WAF Sizing Tool

48 Plattformen und 35 Lizenz-SKUs von F5 (BIG-IP Advanced WAF auf rSeries, iSeries, VELOS, Virtual Edition, NGINX App Protect und Distributed Cloud WAAP), Imperva (WAF Gateway X-Serie, virtuelle Gateways und Cloud WAF) und Citrix NetScaler (MPX, SDX, VPX, BLX und CPX in der Premium Edition).

Die Dimensionierung basiert auf Layer-7-Requests pro Sekunde und neuen TLS-Handshakes pro Sekunde, denn eine WAF parst jeden Request und jede Response, statt nur Pakete weiterzuleiten – der Spitzendurchsatz im Datenblatt wird ganz ohne Policy gemessen, und das Tool weist darauf hin.

Vier Kennzahlen werden abgeleitet, und jeder Kandidat wird an allen vier gemessen: WAF-Request-Rate, WAF-Durchsatz, TLS-Handshake-Rate beim verwendeten Schlüsseltyp und die Verbindungstabelle.

Die Handshake-Last wird getrennt von der Policy-Last dimensioniert, und das Tool zeigt an, wenn der Wechsel der Zertifikate von RSA-2048 auf ECDSA P-256 die verfügbare Handshake-Kapazität etwa verdoppeln würde – meist günstiger als das nächstgrößere Modell.

Ein Active/Active-Paar wird mit 100 % pro Einheit dimensioniert statt mit 50 %, denn ein Paar, das auf je die halbe Last ausgelegt ist, funktioniert genau bis zu dem Tag, an dem eine Einheit ausfällt. Cluster werden so dimensioniert, dass nach dem Ausfall eines Knotens noch genügend Kapazität bleibt.

Inspektionsaufwand, Einbindungsmodus, kumuliertes Wachstum, Designreserve und HA-Anteil werden der Reihe nach angewendet, und jeder Schritt wird mit seiner Begründung ausgewiesen.

Eine Plattform wird ausgeschlossen, wenn sie bei Request-Rate, Durchsatz, TLS-Handshakes, Verbindungstabelle, Anzahl der Anwendungen, Einbindungsmodus, ihrer Position in der Umgebung oder beim Formfaktor nicht genügt – und jedes ausgeschlossene Modell nennt die Gründe.

Fünf Einbindungsmodi werden modelliert, und das Out-of-Band-Monitoring wird ehrlich dargestellt: Der Produktivverkehr läuft an der WAF vorbei, und das Design wird als reine Erkennung gekennzeichnet, nicht als Schutzmaßnahme.

Aus den Antworten entstehen zwei Diagramme: die physische Konnektivität vom Client bis zur Datenbankschicht und die Inspektions-Pipeline Stufe für Stufe. Die WAF wird als reale Appliance gezeichnet – Gehäuse, Rackwinkel, Herstellerschriftzug, LCD-Panel, Status-LEDs und genau die Port-Anordnung, die das gewählte Modell hat.

Die Exporte sind echte Office-Dateien – ein vollständiges Designdokument in Word, eine Präsentation mit elf Folien und bearbeitbaren Tabellen sowie eine Arbeitsmappe mit elf Tabellenblättern, darunter die Stückliste und der gesamte Katalog, jeweils gegen Ihr Design als bestanden oder nicht bestanden markiert.

Die Empfehlung ist ein Ausgangspunkt, kein Urteil: Wählen Sie eine andere Plattform, und Diagramme, Lizenzen und Exporte passen sich an – eine unterdimensionierte Wahl bleibt erhalten und wird markiert, aber nie stillschweigend korrigiert.

Leistungswerte dienen der relativen Dimensionierung, und zu jedem Hersteller gibt es einen Link auf sein Datenblatt, denn das endgültige Modell muss vor jedem Angebot anhand des aktuellen Datenblatts bestätigt werden.