关于提高应用层网关防火墙连接速率的解决方案.doc

关于提高应用层网关防火墙连接速率的解决方案 导读：移动通信MOBILE COMMUNICATION关于提高应用层网关防火墙连接速率的解决方案李文森 重庆邮电大学通信与信息工程学院，重庆 400065摘要：首先提出了应用层网关防火墙连接速率比较差的问题，web防火墙网站整体网络安全解决方案 应用层防火墙(application laye移动通信MOBILE COMMUNICATION关于提高应用层网关防火墙连接速率的解决方案李文森 重庆邮电大学通信与信息工程学院，重庆 400065摘要：首先提出了应用层网关防火墙连接速率比较差的问题，然后从 Intel X86 架构、ASIC 架构及 NP 架构对问题进行了分析，最后提出了解决方案，分别是双 NP 架构的方案、双代理模块的方案及双 NP 架构双代理模块的综合方案，并以重庆市育才职业教育中心基于应用层网关的千兆防火墙为例，对解决方案进行了论证。关键词：应用层网关；防火墙；速率；解决方案中图分类号：TP393文献标识码：ASolution for Increasing the Application Layer Gateway Firewall Connection RateLi WensenChongqing University of Posts and Telecommunications, Chongqing 400065Abstract: Firstly, the problem of poor connection speed of the application-layer gateway firewall is proposed. Then the problems are analyzed from the Intel X86 architecture, ASIC architecture and NP architecture. Finally, the solutions are proposed, which are the dual NP architecture scheme, dual-agent architecture and the solution of the combination of dual NP architecture and dual agent module. Taking application of a Gigabit firewall based on the application layer gateway of the Yucai Vocational Education Center in Chongqing as an example, the paper demonstrates the solution. Keywords: application layer gateway; firewall; rate; solution1 问题的提出应用层网关防火墙与其他几代防火墙相比有着得 天独厚的优势，在客户机和服务器之间建立代理服务 器来对数据进行加密处理，大大提高了安全性。但是 在拥有更高安全性的同时，处理速度却下降了。防火 墙的性能主要有三个指标：吞吐量，最大连接数，连 接速率。其中，应用层网关防火墙就是连接速率比较 差，同样的连接速率，因为是双向连接，处理速度往 往会比较慢，在网络流量的高峰期，可能会成为一个 高速连接的瓶颈1。2 对问题的分析我们首先来分析目前基于应用层网关防火墙的三 种架构。2.2 Intel X86 架构这是早期的第二代防火墙所采用的架构。这种防 火墙架构体积小，具有很高的灵活性和扩展性，可以 随时方便地为用户增加各种功能，在早期是非常受欢迎的2。但随着互联网的发展，千兆防火墙开始逐渐进 入人们的视野之后，这款防火墙基本被淘汰。2.2 ASIC 架构提到速率快，首先想到的就是采用 ASIC 架构， 这款防火墙架构是自千兆防火墙诞生以来，首先采用 的一种架构。其特点是内置了指令算法，采用专门电 路芯片来提高数据处理能力3。这种架构在速度上有 大幅的提升，缺点就是需要将指令算法固化到硬件中， 所以扩展性较差，缺乏灵活性，成本和维护费用也非 常高4。2.3 NP 架构经过前面两种架构的发展，出现了 NP（网络处理器） 架构。这种架构的特点是各方面的性能比较平均，综合 性和稳定性非常好，有着比 X86 的更快的连接速率及比 ASIC 有更好的灵活性。此外，NP 架构有个最大的特点， 即采用了专门处理网络数据流量的处理器。对于应用层 网关防火墙采用双向的传输来说，NP 架构无疑是非常合 适的，能够大幅提高 I/O 的速度5。NP 架构能够接受完 全的可移植性，也可以对其进行任意编程来扩展功能，42 2018 年第 4 期MOBILE COMMUNICATION移动通信在具有高处理速度的同时灵活性也非常高。对于构建应 用层网关防火墙来说，NP 架构是很好的选择。根据应用层网关防火墙本身双向代理的特点，以 及综合以上三种架构的优缺点，决定采用 NP 架构作为 改进连接速率的一个重要指标。3 改进的措施3.1 双 NP 架构的方案防火墙的 NP 就好比计算机中的 CPU，是能够同时 处理多个数据的引擎。既然计算机都可以有双核、四核 的 CPU，防火墙为什么不能有双 NP 出现的情况呢？只 不过这种情况功率较大，会增大防火墙来的负载，减少 使用寿命。根据可行性分析得出的结果，如图 1 所示。代理服务接收的数据 代理模块 NP NP用户图 1 双 NP 架构模型通过 ACL 访问控制列表进行过滤的数据，进入代 理模块，进行高速的运算处理，通过集成双 NP 架构的 模型，提高模块运算能力。3.2 双代理模块的方案除了使用双 NP 的情况外，还可以采用双代理模块 来达到同样的效果。一个防火墙是由各个模块组成的， 它们之间相互协调地工作，而通常代理模块需要处理 大量的应用程序6。这里，需要把单个代理模块变为双 代理模块来提高运算能力，因为代理模块是直接与用 户联系的模块，先处理完毕的模块，就将信息传送给 用户，不会出现同时发送而出现拥堵的情况，这样速 度就会有很大的提升，如图 2 所示。代理服务器 接收的数据代理模块 代理模块用户代理服务器 接收的数据代理模块 NP NP代理模块用户NP NP图 3 综合模型况比较极端。采用这种方法在应用层网关防火墙内部 构建模型，不仅可以弥补性能上的不足，而且可能出 现速度成倍地增长。对于那种对速度要求特别高的大 型企业，可以考虑用这种方式来加快连接速度，但是 需要注意两个方面的问题：（1）防火墙成本会大大提 高；（2）需要稳定性很好的防火墙硬件平台来支持这 种高性能的运行。以上三种结构都可以提高应用层网关防火墙的连 接速率，在实际应用中各企业应根据自身需求特点进 行选择。对于中小型企业来说，选择第一种结构是比 较明智的选择，既能够有效提高速度，又能够节约成 本；对于数据流量业务较多的大型企业，可以考虑第 三种结构，高速的性能能够满足高峰期的正常数据通 信，但是也应该注意提出的两个问题，而且对防火墙 硬件的消耗是肯定的，需要使用者综合考量。4 应用案例重庆市育才职业教育中心，有学生 6 000 多人，学 校原来采用基于应用层网关的千兆防火墙来保护内部 网络的安全，上课时段数据流量达到高峰期，经常出现 数据不同步、网络延迟的情况。经分析，从路由器接收 的大量数据流量通过应用层网关防火墙，而基于双向连 接的服务器在只有一个代理模块一个 NP 的情况下，出 口的流量受到限制，因此造成网络拥堵，如图 4 所示。互联网路由器图 2 双代理模块模型以上这两种方法，笔者认为都可以提升应用层网 关防火墙单位时间内处理数据的能力，在保护了安全 性的同时，速度也会大大提升。3.3 双 NP 架构双代理模块的综合方案通过可行性分析，应用层网关防火墙的双 NP 架构