Interpretar corretamente os dados de desempenho do Sophos Firewall

Os dados de desempenho de um Sophos Firewall são importantes para o dimensionamento, mas muitas vezes são mal interpretados. O maior throughput do firewall na ficha técnica não é automaticamente o desempenho que um local alcança com IPS, Web Protection, TLS Inspection, VPN, NAT, relatórios e muitos usuários simultâneos.

Para escolher um modelo, não se deve olhar apenas para um único número em Gbit/s. O que importa é quais funções de proteção estão ativas, que tipo de tráfego passa pelo firewall e quais reservas o ambiente precisa no dia a dia. O Guia de Dimensionamento do Sophos Firewall explica a escolha do modelo; este artigo explica como interpretar as métricas de desempenho subjacentes.

Regra rápida para dimensionamento

Na prática, geralmente o throughput puro do firewall não é o melhor ponto de partida.

• Apenas roteamento e regras de firewall simples: Considere o throughput do firewall e IMIX.
• Rede empresarial normal com IPS e Application Control: Dê mais peso aos valores de NGFW ou Threat Protection.
• Muitas conexões HTTPS com descriptografia: Planeje o desempenho de TLS Inspection e a reserva de CPU.
• Muitas conexões VPN: Considere separadamente os requisitos de IPsec ou Remote Access.
• Firewall virtual: Leve a sério o hypervisor, CPU, RAM, armazenamento e placas de rede virtuais, assim como a licença Sophos.

Se não estiver claro se o hardware ou a appliance virtual é mais adequado, o Sophos Firewall - Hardware ou Appliance Virtual? pode ajudar na decisão.

Por que os valores da ficha técnica não são suficientes

Os valores de desempenho são determinados sob condições de laboratório definidas. Isso é útil porque torna os modelos comparáveis. No entanto, um ambiente produtivo se comporta de maneira diferente:

• Os tamanhos dos pacotes são mistos.
• Os usuários geram sessões paralelas.
• Os perfis de segurança verificam o tráfego em diferentes profundidades.
• O tráfego HTTPS requer significativamente mais recursos com TLS Inspection.
• VPN, SD-WAN, NAT, logging e relatórios funcionam em paralelo.
• WLAN, switches, clientes, servidores e provedores influenciam o desempenho percebido.

Portanto, um valor da ficha técnica é um valor de comparação, não uma promessa para cada fluxo individual. Para um dimensionamento sólido, deve-se planejar com reservas e considerar as funções operacionais futuras antes da compra.

Ler as condições de teste antes de comparar os valores

As notas das fichas técnicas da Sophos fazem parte de cada métrica. A Sophos mede os valores máximos com Keysight-Ixia BreakingPoint em condições ideais. Firewall Throughput usa tráfego HTTP com respostas de 512 KB, enquanto Firewall IMIX combina pacotes UDP de 66, 570 e 1518 bytes. IPS Throughput baseia-se em tráfego HTTP, no conjunto de regras IPS predefinido e em objetos de 512 KB. TLS Inspection é medida com IPS ativo, sessões HTTPS e diferentes cipher suites. Threat Protection combina firewall, IPS, Application Control e Malware Prevention com o Enterprise Traffic Mix. NGFW Throughput é medido com IPS e Application Control ativos, tráfego HTTP e objetos de 512 KB. IPsec VPN usa tráfego HTTP através de vários túneis com respostas de 512 KB.

Estas condições permitem comparar modelos na mesma base. No entanto, os valores não devem ser somados nem interpretados como garantia para o perfil de tráfego próprio. Pacotes pequenos, sessões curtas, outras cipher suites e serviços adicionais podem alterar o resultado.

As métricas mais importantes

• Firewall Throughput: Ajuda a comparar o processamento simples de Layer 3/Layer 4. O erro habitual é tratá-lo como throughput real da Internet com todas as funções de segurança ativas.
• Firewall IMIX: Usa uma combinação mais realista de tamanhos de pacotes. É frequentemente ignorado, embora redes de produção não transportem apenas pacotes grandes.
• IPS Throughput: Descreve tráfego com Intrusion Prevention. Torna-se relevante quando o IPS inspeciona uma grande parte do tráfego.
• NGFW Throughput: Descreve o desempenho com funções adicionais, como IPS e Application Control. Não deve ser confundido com o throughput puro da firewall.
• Threat Protection: Aproxima-se mais de um ambiente com várias proteções ativas. Continua a ser uma métrica comparativa, não um mínimo garantido.
• TLS Inspection: Refere-se à desencriptação e inspeção HTTPS. Esta carga potencialmente elevada é muitas vezes esquecida no dimensionamento.
• IPsec VPN: Refere-se ao tráfego encriptado entre locais. Peer, tamanhos de pacotes, parâmetros criptográficos e CPU contam tanto como a ligação à Internet.
• Concurrent Connections: Indica quantas ligações a firewall pode acompanhar simultaneamente. É um limite de capacidade, não um valor de throughput.
• New Connections per second: Indica quantas ligações novas a firewall pode processar por segundo. Muitas ligações web, API ou DNS curtas podem exigir este limite mesmo com pouca largura de banda utilizada.

Throughput do Firewall e IMIX

O throughput puro do firewall descreve um processamento relativamente simples de tráfego. Este valor é útil quando um firewall principalmente roteia, faz NAT e processa regras clássicas de firewall.

IMIX está mais próximo da carga real da rede, pois mistura diferentes tamanhos de pacotes. Isso é importante porque pacotes pequenos sobrecarregam um firewall de maneira diferente de grandes downloads. Em redes empresariais, raramente há apenas um fluxo de dados grande e limpo. Acessos à web, DNS, VoIP, aplicações em nuvem, atualizações e transferências de arquivos geram padrões diferentes.

Para locais com tráfego normal de usuários, o IMIX é muitas vezes mais significativo do que o valor máximo mais bonito.

IPS, NGFW e Threat Protection

Assim que o IPS, Application Control, Web Protection ou verificação de malware estão ativos, o firewall precisa fazer mais do que apenas encaminhar pacotes. O firewall deve classificar o tráfego, reconhecer padrões, aplicar regras e, dependendo da política, verificar conteúdos.

Os termos são frequentemente confundidos:

• IPS avalia o tráfego com base em assinaturas e regras para padrões de ataque conhecidos.
• NGFW descreve o desempenho do firewall com funções adicionais, como IPS e Application Control.
• Threat Protection é um valor de aproximação mais forte para ambientes onde várias funções de proteção estão ativas simultaneamente.

Para uma empresa que realmente opera o Sophos Firewall como um Security Gateway, os valores de NGFW e Threat Protection são geralmente mais relevantes do que o throughput puro do firewall.

Planejar realisticamente a TLS Inspection

A TLS Inspection é um dos maiores fatores de desempenho. O firewall descriptografa conexões HTTPS, verifica o conteúdo e criptografa novamente a conexão. Isso gera carga na CPU e pode ser perceptível dependendo da Cipher Suite, servidor de destino, cliente, exceções e política.

Portanto, a TLS Inspection não deve ser ativada casualmente. É sensato um rollout gradual com grupo piloto, exceções, monitoramento e uma busca de falhas clara. O artigo Implementar corretamente a TLS Inspection no Sophos Firewall descreve o processo operacional.

O certificado CA também deve ser distribuído corretamente. Para clientes, Instalar o certificado CA do Sophos Firewall para escaneamento HTTPS é o ponto de partida adequado.

Considerar separadamente o desempenho do VPN

O desempenho do VPN não depende apenas do modelo de firewall. Também são relevantes o ponto remoto, conexão de Internet, latência, tamanhos de pacotes, MTU/MSS, parâmetros de criptografia, roteamento e túneis paralelos.

Para conexões site-to-site, deve-se estimar realisticamente os fluxos de dados planejados: transferências de arquivos, backups, ERP, VoIP, RDP, monitoramento e replicação se comportam de maneira diferente. Para acesso remoto, também entram em jogo o dispositivo cliente, WLAN, provedor e cliente VPN.

Se uma conexão VPN parecer lenta, não se deve apenas verificar o valor da ficha técnica. Um teste de rota definido com iPerf geralmente é mais significativo do que um teste de velocidade no navegador.

O que influencia o desempenho real

Na prática, vários fatores atuam simultaneamente:

• perfis de segurança ativos por regra de firewall
• TLS Inspection e exceções
• Política de IPS e escopo de assinaturas
• Web Protection, Application Control e verificação de malware
• NAT, DNAT, publicação de servidores e WAF
• IPsec, SSL VPN, Sophos Connect e túneis site-to-site
• Logging, relatórios, Central Reporting e Syslog
• Muitas sessões pequenas em vez de poucos downloads grandes
• Aceleração do firewall, FastPath, aceleração IPsec e tráfego que não pode ser offloaded
• Operação HA, versão do firmware e hotfixes
• Recursos virtuais em appliances de software ou em nuvem

Portanto, o desempenho deve sempre ser verificado no contexto da política específica. Uma regra de firewall sem perfis de segurança se comporta de maneira diferente de uma regra com IPS, filtro web, Application Control e TLS Inspection.

Entender corretamente FastPath e Offloading

Os firewalls modernos da Sophos não processam todos os fluxos de dados da mesma forma. Dependendo da appliance, firmware, regra, perfil de segurança e tipo de tráfego, o tráfego pode ser parcialmente acelerado ou verificado em um caminho de processamento mais lento. Termos importantes para isso são FastPath, aceleração do firewall, aceleração PKI e aceleração IPsec.

A classificação inicial continua a ocorrer no SlowPath: o kernel e, quando aplicável, o motor DPI inspecionam a conexão. Após a conclusão do handshake TCP ou a passagem de um pacote em cada direção, o SFOS pode colocar um fluxo elegível no cache de conexões FastPath. Portanto, o FastPath não é um bypass sem inspeção; ele processa apenas o estado programado pelo kernel. Protocolos não elegíveis, como IP-in-IP, permanecem no SlowPath.

Para o dimensionamento, isto é importante porque um teste rápido não prova que cada fluxo de produção use o mesmo caminho. A Sophos indica Firewall e IPsec Acceleration para todos os XGS Appliances. A PKI Acceleration dedicada ao processamento de certificados de fluxos TLS inspecionados está documentada apenas para XGS 4300, 4500, 5500, 6500, 7500 e 8500. Os modelos desktop Gen. 2 XGS 88/88w, 108/108w, 118/118w e 128/128w usam Virtual FastPath no kernel x86 em vez de um Xstream Flow Processor dedicado.

Os limites são mais restritos para appliances virtuais e de software. Segundo a ajuda do SFOS 22, Virtual FastPath só é suportado com VMware ESXi e os drivers NIC igc, e1000, e1000e e vmxnet3. O VFP é desativado automaticamente noutros hypervisors, em implementações cloud ou com drivers não suportados. A firewall continua a funcionar, mas sem esta melhoria FastPath. Para e1000 e e1000e, a Sophos indica uma MTU máxima de 3500 bytes, e para os restantes drivers suportados uma máxima de 9000 bytes. São limites da plataforma, não um motivo para ativar jumbo frames sem um teste end-to-end.

A PKI Acceleration não acelera todo o processamento TLS. Em fluxos TLS 1.2 e TLS 1.3 inspecionados pelo motor DPI, ela descarrega apenas o processo de reassinar certificados de servidor X.509 com autenticação RSA de até 4096 bits. A criptografia simétrica, o tráfego de web proxy e as conexões SSL VPN terminadas na firewall não se beneficiam dela.

Determinadas funções ou tipos de tráfego podem limitar ou impedir o offloading, por exemplo:

• SSL VPN
• WAF e tráfego de proxy
• QoS e DoS
• Wireless, RED, LAG e PPPoE
• Tráfego IP fragmentado
• Certos cenários de bridge, HA ou virtualização

No IPsec, o stack XFRM descarrega o encapsulamento, a criptografia, o desencapsulamento e a descriptografia ESP com base na SA de fase 2. SAs com 3DES, BlowFish ou MD5, SAs em interfaces virtuais como VLANs e tráfego IPsec sobre interfaces VLAN ou wireless não são offloaded. O túnel ainda pode funcionar, mas passa a consumir mais CPU do host.

As políticas de segurança não impedem o offloading de forma geral. Uma regra sem IPS, web filtering, antivírus ou application control pode mudar após o handshake ou os pacotes iniciais; com application control, a Sophos indica que a decisão ocorre após cerca de oito pacotes. Para STARTTLS com Don’t decrypt, ela ocorre após cerca de 15 pacotes. Portanto, os primeiros pacotes ainda podem aparecer no SlowPath, embora o fluxo posterior seja acelerado.

Regra prática: O offloading não é um objetivo de segurança. Perfis de proteção e inspeção não são removidos apenas para alcançar o FastPath. O que importa é a proteção necessária e medições reproduzíveis de throughput, CPU e aplicação.

Em HA é preciso observar com atenção especial. Active-Active HA não suporta Firewall Acceleration. A Sophos suporta IPsec Acceleration em HA Active-Active e Active-Passive no nó primário; em Active-Passive, Firewall Acceleration também fica limitada ao nó primário. O dimensionamento de HA não deve simplesmente extrapolar para ambos os nós os valores de laboratório de um equipamento autónomo.

A resolução de problemas também pode influenciar as medições. Com Packet Capture ou iftop, o SFOS envia temporariamente o tráfego por SlowPath por predefinição. Se o offloading permanecer ativo durante a captura, um Packet Capture normal não consegue registar tráfego FastPath. A ausência de um pacote não prova, portanto, que a firewall não processou o fluxo; a Sophos remete para Support quando é necessária uma captura FastPath. As medições de desempenho e os resultados da captura são sempre documentados com o momento, método de teste, versão do firmware, tipo de interface e política ativa.

As acelerações estão ativas por predefinição nas plataformas suportadas. Ativar ou desativar Firewall ou PKI Acceleration reinicia o serviço IPS (motor DPI); alterar IPsec Acceleration reinicia todos os túneis IPsec. Estas mudanças pertencem a uma janela de manutenção, não a um teste de desempenho improvisado. Primeiro confirma-se a suspeita com Log Viewer, Packet Capture, IPsec Troubleshooting e um caso de teste claro.

Ler e controlar corretamente a PKI Acceleration

O estado configurado e o estado efetivo não são a mesma coisa. A configuração é consultada com:

show ips-settings

A PKI Acceleration está ativa por predefinição nos modelos XGS Appliance suportados. enabled só é efetivo quando a Firewall Acceleration também está em funcionamento. Se a PKI Acceleration estiver ativa, mas a Firewall Acceleration estiver desativada, o SFOS apresenta enabled (inactive). Em versões do SFOS ou modelos não suportados, aparece como disabled; alterar a opção na CLI não pode fornecer o suporte de hardware ou de plataforma em falta.

A configuração global é alterada através da árvore de comandos IPS:

set ips pki-acceleration disable
set ips pki-acceleration enable

A alteração reinicia o serviço IPS (motor DPI) e, por isso, deve ser feita numa janela de manutenção. Primeiro, registam-se o valor atual e o estado da Firewall Acceleration. Depois, voltam a verificar-se show ips-settings, o estado do IPS e do DPI e um fluxo TLS real desencriptado pelo motor DPI. Só assim é possível confirmar que a nova assinatura dos certificados, a latência, a CPU e a aplicação continuam corretas. Se o efeito esperado não ocorrer, restaura-se o valor previamente registado.

Verificar IPsec Acceleration de forma controlada

Primeiro, deve ler-se o estado global:

system ipsec-acceleration show

IPsec Acceleration está enabled por predefinição e retira do SlowPath as SA de fase 2 elegíveis. Um estado global ativo não prova que uma SA específica esteja offloaded. 3DES, BlowFish e MD5 estão excluídos e continuam a aplicar-se os limites de interface e plataforma descritos acima.

Uma alteração aplica-se a toda a firewall e reinicia todos os túneis IPsec. disable não é, por isso, um teste para um único túnel. Se um erro claro justificar um teste A/B, deve primeiro documentar-se o estado dos túneis, SA, CPU, throughput e tráfego de teste. Na janela de manutenção estão disponíveis estas duas alterações opostas:

system ipsec-acceleration disable
system ipsec-acceleration enable

Após cada alteração realmente executada, verificam-se novamente show, estabelecimento dos túneis, SA de fase 2, routing, regras e tráfego real nas duas direções. Sem uma melhoria reproduzível, repõe-se o valor original. Não se mantém um perfil criptográfico obsoleto apenas para permitir uma comparação de desempenho.

Alternar Firewall Acceleration apenas numa janela de manutenção

Primeiro, consulta-se o estado atual na Device Console:

system firewall-acceleration show

Nas plataformas suportadas, Firewall Acceleration está em enable por predefinição. Segundo a Sophos, cada alteração provoca uma interrupção e reinicia o serviço IPS (motor DPI). disable não é, por isso, um teste A/B informal durante a produção. A firewall continua a processar todo o tráfego, mas sem os benefícios de desempenho do FastPath.

Para uma alteração planeada estão disponíveis estes dois comandos. Não são executados imediatamente um após o outro como bloco de teste, porque cada transição pode voltar a interromper o tráfego:

system firewall-acceleration disable
system firewall-acceleration enable

Depois de cada transição realmente necessária verificam-se novamente show, o estado do IPS e DPI, novas sessões, serviços publicados, VPN, throughput, CPU e Log Viewer. Um valor disabled visível não é substituído cegamente por enable: DoS, HA active-active, FastPath que não carregou ou uma combinação não suportada de VM, hypervisor ou driver NIC também podem impedir a aceleração. enable não pode forçar um FastPath funcional numa plataforma tecnicamente não suportada.

Verificar o desempenho em operação

Os valores da ficha técnica ajudam antes da compra. Em operação, são necessárias outras ferramentas. É importante separar os conceitos: o Control Center não mostra desempenho de ficha técnica, mas indicadores operacionais atuais. O bloco Performance baseia-se no load average sobre os núcleos de CPU. Valores acima do número de núcleos disponíveis significam que há mais trabalho pendente do que o sistema consegue processar nesse momento.

A cor do bloco segue limites fixos da Sophos: Normal com load average inferior a 2, Warning entre 2 e 5 e Alert acima de 5 núcleos de CPU. Este semáforo é um indicador rápido, mas não corresponde ao limite individual de sobrecarga da appliance. Por isso, o estado do bloco deve ser interpretado juntamente com o número real de núcleos e a evolução temporal.

Também são relevantes CPU, memória, largura de banda, sessões, Decryption Capacity e Decrypt Sessions. Especialmente com TLS Inspection, Decryption Capacity é útil porque mostra o quanto a descriptografia SSL/TLS atual usa a capacidade de descriptografia disponível. Os detalhes de decryption não são atualizados como medição ao vivo a cada segundo, mas normalmente a cada cinco minutos. Esses valores devem sempre ser lidos junto com política, regra, perfil de segurança, horário e tipo de tráfego.

Utilizar System Graphs como linha temporal

Em Diagnostics > System graphs, é possível comparar CPU Usage, Memory Usage, Load Average, Disk Usage, Live Users, Data Transfer Speed through WAN Zone e interfaces individuais em diferentes períodos. Primeiro seleciona-se o período do incidente e depois apenas os gráficos que correspondem à função afetada.

Um pico é uma correlação, ainda não uma causa. Por isso, CPU, memória ou load average devem ser comparados com o tráfego das interfaces, o número de utilizadores, os logs, a policy e a hora exata do teste. A linha temporal ajuda sobretudo a distinguir um desvio breve de uma carga elevada recorrente ou persistente; por si só, não prova que a appliance está subdimensionada nem que um serviço específico está com falha.

Ler corretamente as unidades e a agregação

O gráfico de CPU separa a utilização pelos processos de utilizador, pelos componentes do sistema e o tempo inativo restante. Memory mostra Used, Free e Total em MB. Load Average, por outro lado, não é uma percentagem: as três curvas representam médias de um, cinco e quinze minutos. Por isso, deve ser interpretado em conjunto com o número de cores de CPU disponíveis.

Disk Usage mostra a percentagem de espaço ocupada por assinaturas, ficheiros de configuração, relatórios e dados temporários. É uma divisão funcional no gráfico e não a mesma vista das partições apresentadas por df -kh ou do watermark dos relatórios. Live Users conta os utilizadores ligados à Internet durante o período selecionado e mostra também o mínimo, o máximo e a média. Não é o número de contas de utilizador configuradas.

Para a zona WAN existem gráficos separados para upload e download, para a taxa total combinada e para a taxa por gateway. Dependendo da vista, são apresentados os valores atual, mínimo, máximo e médio. A Sophos documenta um erro importante de rotulagem: o WebAdmin mostra KBps, mas os valores estão na realidade em kbit/s. Interpretar a indicação como kilobytes por segundo introduz um erro de fator oito.

Importante para VLANs: Existem gráficos de interface separados para interfaces físicas, Wireless LAN, interfaces WAN e interfaces VLAN na zona WAN. As VLANs de outras zonas são combinadas no gráfico com a respetiva interface física principal. Por isso, um pico na porta principal não pode ser atribuído a uma única VLAN interna sem uma medição adicional.

Os gráficos de interface mostram bits recebidos e transmitidos, além de drops, erros e colisões. A resolução é agregada para períodos mais longos: hoje e ontem usam médias de cinco minutos, a semana de 15 minutos, o mês de seis horas e o ano de um dia. Picos breves podem, por isso, desaparecer numa vista mensal ou anual; para um incidente, deve começar-se pelo período adequado mais curto.

Procedimento prático:

1. Verificar o Control Center: Observar CPU, RAM, utilização da interface e alertas.
2. Abrir o Log Viewer: A regra de firewall esperada está sendo aplicada e o logging está ativado?
3. Controlar a política e os perfis de segurança: Quais funções afetam o tráfego em questão?
4. Usar o Packet Capture: É possível ver pacotes, pacotes de resposta, NAT e drops?
5. Realizar um teste de rota: Com iPerf ou um download definido, verificar qual caminho realmente está lento.
6. Anotar o contexto de offloading: Tipo de interface, modo HA, tipo de VPN, PPPoE, WAF, SSL VPN ou Packet Capture podem influenciar a medição.
7. Anotar o momento: Picos de carga, backups, atualizações ou relatórios podem distorcer os resultados.

Para uma rápida delimitação da conexão WAN, o Teste de velocidade da Internet do Sophos Firewall via SSH é útil. Para testes de ponta a ponta entre dois sistemas, Testar o desempenho do Sophos Firewall com iPerf é mais adequado. Se uma regra não estiver sendo aplicada como esperado, Testar regras do Sophos Firewall de forma direcionada é apropriado.

A checklist diária de administração da Sophos Firewall mostra como combinar Control Center, System graphs, relatórios e eventos administrativos num procedimento curto e recorrente.

Erros típicos de dimensionamento

• Apenas o maior throughput do firewall é comparado.
• A TLS Inspection é planejada, mas não incluída na reserva de desempenho.
• VPN e Remote Access são avaliados com base no número de usuários em vez do uso real.
• A conexão de Internet é considerada, mas o tráfego interno Leste-Oeste não.
• Firewalls virtuais são operados em hosts sobrecarregados.
• Relatórios, logging e conexão Central são considerados apenas posteriormente.
• Crescimento, novos locais, VLANs adicionais ou publicação de servidores não são incluídos no planejamento.
• Não é feita distinção entre valor de laboratório, valor real e experiência do usuário.

Lista de verificação prática para dimensionamento

Antes de escolher um modelo, estes pontos devem ser esclarecidos:

1. Largura de banda da Internet hoje e planejada para os próximos anos.
2. Número de usuários, dispositivos, servidores e locais.
3. Proporção de tráfego web, aplicações em nuvem, VoIP, backups e transferências de arquivos.
4. Funções de segurança planejadas por grupo de tráfego.
5. Escopo da TLS Inspection e exceções necessárias.
6. Número e uso de conexões IPsec, SSL VPN e Sophos Connect.
7. Necessidade de WAF, Mail Protection, RED, WLAN ou Central Reporting.
8. Reservas esperadas para atualizações, crescimento e picos de carga.
9. Modelo operacional: XGS Appliance, appliance virtual, nuvem ou cluster HA.

FAQ