Check Point Quantum 系列选型指南：从出口带宽到型号匹配

面向正在做防火墙换代或新建出口的企业 IT 团队。本文不讲参数堆砌，讲怎么从自己的网络现状反推到型号。 文中性能数据来自 Check Point 官方 Appliance Comparison Chart（2026 年 2 月版，Enterprise Testing Conditions）。

一、选型的第一步不是看型号表，是量自己的出口

绝大多数选型失败，不是因为买错了型号，而是因为拿了一个"够用"的带宽数字去匹配，结果开了安全功能之后吞吐掉到只剩三分之一。

官方参数表里，同一个型号会列出三个吞吐数字，含义完全不同：

以 Quantum 3980 为例：防火墙吞吐 40 Gbps，NGFW 吞吐 20 Gbps，威胁防御吞吐 7 Gbps。三者差近 6 倍。

所以选型的第一件事，是确认业务需要哪一档防护，而不是先看带宽。**

二、四条产品线，先选线再选型

Quantum 按部署形态和规模分四块，选型顺序是"先定形态，再定量级"。下表同时给出 Check Point 官方订货号（SKU），命名规则为 `CPAP-SG<型号>-SNBT`，其中 SNBT 指 Base 配置含 1 年 SandBlast 订阅；不同订阅年限与配置组合对应不同后缀，下单前请以官方最新资料核对。

1. SPARK 系列（SMB / 小型分支）

2530 / 2550 / 2560 / 2570 / 2580 / 2590，桌面型或 1U，吞吐以 Mbps 计：

2. 分支系列（3920 / 3950 / 3970 / 3980）

桌面型或 1U，面向门店、办事处、小型园区：

注意 3970 与 3950 的定位差异：3950 的威胁防御更高（5.5 vs 4.25），但 3970 的防火墙转发能力翻倍（40 vs 20）、并发会话从 2.75M 提到 7.2M，且是 1U 机架式。分支要"防护深度"选 3950，要"转发能力和会话容量"选 3970。

3. Perimeter 系列（9100 / 9200 / 9300 / 9400）

面向园区与中型数据中心边界：

4. 数据中心与 FORCE 系列（9700 / 9800 / 19100 / 19200 / 29100 / 29200）

9700 与 9800 还支持 Maestro 集群扩展（NGTP 分别可扩至 249 Gbps / 300 Gbps），19100–29200 的 Maestro 上限从 432 Gbps 到 952.5 Gbps。

虚拟化与云（VSX / CloudGuard）

自有虚拟化平台（VMware / Hyper-V / KVM）上用 VSX，把多租户、多分支整合到一套硬件；业务已在 AWS / Azure / GCP 上则选 CloudGuard 部署 NGFW 实例，省去虚拟化层运维。

三、三个吞吐数字的比例关系（选型核心）

从官方数据可以算出稳定规律，这是本文最实用的部分：

两个可执行的结论：

1. 防火墙吞吐通常是 NGFW 吞吐的 2–3 倍。 拿防火墙吞吐去对出口带宽，会把设备买小一半以上。

2. 威胁防御吞吐通常只有 NGFW 吞吐的 34%–45%。 高危行业（金融、政府、医疗）如果要求全功能含 SandBlast，基准要按这个比例折算。

3. 如果流量以加密为主，还要再降一档。 官方另有一组 HTTP/TLS Inspection Performance 数据，同样开启威胁防御时，3980 只有 2.1 Gbps（NGFW 的 10.5%），9700 只有 9.6 Gbps（16.7%）。TLS 解密检测是性能消耗大户，选型时必须确认流量加密比例。

四、七个维度，逐条核对再定稿

参数表之外，下面这几条往往才是决定成败的地方：

1. 吞吐预留

按 NGFW 吞吐选型时建议预留 20%–30% 余量应对峰值。出口跑满的时候，安全功能不能临时关掉。

2. 威胁防御档位

先确认要不要 SandBlast。要，就按威胁防御吞吐重新算；不要，NGFW 吞吐即可。这一项通常决定跨一个甚至两个档位。

3. 加密流量比例

TLS 解密检测会把威胁防御吞吐再压到 10%–17% 区间。金融、医疗等加密比例高的行业必须单独核算。

4. 并发会话与每秒新建

除了看总连接数，还要关注每秒新建连接数（Connections Per Second）——突发流量下新建能力比存量更先触顶。

5. 部署形态

桌面型不需要机房条件，适合门店；1U/2U 需要机柜和冗余供电。分支场景把总部型号下沉，往往带来供电、散热、空间和运维四类新问题。

6. 高可用与集群

关键业务配双机集群（ClusterXL）；中大型环境可评估 Maestro 集群扩展，9700 以上型号均支持。

7. 扩容规划

订阅授权支持升级，硬件按 3–5 年业务增长考虑。分支场景尤其如此——换一台分支设备的成本远高于买高一个档位。

五、三个常见误区

误区一：用防火墙吞吐做选型基准。

官方表里防火墙吞吐是理想值，与 NGFW 吞吐差 2–3 倍。拿 40 Gbps 的防火墙吞吐去对 30 Gbps 出口，实际开启应用控制和 IPS 后会被打满。

误区二：只看威胁防御吞吐，忽略加密检测。

普通流量下威胁防御是 NGFW 的 34%–45%，但全加密流量下只有 10%–17%。两个场景差 3 倍以上，混在一起算必然出错。

误区三：只看硬件不看订阅结构。

同一台硬件配不同等级的订阅包，采购价和三年总成本可能差出数倍。选型阶段就该把授权结构和续保方式一并确认，而不是等硬件到位再谈。

六、FAQ

Q：Quantum 3920、3950、3970、3980 怎么快速区分？

A：按威胁防御吞吐最直接——3.2 Gbps（3920，桌面）、5.5 Gbps（3950，桌面）、4.25 Gbps（3970，1U）、7 Gbps（3980，1U）。注意 3970 的威胁防御比 3950 低，但防火墙转发翻倍、并发会话从 2.75M 提到 7.2M，适合"要容量不要深度"的分支。

Q：9100 / 9200 / 9300 / 9400 怎么选？

A：四款都是 1U Perimeter 定位。威胁防御从 6.5 Gbps（9100）到 14 Gbps（9400）线性递增，NGFW 从 18.6 到 33.3 Gbps。按出口带宽和防护档位对号入座即可，9400 已接近 9700 的一半性能，预算紧时可作过渡选择。

Q：9700 和 9800 差在哪？

A：9800 的威胁防御 25 Gbps vs 9700 的 20 Gbps，NGFW 67.7 vs 57.6，防火墙 185 vs 129，每秒新建 715K vs 535K。并发会话上限 9800 略高（7M vs 6.5M 起步档）。Maestro 扩展上限 300 vs 249 Gbps。

Q：19100、29100 和 19200、29200 是什么关系？

A：同代产品的高低配套——19100/29100 为基准档，19200/29200 为高配档。以 FORCE 系列为例，29100 威胁防御 60 Gbps、29200 为 75 Gbps；29100 防火墙 365 Gbps、29200 为 500 Gbps。全部为 2U，支持 Maestro 集群扩展至数百 Gbps 级。

Q：小型门店该选 SPARK 还是 3920？

A：看吞吐量级。SPARK 2530–2550 的 NGFW 只有 1.2–1.6 Gbps，适合 10 人以内门店；3920 的 NGFW 是 7.8 Gbps，适合几十到上百人的分支办事处。两者形态都是桌面型，但 3920 的防护能力高一个量级。

文中性能数据来自 Check Point 官方 Appliance Comparison Chart（2026 年 2 月版），Enterprise Testing Conditions。实际性能受网络架构、策略复杂度与流量模型影响，产品参数及供应情况请以 Check Point 最新官方资料和实际报价方案为准。*

VISBAT 维思贝特提供 Check Point 产品的选型咨询、报价、部署实施及后续技术支持，400-833-4546 · [email protected]*