Site icon bintorosoft.com

Capacity Planning: Wie dimensioniert man Firewalls richtig?

Red Snapper

Capacity Planning für Firewalls ist eine der wichtigsten, aber gleichzeitig am häufigsten unterschätzten Aufgaben in der Netzwerksicherheit. Wer eine Firewall „nach Datenblatt-Durchsatz“ dimensioniert, riskiert im Alltag böse Überraschungen: VPN-Lastspitzen, viele gleichzeitige Sessions, TLS-Inspection, IPS-Signaturen, SD-WAN-Features oder Logging können die Performance drastisch reduzieren. Umgekehrt führt eine überdimensionierte Anschaffung zu unnötigen Kosten – nicht nur beim Gerät, sondern auch bei Lizenzen, Support und Strom/Platz. Eine professionell dimensionierte Firewall ist deshalb immer das Ergebnis eines strukturierten Capacity Plannings: Sie analysieren reale Traffic-Profile, definieren Sicherheitsfunktionen, berücksichtigen Wachstum und Redundanz (HA), und testen die Annahmen. In diesem Artikel erfahren Sie, wie man Firewalls richtig dimensioniert – mit klaren Kennzahlen, praxisnahen Rechen- und Planungsansätzen, typischen Fallstricken und einer Checkliste, die Sie direkt in Projekten oder Ausschreibungen verwenden können.

Warum Firewall-Dimensionierung mehr ist als „Gbit/s“

Hersteller geben häufig mehrere Durchsatzwerte an: „Firewall Throughput“, „Threat Prevention Throughput“, „VPN Throughput“ oder „TLS Inspection Throughput“. Diese Zahlen sind nicht falsch, aber sie sind stark von Laborbedingungen abhängig und lassen sich nur begrenzt auf Ihre Umgebung übertragen. In der Realität hängt die Performance einer Firewall vor allem von folgenden Faktoren ab:

Die wichtigsten Kennzahlen im Firewall-Capacity-Planning

Ein gutes Capacity Planning arbeitet mit mehreren Kennzahlen, nicht nur mit einer. Die folgenden Metriken sollten Sie mindestens erfassen und verstehen.

Durchsatz (Throughput)

Sessions und CPS (Connections per Second)

CPU/ASIC-Auslastung und Ressourcen

Latenz und Jitter

VPN-Kennzahlen

Schritt für Schritt: So dimensionieren Sie Firewalls professionell

Ein praxistauglicher Prozess besteht aus Datensammlung, Sicherheitsanforderungen, Modellierung und Validierung. Damit vermeiden Sie „Schätzen nach Bauchgefühl“.

Traffic messen und profilieren

Wichtig: Sammeln Sie nicht nur „einen Peak“, sondern mindestens zwei bis vier Wochen, um Wochenmuster, Monatswechsel, Patch-Tage und Sonderereignisse zu sehen.

Sicherheitsfunktionen festlegen, die wirklich aktiv sind

Die Dimensionierung hängt stark davon ab, welche Features Sie tatsächlich einschalten. Eine Firewall ohne Threat Prevention ist oft um Größenordnungen schneller als eine mit IPS, Malware-Scanning und TLS-Inspection.

Use Cases in Traffic-Klassen übersetzen

Teilen Sie Traffic in Klassen, um realistisch zu planen:

Jede Klasse hat andere Engpässe: Bulk belastet Bandbreite, High Churn belastet Sessions/CPS, TLS-Inspection belastet CPU/ASIC.

Wachstum, Reserven und „Worst Case“ berücksichtigen

HA und Capacity: Warum N+1 oft Pflicht ist

High Availability ist nicht nur eine Verfügbarkeitsfrage, sondern auch Capacity Planning. In Active/Passive muss die aktive Firewall im Failover-Fall die gesamte Last allein tragen. Das ist klassisch N+1: Sie dimensionieren so, dass ein Knoten den Peak tragen kann, inklusive der aktivierten Security-Funktionen.

Der große Performance-Killer: TLS Inspection richtig einplanen

Da ein Großteil des Internet- und API-Traffics heute TLS-verschlüsselt ist, wird TLS Inspection (auch SSL Inspection) häufig eingesetzt, um Malware, C2 oder Datenabfluss zu erkennen. Für die Dimensionierung ist das kritisch, weil jede Verbindung kryptografisch terminiert und neu aufgebaut wird.

Wenn Sie TLS Inspection planen, kalkulieren Sie konservativ und testen realistisch. Als technische Basis für TLS ist RFC 8446 (TLS 1.3) hilfreich, um Handshake-Mechanismen und Randbedingungen einzuordnen.

VPN-Dimensionierung: Remote Access und Site-to-Site getrennt betrachten

VPN-Last ist selten konstant. Remote Work erzeugt Tagespeaks, Videokonferenzen und Dateiübertragungen. Site-to-Site hängt oft an Replikationen, Cloud-Anbindungen oder Standorttraffic.

Remote Access VPN

Site-to-Site VPN

Für IPsec als Standardrahmen eignet sich RFC 4301.

Logging und Reporting: Performance und Betrieb gleichzeitig planen

Security ohne Logging ist blind. Gleichzeitig kann Logging die Firewall belasten und nachgelagerte Systeme überfordern. Capacity Planning muss daher auch die Log-Pipeline betrachten.

Als Referenz für Syslog eignet sich RFC 5424.

Performance-Tests: Wie Sie Datenblattwerte in Ihre Realität übersetzen

Die sicherste Dimensionierung entsteht, wenn Sie messen statt vermuten. Dafür müssen Tests nicht riesig sein, aber sie müssen repräsentativ sein.

Typische Fehler beim Dimensionieren von Firewalls

Praxisleitfaden: Dimensionierung in Zahlen denken

Ein pragmatischer Ansatz ist, Ihre Messwerte in Zielbereiche zu übersetzen und Sicherheitsfeatures als „Performance-Faktoren“ zu behandeln.

Wenn Sie eine einfache Heuristik möchten: Planen Sie so, dass die Firewall im Normalbetrieb mit allen aktivierten Security-Funktionen typischerweise nicht dauerhaft über 60% der relevanten Leistungsindikatoren liegt (Dataplane/CPU/Sessions). Das ist keine Norm, aber ein bewährter Sicherheitsabstand für Peaks, Failover und Incidents.

Ausschreibung und Einkauf: Welche Angaben Sie vom Hersteller brauchen

Um Angebote vergleichbar zu machen, sollten Sie Hersteller nicht nur nach „Gbit/s“ fragen, sondern nach konkreten Szenarien. Eine saubere Ausschreibung enthält Ihr Feature-Profil und fordert Messwerte dazu an.

Herstellerdokumentation kann hier helfen, weil sie die definierten Throughput-Kategorien erklärt, z. B. Palo Alto Networks Docs, Fortinet Docs oder Cisco Security Docs.

Checkliste: Capacity Planning für Firewalls richtig umsetzen

Weiterführende Informationsquellen

Exit mobile version