Przewodnik po rozmiarze Sophos Firewall: prawidłowe wymiarowanie XGS Appliance

Wymiarowanie Sophos Firewall nie polega tylko na liczbie użytkowników. Zapora może być różnie obciążona przy tej samej liczbie użytkowników: przez przepustowość internetu, inspekcję TLS, IPS, VPN, ochronę sieci Web, WAF, raportowanie, HA, wiele VLAN-ów lub wiele jednoczesnych połączeń.

Dobre wymiarowanie zapewnia, że Sophos Firewall działa nie tylko pierwszego dnia, ale zachowuje też rezerwę przy włączonych funkcjach ochrony, realistycznym wzroście i prawidłowej eksploatacji. W podjęciu decyzji między urządzeniem sprzętowym a wirtualnym pomoże również Sophos Firewall — urządzenie sprzętowe czy wirtualne?.

Cel wymiarowania

Celem nie jest znalezienie najmniejszego modelu, który wystarczy w idealnych warunkach laboratoryjnych. W praktyce zapora powinna pozostać stabilna, nawet gdy dzieje się kilka rzeczy jednocześnie:

• wielu użytkowników pracuje równolegle,
• inspekcja TLS lub IPS jest aktywna,
• działają VPN-y Site-to-Site lub Remote-Access,
• raportowanie i logowanie generują dodatkowe obciążenie,
• w tle działają kopie zapasowe, aktualizacje lub diagnostyka wsparcia,
• lokalizacja rośnie lub zyskuje większą przepustowość.

Dlatego zawsze należy planować z rezerwą. Zapora o zbyt małych wymiarach generuje później problemy wsparcia: wolne połączenia internetowe, wysokie obciążenie CPU, utraty pakietów, powolne WebAdmin, niestabilne połączenia VPN lub brak rezerwy na nowe funkcje bezpieczeństwa.

Najważniejsze czynniki wymiarowania

Przepustowość internetu i profil ruchu

Zamówiona linia internetowa to dobry punkt wyjścia, ale nie cała prawda. Ważne jest, ile z niej jest faktycznie używane jednocześnie i jaki ruch przechodzi przez zaporę.

Sprawdź:

• symetryczna czy asymetryczna linia,
• szczytowy ruch w godzinach pracy,
• wiele małych sesji internetowych czy kilka dużych pobrań,
• kopie zapasowe w chmurze, Microsoft 365, VoIP, spotkania online,
• połączenia lokalizacji przez VPN lub SD-WAN,
• ruch wewnętrzny między VLAN-ami, który również przechodzi przez zaporę.

Jeśli zapora działa również jako wewnętrzne urządzenie routingu i segmentacji, należy uwzględnić nie tylko przepustowość WAN, ale także ruch wschód-zachód. Podstawy dotyczące stref, VLAN-ów i projektowania interfejsów znajdują się w Konfigurowanie stref i interfejsów Sophos Firewall.

Funkcje ochrony

Im więcej modułów bezpieczeństwa jest aktywnych, tym wydajniejsze musi być urządzenie. Szczególnie istotne są:

• IPS,
• Ochrona sieci Web,
• Kontrola aplikacji,
• Inspekcja SSL/TLS,
• Ochrona przed zagrożeniami zerowego dnia,
• WAF,
• Ochrona poczty,
• Kanały zagrożeń,
• Raportowanie i Log Viewer.

Wartości z arkusza danych są porównywalne tylko wtedy, gdy wiadomo, która funkcja była mierzona. Przepustowość zapory bez inspekcji bezpieczeństwa to nie to samo co przepustowość ochrony przed zagrożeniami czy inspekcji TLS. Dla środowisk produkcyjnych nie należy patrzeć tylko na najwyższą wartość marketingową, ale na wskaźnik, który pasuje do własnego zastosowania.

Przy inspekcji TLS ważne jest również, czy organizacja może przeprowadzić wdrożenie technicznie i organizacyjnie. Praktyczny przebieg opisano w Czyste wdrożenie inspekcji TLS Sophos Firewall.

Użytkownicy, urządzenia i sesje

Liczba użytkowników pozostaje ważna, ale nie wystarcza. Biuro z 50 użytkownikami, niewieloma usługami w chmurze i bez inspekcji TLS obciąża zaporę inaczej niż lokalizacja z 50 użytkownikami, serwerami terminalowymi, wieloma aplikacjami SaaS, VoIP, siecią gościnną, IoT, zdalnym dostępem i wieloma strefami serwerowymi.

Dodatkowo liczą się:

• liczba urządzeń końcowych na użytkownika,
• sieci gościnne i IoT,
• serwery, drukarki, kamery i urządzenia specjalne,
• jednoczesne sesje,
• wiele małych zapytań DNS lub internetowych,
• użytkownicy zdalnego dostępu,
• zautomatyzowane systemy, takie jak kopie zapasowe, monitorowanie lub EDR.

W mieszanych środowiskach z wieloma VLAN-ami lepiej planować według przepływów ruchu niż tylko według liczby głów.

VPN, SD-WAN i połączenia lokalizacji

VPN może mocno obciążać zaporę, szczególnie gdy wiele tuneli, duża przepustowość lub wielu użytkowników zdalnego dostępu występuje jednocześnie.

Uwzględnij:

• IPsec Site-to-Site,
• VPN oparte na trasach z interfejsami XFRM,
• Zdalny dostęp przez Sophos Connect lub SSL VPN,
• Trasy polityki SD-WAN,
• wiele linii WAN,
• scenariusze awaryjne,
• tematy MTU/MSS przy trasach VPN.

Przy wydajności VPN nie należy patrzeć tylko na status tunelu. Kluczowe jest, czy ruch produkcyjny z włączonymi regułami, NAT, routingu i inspekcji bezpieczeństwa działa stabilnie. Dla tras routingu i VPN odpowiednie są Trasa IPsec na Sophos Firewall i Routing SD-WAN dla pakietów odpowiedzi i ruchu systemowego.

Logowanie, raportowanie i przechowywanie

Logowanie pomaga w eksploatacji, ale również generuje obciążenie i zapotrzebowanie na pamięć. Kto używa wielu reguł zapory z logowaniem, filtrem sieci Web, IPS, kontrolą aplikacji i raportowaniem Central Firewall, powinien wcześnie określić wymagania dotyczące raportowania.

Sprawdź:

• Które reguły mają aktywne logowanie?
• Jak długo muszą być dostępne logi?
• Czy używana jest funkcja Central Firewall Reporting w Sophos Fusion (wcześniej Sophos Central)?
• Czy istnieje Syslog lub SIEM?
• Czy raporty muszą być regularnie tworzone?
• Czy dane logów są potrzebne do rozwiązywania problemów lub zgodności?

Dla dłuższej analizy sama zapora często nie jest właściwym miejscem. Wtedy należy zaplanować korzystanie z Central Firewall Reporting lub eksport Syslog/SIEM.

Sprzęt, wirtualnie czy w chmurze?

XGS Appliance

XGS Appliance jest zazwyczaj najbardziej przewidywalną opcją dla tradycyjnych lokalizacji. Sprzęt, porty, wsparcie, cykl życia i wydajność są zdefiniowane jako jedna całość.

Zalety:

• dedykowany sprzęt zapory,
• jasne opcje portów i rozszerzeń,
• prosta obsługa wsparcia i RMA,
• przewidywalna wydajność,
• mniejsza zależność od hypervisora.

Sprzęt jest szczególnie sensowny, gdy zapora jest centralnym punktem bezpieczeństwa i routingu w lokalizacji.

Wirtualna zapora Sophos

Wirtualna zapora dobrze pasuje do centrów danych, środowisk chmurowych lub zwirtualizowanych segmentów sieci. Wydajność zależy wtedy mocno od CPU, RAM, pamięci, hypervisora, wirtualnych kart sieciowych i obciążenia hosta.

Ważne:

• Zasoby CPU nie mogą być stale nadmiernie przydzielane.
• Wirtualne NIC i grupy portów muszą być czysto oddzielone.
• Opóźnienie pamięci masowej może wpływać na logowanie i raportowanie.
• Kopia zapasowa i przywracanie muszą pasować do platformy wirtualizacyjnej.
• Projekt HA i failover musi być wcześniej zaplanowany.

Licencjonowanie i wybór między urządzeniem sprzętowym a wirtualnym należy sprawdzić osobno. Więcej informacji zawiera artykuł Sophos Firewall — urządzenie sprzętowe czy wirtualne?.

Od wymagań do właściwego modelu

Stałe przypisanie typu „50 użytkowników = model X” byłoby mylące. Limity techniczne i wartości przepustowości urządzeń nie wyznaczają uniwersalnego limitu użytkowników. Dwie lokalizacje z taką samą liczbą osób mogą potrzebować różnych modeli z powodu inspekcji TLS, rozmiarów pakietów, sesji i ruchu wschód-zachód.

Najpierw sprawdź kryteria wykluczające

Przed porównaniem przepustowości muszą być spełnione wymagania bezwzględne:

• format, hałas, zasilanie i środowisko pracy;
• liczba, typ i szybkość portów stałych oraz modułowych;
• lokalna pamięć i wymagania raportowania;
• wymagane funkcje, subskrypcje i opcje wsparcia;
• udokumentowane maksima sesji, nowych połączeń i tuneli VPN;
• redundancja zasilaczy, interfejsów i węzła HA.

Model odpada, gdy nie spełnia choć jednego kryterium, nawet jeśli nominalna przepustowość firewalla jest wystarczająca. Macierz i specyfikacje zmieniają się między generacjami, dlatego przed zakupem zawsze używaj aktualnej oficjalnej karty katalogowej Sophos.

Traktuj klasy urządzeń jako formaty

Urządzenia desktopowe często pasują do małych lokalizacji i oddziałów. Modele 1U zwykle oferują więcej portów, możliwości rozbudowy i zapasu wydajności dla lokalizacji centralnych lub rozproszonych. Modele 2U są przeznaczone dla środowisk enterprise o bardzo dużej przepustowości, liczbie sesji i wymaganej redundancji. Klasy te nie określają wiarygodnego zakresu użytkowników.

W modelach podstawowych liczy się również zakres funkcji: według karty XGS Appliance firmy Sophos modele XGS 88 i XGS 88w nie obsługują niektórych funkcji, w tym raportowania lokalnego, podwójnego skanowania AV, skanowania AV WAF i MTA poczty; Sophos zaleca XGS 108 lub XGS 108w, gdy są one wymagane. To twarde kryterium, którego nie kompensuje dodatkowy zapas przepustowości.

Sprawdź kandydatów narzędziem do wymiarowania

Po odrzuceniu nieodpowiednich modeli porównaj pozostałe przy użyciu aktualnej karty katalogowej i Sophos Firewall Sizing Tool. Partnerzy mają dostęp do narzędzia przez Sophos Partner Portal, a Sophos oferuje też pomoc w doborze. Przekaż udokumentowany profil ruchu, wszystkie zabezpieczenia, VPN, przepływy wewnętrzne, HA i wzrost, nie tylko liczbę użytkowników i pasmo WAN. Wynik jest uzasadnioną listą kandydatów, a nie gwarancją wydajności produkcyjnej.

Rezerwa, HA i wzrost

Zapora nie powinna działać stale blisko limitu. Rezerwy są ważne dla:

• wzrostu przepustowości internetu,
• nowych lokalizacji lub VLAN-ów,
• późniejszej aktywacji inspekcji TLS lub IPS,
• większej liczby użytkowników zdalnego dostępu,
• dodatkowych wymagań dotyczących logowania i raportowania,
• aktualizacji oprogramowania z nowymi funkcjami,
• sytuacji awaryjnych i failover.

Przy HA należy szczególnie dokładnie planować. W projekcie Active-Passive jeden węzeł musi być w stanie samodzielnie obsłużyć obciążenie produkcyjne. Active-Active nie jest przepustką dla ciasnego wymiarowania, ponieważ nie każde obciążenie jest równomiernie rozłożone. Najważniejsze punkty architektury znajdują się w Zrozumienie wariantów klastra HA Sophos Firewall.

Zasadniczo w nowych projektach nie należy planować zapory, która w normalnej eksploatacji już wykazuje bardzo wysokie obciążenie CPU, RAM lub sesji. Artykuł Prawidłowe interpretowanie metryk wydajności Sophos Firewall pomaga w późniejszej ocenie eksploatacji.

Praktyczny przebieg wymiarowania

1. Zbieranie danych wyjściowych

Najpierw opisuje się środowisko:

• lokalizacje i linie WAN,
• użytkownicy i urządzenia,
• VLAN-y i strefy wewnętrzne,
• usługi serwerowe i DMZ,
• wymagania dotyczące VPN i zdalnego dostępu,
• aktywnie planowane moduły bezpieczeństwa,
• wymagania dotyczące raportowania i logowania,
• wymagania dotyczące HA lub chmury.

Przy wymianie lub migracji należy uzupełnić ten wykaz pomiarami z istniejącej zapory. W reprezentatywnych okresach szczytowych otwórz Control center > System, rozwiń widok systemu i sprawdź CPU & Memory oraz Network, zwłaszcza CPU, pamięć, przepustowość, sesje, Decryption capacity i Decrypt sessions. Pojedynczy pomiar w spokojnym okresie nie stanowi wiarygodnej wartości bazowej; wykonaj kilka pomiarów w typowe dni robocze i podczas znanych szczytów obciążenia.

2. Oznaczanie krytycznych czynników obciążenia

Następnie oznacza się punkty, które mogą podnieść model:

• szerokie zastosowanie inspekcji TLS,
• wiele połączeń chronionych przez IPS,
• wysoka przepustowość VPN,
• wiele jednoczesnych sesji,
• wiele reguł zapory z logowaniem,
• WAF lub ochrona poczty,
• silna segmentacja z wewnętrznym ruchem przez zaporę,
• wzrost w ciągu najbliższych trzech do pięciu lat.

3. Sprawdzenie wymagań bezwzględnych w macierzy modeli

Odrzuć nieodpowiednie modele. Sprawdź liczbę i szybkość portów, moduły rozszerzeń, format, zasilanie i redundancję, lokalną pamięć, wymagane funkcje oraz udokumentowane maksima. Licencja musi również obejmować planowane zabezpieczenia. Zrób to przed porównaniem wydajności: brakujących portów, nieobsługiwanej funkcji lub zbyt niskiego limitu sesji nie zrekompensuje dobra przepustowość.

4. Prawidłowe odczytywanie wartości z arkusza danych

Wartości w karcie katalogowej to maksymalna przepustowość mierzona przez Sophos w idealnych warunkach testowych przy użyciu Keysight-Ixia BreakingPoint, a nie gwarantowana wydajność produkcyjna. Firewall Throughput używa ruchu HTTP z odpowiedziami o rozmiarze 512 KB. Firewall IMIX używa pakietów UDP o rozmiarach 66, 570 i 1518 bajtów. Test IPS używa ruchu HTTP, domyślnego zestawu reguł IPS i obiektów o rozmiarze 512 KB. TLS Inspection jest mierzone z aktywnym IPS, sesjami HTTPS i różnymi zestawami szyfrów. Threat Protection łączy firewall, IPS, Application Control i Malware Prevention przy użyciu Enterprise Traffic Mix. Rzeczywista wydajność zależy od profilu ruchu, reguł, szyfrowania, rozmiarów pakietów i usług działających jednocześnie.

Dlatego należy użyć wskaźnika najbardziej zbliżonego do planowanej eksploatacji:

Ważne wskaźniki:

• Firewall Throughput: tylko ogólna orientacja dla prostego przepływu pakietów bez pełnego zestawu zabezpieczeń.
• IPS Throughput: istotne dla środowisk z aktywnym Intrusion Prevention.
• Threat Protection: często bardziej realistyczne, gdy jednocześnie aktywnych jest kilka funkcji ochrony.
• TLS Inspection: ważne dla środowisk z odszyfrowanym ruchem HTTPS.
• IPsec VPN Throughput: istotne dla połączeń między lokalizacjami i obciążenia VPN.
• Concurrent Connections: ważne przy wielu klientach, sesjach webowych i usługach.

Jeśli kilka z tych punktów jest jednocześnie istotnych, nie należy patrzeć tylko na jeden wskaźnik.

5. Ustalanie rezerwy

Przed ostatecznym wyborem modelu nie należy po prostu dodawać arbitralnego procentu rezerwy. Zamiast tego porównaj trzy scenariusze:

• Normalny szczyt: najwyższe realistyczne obciążenie ze wszystkimi planowanymi funkcjami ochrony.
• Szczyt failover: to samo obciążenie na pojedynczym węźle HA oraz podczas awarii łącza WAN.
• Przyszły szczyt: oczekiwana przepustowość, sesje i dodatkowe funkcje ochrony w ciągu najbliższych trzech do pięciu lat.

Model jest odpowiedni tylko wtedy, gdy jego istotne parametry, porty i licencjonowane funkcje obejmują wszystkie trzy scenariusze z uzasadnioną rezerwą. Może ona być mniejsza dla prostej samodzielnej lokalizacji niż dla centralnej zapory, klastra HA lub szybko rozwijającego się środowiska.

6. Walidacja w Control Center

Wymiarowanie nie kończy się na zamówieniu. Po uruchomieniu otwórz Control center > System w reprezentatywnych okresach szczytowych, rozwiń widok systemu i porównaj dostępne wskaźniki w CPU & Memory oraz Network z założeniami:

• wykorzystanie CPU i pamięci,
• przepustowość WAN i liczbę sesji,
• Decryption capacity i Decrypt sessions przy TLS Inspection,

Dodatkowo sprawdź za pomocą odpowiednich pomiarów i obserwacji:

• przepustowość VPN,
• czas reakcji WebAdmin,
• Log Viewer i raportowanie,
• utraty pakietów lub retransmisje,
• wydajność po aktywacji dodatkowych funkcji ochrony.

Pojedynczy skok ma mniejsze znaczenie niż powtarzające się lub trwałe nasycenie. W rozwiniętym widoku systemu wykres Load Average pokazuje poprzedni tydzień. Jeśli wartość przekracza liczbę rdzeni procesora, system miał w tym okresie więcej pracy, niż był w stanie przetworzyć. Jest to konkretny sygnał do ponownego sprawdzenia wymiarowania, aktywnych funkcji lub nietypowego ruchu.

Dla powtarzalnych pomiarów może pomóc Używanie testu prędkości iPerf Sophos Firewall do rozwiązywania problemów. Dla prostych testów prędkości WAN odpowiednim wprowadzeniem jest Prawidłowe interpretowanie testu prędkości internetu Sophos Firewall.

7. Przygotowanie testu odbiorczego i drogi powrotu

Przed uruchomieniem zapisz założenia i kryteria sukcesu. Wykonaj test z pełnym produkcyjnym zestawem reguł i planowanymi zabezpieczeniami. Sprawdź normalny szczyt, ścieżki VPN i między VLAN-ami oraz w HA obciążenie jednego węzła. Oceniaj łącznie CPU, load average, pamięć, sesje, zdolność deszyfrowania, utratę pakietów i czas odpowiedzi ważnych aplikacji; pojedynczy test prędkości internetu nie wystarcza.

Przy wymianie sprzętu zachowaj aktualną, zweryfikowaną kopię zapasową i udokumentowaną drogę powrotu do poprzedniego okablowania do czasu zaliczenia testu. Jeśli nowy system nie spełnia kryteriów, nie wyłączaj zabezpieczeń zbiorczo. Najpierw sprawdź faktycznie używaną regułę i trasę, negocjację łącza, aktywną inspekcję, a w firewallu wirtualnym zasoby hosta. Jeśli przyczyny nie da się bezpiecznie usunąć w oknie serwisowym, wróć do przygotowanej starej ścieżki i ustal z Sophos lub partnerem, czy zmienić konfigurację, platformę czy model.

Rozwiązywanie problemów po uruchomieniu

• Przepustowość poniżej celu: sprawdź szybkość i dupleks łącza, faktycznie dopasowaną ścieżkę reguł oraz aktywną inspekcję IPS, web i TLS. Następnie porównaj pomiar z właściwą metryką karty, nie z surowym maksimum firewalla.
• Load average wielokrotnie przekracza liczbę rdzeni CPU: zawęź czas i przepływ w Control Center, logach i Current activities. Krótki szczyt nie dowodzi błędnego doboru; powtarzające się nasycenie z utratą pakietów lub wolnymi aplikacjami wymaga analizy.
• Decryption capacity jest wyczerpane lub liczba Decrypt sessions zbliża się do udokumentowanego limitu modelu: sprawdź, które reguły deszyfrują i czy rzeczywisty profil HTTPS różni się od założeń. Zapisz obserwacje i ponownie oceń model lub zakres inspekcji z Sophos albo partnerem zamiast wyłączać kontrolę bez analizy.
• Wolny jest tylko firewall wirtualny: sprawdź także przydziały i rezerwacje CPU/RAM, nadmierną alokację hosta, opóźnienie pamięci masowej i wirtualne karty NIC.

Częste błędy wymiarowania

• Wymiarowanie tylko według liczby użytkowników.
• Mylenie wartości z arkusza danych dla przepustowości zapory z obciążeniem ochrony przed zagrożeniami.
• Późniejsze włączanie inspekcji TLS bez zaplanowanej rezerwy.
• Planowanie HA, ale nie sprawdzanie, czy jeden węzeł ma wystarczającą wydajność.
• Ignorowanie ruchu między VLAN-ami.
• Niedocenianie raportowania i logowania.
• Uruchamianie wirtualnych zapór na nadmiernie przydzielonych hostach.
• Nie uwzględnianie wzrostu przepustowości internetu.
• Planowanie zdalnego dostępu i VPN Site-to-Site tylko według liczby tuneli zamiast przepustowości.

Lista kontrolna

• Znana przepustowość internetu i rzeczywiste szczytowe wykorzystanie.
• Zebrani użytkownicy, urządzenia, VLAN-y i strefy serwerowe.
• Udokumentowane planowane moduły bezpieczeństwa.
• Sprawdzone porty, zakres funkcji, subskrypcje i limity platformy.
• Osobno ocenione inspekcja TLS, IPS, VPN, WAF, ochrona poczty i raportowanie.
• Uwzględniony wewnętrzny ruch przez zaporę.
• Sprawdzone projekt HA i obciążenie failover.
• Świadomie wybrane urządzenie sprzętowe lub wirtualne.
• Zaplanowana rezerwa wzrostu na kilka lat.
• Po uruchomieniu sprawdzone metryki wydajności.
• Udokumentowane kryteria odbioru, backup i droga powrotu.

FAQ