Sophos Firewall-prestaties correct interpreteren

De prestaties van een Sophos Firewall zijn belangrijk voor de dimensionering, maar worden vaak verkeerd gelezen. De hoogste firewall-doorvoer in het datasheet is niet automatisch de prestatie die een locatie bereikt met IPS, Web Protection, TLS Inspection, VPN, NAT, rapportage en veel gelijktijdige gebruikers.

Voor de keuze van een model moet men daarom niet alleen naar een enkel Gbit/s-getal kijken. Belangrijk is welke beveiligingsfuncties actief zijn, welk verkeer door de firewall stroomt en welke reserves de omgeving in het dagelijks leven nodig heeft. De Sophos Firewall Sizing Guide legt de modelkeuze uit; dit artikel legt uit hoe de onderliggende prestatiestatistieken te beoordelen.

Vuistregel voor dimensionering

Voor de praktijk is meestal niet de pure firewall-doorvoer de beste startwaarde.

• Alleen routing en eenvoudige firewallregels: Let op firewall-doorvoer en IMIX.
• Normaal bedrijfsnetwerk met IPS en Application Control: Geef meer gewicht aan NGFW- of Threat-Protection-waarden.
• Veel HTTPS-verbindingen met decryptie: Plan TLS-Inspection-prestaties en CPU-reserve in.
• Veel VPN-verbindingen: Bekijk IPsec- of Remote-Access-vereisten afzonderlijk.
• Virtuele firewall: Neem hypervisor, CPU, RAM, opslag en virtuele netwerkkaarten net zo serieus als de Sophos-licentie.

Als het onduidelijk is of hardware of een virtuele appliance beter past, helpt Sophos Firewall - Hardware of virtuele appliance? als beslissingshulp.

Waarom datasheetwaarden niet één op één voldoende zijn

Prestatiegegevens worden onder gedefinieerde laboratoriumomstandigheden bepaald. Dit is zinvol omdat modellen zo vergelijkbaar worden. Een productieve omgeving gedraagt zich echter anders:

• Pakketgroottes zijn gemengd.
• Gebruikers genereren parallelle sessies.
• Beveiligingsprofielen controleren verkeer op verschillende diepten.
• HTTPS-verkeer vereist bij TLS Inspection aanzienlijk meer middelen.
• VPN, SD-WAN, NAT, logging en rapportage draaien parallel.
• WLAN, switches, clients, servers en providers beïnvloeden de waargenomen prestaties.

Een datasheetwaarde is daarom een vergelijkingswaarde, geen belofte voor elke afzonderlijke flow. Voor een solide dimensionering moet men met reserves plannen en de latere operationele functies niet pas na aankoop in overweging nemen.

Lees de testvoorwaarden voordat u cijfers vergelijkt

De voetnoten in de Sophos-datasheets horen bij de meetwaarde. Sophos meet de maximale waarden onder ideale omstandigheden met Keysight-Ixia BreakingPoint. Firewall Throughput gebruikt HTTP-verkeer met antwoorden van 512 KB; Firewall IMIX combineert UDP-pakketten van 66, 570 en 1518 bytes. IPS Throughput is gebaseerd op HTTP-verkeer, de standaard IPS-regelset en objecten van 512 KB. TLS Inspection wordt gemeten met actieve IPS, HTTPS-sessies en verschillende cipher suites. Threat Protection combineert firewall, IPS, Application Control en Malware Prevention met de Enterprise Traffic Mix. NGFW Throughput wordt gemeten met actieve IPS en Application Control, HTTP-verkeer en objecten van 512 KB. IPsec VPN gebruikt HTTP-verkeer via meerdere tunnels met antwoorden van 512 KB.

Dankzij deze voorwaarden kunnen modellen op dezelfde basis worden vergeleken. Tel de waarden echter niet bij elkaar op en beschouw ze niet als een toezegging voor uw eigen verkeersmix. Kleine pakketten, korte sessies, andere cipher suites en extra services kunnen het resultaat veranderen.

De belangrijkste statistieken

• Firewall Throughput: Helpt eenvoudige Layer 3/Layer 4-verwerking te vergelijken. De klassieke fout is deze waarde als echte internetdoorvoer met alle beveiligingsfuncties te lezen.
• Firewall IMIX: Gebruikt een realistischer mengsel van pakketgroottes. Deze waarde wordt vaak genegeerd, hoewel productienetwerken niet alleen grote pakketten vervoeren.
• IPS Throughput: Beschrijft verkeer met Intrusion Prevention. Dit wordt belangrijk wanneer IPS een groot deel van het verkeer inspecteert.
• NGFW Throughput: Beschrijft prestaties met aanvullende functies zoals IPS en Application Control. Verwar dit niet met pure firewall-doorvoer.
• Threat Protection: Benadert een omgeving met meerdere actieve beveiligingsfuncties beter. Het blijft een vergelijkingswaarde, geen gegarandeerd minimum.
• TLS Inspection: Heeft betrekking op HTTPS-decryptie en inspectie. Deze mogelijk zware belasting wordt bij dimensionering vaak vergeten.
• IPsec VPN: Heeft betrekking op versleuteld verkeer tussen locaties. Peer, pakketgroottes, cryptografische instellingen en CPU tellen net zo goed mee als de internetverbinding.
• Concurrent Connections: Geeft aan hoeveel verbindingen de firewall gelijktijdig kan bijhouden. Dit is een capaciteitslimiet, geen doorvoerwaarde.
• New Connections per second: Geeft aan hoeveel nieuwe verbindingen de firewall per seconde kan verwerken. Veel korte web-, API- of DNS-verbindingen kunnen deze limiet belasten terwijl de bandbreedte laag blijft.

Firewall-doorvoer en IMIX

De pure firewall-doorvoer beschrijft een relatief eenvoudige verwerking van verkeer. Deze waarde is nuttig wanneer een firewall vooral routeert, NAT uitvoert en klassieke firewallregels verwerkt.

IMIX ligt dichter bij echte netwerkbelasting omdat verschillende pakketgroottes worden gemengd. Dit is belangrijk omdat kleine pakketten een firewall anders belasten dan grote downloads. In bedrijfsnetwerken is er zelden slechts één schone grote datastroom. Webtoegang, DNS, VoIP, cloudtoepassingen, updates en bestandsoverdrachten genereren verschillende patronen.

Voor locaties met normaal gebruikersverkeer is IMIX daarom vaak veelzeggender dan de mooiste maximale waarde.

IPS, NGFW en Threat Protection

Zodra IPS, Application Control, Web Protection of malwarecontrole actief zijn, moet de firewall meer doen dan alleen pakketten doorsturen. De firewall moet verkeer classificeren, patronen herkennen, regels toepassen en afhankelijk van het beleid inhoud controleren.

De termen worden vaak door elkaar gehaald:

• IPS beoordeelt verkeer op basis van signatures en regels voor bekende aanvalspatronen.
• NGFW beschrijft firewallprestaties met extra functies zoals IPS en Application Control.
• Threat Protection is een sterkere benaderingswaarde voor omgevingen waarin meerdere beveiligingsfuncties tegelijkertijd actief zijn.

Voor een bedrijf dat de Sophos Firewall daadwerkelijk als Security Gateway gebruikt, zijn NGFW- en Threat-Protection-waarden meestal relevanter dan de pure firewall-doorvoer.

TLS Inspection realistisch plannen

TLS Inspection is een van de grootste prestatiefactoren. De firewall ontsleutelt HTTPS-verbindingen, controleert de inhoud en versleutelt de verbinding opnieuw. Dit genereert CPU-belasting en kan afhankelijk van de cipher suite, doelserver, client, uitzonderingen en beleid aanzienlijk merkbaar zijn.

TLS Inspection moet daarom niet zomaar worden geactiveerd. Een stapsgewijze uitrol met een pilotgroep, uitzonderingen, monitoring en duidelijke foutopsporing is zinvol. Het artikel Sophos Firewall TLS Inspection correct implementeren beschrijft de operationele procedure.

Ook het CA-certificaat moet correct worden verspreid. Voor clients is Sophos Firewall CA-certificaat voor HTTPS-scanning installeren de juiste start.

VPN-prestaties afzonderlijk bekijken

VPN-prestaties hangen niet alleen af van het firewallmodel. Ook de tegenpartij, internetverbinding, latentie, pakketgroottes, MTU/MSS, versleutelingsparameters, routing en parallelle tunnels zijn relevant.

Voor site-to-site-verbindingen moet men de geplande datastromen realistisch inschatten: bestandsoverdrachten, back-ups, ERP, VoIP, RDP, monitoring en replicatie gedragen zich verschillend. Voor Remote Access komen daar nog clientapparaat, WLAN, provider en VPN-client bij.

Als een VPN-verbinding traag lijkt, moet men niet alleen de datasheetwaarde controleren. Een gedefinieerde verbindingstest met iPerf is meestal veelzeggender dan een browser-snelheidstest.

Wat de werkelijke prestaties beïnvloedt

In de praktijk werken meerdere factoren tegelijkertijd:

• actieve beveiligingsprofielen per firewallregel
• TLS Inspection en uitzonderingen
• IPS-policy en omvang van de signatures
• Web Protection, Application Control en malwarecontrole
• NAT, DNAT, serverpublicatie en WAF
• IPsec, SSL VPN, Sophos Connect en site-to-site-tunnels
• Logging, rapportage, Central Reporting en Syslog
• veel kleine sessies in plaats van enkele grote downloads
• Firewall Acceleration, FastPath, IPsec Acceleration en verkeer dat niet kan worden offloaded
• HA-bedrijf, firmwareversie en hotfixes
• virtuele middelen bij software- of cloud-appliances

Daarom moet men prestaties altijd in de context van het specifieke beleid controleren. Een firewallregel zonder beveiligingsprofielen gedraagt zich anders dan een regel met IPS, webfilter, Application Control en TLS Inspection.

FastPath en Offloading correct beoordelen

Moderne Sophos Firewalls verwerken niet elke datastroom op dezelfde manier. Afhankelijk van de appliance, firmware, regel, beveiligingsprofiel en verkeerstype kan verkeer gedeeltelijk worden versneld of in een langzamer verwerkingspad worden gecontroleerd. Belangrijke termen hiervoor zijn FastPath, Firewall acceleration, PKI acceleration en IPsec acceleration.

De eerste classificatie vindt nog steeds in SlowPath plaats: de kernel en, waar van toepassing, de DPI-engine inspecteren de verbinding. Nadat de TCP-handshake is voltooid of één pakket in elke richting is gepasseerd, kan SFOS een geschikte flow in de FastPath-verbindingscache opnemen. FastPath is dus geen ongeïnspecteerde bypass; het verwerkt alleen de status die door de kernel is geprogrammeerd. Niet-geschikte protocollen zoals IP-in-IP blijven in SlowPath.

Er zijn twee niveaus van offloading: Als alleen de kernelverwerking wordt uitbesteed, levert FastPath de pakketten rechtstreeks aan de DPI-engine en gaat de vereiste inhoudsinspectie door. Pas wanneer de DPI-engine de flow voor volledige offloading vrijgeeft, stopt ook de verdere verwerking door SlowPath en de DPI-engine. FastPath-verkeer kan dus nog steeds inspectie- en CPU-belasting veroorzaken; versneld betekent niet automatisch volledig uitbesteed.

Voor de dimensionering is dit belangrijk, omdat een snelle test niet bewijst dat elke productiestroom hetzelfde pad gebruikt. Sophos vermeldt Firewall en IPsec Acceleration voor alle XGS Appliances. Dedicated PKI Acceleration voor de certificaatverwerking van geïnspecteerde TLS-flows is alleen gedocumenteerd voor XGS 4300, 4500, 5500, 6500, 7500 en 8500. De desktopmodellen Gen. 2 XGS 88/88w, 108/108w, 118/118w en 128/128w gebruiken Virtual FastPath in de x86-kernel in plaats van een dedicated Xstream Flow Processor.

Voor virtuele en software-appliances gelden nog strengere grenzen. Deze deployments bieden alleen Firewall Acceleration op dezelfde x86-CPU, geen PKI of IPsec Acceleration. Volgens de SFOS 22-help wordt Virtual FastPath alleen ondersteund met VMware ESXi en de NIC-drivers igc, e1000, e1000e en vmxnet3. Op andere hypervisors, in clouddeployments of met niet-ondersteunde drivers wordt VFP automatisch uitgeschakeld. De firewall blijft functioneren, maar zonder deze FastPath-verbetering. Voor e1000 en e1000e noemt Sophos een maximale MTU van 3500 bytes, en voor de overige ondersteunde drivers maximaal 9000 bytes. Dit zijn platformgrenzen en geen reden om jumbo frames zonder end-to-endtest in te schakelen.

PKI Acceleration versnelt niet de volledige TLS-verwerking. Bij TLS 1.2- en TLS 1.3-flows die door de DPI-engine worden geïnspecteerd, wordt alleen het opnieuw ondertekenen van X.509-servercertificaten met RSA-authenticatie tot 4096 bits offloaded. Symmetrische encryptie, webproxyverkeer en SSL VPN-verbindingen die op de firewall eindigen, profiteren er niet van.

Naast de RSA-authenticatie van de onderhandelde TLS-flow moet ook de CA voor het opnieuw ondertekenen geschikt zijn. Onder Rules and policies > SSL/TLS inspection rules > SSL/TLS settings moeten zowel Re-sign RSA with als Re-sign EC with een RSA-CA met een sleutel van maximaal 4096 bits gebruiken. Als een profiel onder Profiles > Decryption profiles, dat in de SSL/TLS-inspectieregel is geselecteerd, deze globale CA’s overschrijft, geldt dezelfde voorwaarde voor beide velden in het profiel. Ook Re-sign EC with vereist voor PKI Acceleration een RSA-CA; de veldnaam vervangt noch de CA-controle, noch de afzonderlijke voorwaarde voor flow-authenticatie. De standaard-CA’s voor herondertekening op de firewall gebruiken RSA; controleer een eigen CA toch op de genoemde voorwaarden.

Bepaalde functies of verkeerstypen kunnen offloading beperken of verhinderen, bijvoorbeeld:

• SSL VPN
• WAF en proxyverkeer
• QoS en DoS
• Draadloos, RED, LAG en PPPoE
• gefragmenteerd IP-verkeer
• bepaalde bridge-, HA- of virtualisatiescenario’s

Bij IPsec offloadt de XFRM-stack ESP-inkapseling, encryptie, decapsulatie en decryptie op basis van de fase 2-SA. SA’s met 3DES, BlowFish of MD5, SA’s op virtuele interfaces zoals VLAN’s en IPsec-verkeer via VLAN- of draadloze interfaces worden niet offloaded. Ook de bron- en bestemmings-IP-adressen moeten overeenkomen met de adressen die voor de SA worden verwacht; anders wordt de SA niet offloaded. De tunnel kan nog steeds werken, maar gebruikt dan meer host-CPU.

Ook bij een offloaded SA hangt de omvang af van het binnenste verkeer: Als dat geschikt is voor FastPath, worden inkapseling en cryptografische verwerking volledig uitbesteed. Zo niet, dan versleutelt of ontsleutelt FastPath nog steeds de pakketten, terwijl SlowPath het binnenste verkeer verwerkt, inclusief inkapseling en decapsulatie; FastPath voltooit de inkapseling na de versleuteling. Zonder offloaded SA vindt alle verwerking in SlowPath plaats. Een werkende tunnel of een globale status enabled maakt geen onderscheid tussen deze drie toestanden.

Beveiligingspolicies sluiten offloading niet categorisch uit. Een regel zonder IPS, webfiltering, antivirus of application control kan na de handshake of de eerste pakketten overschakelen; met application control vindt de beslissing volgens Sophos na ongeveer acht pakketten plaats. Bij STARTTLS met Don’t decrypt gebeurt dit na ongeveer 15 pakketten. De eerste pakketten kunnen daarom nog in SlowPath zichtbaar zijn, terwijl de latere flow wordt versneld.

SlowPath omvat de kernel, userspace-modules en de offloadmodule voor vertrouwde flows. FastPath biedt een gemeenschappelijke softwaregebaseerde architectuur; de Xstream Flow Processor is de dedicated Network Processing Unit (NPU) in geschikte XGS-modellen. Offloadingverbeteringen worden met SFOS-releases geleverd.

De beslissingen zijn verdeeld: de SSL/TLS-inspectie-engine beslist over PKI-offloading en de XFRM-stack over IPsec. Vanaf laag 4 verwerkt de DPI-engine SSL/TLS-inspectie, IPS, application control, webfiltering en antivirus, inclusief Zero-day Protection en File Reputation. Via de Data Acquisition Layer (DAQ) bereiken pakketten de beveiligingsinspectie; in elke inspectiefase wordt over offloading beslist. IPS-policies met intelligente offload-signatures van SophosLabs kunnen geschikte flows vrijgeven. Ook Bypass session in een IPS-regel kan volledige offloading mogelijk maken, maar is geen algemene optimalisatieaanbeveling. Webfiltering zonder malware- en contentscanning of DPI-engine-instellingen, en het ontbreken van SSL/TLS-inspectieregels of Don’t decrypt, kunnen volledige offloading toestaan. Met scanning of Decrypt levert FastPath nog steeds rechtstreeks aan de DPI-engine. Onder Rules and policies > Firewall rules > Web filtering verhindert het gebruik van de webproxy in plaats van de DPI-engine dit beschreven DPI-offloadpad.

IPsec-acceleratie geldt voor policy-based en route-based IPsec-VPN’s. Sophos beveelt AES-GCM 128 aan voor de prestaties. De fase 2-velden Encryption en Authentication onder Profiles > IPsec profiles zijn relevant. Dit is geen opdracht om een werkend cryptografisch profiel alleen voor een hoger meetresultaat te wijzigen: de peer, beveiligingseisen en het onderhoudsvenster moeten de wijziging toelaten. Kies 3DES, BlowFish of MD5 niet als prestatieworkaround.

Praktijkregel: Offloading is geen beveiligingsdoel. Beschermingsprofielen en inspectie worden niet verwijderd alleen om FastPath te bereiken. De vereiste bescherming en reproduceerbare metingen van throughput, CPU en applicatie zijn bepalend.

DoS is meer dan een verkeerstype dat niet wordt offloaded: het inschakelen van DoS schakelt Firewall Acceleration uit. Leg daarom de DoS-status vast als onderdeel van de meetcontext; schakel bescherming niet uitsluitend uit om betere throughputwaarden te krijgen.

Bij HA moet extra goed worden gekeken. Active-active HA ondersteunt geen Firewall Acceleration. Sophos ondersteunt IPsec Acceleration daarentegen in active-active en active-passive HA op de primaire node; bij active-passive is ook Firewall Acceleration beperkt tot de primaire node. Trek bij HA-sizing standalone-labwaarden daarom niet simpelweg door naar beide nodes.

Ook foutopsporing kan metingen beïnvloeden. Bij Packet Capture of iftop stuurt SFOS verkeer standaard tijdelijk via SlowPath. Blijft offloading tijdens de opname actief, dan kan een normale Packet Capture FastPath-verkeer niet registreren. Een ontbrekend pakket bewijst daarom niet dat de firewall de flow niet heeft verwerkt; voor een FastPath-opname verwijst Sophos naar Support. Prestatiemetingen en capture-resultaten worden altijd gedocumenteerd met tijdstip, testmethode, firmwareversie, interfacetype en actieve policy.

De acceleraties zijn standaard actief op ondersteunde platforms. Het in- of uitschakelen van Firewall of PKI Acceleration herstart de IPS-service (DPI-engine); een wijziging van IPsec Acceleration herstart alle IPsec-tunnels. Zulke wijzigingen horen in een onderhoudsvenster en niet in een geïmproviseerde prestatietest. Eerst wordt de verdenking bevestigd met Log Viewer, Packet Capture, IPsec Troubleshooting en een duidelijke testcase.

Voor alle drie de onderstaande acceleratiesubsecties meldt men zich met beheerdersrechten aan bij Sophos Firewall en opent men de Device Console. Voer deze opdrachten daar uit, niet in de Advanced Shell of in de shell van de eigen computer.

PKI Acceleration correct lezen en beheren

De geconfigureerde status en de effectieve status zijn niet hetzelfde. Lees de instelling met:

show ips-settings

PKI Acceleration is standaard ingeschakeld op ondersteunde XGS Appliance-modellen. enabled is alleen effectief als Firewall Acceleration ook actief is. Als PKI Acceleration is ingeschakeld maar Firewall Acceleration uitstaat, meldt SFOS enabled (inactive). Op niet-ondersteunde SFOS-versies of modellen wordt disabled weergegeven; een wijziging in de CLI kan ontbrekende hardware- of platformondersteuning niet vervangen.

Voordat PKI Acceleration wordt gewijzigd: Omschakelen herstart de IPS-service (DPI-engine) en hoort daarom in een onderhoudsvenster. Leg eerst de huidige waarde uit show ips-settings en de status van Firewall Acceleration uit system firewall-acceleration show vast. De onderstaande opdrachten zijn alternatieven, geen uit te voeren reeks. Voer ze niet beide direct na elkaar uit als vrijblijvende test.

Wijzig de globale instelling via de IPS-commandostructuur. Kies alleen de benodigde richting:

Uitschakelen:

set ips pki-acceleration disable

Of inschakelen:

set ips pki-acceleration enable

Controleer na de daadwerkelijk uitgevoerde wijziging opnieuw show ips-settings, de status van IPS en DPI en een echte TLS-flow die door de DPI-engine wordt ontsleuteld. Alleen zo kan worden bevestigd dat het opnieuw ondertekenen van certificaten, latency, CPU en de applicatie correct blijven werken. Als het verwachte effect uitblijft, wordt de eerder vastgelegde waarde hersteld.

IPsec Acceleration gecontroleerd controleren

Lees eerst de globale status:

system ipsec-acceleration show

IPsec Acceleration is standaard enabled en verplaatst geschikte fase 2-SA’s uit SlowPath. Een geactiveerde globale status bewijst niet dat een specifieke SA offloaded is. 3DES, BlowFish en MD5 zijn uitgesloten en de hierboven beschreven interface- en platformgrenzen blijven gelden.

Een wijziging geldt voor de hele firewall en herstart alle IPsec-tunnels. disable is daarom geen test voor één tunnel. Als een duidelijk probleem een A/B-test rechtvaardigt, documenteer dan eerst de oorspronkelijke globale waarde uit system ipsec-acceleration show, samen met tunnelstatus, SA’s, CPU, throughput en testverkeer. Kies in het onderhoudsvenster alleen de benodigde richting: inschakelen en uitschakelen zijn alternatieven, geen uit te voeren reeks. Voer beide opdrachten niet direct na elkaar als testblok uit; voer na de gekozen wijziging eerst de hieronder beschreven controles uit.

Uitschakelen:

system ipsec-acceleration disable

Of, als alternatief, inschakelen:

system ipsec-acceleration enable

Controleer na elke daadwerkelijk uitgevoerde wijziging opnieuw show, tunnelopbouw, fase 2-SA’s, routing, firewallregels en echt verkeer in beide richtingen. Herstel de oorspronkelijke waarde zonder reproduceerbare verbetering. Behoud geen verouderd cryptografisch profiel alleen om een performancevergelijking mogelijk te maken.

Firewall Acceleration alleen in een onderhoudsvenster omschakelen

Lees eerst de huidige status in de Device Console:

system firewall-acceleration show

Leg vóór de eerste omschakeling de volledige uitvoer en de exacte uitgangssituatie vast: was Firewall Acceleration ingeschakeld of uitgeschakeld? Dit bepaalt hoe later correct wordt teruggeschakeld, met enable of disable; de gedocumenteerde standaardwaarde vervangt deze uitgangssituatie niet. Documenteer voor de vergelijking ook de betrokken verkeersstroom, WAN-bereikbaarheid, VPN-verbindingen, IPS- en DPI-status, nieuwe sessies, gepubliceerde services, doorvoer, CPU en Log Viewer. Leg bij HA ook de modus, de primaire node en de clusterstatus inclusief synchronisatie vast, zodat dezelfde controles na de omschakeling en na een herstel kunnen worden herhaald.

Op ondersteunde platforms staat Firewall Acceleration standaard op enable. Volgens Sophos veroorzaakt elke wijziging een onderbreking en wordt de IPS-service (DPI-engine) opnieuw gestart. disable is daarom geen vrijblijvende A/B-test tijdens productie. De firewall blijft het verkeer volledig verwerken, maar zonder de prestatievoordelen van FastPath.

Voor een geplande wijziging zijn deze twee opdrachten beschikbaar. Voer ze niet direct na elkaar als testblok uit, omdat elke overgang het verkeer opnieuw kan onderbreken:

system firewall-acceleration disable
system firewall-acceleration enable

Controleer na elke werkelijk noodzakelijke overgang opnieuw show, de IPS- en DPI-status, nieuwe sessies, gepubliceerde services, VPN, doorvoer, CPU en Log Viewer. Overschrijf een weergegeven disabled niet blind met enable: DoS, active-active HA, een FastPath dat niet laadt of een niet-ondersteunde combinatie van VM, hypervisor of NIC-driver kan versnelling eveneens verhinderen. enable kan geen werkend FastPath afdwingen op een technisch niet-ondersteund platform.

Als de vergelijking slechts tijdelijk bedoeld was of een reproduceerbare verbetering uitblijft, zet dan binnen het goedgekeurde uitvalvenster uitsluitend de in dit geval gewijzigde Firewall Acceleration-instelling terug naar de vastgelegde uitgangssituatie: met system firewall-acceleration enable als deze eerder ingeschakeld was, of met system firewall-acceleration disable als deze eerder uitgeschakeld was. Dit zijn alternatieve manieren om terug te schakelen, geen uit te voeren reeks; PKI en IPsec Acceleration worden hiervoor niet ook omgeschakeld. Ook het terugschakelen veroorzaakt uitval en moet worden ingepland. Lees daarna de status opnieuw uit met system firewall-acceleration show, vergelijk de uitvoer met de opgeslagen uitgangssituatie en herhaal dezelfde controles voor de betrokken verkeersstroom, WAN, VPN, IPS/DPI, sessies, gepubliceerde services, doorvoer, CPU en logs, en bij HA voor de modus, de primaire node en de clusterstatus inclusief synchronisatie. Als de status of het verkeer niet overeenkomt met de uitgangssituatie, onderzoek dan de oorzaak in plaats van blind andere instellingen te wijzigen. Als de nieuwe toestand bewust behouden moet blijven, is een uitdrukkelijk gedocumenteerd operationeel besluit nodig; noch de standaardwaarde, noch een vermeend geslaagde afzonderlijke test vervangt dat besluit.

Prestaties in bedrijf controleren

Datasheetwaarden helpen voor de aankoop. In bedrijf heeft men andere hulpmiddelen nodig. Belangrijk is het onderscheid tussen de begrippen: het Control Center toont geen datasheetperformance, maar actuele bedrijfsindicatoren. De Performance-tegel is gebaseerd op de load average over CPU-cores. Waarden boven het aantal beschikbare cores betekenen dat er op dat moment meer werk ligt dan het systeem kan verwerken.

De kleur van de tegel volgt vaste Sophos-drempels: Normal bij een load average onder 2, Warning van 2 tot 5 en Alert boven 5 CPU-cores. Dit verkeerslicht is een snelle aanwijzing, maar is niet hetzelfde als de individuele overbelastingsgrens van de appliance. Daarom worden tegelstatus, werkelijk aantal cores en tijdlijn samen geïnterpreteerd.

Daarnaast zijn CPU, memory, bandwidth, sessions, Decryption Capacity en Decrypt Sessions relevant. Vooral bij TLS Inspection is Decryption Capacity nuttig, omdat deze waarde laat zien hoe sterk de actuele SSL/TLS-decryptie de beschikbare decryptiecapaciteit belast. Decryption details worden niet als live-meting per seconde bijgewerkt, maar meestal elke vijf minuten. Deze waarden moeten altijd samen met policy, regel, beveiligingsprofiel, tijdstip en verkeerstype worden gelezen.

System Graphs als tijdlijn gebruiken

Onder Diagnostics > System graphs kunnen CPU Usage, Memory Usage, Load Average, Disk Usage, Live Users, Data Transfer Speed through WAN Zone en afzonderlijke interfaces over verschillende perioden worden vergeleken. Selecteer eerst de periode van het incident en daarna alleen de grafieken die bij de getroffen functie passen.

Een piek is een correlatie, nog geen oorzaak. CPU, memory of load average moeten daarom worden vergeleken met interfaceverkeer, het aantal gebruikers, logs, policy en het exacte testtijdstip. De tijdlijn helpt vooral om een korte uitschieter te onderscheiden van terugkerende of langdurig hoge belasting; op zichzelf bewijst deze niet dat de appliance te klein is of dat een bepaalde service defect is.

Eenheden en aggregatie correct lezen

De CPU-grafiek scheidt het gebruik door gebruikersprocessen, systeemcomponenten en de resterende inactieve tijd. Memory toont Used, Free en Total in MB. Load Average is daarentegen geen percentage: de drie curves tonen gemiddelden over één, vijf en vijftien minuten. De waarde moet daarom samen met het aantal beschikbare CPU-cores worden gelezen.

Disk Usage toont procentueel hoeveel ruimte signatures, configuratiebestanden, rapporten en tijdelijke gegevens gebruiken. Dit is een functionele verdeling in de grafiek en niet dezelfde weergave als de partities uit df -kh of de report-watermark. Live Users telt gebruikers die in de gekozen periode met internet waren verbonden en toont ook minimum, maximum en gemiddelde. Het is geen aantal geconfigureerde gebruikersaccounts.

Voor de WAN-zone zijn er afzonderlijke grafieken voor upload en download, de gecombineerde totale snelheid en de snelheid per gateway. Afhankelijk van de weergave verschijnen de huidige, minimale, maximale en gemiddelde waarde. Sophos documenteert een belangrijke labelingsfout: WebAdmin toont KBps, maar de waarden zijn in werkelijkheid kbit/s. Wie de weergave als kilobyte per seconde leest, maakt een fout met factor acht.

Gebruik dezelfde periode voor de WAN-grafieken: afhankelijk van de selectie toont de x-as minuten, uren, dagen of maanden en de y-as de snelheid in kbit/s, niet een overgedragen datavolume. In de afzonderlijke upload/download-grafiek staat oranje voor upload en paars voor download; minimum, maximum, gemiddelde en huidige waarde gelden voor elke richting afzonderlijk. In de gecombineerde grafiek staat oranje voor de som van upload en download, met dezelfde vier meetwaarden. In de gatewaygrafiek heeft elke gateway een eigen kleur en meetwaarden. Zo worden verschillen tussen richtingen en gateways zichtbaar zonder de gecombineerde waarde gelijk te stellen aan de capaciteit van één richting. De waarschuwing voor KBps staat in de gecontroleerde SFOS 22- en SFOS 23-helpteksten; een aangekondigde toekomstige correctie bewijst niet dat de eigen firmware al een ander label gebruikt.

In de Disk Usage-grafiek staat oranje voor signatures, paars voor configuratiebestanden, groen voor rapporten en blauw voor tijdelijke opslag. De y-as toont percentages en de x-as minuten, uren, dagen of maanden volgens de gekozen periode. Een groeiend groen aandeel betekent hier rapportopslag, niet rechtstreeks een hogere CPU-belasting.

Belangrijk bij VLANs: Afzonderlijke interfacegrafieken zijn beschikbaar voor fysieke interfaces, Wireless LAN, WAN-interfaces en VLAN-interfaces in de WAN-zone. VLANs in andere zones worden in de grafiek samengevoegd met hun fysieke parent-interface. Een piek op de parent-poort kan daarom zonder extra meting niet aan één intern VLAN worden toegewezen.

De interfacegrafieken tonen ontvangen en verzonden bits, plus drops, fouten en collisions. De resolutie wordt voor langere perioden geaggregeerd: vandaag en gisteren gebruiken gemiddelden van vijf minuten, de week 15 minuten, de maand zes uur en het jaar één dag. Korte pieken kunnen daardoor verdwijnen in een maand- of jaarweergave; begin bij een incident met de smalste passende periode.

Praktische werkwijze:

1. Control Center controleren: CPU, RAM, interface-belasting en waarschuwingen observeren.
2. Log Viewer openen: Wordt de verwachte firewallregel toegepast en is logging geactiveerd?
3. Beleid en beveiligingsprofielen controleren: Welke functies hebben invloed op het betreffende verkeer?
4. Packet Capture gebruiken: Ziet men pakketten, antwoordpakketten, NAT en drops?
5. Verbindingstest uitvoeren: Met iPerf of een gedefinieerde download controleren welk pad echt traag is.
6. Offloading-context noteren: Interface-type, HA-modus, VPN-type, PPPoE, WAF, SSL VPN of Packet Capture kunnen de meting beïnvloeden.
7. Tijdstip noteren: Piekbelastingen, back-ups, updates of rapporten kunnen resultaten vertekenen.

Voor een snelle afbakening van de WAN-verbinding helpt Sophos Firewall Internet-snelheidstest via SSH uitvoeren. Voor end-to-end-tests tussen twee systemen is Sophos Firewall-prestaties met iPerf testen beter geschikt. Als een regel niet zoals verwacht werkt, past Sophos Firewall-regels gericht testen.

De dagelijkse Sophos Firewall-beheerchecklist laat zien hoe Control Center, System graphs, rapporten en beheerdersgebeurtenissen in een korte terugkerende procedure worden samengebracht.

Typische dimensioneringsfouten

• Alleen de hoogste firewall-doorvoer wordt vergeleken.
• TLS Inspection wordt gepland, maar niet in de prestatiereserve opgenomen.
• VPN en Remote Access worden beoordeeld op basis van het aantal gebruikers in plaats van op basis van het werkelijke gebruik.
• De internetverbinding wordt in aanmerking genomen, maar intern oost-west-verkeer niet.
• Virtuele firewalls worden op overbelaste hosts uitgevoerd.
• Rapportage, logging en Central-koppeling worden pas achteraf bekeken.
• Groei, nieuwe locaties, extra VLAN’s of serverpublicatie ontbreken in de planning.
• Er wordt geen onderscheid gemaakt tussen laboratoriumwaarde, reële waarde en gebruikerservaring.

Praktische dimensioneringschecklist

Voor de modelkeuze moeten deze punten duidelijk zijn:

1. Huidige en geplande internetbandbreedte voor de komende jaren.
2. Aantal gebruikers, apparaten, servers en locaties.
3. Aandeel van webverkeer, cloudtoepassingen, VoIP, back-ups en bestandsoverdrachten.
4. Geplande beveiligingsfuncties per verkeersgroep.
5. TLS-Inspection-omvang en noodzakelijke uitzonderingen.
6. Aantal en gebruik van IPsec-, SSL-VPN- en Sophos-Connect-verbindingen.
7. Behoefte aan WAF, Mail Protection, RED, WLAN of Central Reporting.
8. Verwachte reserves voor updates, groei en piekbelastingen.
9. Bedrijfsmodel: XGS Appliance, virtuele appliance, cloud of HA-cluster.

FAQ