公司升级万兆网络，防火墙怎么选

[ace12]

现公司使用的防火墙为 juniperssg140，只有千兆口，在网上找了很多，都不是很适合，要不是就是价格死贵，所以防火墙应该如何选择呢，有什么诀窍么？

[yexm0]

用得起全万兆的还缺那点小钱？

[alect]

万兆也得分几条线吧，
几条分开买防火墙就是了
没用过么高级的，我瞎说的(｡•ˇ‸ˇ•｡)

[fzinfz]

防火墙是对外的吧，你确定要万兆？

[kn007]

外网万兆？多条线，还是单条线？

[kn007]

多条千兆就好处理，单条万兆的话，没办法，就是那么贵。

[ace12]

@kn007 额，这个不是很清楚，应该可以用多条线吧。。

[ace12]

@kn007 如果是单线的话，能在防火墙上层加一个交换机，然后通过链路聚合连到防火墙墙上么。

[kn007]

那样子，你防火墙不是还要万兆。。。
你外线多条千兆，就直接买多口的防火墙就好了。
单条万兆，就需要个前置三层，如果是拨号的，那就需要路由器。然后分出多条千兆给后面防火墙。
降低防火墙成本，不过多口防火墙其实也不便宜，特别某些卖 wan 口授权的厂商。
你可以找厂家出方案。

[Wenpo]

软路由

[azh7138m]

@Wenpo 万兆软路由还是很吃力的，单靠 U 来做转发，负载会很高的

[dot2017]

hillstone 的硬防可以的，或者软防可以考虑，按节点个数收费

[Wenpo]

@azh7138m 我知道，负载高问题不大。能解决问题

[phoebuss]

换 Juniper SRX1500 …我们组的产品←_←

[ladeo]

前提条件：确认到底是 WAN 还是 LAN 升级到万兆？

万兆=10G，一般的小一点的 IDC，从单个运营商那里拉过来的宽带也只有 20-30G，贵司是做啥业务的...

万兆通常也不会用提供，通常都是万兆光纤接入。

让我们考虑一下流量模型：

WAN 万兆，LAN 交换机还是千兆，那么到终端 PC 最多也还是千兆，结论是浪费 WAN 费用。

我猜测 LZ 公司是内网万兆

假如是万兆 LAN，其实瓶颈并不在防火墙，而在三层交换机上。防火墙并不需要很高等级。如果外网接入是 500M，那么普通千兆防火墙就可以了。

ssg140 这个干儿子型号已经被 juniper 停止销售多少年了，还是换亲儿子 SRX1500 吧 @phoebuss

另外防火墙我推荐买 NGFW，可以做到 7 层防护，paloalto(有钱)或者 fortigate(没钱)，记得一定买相应的许可。

至于具体型号直接联系防火墙的经销商好了，会根据实际情况帮你推荐的。


Juniper 的 SRX 是传统 FW，现在不推荐啦。Cisco 的 ASA 本身做的不好也不推荐了。

你搜一下"gartner ngfw 魔力象限"，虽然是种营销，但是厂家都以上榜为荣。

[ps1aniuge]

juniper 资料屎一样，还都是英文。售后屎一样。产品 3 年过保后，连手册都不许下载。
华为，h3c，售后好。产品过保 10 年，不买产品，也可以下中文手册。

[trepwq]

x86 的 pfsense ？