防火墻的性能指標(biāo) 吞吐量是衡量一款防火墻或者路由交換設(shè)備的最重要的指標(biāo)，它是指網(wǎng)絡(luò)設(shè)備在每一秒內(nèi)處理數(shù)據(jù)包的最大能力。吞吐量意味這臺(tái)設(shè)備在每一秒以?xún)?nèi)所能夠處理的最大流量或者說(shuō)每一秒內(nèi)能處理的數(shù)據(jù)包個(gè)數(shù)。設(shè)備吞吐量越高，所能提供給用戶(hù)使用的帶寬越大，就像木桶原理所描述的，網(wǎng)絡(luò)的最大吞吐取決于網(wǎng)絡(luò)中的最低吞吐量設(shè)備，足夠的吞吐量可以保證防火墻不會(huì)成為網(wǎng)絡(luò)的瓶頸。舉一個(gè)形象的例子，一臺(tái)防火墻下面有100個(gè)用戶(hù)同時(shí)上網(wǎng)，每個(gè)用戶(hù)分配的是10Mbps的帶寬，那么這臺(tái)防火墻如果想要保證所有用戶(hù)全速的網(wǎng)絡(luò)體驗(yàn)，必須要有至少1Gbps的吞吐量。吞吐量的計(jì)量單位有兩種方式：常見(jiàn)的就是帶寬計(jì)量，單位是Mbps(Megabits per second)或者Gbps (Gigabits per second)，另外一種是數(shù)據(jù)包處理量計(jì)量，單位是pps (packets per second)，兩種計(jì)量方式是可以相互換算的。在進(jìn)行對(duì)一款設(shè)備進(jìn)行吞吐性能測(cè)試時(shí)，通常會(huì)記錄一組從64字節(jié)到1518字節(jié)的測(cè)試數(shù)據(jù)，每一個(gè)測(cè)試結(jié)果均有相對(duì)應(yīng)的pps數(shù)。64字節(jié)的pps數(shù)最大，基本上可以反映出設(shè)備處理數(shù)據(jù)包的最大能力。所以從64字節(jié)的這個(gè)數(shù)，基本上可以推算出系統(tǒng)最大能處理的吞吐量是多少。很多路由設(shè)備的性能指標(biāo)有一點(diǎn)就是標(biāo)稱(chēng)xxMpps，所指的就是設(shè)備處理64字節(jié)的pps數(shù)。比如64字節(jié)的pps為100000pps，吞吐量通過(guò)換算為100000(64+20)8/1000000=67.2Mbps，拿這個(gè)結(jié)果計(jì)算1518字節(jié)的數(shù)據(jù)為100000(1518+20)8/100000=1230.4Mbps。其中的20字節(jié)是指12字節(jié)的幀間距(IPG)以及8字節(jié)的前導(dǎo)碼(7字節(jié)同步+1字節(jié)起始)，測(cè)試每一個(gè)字節(jié)的吞吐量都需要將這20字節(jié)計(jì)算在內(nèi)。通過(guò)前面的算式可以看出，我們即使不測(cè)試1518字節(jié)，也能夠大致推算出設(shè)備最大的吞吐量是多少。但最終的結(jié)果只能小于這個(gè)結(jié)果。為什么會(huì)小于呢?因?yàn)楹芏嘣O(shè)備因?yàn)榻涌跀?shù)或者內(nèi)部器件帶寬的原因，限制了最大的帶寬，這樣設(shè)備的最大吞吐量就會(huì)遠(yuǎn)遠(yuǎn)低于推算的數(shù)值。不過(guò)既然得出了64字節(jié)的pps數(shù)，那么只要廠商標(biāo)稱(chēng)的最大吞吐量低于推算的帶寬，就基本可以認(rèn)為這個(gè)標(biāo)稱(chēng)值是可信的。時(shí)延(Latency)時(shí)延是系統(tǒng)處理數(shù)據(jù)包所需要的時(shí)間。防火墻時(shí)延測(cè)試指的就是計(jì)算它的存儲(chǔ)轉(zhuǎn)發(fā)(Store and Forward)時(shí)間，即從接收到數(shù)據(jù)包開(kāi)始，處理完并轉(zhuǎn)發(fā)出去所用的全部時(shí)間。在一個(gè)網(wǎng)絡(luò)中，如果我們?cè)L問(wèn)某一臺(tái)服務(wù)器，通常不是直接到達(dá)，而是經(jīng)過(guò)大量的路由交換設(shè)備。每經(jīng)過(guò)一臺(tái)設(shè)備，就像我們?cè)诟咚俟飞辖?jīng)過(guò)收費(fèi)站一樣都會(huì)耗費(fèi)一定的時(shí)間，一旦在某一個(gè)點(diǎn)耗費(fèi)的時(shí)間過(guò)長(zhǎng)，就會(huì)對(duì)整個(gè)網(wǎng)絡(luò)的訪(fǎng)問(wèn)造成影響。如果防火墻的延時(shí)很低，用戶(hù)就完全不會(huì)感覺(jué)到它的存在，提升了網(wǎng)絡(luò)訪(fǎng)問(wèn)的效率。時(shí)延的單位通常是微秒，一臺(tái)高效率防火墻的時(shí)延通常會(huì)在一百微秒以?xún)?nèi)。時(shí)延通常是建立在測(cè)試完吞吐量的基礎(chǔ)上進(jìn)行的測(cè)試。測(cè)試時(shí)延之前需要先測(cè)出每個(gè)包長(zhǎng)下吞吐量的大小，然后使用每個(gè)包長(zhǎng)的吞吐量結(jié)果的90%-100%作為時(shí)延測(cè)試的流量大小。一般時(shí)延的測(cè)試要求不能夠有任何的丟包。因?yàn)槿绻麃G包，會(huì)造成時(shí)延非常大，結(jié)果不準(zhǔn)確。我們測(cè)試一般使用最大吞吐量的95%或者90%進(jìn)行測(cè)試。測(cè)試結(jié)果包括最大時(shí)延，最小時(shí)延，平均時(shí)延，一般記錄平均時(shí)延。新建連接速率(Maximum TCP Connection Establishment Rate)新建連接速率指的是在每一秒以?xún)?nèi)防火墻所能夠處理的HTTP新建連連接請(qǐng)求的數(shù)量。用戶(hù)每打開(kāi)一個(gè)網(wǎng)頁(yè)，訪(fǎng)問(wèn)一個(gè)服務(wù)器，在防火墻看來(lái)會(huì)是1個(gè)甚至多個(gè)新建連接。而一臺(tái)設(shè)備的新建連接速率越高，就可以同時(shí)給更多的用戶(hù)提供網(wǎng)絡(luò)訪(fǎng)問(wèn)。比如設(shè)備的新建連接速率是1萬(wàn)，那么如果有1萬(wàn)人同時(shí)上網(wǎng)，那么所有的請(qǐng)求都可以在一秒以?xún)?nèi)完成，如果有1萬(wàn)1千人上網(wǎng)的話(huà)，那么前1萬(wàn)人可以在第一秒內(nèi)完成，后1千個(gè)請(qǐng)求需要在下一秒才能完成。所以，新建連接速率高的設(shè)備可以提供給更多人同時(shí)上網(wǎng)，提升用戶(hù)的網(wǎng)絡(luò)體驗(yàn)。新建連接速率雖然英文用的是TCP，但是為了更接近實(shí)際用戶(hù)的情況，通常會(huì)采用HTTP來(lái)進(jìn)行測(cè)試，測(cè)試結(jié)果以連接每秒(connections per second)作為單位。為什么針對(duì)防火墻要測(cè)試這個(gè)數(shù)據(jù)呢?因?yàn)槲覀冎婪阑饓κ腔跁?huì)話(huà)的機(jī)制來(lái)處理數(shù)據(jù)包的，每一個(gè)數(shù)據(jù)包經(jīng)過(guò)防火墻都要有相應(yīng)的會(huì)話(huà)來(lái)對(duì)應(yīng)。會(huì)話(huà)的建立速度就是防火墻對(duì)于新建連接的處理速度。新建連接的測(cè)試采用4-7層測(cè)試儀來(lái)進(jìn)行，模擬真實(shí)的用戶(hù)和服務(wù)器之間的HTTP教過(guò)過(guò)程：首先建立三次握手，然后用戶(hù)到HTTP服務(wù)器去Get一個(gè)頁(yè)面，最后采用三次握手或者四次握手關(guān)閉連接。測(cè)試儀通過(guò)持續(xù)地模擬每秒大量用戶(hù)連接去訪(fǎng)問(wèn)服務(wù)器以測(cè)試防火墻的最大極限新建連接速率。并發(fā)連接數(shù)(Concurrent TCP Connection Capacity)最后介紹的是并發(fā)連接數(shù)，并發(fā)連接數(shù)就是指防火墻最大能夠同時(shí)處理的連接會(huì)話(huà)個(gè)數(shù)。并發(fā)連接數(shù)指的是防火墻設(shè)備最大能夠維護(hù)的連接數(shù)的數(shù)量，這個(gè)指標(biāo)越大，在一段時(shí)間內(nèi)所能夠允許同時(shí)上網(wǎng)的用戶(hù)數(shù)越多。隨著web應(yīng)用復(fù)雜化以及P2P類(lèi)程序的廣泛應(yīng)用，每個(gè)用戶(hù)所產(chǎn)生的連接越來(lái)越多，甚至一個(gè)用戶(hù)的連接數(shù)就有可能上千，更嚴(yán)重的是如果用戶(hù)中了木馬或者蠕蟲(chóng)病毒，更會(huì)產(chǎn)生上萬(wàn)個(gè)連接。所以顯而易見(jiàn)，幾十萬(wàn)的并發(fā)連接數(shù)已經(jīng)不能夠滿(mǎn)足網(wǎng)絡(luò)的需求了，目前主流的防火墻都要求能夠達(dá)到幾十萬(wàn)甚至上千萬(wàn)的并發(fā)連接以滿(mǎn)足一定規(guī)模的用戶(hù)需求。并發(fā)連接數(shù)雖然英文用的是TCP，但是為了更接近實(shí)際用戶(hù)的情況，通常會(huì)采用HTTP來(lái)進(jìn)行測(cè)試。它是個(gè)容量的單位，而不是速度。測(cè)試結(jié)果以連接(connections)作為單位?；緶y(cè)試的方法和HTTP新建連接速率基本一致，主要的區(qū)別在于新建連接測(cè)試會(huì)立刻拆除建立的連接，而并發(fā)連接數(shù)測(cè)試不會(huì)拆除連接，所有已經(jīng)建立的連接會(huì)保持住直到達(dá)到設(shè)備的極限。安全市場(chǎng)產(chǎn)品眾多，把防火墻數(shù)據(jù)公開(kāi)供用戶(hù)選擇的廠商寥寥無(wú)幾。用戶(hù)選擇一款產(chǎn)品不僅僅要知道防火墻的各個(gè)指標(biāo)到底代表了什么含義，而且還明白什么樣的產(chǎn)品是“我”所需要的，什么樣的廠商是值得信賴(lài)的。高性能安全產(chǎn)品帶給用戶(hù)的不僅僅是性能的提升，而更體現(xiàn)了廠商對(duì)待產(chǎn)品以及對(duì)待用戶(hù)的態(tài)度。就像開(kāi)篇講到的一樣，購(gòu)買(mǎi)任何產(chǎn)品我們都要做到明明白白消費(fèi)，挑選真正“好”的產(chǎn)品。山石網(wǎng)科將一如既往，致力于為廣大用戶(hù)提供高性能、高可靠、易用的網(wǎng)絡(luò)安全解決方案。