防火墻參數詳解(編輯修改稿)
2025-09-12 00:29 本頁面
【文章內容簡介】 CPU的處理能力 CPU的主要任務是把網絡上的流量從一個網段盡可能快速地轉發(fā)到另外一個網段上，并且在轉發(fā)過 程中對此流量按照一定的 訪問控制 策略進行許可檢查、流量統(tǒng)計和訪問審計等操作，這都要求防 火墻對并發(fā)連接表中的相應表項進行不斷的更新讀寫操作。如果不顧 CPU的實際處理能力而貿然 增大系統(tǒng)的并發(fā)連接表，勢必影響 防火墻 對連接請求的處理延遲，造成某些連接超時，讓更多的 連接報文被重發(fā)，進而導致更多的連接超時，最后形成雪崩效應，致使整個 防火墻系統(tǒng) 崩潰。 下 一張 承載能力 將嚴重影響 防火墻 發(fā)揮出其對海量并發(fā)連接的處理能力 雖然很多 防火墻 都提供了 10/100/1000Mbps的網絡接口，但是，由于防火墻通常都部署在 Inter 出口處，在 客戶端 PC與目的資源中間的 路徑 上，總是存在著瓶頸鏈路 ——該瓶頸鏈路可能是 2Mbps專線，也可能是 512Kbps乃至 64Kbps的低速鏈路。這些擁擠的低速鏈路根本無法承載太多的 并發(fā)連接，所以即便是 防火墻 能夠支持大規(guī)模的并發(fā)訪問連接，也無法發(fā)揮出其原有的 性能 連接 能力 我們應當根據網絡環(huán)境的具體情況和個人不同的上網習慣來選擇適當規(guī)模的并發(fā)連接表。因為不 同規(guī)模的網絡會產生大小不同的并發(fā)連接，而用戶習慣于何種 網絡服務 以及如何使用這些服務， 同樣也會 產 生 不同的并發(fā)連接需求。高并發(fā)連接數的 防火墻 設備通常需要客戶投資更多的設備， 這是因為并發(fā)連接數的增大牽扯到 數據結構 、 CPU、內存、系統(tǒng)總線和網絡接口等多方面因素。如 何在合理的設備投資和實際上所能提供的性能之間尋找一個黃金平衡點將是用戶選擇產品的一個 重要任務。按照并發(fā)連接數來衡量方案的合理性是一個值得推薦的辦法。 以每個用戶需要 ，一個中小型企業(yè)網絡（ 1000個信息點以下，容納 4個 C類 地址空間）大概需要 1000=10500個并發(fā)連接，因此支持 20220～ 30000最大并發(fā)連接的防火 墻設 備便可以滿足需求；大型的企事業(yè)單位網絡（比如信息點數在 1000～ 10000之間）大概會需 要 105000個并發(fā)連接，所以支持 100000～ 120220最大并發(fā)連接的防火墻就可以滿足企業(yè)的實際需 要 。 而對于大型電信運營商和 ISP來說，電信級的千兆防火墻（支持 120220～ 202200個并發(fā)連接） 則是恰當的選擇。為較低需求而采用高端的 防火墻 設備將造成用戶投資的浪費，同樣為較高的客 戶需求而采用低端設備將無法達到預計的性能指標。利用網絡整體上的并發(fā)連接需求來選擇適當 的 防火墻 產品可以幫助用戶快速、準確的定位所需要的產品，避免對單純某一參數“愈大愈好” 的盲目追求，縮短設計施工周期，節(jié)省企業(yè)的開支。從而為企業(yè)實施最合理的安全保護方案。 在利用并發(fā)連接數指標選擇 防火墻 產品的同時，產品的綜合性能、廠家的研發(fā)力量、資金實力、 企業(yè)的商業(yè)信譽和經營風險以及產品線的技術支持和 售后服務體系 等都應當納入采購者的視野， 將多方面的因素結合起來進行綜合考慮。切不可盲目的聽信某些廠家廣告宣傳中的大并發(fā)連接的宣 傳，要根據自己業(yè)務系統(tǒng)、企業(yè)規(guī)模、發(fā)展空間和自身實力等因素多方面考慮 返回 網絡吞吐量 網絡中的數據是由一個個數據包組成，防火墻對每個數據包的處理要耗費資源。吞吐量 是指在沒有幀丟失的情況下，設備能夠接受的最大速率。其測試方法是：在測 試中以 一定速率發(fā)送一定數量的幀，并計算待測設備傳輸的幀，如果發(fā)送的幀與接收的幀數量 相等，那么就將發(fā)送速率提高并重新測試；如果接收幀少于發(fā)送幀則降 低發(fā)送速率重 新測試，直至得出最終結果。吞吐量測試結果以比特 /秒或字節(jié) /秒表示。 吞 吐量和報文轉發(fā)率是關系防火墻應用的主要指標，一般采用 FDT(Full Duplex Throughput)來衡量，指 64字節(jié)數據包的全雙工吞吐量，該指標既包括吞吐量指標也涵 蓋了報文轉發(fā)率指標。 隨著 Inter的日益普及，內部網用戶訪問 Inter的需求在不斷增加，一些企業(yè)也需要 對外提供諸如 WWW頁面瀏覽、 FTP文件傳輸、 DNS 域名解析等服務，這
范文總結相關推薦
鄂ICP備17016276號-1