防火墙吞吐量怎么看：网络层、应用层、全威胁的三个数字游戏

招标文件里写「吞吐量≥10Gbps」，三家来投标的设备实际性能可能相差 5 倍。原因不是虚标，而是吞吐量有三个口径，写需求的人往往没写清是哪一个。

一、三个吞吐口径，数字通常差一个数量级

以某厂商公开数据为例：应用层 9Gbps 的型号，全威胁只有 1Gbps。

所以看到一个「20Gbps」的防火墙先别激动，问一句：这个数字是开启全威胁防护后的吗？ 如果对方答不上来，按 1/8 折算是比较稳的保守估计。

二、并发连接与新建连接：两个不同的瓶颈

并发连接数决定能同时挂多少会话，主要看内网终端数和长连接业务（数据库连接池、视频流、API 长轮询）。新建连接数（CPS） 决定每秒能接多少新请求，短连接业务、爬虫、压测、突发秒杀都打这个指标。

• 办公网：每终端按 100～200 并发连接估，新建按每终端 5～10 次/秒估
• 对外 Web 业务：新建连接是硬瓶颈，一个 PV 可能产生多次新建，按峰值 QPS × 3～5 估算
• 视频会议 / 直播出口：并发连接不多但单连接带宽大，看吞吐而不是连接数
• 被 DDoS 时：攻击流量先打满新建连接，这时候 CPS 低的设备会先「假死」

三、按出口带宽反推型号：一个可落地的算法

1. 算出峰值出口带宽：取近 3 个月 95 计费值，或运营商会给的承诺带宽
2. 确定安全功能开启清单：IPS 必开；AV 按是否需要；应用识别按是否要做带宽管理
3. 全威胁吞吐 ≥ 峰值带宽 × 1.5；若 AV + IPS 全开，按 × 2 选
4. 并发连接 ≥ 终端数 × 200；新建连接 ≥ 峰值 QPS × 5
5. 核对接口：出口一般 2～4 个万兆光口，内网核心至少 2 个万兆；接口数量不够比性能不够更常见
6. 确认双机热备：主备要同型号，主主（负载分担）要同型号且会话同步许可

四、信创型号要单独看平台

同一款产品的信创版本（飞腾 / 鲲鹏 / 海光 + 麒麟）性能通常只有 x86 版本的 1/3～1/2，价格却相近。如果项目强制信创，必须用信创型号自己的参数表做定档，不能拿 x86 型号的数字套。

举一个真实例子：某厂商 NSG4900-TG45 是 20Gbps 网络层 / 15Gbps 应用层，而同系列信创型号 NSG3300-5680-F 走飞腾 D2000 + 银河麒麟，参数表重点是并发与新建（3000 万并发 / 70 万新建），吞吐口径完全不同——直接比吞吐会得出错误结论。

五、云 WAF、硬件 WAF 与防火墙不是一回事

对外提供 Web 服务的单位，防火墙之外通常还要 WAF。硬件 WAF 看 HTTP 吞吐 / HTTP 并发 / HTTP 新建（例如 6～10Gbps、30～50 万并发）；云 WAF 则按 QPS 峰值 和可接入域名数卖规格（10 / 2000 / 5000 / 10000 QPS 分档）。拿云 WAF 的 QPS 去和硬件 WAF 的吞吐比，等于拿公斤比米。

本站可对比的型号

深 深信服下一代防火墙深信服 · 安全 全威胁吞吐量1Gbps网络层吞吐量4–35Gbps应用层吞吐量9Gbps 参数 → 奇 网神下一代防火墙奇安信 · 安全 网络层吞吐量20Gbps应用层吞吐量15Gbps并发连接700万/ 3000万 参数 → 天 天融信NGFW®下一代防火墙系统天融信 · 安全 全威胁吞吐量200Gbps网络层吞吐量6Gbps并发连接2亿 参数 →

三款均为政采或厂商彩页公开过完整参数的型号。注意天融信一列的 200Gbps 是擎天Ⅵ 高端机架，NGFW4000-UF 只有 6Gbps 网络层——同品牌不同系列不可混比。

延伸阅读：网络安全品类页（含 WAF 与防火墙）、等保三级要买哪些设备。