网络里串了一台防火墙之后网速明显变慢，是性能不够还是配置不对？

先给判断框架：串入防火墙后变慢，原因无非两轴——设备性能撑不住实际流量，或者配置把流量拖在了检测和处理上。先做归因，再动手，别一来就换设备。

第一步：量出基线

找两个测点：一个在防火墙内侧，一个在外侧，同一时段分别测速对比。差距悬殊才说明瓶颈在防火墙这一段；内外侧差不多但都比接入前慢，问题可能在链路其他环节。测速注意用有线终端、避开业务高峰，无线测速会把变量搅进来。有条件的话把测试分早、中、晚三个时段各做一轮，业务高峰才变慢的，优先怀疑会话数和检测负载；全天都慢的，先查接口协商。

性能轴：三个常见瓶颈

一是吞吐规格与实际流量不匹配。设备标称吞吐是不开安全功能的裸转发值，一旦开启内容过滤、入侵检测、流量控制，实际吞吐会明显缩水。全公司流量都压在一台入门设备上，开启深度检测后必然吃紧。

二是并发会话数不够。办公网里每台电脑动辄几十条并发连接，会话表满了之后新连接排队，表现为网页迟迟打不开、下载断续。在设备管理界面看会话数占用，接近上限就是瓶颈实锤。

三是小包转发能力。标称吞吐按大包测出，实际办公流量里小包占比高，小包转发率不足的设备在聊天、网页场景先露出卡顿。

配置轴：四个常见拖累

一是检测策略过宽：对所有流量全量做深度检测，而办公流量里大半是不必逐字节查的信任流量。按对象收敛检测范围，把大流量、高信任的类别放行直转，把检测火力集中在进出互联网的敏感方向。

二是日志全量记录：每条连接都写日志，存储压力和 CPU 都被拖住。按策略分级记录，常规放行流量记摘要即可。

三是接口协商问题：串入设备后接口协商在百兆或半双工上，链路从源头就窄了。看接口协商状态，必要时手工定速。

四是 MTU 与分片：开启了隧道或封装后没调 MTU，大包反复分片重传，下载速度上不去。

一条实患排查路径

顺序建议：看接口协商和错包计数，排除链路面；看 CPU 和会话占用，确认性能面；再看策略命中排行，把全量检测的策略改成分对象检测；改完复测对比。多数"变慢"的案子走到第三步就见好，真正要换设备的，是 CPU 长期满载、规格确实够不上的那类。

贵州诚鑫致达科技给客户排查防火墙变慢问题时，习惯先归因再动手，配置能解决的绝不推给换设备，确实规格不够的给出扩容依据，账算清楚了再花钱。

企业存储选型参考｜贵州诚鑫致达

老机型数据迁移与扩容（DS218+/DS420+/DS3622xs+ 等），群晖机型参考：可衔接 SA3410 · UC3400 · RS2423RP+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。毕节、铜仁：企业数据备份容灾与网络建设维护。