當前位置: 首頁 > 關于我們 > 新聞中心 > 新聞快訊 > 2015

關于我們About Us

  • 關于網康

    公司簡介
    企業文化
    品牌期刊
  • 新聞中心

  • 視頻專區

    產品視頻
    客戶案例
    媒體專訪
    市場活動
  • 公司優勢

  • 聯系我們

安全牛:用網絡層指標衡量下一代防火墻性能?你OUT啦!

     發表日期:2015-12-23 14:50:05

導讀

 

談及到網絡設備的性能指標,大家總是習慣性的聯想到吞吐量、丟包率等網絡層性能指標。誠然,以吞吐量為代表的網絡層指標概念清晰,易于測量,對于用戶選型傳統防火墻等典型網絡層設備起到了很好的指導作用。但隨著近年來應用需求和網絡技術的發展,用戶不再滿足于基本的數據通信能力,而是更多關注業務本身的運營效率與安全,希望看到網絡流量中用戶、應用、內容等可理解的信息,隨之而來的是應用層網絡設備的不斷涌現。如何客觀公正的評估這些新一代安全設備的性能,成為擺在用戶面前亟待解決的問題。

 


網絡設備性能評估需要費厄潑賴

 

與傳統網絡設備相比,應用層網絡設備不再簡單的關注數據報文的轉發,而是關注和應用協議相關的內容,如協議識別、應用特征識別、應用威脅識別等,并基于此開發功能特性。針對這些特性,通常應用層網絡設備都有各種各樣的識別引擎,無論何種算法,最基本的一個要求就是:必須把數據包解封到OSI模型第七層,即應用層。而網絡層設備以數據包轉發為主要目的,只關心數據包轉發能力,只需要解封到第三層,找到對應的IP地址和端口信息即可。

數據包封裝和解封,層次越多,CPU的計算負載就越高,這會直接體現在性能上的衰減。同樣處理能力的CPU,處理網絡層數據轉發和應用層識別,所呈現的性能參數是完全不同的,不能放在一起橫向比較。使用傳統網絡層性能指標來評價應用層設備的性能,顯然有悖于現代社會所倡導的費厄潑賴(Fair Play)精神。

 


應用層性能測試的本地化實踐

 

應用層設備的性能測試指標,并不是什么新生事物。全球知名的獨立安全研究和評測機構NSS Labs已經提出過比較詳細的評估指標,包括網絡層吞吐量、網絡層新建連接速率、應用層吞吐量和應用層新建連接速率四個指標。之所以將一些網絡層的評估指標也引入到了對應用層設備的評估,是為了衡量被測設備的基礎數據轉發能力,確保工作引擎在攻擊流量下仍有足夠的應用層處理能力。

NSS Labs的測試指標與方法具有普遍性,適用于品類多、覆蓋廣的通用性測試,但沒有充分考慮產品實測的流量模型,尤其是沒有考慮到中國本土網絡環境下的熱點應用、網絡條件和使用方法等地域性特征。就此缺點,國內有安全廠商提出了更貼近中國市場“真實世界”的本地化性能測試指標和方法建議,具體包括以下幾個指標:

 

1. 應用層吞吐量

 

測試方法:在開啟應用識別引擎的前提下,通過發送平均21K大小HTTP頁面來測試設備應用層最大吞吐量,且只能計算成功獲得HTTP響應的連接。

(說明:選取大小為21K的頁面,是基于該廠商對多家高校、運營商等典型網絡環境的長期流量統計,總結得出對于每Gbps的流量,包速率采用185Kpps、平均包長670字節、新建連接速率5000個/秒,能夠比較準確地描述實際流量,可以作為實際性能測試的流量模型。將流量換算為HTTP頁面,恰好為21K。)

 


2. 開啟IPS的應用層吞吐量

 

測試方法:在開啟應用識別引擎、IPS引擎的前提下,通過發送平均21K大小HTTP頁面來測試設備應用層最大吞吐量,且只能計算成功獲得HTTP響應的連接。

(說明:本項測試主要針對下一代防火墻(NGFW)設備。由于IPS開啟會較大影響整體性能,因此有必要考察開啟IPS功能后設備的性能表現。)

 


3. 應用層新建速率

 

測試方法:發送64字節大小的HTTP頁面,且必須獲得正常的HTTP響應,計算每秒可以建立的最大HTTP連接數。

 


4. 網絡層吞吐量

 

測試方法:發送1518字節UDP數據包來測試設備網絡層最大吞吐量,與傳統方法相同。

 


5. 網絡層新建速率

 

測試方法:正常建立和銷毀1字節負荷的TCP連接,來計算最大TCP新建連接數。

 


小結

 

由于網絡層設備與應用層設備的特點與差異,傳統的網絡層性能標準無法有效衡量應用層網絡設備的能力。基于業界權威的標準和測試方法,并結合對中國本土化應用層流量模型特征,建議使用四項通用指標來評估應用層網絡設備性能:應用層吞吐量,應用層新建速率,網絡層吞吐量,網絡層新建速率。其中應用層指標可以作為主要指標,網絡層指標可作為參考指標。此外,對于下一代防火墻設備,還需要考察開啟IPS功能后的應用層吞吐能力。

 

 

如何評估應用層設備性能?網康重磅發布《應用層網絡設備性能白皮書》。點擊下載閱讀白皮書全文。
 

亚洲在线大香蕉网中文