觀點 · 資訊分享

Azure Firewall 入侵防禦提速 2.2 倍：TLS 檢查加防禦模式最高 22 Gbps，單一連線翻倍

Azure 在 8 月 11 日宣布 Azure Firewall 的 IDPS 效能優化正式推出：Premium 在 TLS 檢查加 IDPS 拒絕模式下最高 22 Gbps（原 10 Gbps），單一 TCP 連線最高 600 Mbps（原 300 Mbps）。

一句話看懂：Azure Firewall Premium 的入侵偵測與防禦（IDPS）變快了：同時開 TLS 檢查與防禦模式，吞吐量最高到 22 Gbps（原本 10 Gbps），單一連線上限也從 300 Mbps 翻倍到 600 Mbps。

Azure Firewall IDPS 提速資訊圖卡：開 TLS 檢查加 IDPS 防禦模式，吞吐量從 10 提升到 22 Gbps

先用白話講：防火牆「檢查越細」為什麼會變慢？

想像機場安檢：只看護照最快；要開箱檢查行李就慢一點；如果還要拆開每個包裹逐一掃描，隊伍就會大排長龍。

Azure Firewall Premium 的兩個進階功能也是這樣：

功能越強，處理越吃力，吞吐量就會下降。這次的更新，就是讓「拆包裹加掃描」這條最慢的路線變快。

Azure 官方更新資訊在 8 月 11 日公布，Azure Firewall 的 IDPS 效能優化正式推出（GA）：

開著 TLS 檢查，並且 IDPS 為「拒絕（Deny）」模式時，Premium 的吞吐量最高到 22 Gbps，比原本的 10 Gbps 增加 120%
在 IDPS 開啟（警告或拒絕模式皆然）時，單一 TCP 連線的吞吐量最高到 600 Mbps，是原本 300 Mbps 的兩倍

下面是 Microsoft 文件（目前版本）列出的 Premium 效能，數字是當前文件的內容，不是公告當天的快照：

可以看到，「拒絕模式」是最吃資源的一檔，這次提升的就是它。

文件註明這些數字適用於「自動擴充最多 20 個實例」的情況；啟用預先擴充（prescaling）時最多可到 50 個實例，數字會不同
新部署一開始（尚未自動擴充）的 Premium 最大頻寬，文件寫的是最高 18 Gbps；平均吞吐量或 CPU 達 60%、或連線數用量達 80% 時才會逐步擴充，擴充需要 5 到 7 分鐘
單一連線的上限 600 Mbps 很重要：像大型檔案傳輸、資料庫備份這類單一長連線的流量，吞吐量是被單一連線限制住，不是整體頻寬
官方更新沒有提到要不要額外付費、哪些區域先支援，也沒說原本的設定需不需要變更；請看 Azure 定價頁與文件
升級前後建議用自己的流量實測，因為實際效能會依流量型態、規則數量與擴充狀況而不同

很多中小企業用 Azure 時，防火牆規則只開到基本款，因為「開 IDPS 與 TLS 檢查會變慢又變貴」。現在效能天花板拉高，等於讓「該開的安全功能」少了一個藉口。

不過我提醒兩件事。第一，TLS 檢查牽涉到憑證與隱私（員工的加密流量會被拆開看），要先跟客戶講清楚並取得同意。第二，IDPS 的「拒絕模式」誤判時會直接擋掉正常流量，建議先用警告模式觀察一陣子，確認誤判率低，再切到拒絕模式。

IDPS 和 TLS 檢查是什麼？

TLS 檢查是把加密流量解開檢查內容再重新加密，IDPS 是比對流量裡的攻擊特徵並警告或直接阻擋。兩者都是 Azure Firewall Premium 的進階功能，會讓防火牆處理更吃力。

我需要重新設定什麼嗎？

官方更新沒有說明需要變更設定。建議升級前後用自己的流量實測，因為實際效能依流量型態、規則數量與自動擴充狀況而不同。

IDPS 該選警告還是拒絕模式？

警告模式只記錄不擋，拒絕模式會直接阻擋。拒絕模式誤判時會擋掉正常流量，建議先用警告模式觀察一陣子，確認誤判率低再切換，這是一般建議，不是官方公告的內容。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。