Khi mua tường lửa, câu hỏi đầu tiên của hầu hết doanh nghiệp là: thiết bị này đáp ứng được bao nhiêu người dùng cùng lúc mà không bị nghẽn? Số người dùng chỉ là một nửa câu trả lời. Chỉ số quyết định là NGFW Throughput, băng thông thực tế mà firewall xử lý được khi các tính năng bảo mật đang bật. Bài viết này trả lời câu hỏi đó.
Khi đầu tư tường lửa, câu hỏi đầu tiên của hầu hết doanh nghiệp là thiết bị đáp ứng được bao nhiêu người dùng cùng lúc. Với nhóm khách hàng SMB như doanh nghiệp, nhà máy sản xuất, bệnh viện và trường học, việc chọn sai có hai hệ quả. Thiết bị quá yếu sẽ gây nghẽn mạng, còn thiết bị quá mạnh sẽ lãng phí ngân sách. Dòng PA-400 và PA-500 của Palo Alto Networks được thiết kế cho nhóm khách hàng này, với tính năng của phân khúc Enterprise, mức giá cạnh tranh và xuất xứ Mỹ.
Đừng chọn firewall theo con số UDP trên datasheet
Nhiều datasheet ghi Firewall Throughput lên đến hàng chục Gbps. Theo tài liệu của Palo Alto Networks, con số này thường đo bằng gói UDP lớn khi chưa bật tính năng bảo mật, nên không phản ánh lưu lượng thực tế như họp Zoom, truy cập Facebook hay vận hành phần mềm SAP.
Thước đo sát thực tế hơn là NGFW Throughput, đo trên lưu lượng ứng dụng thực tế (Appmix) với các tính năng bảo mật đang chạy. Hãng cho biết datasheet của mình chỉ công bố chỉ số này và không công bố số UDP thô.
Chọn model theo số lượng người dùng
Nhóm Project
| Model | Số người dùng phù hợp | NGFW Throughput |
|---|---|---|
| PA-505 | 70–100 users | 1.2 Gbps |
| PA-510 | 100 users | 1.8 Gbps |
| PA-540 | 300–400 users | 3.8 Gbps |
| PA-545 PoE | 300–400 users | 5.0 Gbps |
| PA-550 | 400–500 users | 6.5 Gbps |
| PA-560 | 600–800 users | 8.5 Gbps |
Cách chọn đơn giản là lấy số người dùng hiện tại, cộng thêm mức dự phòng cho vài năm tới, rồi chọn model có NGFW Throughput tương ứng.
PA-540: lựa chọn cho 300–400 người dùng
PA-540 phù hợp với tổ chức có vài trăm người dùng truy cập đồng thời, ví dụ nhà máy, bệnh viện hoặc trường học quy mô vừa. Các thông số chính gồm:
- NGFW Throughput: 3.8 Gbps
- Threat Prevention Throughput: 2.2 Gbps
- Phiên đồng thời tối đa: 248K
- Phiên mới mỗi giây: 50K
- IPsec VPN: 2.0 Gbps
- Lưu trữ: 120 GB SSD
- Cổng mạng: 8 × 1G RJ45 và 2 × 1G SFP
Mỗi người dùng thường mở nhiều kết nối cùng lúc qua trình duyệt, ứng dụng họp và đồng bộ dữ liệu, nên số phiên luôn lớn hơn số người dùng nhiều lần. Con số 248K phiên đồng thời và 50K phiên mới mỗi giây cho thấy thiết bị có dư địa với mức 300–400 người dùng.
Nhiều người dùng, nhiều tính năng bảo mật: mạng có chậm đi không?
Nhiều đơn vị lo rằng bật càng nhiều tính năng bảo mật thì mạng càng chậm. Palo Alto Networks giải quyết vấn đề này bằng kiến trúc Single-Pass. Thiết bị xử lý song song App-ID, IPS và chống mã độc trong một lần quét thay vì quét lần lượt từng tính năng. Theo hãng, hiệu năng khi vận hành thực tế, kể cả khi bật đầy đủ tính năng bảo mật, sát với thông số công bố.
Các lớp bảo vệ cho người dùng
Hãng đề xuất hai lựa chọn license cho khách hàng.
Advanced Threat Prevention (ATP) là lựa chọn cơ bản với chi phí thấp nhất. Tính năng này phát hiện, ngăn chặn và ứng phó với tấn công phức tạp, mã độc mới và mối đe dọa zero-day. Theo ước tính của hãng, khoảng 70% khách hàng doanh nghiệp, bệnh viện và trường học chọn ATP khi mua firewall lần đầu. Khách hàng có thể bổ sung license hoặc nâng cấp bất cứ lúc nào.
Precision AI là gói toàn diện gồm 6 tính năng:
- Advanced Threat Prevention: chặn mối đe dọa phức tạp và zero-day.
- Advanced URL Filtering: kiểm soát truy cập web của người dùng.
- Advanced WildFire: phát hiện mã độc chưa từng biết.
- Advanced DNS Security: bảo vệ ở tầng DNS.
- Advanced SD-WAN: tối ưu kết nối giữa các chi nhánh.
- Device Security: bảo vệ các thiết bị kết nối vào mạng.
Theo hãng, chi phí gói Precision AI chỉ bằng khoảng 50% so với mua rời 6 license. Khi kết hợp với Cortex XDR, dữ liệu từ mạng, máy tính và máy chủ được phân tích chung trên một nền tảng, giúp phát hiện sớm và xử lý nhanh rủi ro.
Vận hành khi quy mô lớn
Với tổ chức có nhiều người dùng, việc triển khai và quản trị cũng quan trọng không kém hiệu năng. Dòng sản phẩm hỗ trợ Zero Touch Provisioning để lắp đặt nhanh, Strata Cloud Manager để quản trị tập trung và HA active/active để duy trì hoạt động khi một thiết bị gặp sự cố. Thiết bị còn sẵn sàng cho mật mã hậu lượng tử (PQC) với giải mã SSL/TLS và VPN site-to-site.
License và bảo hành, hỗ trợ kỹ thuật có thể chọn thời hạn 1, 2 hoặc 3 năm, và các năm sau đều có thể gia hạn.
Kết luận
Để chọn đúng firewall, doanh nghiệp nên làm theo bốn bước:
- Xác định số người dùng hiện tại và dự phòng cho tương lai.
- Chọn model theo NGFW Throughput thay vì số UDP trên datasheet.
- Chọn ATP nếu cần giải pháp cơ bản, hoặc Precision AI nếu cần bảo vệ toàn diện.
- Chọn thời hạn license và hỗ trợ phù hợp với ngân sách.