Guia de Dimensionamento do Sophos Firewall: Dimensionar corretamente a XGS Appliance

O dimensionamento do Sophos Firewall não se resume apenas ao número de usuários. Uma firewall pode ser carregada de forma muito diferente com o mesmo número de usuários: pela largura de banda da Internet, Inspeção TLS, IPS, VPN, Proteção Web, WAF, relatórios, HA, muitos VLANs ou muitas conexões simultâneas.

Um bom dimensionamento garante que o Sophos Firewall não funcione apenas no primeiro dia, mas também com funções de proteção ativadas, crescimento realista e operação limpa, ainda com reserva. Para decidir entre hardware e appliance virtual, consulte Sophos Firewall - Hardware ou appliance virtual?.

Objetivo do Dimensionamento

O objetivo não é encontrar o menor modelo que ainda seja suficiente em condições ideais de laboratório. Na prática, a firewall deve permanecer estável mesmo quando várias coisas acontecem ao mesmo tempo:

• muitos usuários trabalham em paralelo,
• Inspeção TLS ou IPS está ativa,
• VPNs de Site-to-Site ou Acesso Remoto estão em execução,
• relatórios e registros geram carga adicional,
• backups, atualizações ou diagnósticos de suporte estão em execução em segundo plano,
• um local está crescendo ou obtendo mais largura de banda.

Portanto, deve-se sempre planejar com reservas. Uma firewall dimensionada de forma apertada gera posteriormente esforço de suporte: conexões lentas à Internet, alta carga de CPU, perda de pacotes, WebAdmin lento, conexões VPN instáveis ou falta de reservas para novas funções de segurança.

Os Fatores de Dimensionamento Mais Importantes

Largura de Banda da Internet e Perfil de Tráfego

A linha de Internet contratada é um bom ponto de partida, mas não é toda a verdade. É importante saber quanto dela é realmente utilizada simultaneamente e qual tráfego passa pela firewall.

Verifique:

• linha simétrica ou assimétrica,
• pico de tráfego durante o horário comercial,
• muitas pequenas sessões web ou poucos downloads grandes,
• backups na nuvem, Microsoft 365, VoIP, reuniões online,
• interconexão de locais via VPN ou SD-WAN,
• tráfego interno entre VLANs, que também passa pela firewall.

Se a firewall também funcionar como dispositivo de roteamento e segmentação interna, deve-se planejar não apenas o throughput WAN, mas também o tráfego Leste-Oeste. As bases sobre zonas, VLANs e design de interfaces estão em Configurar Zonas e Interfaces do Sophos Firewall.

Funções de Proteção

Quanto mais módulos de segurança estiverem ativos, mais forte a appliance deve ser dimensionada. Particularmente relevantes são:

• IPS,
• Proteção Web,
• Controle de Aplicações,
• Inspeção SSL/TLS,
• Proteção contra Ameaças de Dia Zero,
• WAF,
• Proteção de Email,
• Feeds de Ameaças,
• Relatórios e Visualizador de Logs.

Os valores das fichas técnicas só são comparáveis quando está claro qual função foi medida. O throughput da firewall sem inspeção de segurança não é o mesmo que o throughput de proteção contra ameaças ou inspeção TLS. Para ambientes produtivos, não se deve apenas olhar para o maior valor de marketing, mas para a métrica que se adapta ao próprio uso.

Na Inspeção TLS, é importante saber se a organização pode realizar a implementação de forma técnica e organizacionalmente limpa. O procedimento prático está descrito em Implementar Inspeção TLS do Sophos Firewall.

Usuários, Dispositivos e Sessões

O número de usuários continua importante, mas não é suficiente. Um escritório com 50 usuários, poucos serviços na nuvem e sem Inspeção TLS carrega a firewall de forma diferente de um local com 50 usuários, servidores de terminal, muitas aplicações SaaS, VoIP, rede de convidados, IoT, acesso remoto e várias zonas de servidores.

Além disso, contam:

• Número de dispositivos por usuário,
• Redes de convidados e IoT,
• Servidores, impressoras, câmeras e dispositivos especiais,
• Sessões simultâneas,
• Muitas pequenas consultas DNS ou web,
• Usuários de acesso remoto,
• Sistemas automatizados como backup, monitoramento ou EDR.

Em ambientes mistos com muitos VLANs, deve-se planejar mais com base nos fluxos de tráfego do que apenas no número de cabeças.

VPN, SD-WAN e Interconexão de Locais

VPN pode sobrecarregar uma firewall, especialmente quando muitos túneis, alta largura de banda ou muitos usuários de acesso remoto se juntam.

Planeje:

• IPsec Site-to-Site,
• VPN baseado em rota com interfaces XFRM,
• Acesso remoto via Sophos Connect ou SSL VPN,
• Rotas de Política SD-WAN,
• Várias linhas WAN,
• Cenários de failover,
• Questões de MTU/MSS em rotas VPN.

Na performance de VPN, não se deve apenas considerar o status do túnel. O decisivo é se o tráfego produtivo com regras ativas, NAT, roteamento e inspeção de segurança estável. Para rotas de roteamento e VPN, Rota IPsec no Sophos Firewall e Roteamento SD-WAN para Pacotes de Resposta e Tráfego do Sistema são aprofundamentos adequados.

Registro, Relatórios e Armazenamento

O registro ajuda na operação, mas também gera carga e necessidade de armazenamento. Quem utiliza muitas regras de firewall com registro, filtro web, IPS, Controle de Aplicações e Central Firewall Reporting deve esclarecer os requisitos de relatórios cedo.

Verifique:

• Quais regras devem ter registro ativo?
• Por quanto tempo os logs devem estar disponíveis?
• O Central Firewall Reporting no Sophos Fusion (anteriormente Sophos Central) é utilizado?
• Existe Syslog ou SIEM?
• Relatórios precisam ser gerados regularmente?
• Os dados de log são necessários para solução de problemas ou conformidade?

Para análise mais longa, a firewall sozinha muitas vezes não é o local certo. Então, deve-se planejar Central Firewall Reporting ou uma exportação Syslog/SIEM.

Hardware, Virtual ou Nuvem?

XGS Appliance

Uma XGS Appliance é geralmente a variante mais planejável para locais clássicos. Hardware, portas, suporte, ciclo de vida e desempenho são definidos como um pacote completo.

Vantagens:

• Hardware de firewall dedicado,
• Opções claras de portas e expansão,
• Fácil processamento de suporte e RMA,
• Desempenho planejável,
• Menos dependência de um hipervisor.

Hardware é particularmente útil quando a firewall é o ponto central de segurança e roteamento no local.

Firewall Virtual Sophos

Um firewall virtual se adapta bem a data centers, ambientes de nuvem ou segmentos de rede virtualizados. O desempenho depende fortemente de CPU, RAM, armazenamento, hipervisor, placas de rede virtuais e carga do host.

Importante:

• Recursos de CPU não devem estar permanentemente sobrecarregados.
• NICs virtuais e grupos de portas devem estar claramente separados.
• A latência de armazenamento pode influenciar o registro e relatórios.
• Backup e restauração devem se adequar à plataforma de virtualização.
• O design de HA e failover deve ser planejado antecipadamente.

A licença e a decisão entre hardware e appliance virtual devem ser verificadas separadamente. Para isso, consulte Sophos Firewall - Hardware ou appliance virtual?.

Dos requisitos ao modelo certo

Uma associação fixa como «50 usuários = modelo X» seria enganosa. Os limites técnicos e valores de throughput de cada appliance não permitem definir um limite universal de usuários. Dois locais com o mesmo número de pessoas podem exigir modelos totalmente diferentes devido à inspeção TLS, aos tamanhos de pacotes, às sessões e ao tráfego leste-oeste.

Verificar primeiro os critérios de exclusão

Antes de comparar throughput, os requisitos não negociáveis devem ser satisfeitos:

• formato, ruído, alimentação e ambiente de operação;
• número, tipo e velocidade das portas fixas e modulares;
• armazenamento local e requisitos de relatórios;
• funções, assinaturas e opções de suporte necessárias;
• máximos documentados para sessões, novas conexões e túneis VPN;
• redundância de fontes de alimentação, interfaces e nó HA.

Um modelo é excluído assim que falha um destes critérios, mesmo que o throughput nominal de firewall seja suficiente. A matriz e as especificações mudam entre gerações; antes da compra, use sempre a ficha técnica oficial atual da Sophos.

Entender as classes de appliance como formatos

As appliances de mesa atendem frequentemente a pequenos locais e filiais. Os modelos 1U normalmente oferecem maior densidade de portas, expansão e margem de desempenho para locais centrais ou distribuídos. Os modelos 2U destinam-se a ambientes empresariais com largura de banda, carga de sessões e redundância muito elevadas. Essas classes não definem uma faixa confiável de usuários.

O conjunto de funções também importa na linha de entrada: segundo a ficha técnica XGS Appliance da Sophos, as XGS 88 e XGS 88w não suportam determinadas funções, incluindo relatórios locais, análise AV dupla, análise AV de WAF e MTA de e-mail; a Sophos recomenda a XGS 108 ou XGS 108w quando elas são necessárias. É um critério de exclusão que uma margem maior de throughput não compensa.

Verificar os candidatos com a ferramenta de dimensionamento

Depois de excluir modelos inadequados, compare os restantes com a ficha técnica e o Sophos Firewall Sizing Tool. A ferramenta está disponível para os parceiros pelo Sophos Partner Portal, e a Sophos também oferece assistência de dimensionamento. Forneça o perfil de tráfego documentado, todas as proteções, VPN, fluxos internos, HA e crescimento, não apenas usuários e largura de banda WAN. O resultado é uma pré-seleção fundamentada, não uma garantia de desempenho em produção.

Reserva, HA e Crescimento

Uma firewall não deve operar permanentemente próxima ao limite. Reservas são importantes para:

• Crescimento da linha de Internet,
• Novos locais ou VLANs,
• Ativação posterior de Inspeção TLS ou IPS,
• Mais usuários de acesso remoto,
• Requisitos adicionais de registro e relatórios,
• Atualizações de firmware com novas funções,
• Situações de falha e failover.

Em HA, deve-se planejar de forma particularmente cuidadosa. Em um design Active-Passive, um único nó deve ser capaz de suportar a carga produtiva sozinho. Active-Active não é um passe livre para dimensionamento apertado, pois nem toda carga é distribuída linearmente. Os pontos de arquitetura mais importantes estão em Entender as Variantes de Cluster HA do Sophos Firewall.

Como regra geral, em novos projetos, não se deve planejar uma firewall que já mostre uso muito alto de CPU, RAM ou sessões em operação normal. O artigo Interpretar corretamente as Métricas de Desempenho do Sophos Firewall ajuda na verificação operacional posterior.

Processo Prático de Dimensionamento

1. Capturar a Situação Inicial

Primeiro, descreve-se o ambiente:

• Locais e linhas WAN,
• Usuários e dispositivos,
• VLANs e zonas internas,
• Serviços de servidor e DMZ,
• Requisitos de VPN e Acesso Remoto,
• Módulos de segurança planejados ativamente,
• Requisitos de registro e relatórios,
• Requisitos de HA ou nuvem.

Em uma substituição ou migração, complemente este inventário com medições da firewall existente. Durante períodos de pico representativos, abra Control center > System, expanda a visualização do sistema e verifique CPU & Memory e Network, especialmente CPU, memória, largura de banda, sessões, Decryption capacity e Decrypt sessions. Uma única captura em um momento tranquilo não é uma referência confiável; faça várias medições em dias úteis típicos e durante picos de carga conhecidos.

2. Marcar os Principais Fatores de Carga

Em seguida, marcam-se os pontos que podem elevar o modelo:

• Inspeção TLS amplamente em uso,
• Muitas conexões protegidas por IPS,
• Alto throughput de VPN,
• Muitas sessões simultâneas,
• Muitas regras de firewall com registro,
• WAF ou Proteção de Email,
• Forte segmentação com tráfego interno pela firewall,
• Crescimento nos próximos três a cinco anos.

3. Verificar os requisitos rígidos na matriz de modelos

Exclua agora os modelos inadequados. Verifique número e velocidade das portas, módulos de expansão, formato, alimentação e redundância, armazenamento local, funções necessárias e máximos documentados. A licença também deve cobrir as proteções planejadas. Faça isso antes de comparar desempenho: portas ausentes, uma função não suportada ou um limite insuficiente de sessões não são compensados por um bom valor de throughput.

4. Ler Corretamente os Valores da Ficha Técnica

Os valores da ficha técnica são valores máximos de throughput medidos pela Sophos em condições ideais com Keysight-Ixia BreakingPoint; não garantem o desempenho em produção. Firewall Throughput usa tráfego HTTP com respostas de 512 KB. Firewall IMIX usa pacotes UDP de 66, 570 e 1518 bytes. O teste de IPS usa tráfego HTTP, o conjunto de regras IPS padrão e objetos de 512 KB. TLS Inspection é medido com IPS ativo, sessões HTTPS e diferentes conjuntos de cifras. Threat Protection combina firewall, IPS, Application Control e Malware Prevention com Enterprise Traffic Mix. O desempenho real depende do perfil de tráfego, das regras, da criptografia, dos tamanhos dos pacotes e dos serviços ativos simultaneamente.

Portanto, use a métrica mais próxima da operação planejada:

Métricas importantes:

• Firewall Throughput: apenas uma orientação geral para o débito simples de pacotes sem todo o conjunto de segurança.
• IPS Throughput: relevante para ambientes com Intrusion Prevention ativa.
• Threat Protection: normalmente mais realista quando várias funções de proteção estão ativas em simultâneo.
• TLS Inspection: importante para ambientes com tráfego HTTPS desencriptado.
• IPsec VPN Throughput: relevante para interligação de locais e carga VPN.
• Concurrent Connections: importante com muitos clientes, sessões web e serviços.

Se vários desses pontos forem relevantes ao mesmo tempo, não se deve considerar apenas uma única métrica.

5. Definir Reserva

Antes de escolher o modelo final, não adicione simplesmente uma percentagem de reserva arbitrária. Compare três cenários:

• Pico normal: a carga realista mais elevada com todas as funções de proteção planejadas.
• Pico de failover: a mesma carga em um único nó HA e durante a falha de uma conexão WAN.
• Pico futuro: largura de banda, sessões e funções de proteção adicionais esperadas nos próximos três a cinco anos.

Um modelo só é adequado quando suas métricas relevantes, portas e funções licenciadas cobrem os três cenários com uma reserva justificável. Essa reserva pode ser menor para um local autônomo simples do que para uma firewall central, um cluster HA ou um ambiente em rápido crescimento.

6. Validar no Control Center

O dimensionamento não termina com o pedido. Após a implementação, abra Control center > System durante períodos de pico representativos, expanda a visualização do sistema e compare os contadores disponíveis em CPU & Memory e Network com as premissas:

• Uso de CPU e memória,
• Largura de banda WAN e número de sessões,
• Decryption capacity e Decrypt sessions com TLS Inspection,

Verifique também, por meio de medições e observações adequadas:

• Throughput de VPN,
• Tempo de resposta do WebAdmin,
• Visualizador de Logs e relatórios,
• Perda de pacotes ou retransmissões,
• Desempenho após ativação de funções de proteção adicionais.

Um pico isolado é menos importante do que uma saturação recorrente ou persistente. Na visualização expandida do sistema, o gráfico Load Average mostra a semana anterior. Se o valor exceder o número de núcleos do processador, o sistema teve mais trabalho do que conseguia processar nesse período. Esse é um sinal concreto para rever o dimensionamento, as funções ativas ou um tráfego incomum.

Para medições reproduzíveis, Usar o Teste de Velocidade iPerf do Sophos Firewall para Solução de Problemas pode ajudar. Para testes simples de velocidade WAN, Interpretar corretamente o Teste de Velocidade da Internet do Sophos Firewall é a introdução adequada.

7. Preparar teste de aceitação e retorno

Antes da entrada em produção, documente as premissas e os critérios de sucesso. Execute a aceitação com todas as regras e proteções planejadas. Teste o pico normal, os caminhos VPN e inter-VLAN e, em HA, a carga em um único nó. Avalie em conjunto CPU, load average, memória, sessões, capacidade de descriptografia, perda de pacotes e resposta das aplicações importantes; um único teste de velocidade da Internet não basta.

Em uma substituição de hardware, mantenha um backup recente verificado e um caminho documentado para o cabeamento anterior até que o teste seja aprovado. Se o novo sistema não cumprir os critérios, não desative proteções indiscriminadamente. Verifique primeiro a regra e o encaminhamento realmente utilizados, a negociação do link, a inspeção ativa e, em firewalls virtuais, os recursos do host. Se a causa não puder ser resolvida com segurança durante a manutenção, volte ao caminho anterior preparado e determine com a Sophos ou o parceiro se a configuração, a plataforma ou o modelo deve mudar.

Resolução de problemas após a entrada em produção

• Throughput abaixo do objetivo: verifique velocidade e duplex, o caminho de regras efetivamente utilizado e as inspeções IPS, web e TLS ativas. Compare depois a medição com a métrica correspondente da ficha técnica, não com o máximo bruto de firewall.
• Load average repetidamente superior ao número de núcleos: delimite a hora e o fluxo com Control Center, registros e Current activities. Um pico breve não prova dimensionamento incorreto; saturação recorrente com perdas ou aplicações lentas exige investigação.
• Decryption capacity esgotada ou Decrypt sessions próximas do limite documentado do modelo: identifique as regras que descriptografam e se o perfil HTTPS real difere da premissa. Guarde as observações e reavalie o modelo ou o escopo da inspeção com a Sophos ou o parceiro, em vez de desativar o controle sem análise.
• Apenas a firewall virtual está lenta: verifique também atribuições e reservas de CPU/RAM, sobrealocação do host, latência de armazenamento e NICs virtuais.

Erros Comuns de Dimensionamento

• Dimensionar apenas pelo número de usuários.
• Confundir valores de ficha técnica para throughput de firewall com carga de proteção contra ameaças.
• Ativar Inspeção TLS posteriormente sem ter planejado reserva.
• Planejar HA, mas não verificar se um nó sozinho tem desempenho suficiente.
• Ignorar tráfego entre VLANs.
• Subestimar registro e relatórios.
• Operar firewalls virtuais em hosts sobrecarregados.
• Não considerar o crescimento da linha de Internet.
• Planejar Acesso Remoto e VPN Site-to-Site apenas pelo número de túneis em vez de throughput.

Lista de Verificação

• Largura de banda da Internet e uso real de pico conhecidos.
• Usuários, dispositivos, VLANs e zonas de servidores capturados.
• Módulos de segurança planejados documentados.
• Portas, conjunto de funções, assinaturas e limites da plataforma verificados.
• Inspeção TLS, IPS, VPN, WAF, Proteção de Email e relatórios avaliados separadamente.
• Tráfego interno pela firewall considerado.
• Design de HA e carga de failover verificados.
• Decisão consciente entre hardware ou appliance virtual.
• Reserva de crescimento planejada para vários anos.
• Após a implementação, métricas de desempenho verificadas.
• Critérios de aceitação, backup e retorno documentados.

FAQ