Sophos Firewall-prestaties correct interpreteren

De prestaties van een Sophos Firewall zijn belangrijk voor de dimensionering, maar worden vaak verkeerd gelezen. De hoogste firewall-doorvoer in het datasheet is niet automatisch de prestatie die een locatie bereikt met IPS, Web Protection, TLS Inspection, VPN, NAT, rapportage en veel gelijktijdige gebruikers.

Voor de keuze van een model moet men daarom niet alleen naar een enkel Gbit/s-getal kijken. Belangrijk is welke beveiligingsfuncties actief zijn, welk verkeer door de firewall stroomt en welke reserves de omgeving in het dagelijks leven nodig heeft. De Sophos Firewall Sizing Guide legt de modelkeuze uit; dit artikel legt uit hoe de onderliggende prestatiestatistieken te beoordelen.

Vuistregel voor dimensionering

Voor de praktijk is meestal niet de pure firewall-doorvoer de beste startwaarde.

• Alleen routing en eenvoudige firewallregels: Let op firewall-doorvoer en IMIX.
• Normaal bedrijfsnetwerk met IPS en Application Control: Geef meer gewicht aan NGFW- of Threat-Protection-waarden.
• Veel HTTPS-verbindingen met decryptie: Plan TLS-Inspection-prestaties en CPU-reserve in.
• Veel VPN-verbindingen: Bekijk IPsec- of Remote-Access-vereisten afzonderlijk.
• Virtuele firewall: Neem hypervisor, CPU, RAM, opslag en virtuele netwerkkaarten net zo serieus als de Sophos-licentie.

Als het onduidelijk is of hardware of een virtuele appliance beter past, helpt Sophos Firewall - Hardware of virtuele appliance? als beslissingshulp.

Waarom datasheetwaarden niet één op één voldoende zijn

Prestatiegegevens worden onder gedefinieerde laboratoriumomstandigheden bepaald. Dit is zinvol omdat modellen zo vergelijkbaar worden. Een productieve omgeving gedraagt zich echter anders:

• Pakketgroottes zijn gemengd.
• Gebruikers genereren parallelle sessies.
• Beveiligingsprofielen controleren verkeer op verschillende diepten.
• HTTPS-verkeer vereist bij TLS Inspection aanzienlijk meer middelen.
• VPN, SD-WAN, NAT, logging en rapportage draaien parallel.
• WLAN, switches, clients, servers en providers beïnvloeden de waargenomen prestaties.

Een datasheetwaarde is daarom een vergelijkingswaarde, geen belofte voor elke afzonderlijke flow. Voor een solide dimensionering moet men met reserves plannen en de latere operationele functies niet pas na aankoop in overweging nemen.

Lees de testvoorwaarden voordat u cijfers vergelijkt

De voetnoten in de Sophos-datasheets horen bij de meetwaarde. Sophos meet de maximale waarden onder ideale omstandigheden met Keysight-Ixia BreakingPoint. Firewall Throughput gebruikt HTTP-verkeer met antwoorden van 512 KB; Firewall IMIX combineert UDP-pakketten van 66, 570 en 1518 bytes. IPS Throughput is gebaseerd op HTTP-verkeer, de standaard IPS-regelset en objecten van 512 KB. TLS Inspection wordt gemeten met actieve IPS, HTTPS-sessies en verschillende cipher suites. Threat Protection combineert firewall, IPS, Application Control en Malware Prevention met de Enterprise Traffic Mix. NGFW Throughput wordt gemeten met actieve IPS en Application Control, HTTP-verkeer en objecten van 512 KB. IPsec VPN gebruikt HTTP-verkeer via meerdere tunnels met antwoorden van 512 KB.

Dankzij deze voorwaarden kunnen modellen op dezelfde basis worden vergeleken. Tel de waarden echter niet bij elkaar op en beschouw ze niet als een toezegging voor uw eigen verkeersmix. Kleine pakketten, korte sessies, andere cipher suites en extra services kunnen het resultaat veranderen.

De belangrijkste statistieken

• Firewall Throughput: Helpt eenvoudige Layer 3/Layer 4-verwerking te vergelijken. De klassieke fout is deze waarde als echte internetdoorvoer met alle beveiligingsfuncties te lezen.
• Firewall IMIX: Gebruikt een realistischer mengsel van pakketgroottes. Deze waarde wordt vaak genegeerd, hoewel productienetwerken niet alleen grote pakketten vervoeren.
• IPS Throughput: Beschrijft verkeer met Intrusion Prevention. Dit wordt belangrijk wanneer IPS een groot deel van het verkeer inspecteert.
• NGFW Throughput: Beschrijft prestaties met aanvullende functies zoals IPS en Application Control. Verwar dit niet met pure firewall-doorvoer.
• Threat Protection: Benadert een omgeving met meerdere actieve beveiligingsfuncties beter. Het blijft een vergelijkingswaarde, geen gegarandeerd minimum.
• TLS Inspection: Heeft betrekking op HTTPS-decryptie en inspectie. Deze mogelijk zware belasting wordt bij dimensionering vaak vergeten.
• IPsec VPN: Heeft betrekking op versleuteld verkeer tussen locaties. Peer, pakketgroottes, cryptografische instellingen en CPU tellen net zo goed mee als de internetverbinding.
• Concurrent Connections: Geeft aan hoeveel verbindingen de firewall gelijktijdig kan bijhouden. Dit is een capaciteitslimiet, geen doorvoerwaarde.
• New Connections per second: Geeft aan hoeveel nieuwe verbindingen de firewall per seconde kan verwerken. Veel korte web-, API- of DNS-verbindingen kunnen deze limiet belasten terwijl de bandbreedte laag blijft.

Firewall-doorvoer en IMIX

De pure firewall-doorvoer beschrijft een relatief eenvoudige verwerking van verkeer. Deze waarde is nuttig wanneer een firewall vooral routeert, NAT uitvoert en klassieke firewallregels verwerkt.

IMIX ligt dichter bij echte netwerkbelasting omdat verschillende pakketgroottes worden gemengd. Dit is belangrijk omdat kleine pakketten een firewall anders belasten dan grote downloads. In bedrijfsnetwerken is er zelden slechts één schone grote datastroom. Webtoegang, DNS, VoIP, cloudtoepassingen, updates en bestandsoverdrachten genereren verschillende patronen.

Voor locaties met normaal gebruikersverkeer is IMIX daarom vaak veelzeggender dan de mooiste maximale waarde.

IPS, NGFW en Threat Protection

Zodra IPS, Application Control, Web Protection of malwarecontrole actief zijn, moet de firewall meer doen dan alleen pakketten doorsturen. De firewall moet verkeer classificeren, patronen herkennen, regels toepassen en afhankelijk van het beleid inhoud controleren.

De termen worden vaak door elkaar gehaald:

• IPS beoordeelt verkeer op basis van handtekeningen en regels voor bekende aanvalspatronen.
• NGFW beschrijft firewallprestaties met extra functies zoals IPS en Application Control.
• Threat Protection is een sterkere benaderingswaarde voor omgevingen waarin meerdere beveiligingsfuncties tegelijkertijd actief zijn.

Voor een bedrijf dat de Sophos Firewall daadwerkelijk als Security Gateway gebruikt, zijn NGFW- en Threat-Protection-waarden meestal relevanter dan de pure firewall-doorvoer.

TLS Inspection realistisch plannen

TLS Inspection is een van de grootste prestatiefactoren. De firewall ontsleutelt HTTPS-verbindingen, controleert de inhoud en versleutelt de verbinding opnieuw. Dit genereert CPU-belasting en kan afhankelijk van de cipher suite, doelserver, client, uitzonderingen en beleid aanzienlijk merkbaar zijn.

TLS Inspection moet daarom niet zomaar worden geactiveerd. Een stapsgewijze uitrol met een pilotgroep, uitzonderingen, monitoring en duidelijke foutopsporing is zinvol. Het artikel Sophos Firewall TLS Inspection correct implementeren beschrijft de operationele procedure.

Ook het CA-certificaat moet correct worden verspreid. Voor clients is Sophos Firewall CA-certificaat voor HTTPS-scanning installeren de juiste start.

VPN-prestaties afzonderlijk bekijken

VPN-prestaties hangen niet alleen af van het firewallmodel. Ook de tegenpartij, internetverbinding, latentie, pakketgroottes, MTU/MSS, versleutelingsparameters, routing en parallelle tunnels zijn relevant.

Voor site-to-site-verbindingen moet men de geplande datastromen realistisch inschatten: bestandsoverdrachten, back-ups, ERP, VoIP, RDP, monitoring en replicatie gedragen zich verschillend. Voor Remote Access komen daar nog clientapparaat, WLAN, provider en VPN-client bij.

Als een VPN-verbinding traag lijkt, moet men niet alleen de datasheetwaarde controleren. Een gedefinieerde verbindingstest met iPerf is meestal veelzeggender dan een browser-snelheidstest.

Wat de werkelijke prestaties beïnvloedt

In de praktijk werken meerdere factoren tegelijkertijd:

• actieve beveiligingsprofielen per firewallregel
• TLS Inspection en uitzonderingen
• IPS-beleid en handtekeningomvang
• Web Protection, Application Control en malwarecontrole
• NAT, DNAT, serverpublicatie en WAF
• IPsec, SSL VPN, Sophos Connect en site-to-site-tunnels
• Logging, rapportage, Central Reporting en Syslog
• veel kleine sessies in plaats van enkele grote downloads
• Firewall Acceleration, FastPath, IPsec Acceleration en verkeer dat niet kan worden offloaded
• HA-bedrijf, firmwareversie en hotfixes
• virtuele middelen bij software- of cloud-appliances

Daarom moet men prestaties altijd in de context van het specifieke beleid controleren. Een firewallregel zonder beveiligingsprofielen gedraagt zich anders dan een regel met IPS, webfilter, Application Control en TLS Inspection.

FastPath en Offloading correct beoordelen

Moderne Sophos Firewalls verwerken niet elke datastroom op dezelfde manier. Afhankelijk van de appliance, firmware, regel, beveiligingsprofiel en verkeerstype kan verkeer gedeeltelijk worden versneld of in een langzamer verwerkingspad worden gecontroleerd. Belangrijke termen hiervoor zijn FastPath, Firewall acceleration, PKI acceleration en IPsec acceleration.

De eerste classificatie vindt nog steeds in SlowPath plaats: de kernel en, waar van toepassing, de DPI-engine inspecteren de verbinding. Nadat de TCP-handshake is voltooid of één pakket in elke richting is gepasseerd, kan SFOS een geschikte flow in de FastPath-verbindingscache opnemen. FastPath is dus geen ongeïnspecteerde bypass; het verwerkt alleen de status die door de kernel is geprogrammeerd. Niet-geschikte protocollen zoals IP-in-IP blijven in SlowPath.

Voor de dimensionering is dit belangrijk, omdat een snelle test niet bewijst dat elke productiestroom hetzelfde pad gebruikt. Sophos vermeldt Firewall en IPsec Acceleration voor alle XGS Appliances. Dedicated PKI Acceleration voor de certificaatverwerking van geïnspecteerde TLS-flows is alleen gedocumenteerd voor XGS 4300, 4500, 5500, 6500, 7500 en 8500. De desktopmodellen Gen. 2 XGS 88/88w, 108/108w, 118/118w en 128/128w gebruiken Virtual FastPath in de x86-kernel in plaats van een dedicated Xstream Flow Processor.

Voor virtuele en software-appliances gelden nog strengere grenzen. Volgens de SFOS 22-help wordt Virtual FastPath alleen ondersteund met VMware ESXi en de NIC-drivers igc, e1000, e1000e en vmxnet3. Op andere hypervisors, in clouddeployments of met niet-ondersteunde drivers wordt VFP automatisch uitgeschakeld. De firewall blijft functioneren, maar zonder deze FastPath-verbetering. Voor e1000 en e1000e noemt Sophos een maximale MTU van 3500 bytes, en voor de overige ondersteunde drivers maximaal 9000 bytes. Dit zijn platformgrenzen en geen reden om jumbo frames zonder end-to-endtest in te schakelen.

PKI Acceleration versnelt niet de volledige TLS-verwerking. Bij TLS 1.2- en TLS 1.3-flows die door de DPI-engine worden geïnspecteerd, wordt alleen het opnieuw ondertekenen van X.509-servercertificaten met RSA-authenticatie tot 4096 bits offloaded. Symmetrische encryptie, webproxyverkeer en SSL VPN-verbindingen die op de firewall eindigen, profiteren er niet van.

Bepaalde functies of verkeerstypen kunnen offloading beperken of verhinderen, bijvoorbeeld:

• SSL VPN
• WAF en proxyverkeer
• QoS en DoS
• Draadloos, RED, LAG en PPPoE
• gefragmenteerd IP-verkeer
• bepaalde bridge-, HA- of virtualisatiescenario’s

Bij IPsec offloadt de XFRM-stack ESP-inkapseling, encryptie, decapsulatie en decryptie op basis van de fase 2-SA. SA’s met 3DES, BlowFish of MD5, SA’s op virtuele interfaces zoals VLAN’s en IPsec-verkeer via VLAN- of draadloze interfaces worden niet offloaded. De tunnel kan nog steeds werken, maar gebruikt dan meer host-CPU.

Beveiligingspolicies sluiten offloading niet categorisch uit. Een regel zonder IPS, webfiltering, antivirus of application control kan na de handshake of de eerste pakketten overschakelen; met application control vindt de beslissing volgens Sophos na ongeveer acht pakketten plaats. Bij STARTTLS met Don’t decrypt gebeurt dit na ongeveer 15 pakketten. De eerste pakketten kunnen daarom nog in SlowPath zichtbaar zijn, terwijl de latere flow wordt versneld.

Praktijkregel: Offloading is geen beveiligingsdoel. Beschermingsprofielen en inspectie worden niet verwijderd alleen om FastPath te bereiken. De vereiste bescherming en reproduceerbare metingen van throughput, CPU en applicatie zijn bepalend.

Bij HA moet extra goed worden gekeken. Active-active HA ondersteunt geen Firewall Acceleration. Sophos ondersteunt IPsec Acceleration daarentegen in active-active en active-passive HA op de primaire node; bij active-passive is ook Firewall Acceleration beperkt tot de primaire node. Trek bij HA-sizing standalone-labwaarden daarom niet simpelweg door naar beide nodes.

Ook foutopsporing kan metingen beïnvloeden. Bij Packet Capture of iftop stuurt SFOS verkeer standaard tijdelijk via SlowPath. Blijft offloading tijdens de opname actief, dan kan een normale Packet Capture FastPath-verkeer niet registreren. Een ontbrekend pakket bewijst daarom niet dat de firewall de flow niet heeft verwerkt; voor een FastPath-opname verwijst Sophos naar Support. Prestatiemetingen en capture-resultaten worden altijd gedocumenteerd met tijdstip, testmethode, firmwareversie, interfacetype en actieve policy.

De acceleraties zijn standaard actief op ondersteunde platforms. Het in- of uitschakelen van Firewall of PKI Acceleration herstart de IPS-service (DPI-engine); een wijziging van IPsec Acceleration herstart alle IPsec-tunnels. Zulke wijzigingen horen in een onderhoudsvenster en niet in een geïmproviseerde prestatietest. Eerst wordt de verdenking bevestigd met Log Viewer, Packet Capture, IPsec Troubleshooting en een duidelijke testcase.

PKI Acceleration correct lezen en beheren

De geconfigureerde status en de effectieve status zijn niet hetzelfde. Lees de instelling met:

show ips-settings

PKI Acceleration is standaard ingeschakeld op ondersteunde XGS Appliance-modellen. enabled is alleen effectief als Firewall Acceleration ook actief is. Als PKI Acceleration is ingeschakeld maar Firewall Acceleration uitstaat, meldt SFOS enabled (inactive). Op niet-ondersteunde SFOS-versies of modellen wordt disabled weergegeven; een wijziging in de CLI kan ontbrekende hardware- of platformondersteuning niet vervangen.

Wijzig de globale instelling via de IPS-commandostructuur:

set ips pki-acceleration disable
set ips pki-acceleration enable

Omschakelen herstart de IPS-service (DPI-engine) en hoort daarom in een onderhoudsvenster. Leg eerst de huidige waarde en de status van Firewall Acceleration vast. Controleer daarna opnieuw show ips-settings, de status van IPS en DPI en een echte TLS-flow die door de DPI-engine wordt ontsleuteld. Alleen zo kan worden bevestigd dat het opnieuw ondertekenen van certificaten, latency, CPU en de applicatie correct blijven werken. Als het verwachte effect uitblijft, wordt de eerder vastgelegde waarde hersteld.

IPsec Acceleration gecontroleerd controleren

Lees eerst de globale status:

system ipsec-acceleration show

IPsec Acceleration is standaard enabled en verplaatst geschikte fase 2-SA’s uit SlowPath. Een geactiveerde globale status bewijst niet dat een specifieke SA offloaded is. 3DES, BlowFish en MD5 zijn uitgesloten en de hierboven beschreven interface- en platformgrenzen blijven gelden.

Een wijziging geldt voor de hele firewall en herstart alle IPsec-tunnels. disable is daarom geen test voor één tunnel. Als een duidelijk probleem een A/B-test rechtvaardigt, documenteer dan eerst tunnelstatus, SA’s, CPU, throughput en testverkeer. In het onderhoudsvenster zijn deze twee tegengestelde wijzigingen beschikbaar:

system ipsec-acceleration disable
system ipsec-acceleration enable

Controleer na elke daadwerkelijk uitgevoerde wijziging opnieuw show, tunnelopbouw, fase 2-SA’s, routing, firewallregels en echt verkeer in beide richtingen. Herstel de oorspronkelijke waarde zonder reproduceerbare verbetering. Behoud geen verouderd cryptografisch profiel alleen om een performancevergelijking mogelijk te maken.

Firewall Acceleration alleen in een onderhoudsvenster omschakelen

Lees eerst de huidige status in de Device Console:

system firewall-acceleration show

Op ondersteunde platforms staat Firewall Acceleration standaard op enable. Volgens Sophos veroorzaakt elke wijziging een onderbreking en wordt de IPS-service (DPI-engine) opnieuw gestart. disable is daarom geen vrijblijvende A/B-test tijdens productie. De firewall blijft het verkeer volledig verwerken, maar zonder de prestatievoordelen van FastPath.

Voor een geplande wijziging zijn deze twee opdrachten beschikbaar. Voer ze niet direct na elkaar als testblok uit, omdat elke overgang het verkeer opnieuw kan onderbreken:

system firewall-acceleration disable
system firewall-acceleration enable

Controleer na elke werkelijk noodzakelijke overgang opnieuw show, de IPS- en DPI-status, nieuwe sessies, gepubliceerde services, VPN, doorvoer, CPU en Log Viewer. Overschrijf een weergegeven disabled niet blind met enable: DoS, active-active HA, een FastPath dat niet laadt of een niet-ondersteunde combinatie van VM, hypervisor of NIC-driver kan versnelling eveneens verhinderen. enable kan geen werkend FastPath afdwingen op een technisch niet-ondersteund platform.

Prestaties in bedrijf controleren

Datasheetwaarden helpen voor de aankoop. In bedrijf heeft men andere hulpmiddelen nodig. Belangrijk is het onderscheid tussen de begrippen: het Control Center toont geen datasheetperformance, maar actuele bedrijfsindicatoren. De Performance-tegel is gebaseerd op de load average over CPU-cores. Waarden boven het aantal beschikbare cores betekenen dat er op dat moment meer werk ligt dan het systeem kan verwerken.

De kleur van de tegel volgt vaste Sophos-drempels: Normal bij een load average onder 2, Warning van 2 tot 5 en Alert boven 5 CPU-cores. Dit verkeerslicht is een snelle aanwijzing, maar is niet hetzelfde als de individuele overbelastingsgrens van de appliance. Daarom worden tegelstatus, werkelijk aantal cores en tijdlijn samen geïnterpreteerd.

Daarnaast zijn CPU, memory, bandwidth, sessions, Decryption Capacity en Decrypt Sessions relevant. Vooral bij TLS Inspection is Decryption Capacity nuttig, omdat deze waarde laat zien hoe sterk de actuele SSL/TLS-decryptie de beschikbare decryptiecapaciteit belast. Decryption details worden niet als live-meting per seconde bijgewerkt, maar meestal elke vijf minuten. Deze waarden moeten altijd samen met policy, regel, beveiligingsprofiel, tijdstip en verkeerstype worden gelezen.

System Graphs als tijdlijn gebruiken

Onder Diagnostics > System graphs kunnen CPU Usage, Memory Usage, Load Average, Disk Usage, Live Users, Data Transfer Speed through WAN Zone en afzonderlijke interfaces over verschillende perioden worden vergeleken. Selecteer eerst de periode van het incident en daarna alleen de grafieken die bij de getroffen functie passen.

Een piek is een correlatie, nog geen oorzaak. CPU, memory of load average moeten daarom worden vergeleken met interfaceverkeer, het aantal gebruikers, logs, policy en het exacte testtijdstip. De tijdlijn helpt vooral om een korte uitschieter te onderscheiden van terugkerende of langdurig hoge belasting; op zichzelf bewijst deze niet dat de appliance te klein is of dat een bepaalde service defect is.

Eenheden en aggregatie correct lezen

De CPU-grafiek scheidt het gebruik door gebruikersprocessen, systeemcomponenten en de resterende inactieve tijd. Memory toont Used, Free en Total in MB. Load Average is daarentegen geen percentage: de drie curves tonen gemiddelden over één, vijf en vijftien minuten. De waarde moet daarom samen met het aantal beschikbare CPU-cores worden gelezen.

Disk Usage toont procentueel hoeveel ruimte handtekeningen, configuratiebestanden, rapporten en tijdelijke gegevens gebruiken. Dit is een functionele verdeling in de grafiek en niet dezelfde weergave als de partities uit df -kh of de report-watermark. Live Users telt gebruikers die in de gekozen periode met internet waren verbonden en toont ook minimum, maximum en gemiddelde. Het is geen aantal geconfigureerde gebruikersaccounts.

Voor de WAN-zone zijn er afzonderlijke grafieken voor upload en download, de gecombineerde totale snelheid en de snelheid per gateway. Afhankelijk van de weergave verschijnen de huidige, minimale, maximale en gemiddelde waarde. Sophos documenteert een belangrijke labelingsfout: WebAdmin toont KBps, maar de waarden zijn in werkelijkheid kbit/s. Wie de weergave als kilobyte per seconde leest, maakt een fout met factor acht.

Belangrijk bij VLANs: Afzonderlijke interfacegrafieken zijn beschikbaar voor fysieke interfaces, Wireless LAN, WAN-interfaces en VLAN-interfaces in de WAN-zone. VLANs in andere zones worden in de grafiek samengevoegd met hun fysieke parent-interface. Een piek op de parent-poort kan daarom zonder extra meting niet aan één intern VLAN worden toegewezen.

De interfacegrafieken tonen ontvangen en verzonden bits, plus drops, fouten en collisions. De resolutie wordt voor langere perioden geaggregeerd: vandaag en gisteren gebruiken gemiddelden van vijf minuten, de week 15 minuten, de maand zes uur en het jaar één dag. Korte pieken kunnen daardoor verdwijnen in een maand- of jaarweergave; begin bij een incident met de smalste passende periode.

Praktische werkwijze:

1. Control Center controleren: CPU, RAM, interface-belasting en waarschuwingen observeren.
2. Log Viewer openen: Wordt de verwachte firewallregel toegepast en is logging geactiveerd?
3. Beleid en beveiligingsprofielen controleren: Welke functies hebben invloed op het betreffende verkeer?
4. Packet Capture gebruiken: Ziet men pakketten, antwoordpakketten, NAT en drops?
5. Verbindingstest uitvoeren: Met iPerf of een gedefinieerde download controleren welk pad echt traag is.
6. Offloading-context noteren: Interface-type, HA-modus, VPN-type, PPPoE, WAF, SSL VPN of Packet Capture kunnen de meting beïnvloeden.
7. Tijdstip noteren: Piekbelastingen, back-ups, updates of rapporten kunnen resultaten vertekenen.

Voor een snelle afbakening van de WAN-verbinding helpt Sophos Firewall Internet-snelheidstest via SSH uitvoeren. Voor end-to-end-tests tussen twee systemen is Sophos Firewall-prestaties met iPerf testen beter geschikt. Als een regel niet zoals verwacht werkt, past Sophos Firewall-regels gericht testen.

De dagelijkse Sophos Firewall-beheerchecklist laat zien hoe Control Center, System graphs, rapporten en beheerdersgebeurtenissen in een korte terugkerende procedure worden samengebracht.

Typische dimensioneringsfouten

• Alleen de hoogste firewall-doorvoer wordt vergeleken.
• TLS Inspection wordt gepland, maar niet in de prestatiereserve opgenomen.
• VPN en Remote Access worden beoordeeld op basis van het aantal gebruikers in plaats van op basis van het werkelijke gebruik.
• De internetverbinding wordt in aanmerking genomen, maar intern oost-west-verkeer niet.
• Virtuele firewalls worden op overbelaste hosts uitgevoerd.
• Rapportage, logging en Central-koppeling worden pas achteraf bekeken.
• Groei, nieuwe locaties, extra VLAN’s of serverpublicatie ontbreken in de planning.
• Er wordt geen onderscheid gemaakt tussen laboratoriumwaarde, reële waarde en gebruikerservaring.

Praktische dimensioneringschecklist

Voor de modelkeuze moeten deze punten duidelijk zijn:

1. Huidige en geplande internetbandbreedte voor de komende jaren.
2. Aantal gebruikers, apparaten, servers en locaties.
3. Aandeel van webverkeer, cloudtoepassingen, VoIP, back-ups en bestandsoverdrachten.
4. Geplande beveiligingsfuncties per verkeersgroep.
5. TLS-Inspection-omvang en noodzakelijke uitzonderingen.
6. Aantal en gebruik van IPsec-, SSL-VPN- en Sophos-Connect-verbindingen.
7. Behoefte aan WAF, Mail Protection, RED, WLAN of Central Reporting.
8. Verwachte reserves voor updates, groei en piekbelastingen.
9. Bedrijfsmodel: XGS Appliance, virtuele appliance, cloud of HA-cluster.

FAQ