Tìm hiểu cách các thiết bị dựa trên ASIC của Fortinet có thể giảm chi phí mỗi đơn vị và tiêu thụ điện trong khi các đăng ký và hỗ trợ đem lại giá trị định kỳ xuyên suốt vòng đời thiết bị.

Khi người ta nói “bảo mật dựa trên ASIC” trong ngữ cảnh Fortinet, họ đang nói đến một thiết bị bảo mật (như NGFW) sử dụng mạch chip chuyên dụng—Fortinet FortiASIC—để xử lý phần nặng của các tác vụ mạng và bảo mật.
Thay vì để CPU tổng quát làm mọi thứ, những con chip này tăng tốc các nhiệm vụ cụ thể như chuyển tiếp gói, mã hóa, kiểm tra và quản lý phiên. Mục tiêu thực tế rất rõ ràng: cung cấp băng thông dự đoán được và hiệu suất tường lửa tốt hơn trên mỗi watt ở một mức giá nhất định.
Các quyết định phần cứng ảnh hưởng trực tiếp đến ngân sách thực tế. Một thiết bị Fortinet dựa trên ASIC không được định giá như một máy chủ chung, bởi vì bạn đang mua một tổ hợp được tinh chỉnh gồm:
Gói này ảnh hưởng không chỉ đến hiệu suất, mà còn đến kinh tế thiết bị bảo mật—số tiền bạn trả ngay và những khoản bạn tránh phải trả sau này (điện năng, không gian rack, và chi phí thay thế khi bị thiếu kích thước).
Nửa còn lại của mô hình là giá trị liên tục: đăng ký và hỗ trợ. Hầu hết người mua không chỉ mua một hộp; họ mua cập nhật và bảo hành liên tục—thường là FortiGuard services (thông tin đe dọa, lọc, cập nhật) và FortiCare support (tùy chọn thay thế phần cứng, cập nhật phần mềm, hỗ trợ).
Bài này viết cho quản lý CNTT, nhóm tài chính và mua sắm cần giải thích (hoặc bảo vệ) lý do vì sao mô hình phần cứng cộng đăng ký vẫn có thể là lựa chọn hợp lý.
Bạn sẽ hiểu các yếu tố chi phí chính, đăng ký cung cấp những gì, cách suy nghĩ về TCO bảo mật mạng, và mẹo mua sắm thực tế để tránh bất ngờ khi gia hạn và lập kế hoạch vòng đời. Nếu cần quyết định nhanh, xem /blog/a-buyers-checklist-for-evaluating-asic-based-appliances.
Một ASIC (Application-Specific Integrated Circuit) là một chip máy tính được xây dựng để làm một vài công việc nhỏ rất tốt. Hãy nghĩ nó như một công cụ chuyên cho một nghề, thay vì một dụng cụ đa năng chung.
Một thiết bị bảo mật điển hình cũng có CPU chung (và đôi khi các thành phần tăng tốc khác). CPU linh hoạt: nó có thể chạy nhiều tính năng khác nhau, thay đổi hành vi qua cập nhật phần mềm, và xử lý các khối lượng công việc “lẻ”. Đổi lại là nó thường cần nhiều chu kỳ hơn—và nhiều điện năng hơn—khi bạn yêu cầu xử lý lưu lượng lớn với kiểm tra nâng cao.
Các gateway bảo mật dành nhiều thời gian cho công việc lặp lại, nặng về toán học. Nhiều bước đó phù hợp để thực hiện bằng phần cứng chức năng cố định:
Sự chuyên hóa này là lý do các nhà cung cấp nói về “hiệu suất trên watt” và băng thông ổn định khi bật tính năng bảo mật—ASIC được thiết kế để xử lý công việc đường dẫn gói phổ biến mà không phải liên tục đánh thức các lõi CPU chung.
Nên mong đợi:
Không nên mong đợi:
Kết luận thực tế: ASIC có thể làm cho “đường dẫn nhanh” thực sự nhanh, nhưng bạn vẫn cần xác thực lưu lượng thực tế—không chỉ các thông số trên tiêu đề.
Giá một thiết bị bảo mật không chỉ là “chi phí chip + biên lợi nhuận.” Đó là một chồng các thực tế sản xuất thông thường, cùng vài lựa chọn thiết kế quan trọng trong thiết bị mạng.
Ngay cả khi nhà cung cấp nhấn mạnh silicon tùy chỉnh (như FortiASIC), silicon chỉ là một phần của BOM. Một tường lửa điển hình còn bao gồm:
Những phần “không hào nhoáng” này thường chiếm chi phí nhiều hơn người ta nghĩ—đặc biệt khi tốc độ cổng tăng (10/25/40/100G) và khi yêu cầu nhiệt/điện tăng.
Thiết bị mạng không được lắp ráp như hàng điện tử tiêu dùng. Nhà cung cấp phải trả cho chuỗi cung ứng kiểm soát, kiểm tra nhà máy (burn-in, xác thực cổng, kiểm tra failover), chứng nhận tuân thủ và các phiên bản phần cứng liên tục.
Quy mô thay đổi cách tính: một nền tảng xuất xưởng với số lượng lớn có thể phân bổ chi phí kỹ thuật, dụng cụ và chứng nhận trên nhiều đơn vị, thường làm giảm chi phí trên mỗi thiết bị. Các lô nhỏ hoặc mẫu niche có thể trông “đắt” đơn giản vì ít đơn vị gánh chi phí cố định.
Silicon thiết kế riêng có thể di chuyển các khối lượng công việc bảo mật chung (chuyển tiếp gói, mã hóa, so khớp mẫu) hiệu quả hơn CPU chung. Khi thiết kế đó đạt được phân khúc khối lượng lớn, bạn có thể thấy thông lượng trên đồng tiền tốt hơn—và đôi khi yêu cầu điện và làm mát nhỏ hơn—so với một hộp chỉ dùng CPU.
Tuy vậy, nhớ rằng thiết bị không được định giá chỉ dựa trên silicon: cổng, bộ nhớ, nguồn và thiết kế cơ khí vẫn là các mục chi phí lớn dù bên trong có gì.
Khi một tường lửa chỉ được định kích thước bằng “Gbps trên bảng thông số,” dễ bỏ qua một giới hạn vận hành thực sự: watt. Công suất tiêu thụ ảnh hưởng đến hóa đơn hàng tháng, nhiệt lượng phải thoát ra và liệu một chi nhánh nhỏ có thể đặt thiết bị đó mà không nâng cấp hạ tầng hay không.
Một thiết bị hiệu quả hơn thường có nghĩa:
Với môi trường phân tán, những yếu tố này có thể quan trọng ngang với thông lượng thô vì chúng quyết định nơi bạn có thể triển khai—và chi phí để giữ nó hoạt động.
Trong thiết kế dựa trên ASIC, công việc xử lý gói lặp đi lặp lại có thể được xử lý bởi silicon chuyên dụng thay vì các lõi CPU chung. Thực tế, điều đó thường có nghĩa CPU ít thời gian bị “đóng băng” trong các giai đoạn bận, điều này có thể giảm:
Bạn không cần biết chi tiết chip để hưởng lợi—bạn đang tìm hiệu suất ổn định mà không biến điện và làm mát thành chi phí dự án ẩn.
Hỏi về dải hoạt động điển hình, không chỉ cực đại:
Nếu có thể, yêu cầu telemetry thực tế từ một thiết bị pilot—công suất, nhiệt độ và tốc độ quạt trong một tuần bình thường—để tuyên bố “hiệu suất trên watt” khớp với môi trường của bạn.
Mua một thiết bị dựa trên ASIC cho bạn một hộp nhanh, chuyên dụng. Các đăng ký giữ cho hộp đó cập nhật và hữu dụng trước các mối đe dọa mới, ứng dụng mới và yêu cầu mới. Thực tế, bạn đang trả cho yếu tố tươi mới—dữ liệu, cập nhật và chuyên môn thay đổi hàng ngày.
Thông tin đe dọa và dữ liệu bảo mật động (thường qua FortiGuard services). Bao gồm:
Cập nhật phần mềm định kỳ. Firmware và cập nhật nội dung xử lý lỗ hổng, cải thiện phát hiện và bổ sung tương thích. Ngay cả khi bạn không nâng cấp hàng tháng, có tùy chọn quan trọng khi một CVE nghiêm trọng xuất hiện.
Khả năng bảo mật mở rộng. Tùy gói, đăng ký có thể mở khóa các tính năng như sandboxing, bảo vệ mối đe dọa nâng cao, kiểm soát theo kiểu CASB, hoặc bảo mật DNS nâng cao. Phần cứng có thể làm được, nhưng đăng ký cung cấp dữ liệu liên tục đằng sau nó.
Cách đơn giản để phân tách:
Kẻ tấn công không đứng yên. Các engine kiểm tra của tường lửa chỉ hiệu quả bằng các chữ ký, danh tiếng và mô hình phát hiện mới nhất mà chúng tham chiếu. Đó là lý do phần "đăng ký" trong mô hình phần cứng cộng đăng ký không chỉ là một giấy phép—mà là luồng cập nhật liên tục giữ cho giả định trong hướng dẫn mua NGFW của bạn còn đúng sau sáu tháng.
Mua một thiết bị dựa trên ASIC hiếm khi là “chỉ cái hộp.” Hầu hết báo giá đóng gói ba thứ: phần cứng, gói dịch vụ bảo mật (thông tin đe dọa và lọc), và quyền lợi hỗ trợ. Gói là cách nhà cung cấp biến chi phí mua một lần thành chi phí vận hành có thể dự đoán—và cũng là nơi hai báo giá “tương tự” có thể khác nhau rất nhiều.
Các gói kiểu Fortinet thường gồm:
Bạn sẽ thấy các gói này bán theo “UTP”, “Enterprise” hoặc tên tương tự, với kỳ hạn 1, 3 hoặc 5 năm. Điểm then chốt: hai gói có thể đều gọi là “protection”, nhưng bao gồm các dịch vụ hoặc cấp hỗ trợ khác nhau.
Gia hạn thường là thời điểm tài chính và ưu tiên bảo mật va chạm. Gia hạn không chỉ là “giữ chữ ký”—nó thường là điều kiện để tiếp tục:
Vì phê duyệt có thể mất thời gian, hãy coi gia hạn như các cam kết cố định khác: đồng bộ chúng với lịch tài chính của bạn và tránh hết hạn bất ngờ khiến một vấn đề vận hành trở thành rủi ro gián đoạn kinh doanh.
Khi xem nhiều đề xuất, so sánh giống-qua-giống trên các mục:
Nếu muốn ít bất ngờ hơn về ngân sách, yêu cầu báo giá tách phần cứng là CapEx và đăng ký/hỗ trợ là OpEx, với ngày gia hạn được ghi rõ.
Tổng chi phí sở hữu (TCO) là con số duy nhất cho phép bạn so sánh một thiết bị tường lửa dựa trên ASIC với bất kỳ lựa chọn nào khác mà không bị phân tâm bởi các chiết khấu một lần hay "gói miễn phí". Bạn không cần đội tài chính—chỉ một cách nhất quán để tính chi phí.
Dùng các danh mục này và đừng bỏ qua các khoản nhỏ (chúng cộng lại trong vòng đời 3–5 năm):
Kích thước ảnh hưởng đến TCO nhiều hơn hầu hết các mục khác.
Một cân bằng thực tế: kích thước theo lưu lượng đo được hiện tại cộng một đệm tăng trưởng rõ ràng, và dự trữ ngân sách cho làm mới có kế hoạch thay vì cho khẩn cấp.
Điền thông tin từ báo giá và ước tính nội bộ của bạn:
Time horizon (years): ____
A) Hardware (one-time): $____
B) Subscriptions per year: $____ x ____ years = $____
C) Support per year: $____ x ____ years = $____
D) Power+cooling per year: $____ x ____ years = $____
E) Staff hours per year: ____ hrs x $____/hr x ____ years = $____
F) Planned refresh/migration (one-time): $____
TCO = A + B + C + D + E + F
Cost per Gbps (or per site) = TCO / ____
Khi có TCO, bạn có thể so sánh thiết bị theo những gì quan trọng: kết quả trên mỗi đồng, không chỉ giá mua.
Nếu bạn thấy mình lập lại bảng tính này cho mọi chu kỳ làm mới, có thể đáng để biến nó thành một công cụ nội bộ nhỏ (ví dụ, một web app nhẹ tiêu chuẩn hóa giả định và lưu báo giá). Các nền tảng như Koder.ai thiết kế cho quy trình “vibe-coding” này—nhóm có thể mô tả nhu cầu trong giao diện chat và sinh một app React + Go + PostgreSQL đơn giản với mã nguồn xuất ra, thay vì đưa một dự án dev đầy đủ qua quy trình lâu.
Một sai lầm mua sắm phổ biến là coi con số thông lượng lớn nhất trên datasheet là con số bạn sẽ có trong sản xuất. Với thiết bị bảo mật, “tốc độ” luôn có điều kiện: nó thay đổi dựa trên bảo vệ bạn bật, bao nhiêu lưu lượng được mã hóa, và đường dẫn mạng phức tạp thế nào.
Hầu hết nhà cung cấp công bố nhiều con số thông lượng (firewall, IPS, NGFW, threat protection). Đó không phải chiêu quảng cáo—chúng phản ánh công việc thực sự thiết bị phải làm.
Các tính năng thường làm giảm thông lượng thực tế gồm:
Cách tiếp cận Fortinet với FortiASIC có thể giúp giữ hiệu suất ổn định hơn dưới tải, nhưng bạn vẫn cần kích thước cho tập tính năng bạn thực sự sẽ chạy, không phải cái bạn hy vọng bật “sau này.”
Lập kế hoạch công suất quanh những yếu tố thay đổi nhanh nhất:
Quy tắc thực tế: mua đủ dư địa để lưu lượng đỉnh thường không đẩy thiết bị gần giới hạn. Khi một hộp chạy nóng, bạn buộc phải tắt các bảo vệ để giữ hoạt động—điều đó là đánh đổi sai.
“Kích thước đúng” phụ thuộc vào hậu quả khi xảy ra thất bại đối với bạn.
Nếu thời gian hoạt động và kiểm soát bảo mật liên tục là không thể thương lượng, hãy kích thước để giữ đầy đủ kiểm tra ngay cả khi đỉnh. Nếu bạn có thể chấp nhận giảm tính năng tạm thời, bạn có thể kích thước gần hơn mức tải trung bình—nhưng hãy ghi rõ quyết định đó và tài liệu hóa tính năng nào sẽ bị giảm trước.
Khi so sánh mẫu, yêu cầu hướng dẫn kích thước dùng hỗn hợp lưu lượng của bạn và xác thực giả định bằng pilot hoặc snapshot lưu lượng thực tế.
Mua một thiết bị tường lửa dựa trên ASIC không phải là sự kiện một lần. Giá trị bạn nhận theo thời gian phụ thuộc vào cách bạn lập kế hoạch toàn bộ vòng đời—đặc biệt là gia hạn, cập nhật và lúc quyết định làm mới.
Phần lớn tổ chức đi qua chuỗi sau:
Một tư duy hữu ích: phần cứng là nền tảng; đăng ký và hỗ trợ giữ cho nó cập nhật và an toàn khi vận hành.
Hợp đồng hỗ trợ và dịch vụ bảo mật đôi khi bị coi là phụ, nhưng chúng ảnh hưởng trực tiếp đến tính ổn định vận hành:
Nếu bạn để hợp đồng hết hạn, bạn không chỉ mất "phần thêm"—bạn có thể mất luồng cập nhật liên tục và khả năng nhận hỗ trợ kịp thời khi có sự cố.
Vấn đề vòng đời thường là vấn đề giấy tờ. Ghi lại một bộ chi tiết nhỏ khi thiết bị được mua và triển khai, rồi giữ cho chúng luôn cập nhật:
Tài liệu này biến gia hạn thành bảo trì định kỳ thay vì chạy đua khi dịch vụ hết hạn.
Bắt đầu lập kế hoạch làm mới khi thấy các tín hiệu: thông lượng bền bỉ gần giới hạn, nhiều lưu lượng mã hóa hơn dự tính, nhiều site mới, hoặc tăng chính sách khiến quản lý khó.
Mục tiêu là đánh giá thay thế trước ngày hết hỗ trợ. Điều này cho bạn thời gian thử nghiệm di chuyển, lên lịch downtime và tránh chi phí vận chuyển khẩn cấp hoặc dịch vụ chuyên nghiệp vội.
Thiết bị bảo mật dựa trên ASIC có thể cho cảm giác tốt nhất của hai thế giới: phần cứng dự đoán được, thông lượng cao và ngăn xếp phần mềm tích hợp chặt chẽ. Sự tích hợp này cũng là nơi hầu hết các đánh đổi tồn tại.
Khi một nhà cung cấp thiết kế cả phần cứng và đường dữ liệu tăng tốc, bạn thường có sizing đơn giản hơn, ít nút tinh chỉnh hơn và hành vi “nó hoạt động” tốt hơn dưới tải.
Giá phải trả là tính linh hoạt. Bạn đang cam kết theo một cách nhất định để làm kiểm tra, ghi log và cung cấp tính năng. Nếu chiến lược của bạn là “chuẩn hóa trên x86 commodity và đổi nhà cung cấp mà không cần thiết lại vận hành,” thiết bị ASIC có thể làm điều đó khó hơn—đặc biệt khi bạn đã xây playbook, báo cáo và kỹ năng nhân sự xoay quanh một hệ sinh thái.
Nhiều bảo vệ người ta mong đợi từ NGFW dựa trên đăng ký (thông tin đe dọa, chữ ký IPS, danh mục lọc URL, sandboxing, v.v.). Nếu đăng ký hết hạn, bạn có thể vẫn giữ được routing và firewall cơ bản, nhưng mất các bảo vệ quan trọng—đôi khi một cách thầm lặng.
Một số biện pháp giảm thiểu không cần làm anh hùng:
Một rủi ro khác là giả định khả năng là “có sẵn trong hộp” vì phần cứng có thể xử lý nó. Thực tế, tính năng nâng cao có thể bị khóa sau các gói, cấp hoặc giấy phép theo đơn vị. Gia hạn cũng có thể tăng nếu mua ban đầu có giá khuyến mại, giảm giá nhiều năm, hoặc gói không gia hạn như bạn mong.
Để giảm bất ngờ:
Trước khi cam kết rộng, chạy triển khai theo giai đoạn: pilot một site, xác thực lưu lượng thực tế, kiểm tra khối lượng ghi log, và thử các tính năng bắt buộc. Đặt tiêu chí thoát ngay từ đầu (ngưỡng hiệu suất, nhu cầu báo cáo, yêu cầu tích hợp) để bạn có thể đổi hướng sớm nếu không phù hợp.
Mua một thiết bị bảo mật dựa trên ASIC (như các mẫu dùng FortiASIC của Fortinet) không phải chạy theo con số lớn nhất mà là khớp khối lượng công việc thực, rủi ro thực và cam kết gia hạn thực.
Bắt đầu bằng một kiểm kê bằng ngôn ngữ đơn giản:
Xem đây là mua chung, không chỉ quyết định của bộ phận bảo mật:
Nền tảng ASIC tốt nên giữ ổn định dưới tải, nhưng xác minh:
Chạy pilot ngắn với tiêu chí thành công, xây ma trận so sánh đơn giản (tính năng, thông lượng khi bật dịch vụ, điện, hỗ trợ), và tạo lịch gia hạn ngay từ ngày đầu.
Nếu cần một baseline ngân sách, xem /pricing. Để đọc thêm, tham khảo /blog.