虚拟防火墙把「管理面、策略、会话表」整份隔离，共用的是机箱、电源与转发芯片。 它是「一台当多台用」的第二次出现，但比虚拟路由器更进一步。
上一节讲虚拟路由器（只分三层），这一节讲虚拟防火墙（连策略一起分）。 两者的关系是「嵌套」：一个虚拟防火墙里通常有多个虚拟路由器。
一、它比虚拟路由器多分什么
虚拟路由器只分「三层」：路由表、接口、协议进程。 虚拟防火墙还要分「安全域」：策略、会话表、日志、管理员账号。
资源 怎么分 能否超分
vCPU 按核分配 能，会互相抢 内存 按 GB 分配 不能，必须实打实 会话表 按条数限额 能，但会丢新连接 接口 按 VLAN 划分 能，带宽共享
「内存不能超分、CPU 能超分」这一条要记住： 因为 CPU 抢不到只是变慢，内存抢不到是会被杀掉的。 所以虚拟化产品的规格书里，内存分配总是「保守」的。
二、切得越碎越吃亏
按一台 32 核、128 GB、2000 万会话的设备算： 切 8 台，每台 4 核 16 GB 250 万会话；切 16 台，每台 2 核 8 GB 125 万会话。
而一台入门级物理防火墙通常是 4 核 8 GB——也就是说「切 16 台」之后，每一台的规格已经低于一台入门设备。 这时「虚拟化省设备」就反过来了：你花了高端设备的钱，得到了 16 台低端设备的性能。
这个「切片拐点」是可以算的：拐点出现在「单份规格 ＜ 同价位入门设备」的时候。 工程上一般建议「不超过 8 份」，再多就该考虑买第二台物理设备了。
三、它真正值钱的地方
不在硬件成本，在「隔离」：
一、策略隔离：不同部门各一份策略，改错一份不影响别人。 二、故障隔离：一份实例重启，其他实例照常转发。 三、管理隔离：各实例有独立管理员，权限不外溢。 四、合规隔离：不同等级的业务要求物理或逻辑隔离，虚拟化可以提供「逻辑隔离」的证据。
这四条里，「故障隔离」最实在： 因为物理设备做冗余要双机，而双机的切换是有中断的；虚拟实例之间本来就是独立进程，一个挂了不影响另一个。
但要清楚它的边界：虚拟防火墙共用一个转发芯片， 所以「芯片级故障」与「上联口故障」仍然是共同失效点。 这也是「逻辑隔离」与「物理隔离」的本质差别。
四、动手 Demo：一台物理机切成八台虚拟防火墙
这段摆出四类资源的分法，再按「32 核／128 GB／2000 万会话」算切 1、4、8、16 台之后每台剩多少。
for n in (1, 4, 8, 16):
P(u" 切 %2d 台：每台 %5.1f 核、%5.1f GB、%s 万会话。"
% (n, 32.0 / n, 128.0 / n, format(2000 // n, u",")))
实跑输出：
--------------------------------------------------------------------
一台物理机切成八台虚拟防火墙
--------------------------------------------------------------------
**虚拟防火墙把「管理面 + 策略 + 会话表」整份隔离**，**共用的是机箱、电源和转发芯片。**
资源 怎么分 能不能超分
------------------------------------------------
vCPU 按核分配 能，但会互相抢
内存 按 GB 分配 不能，必须实打实
会话表 按条数限额 能，但会丢新连接
接口 按 VLAN 划分 能，带宽共享
**按一台 32 核、128 GB、2000 万会话的设备算**：
切 1 台：每台 32.0 核、128.0 GB、2,000 万会话。
切 4 台：每台 8.0 核、 32.0 GB、500 万会话。
切 8 台：每台 4.0 核、 16.0 GB、250 万会话。
切 16 台：每台 2.0 核、 8.0 GB、125 万会话。
**切 16 台时每台只剩 2 核 8 GB**，
**而一台入门物理防火墙通常是 4 核 8 GB——也就是说，「虚拟化省设备」在切得太碎时会反过来吃亏。**
**虚拟防火墙真正省钱的地方不在硬件，在「隔离」**：
**不同部门、不同客户各自一份策略和日志，互不干扰，出问题时也不会牵连别人重启。**
这段的输出是一条「越切越小」的阶梯：32 核切到 16 台只剩 2 核，已经低于很多入门设备。 所以「虚拟化省设备」有拐点，拐点就在这张表上。
注意「会话表」那一列： 它是按条数限额的，可以「超分」——但超分的后果是「满了就丢新连接」， 而会话表满的现象是「时通时不通」，很难与故障区分。 所以会话表限额宁可保守。
最后那句「共用一个转发芯片」是边界的落点：虚拟化能隔离「配置与进程」，隔不了「硬件」。 所以任何「虚拟化能不能替代物理隔离」的讨论，都要先问「失效点是不是共用的」。
30 秒实验
- 查一台设备的虚拟防火墙规格，看它最多切几份、每份最少分多少资源。
- 算一下：切到几份之后，单份规格低于同价位入门设备？
- 想一想：虚拟防火墙共用的失效点有哪些？
常见误区
- 以为虚拟防火墙等于物理隔离。共用芯片与上联口，仍是共同失效点。
- 以为切得越多越划算。切过拐点，单份规格低于入门设备。
- 以为内存也能超分。CPU 能抢，内存抢不到会被杀掉。
自测三问（点开对答案）
1. 虚拟防火墙比虚拟路由器多隔离了哪些东西？ —— 安全域相关的一切：策略、会话表、日志、管理员账号。 2. 为什么内存不能超分而 CPU 可以？ —— CPU 抢不到只是变慢，内存抢不到会导致进程被系统杀掉。 3. 虚拟防火墙共用的失效点有哪些？ —— 机箱、电源、转发芯片与上联口，这些是硬件级共同点。下一节：讲规格书上的三个数字——从「同时在线会话数」开始。
- ☐ （本节完，下一节 05.08.01 同时在线会话数）