思科6509交换机FWSM防火墙模块配置资料_大全
- 格式：doc
- 大小：117.50 KB
- 文档页数：21
特性FSM Cisco PIX
性能5 Gb 1.7 Gb
VLAN标签有无
路由动态静态
故障恢复使用许可不需要需要
VPN功能无有
IDS签名无有
最大接口数100 10
输入控制列表（ACL）支持1280002M
Q. FWSM的性能如何？
A.总性能约为5Gbps。FWSM可以每秒支持一百万个并发连接，并且每秒可以建立超过10万个连接。
Q. FWSM主要具有哪些特性？
A. FWSM的主要特性包括：
·高性能，OC-48或者5 Gbps吞吐量，全双工防火墙功能
·具有整个X 6.0软件功能集和PIX 6.2的下列特性：
o命令授权
o对象组合
o ILS/NetMeeting修正
o URL过滤改进
·3Mpps吞吐量
·支持100个VLAN
·一百万个并发连接
Q. FWSM所能支持的最低的软件版本是多少？
A.最低的IOS软件版本是12.1(13)E，而综合CatOS的最低版本是7.5(1)。
Q. FWSM支持交换矩阵吗？
A.是的，FWSM支持交换矩阵。它具有一条与总线的连接和一条与交换矩阵的连接。
Q. FWSM是否利用热备份路由协议（HSRP）实现冗余？
Q. FWSM用什么机制检测流量？
A. FWSM使用与Cisco PIX防火墙相同的检测算法：自适应安全算法（ASA）。ASA是一种状态检测引擎，可以检测流量的完整性。ASA可以使用源和目的地的地址和端口、TCP序列号，以及其他TCP标志，散列IP报头信息。散列的作用相当于指纹，即创建一个独特的代码，表明建立输入或者输出连接的客户端的身份。
传统防火墙往往会成为网络上的瓶颈，因此性能是用户相当关心的问题。通过此次测试（请见表中数据），我们可以看到出众的性能是FWSM与Catalyst 6500紧密集成所带来的结果，交换机的优异性能表现在启动防火墙后同样得到了良好的体现。
去年我们曾经作过千兆防火墙公开比较评测，当时测试环境是在两条流条件下进行的，成绩最好的千兆防火墙在64字节帧长下吞吐量达到59%线速。此次测试我们选用两个1000Base-SX分别作内、外网口，采用20条UDP流并存的条件下，测试结果64、512、1518三种帧长下吞吐量为85.19%、100%、100%,显然，与以往我们曾经测试过的结果相比，吞吐量性能更为出色。
FWSM防火墙模块能够支持H.323、SIP等VoIP相关协议。
PDM提供的状态监控功能非常强大，可以按照图形或表格形式非常直观地显示CPU、内存利用率以及进出防火墙的数据包状态等详细信息。
易于查找的帮助信息也是思科为用户考虑的周到之处，用户通过Web界面可以非常容易得到相关信息。
性能：多流环境上佳表现
Catalyst 6509作为企业的汇聚或核心交换机，往往要为企业的不同部门划分子网和VLAN，FWSM模块的加入为不同部门之间搭建了坚实的屏障。
与传统防火墙的体系结构不同，FWSM内部体系主要由一个双Intel PIII处理器和3个IBM网络处理器以及相应的ASIC芯片组成。其中两个网络处理器各有三条千兆线路连接到6509的背板上。FWSM使用的是Cisco PIX操作系统这一实时、牢固的嵌入式操作系统，采用基于ASA（自适应安全算法）的核心实现机制，继承了思科PIX防火墙性能与功能方面的既有优势。
而且，我们还发现由于配置为按照目的端口进行负载均衡，在防火墙上使用show conn命令可以实时观察到网络处理器之间确实对所承担的Session进行了分担。
帧丢失率和延迟的测试结果更是让人眼前一亮，三种帧长下的结果为6.29%、0、0。在吞吐量的条件下测试的延迟结果也均在90祍以下。
衡量防火墙性能的一个更有标志性的指标“最大TCP/HTTP并发连接数”结果为942802，完全可以满足大型企业级用户的需求。
我们用WebSuite Firewall完成了最大并发连接数的测试，测试速率为4000个连接/秒。每项测试我们都进行三遍，最终取平均值作最后结果。
被测的Catalyst 6509交换机控制引擎配置为SUP2/MSFC2,IOS版本为12.1(13)E5,FWSM软件版本为1.1(2),PDM版本为2.1(1)。
Q.装有FWSM的Catalyst 6500主要部署在什么地方？
A.装有FWSM的Cisco Catalyst 6500系列可以提供目前性能最高的防火墙功能--它能够让企业将多种关键任务型防火墙功能整合到一个设备之中，从而减少分散的防火墙的个数，简化对多个防火墙的管理。FWSM主要部署在企业园区的边缘和分布点。
性能测试结果
帧长
64字节
512字节
1518字节
吞吐量
85.19%
100%
100%
帧丢失率
6.29%
0
0
延迟（μs）
80.88
48.86
81.29
最大并发连接数
942802我们可以看到防火墙与交换机的结合在提升企业网络内部安全性的同时对网络性能的影响并不大，让用户可以真正体验到安全与性能的完美结合。传统防火墙处于网关位置，往往会结合入侵检测或VPN功能，是各种功能的综合体。而思科Catalyst 6500系列FWSM模块的防火墙特性更为突出，不但可以单独工作，还可以与部署在同一台6500交换机箱中独立的入侵检测模块、VPN模块和SSL加密模块密切协作，各司其职，这也显示了细化分工的趋势，使企业可以按照更为清晰的架构搭建多层次的安全网络。测试方法在性能测试中，我们使用了由思傅伦通信公司提供的SmartBits 6000B测试仪。我们在测试中使用的测试软件为SmartFlow 1.50和WebSuite Firewall 1.10。使用1000Base-X SmartMetrics模块的两个1000Base-SX GBIC，通过光纤将其分别与被测设备的两个千兆端口直连。测试环境如图所示。
集成：改变防火墙角色
从外观上看，不同于以往的防火墙，FWSM防火墙模块本身并不带有任何端口，可以插在Catalyst 6509交换机任何一个交换槽位中，交换机的任何端口都能够充当防火墙端口，一个FWSM模块可以服务于交换机所有端口，在网络基础设施之中集成状态防火墙安全特性。
由于70%的安全问题来自企业网络内部，因此企业网络的安全不仅在周边，防止未经授权的用户进入企业网络的子网和VLAN是我们一直忽视的问题，也正是6509交换机加上FWSM防火墙模块要完成的职责。
如需查看更多的ASA文档，请接入：
/univercd/cc ... 60/config/intro.htm
Q. Cisco PIX防火墙和PWSM的特性有何区别？
A. FWSM支持Cisco PIX防火墙6.0版本的所有功能和6.2版本的某些功能。下表列出了它们的主要区别。如需查看这些区别的详细说明，请参阅"Cisco PIX与防火墙模块的区别"文档。[提供该文档的URL][应当链接到防火墙网页]
我们以往接触比较多的防火墙大都是单独的设备产品，抑或是与路由器集成在一起的模块，这种防火墙往往是位于网关位置，担当了内外网之间的防护线职能。而思科系统公司充分利用自己对网络的理解，以一种不同的理念和思路把安全贯彻到了网络上的每一个角落。当我们《网络世界》评测实验室拿到插入FWSM防火墙模块的被测设备Catalyst 6509交换机时，更是深刻地体会到了Cisco这种独特的视角。
NAT是防火墙的必要特性，FWSM模块不仅对动态和静态NAT提供了良好支持，而且还支持基于端口的PAT（端口地址转换）。在使用PDM时，可通过组合网络对象、服务、协议或端口成为组进行管理和规则配置，最多支持128K ACL设置。
对日志的支持程度是防火墙功能是否完备的重要标志。FWSM不仅支持将日志记录到防火墙中，并对所用缓冲区进行限制，还支持用Syslog服务器记录日志，将日志警告分为8个级别进行限制。
网络特性方面，我们需要提及的是由于与交换机集成，所以FWSM模块拥有很多独特之处，包括可以支持各种百兆和千兆以太网接口，进而拥有了Catalyst 6509交换机的可扩展性，支持静态路由和RIP、OSPF动态路由协议，可以作ARP代理和DHCP服务器。在规则设定中支持基于VLAN设定安全区域，对每个VLAN实施安全策略。
A.不是。主FWSM和冗余FWSM都使用与Cisco PIX防火墙相同的协议交换逻辑更新和状态信息。
Q.怎样将流量发送给FWSM？该模块是否具有外部端口？
·LAN故障恢复：主从备份模式，设备内部/设备之间
·利用OSPF/RIP进行动态路由
·每个机箱支持多个模块
Q.防火墙服务模块（FWSM）和Cisco PIX防火墙之间有何不同？
A. FWSM是Cisco Catalyst 6500系列交换机和Cisco 7600系列互联网路由器的一种集成模块--与独立的Cisco PIX防火墙不同。
FWSM建立在Cisco PIX技术的基础之上。
Q. FWSM运行的是什么操作系统？
A. FWSM和Cisco PIX防火墙运行的操作系统都是实时操作系统Finesse。Finesse是一种真正的微核系统，能够提供可重复使用的软件、便于移植的源代码，并可以提高产品质量，减少测试次数，缩短产品上市时间，提高投资回报。
Cisco Catalyst 6509交换机FWSM防火墙模块配置资料大全
Cisco Catalyst 6509交换机FWSM防火墙模块配置资料大全
Cisco Catalyst 6509交换机FWSM防火墙模块配置资料大全
融合之美尽在“墙”中
——Cisco Catalyst 6509交换机FWSM防火墙模块测试报告
在高可用性方面，不仅在Catalyst 6509上插的两个防火墙模块之间可以实现冗余备份，两台Catalyst 6509交换机之间可以通过LAN进行故障恢复。据思科工程师介绍，6509最多可以插入4个FWSM防火墙模块，这四个模块绑在一起可以提供的吞吐量是单个防火墙模块的4倍。
性能5 Gb 1.7 Gb
VLAN标签有无
路由动态静态
故障恢复使用许可不需要需要
VPN功能无有
IDS签名无有
最大接口数100 10
输入控制列表（ACL）支持1280002M
Q. FWSM的性能如何？
A.总性能约为5Gbps。FWSM可以每秒支持一百万个并发连接，并且每秒可以建立超过10万个连接。
Q. FWSM主要具有哪些特性？
A. FWSM的主要特性包括：
·高性能，OC-48或者5 Gbps吞吐量，全双工防火墙功能
·具有整个X 6.0软件功能集和PIX 6.2的下列特性：
o命令授权
o对象组合
o ILS/NetMeeting修正
o URL过滤改进
·3Mpps吞吐量
·支持100个VLAN
·一百万个并发连接
Q. FWSM所能支持的最低的软件版本是多少？
A.最低的IOS软件版本是12.1(13)E，而综合CatOS的最低版本是7.5(1)。
Q. FWSM支持交换矩阵吗？
A.是的，FWSM支持交换矩阵。它具有一条与总线的连接和一条与交换矩阵的连接。
Q. FWSM是否利用热备份路由协议（HSRP）实现冗余？
Q. FWSM用什么机制检测流量？
A. FWSM使用与Cisco PIX防火墙相同的检测算法：自适应安全算法（ASA）。ASA是一种状态检测引擎，可以检测流量的完整性。ASA可以使用源和目的地的地址和端口、TCP序列号，以及其他TCP标志，散列IP报头信息。散列的作用相当于指纹，即创建一个独特的代码，表明建立输入或者输出连接的客户端的身份。
传统防火墙往往会成为网络上的瓶颈，因此性能是用户相当关心的问题。通过此次测试（请见表中数据），我们可以看到出众的性能是FWSM与Catalyst 6500紧密集成所带来的结果，交换机的优异性能表现在启动防火墙后同样得到了良好的体现。
去年我们曾经作过千兆防火墙公开比较评测，当时测试环境是在两条流条件下进行的，成绩最好的千兆防火墙在64字节帧长下吞吐量达到59%线速。此次测试我们选用两个1000Base-SX分别作内、外网口，采用20条UDP流并存的条件下，测试结果64、512、1518三种帧长下吞吐量为85.19%、100%、100%,显然，与以往我们曾经测试过的结果相比，吞吐量性能更为出色。
FWSM防火墙模块能够支持H.323、SIP等VoIP相关协议。
PDM提供的状态监控功能非常强大，可以按照图形或表格形式非常直观地显示CPU、内存利用率以及进出防火墙的数据包状态等详细信息。
易于查找的帮助信息也是思科为用户考虑的周到之处，用户通过Web界面可以非常容易得到相关信息。
性能：多流环境上佳表现
Catalyst 6509作为企业的汇聚或核心交换机，往往要为企业的不同部门划分子网和VLAN，FWSM模块的加入为不同部门之间搭建了坚实的屏障。
与传统防火墙的体系结构不同，FWSM内部体系主要由一个双Intel PIII处理器和3个IBM网络处理器以及相应的ASIC芯片组成。其中两个网络处理器各有三条千兆线路连接到6509的背板上。FWSM使用的是Cisco PIX操作系统这一实时、牢固的嵌入式操作系统，采用基于ASA（自适应安全算法）的核心实现机制，继承了思科PIX防火墙性能与功能方面的既有优势。
而且，我们还发现由于配置为按照目的端口进行负载均衡，在防火墙上使用show conn命令可以实时观察到网络处理器之间确实对所承担的Session进行了分担。
帧丢失率和延迟的测试结果更是让人眼前一亮，三种帧长下的结果为6.29%、0、0。在吞吐量的条件下测试的延迟结果也均在90祍以下。
衡量防火墙性能的一个更有标志性的指标“最大TCP/HTTP并发连接数”结果为942802，完全可以满足大型企业级用户的需求。
我们用WebSuite Firewall完成了最大并发连接数的测试，测试速率为4000个连接/秒。每项测试我们都进行三遍，最终取平均值作最后结果。
被测的Catalyst 6509交换机控制引擎配置为SUP2/MSFC2,IOS版本为12.1(13)E5,FWSM软件版本为1.1(2),PDM版本为2.1(1)。
Q.装有FWSM的Catalyst 6500主要部署在什么地方？
A.装有FWSM的Cisco Catalyst 6500系列可以提供目前性能最高的防火墙功能--它能够让企业将多种关键任务型防火墙功能整合到一个设备之中，从而减少分散的防火墙的个数，简化对多个防火墙的管理。FWSM主要部署在企业园区的边缘和分布点。
性能测试结果
帧长
64字节
512字节
1518字节
吞吐量
85.19%
100%
100%
帧丢失率
6.29%
0
0
延迟（μs）
80.88
48.86
81.29
最大并发连接数
942802我们可以看到防火墙与交换机的结合在提升企业网络内部安全性的同时对网络性能的影响并不大，让用户可以真正体验到安全与性能的完美结合。传统防火墙处于网关位置，往往会结合入侵检测或VPN功能，是各种功能的综合体。而思科Catalyst 6500系列FWSM模块的防火墙特性更为突出，不但可以单独工作，还可以与部署在同一台6500交换机箱中独立的入侵检测模块、VPN模块和SSL加密模块密切协作，各司其职，这也显示了细化分工的趋势，使企业可以按照更为清晰的架构搭建多层次的安全网络。测试方法在性能测试中，我们使用了由思傅伦通信公司提供的SmartBits 6000B测试仪。我们在测试中使用的测试软件为SmartFlow 1.50和WebSuite Firewall 1.10。使用1000Base-X SmartMetrics模块的两个1000Base-SX GBIC，通过光纤将其分别与被测设备的两个千兆端口直连。测试环境如图所示。
集成：改变防火墙角色
从外观上看，不同于以往的防火墙，FWSM防火墙模块本身并不带有任何端口，可以插在Catalyst 6509交换机任何一个交换槽位中，交换机的任何端口都能够充当防火墙端口，一个FWSM模块可以服务于交换机所有端口，在网络基础设施之中集成状态防火墙安全特性。
由于70%的安全问题来自企业网络内部，因此企业网络的安全不仅在周边，防止未经授权的用户进入企业网络的子网和VLAN是我们一直忽视的问题，也正是6509交换机加上FWSM防火墙模块要完成的职责。
如需查看更多的ASA文档，请接入：
/univercd/cc ... 60/config/intro.htm
Q. Cisco PIX防火墙和PWSM的特性有何区别？
A. FWSM支持Cisco PIX防火墙6.0版本的所有功能和6.2版本的某些功能。下表列出了它们的主要区别。如需查看这些区别的详细说明，请参阅"Cisco PIX与防火墙模块的区别"文档。[提供该文档的URL][应当链接到防火墙网页]
我们以往接触比较多的防火墙大都是单独的设备产品，抑或是与路由器集成在一起的模块，这种防火墙往往是位于网关位置，担当了内外网之间的防护线职能。而思科系统公司充分利用自己对网络的理解，以一种不同的理念和思路把安全贯彻到了网络上的每一个角落。当我们《网络世界》评测实验室拿到插入FWSM防火墙模块的被测设备Catalyst 6509交换机时，更是深刻地体会到了Cisco这种独特的视角。
NAT是防火墙的必要特性，FWSM模块不仅对动态和静态NAT提供了良好支持，而且还支持基于端口的PAT（端口地址转换）。在使用PDM时，可通过组合网络对象、服务、协议或端口成为组进行管理和规则配置，最多支持128K ACL设置。
对日志的支持程度是防火墙功能是否完备的重要标志。FWSM不仅支持将日志记录到防火墙中，并对所用缓冲区进行限制，还支持用Syslog服务器记录日志，将日志警告分为8个级别进行限制。
网络特性方面，我们需要提及的是由于与交换机集成，所以FWSM模块拥有很多独特之处，包括可以支持各种百兆和千兆以太网接口，进而拥有了Catalyst 6509交换机的可扩展性，支持静态路由和RIP、OSPF动态路由协议，可以作ARP代理和DHCP服务器。在规则设定中支持基于VLAN设定安全区域，对每个VLAN实施安全策略。
A.不是。主FWSM和冗余FWSM都使用与Cisco PIX防火墙相同的协议交换逻辑更新和状态信息。
Q.怎样将流量发送给FWSM？该模块是否具有外部端口？
·LAN故障恢复：主从备份模式，设备内部/设备之间
·利用OSPF/RIP进行动态路由
·每个机箱支持多个模块
Q.防火墙服务模块（FWSM）和Cisco PIX防火墙之间有何不同？
A. FWSM是Cisco Catalyst 6500系列交换机和Cisco 7600系列互联网路由器的一种集成模块--与独立的Cisco PIX防火墙不同。
FWSM建立在Cisco PIX技术的基础之上。
Q. FWSM运行的是什么操作系统？
A. FWSM和Cisco PIX防火墙运行的操作系统都是实时操作系统Finesse。Finesse是一种真正的微核系统，能够提供可重复使用的软件、便于移植的源代码，并可以提高产品质量，减少测试次数，缩短产品上市时间，提高投资回报。
Cisco Catalyst 6509交换机FWSM防火墙模块配置资料大全
Cisco Catalyst 6509交换机FWSM防火墙模块配置资料大全
Cisco Catalyst 6509交换机FWSM防火墙模块配置资料大全
融合之美尽在“墙”中
——Cisco Catalyst 6509交换机FWSM防火墙模块测试报告
在高可用性方面，不仅在Catalyst 6509上插的两个防火墙模块之间可以实现冗余备份，两台Catalyst 6509交换机之间可以通过LAN进行故障恢复。据思科工程师介绍，6509最多可以插入4个FWSM防火墙模块，这四个模块绑在一起可以提供的吞吐量是单个防火墙模块的4倍。
