NGFW Throughput

NGFW Throughput e a especificacao que indica a capacidade de processamento de dados de um firewall de proxima geracao quando os principais mecanismos de inspecao de seguranca, como IPS, controle de aplicacoes e antivirus, estao ativos simultaneamente.

Por que esse numero costuma ser menor que o "firewall throughput"

Muitos fabricantes divulgam duas medidas distintas no datasheet do equipamento. O firewall throughput reflete apenas a inspecao basica de pacotes (stateful inspection), enquanto o NGFW throughput considera o processamento adicional exigido por camadas de seguranca mais profundas, como deteccao de intrusao, filtragem de aplicacoes e inspecao de assinaturas de malware. Como essas camadas analisam o conteudo dos pacotes e nao apenas o cabecalho, o consumo de CPU aumenta e a taxa de transferencia efetiva tende a cair em relacao ao modo simples.

Fatores que afetam o throughput na pratica

• Servicos habilitados: quanto mais mecanismos de inspecao ativos ao mesmo tempo, menor tende a ser a vazao disponivel.
• Perfil de trafego: o tamanho medio dos pacotes e a mistura de aplicacoes influenciam diretamente o resultado, por isso fabricantes costumam testar com perfis de trafego padronizados (como HTTP ou trafego misto empresarial).
• Inspecao de trafego criptografado: decifrar e recriptografar conexoes SSL/TLS para inspecao adiciona carga de processamento relevante.
• Numero de conexoes simultaneas: ambientes com muitas sessoes concorrentes exigem mais dos recursos do equipamento.
• Aceleracao por hardware: chips dedicados a criptografia ou a inspecao de pacotes podem reduzir o impacto sobre a vazao total.

Como interpretar essa especificacao na escolha do equipamento

Ao comparar modelos de diferentes fabricantes, e importante verificar se os valores de NGFW throughput foram medidos nas mesmas condicoes de teste, ja que metodologias diferentes geram numeros que nao sao diretamente comparaveis. Tambem vale considerar o perfil real de trafego do ambiente onde o equipamento sera instalado, alem de prever margem de capacidade para o crescimento futuro da rede, evitando que o dispositivo se torne um gargalo de desempenho conforme mais servicos de seguranca forem habilitados.