网络灾难堪比“2012”小包处理乃是“方舟”关键

oops1

随着各种变态的网络应用的不断推出，我们的网络环境备受拷问。如果一个企业的内网的员工都在毫无限制的下着迅雷、玩着网游、听着在线音乐、看着网络视频……那海量的数据会像电影“2012”中的滔天巨浪一样将带宽瞬间吞没。我们需要“诺亚方舟”那样的防火墙来阻止这种灾难！
一个优秀的“方舟”必须有精密的全船控制系统、坚固的船体、优秀的船体设计、大容量的船内空间……
一个优秀的防火墙必须拥有良好的操作系统、合理的技术架构，高效的处理芯片，优秀的算法、良好的抗攻击特性……
经常可以看到一些配置不高，性能不佳的防火墙产品在大流量冲击下死机或挂起，轻则造成网络堵塞上网奇卡无比。重则导致网络中断、业务完全无法进行。
迅雷、网游、在线音乐、网络视频在网络中都是以64～256字节左右的小包为主，在相同1G吞吐下，64字节数据包的数量是1518数据包数量的18倍。从国家互联网应急中心统计的数据看，2年来UDP15000和8000的比例明显提高，这是迅雷、在线游戏和QQ等的应用。而在国际权威组织IEEE的调查显示，真实网络环境中这一类的数据包也是最多的。能利落搞定小包的防火墙，才能称的上一款高效实用的防火墙。
我们不妨来看看国内一款叫“小包王”的千兆安全网关，从名字就能看出来这款产品的优势所在。他们为何对自己这款产品有这样的自信？网御神州的技术人员随即为笔者解开了疑惑：
一、网神的小包王是以”多核并行安全操作系统SECOS”为基础的，结合以上“诺亚方舟”的说法，它具有良好的操作系统（精密的全船控制系统）。
二、基于大容量可编程ASIC的多核加速引擎，可以很好的处理防火墙、VPN、QOS等网络层数据，大幅提升产品的处理性能（大容量的船内空间）。
三、基于硬件实现的多核负载均衡技术，能够将需要应用层处理的流量按照比例分配到不同的CPU核上，最大程度的做到了多核间的并行处理，大幅提升了设备的应用层处理性能（优秀的船体设计）。
四、多核与加速引擎，核心处理分离，提高了系统稳定性，并且多核之间相互监控，一旦有一个核出现故障，业务可迅速切换到其他核（坚固的船体）。
符合以上四点，一艘可以拯救网络灾难的“诺亚方舟”就可以造出来了。
不过简单浏览以上四点，可能会觉得别的防火墙厂商也有类似的架构和技术。那我们再深究一下，一款防火墙要在网络层小包处理方面领先对手，关键在哪里？
网御神州安全网关事业部副总经理王如章指出，处理网络层数据的关键就是在第二点——大容量可编程ASIC的多核加速引擎。换言之，要体现防火墙小包处理优势 ASIC利用率是关键。
他给笔者看了两张图，一张是目前业界主流的网络产品架构（增加HASH算法的树型搜索算法），如图1所示。

图1

它的优点是相对单树结构，树的个数增加，规模减小，可以大幅提升查找效率，缺点是对于表项规模更大的情况，树的规模大，查找效率相对较低。适用于表项较少的搜索，一般在50万以下的表项规模。
第二张是二维矩阵的树型搜索算法树形结构，如图2所示。

图2

这类算法结构目前为一些厂商所专有，优点是树的个数成指数增加，可以大幅提升查找效率，相对增加HASH算法的树型搜索算法树形结构，搜索效率提升10倍以上。缺点是逻辑设计复杂，硬件实现难度大。适用于表项规模更大的搜索，一般在50万以上的表项规模设计。比如网神的小包王系列就是用的这类架构。

只有用强大的算法将ASIC的性能发挥到极致，一个防火墙才有处理好小包的底气！希望国内的防火墙厂商都能建造出这样不惧“小包”压力的“方舟”，让大家的网络远离灾患。

【51CTO.COM 独家特稿，转载请注明出处及作者！】

http://netsecurity.51cto.com/art/200912/166417.htm

【推荐】

各种网络应用层出不穷，庞大数量的用户无节制地下载海量的数据，这些行为很容易耗尽带宽，防火墙需要针对超量数据流进行必要的专门限制才能防止网络崩溃。