Guida al dimensionamento di Sophos Firewall: dimensionare correttamente XGS Appliance

Il dimensionamento di Sophos Firewall non riguarda solo il numero di utenti. Un firewall può essere caricato in modo molto diverso con lo stesso numero di utenti: a causa della larghezza di banda Internet, dell’ispezione TLS, dell’IPS, della VPN, della protezione web, del WAF, del reporting, dell’HA, di molti VLAN o di molte connessioni simultanee.

Un buon dimensionamento garantisce che Sophos Firewall funzioni non solo il primo giorno, ma anche con le funzioni di protezione attivate, una crescita realistica e un funzionamento pulito, mantenendo una riserva. Per decidere tra hardware e appliance virtuale, consulta Sophos Firewall - Hardware o appliance virtuale?.

Obiettivo del dimensionamento

L’obiettivo non è trovare il modello più piccolo che sia sufficiente in condizioni di laboratorio ideali. In pratica, il firewall dovrebbe rimanere stabile anche quando accadono più cose contemporaneamente:

• molti utenti lavorano in parallelo,
• l’ispezione TLS o l’IPS è attivo,
• le VPN site-to-site o di accesso remoto sono in esecuzione,
• il reporting e il logging generano carico aggiuntivo,
• i backup, gli aggiornamenti o le diagnosi di supporto sono in esecuzione in background,
• una sede cresce o ottiene più larghezza di banda.

Pertanto, è sempre consigliabile pianificare con riserve. Un firewall dimensionato al limite genera successivamente richieste di supporto: connessioni Internet lente, elevato carico della CPU, perdite di pacchetti, WebAdmin lento, connessioni VPN instabili o mancanza di riserve per nuove funzioni di sicurezza.

I fattori di dimensionamento più importanti

Larghezza di banda Internet e profilo del traffico

La linea Internet prenotata è un buon punto di partenza, ma non è tutta la verità. È importante sapere quanto di essa viene effettivamente utilizzato contemporaneamente e quale traffico passa attraverso il firewall.

Verifica:

• linea simmetrica o asimmetrica,
• traffico di picco durante l’orario lavorativo,
• molte piccole sessioni web o pochi grandi download,
• backup su cloud, Microsoft 365, VoIP, riunioni online,
• collegamento tra sedi tramite VPN o SD-WAN,
• traffico interno tra VLAN che passa anch’esso attraverso il firewall.

Se il firewall funge anche da dispositivo di routing e segmentazione interno, è necessario pianificare non solo il throughput WAN, ma anche il traffico est-ovest. Le basi su zone, VLAN e design delle interfacce sono disponibili in Configurare zone e interfacce di Sophos Firewall.

Funzioni di protezione

Più moduli di sicurezza sono attivi, più l’appliance deve essere dimensionata. Particolarmente rilevanti sono:

• IPS,
• Protezione web,
• Controllo delle applicazioni,
• Ispezione SSL/TLS,
• Protezione Zero-Day,
• WAF,
• Protezione della posta,
• Threat Feeds,
• Reporting e Log Viewer.

I valori delle schede tecniche sono comparabili solo se è chiaro quale funzione è stata misurata. Il throughput del firewall senza ispezione di sicurezza non è lo stesso del throughput di protezione dalle minacce o di ispezione TLS. Per ambienti produttivi, non si dovrebbe guardare solo al valore di marketing più alto, ma alla metrica che si adatta al proprio utilizzo.

Per l’ispezione TLS è inoltre importante sapere se l’organizzazione può gestire il rollout in modo tecnico e organizzativo. Il processo pratico è descritto in Distribuire correttamente l’ispezione TLS di Sophos Firewall.

Utenti, dispositivi e sessioni

Il numero di utenti rimane importante, ma non è sufficiente. Un ufficio con 50 utenti, pochi servizi cloud e senza ispezione TLS carica il firewall in modo diverso rispetto a una sede con 50 utenti, server terminali, molte applicazioni SaaS, VoIP, rete ospiti, IoT, accesso remoto e più zone server.

Inoltre, contano:

• Numero di dispositivi per utente,
• Reti ospiti e IoT,
• Server, stampanti, telecamere e dispositivi speciali,
• Sessioni simultanee,
• Molte piccole richieste DNS o web,
• Utenti di accesso remoto,
• Sistemi automatizzati come backup, monitoraggio o EDR.

In ambienti misti con molti VLAN, è meglio pianificare in base ai flussi di traffico piuttosto che solo in base al numero di utenti.

VPN, SD-WAN e collegamento tra sedi

La VPN può caricare notevolmente un firewall, soprattutto quando si combinano molti tunnel, alta larghezza di banda o molti utenti di accesso remoto.

Pianificare:

• IPsec site-to-site,
• VPN basata su route con interfacce XFRM,
• Accesso remoto tramite Sophos Connect o SSL VPN,
• Route delle policy SD-WAN,
• Più linee WAN,
• Scenari di failover,
• Temi MTU/MSS per i percorsi VPN.

Per le prestazioni VPN, non si dovrebbe considerare solo lo stato del tunnel. È fondamentale che il traffico produttivo funzioni stabilmente con regole attivate, NAT, routing e ispezione di sicurezza. Per i percorsi di routing e VPN, Route IPsec su Sophos Firewall e Routing SD-WAN per pacchetti di risposta e traffico di sistema sono approfondimenti adatti.

Logging, reporting e archiviazione

Il logging aiuta nel funzionamento, ma genera anche carico e necessità di archiviazione. Chi utilizza molte regole del firewall con logging, filtro web, IPS, controllo delle applicazioni e Central Firewall Reporting dovrebbe chiarire presto i requisiti di reporting.

Verifica:

• Quali regole devono avere il logging attivo?
• Per quanto tempo devono essere disponibili i log?
• Viene utilizzato Central Firewall Reporting in Sophos Fusion (in precedenza Sophos Central)?
• Esistono Syslog o SIEM?
• I report devono essere creati regolarmente?
• I dati di log sono necessari per il troubleshooting o la conformità?

Per un’analisi più lunga, il firewall da solo spesso non è il posto giusto. In tal caso, si dovrebbe pianificare Central Firewall Reporting o un’esportazione Syslog/SIEM.

Hardware, virtuale o cloud?

XGS Appliance

Un’XGS Appliance è spesso la variante più pianificabile per le sedi classiche. Hardware, porte, supporto, ciclo di vita e prestazioni sono definiti come pacchetto completo.

Vantaggi:

• Hardware firewall dedicato,
• Opzioni chiare di porte ed espansione,
• Gestione semplice del supporto e RMA,
• Prestazioni pianificabili,
• Minore dipendenza da un hypervisor.

L’hardware è particolarmente utile quando il firewall è il punto centrale di sicurezza e routing nella sede.

Sophos Firewall virtuale

Un firewall virtuale si adatta bene a data center, ambienti cloud o segmenti di rete virtualizzati. Le prestazioni dipendono fortemente da CPU, RAM, storage, hypervisor, schede di rete virtuali e carico dell’host.

Importante:

• Le risorse CPU non devono essere sovraccaricate in modo permanente.
• Le NIC virtuali e i gruppi di porte devono essere separati correttamente.
• La latenza dello storage può influenzare il logging e il reporting.
• Backup e ripristino devono adattarsi alla piattaforma di virtualizzazione.
• Il design HA e failover deve essere pianificato in anticipo.

La licenza e la decisione tra hardware e appliance virtuale dovrebbero essere esaminate separatamente. Per questo, consulta Sophos Firewall - Hardware o appliance virtuale?.

Dai requisiti al modello adatto

Un’associazione fissa come «50 utenti = modello X» sarebbe fuorviante. I limiti tecnici e i valori di throughput di ogni appliance non consentono di definire un limite universale di utenti. Due sedi con lo stesso numero di persone possono richiedere modelli diversi per ispezione TLS, dimensioni dei pacchetti, sessioni e traffico est-ovest.

Verificare prima i criteri di esclusione

Prima di confrontare il throughput devono essere soddisfatti i requisiti non negoziabili:

• formato, rumorosità, alimentazione e ambiente operativo;
• numero, tipo e velocità delle porte fisse e modulari;
• requisiti di archiviazione locale e reporting;
• funzioni, abbonamenti e opzioni di supporto necessarie;
• massimi documentati per sessioni, nuove connessioni e tunnel VPN;
• ridondanza di alimentatori, interfacce e nodo HA.

Un modello va escluso appena non soddisfa uno di questi criteri, anche se il throughput firewall nominale è sufficiente. La matrice e le specifiche cambiano con la generazione: prima dell’ordine usare sempre la scheda tecnica ufficiale Sophos aggiornata.

Considerare le classi come fattori di forma

Le appliance desktop sono spesso adatte a piccole sedi e filiali. I modelli 1U offrono in genere più densità di porte, espandibilità e margine di prestazioni per sedi centrali o distribuite. I modelli 2U sono pensati per ambienti enterprise con larghezza di banda, carico di sessioni e ridondanza molto elevati. Queste classi non definiscono una fascia affidabile di utenti.

Sui modelli entry-level conta anche il set di funzioni: secondo la scheda tecnica XGS Appliance di Sophos, XGS 88 e XGS 88w non supportano alcune funzioni, tra cui reporting on-box, doppia scansione AV, scansione AV WAF e MTA e-mail; Sophos consiglia XGS 108 o XGS 108w quando sono necessarie. È un criterio di esclusione che un maggiore margine di throughput non compensa.

Verificare i candidati con lo strumento di dimensionamento

Dopo aver escluso i modelli inadatti, confrontare i candidati con la scheda tecnica aggiornata e Sophos Firewall Sizing Tool. Lo strumento è disponibile ai partner nel Sophos Partner Portal e Sophos offre anche assistenza al dimensionamento. Fornire il profilo di traffico documentato, tutte le protezioni, VPN, flussi interni, HA e crescita, non solo utenti e banda WAN. Il risultato è una preselezione motivata, non una garanzia di prestazioni in produzione.

Riserva, HA e crescita

Un firewall non dovrebbe funzionare costantemente vicino al limite. Le riserve sono importanti per:

• Crescita della linea Internet,
• Nuove sedi o VLAN,
• Attivazione successiva di ispezione TLS o IPS,
• Più utenti di accesso remoto,
• Ulteriori requisiti di logging e reporting,
• Aggiornamenti firmware con nuove funzioni,
• Situazioni di disturbo e failover.

Con HA è necessario pianificare con particolare attenzione. In un design Active-Passive, un singolo nodo deve essere in grado di gestire il carico produttivo da solo. Active-Active non è un lasciapassare per un dimensionamento al limite, poiché non ogni carico viene distribuito linearmente. I punti architettonici più importanti sono disponibili in Comprendere le varianti del cluster HA di Sophos Firewall.

Come regola generale, nei nuovi progetti non si dovrebbe pianificare un firewall che in condizioni normali mostri già un utilizzo molto elevato di CPU, RAM o sessioni. L’articolo Interpretare correttamente le metriche delle prestazioni di Sophos Firewall aiuta nella verifica operativa successiva.

Processo pratico di dimensionamento

1. Raccogliere la situazione di partenza

Per prima cosa viene descritto l’ambiente:

• Sedi e linee WAN,
• Utenti e dispositivi,
• VLAN e zone interne,
• Servizi server e DMZ,
• Requisiti VPN e accesso remoto,
• Moduli di sicurezza pianificati attivamente,
• Requisiti di reporting e log,
• Requisiti HA o cloud.

In caso di sostituzione o migrazione, è opportuno integrare questo inventario con misurazioni del firewall esistente. Durante periodi di picco rappresentativi, aprire Control center > System, espandere la vista di sistema e controllare CPU & Memory e Network, in particolare CPU, memoria, larghezza di banda, sessioni, Decryption capacity e Decrypt sessions. Una singola rilevazione in un momento tranquillo non costituisce una baseline affidabile; effettuare più misurazioni nelle normali giornate lavorative e durante i picchi di carico noti.

2. Identificare i driver di carico critici

Successivamente, vengono identificati i punti che possono far salire il modello:

• Ispezione TLS ampiamente utilizzata,
• Molte connessioni protette da IPS,
• Elevato throughput VPN,
• Molte sessioni simultanee,
• Molte regole del firewall con logging,
• WAF o protezione della posta,
• Forte segmentazione con traffico interno attraverso il firewall,
• Crescita nei prossimi tre-cinque anni.

3. Verificare i requisiti rigidi nella matrice dei modelli

Escludere ora i modelli inadatti. Verificare numero e velocità delle porte, moduli di espansione, formato, alimentazione e ridondanza, archiviazione locale, funzioni richieste e massimi documentati. Anche la licenza deve coprire le protezioni previste. Farlo prima del confronto delle prestazioni: porte mancanti, una funzione non supportata o un limite di sessioni insufficiente non sono compensati da un buon throughput.

4. Leggere correttamente i valori delle schede tecniche

I valori delle schede tecniche sono throughput massimi misurati da Sophos in condizioni ideali con Keysight-Ixia BreakingPoint, non prestazioni garantite in produzione. Firewall Throughput usa traffico HTTP con risposte da 512 KB. Firewall IMIX usa pacchetti UDP da 66, 570 e 1518 byte. Il test IPS usa traffico HTTP, il set di regole IPS predefinito e oggetti da 512 KB. TLS Inspection viene misurato con IPS attivo, sessioni HTTPS e diverse suite di cifratura. Threat Protection combina firewall, IPS, Application Control e Malware Prevention usando Enterprise Traffic Mix. Le prestazioni reali dipendono dal profilo del traffico, dalle regole, dalla cifratura, dalle dimensioni dei pacchetti e dai servizi attivi contemporaneamente.

Occorre quindi usare la metrica più vicina all’operatività prevista:

Metriche importanti:

• Firewall Throughput: solo un’indicazione generale del throughput dei pacchetti senza l’intero insieme di funzioni di sicurezza.
• IPS Throughput: rilevante per ambienti con Intrusion Prevention attiva.
• Threat Protection: spesso più realistico quando più funzioni di protezione sono attive contemporaneamente.
• TLS Inspection: importante per ambienti con traffico HTTPS decrittografato.
• IPsec VPN Throughput: rilevante per l’interconnessione tra sedi e il carico VPN.
• Concurrent Connections: importante con molti client, sessioni web e servizi.

Se più di questi punti sono rilevanti contemporaneamente, non si dovrebbe considerare solo una singola metrica.

5. Stabilire la riserva

Prima di scegliere il modello definitivo, non aggiungere semplicemente una percentuale di riserva arbitraria. Confrontare invece tre scenari:

• Picco normale: il carico realistico più elevato con tutte le funzioni di protezione previste.
• Picco di failover: lo stesso carico su un singolo nodo HA e durante il guasto di un collegamento WAN.
• Picco futuro: larghezza di banda, sessioni e funzioni di protezione aggiuntive previste nei prossimi tre-cinque anni.

Un modello è adatto solo se le metriche pertinenti, le porte e le funzioni in licenza coprono tutti e tre gli scenari con una riserva giustificabile. Questa può essere inferiore per una semplice sede autonoma rispetto a un firewall centrale, un cluster HA o un ambiente in rapida crescita.

6. Validare in Control Center

Il dimensionamento non termina con l’ordine. Dopo l’implementazione, aprire Control center > System durante periodi di picco rappresentativi, espandere la vista di sistema e confrontare i contatori disponibili in CPU & Memory e Network con le ipotesi:

• Utilizzo di CPU e memoria,
• Larghezza di banda WAN e numero di sessioni,
• Decryption capacity e Decrypt sessions con TLS Inspection,

Verificare inoltre con misurazioni e osservazioni adeguate:

• Throughput VPN,
• Tempo di risposta di WebAdmin,
• Log Viewer e reporting,
• Perdite di pacchetti o ritrasmissioni,
• Prestazioni dopo l’attivazione di funzioni di protezione aggiuntive.

Un singolo picco è meno importante di una saturazione ricorrente o persistente. Nella vista di sistema espansa, il grafico Load Average mostra la settimana precedente. Se il valore supera il numero di core del processore, il sistema aveva più lavoro di quanto potesse elaborare in quel periodo. È un segnale concreto per riesaminare il dimensionamento, le funzioni attive o un traffico insolito.

Per misurazioni riproducibili, Utilizzare il test di velocità iPerf di Sophos Firewall per la risoluzione dei problemi può essere utile. Per semplici test di velocità WAN, Interpretare correttamente il test di velocità Internet di Sophos Firewall è il punto di partenza appropriato.

7. Preparare collaudo e ritorno alla configurazione precedente

Prima del go-live, documentare ipotesi e criteri di successo. Eseguire il collaudo con tutte le regole e le protezioni previste. Provare il picco normale, i percorsi VPN e inter-VLAN e, in HA, il carico su un solo nodo. Valutare insieme CPU, load average, memoria, sessioni, capacità di decifratura, perdita di pacchetti e risposta delle applicazioni importanti; un solo speed test Internet non basta.

In una sostituzione hardware, conservare un backup recente verificato e un percorso documentato verso il cablaggio precedente finché il test non riesce. Se il nuovo sistema non soddisfa i criteri, non disattivare indiscriminatamente le protezioni. Verificare prima regola e routing effettivamente usati, negoziazione del link, ispezione attiva e, per firewall virtuali, risorse dell’host. Se la causa non può essere risolta in sicurezza nella finestra di manutenzione, tornare al percorso precedente preparato e valutare con Sophos o il partner se modificare configurazione, piattaforma o modello.

Troubleshooting dopo il go-live

• Throughput inferiore all’obiettivo: verificare velocità e duplex del link, il percorso della regola effettivamente applicata e le ispezioni IPS, web e TLS attive. Confrontare poi la misura con la metrica corrispondente della scheda tecnica, non con il massimo firewall grezzo.
• Load average ripetutamente superiore al numero di core: circoscrivere orario e flusso tramite Control Center, log e Current activities. Un breve picco non dimostra un dimensionamento errato; una saturazione ricorrente con perdite o applicazioni lente va investigata.
• Decryption capacity esaurita o Decrypt sessions vicine al limite documentato del modello: verificare quali regole decifrano e se il profilo HTTPS reale differisce dall’ipotesi. Conservare le osservazioni e rivalutare modello o ambito di ispezione con Sophos o il partner, invece di disattivare il controllo senza verifica.
• Solo il firewall virtuale è lento: controllare anche assegnazioni e riserve CPU/RAM, overcommit dell’host, latenza dello storage e NIC virtuali.

Errori comuni di dimensionamento

• Dimensionare solo in base al numero di utenti.
• Confondere i valori delle schede tecniche per il throughput del firewall con il carico di protezione dalle minacce.
• Attivare l’ispezione TLS in seguito senza aver pianificato una riserva.
• Pianificare l’HA ma non verificare se un nodo ha abbastanza potenza da solo.
• Ignorare il traffico inter-VLAN.
• Sottovalutare il reporting e il logging.
• Eseguire firewall virtuali su host sovraccaricati.
• Non considerare la crescita della linea Internet.
• Pianificare l’accesso remoto e la VPN site-to-site solo in base al numero di tunnel anziché al throughput.

Checklist

• Larghezza di banda Internet e utilizzo di picco reale conosciuti.
• Utenti, dispositivi, VLAN e zone server registrati.
• Moduli di sicurezza pianificati documentati.
• Porte, set di funzioni, subscription e limiti della piattaforma verificati.
• Ispezione TLS, IPS, VPN, WAF, protezione della posta e reporting valutati separatamente.
• Traffico interno attraverso il firewall considerato.
• Design HA e carico di failover verificati.
• Deciso consapevolmente tra hardware o appliance virtuale.
• Pianificata riserva di crescita per diversi anni.
• Dopo l’implementazione, metriche di prestazione verificate.
• Criteri di collaudo, backup e ritorno documentati.

FAQ