网络空间安全:行业资讯、技术分享、法规研讨、趋势分析……

“游侠安全网”创建了网络安全从业者QQ大群(群号:1255197) ,欢迎各位同仁加入!有其它问题如合作等,请联系站长“网路游侠”,QQ:55984512


毫不妥协的性能表现 测飞塔NGFW 1500D

2014-08-20 17:36 推荐: 浏览: 132 views 字号:

摘要: 作为网络部署中安全防护的第一道防线,防火墙的重要性不言而喻。最早的防火墙可以追溯到上世纪80年代末期,距今已有二十多年的历史——1989年包过滤防火墙诞生,随后又相继出现了代理防火墙,以及被广泛认知的基于状态检测技术的防火墙;而到了2004年,随着防火墙开始以...

作为网络部署中安全防护的第一道防线,防火墙的重要性不言而喻。最早的防火墙可以追溯到上世纪80年代末期,距今已有二十多年的历史——1989年包过滤防火墙诞生,随后又相继出现了代理防火墙,以及被广泛认知的基于状态检测技术的防火墙;而到了2004年,随着防火墙开始以UTM(统一威胁管理)形态出现,安全功能与性能不可兼得的问题开始显现,并在随后的几年时间里愈演愈烈,即使到了如今这个“下一代防火墙(NGFW)”的时代,该问题仍未得到有效解决。而近日,Fortinet(飞塔)则推出了一款高性能的NGFW——FortiGate-1500D,旨在攻破安全功能与性能只能相互妥协的难题!

FortiGate-1500D是飞塔FortiGate D系列中的中高端产品,适用于大型企业园区、MSSP和小型数据中心。其能够在如今大规模的威胁环境下有效保护网络的安全,并且不影响网络的性能;同时,其还具备深度数据包检测、应用可视化和网络流量控制等“下一代”安全防护能力(需搭载FortiOS 5.2操作系统),并可与FortiSandbox沙盒产品集成联动,从而有效防御APT威胁。

毫不妥协的性能表现 测飞塔NGFW 1500D
Fortinet FortiGate-1500D高性能下一代防火墙

FortiGate-1500D的机身仅有2U高,但却集成了高密度端口——拥有超过30个GE端口/插槽和8个10GE SFP+插槽,在节省机房空间的同时,提供了丰富的网络接入能力(消除安全带来的瓶颈)。而双电源的设计,也使其稳定性得到了有效保证。

熟悉Fortinet(飞塔)的朋友都知道,其FortiGate系列产品的与众不同之处就是其创新的内部架构——在通用CPU的基础上,引入了专门的网络处理器ASIC NP芯片(提升新建会话和转发性能)和内容处理器ASIC CP芯片(为安全功能加速),而这也正是其实现安全功能与性能可以兼得的关键!

毫不妥协的性能表现 测飞塔NGFW 1500D
采用NP6网络处理器*2和CP8内容处理器的FortiGate-1500D

具体到FortiGate-1500D来说,其采用了Fortinet(飞塔)最新推出的NP6网络处理器*2与CP8内容处理器。其中,NP6可进一步提升新建会话率与设备接口转发性能;而CP8则可实现多功能防火墙的七层功能(DPI等)安全加速,比如IPS、应用识别等。这使其性能较上一代(采用NP4和CP7处理器)产品提升了一倍,也让我们对FortiGate-1500D攻破“安全功能与性能只能相互妥协”这一难题充满信心。

好啦,关于Fortinet FortiGate-1500D高性能下一代防火墙的基本信息我们就介绍到这里,马上来看它的实测表现,看看它能否突破传统!

FortiGate-1500D的测试平台和测试方法

为了更好地测试FortiGate-1500D的实际性能表现,我们特别挑选了Ixia最新推出的PerfectStorm ONE测试平台,该平台可提供4个1Gpbs端口、8个10Gbps端口、甚至是2个40Gbps端口;其能轻松模拟超过245种应用和35000种恶意攻击,并且在每秒200万个新会话的情况下支持多达6000万个并发会话,可全面展现FortiGate-1500D最真实的性能表现!

毫不妥协的性能表现 测飞塔NGFW 1500D
Ixia PerfectStorm ONE测试平台

根据Fortinet(飞塔)的介绍,FortiGate-1500D可提供80Gbps(1518byte)的防火墙吞吐能力,并且具备1200万并发会话,以及25万每秒新建会话的能力;而在下一代防火墙性能方面,其在开启IPS之后的性能仍可达11Gbps。

不可否认,上述FortiGate-1500D的性能数据确实很“漂亮”,但笔者认为,防火墙的测试,除了最高理论吞吐性能之外,并发测试、新建会话测试、IPS吞吐性能测试等,都必须考虑到实际场景。比如,在实际场景中,不可能在没有基础流量的情况下产生新建连接请求;因此,想要测试防火墙在真实场景下的新建连接速率,就必须在已有大量背景流量的情况下进行测试,如果其仍能达到很高的新建连接速率,才说明该防火墙真正具备很高的实际场景处理能力。

综上所述,我们针对FortiGate-1500D的实际性能测试,将不再针对其基本的理论吞吐性能,而是在应用识别、IPS、Web过滤和DLP四大功能全部开启的情况下(实际场景模拟),实测其最大并发会话数、每秒新建会话数、以及NGFW吞吐性能。这样的测试结果才真正具备参考意义!

毫不妥协的性能表现 测飞塔NGFW 1500D
实测FortiGate-1500D

测试拓扑:将FortiGate-1500D的8个10GE端口与Ixia PerfectStorm ONE的2个40GE端口互联。

测试内容:最大并发会话数,每秒新建会话数,以及NGFW吞吐性能。

一切准备就绪,马上开始实际测试!

如今,移动互联网、社交媒体全面兴起,而电商活动更是层出不穷,这使得企业、服务提供商等的网络中的峰值流量屡屡突破记录。因此,无论是企业、MSSP,还是小型数据中心,其防火墙必须具备较高的最大并发会话和每秒新建会话能力,才能满足当前,甚至未来几年的发展需求。那么Fortinet FortiGate-1500D的实测表现如何呢?一起来看测试结果!(PS:此次测试在应用识别、IPS、Web过滤和DLP四大功能全部开启的情况下进行的)

最大并发会话数测试:

毫不妥协的性能表现 测飞塔NGFW 1500D
FortiGate-1500D最大并发会话数测试结果图

毫不妥协的性能表现 测飞塔NGFW 1500D
FortiGate-1500D最大并发会话数:590万

每秒新建会话数测试:

毫不妥协的性能表现 测飞塔NGFW 1500D
FortiGate-1500D每秒新建会话数测试结果图

毫不妥协的性能表现 测飞塔NGFW 1500D
FortiGate-1500D每秒新建会话数:16万

通过实际测试结果我们不难看出,在考虑到实际场景已有基础流量的前提下,FortiGate-1500D的实际测试结果(其中,最大并发会话数的测试结果为590万,而每秒新建会话数的测试结果则为16万)相比飞塔所公布的数据(理想测试条件)还是有些差距的。但如果与同类型的安全设备进行横向对比,FortiGate-1500D的测试结果还是相当不错的;而且这样的实测性能表现,也完全可以满足当前,及未来几年中企业、MSSP,小型数据中心等的发展需求。

前文已经提到,自UTM时代开始,安全功能与性能就成为了不可兼得的难题。而在如今的“NGFW”时代,IPS虽然已经成为NGFW的基本功能,但放眼整个安全行业,在开启这一基本功能之后,NGFW的吞吐性能表现依然能够令人满意的却不多。那么FortiGate-1500D的表现能否令人满意呢?让我们拭目以待!

开启IPS后的吞吐性能测试:

毫不妥协的性能表现 测飞塔NGFW 1500D
FortiGate-1500D在开启IPS后的吞吐性能测试结果图

毫不妥协的性能表现 测飞塔NGFW 1500D
FortiGate-1500D在开启IPS后的吞吐性能:15.4Gbps

经过实测,FortiGate-1500D在开启IPS功能后的吞吐性能居然达到了15.4Gbps,这一结果相比飞塔给出的11Gbps的吞吐性能要高出不少(看来飞塔在NGFW性能方面给出的数据相对保守),表现令人惊喜!而且要强调的是,这一测试还是在开启了应用识别、Web过滤和DLP等功能后取得的,由此可以证明,基于飞塔创新架构(CPU+NP+CP)的FortiGate-1500D,让安全功能与性能的兼得真正成为了可能!

全面展现“高性价比”魅力

2008年Palo Alto Networks发布了下一代防火墙,成为了最早推出NGFW的厂商之一,并且在业界有较高的认可度。但如果你将FortiGate-1500D与Palo Alto的同类型产品(PA系列,开启IPS后的吞吐性能为2Gbps)的测试结果相对比,就不难发现FortiGate-1500D的性能其实有较为明显的优势,而价格却更低。由此可见,FortiGate-1500D的性价比同样诱人!

测试总结:以毫不妥协的性能突破传统!

通过对Fortinet FortiGate-1500D的实测,其出色的表现给我们留下了深刻的印象——即使在应用识别、IPS、Web过滤和DLP四大功能全部开启的情况下,其最大并发会话数和每秒新建会话数的测试结果仍达到了590万和16万,表现不俗;而更加值得一提的是,凭借全新升级的NP6+CP8芯片,FortiGate-1500D以毫不妥协的性能表现,真正突破了传统——实现了安全功能与性能的兼得!因此,对于准备迎接“下一代”安全挑战的企业、MSSP和小型数据中心来说,Fortinet FortiGate-1500D值得选择!

稿源:中关村在线

联系站长租广告位!

中国首席信息安全官