Thông lượng tường lửa: đọc sao cho đúng trước khi mua thiết bị
Datasheet tường lửa có nhiều con số thông lượng khác nhau và chênh nhau tới cả chục lần. Bài viết giải thích từng chỉ số đo gì, vì sao thông lượng tường lửa thuần không phản ánh thực tế, cách đối chiếu với đường Internet của công ty và ba sai lầm hay gặp.
Nội dung bài viết
Cùng một thiết bị, datasheet ghi thông lượng tường lửa 4 Gbps nhưng thông lượng bảo vệ mối đe doạ chỉ 250 Mbps. Chênh lệch 16 lần này là nguồn gốc của phần lớn trường hợp mua tường lửa xong thấy mạng chậm.
Các chỉ số thông lượng và ý nghĩa
| Chỉ số | Đo gì | Mức tương đối | Dùng khi nào |
|---|---|---|---|
| Thông lượng tường lửa | Chỉ lọc theo địa chỉ và cổng | Cao nhất | Ít phản ánh thực tế |
| Thông lượng ngăn xâm nhập | Bật kiểm tra mẫu tấn công | Thấp hơn 2–4 lần | Dùng khi chỉ bật ngăn xâm nhập |
| Thông lượng tường lửa thế hệ mới | Bật nhận diện ứng dụng và ngăn xâm nhập | Thấp hơn nữa | Gần thực tế hơn |
| Thông lượng bảo vệ mối đe doạ | Bật đủ các tính năng kiểm tra nội dung | Thấp nhất trong nhóm | Con số nên dùng để chọn thiết bị |
| Thông lượng kiểm tra lưu lượng mã hoá | Giải mã và kiểm tra lưu lượng đã mã hoá | Rất thấp | Quan trọng vì phần lớn lưu lượng nay đã mã hoá |
| Thông lượng IPsec VPN | Mã hoá đường hầm giữa các site | Tuỳ thiết bị | Quan trọng khi nhiều chi nhánh |
Vì sao chênh lệch lớn như vậy
- Lọc theo địa chỉ và cổng là việc nhẹ, làm được bằng phần cứng chuyên dụng.
- Nhận diện ứng dụng phải đọc vào nội dung gói tin để biết lưu lượng thuộc ứng dụng nào.
- Ngăn xâm nhập phải so nội dung với hàng nghìn mẫu tấn công.
- Quét mã độc phải ghép lại tệp từ nhiều gói tin rồi mới quét được.
- Kiểm tra lưu lượng mã hoá phải giải mã, kiểm tra rồi mã hoá lại, tốn nhiều tài nguyên nhất.
Ví dụ theo thông số sản phẩm: FG-60E có thông lượng tường lửa 4/4/4 Gbps nhưng bảo vệ mối đe doạ 250 Mbps; FG-40F có tường lửa 5/5/5 Gbps, ngăn xâm nhập 1 Gbps, tường lửa thế hệ mới 800 Mbps, bảo vệ mối đe doạ 600 Mbps và kiểm tra lưu lượng mã hoá 310 Mbps.
Đối chiếu với đường Internet
- Lấy tốc độ đường Internet hiện tại, cộng dự trù tăng trong 3 năm.
- So với thông lượng bảo vệ mối đe doạ của thiết bị, không so với thông lượng tường lửa thuần.
- Chừa dự phòng 30–50%, vì đo trong phòng thí nghiệm khác lưu lượng thật.
- Nếu định bật kiểm tra lưu lượng mã hoá, so với chỉ số kiểm tra lưu lượng mã hoá, thường là con số thấp nhất.
- Ví dụ đường 500 Mbps, có bật kiểm tra nội dung: cần thiết bị có bảo vệ mối đe doạ từ 700 Mbps trở lên.
Số phiên đồng thời và số phiên mới
Hai chỉ số này thường bị bỏ qua nhưng lại là nguyên nhân của các sự cố khó hiểu. Một máy tính duyệt web tạo hàng chục phiên; một hệ thống camera hoặc thiết bị IoT có thể tạo hàng nghìn phiên. Khi vượt giới hạn, kết nối mới bị từ chối trong khi thiết bị báo tải bình thường. Ví dụ FG-30E ghi 900.000 phiên đồng thời và 15.000 phiên mới mỗi giây; FG-200E ghi 2 triệu phiên đồng thời và 135.000 phiên mới mỗi giây.
Ba sai lầm hay gặp
| Sai lầm | Hậu quả | Cách tránh |
|---|---|---|
| Chọn theo thông lượng tường lửa thuần | Mạng chậm ngay khi bật tính năng bảo mật | Chọn theo thông lượng bảo vệ mối đe doạ |
| Không tính lưu lượng mã hoá | Bật kiểm tra là nghẽn | Xem chỉ số kiểm tra lưu lượng mã hoá |
| Bỏ qua số phiên đồng thời | Kết nối mới bị từ chối dù tải thấp | Đối chiếu số phiên với số thiết bị thực tế |
Cách kiểm tra sau khi lắp
- Đo tốc độ tải xuống và tải lên thực tế qua tường lửa, lúc đông người và lúc vắng.
- Theo dõi mức sử dụng CPU và bộ nhớ của thiết bị trong giờ cao điểm.
- Theo dõi số phiên đang mở, so với giới hạn của thiết bị.
- Bật từng tính năng bảo mật và đo lại sau mỗi lần, để biết tính năng nào tốn tài nguyên nhất.
Xem nhóm Firewall Fortinet, Firewall Cisco và bài bảng thông số các model FortiGate, giấy phép FortiGate.
