Avalanche测试仪

Palo Alto PA-5060:瑕不掩瑜作者：暂无来源：《计算机世界》 2012年第16期如果能进一步优化UTM 性能和SSL 卸载能力，PA-5060 也许能一劳永逸地解决安全与性能不可兼得的难题。

沈建苗编译据我们的独家测试表明，PaloAlto 新款防火墙的性能比2008 年测试的前一代产品快了10 倍。

在纯防火墙模式下，其速度接近20Gbps 这一额定速度。

当然，如何兼顾安全与性能始终是个问题。

拿PA-5060来说，这完全取决于你开启和关闭了哪些功能。

Palo Alto 的“应用识别”功能曾让防火墙市场为之一震。

我们发现，这个下一代特性并不会带来额外的性能开销。

并且，PA-5060 在默认情况下就开启了这一功能。

另一方面，启用UTM（编者注：本文中的“UTM”是实现多种安全功能的代称，并非产品的市场包装定义）功能后的速度与防火墙标称的20Gbps 最大速度相差甚远，这方面非常值得注意。

PA-5060 在纯防火墙模式下运行时，一旦启用了任何UTM 功能，性能就将大幅下降。

不过，不管我们启用哪些UTM功能（入侵预防、反间谍软件、反病毒或这些功能的任意组合），都会得到一样的性能结果，就好像我们只启用了其中一项功能。

也就是说，除了最初速度明显下降外，更多的安全业务不会带来额外的性能开销。

SSL 是个例外，该产品处理SSL 流量时，速度有所下降。

开启SSL 流量卸载特性后，该系统的四个万兆以太网接口的传输速度仅比快速以太网强一点。

这个结果在预料之中，因为所有安全设备在处理SSL 流量时，速度都会降下来。

如果在此基础上启用UTM 功能，我们发现性能下降的幅度还要大上许多。

总的来说，Palo Alto 的PA-5060 是款性能强大的产品。

令人稍感遗憾的是，虽然它提供了许多独特的应用检查功能，在安全与性能的平衡问题上却仍有待完善。

如何测试Palo Alto PA-5060我们使用了三组测试模型来评估Palo Alto PA-5060 的性能，分别为混合流量、静态流量及TCP 连接处理能力。

防火墙测试解决方案Avalanche防火墙防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。

它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全主要分为包过滤防火墙和应用网关防火墙，目前的防火墙是两种主要技术的混合体基于CPU的实现典型的单处理器、单线程处理应用冗长的或恶劣顺序的规则严重影响性能CPU努力维持连接和数据包处理基于ASIC的实现非常快的处理速度，但是很不灵活一些ASIC不能完成的任务必须由CPU完成一些协议（例如：FTP）不得不由软件实现CPU 必须处理这些协议基于隧道的安全应用（SSL、IPSec）通常需要CPU处理 CPU必须维持总的会话CPU必须附加地执行加解密处理不合适的硬件可以抵消厂商软件上的优势如果硬件不能有所保证，则：要么系统可能丢包并扼杀应用的性能要么危险的数据流可能通过效率低的软件可能抵消硬件上的优势效率低的规则处理在软件中实现了太多的协议处理数据包和会话处理必须有高效率在有限的时间内完成对每个数据包的处理防火墙必须在性能没有损耗的前提下保证安全性规则基大小及顺序规则基包含所有防火墙过滤规则越多的过滤器，就会有越长的数据包处理过程，要考虑 厂商如何实现更好的规则匹配？在低速率数据流下，过长的延迟规则顺序是至关重要的例如：高使用率的规则放在规则表的底部对大多数数据流来说，规则基总是搜索到最后问题可能由高速率数据流导致数据包可能备份到输入队列中等待处理队列填满，导致数据包丢失延迟可能导致会话超时TCP连接实现TCP 连接容量和速率由以下因素影响：状态表大小处理器（CPU）效率状态表不够大，意味着当状态表满时，用户不能连接 处理器能力有限，意味着用户不能连接状态表在高的用户负载下释放很慢连接失败增加基准测试RFC（18个）•Benchmarking Terminology for Network Interconnection Devices (RFC 1242)•Benchmarking Methodology for Network Interconnect Devices (RFC 1944) obsoleted by RFC 2544•Benchmarking Terminology for LAN Switching Devices (RFC 2285)•Terminology for IP Multicast Benchmarking (RFC 2432)•Benchmarking Methodology for Network Interconnect Devices (RFC 2544)•Benchmarking Terminology for Firewall Performance (RFC 2647)•Terminology for ATM Benchmarking (RFC 2761)•Benchmarking Methodology for LAN Switching Devices (RFC 2889)•Methodology for ATM Benchmarking (RFC 3116)•Terminology for Frame Relay Benchmarking (RFC 3133)•Terminology for ATM ABR Benchmarking (RFC 3134)•Terminology for Forwarding Information Base (FIB) based Router Performance (RFC 3222)•Benchmarking Methodology for Firewall Performance (RFC 3511)•Methodology for IP Multicast Benchmarking (RFC 3918)•Terminology for Benchmarking BGP Device Convergence in the Control Plane (RFC 4098)•Considerations When Using Basic OSPF Convergence Benchmarks (RFC4063)•OSPF Benchmarking Terminology and Concepts (RFC 4062)•Benchmarking Basic OSPF Single Router Control Plane Convergence (RFC 4061)防火墙相关标准国际标准（4个RFC）Benchmarking Terminology for Network Interconnection Devices，RFC 1242Benchmarking Methodology for Network Interconnect Devices，RFC 2544Benchmarking Terminology for Firewall Performance，RFC 2647 Benchmarking Methodology for Firewall Performance，RFC 3511 国家标准GB/T 18019-1999《信息技术包过滤防火墙安全技术要求》GB/T 18020-1999《信息技术应用级防火墙安全技术要求》防火墙性能测试方法学防火墙性能测试由以下三层测试组成： 网络层（Network Layer）传输层（Transport Layer）应用层（Application Layer）网络层测试方法学网络层测试指的是DUT/SUT转发引擎的性能基准测试：吞吐量（Throughput）延迟（Latency）丢包率（Frame Loss Rate）（可选）背靠背（Back-to-back）（可选）参考RFC 1242、RFC 2544、RFC 3511使用SmartBits的SmartApplications进行测试传输层测试传输层测试指的是与DUT/SUT状态表相关的性能和扩展性最大并发TCP连接数（Concurrent TCP Connection Capacity）（RFC 3511）最大TCP连接建立速率（Max TCP Connection Rate）（RFC 3511）使用Avalanche进行测试应用层测试应用层测试指的是获得处理HTTP应用层流量的防火墙基准性能HTTP传输速率（HTTP Transfer Rate）（Goodput）（RFC 3511）最大HTTP事务处理速率（Max HTTP Transaction Rate）（RFC 3511）使用Avalanche进行测试RFC 2647/3511RFC 2647：防火墙性能基准测试术语（Benchmarking Terminology for Firewall Performance）作者：D. Newman，Data Communications，1999年8月共描述了与防火墙及测试相关的33个术语RFC 3511：防火墙性能基准测试方法学（Benchmarking Methodology for FirewallPerformance ）作者：B. Hickman、S. Tadjudin，Spirent CommunicationsD. Newman，Data CommunicationsT. Martin，GVNW Consulting Inc，2003年4月涉及10个防火墙性能测试指标防火墙测试（RFC 3511）5.1IP Throughput：用SmartBits的SmartApplications或者SmartFlow软件测试；5.2Concurrent TCP Connection Capacity：用Avalanche测试；5.3Maximum TCP Connection Establishment Rate：用Avalanche测试；5.4 Maximum TCP Tear Down Rate：用Avalanche测试；5.5Denial Of Service Handling：用Avalanche测试；5.6HTTP Transfer Rate：用Avalanche测试；5.7Maximum HTTP Transaction Rate：用Avalanche测试；5.8Illegal Traffic Handling：用Avalanche测试；5.9 IP Fragmentation Handling：用Avalanche测试；5.10 Latency：用SmartBits的SmartApplications或者SmartFlow软件测试。

Spirent测试仪器自动化测试说明书1引言1.1背景根据部门现有的Spirent测试仪器使用状况，收集发现存在以下几点问题，主要有：1、Spirent测试仪器目前拥有三大设备仪器，测试人员学习需要花费大量的时间精力，并且需要相对扎实的网络测试基础和配合专业的指导。

2、各测试仪器之间关联性目前不大：每个仪器目前是单一的设备，没有有效地整合为一个测试系统，对测试环境构成重复构建，测试配置混乱无关联。

3、测试过程中，测试人员测试工作繁重，测试仪器的配置相对繁琐，影响测试效率。

4、测试仪用例的测试时间相对较长，需要测试人员专职守候，切换被测设备参数和仪器参数，测试周期长达一天，花费时间太长，比如加密机各种模式的性能测试。

上述问题反映出Spirent测试仪器需要专业知识多、手工测试效率低、测试周期长等一系列问题。

为降低仪器使用复杂度、提高工作效率、加快测试周期，需要对Spirent测试仪器进行二次开发，实现自动化测试，用于代替部分功能繁锁的手工回归测试。

2系统概述2.1系统目标通过对测试仪器的自动化二次开发的目标：对仪器测试接口封装，减少测试参数配置，降低测试仪器的使用复杂度；并可与自动化测试平台结合，更加方便管理、调度、控制测试执行；测试效果和测试结果同GUI模式相同；减少人工值守，加快测试周期，提高测试效率。

2.2功能需求Spirent测试仪器可以通过API支持所有的仪器工作能力。

通过对测试仪器自动化二次开发实现的功能和性能：●降低测试仪器的使用复杂度：简化测试人员的测试工作，其测试仪器简单易用，将测试的工作重心放在对产品的深入测试中。

●缩短测试时间：机器执行可在无人值守的条件下以最快的速度完成测试配置和执行，同时可以与自动化测试平台相结合，进一步减少测试人员的值守和干预。

●提高产品、服务的可靠性：实现回退测试周期的自动化。

确保产品生命周期的每一个阶段中都可以执行完全相同的测试。

●降低学习难度：简便易用的API中融入预先定义的测试逻辑，且无需对RFC2544或者RFC2889测试进行手工编码，从而使生产效率大幅提高。