-
防火墙的主要性能参数和测试方法
防火墙的主要性能参数
分为两个部分
，第一部分是通用性能指标，定义在
RFC2544
。第二部分
是专用部分，
定义在
RFC2647
。
通用性能指标
，包括
Throughput
，
FrameLoss
，
Latency
，
B
acktoBack
等。这些性能参数与其
它网络设备是相同的
，不做详细描述。
专用性能指标
，主
要指
RFC2647
中定义的几个关键指标。包括
Concurrent
Connections
，
Connection
Establishment
，
Connection
Establishment
time
，
Connection
Teardown
，
Connection
Teardown time
，
Goo
dput
。
首先讲什么是
connections
。
Connection
s
一般是指两个网络实体进行数据交换前后对协
议参数进行协商
和确认的过程。交换数据前的协商称为连接建立过程，即
Connection
establishment
。交换数据后的协商成为连接拆除过程，
即
Connection
teardown
< br>。典型的连接
是
tcp
连接。<
/p>
ConCurrecnt
Connections
或者
maximum number
of concurrent connections
，就是我们
常说的最大并发连接数。
是指防火墙中最多可以建立并保持的连接，
只有这些连接的数据是
可以被转发的，
其它连接的数据
讲被丢弃。
这个指标用来衡量防火墙可以承载多少主机同时
在线
，也就表示可以支持什么规模的网络。
Connection
establishment
或者
Maximum
number of connections establishment per
second
，是每秒新建连接数。指防火墙建立连接的速率，如果
< br>1
秒钟内最多有
5000
个连接
握手过程被成功转发，则每秒新建连接数是
5000
。
Connection
establishment time
，连接建立时间。指从连接建立请求发出，到连
接成
功建立所花费的时间，
这其中也包括两个网络实体自身需要
的处理时间。
在网络实体自身处
理时间可以忽略的情况下，
防火墙就是连接时延的主要原因。
这个参数与每秒新建连接其实
是相关的。
Connection
teardown
或者
Maximum number of
connections teardown per second
，是
每秒拆除连接数。指防火墙拆除连接的速率。
Connection
teardown
< br>time
，连接拆除时间。指从连接拆除请求发出，到连接删除所花
费的时间，这其中也包括两个网络实体自身需要的处理时间。
Goodput
，正确转发率。首先这个转发率是指
allowed traffic
，即只有防火墙规则允
许的流
才能衡量转发率，被
drop
的数据是不能作为测量标准的。其
次这个转发率是指有连
接协议中连接建立后的数据转发率。最后这个转发率中必须减去重
传的数据。这个参数与
throughput
很些相似，但一般
的测量方法中
throughput
使用
udp
测试，但
goodput
必须
使
用
tcp
等有连接协议测试。
防火墙的性能参数测试方法。
通用性能参数的测试方法与其它网络设备如路由器，
交换机相同，
不做详细介绍。
专用
性能指标的测试工具常用的
有
Smartbits
WebSuit
和
Ixia Ixweb
（新的版本叫
Ixload
）。
个人
认为
WebSuit
比较好用，
了解的
也比较多，
所以这里就介绍如何使用
WebSuit
测试防火
墙的性能。
W
ebSuit
可以测试的性能参数包括：
Concurrent
connections
，
Maximum
Connection
Rate
，
Maximum
Session Rate
，
Mixed Traffic
，
Goodput
。其中
< br>concurrent connections
和
Maximum
Connection
Rate
中可以测试
Connnection
establishment time
。
Max
Session
Rate
中
可
以
测
试
connec
tion
teardown
和
connection
teardown
time
。
Concurrent <
/p>
connections
和
Maximu
m Connection Rate
的测试一般使用
tcp
connection traffic
或者
tcp
connection/http
traffic
。
Maximum
Session
Rate
使用
tcp
session
traffic
。<
/p>
Goodput
使用
http
。
下面重点介绍一下这四中流的发送原理，以三
次
tcpconnection
握手和三次
tcp
close
拆除为例。
Tcp session traffic
：根据指定速率建立
连接，每个连接建立后立即拆除连接。不能确认
连接。
tcp session traffic
Tcp connection traffic
：根据指定速
率，建立所有连接，如果选择确认和拆除，在所有
连接建立后在进行连接确认和拆除。<
/p>