Palo Alto Networks stellt neue Firewalls vor

Im Zuge der Veröffentlichung des neuen PAN-OS 8.0, hat die auf Netzwerksicherheit spezialisierte Firma Palo Alto Networks, neue Firewalls vorgestellt. Neben drei neuen  VM-Firewalls wurden auch sechs neue Hardware-Appliances präsentiert.

VM-Firewalls

Die neuen virtualisierten Firewalls runden das bestehende Angebot nach oben und unten hin ab. Dadurch sollen die stetig steigenden Traffic-Anforderungen abgedeckt werden. Die kleine VM-50 ist auf den Einsatz von minimalen Ressourcen getrimmt und erreicht einen App-ID-Durchsatz von 200 Mbit/s sowie 100 Mbit/s bei Threat prevention. Ein möglicher Einsatzort wäre z.B. kleinere Niederlassung mit einem Server, auf dem die Firewall dann zusätzlich betrieben werden könnte. Die größeren VM-500 und VM-700 kommen auf 8 Gbit/s App-ID und 4 Gbit/s Threat prevention bzw. auf 16 und 8 Gbit/s. Sie sind für den Einsatz zur Network functions virtualization (NFV) gedacht, was vor allem komplett virtualisierte Rechenzentren oder Provider-Umgebungen betrifft. Darüber hinaus wurden die Performance und der Datendurchsatz der bestehenden VM-100, VM-200, VM-300 und VM-1000-HV deutlich aufgebohrt.

Alle virtualisierten Firewalls können sowohl in der öffentlichen Cloud als auch On-Premise gehostet werden. Dazu werden zahlreiche Plattformen unterstützt:

• Amazon Web Services (AWS)
• Microsoft Azure
• VMware vCloud Air
• VMware ESXi
• VMware NSX
• Citrix NetScaler SDX
• Microsoft Hyper-V
• KVM/OpenStack

Performance	VM-50	VM-100	VM-200	VM-300	VM-1000-HV	VM-500	VM-700
App-ID firewall throughput	200 Mbit/s*	2 Gbit/s*	2 Gbit/s*	4 Gbit/s*	4 Gbit/s*	8 Gbit/s*	16 Gbit/s*
Threat prevention throughput	100 Mbit/s*	1 Gbit/s*	1 Gbit/s*	2 Gbit/s*	2 Gbit/s*	4 Gbit/s*	8 Gbit/s*
IPSec VPN throughput	In progress	In progress	In progress	In progress	In progress	In progress	In progress
Connections per second	3.000*	15.000*	15.000*	30.000*	30.000*	60.000*	120.000*
Max sessions (IPv4 or IPv6)	64.000	250.000	250.000	819.200	819.200	2.000.000	10.000.000

*Performance varies across different hypervisors and cloud environments.

Hardware-Appliances

Bei den sechs neuen Hardware-Appliances handelt es sich um die PA-220, zwei neue Geräte der PA-800-Serie und drei Geräte der PA-5200-Serie. Alle neuen Geräte werden erst ab PAN-OS 8.0 unterstützt und bringen primär eine höhere Performance mit.

Die interessanteste Neuvorstellung dürfte die PA-220 sein. Sie ist für kleine Niederlassungen gedacht. Der Name lässt auf eine leicht verbesserte Variante zur PA-200 schließen, aber insgeheim schließt die PA-220 locker zur PA-500 auf. Im Gegensatz zur PA-200 bringt die PA-220 volle HA-Unterstützung (Active/Active, Active/Passive) inklusive Session-Synchronisierung mit. Außerdem bietet sie ein redundante Stromzufuhr und verzichtet auf einen aktiven Lüfter, was beides für eine höhere Zuverlässigkeit sorgen sollte. Des Weiteren kommt die PA-220 mit acht Ports daher und der Datendurchsatz wurde signifikant gesteigert. Alles in allem dürfte die PA-220 eine sehr interessante Alternative zur PA-500 sein, die höchstwahrscheinlich auch günstiger zu haben sein wird.

Performance	PA-200	PA-220	PA-500
App-ID firewall throughput	100 Mbit/s	500 Mbit/s	250 Mbit/s
Threat prevention throughput	50 Mbit/s	150 Mbit/s	100 Mbit/s
IPSec VPN throughput	50 Mbit/s	100 Mbit/s	50 Mbit/s
Connections per second	1.000	4.200	7.500
Max sessions (IPv4 or IPv6)	64.000	64.000	64.000
Security rules	250	250	1.000
Max security zones	10	15	20
HA	Active/Passive with no session synchronization	Active/Active, Active/Passive
I/O Ports	4	8	8
Storage capacity	16 GByte SSD	32 GByte SSD	160 GByte HDD
Sonstiges	–	kein Lüfter, redundante Stromversorgung, USB-Port, Micro-USB-Konsolenport	Aggregate interfaces (802.3ad), LACP

Die neuen PA-820 und PA-850 sind für mittelgroße Niederlassungen konzipiert und schließen damit die große Lücke zwischen der PA-500 und der PA-3020. Die kleinere Variante kommt auf 940 Mbit/s App-ID und 610 Mbit/s Threat prevention. Die PA-850 erreicht hingegen 1,9 Gbit/s App-ID und 780 Mbit/s Threat prevention.

Die PA-5200-Serie positioniert sich zwischen der PA-5000-Serie und der modularen PA-7000-Serie und ist damit für den Einsatz in großen Rechenzentren. Wo die PA-5060 mit 20 Gbit/s App-ID und 10 Gbit/s Threat prevention aufhört, fängt die neue Serie erst an. Die PA-5220 liefert 18 bzw. 9 Gbit/s, die PA-5250 35 bzw. 20 Gbit/s und die PA-5260 erreicht 72 bzw. 30 Gbit/s. Passend zu diesem hohen Datendurchsatz bringt die Serie erstmals auch Unterstützung für 40 Gbit/s (QSFP+) und 100 Gbit/s (QSFP28).