Warum 1 Gbit/s Firewall-Durchsatz nicht automatisch für eine 1-Gbit-Leitung reicht

Der größte Wert im Datenblatt ist selten der relevante

Viele Firewall-Datenblätter beginnen mit einem beeindruckenden Firewall-Durchsatz. Dieser Wert beschreibt jedoch meist eine vergleichsweise einfache Paketweiterleitung unter definierten Laborbedingungen. Im produktiven Betrieb kommen häufig IDS/IPS, Application Control, Web- oder DNS-Filter, Malware-Schutz und eventuell TLS-Inspection hinzu. Genau diese Dienste erhöhen die Rechenlast.

Für die Auswahl einer Appliance sollte deshalb zuerst feststehen, welche Funktionen dauerhaft aktiv sein sollen. Danach wird der passende Herstellerwert gesucht – nicht umgekehrt.

Typische Durchsatzbegriffe

Firewall Throughput beschreibt im Kern die Weiterleitung von Verkehr durch das Regelwerk. Das ist wichtig, aber für eine NGFW nur die Basis.

IPS Throughput betrachtet Verkehr mit aktivierter Intrusion Prevention. Die Testmethodik kann sich zwischen Herstellern unterscheiden.

NGFW Throughput kombiniert je nach Hersteller mehrere Funktionen, beispielsweise Firewall, Application Control und IPS. Welche Funktionen genau aktiv sind, muss im Datenblatt nachgelesen werden.

Threat Protection oder UTM Throughput kann zusätzliche Security-Dienste einbeziehen. Auch diese Begriffe sind nicht herstellerübergreifend normiert.

TLS-/HTTPS-Inspection ist besonders relevant, weil ein großer Teil des heutigen Webverkehrs verschlüsselt ist. Entschlüsseln, prüfen und erneut verschlüsseln kann deutlich mehr Ressourcen benötigen als reine Paketfilterung.

Beispiel: 1-Gbit-Internetanschluss

Angenommen, ein Unternehmen hat heute 1 Gbit/s symmetrisch. Eine Appliance mit exakt 1 Gbit/s Threat-Durchsatz wäre keine komfortable Dimensionierung. Lastspitzen, zusätzliche VPN-Verbindungen, interne Routingaufgaben, Firmwareänderungen und Wachstum können die Reserve schnell aufbrauchen.

Eine sinnvolle Reserve ist keine feste Prozentzahl für alle Umgebungen. Sie hängt davon ab, wie kritisch eine volle Auslastung ist, wie schnell die Leitung wachsen kann und welche Dienste aktiv sind. Bei einem geplanten Upgrade auf 2,5 Gbit/s WAN sollte die nächste Leistungsklasse bereits heute berücksichtigt werden.

IMIX und große Pakete

Ein weiterer Unterschied steckt in den Paketgrößen. Große Pakete lassen sich effizienter verarbeiten als viele kleine Pakete. IMIX versucht einen gemischteren Verkehr abzubilden. Wenn ein Hersteller sowohl einen Maximalwert als auch einen IMIX-Wert veröffentlicht, ist der IMIX-Wert für viele reale Umgebungen die vorsichtigere Orientierung.

Deshalb speichert der Firewall-Katalog auf chrishob.de unterschiedliche Metriken getrennt. Fehlende Werte werden nicht aus anderen Modellen hochgerechnet.

VPN verändert die Rechnung

Site-to-Site-IPsec und Remote-Access-VPN benötigen Kryptografie und Sessionverwaltung. Besonders bei mehreren Standorten sollte geklärt werden, ob der angegebene VPN-Durchsatz für die reale Verschlüsselung und Paketgröße gilt. Ein einzelner Tunnel kann zudem anders skalieren als viele parallele Tunnel.

TLS-Inspection braucht mehr als Performance

Selbst wenn die Appliance den benötigten TLS-Durchsatz erreicht, müssen Zertifikatsverteilung, Ausnahmen, Datenschutz und inkompatible Anwendungen berücksichtigt werden. TLS-Inspection sollte gezielt geplant werden. Ein Haken „SSL Inspection vorhanden“ sagt noch nicht, dass sie für jeden Client und jede Anwendung sinnvoll eingesetzt werden kann.

Hochverfügbarkeit mitdenken

Bei einem Active/Passive-Paar muss die verbleibende Appliance den vorgesehenen Betrieb alleine tragen können. Zwei Geräte verdoppeln nicht automatisch die nutzbare Leistung. Für die Dimensionierung wird deshalb der Fehlerfall betrachtet.

Meine Checkliste für Angebote

Welcher Durchsatzwert wird genannt und mit welchen aktiven Funktionen wurde er gemessen?
Ist der Wert für große Pakete oder IMIX angegeben?
Wie hoch ist der Durchsatz mit IPS beziehungsweise Threat Protection?
Gibt es einen separaten TLS-Inspection-Wert?
Welche VPN-Leistung wird veröffentlicht?
Reicht die Portausstattung für WAN und LAN ohne Flaschenhals?
Welche Reserve bleibt bei zukünftig schnellerem Internet?
Welche Lizenzen sind notwendig, damit die zugrunde gelegten Security-Funktionen überhaupt aktiv sind?

Fazit

Eine Firewall wird nicht passend, weil ihr größter Datenblattwert über der Internetgeschwindigkeit liegt. Vergleichbar wird sie erst, wenn Testmethodik, aktive Sicherheitsfunktionen, VPN, Ports, HA und Wachstumsreserve gemeinsam betrachtet werden. Genau deshalb trennt der Firewall-Vergleich diese Werte statt sie in einer einzigen Performancezahl zusammenzufassen.