网络安全网关：先看出口带宽，再看并发连接数

这个页面适合谁：搜索这类词的人，通常要自建防火墙、上网行为管理或 VPN 网关，想知道需要什么配置的服务器、能不能跑得动公司出口带宽。

这类需求通常在解决什么问题

网关设备最容易被低估的是「功能开启后的吞吐衰减」。厂商标称的吞吐往往是「纯转发、不开任何安全功能」的理想值；一旦开启 IPS、防病毒、应用识别、SSL 解密，实际吞吐可能只有标称的 20%-40%。所以选型时要按「开启全部所需功能后的吞吐」来算，而不是按裸转发能力。

第二个关键指标是并发连接数与会话新建速率。一个 200 人的公司，日常并发连接数可能在 5000-20000 之间，但如果有人跑 P2P、或有大量短连接业务（如 API 调用），新建速率会成为瓶颈，表现为「带宽没跑满但网页打开慢」。

第三个是部署形态。硬件防火墙一体机省心但扩展性差；通用服务器加软件（如 OPNsense、pfSense、OpenWrt 企业版、国产行为管理软件）灵活、可按需升级，但需要自己有运维能力。对没有专职网络工程师的中小企业，一体机的总拥有成本通常更低。

需求画像

选型要点

以下 6 条按重要性排序，前两条通常决定预算的分配方向：

• 01按「开功能后的吞吐」选型

  开启 IPS + 应用识别 + SSL 解密后，吞吐常降到裸转发的 30% 左右。1Gbps 出口应选标称 3Gbps 以上的设备或配置。

• 02并发连接数与新建速率都要看

  并发连接决定能同时维持多少会话，新建速率决定短时间内能建立多少新连接。后者不足时表现为「带宽空着但很卡」。

• 03网卡数量与形态要提前规划

  典型需要 WAN、LAN、DMZ 至少 3 个口，双机热备还要心跳口。用服务器做网关时，优先选板载多口或加装 Intel 芯片网卡，Realtek 芯片在高负载下易出问题。

• 04SSL 解密极耗 CPU

  全流量 SSL 解密会让 CPU 负载飙升数倍。实际部署通常只对特定域名或分类做解密，或直接放弃解密改用到端防护。

• 05日志存储不能省

  行为管理与审计类设备需要保存 6 个月以上日志（部分行业有硬性要求）。日志盘容量按「日增量 × 留存天数」算，不要用系统盘顶。

• 06高可用比高性能更重要

  网关是全网单点。单机故障意味着整个公司断网，双机热备的投入通常比升级一档性能更值。

三档配置建议

档位不是「好中差」，而是按规模与预算划分的起点。实际配置会在此基础上按你的具体需求调整。

常见误区

我们怎么交付

我们先确认出口带宽、用户数、是否需要 SSL 解密、是否有等保或行业合规要求，再按「开启功能后的吞吐」给出配置建议。如果客户已有防火墙一体机，我们会评估是否值得换成通用服务器方案，而不是一味推荐自建。

交付包含策略梳理：把现有的端口映射、VPN、限速、黑白名单整理成表格再迁移，避免上线后业务不通却查不到原因。双机方案会做一次真实的主备切换测试。

常见问题