下一代防火墙选型：为何不能只看防火墙吞吐量

选型结论

应按实际启用的 IPS、应用识别、恶意内容检测与 TLS 检查组合评估容量，同时考虑并发、新建会话、日志和高可用。裸防火墙吞吐不能代表开启安全功能后的业务能力。

开始前需要的资料

盘点出口带宽、业务峰值、应用组成、加密流量占比、并发会话与分支互联需求。明确哪些流量允许解密、证书如何部署，以及业务例外和日志保留范围。

关键核对表

设计与实施方法

先建立真实业务基线，再用候选设备试点复制功能组合。TLS 检查需要证书、隐私和例外策略协同；关键系统要在批准范围内验证兼容。容量预留按增长与故障时单机承载要求决定。

如何验证与交付

使用相同业务样本比较延迟、吞吐、会话成功率和资源占用；模拟单机或链路故障，验证会话、路由及日志变化。保留测试时的软件版本、策略和订阅状态。

常见误区

用不同包长、不同功能集的宣传数字做排行榜；在测试中关闭安全检查，上线后再全部开启。

常见问题：可以仅按员工人数选择防火墙吗？

人数可辅助估算，实际还取决于应用、连接形态和检测范围。应至少结合出口、业务峰值、加密流量和增长计划。

对比型号时保留的测试口径