ترافیک در ساعات پرترافیک است.

فرض کنید میانگین مصرف اینترنت یک سازمان حدود 2Gbps باشد، اما در ساعات کاری یا زمان اجرای سرویس‌های خاص، ترافیک به 3.5Gbps برسد.

اگر فایروال فقط بر اساس میانگین 2Gbps انتخاب شود، ممکن است در زمان‌های پرترافیک به محدودیت ظرفیت نزدیک شود.

بنابراین هنگام جمع‌آوری اطلاعات شبکه، بهتر است علاوه بر Average Traffic، موارد زیر نیز مشخص شوند:

  • میانگین مصرف ترافیک
  • Peak Traffic
  • زمان‌های وقوع بیشترین مصرف
  • روند رشد ترافیک
  • سهم ترافیک تحت Security Inspection

برای انتخاب ظرفیت فایروال، Peak Traffic در سناریوی واقعی معمولاً معیار کاربردی‌تری نسبت به میانگین مصرف است.

 

VPN را هنگام انتخاب فایروال مناسب فراموش نکنید

اگر فایروال قرار است علاوه بر Internet Edge، وظیفه VPN را هم انجام دهد، باید ظرفیت VPN را جداگانه بررسی کرد.

مثال

فرض کنید یک سازمان:

  • دفتر مرکزی
  • 20 شعبه
  • 300 کاربر Remote
  • ارتباط Site-to-Site VPN
  • Remote Access VPN

دارد.

ممکن است Throughput اینترنت مناسب باشد، اما تعداد Tunnelها یا ظرفیت VPN دستگاه برای این معماری کافی نباشد.

در Datasheetهای Vendorها معمولاً شاخص‌هایی مانند:

  • IPsec VPN Throughput
  • تعداد VPN Peer
  • Remote Access VPN Session

نیز ارائه می‌شوند.

مثلاً Cisco در دیتاشیت Secure Firewall 4100 مقدار IPsec VPN Throughput و Maximum VPN Peers را جداگانه مشخص می‌کند.

بنابراین اگر VPN بخش مهمی از معماری شبکه است، نباید ظرفیت آن را از روی Firewall Throughput حدس زد.

 

تفاوت نیاز Branch، سازمان متوسط و Data Center

یک عدد مشخص نمی‌تواند برای همه سازمان‌ها نسخه واحد باشد.

سناریوی اول؛ شعبه

یک شعبه با:

  • 50 کاربر
  • اینترنت 500Mbps
  • چند سرویس Cloud
  • VPN به مرکز

نیاز متفاوتی با Data Center دارد.

در اینجا ممکن است یک Appliance کوچک‌تر کاملاً کافی باشد.

سناریوی دوم؛ سازمان متوسط

فرض کنید:

  • 500 کاربر
  • اینترنت 2Gbps
  • IPS
  • Application Control
  • Web Filtering
  • VPN
  • SSL Inspection برای بخشی از کاربران

در اینجا باید بیشتر به Threat Protection، SSL Inspection، Sessions و VPN توجه کرد.

سناریوی سوم؛ Data Center

فرض کنید Data Center:

  • چند لینک 10Gbps
  • تعداد زیادی Server
  • میلیون‌ها Session
  • ترافیک East-West
  • IPS
  • SSL Inspection
  • چندین Segment امنیتی

دارد.

در این محیط، فقط سرعت اینترنت معیار نیست و Session Scale، Interface Capacity، New Sessions/Sec، Latency و قابلیت‌های امنیتی اهمیت بسیار بیشتری پیدا می‌کنند.

 

سناریوی واقعی برای انتخاب ظرفیت فایروال

فرض کنیم یک شرکت 700 کاربر دارد.

زیرساخت فعلی:

  • Internet: 2Gbps
  • دو لینک اینترنت
  • حدود 700 کاربر
  • 150 Server و Network Device
  • Site-to-Site VPN با 8 شعبه
  • Remote Access VPN
  • IPS فعال
  • Application Control فعال
  • SSL Inspection برای حدود 60 درصد کاربران
  • استفاده قابل‌توجه از Microsoft 365 و سرویس‌های Cloud

مدیر شبکه می‌گوید:

ما فقط 2Gbps  اینترنت داریم؛ پس یک Firewall با Throughput حدود 2 تا 3گیگابیت برثانیه کافی است.

این نتیجه‌گیری اشتباه است.

چون فایروال فقط 2Gbps ترافیک خام را عبور نمی‌دهد؛ باید همین ترافیک را با IPS، Application Control و SSL Inspection پردازش کند. علاوه بر آن، VPN و تعداد Sessionها نیز باید در محدوده مناسب باشند.

پس روند صحیح این است:

2Gbps Internet

↓

Security Features

↓

SSL Inspection

↓

Sessions

↓

VPN

↓

Growth

↓

انتخاب مدل

یعنی به‌جای خرید دستگاهی که فقط 2Gbps را رد می‌کند، باید مدلی را انتخاب کرد که در سناریوی امنیتی واقعی سازمان، ظرفیت کافی داشته باشد.

 

ظرفیت فایروال را در FortiGate، Sophos و Cisco چگونه مقایسه کنیم؟

در مقایسه ظرفیت فایروال‌های مختلف، نباید فقط بزرگ‌ترین عدد Datasheet را پیدا کرد و گفت مثلاً:

FortiGate = X Gbps

Sophos = Y Gbps

Cisco = Z Gbps

چنین مقایسه‌ای بدون توجه به روش تست، شرایط Benchmark، قابلیت‌های فعال و نوع شاخص Performance می‌تواند گمراه‌کننده باشد.

برای نمونه، Fortinet شاخص‌هایی مانند Firewall Throughput، SSL Inspection Throughput، Application Control Throughput، Concurrent Sessions و New Sessions/Sec را برای محصولات خود ارائه می‌کند.

Sophos نیز در مشخصات مدل‌های XGS شاخص‌های جداگانه‌ای مانند Firewall، IPS، Threat Protection، NGFW، Concurrent Connections، New Connections/sec و SSL/TLS Inspection ارائه می‌کند.

Cisco نیز در خانواده Secure Firewall شاخص‌هایی مانند FW + AVC، FW + AVC + IPS، Concurrent Sessions، New Connections/Sec و IPsec VPN Throughput را منتشر می‌کند. شاخص‌هایی مانند FW + AVC و FW + AVC + IPS به سناریوهایی اشاره دارند که قابلیت‌های امنیتی مشخصی در کنار پردازش Firewall فعال هستند و برای مقایسه عملکرد، از Firewall Throughput خام مرتبط‌تر هستند.

بنابراین برای مقایسه FortiGate، Sophos و Cisco بهتر است ابتدا سناریوی واقعی سازمان مشخص شود؛ سپس شاخص Performance مرتبط با همان سناریو در هر Vendor بررسی شود.

هدف، پیدا کردن بزرگ‌ترین عدد نیست؛ هدف پیدا کردن مدلی است که در شرایط واقعی شبکه، با قابلیت‌های امنیتی موردنیاز، ظرفیت کافی برای ترافیک، Sessionها، VPN و رشد آینده را داشته باشد.

 

اشتباهات رایج هنگام انتخاب ظرفیت فایروال

  • انتخاب بر اساس بزرگ‌ترین عدد Throughput

دیدن یک عدد بزرگ در Datasheet به‌تنهایی دلیل کافی برای انتخاب دستگاه نیست.

  • نادیده گرفتن SSL Inspection

اگر سازمان قصد دارد HTTPS را بازرسی کند، ظرفیت SSL Inspection باید جداگانه بررسی شود.

  • توجه نکردن به Session

ممکن است پهنای باند کم باشد اما تعداد Session بسیار بالا باشد.

  • انتخاب فایروال بر اساس تعداد کاربران به‌تنهایی

1000 کاربر در دو سازمان می‌تواند دو نیاز کاملاً متفاوت ایجاد کند.

  • فراموش کردن رشد آینده

اگر سازمان امروز 2Gbps مصرف دارد اما احتمال دارد طی دو یا سه سال به 5Gbps برسد، خرید دقیقاً متناسب با مصرف امروز می‌تواند باعث شود دستگاه خیلی زود به محدودیت برسد.

  • مقایسه مستقیم اعداد Vendorها

اینکه یک Vendor عدد بزرگ‌تری در Datasheet دارد، لزوماً به معنی Performance بهتر در سناریوی واقعی شما نیست؛ چون شرایط و روش‌های Benchmark می‌توانند متفاوت باشند.

 

چک‌لیست انتخاب ظرفیت فایروال

قبل از انتخاب مدل، این اطلاعات را جمع‌آوری کنید:

1. مشخصات شبکه

  • پهنای باند فعلی اینترنت
  • Average Traffic
  • Peak Traffic
  • پهنای باند مورد انتظار در آینده
  • تعداد کاربران
  • تعداد Deviceها
  • تعداد شعب
  • حجم ترافیک داخلی و اینترنتی
  • الگوی مصرف و زمان‌های پرترافیک

 

2. قابلیت‌های امنیتی

  • IPS
  • Application Control
  • Web Filtering
  • Antivirus / Malware Protection
  • SSL/TLS Inspection
  • Threat Protection

 

3. Session و VPN

  • Concurrent Sessions
  • New Sessions/Sec
  • IPsec VPN Throughput
  • تعداد VPN Tunnel
  • Remote Access VPN

 

4. زیرساخت

  • تعداد و نوع Interfaceها
  • 1G / 10G / 25G / 40G و بالاتر
  • نیاز به HA
  • محل استقرار Firewall
  • رشد احتمالی شبکه
  • ظرفیت رزرو یا Headroom موردنیاز

بعد از جمع‌آوری این اطلاعات، می‌توان مشخصات چند مدل را کنار هم گذاشت و بر اساس سناریوی واقعی تصمیم گرفت.