Какие данные собрать до выбора модели
Снимите статистику за репрезентативный рабочий период: обычный день, резервное копирование, обновления, отчётность и пиковые часы. Если сеть сезонная, отдельно опишите сезонный максимум. Сохраните направление потоков: интернет, межфилиальный обмен, доступ к ЦОД, облачные сервисы и публикация приложений.
Фиксируйте одновременно объём трафика, число активных сессий и скорость создания новых соединений. Большой файловый поток и множество коротких запросов по-разному нагружают устройство. Для каждого измерения укажите источник, интервал и единицы.
- Средний и пиковый трафик по направлениям
- Активные сессии и новые соединения в секунду
- Критичные приложения и допустимые задержки
- Трафик VPN и планируемое расширение сети
Сравнивайте одинаковый профиль защиты
Попросите проверить конфигурацию с теми функциями, которые будут включены в проекте: фильтрацией приложений, IPS, антивирусом, TLS-инспекцией и журналированием. Сопоставляйте результаты одного режима; пропускную способность простого файрвола не переносите на режим глубокой проверки.
Для TLS составьте перечень проверяемых приложений и исключений. Учитывайте не только долю HTTPS, но и характер соединений, используемые сертификаты и ограничения клиентских приложений. Исключение сервиса из расшифровки должно иметь владельца и отдельный способ контроля.
Как заложить рост без произвольного коэффициента
Опишите ожидаемые изменения: дополнительные филиалы, перенос систем в облако, новые VPN-пользователи и увеличение обмена между сегментами. Для каждого изменения задайте собственный сценарий нагрузки. Так резерв становится проверяемым проектным решением.
Условный пример расчёта, не характеристика IDECO: при измеренном пике 1 Гбит/с, прогнозе роста 30% и согласованном резерве 20% целевой поток составит 1 × 1,3 × 1,2 = 1,56 Гбит/с. Этот ориентир относится к выбранному профилю защиты и сам по себе не определяет модель.
Отказоустойчивость проверяйте на одном рабочем узле
Если схема предусматривает работу при отказе одного NGFW, оставшийся узел должен выдерживать согласованный поток со всеми нужными модулями. Проверьте маршрутизацию, VPN, публикации и время восстановления прикладных сессий.
Виртуальный NGFW испытывайте на целевом гипервизоре с реальным распределением ресурсов. Нагрузка соседних виртуальных машин, сетевые адаптеры и путь до хранилища входят в условия испытаний.
Что считать успешным пилотом
Зафиксируйте до запуска набор потоков и функций, длительность проверки и допустимые значения задержки, потерь и восстановления. После пилота сравните результат с этой исходной программой, а не только со скриншотом загрузки CPU.
В итоговый протокол включите версию ПО, схему включения, параметры стенда, конфигурацию защиты и причину каждого исключения. Если условия пилота отличались от production, укажите различия и повторите критичные сценарии перед вводом.
- Профиль нагрузки воспроизводится
- Критичные приложения проходят согласованные сценарии
- Один узел обслуживает нагрузку в резервном режиме
- Результаты замеров и ограничения сохранены
Рабочая таблица проекта
Заполните таблицу для своей инфраструктуры. Значения и допустимые отклонения согласуйте до начала испытаний; готовый результат можно приложить к запросу конфигурации.
| Параметр | Что записать | Как проверить |
|---|---|---|
| Трафик | Пик и обычный уровень по направлениям | Счётчики и повторяемый профиль пилота |
| Соединения | Активные сессии и CPS | Нагрузка короткими и длинными сессиями |
| Защита | Включённые модули и TLS-исключения | Одинаковые настройки при сравнении |
| Рост | План изменений и горизонт | Сценарий расчётной нагрузки |
| Отказ | Допустимый перерыв приложений | Отключение узла в согласованное окно |
Практический результат
Результат — заполненная таблица и программа проверки с измеримыми условиями приёмки. По ним можно сравнить варианты на одинаковом профиле нагрузки и согласовать конфигурацию с инженером.
Документация производителя
Нужна проверка на вашей схеме?
Подготовим методику и конфигурацию под инфраструктуру, а не под демонстрационный стенд.