Hillstone SA-5050安全網(wǎng)關性能評測報告
08年10月28日，Hillstone正式發(fā)布了電信級萬兆安全網(wǎng)關SA-5180，完成了從桌面到萬兆核心骨干網(wǎng)級別的產(chǎn)品布局。該公司同時宣布，將與業(yè)界知名的防病毒解決方案提供商卡巴斯基合作，利用其高效、完善的病毒庫，為SA系列安全網(wǎng)關增加防病毒特性。與傳統(tǒng)的純軟件解決方式不同，Hillstone自主研發(fā)的防病毒引擎在高性能多核平臺的基礎上，借助專用安全芯片StoneASIC，可實現(xiàn)更高的處理能力。計算機世界實驗室***時間從Hillstone征集到新版本的 SA系列產(chǎn)品，對加入防病毒特性后的應用層安全性能進行了深入測試。
本次我們測試的產(chǎn)品是SA-5050，這也是SA系列千兆安全網(wǎng)關中***端的型號。該產(chǎn)品采用了Hillstone所倡導的多核Plus硬件架構，將多核網(wǎng)絡處理器、StoneASIC與高性能交換芯片進行合理搭配，減少了應用環(huán)境對性能帶來的影響。雖然只是個標準的1U設備，SA-5050卻提供了6個千兆電口與6組千兆光電互斥接口，網(wǎng)絡接入能力較強。該產(chǎn)品還配備了互為冗余的兩組電源，并支持主/備的雙機冗余部署方式，為電信級應用做好準備。
SA-5050的防病毒引擎支持FTP、HTTP、IMAP4、POP3、SMTP五種協(xié)議，可以對CRYPTFF、GZIP、HTML、JPEG、MAIL、PE、RAR、RIFF、ZIP等類型的文件進行過濾。對于現(xiàn)實中大量存在的壓縮文件，防病毒引擎也可以做到最多5層還原檢測，避免病毒從這種途徑混入內部網(wǎng)絡。為保證測試結果的時效性，我們在測試開始前將SA-5050的防病毒引擎與病毒庫升級至11月6日的***版本。
本次測試采用的測試儀表為思博倫通信的Avalanche2900，采用雙向共8個千兆電口的配置。SA-5050采用8個端口進行對接，分為Trust（4口）與Untrust（4口）兩個安全域，分別連接測試儀模擬的客戶端與服務端。為避免性能受到影響，在測試時關閉了所涉及模塊外的一切功能選項，并采用帶外管理的方式監(jiān)控被測設備。
需求主導的測試方案
在制訂測試方案時，我們進行了一系列用戶需求調查。從反饋信息中了解到，電信運營商對性能有著特殊的要求，通常會采用獨立的設備構建完整的安全防護體系。而企業(yè)與高校則是最關注安全網(wǎng)關應用層防護能力的兩類用戶，它們的需求十分復雜，甚至拓展到防病毒以外的其他領域。我們根據(jù)這些信息制訂了兩個測試用例，著重模擬企業(yè)與高校用戶的使用環(huán)境，對SA-5050的應用層安全性能進行測試。
***個測試用例是關于防病毒性能的基準測試，考察設備在1000條防火墻策略、源端口地址轉換模式下，模擬每秒40000個用戶訪問Web頁面時SA-5050實際能夠達到的性能。測試的事務流程取自大多數(shù)用戶通過瀏覽器訪問網(wǎng)站的完整過程：使用客戶端發(fā)起HTTP 1.1訪問請求，從服務端獲取一個64KB大小的頁面文件，完成后即拆除連接。為防止防火墻模塊對安全策略進行合并等預處理，我們制定了與模擬客戶端、服務端處于同一廣播域內的跳躍式策略，以保證訪問請求在***命中。在這項測試中，SA-5050的吞吐量接近1.9Gbps，表現(xiàn)非常強勁。
第二個測試用例則在剛才的基礎上，開啟P2P/IM控制與URL過濾模塊，加載屏蔽BT、eMule、QQ、MSN四種常見應用和10個URL關鍵字的策略，模擬每秒31000個用戶訪問Web頁面。從技術角度看，這兩類應用都涉及應用層報文處理，理論上會對性能造成比較大的影響，但從調查結果來看，這樣的配置非常具有代表性，更加貼近企業(yè)與高校用戶的實際需求。測試結果顯示，SA-5050在這種環(huán)境下的***可用帶寬超過1.1Gbps，比預想值高出不少。我們還發(fā)現(xiàn)，產(chǎn)品在達到性能極限時，無論是WebUI還是CLI都保持了正常的響應速度，不會出現(xiàn)常見的“假死”情況。
及時的用戶建議
在測試的收尾階段，一位負責校園網(wǎng)安全保障工作的讀者為我們提供了一條很有價值的信息。他所在的學校目前使用一臺兩年前采購的UTM產(chǎn)品做網(wǎng)關，對于設備的使用現(xiàn)狀，這位老師并不是很滿意?！艾F(xiàn)在通過互聯(lián)網(wǎng)下載的文件越來越大，我們發(fā)現(xiàn)UTM掃描大文件時，性能下降太明顯。”這個信息讓我們很受啟發(fā)，既然實際需求的變化暴露出安全網(wǎng)關的一些弱點，不妨再做一下有針對性的測試。
我們沿用第二個測試用例的環(huán)境，將模擬服務端使用的64KB頁面換成一個1.16MB大小的可執(zhí)行文件，進行了多次測試。SA-5050此時***吞吐量達到1.8Gbps左右，被掃描文件體積的增加并未對設備的防病毒性能造成明顯影響。通過與Hillstone工程師的交流，我們得知SA系列產(chǎn)品發(fā)揮了高性能硬件平臺的優(yōu)勢，將文件接收、文件掃描、文件發(fā)送等環(huán)節(jié)同步地并行處理，減少了傳統(tǒng)處理機制造成的低效率、高延遲等情況。
雖然從測試數(shù)據(jù)看，SA-5050表現(xiàn)出來的應用層性能尚不及2-4層性能指標那樣奪目，卻已經(jīng)可以滿足多數(shù)企業(yè)、高校類用戶的實際需要。這是對傳統(tǒng)瓶頸的一次突破，在高性能硬件平臺與新版系統(tǒng)軟件的支持下，Hillstone SA-5050包括防病毒在內的應用層處理能力已大大超越了傳統(tǒng)意義上的防毒墻或UTM產(chǎn)品，達到一個新的高度。
【編輯推薦】
