防火墻參數(shù)詳解(編輯修改稿)
2024-09-12 00:29 本頁面
【文章內(nèi)容簡介】 CPU的處理能力 CPU的主要任務(wù)是把網(wǎng)絡(luò)上的流量從一個(gè)網(wǎng)段盡可能快速地轉(zhuǎn)發(fā)到另外一個(gè)網(wǎng)段上，并且在轉(zhuǎn)發(fā)過 程中對此流量按照一定的 訪問控制 策略進(jìn)行許可檢查、流量統(tǒng)計(jì)和訪問審計(jì)等操作，這都要求防 火墻對并發(fā)連接表中的相應(yīng)表項(xiàng)進(jìn)行不斷的更新讀寫操作。如果不顧 CPU的實(shí)際處理能力而貿(mào)然 增大系統(tǒng)的并發(fā)連接表，勢必影響 防火墻 對連接請求的處理延遲，造成某些連接超時(shí)，讓更多的 連接報(bào)文被重發(fā)，進(jìn)而導(dǎo)致更多的連接超時(shí)，最后形成雪崩效應(yīng)，致使整個(gè) 防火墻系統(tǒng) 崩潰。 下 一張 承載能力 將嚴(yán)重影響 防火墻 發(fā)揮出其對海量并發(fā)連接的處理能力 雖然很多 防火墻 都提供了 10/100/1000Mbps的網(wǎng)絡(luò)接口，但是，由于防火墻通常都部署在 Inter 出口處，在 客戶端 PC與目的資源中間的 路徑 上，總是存在著瓶頸鏈路 ——該瓶頸鏈路可能是 2Mbps專線，也可能是 512Kbps乃至 64Kbps的低速鏈路。這些擁擠的低速鏈路根本無法承載太多的 并發(fā)連接，所以即便是 防火墻 能夠支持大規(guī)模的并發(fā)訪問連接，也無法發(fā)揮出其原有的 性能 連接 能力 我們應(yīng)當(dāng)根據(jù)網(wǎng)絡(luò)環(huán)境的具體情況和個(gè)人不同的上網(wǎng)習(xí)慣來選擇適當(dāng)規(guī)模的并發(fā)連接表。因?yàn)椴? 同規(guī)模的網(wǎng)絡(luò)會(huì)產(chǎn)生大小不同的并發(fā)連接，而用戶習(xí)慣于何種 網(wǎng)絡(luò)服務(wù) 以及如何使用這些服務(wù)， 同樣也會(huì) 產(chǎn) 生 不同的并發(fā)連接需求。高并發(fā)連接數(shù)的 防火墻 設(shè)備通常需要客戶投資更多的設(shè)備， 這是因?yàn)椴l(fā)連接數(shù)的增大牽扯到 數(shù)據(jù)結(jié)構(gòu) 、 CPU、內(nèi)存、系統(tǒng)總線和網(wǎng)絡(luò)接口等多方面因素。如 何在合理的設(shè)備投資和實(shí)際上所能提供的性能之間尋找一個(gè)黃金平衡點(diǎn)將是用戶選擇產(chǎn)品的一個(gè) 重要任務(wù)。按照并發(fā)連接數(shù)來衡量方案的合理性是一個(gè)值得推薦的辦法。 以每個(gè)用戶需要 ，一個(gè)中小型企業(yè)網(wǎng)絡(luò)（ 1000個(gè)信息點(diǎn)以下，容納 4個(gè) C類 地址空間）大概需要 1000=10500個(gè)并發(fā)連接，因此支持 20220～ 30000最大并發(fā)連接的防火 墻設(shè) 備便可以滿足需求；大型的企事業(yè)單位網(wǎng)絡(luò)（比如信息點(diǎn)數(shù)在 1000～ 10000之間）大概會(huì)需 要 105000個(gè)并發(fā)連接，所以支持 100000～ 120220最大并發(fā)連接的防火墻就可以滿足企業(yè)的實(shí)際需 要 。 而對于大型電信運(yùn)營商和 ISP來說，電信級的千兆防火墻（支持 120220～ 202200個(gè)并發(fā)連接） 則是恰當(dāng)?shù)倪x擇。為較低需求而采用高端的 防火墻 設(shè)備將造成用戶投資的浪費(fèi)，同樣為較高的客 戶需求而采用低端設(shè)備將無法達(dá)到預(yù)計(jì)的性能指標(biāo)。利用網(wǎng)絡(luò)整體上的并發(fā)連接需求來選擇適當(dāng) 的 防火墻 產(chǎn)品可以幫助用戶快速、準(zhǔn)確的定位所需要的產(chǎn)品，避免對單純某一參數(shù)“愈大愈好” 的盲目追求，縮短設(shè)計(jì)施工周期，節(jié)省企業(yè)的開支。從而為企業(yè)實(shí)施最合理的安全保護(hù)方案。 在利用并發(fā)連接數(shù)指標(biāo)選擇 防火墻 產(chǎn)品的同時(shí)，產(chǎn)品的綜合性能、廠家的研發(fā)力量、資金實(shí)力、 企業(yè)的商業(yè)信譽(yù)和經(jīng)營風(fēng)險(xiǎn)以及產(chǎn)品線的技術(shù)支持和 售后服務(wù)體系 等都應(yīng)當(dāng)納入采購者的視野， 將多方面的因素結(jié)合起來進(jìn)行綜合考慮。切不可盲目的聽信某些廠家廣告宣傳中的大并發(fā)連接的宣 傳，要根據(jù)自己業(yè)務(wù)系統(tǒng)、企業(yè)規(guī)模、發(fā)展空間和自身實(shí)力等因素多方面考慮 返回 網(wǎng)絡(luò)吞吐量 網(wǎng)絡(luò)中的數(shù)據(jù)是由一個(gè)個(gè)數(shù)據(jù)包組成，防火墻對每個(gè)數(shù)據(jù)包的處理要耗費(fèi)資源。吞吐量 是指在沒有幀丟失的情況下，設(shè)備能夠接受的最大速率。其測試方法是：在測 試中以 一定速率發(fā)送一定數(shù)量的幀，并計(jì)算待測設(shè)備傳輸?shù)膸?，如果發(fā)送的幀與接收的幀數(shù)量 相等，那么就將發(fā)送速率提高并重新測試；如果接收幀少于發(fā)送幀則降 低發(fā)送速率重 新測試，直至得出最終結(jié)果。吞吐量測試結(jié)果以比特 /秒或字節(jié) /秒表示。 吞 吐量和報(bào)文轉(zhuǎn)發(fā)率是關(guān)系防火墻應(yīng)用的主要指標(biāo)，一般采用 FDT(Full Duplex Throughput)來衡量，指 64字節(jié)數(shù)據(jù)包的全雙工吞吐量，該指標(biāo)既包括吞吐量指標(biāo)也涵 蓋了報(bào)文轉(zhuǎn)發(fā)率指標(biāo)。 隨著 Inter的日益普及，內(nèi)部網(wǎng)用戶訪問 Inter的需求在不斷增加，一些企業(yè)也需要 對外提供諸如 WWW頁面瀏覽、 FTP文件傳輸、 DNS 域名解析等服務(wù)，這
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號-1