Palo Alto Networks PA-5000-Serie Enterprise-NGFW Wartung
im Direktvergleich.

Ältere Generation (PA-5020/5050/5060)

PA-5020 (5 Gbps Throughput) · PA-5050 (10 Gbps) · PA-5060 (20 Gbps) · 2 RU Chassis · 4×10G SFP+ + 12×1G SFP

Neuere Generation (PA-5220/5250/5260)

PA-5220 (18 Gbps) · PA-5250 (35 Gbps) · PA-5260 (72 Gbps) · 2 RU Chassis · 4×40/100G QSFP+ + 16×10G SFP+ + 8×1G

Power-Supplies & Fans

Hot-Swap AC-PSUs (650W für PA-5020-Serie, 1100W für PA-5220-Serie) · Hot-Swap Fan-Module · DC-Power-Optionen für Carrier-Umgebungen

Storage & Console

Internal Hard-Drives (SSD für Log-Storage) · Front-Panel-LCD-Display · Console-Port (RJ-45 / USB)

Transceiver

10GBase-SR/LR/LRM SFP+ · 1000Base-LX/SX SFP · 40GBase-SR4/LR4 QSFP+ · 100GBase-LR4 QSFP28 · PAN-zertifizierte Twinax-Kabel

EOSL-Status der PA-5000-Generationen

• Datacenter-NGFW-Throughput (40/100GbE Backbone) bei PA-5000-Serie ist proprietaer-tuned — TPM-Spare-Pool mit korrekten ASIC-Modulen.
• Threat-Intel-Subscriptions (Threat Prevention, WildFire) bleiben PaloAlto-Kanal — TPM uebernimmt nur Hardware-Layer.
• HA-Pair + Cluster-Mode (PA-5000 Active/Active) muss synchron sein — TPM-Spares mit Build-of-Materials-Match.
• Verschleissteile (PSU, Fan-Tray, NIC) bei 5+ Jahre alten 5000-Generationen sind kritisch — TPM-Spare-Pool DACH-Hub statt 7-10 Tage PaloAlto-RMA.
• PaloAlto Premium-Service fuer Datacenter ist hochpreisig (24×7×2 typisch) — TPM-Pendant typisch 35-45% guenstiger.

Palo Alto Networks hat PA-5020, PA-5050 und PA-5060 (ältere Generation) in EOSL überführt — Premium-Support-Verlängerung wird oft nicht mehr angeboten oder ist im Preis stark erhöht. PA-5220/5250/5260 sind in finaler Support-Phase; mit dem Push auf PA-5400-Serie und PA-7000-Chassis-Plattform werden Wartungs-Verträge teurer. Gleichzeitig ist die PA-5000-Linie in DACH-Bank-Internet-Gateways und Telco-Carrier-Edges als validierte Security-Plattform eingeplant — Refresh ist 12-24 Monate Projekt mit Policy-Migration.

Wir halten PA-5020, PA-5050, PA-5060 (ältere Gen) sowie PA-5220, PA-5250, PA-5260 (neuere Gen) Chassis-Komponenten vor: Power-Supplies (650W und 1100W), Fan-Module, Internal SSDs, Mainboards (bei Bedarf) und alle gängigen PAN-zertifizierten 10G-/40G-/100G-Transceiver. PAN-OS bleibt voll funktional — App-ID, User-ID, Content-ID, Threat Prevention und URL-Filtering laufen unverändert. Bei kritischen Production-NGFWs in HA-Konfiguration empfehlen wir 24×7×4 mit Spare-PSU- und Spare-SSD-Vorhaltung.

Die vollständige OEM-vs-TPM-Matrix (Ersatzteile, SLA-Stufen, Sprache, Sub-Outsourcing, Compliance-Doku, Reporting) gilt für alle Palo Alto Networks-Linien gleich — siehe Palo Alto Networks-Battle-Card.

BAIT-/MaRisk-Doku-Paket, DORA-Art.-28-Vertragstemplate, ISO 27001 und DSGVO-konformes Datenträger-Handling gelten für alle Palo Alto Networks-Linien gleich — Details auf der Palo Alto Networks-Battle-Card.

1. Datacenter-NGFW-Inventur Geraete-Liste + PAN-OS-Version + Throughput-Profile + HA-Konfig aus Panorama exportieren.
2. Quote in 48 h Festpreis pro Generation (PA-5000 legacy / PA-5200 / PA-5400). Throughput-Tier (10/40/100 GbE) als SLA-Anhang.
3. Vertrag + Threat-Sub-Trennung Vertrag separiert Hardware-Wartung (TPM) von Threat-Sub (PaloAlto direkt). BAIT/MaRisk fuer Datacenter-Critical.
4. Hand-Over + ASIC/PSU-Spares PaloAlto-Service-Kuendigung in Abstimmung, ASIC-Modul + PSU + Drive-Spares im DACH-Hub mit 5000-Series-Generations-Kompatibilitaet.

Welche PA-5000-Modelle warten Sie?

Komplette PA-5000-Familie: Ältere Generation PA-5020 (5 Gbps), PA-5050 (10 Gbps), PA-5060 (20 Gbps) und neuere Generation PA-5220 (18 Gbps), PA-5250 (35 Gbps), PA-5260 (72 Gbps). Alle Chassis-Komponenten: Power-Supplies (650W AC für ältere Gen, 1100W AC für neuere), Fan-Module, Internal SSDs, Mainboards. Plus PAN-zertifizierte 10G/40G/100G-Transceiver.

Was kostet TPM für PA-5000 im Vergleich zu Palo Alto Premium Support?

Für ein HA-Pair PA-5250 mit 24×7×4-Vertrag liegt TechCare rund 60 % unter dem Preis von Palo Alto Premium Support. Bei PA-5060 oder PA-5050 (bereits EOSL) verlängert PAN nicht mehr — TPM ist die einzige Option, mit Festpreis pro Pärchen und Jahr.

PAN-OS und App-ID/Threat Prevention bleiben funktional?

PAN-OS-Software und Core-Features (App-ID, User-ID, Content-ID, SSL-Decryption, URL-Filtering, GlobalProtect-VPN) bleiben voll funktional ohne aktiven PAN-Support-Vertrag. WICHTIG: Aktive Threat-Signature-Updates (Application Signatures, Anti-Virus, Vulnerability, URL-Categories) erfordern aktive PAN-Subscriptions — diese sind separat von der Hardware-Wartung. Bei kritischen Internet-Gateways empfehlen wir Subscription-Verträge weiter zu laufen (TechCare hilft bei Beratung), Hardware-Wartung übernimmt TechCare zum TPM-Tarif.

HA-Pair-Konfiguration mit gemischten Generationen möglich?

Begrenzt — PAN-OS unterstützt HA-Pair NUR mit identischen Hardware-Modellen (z. B. PA-5220 + PA-5220, nicht PA-5060 + PA-5220). Bei Hardware-Migration empfehlen wir gestaffeltes HA-Pair-Refresh: erst beide Geräte parallel laufen lassen, dann Switchover. Wir halten gleiche Modelle in Spare-Pools, um Box-Defekte im HA-Pair zu kompensieren ohne dass HA-Schutz wegfällt.

Können wir während TPM-Wartung zu PA-5400 oder PA-7000 migrieren?

Ja. PA-5400-Serie (PA-5410/5420/5430/5440/5450) ist der direkte Nachfolger der PA-5220/5250/5260-Linie. PA-7000-Chassis (PA-7050/7080) für High-End-Carrier-Workloads. Migration umfasst Policy-Export über Panorama, HA-Pair-Cutover und GlobalProtect-Portal-Re-Konfiguration. TPM überbrückt die 12-18 Monate, die ein NGFW-Refresh realistisch braucht. Alternative: Fortinet FortiGate 7000-Serie oder Check Point Quantum.

Bestehen Spare-Risiken bei PA-5060 (ältester Box)?

PA-5060 ist seit 2021 EOSL, Hardware-Pool ist begrenzt. Wir halten gezielt PA-5060-Mainboards, PSUs (650W) und Fan-Module vor; bei größeren Bestands-Estaten (z. B. 4+ HA-Pairs) prüfen wir vor Vertragsabschluss die Spare-Verfügbarkeit standortbezogen. Bei kritischen Workloads empfehlen wir Migration-Plan in 12-24 Monaten zu PA-5220 oder PA-5400.