规格书上的「10 Gbps」指的是只做最基础的四层转发；一开安全功能，这个数字就崩。 全开 IPS、防病毒、SSL 解密、应用识别之后，只剩标称值的 12%。
07.04.05 讲了防火墙看「并发与新建」，这一节讲「怎么把这两项换算成型号」。 而换算的第一步，是先搞清「你会开哪些功能」——这一项差一档，选型区间就从 4 G 涨到 16 G。
一、功能一开，吞吐就掉
同一台标称 10 Gbps 的设备，逐层开功能的剩余吞吐：
开启的功能 剩余比例 剩余吞吐
仅四层转发 100% 10.00 Gbps 加 IPS 45% 4.50 Gbps 加防病毒 30% 3.00 Gbps 加 SSL 解密 15% 1.50 Gbps 加应用识别 12% 1.20 Gbps
掉得最狠的两项是 SSL 解密与 IPS： 前者要把加密流量解开再加密，等于做两遍运算；后者要逐包做特征匹配。
这不是厂商虚标：规格书里那行小字通常写着「在某某条件下测得」，只是采购时没人看。 所以「10 G」这个数本身没错，错的是把它当成「能扛 10 G 的业务」。
二、按需求反推该买多大
反推公式只有一行：标称吞吐 ＝ 实际需求 ÷ 剩余比例。
只开这些功能 剩余比例 要满足 2 G 需求
仅四层 100% 2.0 Gbps 加 IPS 45% 4.4 Gbps 加防病毒 30% 6.7 Gbps 加 SSL 解密 15% 13.3 Gbps 加应用识别 12% 16.7 Gbps
同样 2 Gbps 的需求，选型区间从 2 G 一路涨到 16.7 G。 而这四行之间的差别，只是「开不开某个勾」。
所以「防火墙该买多大」这个问题，必须先回答「你要开哪些功能」： 顺序反了，就会买到「参数够、一开功能就不够」的机器。
三、四类形态各有各的位置
形态 适合 不适合
专用防火墙 只做边界防护，性能优先 要多种功能时买不齐 UTM 一体机 中小企业，功能齐全省事 高吞吐场景全开后撑不住 虚拟化防火墙 云上、分支，弹性扩容 受底层性能与邻居影响 云原生防火墙 访问云上资源，按需付费 本地出口还得落地设备
四类的分界不在「功能多少」，在「性能与功能的耦合程度」： 专用防火墙把功能拆出去做成旁路，所以快但功能散；UTM 把功能都塞进一台，所以省事但慢。
选型的判断标准很实在： 如果你的实际需求低于 1 Gbps，UTM 的「全开撑不住」不是问题；如果需求是 5 Gbps 以上，专用设备加旁路才是正路。
四、动手 Demo：防火墙的功能一开，吞吐就掉下来
这段把同一台 10 Gbps 设备逐层开功能的剩余吞吐算出来， 再反过来按 2 Gbps 的实际需求推算各档需要多大的标称值。
base = 10.0
layers = [(u"仅四层转发", 1.00), (u"加 IPS", 0.45),
(u"加防病毒", 0.30), (u"加 SSL 解密", 0.15),
(u"加应用识别", 0.12)]
for name, ratio in layers:
T([name, u"%.0f%%" % (ratio * 100),
u"%.2f Gbps" % (base * ratio)], [0, 0, 0])
P(u" 标称要做到 %.1f Gbps。" % (2.0 / ratio))
实跑输出：
--------------------------------------------------------------------
防火墙的功能一开，吞吐就掉下来
--------------------------------------------------------------------
**规格书上的「10 Gbps」指的是「只做最基础的四层转发」。**
**一旦开了安全功能，这个数字就打折，而且折得很厉害。**
**同一台标称 10 Gbps 的设备，逐层开启功能后的剩余吞吐**：
开启的功能 剩余比例 剩余吞吐 为什么掉
--------------------------------------------------------------------
仅四层转发 100% 10.00 Gbps 查表直通，最快
加 IPS 45% 4.50 Gbps 逐包做特征匹配
加防病毒 30% 3.00 Gbps 要还原文件、扫内容
加 SSL 解密 15% 1.50 Gbps 解密再加密，两次运算
加应用识别 12% 1.20 Gbps 要看载荷前若干字节
**全开之后只剩 1.2 Gbps，是标称值的 12%。**
这不是厂商虚标——规格书里那行小字通常写着「在某某条件下测得」。
问题是采购时没人看那行小字，只记住「10 G」。
**按真实需求反推该买多大的机器**：
需要 2 Gbps 的实际吞吐，如果只开「加 IPS」，标称要做到 4.4 Gbps。
需要 2 Gbps 的实际吞吐，如果只开「加防病毒」，标称要做到 6.7 Gbps。
需要 2 Gbps 的实际吞吐，如果只开「加 SSL 解密」，标称要做到 13.3 Gbps。
需要 2 Gbps 的实际吞吐，如果只开「加应用识别」，标称要做到 16.7 Gbps。
**同样 2 Gbps 的需求，选型区间从 4.4 G 一路涨到 16.7 G。**
**所以「防火墙该买多大」这个问题，必须先回答「你要开哪些功能」。**
**四类产品各有各的位置**：
形态 适合 不适合
----------------------------------------------------------------------------
专用防火墙 只做边界防护，性能优先 需要多种安全功能时买不齐
UTM 一体机 中小企业，功能齐全省事 高吞吐场景全开后撑不住
虚拟化防火墙 云上、分支，弹性扩容 依赖底层性能，受邻居影响
云原生防火墙 访问云上资源，按需付费 本地数据中心出口还得落地设备
**一句话**：把「标称吞吐」除以「你要开的功能的剩余比例」，**得到的数才是该拿去比价的数字。**
这个 Demo 的计算只有一行乘法：base * ratio。
但它把「规格书上的数」与「能用的数」之间的差距显式化了。
第二段那个除法更有用：它把「我需要多少」翻译成「我该买多大」，这是采购里最常被跳过的一步。
最后提醒一件事：这些比例是「典型量级」，不同厂商的产品差别很大。 所以正确的用法不是「背下这些比例」，而是「要求厂商提供「全开功能后的吞吐」实测值」。 给不出来的，就该被排在后面。
30 秒实验
- 找一份防火墙规格书，看它标了几个吞吐值。
- 如果有「IPS 吞吐」和「防病毒吞吐」，把它们除以标称值。
- 想一想：你们的防火墙实际开了哪几项功能？
常见误区
- 以为标称吞吐就是可用吞吐。全开功能后只剩一成多。
- 先看型号再看功能需求。顺序反了会买到「一开功能就不够」的机器。
- 以为所有厂商的衰减比例一样。差别很大，要索取实测值。
自测三问（点开对答案）
1. 防火墙开功能后吞吐衰减最多的两项是什么？ —— SSL 解密（要解开再加密，两遍运算）与 IPS（逐包特征匹配）。 2. 实际需求 2 Gbps、要开 SSL 解密，标称要做到多少？ —— 2 ÷ 0.15 ≈ 13.3 Gbps。 3. 四类防火墙形态的分界是什么？ —— 性能与功能的耦合程度：专用设备拆成旁路所以快，UTM 塞进一台所以省事但慢。下一节：设备买回来要能一起工作——互操作性怎么验。
- ☐ （本节完，下一节 07.06 确认网络设备的互操作性）