Sophos Firewall Sizing Gids: XGS Appliance correct dimensioneren

Bij het dimensioneren van een Sophos Firewall gaat het niet alleen om het aantal gebruikers. Een firewall kan bij hetzelfde aantal gebruikers zeer verschillend belast worden: door internetbandbreedte, TLS Inspection, IPS, VPN, Web Protection, WAF, rapportage, HA, veel VLAN’s of veel gelijktijdige verbindingen.

Een goede dimensionering zorgt ervoor dat de Sophos Firewall niet alleen op de eerste dag werkt, maar ook met geactiveerde beveiligingsfuncties, realistische groei en een schone werking nog reserve heeft. Voor de keuze tussen hardware en virtuele appliance is er ook Sophos Firewall - Hardware of virtuele appliance?.

Doel van de dimensionering

Het doel is niet om het kleinste model te vinden dat onder ideale laboratoriumomstandigheden nog voldoende is. In de praktijk moet de firewall ook stabiel blijven als meerdere dingen tegelijkertijd gebeuren:

• veel gebruikers werken parallel,
• TLS Inspection of IPS is actief,
• Site-to-Site- of Remote-Access-VPN’s draaien,
• rapportage en logging veroorzaken extra belasting,
• back-ups, updates of ondersteuningsdiagnoses draaien op de achtergrond,
• een locatie groeit of krijgt meer bandbreedte.

Daarom moet men altijd met reserves plannen. Een krap gedimensioneerde firewall veroorzaakt later ondersteuningsproblemen: trage internetverbindingen, hoge CPU-belasting, pakketverlies, trage WebAdmin, instabiele VPN-verbindingen of ontbrekende reserves voor nieuwe beveiligingsfuncties.

De belangrijkste dimensioneringsfactoren

Internetbandbreedte en verkeersprofiel

De geboekte internetverbinding is een goed startpunt, maar niet de hele waarheid. Belangrijk is hoeveel daarvan daadwerkelijk tegelijkertijd wordt gebruikt en welk verkeer via de firewall loopt.

Controleren:

• symmetrische of asymmetrische verbinding,
• piekverkeer tijdens kantooruren,
• veel kleine websessies of enkele grote downloads,
• cloudback-ups, Microsoft 365, VoIP, online vergaderingen,
• locatieverbinding via VPN of SD-WAN,
• intern verkeer tussen VLAN’s dat ook via de firewall wordt geleid.

Als de firewall ook als intern routerings- en segmentatieapparaat werkt, moet men niet alleen WAN-doorvoer, maar ook Oost-West-verkeer inplannen. De basisprincipes van zones, VLAN’s en interface-ontwerp staan in Sophos Firewall Zones en Interfaces configureren.

Beveiligingsfuncties

Hoe meer beveiligingsmodules actief zijn, hoe sterker de appliance moet worden gedimensioneerd. Vooral relevant zijn:

• IPS,
• Web Protection,
• Application Control,
• SSL/TLS Inspection,
• Zero-Day Protection,
• WAF,
• Mail Protection,
• Threat Feeds,
• Reporting en Log Viewer.

Databladwaarden zijn alleen vergelijkbaar als duidelijk is welke functie is gemeten. Firewall-doorvoer zonder beveiligingsinspectie is niet hetzelfde als Threat-Protection- of TLS-Inspection-doorvoer. Voor productieve omgevingen moet men daarom niet alleen naar de hoogste marketingwaarde kijken, maar naar de kengetal die bij het eigen gebruik past.

Bij TLS Inspection is het bovendien belangrijk of de organisatie de uitrol technisch en organisatorisch goed kan uitvoeren. Het praktische verloop is beschreven in Sophos Firewall TLS Inspection correct uitrollen.

Gebruikers, apparaten en sessies

Het aantal gebruikers blijft belangrijk, maar is niet voldoende. Een kantoor met 50 gebruikers, weinig clouddiensten en zonder TLS Inspection belast de firewall anders dan een locatie met 50 gebruikers, terminalservers, veel SaaS-toepassingen, VoIP, gastnetwerk, IoT, Remote Access en meerdere serverzones.

Daarnaast tellen:

• Aantal apparaten per gebruiker,
• Gast- en IoT-netwerken,
• Servers, printers, camera’s en speciale apparaten,
• Gelijktijdige sessies,
• Veel kleine DNS- of webaanvragen,
• Remote-Access-gebruikers,
• Geautomatiseerde systemen zoals back-up, monitoring of EDR.

In gemengde omgevingen met veel VLAN’s moet men eerder naar verkeersstromen plannen dan alleen naar het aantal gebruikers.

VPN, SD-WAN en locatieverbinding

VPN kan een firewall sterk belasten, vooral als veel tunnels, hoge bandbreedte of veel Remote-Access-gebruikers samenkomen.

Inplannen:

• Site-to-Site IPsec,
• route-based VPN met XFRM-interfaces,
• Remote Access via Sophos Connect of SSL VPN,
• SD-WAN Policy Routes,
• meerdere WAN-verbindingen,
• failover-scenario’s,
• MTU/MSS-onderwerpen bij VPN-trajecten.

Bij VPN-prestaties moet men niet alleen de tunnelstatus bekijken. Belangrijk is of het productieve verkeer met geactiveerde regels, NAT, routing en beveiligingsinspectie stabiel loopt. Voor routing- en VPN-paden zijn IPsec Route op Sophos Firewall en SD-WAN Routing voor Reply Packets en System Traffic geschikte verdiepingen.

Logging, rapportage en opslag

Logging helpt in de operatie, maar veroorzaakt ook belasting en opslagbehoefte. Wie veel firewallregels met logging, webfilter, IPS, Application Control en Central Firewall Reporting gebruikt, moet de rapportage-eisen vroegtijdig verduidelijken.

Controleren:

• Welke regels moeten logging actief hebben?
• Hoe lang moeten logs beschikbaar zijn?
• Wordt Central Firewall Reporting in Sophos Fusion (voorheen Sophos Central) gebruikt?
• Is er Syslog of SIEM?
• Moeten rapporten regelmatig worden gemaakt?
• Worden loggegevens voor probleemoplossing of compliance vereist?

Voor langere evaluatie is de firewall alleen vaak niet de juiste plek. Dan moet men Central Firewall Reporting of een Syslog-/SIEM-export inplannen.

Hardware, virtueel of cloud?

XGS Appliance

Een XGS Appliance is meestal de meest planbare variant voor klassieke locaties. Hardware, poorten, ondersteuning, levenscyclus en prestaties zijn als totaalpakket gedefinieerd.

Voordelen:

• toegewijde firewall-hardware,
• duidelijke poort- en uitbreidingsopties,
• eenvoudige ondersteuning en RMA-afhandeling,
• planbare prestaties,
• minder afhankelijkheid van een hypervisor.

Hardware is vooral zinvol als de firewall op locatie het centrale beveiligings- en routeringspunt is.

Virtuele Sophos Firewall

Een virtuele firewall past goed in datacenters, cloudomgevingen of gevirtualiseerde netwerksegmenten. De prestaties hangen dan sterk af van CPU, RAM, opslag, hypervisor, virtuele netwerkkaarten en hostbelasting.

Belangrijk:

• CPU-bronnen mogen niet permanent overboekt zijn.
• Virtuele NIC’s en poortgroepen moeten goed gescheiden zijn.
• Opslaglatentie kan logging en rapportage beïnvloeden.
• Back-up en herstel moeten bij het virtualisatieplatform passen.
• HA- en failover-ontwerp moeten vooraf worden gepland.

De licentieverlening en keuze tussen hardware en virtuele appliance moet apart worden beoordeeld. Daarvoor past Sophos Firewall - Hardware of virtuele appliance?.

Van eisen naar het juiste model

Een vaste koppeling zoals ‘50 gebruikers = model X’ is misleidend. De technische limieten en doorvoerwaarden per appliance leveren geen algemeen geldende gebruikerslimiet op. Twee locaties met evenveel medewerkers kunnen door TLS-inspectie, pakketgroottes, sessies en oost-westverkeer heel andere modellen nodig hebben.

Controleer eerst harde uitsluitingscriteria

Voordat u doorvoerwaarden vergelijkt, moeten de niet-onderhandelbare eisen passen:

• vormfactor, geluid, voeding en gebruiksomgeving;
• aantal, type en snelheid van vaste en modulaire poorten;
• lokale opslag- en rapportagevereisten;
• benodigde functies, abonnementen en supportopties;
• gedocumenteerde maxima voor sessies, nieuwe verbindingen en VPN-tunnels;
• redundantie van voedingen, interfaces en de HA-node.

Een model valt af zodra het aan één criterium niet voldoet, ook als de nominale firewall-doorvoer hoog genoeg is. De modelmatrix en specificaties veranderen per productgeneratie; gebruik vóór een bestelling daarom altijd het actuele officiële Sophos-datablad.

Zie appliance-klassen als vormfactoren

Desktop-appliances passen vaak bij kleine locaties en filialen. 1U-modellen bieden doorgaans meer poortdichtheid, uitbreidingsmogelijkheden en prestatiereserve voor centrale of verspreide locaties. 2U-modellen zijn bedoeld voor zeer hoge bandbreedte, sessiebelasting, redundantie en enterprise-omgevingen. Deze klassen definiëren geen betrouwbaar gebruikersbereik.

Bij instapmodellen telt ook het functieaanbod: volgens het XGS Appliance-datablad van Sophos ondersteunen de XGS 88 en XGS 88w bepaalde functies niet, waaronder on-box rapportage, dubbele AV-scanning, WAF AV-scanning en de e-mail-MTA; Sophos adviseert de XGS 108 of XGS 108w als deze nodig zijn. Dit is een hard selectiecriterium dat extra doorvoerreserve niet compenseert.

Controleer kandidaten met de sizingtool

Vergelijk na het uitsluiten van ongeschikte modellen de resterende kandidaten met het actuele datablad en de Sophos Firewall Sizing Tool. Partners krijgen toegang via het Sophos Partner Portal; Sophos biedt ook hulp bij sizing. Lever het gedocumenteerde verkeersprofiel, alle beveiligingsfuncties, VPN, interne stromen, HA en groei aan, niet alleen gebruikers en WAN-bandbreedte. De uitkomst is een onderbouwde voorselectie, geen garantie voor productieprestaties.

Reserve, HA en groei

Een firewall moet niet permanent dicht bij de limiet draaien. Reserves zijn belangrijk voor:

• Groei van de internetverbinding,
• Nieuwe locaties of VLAN’s,
• Latere activering van TLS Inspection of IPS,
• Meer Remote-Access-gebruikers,
• Extra logging- en rapportage-eisen,
• Firmware-updates met nieuwe functies,
• Storingssituaties en failover.

Bij HA moet men bijzonder zorgvuldig plannen. In een Active-Passive-ontwerp moet een enkele node de productieve belasting alleen kunnen dragen. Active-Active is geen vrijbrief voor krappe dimensionering, omdat niet elke belasting willekeurig lineair wordt verdeeld. De belangrijkste architectuurpunten staan in Sophos Firewall HA Cluster Varianten begrijpen.

Als vuistregel moet men bij nieuwe projecten niet op een firewall plannen die in normaal bedrijf al permanent zeer hoge CPU-, RAM- of sessiebelasting vertoont. Het artikel Sophos Firewall Performance-Metrieken correct interpreteren helpt bij de latere bedrijfscontrole.

Praktische dimensioneringsprocedure

1. Startpunt vaststellen

Eerst wordt de omgeving beschreven:

• Locaties en WAN-verbindingen,
• Gebruikers en apparaten,
• VLAN’s en interne zones,
• Server- en DMZ-diensten,
• VPN- en Remote-Access-eisen,
• Actief geplande beveiligingsmodules,
• Rapportage- en logeisen,
• HA- of cloudeisen.

Vul deze inventaris bij vervanging of migratie aan met metingen van de bestaande firewall. Open tijdens representatieve piekperioden Control center > System, breid de systeemweergave uit en controleer onder CPU & Memory en Network vooral CPU, geheugen, bandbreedte, sessies, Decryption capacity en Decrypt sessions. Eén momentopname tijdens een rustige periode is geen betrouwbare uitgangswaarde; voer meerdere metingen uit op typische werkdagen en tijdens bekende belastingspieken.

2. Kritische belastingdrijvers markeren

Daarna worden de punten gemarkeerd die het model naar boven kunnen drijven:

• TLS Inspection breed in gebruik,
• Veel IPS-beschermde verbindingen,
• Hoge VPN-doorvoer,
• Veel gelijktijdige sessies,
• Veel firewallregels met logging,
• WAF of Mail Protection,
• Sterke segmentatie met intern verkeer via de firewall,
• Groei in de komende drie tot vijf jaar.

3. Harde eisen toetsen aan de modelmatrix

Sluit nu ongeschikte modellen uit. Controleer aantal en snelheid van poorten, uitbreidingsmodules, vormfactor, voeding en redundantie, lokale opslag, alle benodigde functies en gedocumenteerde maxima. Ook de licentie moet de geplande beveiligingsfuncties dekken. Doe dit vóór de prestatievergelijking: ontbrekende poorten, een niet-ondersteunde functie of een te lage sessielimiet worden niet gecompenseerd door een goede doorvoerwaarde.

4. Databladwaarden correct lezen

Databladwaarden zijn maximale doorvoerwaarden die Sophos onder ideale testomstandigheden met Keysight-Ixia BreakingPoint meet; ze garanderen geen productieprestaties. Firewall Throughput gebruikt HTTP-verkeer met antwoorden van 512 KB. Firewall IMIX gebruikt UDP-pakketten van 66, 570 en 1518 bytes. De IPS-test gebruikt HTTP-verkeer, de standaard IPS-regelset en objecten van 512 KB. TLS Inspection wordt gemeten met actieve IPS, HTTPS-sessies en verschillende cipher suites. Threat Protection combineert firewall, IPS, Application Control en Malware Prevention met Enterprise Traffic Mix. De werkelijke prestaties hangen af van het verkeersprofiel, regels, encryptie, pakketgroottes en gelijktijdig actieve diensten.

Gebruik daarom de waarde die het geplande gebruik het best benadert:

Belangrijke kengetallen:

• Firewall Throughput: alleen een grove indicatie voor eenvoudige pakketdoorvoer zonder de volledige beveiligingsmix.
• IPS Throughput: relevant voor omgevingen met actieve Intrusion Prevention.
• Threat Protection: vaak realistischer wanneer meerdere beveiligingsfuncties tegelijk actief zijn.
• TLS Inspection: belangrijk voor omgevingen met ontsleuteld HTTPS-verkeer.
• IPsec VPN Throughput: relevant voor sitekoppelingen en VPN-belasting.
• Concurrent Connections: belangrijk bij veel clients, websessies en diensten.

Als meerdere van deze punten tegelijkertijd relevant zijn, moet men niet alleen naar één enkel kengetal kijken.

5. Reserve vaststellen

Voeg vóór de definitieve modelkeuze niet simpelweg een willekeurig reservepercentage toe. Vergelijk in plaats daarvan drie scenario’s:

• Normale piek: de hoogste realistische belasting met alle geplande beveiligingsfuncties.
• Failoverpiek: dezelfde belasting op één HA-node en tijdens uitval van een WAN-verbinding.
• Toekomstige piek: verwachte bandbreedte, sessies en extra beveiligingsfuncties in de komende drie tot vijf jaar.

Een model is pas geschikt als de relevante databladwaarden, poorten en gelicentieerde functies alle drie de scenario’s met een onderbouwde reserve afdekken. Die reserve kan kleiner zijn voor een eenvoudige zelfstandige locatie dan voor een centrale firewall, HA-cluster of snelgroeiende omgeving.

6. Valideren in Control Center

Dimensionering eindigt niet met de bestelling. Open na ingebruikname tijdens representatieve piekperioden Control center > System, breid de systeemweergave uit en vergelijk de beschikbare tellers onder CPU & Memory en Network met de aannames:

• CPU- en geheugenbelasting,
• WAN-bandbreedte en sessiecijfers,
• Decryption capacity en Decrypt sessions bij TLS Inspection,

Controleer daarnaast met passende metingen en observaties:

• VPN-doorvoer,
• WebAdmin-reactietijd,
• Log Viewer en rapportage,
• Pakketverlies of retransmits,
• Prestaties na activering van extra beveiligingsfuncties.

Een enkele piek is minder belangrijk dan terugkerende of aanhoudende verzadiging. In de uitgebreide systeemweergave toont de Load Average-grafiek de voorgaande week. Als de waarde hoger is dan het aantal processorkernen, had het systeem in die periode meer werk dan het kon verwerken. Dat is een concreet signaal om de dimensionering, actieve functies of afwijkend verkeer nader te onderzoeken.

Voor reproduceerbare metingen kan Sophos Firewall iPerf Speedtest gebruiken voor troubleshooting helpen. Voor eenvoudige WAN-snelheidstests is Sophos Firewall Internet Speedtest correct interpreteren het juiste startpunt.

7. Acceptatietest en terugvalpad voorbereiden

Leg vóór de ingebruikname de sizingaannames en succescriteria vast. Voer de acceptatietest uit met de volledige productieregelset en geplande beveiligingsfuncties. Test normale piekbelasting, VPN- en inter-VLAN-paden en bij HA de belasting op één node. Beoordeel CPU, load average, geheugen, sessies, decryptiecapaciteit, pakketverlies en responstijd van belangrijke toepassingen samen; één internetsnelheidstest is niet genoeg.

Bewaar bij hardwarevervanging een actuele gecontroleerde back-up en een gedocumenteerd pad terug naar de eerdere bekabeling totdat de test slaagt. Schakel beveiligingsfuncties niet zonder onderscheid uit als het nieuwe systeem niet voldoet. Controleer eerst het werkelijk gebruikte regel- en routeringspad, linkonderhandeling, actieve inspectie en bij virtuele firewalls de hostresources. Kan de oorzaak niet veilig binnen het onderhoudsvenster worden opgelost, ga dan terug naar het voorbereide oude pad en bepaal met Sophos of de partner of configuratie, platform of model moet veranderen.

Problemen oplossen na ingebruikname

• Doorvoer blijft onder het doel: controleer linksnelheid en duplex, het daadwerkelijk overeenkomende firewallregelpad en actieve IPS-, web- en TLS-inspectie. Vergelijk daarna met de passende databladwaarde, niet met het ruwe firewallmaximum.
• Load average ligt herhaaldelijk boven het aantal CPU-cores: beperk tijdstip en verkeersstroom via Control Center, logs en Current activities. Een korte piek bewijst geen onjuiste dimensionering; terugkerende verzadiging met pakketverlies of trage toepassingen moet worden onderzocht.
• Decryption capacity is opgebruikt of Decrypt sessions naderen de gedocumenteerde modellimiet: controleer welke regels ontsleutelen en of het werkelijke HTTPS-profiel afwijkt van de aanname. Bewaar de observaties en beoordeel model of inspectieomvang opnieuw met Sophos of de partner, in plaats van de controle zonder beoordeling uit te schakelen.
• Alleen de virtuele firewall is traag: controleer ook CPU- en RAM-toewijzing, reserveringen, host-overcommitment, opslaglatentie en virtuele NIC’s.

Veelvoorkomende dimensioneringsfouten

• Alleen op basis van het aantal gebruikers dimensioneren.
• Databladwaarden voor firewall-doorvoer verwarren met Threat-Protection-belasting.
• TLS Inspection later activeren zonder reserve ingepland te hebben.
• HA plannen, maar niet controleren of een node alleen voldoende prestaties heeft.
• Inter-VLAN-verkeer negeren.
• Rapportage en logging onderschatten.
• Virtuele firewalls op overboekte hosts draaien.
• Groei van de internetverbinding niet in overweging nemen.
• Remote Access en Site-to-Site VPN alleen op basis van het aantal tunnels in plaats van doorvoer plannen.

Checklist

• Internetbandbreedte en echte piekgebruik bekend.
• Gebruikers, apparaten, VLAN’s en serverzones vastgelegd.
• Geplande beveiligingsmodules gedocumenteerd.
• Poorten, functieomvang, abonnementen en platformlimieten gecontroleerd.
• TLS Inspection, IPS, VPN, WAF, Mail Protection en rapportage afzonderlijk beoordeeld.
• Intern verkeer via de firewall in overweging genomen.
• HA-ontwerp en failover-belasting gecontroleerd.
• Hardware of virtuele appliance bewust gekozen.
• Groeireserve voor meerdere jaren ingepland.
• Na de ingebruikname prestatiemetingen gecontroleerd.
• Acceptatiecriteria, back-up en terugvalpad gedocumenteerd.

FAQ