实实在在的100G——华为赛门铁克USG9560评测报告

实实在在的100G——华为赛门铁克USG9560评测报告作者：暂无来源：《计算机世界》 2012年第1期毫无疑问，我们已经步入了云时代。

放眼神州大地，一座座数据中心如雨后春笋般拔地而起，服务器数量与网络基础架构的规模屡创新高；互联网建设也在高速发展，骨干与接入带宽的不断提升，为用户业务带来了日新月异的应用体验；而3G 与无线技术的普及，又让移动终端成为后PC 时代真正的宠儿，正在掀开移动互联的新篇章。

从底层网络的角度看，通信技术的发展构建了多个维度的高速通路，让一切变为现实。

同样，用户也必须借助不断创新的安全技术，建立与网络规模相匹配的防护体系，为业务保驾护航。

经过国内外安全厂商的不懈努力，目前顶级防火墙的处理能力已经达到百G 级别。

这并不是个宣传意义大于实际意义的噱头，因为用户的需求已经迫在眉睫。

在今年国内运营商的安全产品招标中，对高端防火墙的性能要求达到了40G ?80G，距离部署百G 产品的日子已不再遥远。

针对这一趋势，华为赛门铁克也于近期推出了全新的USG9500 系列产品，再次升级了高端产品线。

我们也在第一时间对USG9560 这款产品进行了测试，亲身体会了新一代百G 产品带来的与众不同的应用体验，在此与读者朋友们分享。

规格领先功能全面华为赛门铁克USG9500 系列包含USG9520、USG9560、USG9580三款产品，均基于华为高端路由硬件平台打造。

设备中所有部件均为冗余设计，其中单板、电源模块和风扇支持热插拔，符合电信级别的高可靠性要求。

三款产品的区别主要体现在扩展槽位的数量与整机性能方面，最高端的USG9580 提供了多达16个接口/ 业务扩展槽位，标称具有2.56T 交换容量及240G接口容量，是新系列中的旗舰产品；最低端的USG9520 则针对主流的万兆及多千兆接入环境设计，提供3 个接口/ 业务扩展槽位，标称最大40G 的整机处理能力，具有灵活的扩展性和相对较高的性价比。

我们测试的这台中端定位的USG9560 则需占用14U 的机架空间，提供了11 个扩展槽位，其中3 个用于安装主控交换（SRU）及交换引擎（SFU）。

SRU主要负责设备管理、系统监控与调度、路由计算等工作，同时内置一个交换引擎。

当插满两个SRU 与1个SFU 时，两套主控系统会工作在主备状态，3 个交换引擎工作在2 主1 备的状态，提供1.44T 的交换容量。

这种设计可以保证设备在任意一块SRU 或SFU 出现故障时还能正常工作，且性能不会出现瓶颈。

USG9560 上剩余的8 个槽位用于安装业务卡（SPU）与接口卡（LPU），考虑到未来接口容量与性能的升级，每槽位设计带宽达到双向200G。

在SPU 与LPU 的设计上，华为赛门铁克采用了模块化的思路，显得非常独特。

SPU 板载了两颗1GHz 主频的NetLogic XLR732 处理器，具有10G 的处理能力。

该卡同时提供了一个子卡插槽，可安装同样配置的业务处理子卡（SPC），将单板处理能力提升至20G。

而LPU也提供两个子卡插槽，可安装不同类型的接口模块子卡（包括以太网与POS），目前可实现单子卡两个万兆或20 个千兆的接口密度。

与我们去年测试过的USG9110不同的是，USG9500 系列产品中的SPU 和LPU之间没有任何强制性的对应要求，用户可根据需要进行灵活搭配。

在基本功能与安全业务方面，USG9500 系列产品已经实现得相当全面。

该产品可以支持NAT 端口复用，能够有效减少海量用户使用互联网时对公网IP 的依赖，对运营商、行业用户及园区网用户有很大的实际意义。

除了防火墙，USG9500 还具有VPN、应用流量识别控制、IPS 和抗DDoS 的能力（后两者使用单独的业务插板实现），以满足数据中心为代表的新应用场景的复杂需求。

借助华为在数通领域的长期积累，USG9500 系列产品在路由支持的种类、兼容性等方面有着先天优势，既能可靠地独立或参与组网，亦可在遭到DDoS 攻击时与上下游网络设备联动，实现流量的牵引、清洗与回注。

架构灵活性能强大与USG9000 家族中的其他产品一样，USG9500 系列产品也采用了“两分布、一统一”的设计思路，即分布式处理、分布式转发与统一管理。

由于集成了高性能的网络处理器，LPU 可以实现基于多种策略的数据分发操作，将流量尽可能均衡地交给每个SPU 上的每一颗处理器进行处理。

这也意味着，该产品可以通过增加SPU 数量的方式，线性提升整机的处理能力。

我们在随后的测试中使用了多至5 块内置SPC 子卡的SPU 及3 块具有4 个万兆XFP 接口的LPU，组成20G ?100G 规格的多种配置，对这一特点进行了验证。

测试仪器为搭配了多个10G-LSM-XM4S 网络层测试模块和Acceleron-NP 应用层测试模块的IXIA Optixia XM12。

当USG9560 中只有1 块SPU 卡工作时，该系统（路由模式，1条全通策略，后同）在IMIX 模型（UDP 混合包，64Byte:594Byte:1518Byte=7:4:1）下的吞吐量为20G，平均延迟为85 微秒。

如果再增加一块SPU，IMIX 吞吐量马上提升至40G，平均延迟保持不变。

当5 块SPU 卡均处于工作状态时，系统的整机IMIX 吞吐量达到100G，平均延迟则小幅上升至106 微秒。

在这个过程中，每颗CPU 的使用率都保持一致，系统的负载均衡效果十分优秀。

我们也试着在处理能力留有足够余量的情况下在线减少SPU 卡的数量，USG9560 会立刻自动对负载进行重新分配，达到新的均衡处理状态。

除了吞吐量与延迟外，分布式处理、转发的优势在连接相关的性能指标上也有所体现。

当使用1 块SPU卡时，我们测得的整机HTTP 新建能力（64Byte 页面，后同）为每秒669463 个连接，最大并发连接数为8340904，达到并超过50 万/800 万的标称值；两块SPU 同时工作时，HTTP 新建连接数提升至1360407，最大并发连接数也达到了16681108。

由于测试仪器的限制，我们没有再对配备更多SPU卡时的性能进行测试，但仅从这两组数据中，已经可以看出整机的连接处理能力可以随着SPU板卡数量的增多而线性提升。

对于数据中心这样的应用场景来说，其可能受到攻击的规模之大、种类之复杂，是集成于UTM、NGFW 等设备中的抗DDoS 功能所难以抵御的。

针对这种情况，华为赛门铁克将该功能独立出来，以专用业务卡的形式提供了高性能抗DDoS 解决方案（单卡标称10G流量清洗能力，同样可以通过扩展子卡提升一倍）。

我们也利用手头的测试仪器，对插入1 块抗DDoS 业务卡（不含扩展子卡）的USG9560 进行了测试。

面对测试仪分别生成的10G 线速SYN-Flood、UDP Flood 和DNS-Flood 攻击流量（64Byte，后同），该设备可以将攻击流量完全阻断，同时保证后端服务器的正常访问，此时DDoS 业务卡上的CPU 使用率分别为87%、70%、83%；我们又按1:1:1 的比例发起了包含三种攻击的混合流量，USG9560 依然可以将攻击完全阻断，此时的CPU 平均使用率为81%，仍留有部分余量。

TCAM：让天堑变通途作为成本、查找速度均极为惊人的可寻址存储器，TCAM 大多被用于核心路由器、数据中心交换机等高端数据通信产品，在安全设备中极少出现。

不过，我们去年在USG9110 产品测试中，已经注意到其业务板上配备有TCAM。

如今，这一设计被USG9500 系列产品所沿用，大有发扬光大之势。

这是个令人费解的举动，因为厂商在设计产品时会本着“次优”和“榨干”硬件处理能力的原则，选择能满足需求的最简单、成本最低的解决方式。

对于TCAM 这种成本极高昂的器件来说，除非它能让产品性能产生革命性的变化，否则绝无使用的道理。

那么，华为赛门铁克坚持在高端安全产品中使用TCAM 意义何在？我们通过混合非法流量和访问控制列表（以下简称ACL）查找两个测试用例，进行了一系列的验证。

在合法数据流中混合非法流量，是安全产品测试中不可或缺的手段之一。

目前，几乎所有状态检测防火墙都借助快速转发技术提升性能，当合法数据流建立后，流信息会被下发到防火墙状态表中，剩余报文可根据状态信息直接转发；非法流量则通常不会建立状态，这就意味着流中每一个数据包均要由处理器进行完整流程上的处理，其中就包括了资源开销非常大的ACL查找操作。

当非法流量的比例达到一定程度的时候，防火墙就会因资源耗尽导致性能大幅下降。

以我们去年测试过的一款64Byte UDP 帧吞吐量达到8Gbps 的防火墙为例，当测试流量由合法的8G 变为6G 合法流量+2G 非法流量后，该设备的吞吐量竟然下降到100Mbps 以下。

由于TCAM 的存在，USG9560在处理非法流量时的性能开销大幅减小，处理能力也就得到了保证。

我们在1 块SPU 处于工作状态的前提下，向设备的ACL 中加入一条阻断特定流量的策略，再使用测试仪先后发起16G 的正常流量与4G 应被阻断的非法流量（均为UDP/386Byte帧长）。

USG9560 在只有正常流量通过的情况下，可以做到不丢包转发，此时的CPU 使用率仅为21%；当加入4G 非法流量后，正常流量的转发没有受到任何影响，非法流量则被完全阻断。

此时SPU 卡的CPU占用率上升至47%，仍有余力处理其他安全业务。

从这个结果中可以看出，虽然TCAM 没能让设备的理论性能得到进一步提升，却在处理非法流量时弥补了性能短板，在实际环境中体现了其存在的价值。

与混合非法流量的测试相比，ACL 查找能力测试更偏向底层，但在园区网、骨干网和数据中心规模不断扩大的今天，许多用户需要借助防火墙实现更加复杂的访问控制，这个原本偏重理论层面的测试用例也就有了更多的实际意义。

我们知道，大部分采用状态检测机制的防火墙会在启动时对用户设定的ACL进行预处理，将其转换为引擎可识别、查找的树或矩阵。

转换算法的优劣决定了存储空间的占用、转换速度和查找性能，是厂商核心技术能力的体现。

好的转换算法不但能以较低的资源代价实现较高的查找性能，还可以对ACL 进行有效的优化合并。

比如许多测试中使用的针对1 个C 段内连续IP 而设定的策略，最优状态下可以被合并为1 条等效策略，其测试数据显然不能代表设备在实际环境下的性能。

有鉴于此，我们在制定实验室安全产品测试规范的过程中，包含了基于复杂策略的测试用例。

该用例中的ACL 列表模拟部分用户的配置思路，包含了5000 条不相关联的策略。

它使用有针对性的算法生成，阻止主流转换算法对其进行优化，且令生成的树或矩阵变得极其复杂，显著提升了设备查找时的性能开销。

一些产品在测试中无法正常加载此ACL，或会在加载后性能大幅下降。