Hardware a software firewall
Firewall je bezpečnostní komponenta, která řídí a filtruje síťový provoz na základě definovaných pravidel. Může být implementován jako hardware firewall (samostatné fyzické zařízení) nebo jako software firewall (program běžící na univerzálním operačním systému nebo přímo na chráněném hostiteli). Cílem tohoto článku je systematicky vysvětlit rozdíly mezi oběma přístupy, posoudit jejich výhody a omezení v různých scénářích nasazení a nabídnout doporučení pro výběr.
Co je hardware firewall
Hardware firewall je specializované síťové zařízení, které kombinuje dedikovaný hardware (CPU/NPUs/ASICy, síťové akcelerátory, kvalitní NIC) a proprietární či zpevněný (hardened) operační systém. Je navržen pro průtoky v řádech Gb/s až Tb/s, často s podporou vysoké dostupnosti a schopností provádět pokročilé inspekční a bezpečnostní funkce na hranici sítě.
Co je software firewall
Software firewall je aplikační komponenta instalovaná na obecný operační systém (např. Linux, BSD, Windows) nebo přímo na koncový stroj. Může běžet jako samostatná služba, virtuální appliance ve VM, cloudová instancí (IaaS) či sidecar v kontejnerové platformě. Často se používá pro host-based ochranu, mikrosegmentaci, laboratorní prostředí a flexibilní, rychle měnitelná nasazení.
Architektura a výkonnostní charakteristiky
- Hardware firewall: využívá dedikované akcelerátory (ASIC/NPU), SR-IOV, offload TLS/IPsec a vysokorychlostní sběrnice. Nízká latence, deterministické chování, line-rate inspekce i při zapnutých pokročilých funkcích.
- Software firewall: závislý na výkonu hostitelského CPU, scheduleru a síťových stacků (např. XDP/eBPF, DPDK pro akceleraci). Výkon je proměnlivý, ale moderní OS a techniky zero-copy dokáží dosáhnout velmi vysokých propustností.
Bezpečnostní model a povrch útoku
- Hardware: minimalizovaný OS, menší množství balíčků, jasně dané rozhraní. Menší attack surface, avšak závislost na dodavateli a cyklu oprav firmwaru.
- Software: širší attack surface daný obecností OS a instalovaným softwarem; naopak transparentnější zpráva zranitelností, rychlé záplaty z komunitních repozitářů, možnost nezávislého auditu konfigurace a kódu (u open-source řešení).
Tabulka srovnání
| Kritérium | Hardware firewall | Software firewall |
|---|---|---|
| Prostupnost a latence | Line-rate, nízká latence | Vyšší latence dle zátěže a OS |
| Škálování | Vertikální (výkonnější modely), klastrování HA | Horizontální (scale-out, více instancí/VM) |
| Odolnost a spolehlivost | Redundantní PSU, ventilátory, HA páry | Závislost na hostiteli/hypervizoru |
| Flexibilita a přizpůsobení | Pevně dané funkce, modulární licence | Vysoká flexibilita, skriptování, integrace |
| Opravy a aktualizace | Řízené, méně časté, vendor závislost | Časté, automatizovatelné, CI/CD |
| Náklady (TCO) | Vyšší CAPEX, předvídatelný OPEX | Nižší CAPEX, OPEX dle správy a hostingu |
| Viditelnost/telemetrie | Integrované reporty a exporty | Libovolné nástroje SIEM/ELK, eBPF sondy |
| Use-case | Perimetr, datacentra, WAN edge | Host-based, cloud VPC, mikrosegmentace |
Funkční výbava: L3–L7 a nadstavby
- Filtrace L3/L4: IP, porty, protokoly, stavové tabulky (stateful inspection) – podporují oba typy.
- L7/DPI: identifikace aplikací, kontrola TLS (dešifrovací proxy), pravidla podle obsahu; hardware appliance mívají více akcelerace a bohaté signatury, software může těžit z open-source motorů (např. IDS/IPS enginy) a rychlé aktualizace.
- IDS/IPS: prevence průniků, virtuální záplaty; hardware varianty často integrují IPS akcelerované ASICy, software využívá více CPU a může být modulárnější.
- VPN: IPsec/SSL terminace; hardware používá kryptografické offloady, software nabízí širší volbu protokolů a automatizaci (např. IKEv2, WireGuard, OpenVPN) v cloudu.
- NGFW funkce: sandboxing, reputace, URL filtry, CASB integrace; u software firewalů lze stejné funkce skládat z více komponent.
Nasazení v různých topologiích
- Perimetr organizace: hardware firewall jako primární brána s HA párem, policy enforcement na hraně.
- Datové centrum: hardware pro high-throughput north-south provoz; software/virtuální firewally pro east-west mikrosegmentaci mezi VM/kontejnery.
- Cloud (IaaS): software/virtuální appliance v rámci VPC/VNET, integrace s cloud security groups; škálování pomocí autoscaling skupin.
- Koncové stanice: host-based software firewall pro individuální kontrolu procesů, pravidel a politik EDR/XDR.
- Remote/branch: hardware SD-WAN/UTM s integrovaným firewallem, případně lehká software brána na edge.
Dostupnost, HA a obnovitelnost
Hardware firewally obvykle nabízí nativní HA mód (active/standby nebo active/active), synchronizaci stavů a bezvýpadkový upgrade. U software je nutné HA navrhnout pomocí technik hostitelské platformy (VRRP, ECMP, cloud load balancery, orchestrace), což zvyšuje flexibilitu, ale vyžaduje pečlivější návrh a testování.
Správa, automatizace a provoz
- Hardware: centralizované GUI/portal, předdefinované playbooky, role-based přístup; robustní, ale někdy méně otevřené API.
- Software: plná automatizace (Infrastructure as Code), GitOps, CI/CD pro policy; API-first přístup a integrace s devops nástroji.
Viditelnost, logování a forenzní analýza
Oba typy by měly exportovat NetFlow/IPFIX, Syslog, JSON/CEF do SIEM. Software firewally v hostech mohou nabídnout detailnější kontext procesu (PID, binárka, namespace), hardware zase pokročilé metriky průtoku a stavových tabulek na drátové rychlosti.
Bezpečnost TLS a dešifrování
Man-in-the-middle inspekce TLS je výpočetně náročná. Hardware poskytuje kryptografické akcelerátory a klíčové úschovy (HSM). Software spoléhá na CPU a knihovny (např. moderní TLS s podporou AES-NI/VAES), v cloudu lze škálovat horizontálně. Důležitá je správa certifikátů a respektování legislativy a soukromí.
Soulad s regulací a standardy
Pro sektory jako finance, zdravotnictví či veřejná správa je klíčové splnění požadavků ISO/IEC 27001, NIS2, GDPR a odvětvových směrnic. Hardware výrobci často dodávají certifikace (FIPS 140-2/3, Common Criteria). Software řešení může týchž cílů dosáhnout prokazatelnou konfigurací, auditními záznamy a řízením změn.
Náklady a TCO
- CAPEX: hardware zahrnuje cenu zařízení a licencí; software typicky nižší vstupní náklady (využití existující infrastruktury nebo pay-as-you-go v cloudu).
- OPEX: hardware mívá předvídatelnou podporu a údržbu; u software záleží na provozní disciplíně (záplaty, monitoring, škálování) a nákladech na cloud/hostitele.
- Nepřímé náklady: downtime, složitost provozu, dovednosti týmu a rychlost reakce na incidenty.
Bezpečnostní rizika a typické omyly
- Slepá víra v výkon: zapnutí DPI, IPS nebo TLS inspekce může dramaticky změnit propustnost; je nutné testovat reálné profily provozu.
- „Perimetr stačí“: moderní hrozby často obcházejí perimetr; host-based software firewall a mikrosegmentace jsou nezbytné doplňky.
- Statické politiky: bez kontinuálního logování, detekce anomálií a zpětné vazby se politika rychle stává zastaralou.
Výběrová kritéria a rozhodovací strom
- Požadavky na propustnost a latenci: potřebujete line-rate s TLS/IPS? Zvažte hardware s akcelerací.
- Topologie: perimetr DC/WAN vs. cloud/edge/host. Perimetr → hardware; cloud/host → software.
- Automatizace: potřebujete IaC, GitOps a rychlé verze? Software bude obvykle vhodnější.
- Certifikace a compliance: požadované normy mohou favorizovat konkrétní appliance.
- Rozpočtová omezení: porovnejte CAPEX/OPEX a náklad na dovednosti týmu.
- Životní cyklus: plán výměn, patch management, podpora výrobce či komunity.
Případové scénáře
- Střední podnik s jednou pobočkou: hardware UTM s HA párem na perimetru + host-based software firewall na stanicích.
- Cloud-native aplikace: software firewall jako virtuální appliance pro severo-jižní provoz a eBPF-based policy pro východ-západ v Kubernetes.
- ISP/operátor: high-throughput hardware s ASIC pro DDoS mitigaci a BGP flow-spec, doplněný o software sondy pro detailní telemetrii.
Metriky a benchmarky
Měřte nejen Gb/s, ale i počet současných relací, čas navázání TCP, latenci při 95./99. percentilu, propustnost při zapnutém IPS/TLS, efektivitu paměťových tabulek, dobu konvergence HA a rychlost obnovy po výpadku.
Doporučené provozní postupy
- Modelujte politiku „default deny“, segmentujte sítě a zavádějte nejnižší možná oprávnění.
- Oddělte management plane, logování posílejte do SIEM, používejte MFA pro administraci.
- Pravidelně testujte s reálnými vzorky provozu (pcap replay), provádějte chaos/DR testy HA.
- Version-control pro pravidla, peer review a automatizované lintování konfigurací.
Syntéza: kdy zvolit který typ
Hardware firewall volte, pokud priorituje stabilní line-rate výkon, nízkou latenci, vysokou dostupnost a certifikace na perimetru nebo ve WAN edge. Software firewall preferujte pro cloud-native prostředí, host-based ochranu, rychlé iterace politik, automatizaci a horizontální škálování. V praxi se osvědčuje kombinovaný model: hardware na hraně sítě, software v cloudu a na hostech pro detailní kontrolu a mikrosegmentaci.
Závěr
Rozdíl mezi hardware a software firewallem nespočívá pouze ve formě, ale v celém operačním a bezpečnostním modelu. Správná volba vychází z požadavků na výkon, architekturu prostředí, míru automatizace, regulatorní rámec a rozpočtová omezení. Nejvyšší úroveň bezpečnosti a provozní odolnosti obvykle přináší kombinace obou přístupů s jednotnou politikou, centrální orchestrací a průběžným měřením účinnosti bezpečnostních kontrol.
