几年前神州数码发布多核万兆防火墙时,有媒体用了"防火墙终结者"这种标题。说法有点夸张,但它确实点到了一个现实问题:流量涨得太快,老架构的防火墙扛不住了。
传统防火墙大多跑在单核或者少核的通用处理器上,软件转发靠一个核硬扛。千兆时代还凑合,到了万兆链路,包一来就是每秒上百万个,单核处理不过来,结果就是丢包、时延飙升,安全设备反而成了网络瓶颈。
多核万兆防火墙的思路是把活儿拆开干。多个处理器核并行处理不同的流,配合网卡多队列、流表卸载、专用加密加速芯片,让转发和安全检测不再挤在一条路上。好的产品能做到万兆线速下开启IPS、防病毒这些功能还基本不掉速,这才是"万兆"两个字的意义。
选型的时候别只看标称吞吐。厂家宣传的吞吐量往往是"裸转发"数据,一旦开启应用层检测、SSL解密,性能会打对折甚至更多。要问清楚开启全功能后的实际吞吐、最大并发连接数、每秒新建连接数,还有时延指标。电商大促、视频会议这些场景,新建连接数比总吞吐更关键。
部署位置也有讲究。万兆防火墙一般放在核心出口或者数据中心边界,下面挂接的核心交换机要支持流量镜像和策略下发。如果只是把设备串在链路里,开启双机热备和会话同步,才能避免单点故障。策略要定期梳理,几千条规则堆着不管,再强的硬件也快不起来。
说到底,防火墙不是买个盒子就完事,架构、策略、运维三样都得跟上。流量增长不会停,设备选型时留出两三倍的性能余量,比事后换设备划算得多。
下一篇:没有了