防火墻的性能評估

評價防火墻的功能、性能指標（2011-06-0323:47:16）轉(zhuǎn)載▼標簽：分類：網(wǎng)絡技術防火墻性能參數(shù)吞吐量最大連接數(shù)新建連接數(shù)丟包率it一、功能指標1、 訪問控制：根據(jù)數(shù)據(jù)包的源/目的IP地址、源/目的端口、協(xié)議、流量、時間等參數(shù)對數(shù)據(jù)包進行訪問控制。2、 地址轉(zhuǎn)換：源地址轉(zhuǎn)換（SNAT）、目的地址轉(zhuǎn)換（DNAT）、雙向地址轉(zhuǎn)換（IP映射）。3、 靜態(tài)路由/策略路由：靜態(tài)路由：給予目的地址的路由選擇。策略路由：基于源地址和目的地址的策略路由選擇。4、 工作模式：路由模式、網(wǎng)橋模式（交換/透明模式）、混雜模式（路由+網(wǎng)橋模式并存）5、 接入支持：防火墻接口類型一般有GBIC、以太網(wǎng)接口等；接入支持靜態(tài)IP設置、DHCP、PPOE（比如ADSL接入）等。6、 VPN：分為點到端傳輸模式（PPTP協(xié)議）和端到端隧道模式（IPSec、IPIP、GRE隧道），支持DES、3DE、Blowfish、AES、Cast128、Twofish等加密算法，支持MD5、SHA-1認證算法；VPN功能支持NAT穿越。7、 IP/MAC綁定：IP地址與MAC地址綁定，防止IP盜用，防止內(nèi)網(wǎng)機器有意/無意搶占關鍵服務器IP。8、 DHCP:內(nèi)置DHCPServer為網(wǎng)絡中計算機動態(tài)分配IP地址；DHCPRelay的支持能為防火墻不同端口的DHCPServer和計算機之間動態(tài)分配IP地址。9、 虛擬防火墻：在一臺物理防火墻設備上提供多個邏輯上完全獨立的虛擬防火墻，每個虛擬防火墻為一個特定的用戶群提供安全服務。10、 應用代理：HTTP、FTP、SMTP等協(xié)議應用代理，大多數(shù)內(nèi)容過濾通過應用代理實現(xiàn)。11、 流量控制：流量控制，流量優(yōu)先級，帶寬允許條件下的優(yōu)先保障關鍵業(yè)務帶寬。12、 防攻擊：防止各類TCP、UDP端口掃描，源路由攻擊，IP碎片包攻擊，DOS、DDOS攻擊，蠕蟲病毒以及其他網(wǎng)絡攻擊行為。13、 內(nèi)置IDS:內(nèi)置IDS模塊，加強防火墻的防攻擊能力。14、 內(nèi)置防病毒模塊：內(nèi)置防病毒模塊，在網(wǎng)關級進行病毒防護。15、 內(nèi)置安全評估模塊：內(nèi)置安全評估模塊，對網(wǎng)絡中的計算機、網(wǎng)絡設備等進行漏洞掃描，做出安全評估分析，提供安全建議，計時彌補網(wǎng)絡中存在的安全隱患。16、 安全產(chǎn)品聯(lián)動：防火墻與其他安全產(chǎn)品比如IDS、Scanner、防病毒等的聯(lián)動功能。17、 鏈路備份/雙機熱備：在可靠性要求高的環(huán)境中，防火墻的多端口的鏈路備份以及雙機熱備功能提供了一個較好的解決方案。18、 配置文件上傳/下載：配置文件的備份/恢復功能。19、 SNMP：支持SNMP協(xié)議，方便網(wǎng)絡管理員對防火墻狀態(tài)進行監(jiān)控管理。20、 負載均衡：分為鏈路負載均衡和服務器負載均衡。21、 日志審計：日志存儲、備份、查詢、過濾、分析統(tǒng)計報表等。22、 入侵響應：日志記錄、消息框報警、郵件報警、聲音報警、發(fā)送SNMPTrap信息、手機短信報警。二、性能指標1、 吞吐量：吞吐量是指防火墻在不丟包的情況下能夠達到的最大包轉(zhuǎn)發(fā)速率。吞吐量越大，說明防火墻數(shù)據(jù)處理能力越強。其測試方法是：在測試中以一定速率發(fā)送一定數(shù)量的幀，并計算待測設備傳輸?shù)膸?，如果發(fā)送的幀與接收的幀數(shù)量相等，那么就將發(fā)送速率提高并重新測試；如果接收幀少于發(fā)送幀則降低發(fā)送速率重新測試，直至得出最終結(jié)果。吞吐量測試結(jié)果以比特/秒或字節(jié)/秒表示。2、 并發(fā)連接數(shù)：并發(fā)連接數(shù)是防火墻能夠同時處理的點對點連接的最大數(shù)目，它反映出防火墻設備對多個連接的訪問控制能力和連接狀態(tài)跟蹤能力，這個參數(shù)的大小直接影響到防火墻所能支持的最大信息點數(shù)。影響并發(fā)連接數(shù)條目的主要因素是內(nèi)存容量，其次是CPU頻率及其他硬件。1） 以每個并發(fā)連接表項占用300B計算，1000個并發(fā)連接將占用300Bx1000x8bit/B%2.3Mb內(nèi)存空間，10000個并發(fā)連接將占用23Mb內(nèi)存空間，100000個并發(fā)連接將占用230Mb內(nèi)存空間，而如果真的試圖實現(xiàn)1000000個并發(fā)連接的話那么，這個產(chǎn)品就需要提供2.24Gb內(nèi)存空間！2） 并發(fā)連接數(shù)的增大應當充分考慮CPU的處理能力，CPU的主要任務是把網(wǎng)絡上的流量從一個網(wǎng)段盡可能快速地轉(zhuǎn)發(fā)到另外一個網(wǎng)段上，并且在轉(zhuǎn)發(fā)過程中對此流量按照一定的訪問控制策略進行許可檢查、流量統(tǒng)計和訪問審計等操作，這都要求防火墻對并發(fā)連接表中的相應表項進行不斷的更新讀寫操作。如果不顧CPU的實際處理能力而貿(mào)然增大系統(tǒng)的并發(fā)連接表，勢必影響防火墻對連接請求的處理延遲，造成某些連接超時，讓更多的連接報文被重發(fā)，進而導致更多的連接超時，最后形成雪崩效應，致使整個防火墻系統(tǒng)崩潰。3） 在實際中選型的時候要考慮終端用戶的數(shù)量，以便計算出所需要的最大連接數(shù)。以每個用戶需要10.5個并發(fā)連接來計算，一個中小型企業(yè)網(wǎng)絡（1000個信息點以下，容納4個C類地址空間）大概需要10.5X1000=10500個并發(fā)連接，因此支持20000?30000最大并發(fā)連接的防火墻設備便可以滿足需求；大型的企事業(yè)單位網(wǎng)絡（比如信息點數(shù)在1000?10000之間）大概會需要105000個并發(fā)連接，所以支持100000~120000最大并發(fā)連接的防火墻就可以滿足企業(yè)的實際需要；而對于大型電信運營商和ISP來說，電信級的千兆防火墻（支持120000~200000個并發(fā)連接）則是恰當?shù)倪x擇。為較低需求而采用高端的防火墻設備將造成用戶投資的浪費，同樣為較高的客戶需求而采用低端設備將無法達到預計的性能指標。3、 最大連接速率：即每秒新建連接數(shù)，是指在指定時間（比如1秒）內(nèi)防火墻能成功建立的最大連接數(shù)目（主要和CPU的處理性能有直接關系，其他硬件其次）。4、 延遲：延遲是指防火墻轉(zhuǎn)發(fā)數(shù)據(jù)包的延遲時間，延遲越低，防火墻數(shù)據(jù)處理速度越快。5、 丟包率：丟包率是指在正常穩(wěn)定網(wǎng)絡狀態(tài)下，應該被轉(zhuǎn)發(fā)由于缺少