Güvenlik Duvarında Throughput Değeri Gerçek Performansı Nasıl Gösterir

Bir güvenlik duvarı seçerken ilk bakılan değer genellikle datasheet'in ilk sayfasındaki büyük throughput rakamıdır. Ancak bu sayı, cihazın üretici laboratuvarında belirli bir test koşulunda ürettiği sonuçtur ve kurumun gerçek ağ trafiğinde aynı performansı vermez. SSL inceleme, IPS, uygulama kontrolü gibi özellikler devreye girdiğinde aynı cihazın verdiği sayı ciddi şekilde değişebilir.

Bu farkın nedenini anlamak, doğru model seçimi için teknik detaya inmeyi gerektirir. Aşağıda datasheet rakamlarının nasıl ölçüldüğünü, hangi özelliklerin performansı ne yönde etkilediğini ve model karşılaştırmasında hangi metriklere bakılması gerektiğini ele alıyoruz.

Üretici datasheet'lerindeki throughput rakamları hangi koşulda ölçülür

Datasheet'lerde yer alan "firewall throughput" değeri, çoğunlukla cihazın en temel paket iletme fonksiyonunu test eden bir senaryoda elde edilir. Bu testte genellikle büyük boyutlu paketler (1518 byte gibi) kullanılır, tek bir kural seti çalışır ve derin paket incelemesi, SSL çözümleme gibi işlemci yükü yaratan özellikler kapalıdır.

Bu koşul, gerçek bir kurumsal ağın trafik profilinden oldukça uzaktır. Gerçek ortamda farklı boyutlarda paketler, çok sayıda güvenlik politikası, loglama ve şifreli trafik aynı anda işlenir. Datasheet rakamı bu yükü yansıtmaz; sadece cihazın donanımsal üst sınırını gösterir.

UDP paket testleri ile gerçek trafik arasındaki fark

Çoğu throughput testi UDP tabanlı ve sabit boyutlu paketlerle yapılır çünkü bu tip trafik işlemci üzerinde en az yük oluşturan senaryodur. Gerçek ağlarda ise TCP oturumları, küçük paketli uygulama trafiği, VoIP gibi düşük gecikme gerektiren akışlar bir arada bulunur.

Küçük paket boyutu, aynı bant genişliği için çok daha fazla paket işleme anlamına gelir ve bu da cihazın paket başına işlem (packet processing) kapasitesini zorlar. Bu nedenle datasheet'teki UDP testi sonucu ile üretim ortamındaki karışık trafik performansı arasında gözle görülür bir fark oluşur.

SSL inceleme devreye girince performans neden düşer

Şifreli trafiğin içeriğini incelemek için güvenlik duvarının SSL/TLS oturumunu açması, paketi incelemesi ve yeniden şifrelemesi gerekir. Bu işlem kriptografik hesaplama gerektirdiğinden işlemci üzerinde ciddi bir ek yük oluşturur.

Birçok üretici, SSL inceleme açıkken elde edilen throughput değerini ayrı bir satırda belirtir ve bu rakam genellikle temel throughput değerinin önemli ölçüde altındadır. Cihaz seçiminde yalnızca temel rakama bakıp SSL inceleme değerini göz ardı etmek, üretim ortamında beklenmeyen performans düşüşüyle karşılaşmaya yol açar.

Şifreli trafik oranı artan ağlarda kapasite planlaması

Günümüz kurumsal ağlarında internet trafiğinin büyük kısmı HTTPS üzerinden akar. Bu oran bir ağdan diğerine değişmekle birlikte, modern web uygulamaları ve bulut servisleri nedeniyle sürekli yüksek seyreder.

Kapasite planlaması yapılırken şu sorulara yanıt aranmalıdır:

• Ağdaki trafiğin ne kadarı SSL inceleme kapsamına girecek
• Hangi trafik sınıfları (ör. bankacılık, kişisel veri içeren siteler) inceleme dışında tutulacak
• SSL inceleme açıkken hedeflenen bant genişliği cihazın belirttiği değerin altında mı kalıyor

Bu sorulara verilen yanıtlar, hangi modelin yeterli kapasiteye sahip olduğunu netleştirir.

IPS ve uygulama kontrolü açıkken güvenlik duvarı throughput değeri nasıl değişir

IPS (saldırı önleme sistemi) ve uygulama kontrolü, paket içeriğini imza veritabanlarıyla karşılaştıran, protokol davranışını analiz eden özelliklerdir. Bu özellikler açıldığında cihaz her paketi daha derinlemesine incelemek zorunda kalır ve bu da işlem süresini uzatır.

Üreticiler genellikle "IPS throughput" ve "threat protection throughput" gibi ayrı metrikler sunar. Bu değerler, temel firewall throughput değerinden düşüktür çünkü birden fazla güvenlik katmanı aynı anda devrededir. Bir cihazın gerçek üretim ortamında ne kadar kapasiteye sahip olduğunu anlamak için bu üç değerin (firewall, IPS, threat protection) birlikte değerlendirilmesi gerekir. Özellikle tüm güvenlik özellikleri aktifken ölçülen "threat protection throughput" değeri, gerçek kullanım senaryosuna en yakın göstergedir.

Model seçiminde bakılması gereken performans metrikleri

Doğru model seçimi için tek bir sayıya değil, birkaç metriğin birlikte değerlendirilmesine ihtiyaç vardır. Aşağıdaki başlıklar bu değerlendirmenin temelini oluşturur.

Eş zamanlı oturum ve yeni oturum/saniye değerleri

Eş zamanlı oturum sayısı, cihazın aynı anda kaç bağlantıyı takip edebildiğini gösterir. Yoğun kullanıcı sayısına sahip ofislerde veya çok sayıda IoT cihazın bulunduğu ağlarda bu değer hızla tükenebilir ve cihaz yeni bağlantı kabul edemez hale gelir.

Yeni oturum/saniye değeri ise özellikle kısa ömürlü bağlantıların yoğun olduğu ortamlarda (web sunucuları, API trafiği yoğun sistemler) önemlidir. Bu iki metrik birlikte değerlendirilmeden sadece throughput rakamına bakmak, ağın gerçek yükünü karşılayamayan bir cihaz seçimine yol açabilir.

Port yoğunluğu ve arayüz hızının toplam kapasiteyle ilişkisi

Bir cihazın işlemci ve ASIC kapasitesi yüksek olsa bile, fiziksel arayüzlerin toplam hızı bu kapasiteyi sınırlayabilir. Örneğin birden fazla 10 GbE veya 25 GbE portu olan bir cihazda, tüm portların aynı anda tam hızda çalışması durumunda cihazın işlemci kapasitesi darboğaz oluşturabilir.

Bu nedenle port sayısı ve hızı seçilirken, cihazın toplam güvenlik duvarı throughput kapasitesiyle bu arayüzlerin toplam bant genişliği talebi karşılaştırılmalıdır. Aksi halde fiziksel olarak yeterli port bulunsa da cihaz tam performansla çalışamaz.

Şube ve veri merkezi için güvenlik duvarı throughput ihtiyacı nasıl belirlenir

Şube ofisleri ile veri merkezi veya genel merkez arasındaki trafik profili farklıdır. Şube ortamında kullanıcı sayısı sınırlıdır, trafik çoğunlukla internet çıkışına yöneliktir ve SSL inceleme ile temel IPS yeterli olabilir. Bu tür ortamlar için daha kompakt modeller, örneğin Fortinet FortiGate 100F Güvenlik Duvarı, ihtiyacı karşılayabilir.

Veri merkezi veya merkez ofis tarafında ise çok sayıda şubeden gelen VPN trafiği, sunucu segmentleri arası yoğun iç trafik ve daha geniş IPS/uygulama kontrolü politikaları söz konusudur. Bu ölçekte daha yüksek işlemci ve arayüz kapasitesine sahip modeller, örneğin Fortinet FortiGate 200G Güvenlik Duvarı, tercih edilir.

İhtiyaç belirlenirken şu adımlar izlenebilir:

• Mevcut ve hedeflenen bant genişliği belirlenir
• SSL inceleme kapsamına girecek trafik oranı tahmin edilir
• Aktif edilecek güvenlik özellikleri (IPS, uygulama kontrolü, antivirüs) listelenir
• Eş zamanlı kullanıcı ve cihaz sayısına göre oturum kapasitesi hesaplanır
• Gelecek 2-3 yıllık büyüme payı eklenir

Bu adımlar sonucunda ortaya çıkan gereksinim, datasheet'teki tek bir rakam yerine birden fazla metrik üzerinden karşılaştırılarak doğru modele ulaştırır.

Kapanış

Güvenlik duvarı seçiminde datasheet'teki ilk rakamı değil, SSL inceleme, IPS ve uygulama kontrolü açıkken ölçülen değerleri, eş zamanlı oturum kapasitesini ve port yoğunluğunu birlikte değerlendirmek gerçek ağ performansını yansıtan bir karar verdirir. Farklı modelleri bu metrikler üzerinden karşılaştırmak için Firewall kategorisindeki ürünler incelenebilir.

Ağınızın trafik profiline ve güvenlik gereksinimlerinize uygun model için ihtiyacınızı belirtip teklif isteyin.