SIZING
Choisissez la bonne machine pour le déploiement, pas pour la fiche technique.
Le débit de Zedmos est dominé par le score CPU monothread, la prise en charge du chemin rapide par la carte réseau et la part de la chaîne d'inspection activée. Voici la gamme de matériel que nous recommandons par taille de déploiement — dérivée du profil de coût du moteur par mode, pas d'un banc d'essai contrôlé.
PALIERS RECOMMANDÉS
Gammes de matériel par taille de déploiement
Chaque palier suppose que Zedmos est la seule charge gourmande sur la machine. Prévoyez de la marge pour les services cohébergés (Suricata, agents d'expédition de journaux, piles d'observabilité).
Très petit bureau / laboratoire personnel
soho
Appareils actifs
Jusqu'à 50 appareils actifs
Bande passante WAN
Jusqu'à 200 Mbps de WAN
NIC
2,5 GbE, igc(4)
CPU
Classe Intel N100 / J4125, 4 cœurs, bon score monothread
RAM
4 GB
Disque
120 GB SSD
Petit bureau
small
Appareils actifs
50 à 250 appareils actifs
Bande passante WAN
200 à 500 Mbps de WAN
NIC
2,5 GbE multi-files, igc(4)
CPU
Intel i3 / Xeon E-23xx, 4 à 6 cœurs
RAM
8 GB
Disque
240 GB SSD
Agence
branch
Appareils actifs
250 à 1000 appareils actifs
Bande passante WAN
500 Mbps à 1 Gbps de WAN
NIC
2,5 GbE multi-files ou 10 GbE, igc(4) / ix(4)
CPU
Intel i5 / Xeon E-24xx, 6 à 8 cœurs
RAM
16 GB
Disque
480 GB SSD
Marché intermédiaire
midmarket
Appareils actifs
1000 à 2500 appareils actifs
Bande passante WAN
1 à 2 Gbps de WAN
NIC
10 GbE multi-files, ixl(4)
CPU
Intel Xeon Silver / Gold, 8 à 12 cœurs
RAM
32 GB
Disque
960 GB NVMe
Hub / concentrateur SD-WAN
hub
Appareils actifs
Plus de 2500 appareils actifs
Bande passante WAN
2 à 5 Gbps de WAN
NIC
10/25 GbE multi-files, ixl(4) ou mlx5(4)
CPU
Intel Xeon Gold / AMD EPYC, 16 cœurs ou plus
RAM
64 GB
Disque
1.92 TB NVMe
Pourquoi pas de tableau Gbps / latence ?
Le débit DPI dépend du mélange de trafic (HTTPS, QUIC ou transfert massif), du déchargement de la carte réseau (LRO, somme de contrôle, files RSS) et du score CPU monothread. Un chiffre synthétique de saturation UDP à 64 octets ne vous dit rien du comportement de la machine sur du trafic réel. Choisissez ci-dessous le palier correspondant à votre nombre d'appareils actifs et à votre bande passante WAN, puis validez par une écoute réelle de 24 heures avant de passer en ligne.
COMMENT DIMENSIONNER
Ce qui change vraiment la donne
Le score monothread plutôt que le nombre de cœurs
La chaîne de paquets tourne sur des processus épinglés à chaque file de la carte réseau. Pour du DPI en ligne, un CPU à 4 cœurs avec un bon score monothread devance une puce à 12 cœurs à faible fréquence par cœur.
Choisissez une carte réseau prise en charge par le chemin rapide FreeBSD
Les Intel em(4), igb(4), ix(4) et ixl(4) disposent de pilotes natifs pour le chemin rapide. Les puces 1 GbE Realtek et Broadcom fonctionnent, mais coûtent du débit et ajoutent de la gigue en charge.
L'inspection TLS / SNI augmente le coût CPU
Activer l'inspection de la négociation TLS pour la catégorisation et l'application des politiques ajoute environ 30 à 40 % de CPU par session active. Montez d'un palier si l'inspection TLS est active par défaut.
Le plan de journalisation a besoin de sa propre RAM
Les chiffres de RAM ci-dessus couvrent le moteur et le plan de contrôle. Si vous hébergez le magasin de journaux (Elasticsearch, ClickHouse) sur la même machine, ajoutez 8 à 16 Go et placez le volume des journaux sur un NVMe séparé.
VALIDER AVANT DE PASSER EN LIGNE
Faites-le tourner sur votre trafic, pas sur le nôtre
Déployez en mode observation passive sur un port SPAN pendant 24 heures. Surveillez le CPU des processus du moteur à votre vrai pic. S'il vous reste de la marge sur un seul cœur à l'heure la plus chargée, vous avez de la marge pour le mode en ligne. Sinon, montez d'un palier avant de ponter ou de router au travers.