【hillstone】健壮的接入利器 Hillstone安全路由SR-330测试-SR--330-宽带接入路由器-路由器测试

产品功能介绍

　　SR-330采用的是Hillstone自行开发的StoneOS操作系统，配备了专业防火墙、IPSEC VPN、QoS带宽管理、ARP攻击防护等功能。

StoneOS提供了文字和图形结合的形象操作、显示界面

在我们的测试过程中，可以即时观看CPU和内存的占用情况，最高峰时CPU使用率为60%左右，内存则更低。

策略配置列表

StoneOS的QoS功能提供了详细的带宽控制方法，包括弹性QoS等

对于会话数能够进行基于LAN口的控制，不过还没有提供特定IP的会话数控制

在进行场景模拟测试时，我们打开了大部分防火墙功能

性能测试

测试设备：

IXIA 1600T

　　IXIA1600是业界先进的网络测试仪器，IXIA 1600T共16个插槽，提供了极大的端口密度，支持广泛的接口种类，包括：OC-3、OC-12、OC-48和OC-192的PoS接口，10M、100M、1000M和10Gbps的以太网接口。此外，IXIA采用上行和下行FPGA技术，在每个端口上实现线速的流量发生和统计分析。

　　它提供了两种主要的图形化用户管理软件：IxExplorer用户自定义管理软件和Scriptmate自动测试管理软件。其中，IxExplorer用户自定义软件工具可以通过本地或TCP/IP网络对IXIA性能测试系统平台进行管理，并且可编辑、控制流量的发生，统计及解码分析。Scriptmate自动测试管理软件提供一系列工业化的自动性能测试软件。提供的自动测试软件套包括：RFC2544、RFC2285、QoS、IP组播、服务器负载均衡、路由能力及路由收敛测试等。通过IXIA提供的Tcl应用编程接口，可以实现更加灵活的测试应用。此外，多个客户端管理软件可以对同一个IXIA平台的不同端口进行分布式管理。

　　随着路由器的实现越来越复杂，路由性能也需要做更详尽的分析检测。IXIA 1600T提供了灵活的路由协议仿真功能，可以满足广泛的测试应用需求，包括：RIP、IS-IS、MPLS RSVP-TE、OSPF、BGP、RIPng、IS-ISv6、OSPFv4、BGP+、L2VPN、L3VPN以及VPLS等。

Chariot测试方法简介：

　　Chariot测试则是用两台服务器，安装NETIQ公司的软件Chariot，一台接路由器WAN口，一台接LAN口，通过统计一个预定长度和格式的脚本文件无差错地从一台服务器传送到另一台服务器的时间来计算出路由器的Throughput。建立的连接数越多，对路由器软件的性能要求越高，软件写得差的，在连接数增加时，其Throughput会直线下降，甚至导致无法连接；而软件写得好的路由器则很平稳，甚至会随连接数的增加反而略有上扬。Chariot测试不象Smartbits测试那样是测试UDP“包”，而是数据“流”，其数据封装成多大TCP包和服务器操作系统相关，但一般都封装为1518Byte大包，所以其测试数据会比用Smartbits测试64 Byte小包的数据好看很多倍。

Chariot简介：

　　Chariot 是业界著名的多功能网络业务测试软件。非常多的评测实验室都在使用Chariot 软件进行网络设备的性能测试，比如一些千兆以太网卡横向比较测试和无线局域网产品的横向比较测试，我还看到很多对于防火墙设备的评测都采用了Chariot 。

　　Chariot 的基本组成包括Chariot 控制台和Endpoint 。其中Chariot 控制台可以运行于Microsoft 的各种Windows 平台。在Chariot 控制台上可以定义各种可能的测试拓扑结构和测试业务类型。

　　Endpoint 可以运行在几乎目前流行的所有操作系统上。Chariot Endpoint 能够充分利用运行主机的资源，执行Chariot 控制台发布的Script 命令，从而完成需要的测试

基础性能测试

Throughput(吞吐量、包转发率)测试：

　　Throughput（吞吐量）表示的是路由器每秒能处理的数据量。打个形象的比方，路由器的工作过程很像邮局包裹业务，邮局寄包裹是大家把物品、寄件人、收件人等信息交给邮局，邮局把物品包好，并贴上格式化的包裹单，检查无误后投递到目的地，收包裹是相反过程。路由器基本一样，只不过收发的东西是数据而已。Throughput就相当于邮局单位时间里的包裹处理能力，是路由器性能的直观反映。但同时，这个数据后面隐藏的名堂也是最多的。

　　先应该说明路由器的Throughput，一定是LAN-to-WAN的Throughput，数据流出或流入局域网才需要路由器处理，才能代表路由器性能。而不是LAN-to-LAN，这代表的是路由器内部小交换机性能，一点意义都没有。这就像邮局单位时间里的包裹处理能力，一定指的是运出和运进邮局的包裹量，而不是从邮局一个房间搬到另一个房间的包裹量。

　　其次，路由器Throughput，应该是在NAT（网络地址转换）开启、防火墙关闭的情况下得出的测试数据。这是因为NAT是宽带路由器最基本、最核心的功能，不开启NAT就不成其为宽带路由器了，而且软件设计的好坏直接影响到NAT效率和路由器性能，所以NAT开启的Throughput才是有意义的。而防火墙，应该算做宽带路由器附带的高级功能，有的产品防火墙规则很多很复杂，能过滤很多东西，有的产品规则就又少又简单。规则多、复杂的，CPU用来过滤数据的时间就长，规则少、简单的，过滤数据的时间就短，这对Throughput测试数据影响还是挺大的。为公平起见，在测试路由器Throughput时，特别是在不同产品性能比较时，把防火墙关闭是合理的。防火墙的评判，一般放在功能里比较而不是性能比较。

　　测试时我们采用了SR-330的两个WAN口，和两个LAN口，双向发送数据，总带宽为4GB。

　　单单从转发率的成绩来看，64Bytes的小包有13.037%的转发率，但由于是全千兆的端口，所以实际吞吐量并不低，换算之后64B的小包也有130.37Mbps的吞吐量，算是很不错的成绩了。在06年我们进行的宽带路由器横评中，也只有H3C的产品达到了90%以上的转发率（百兆端口）。在这个环节来说，应该是完全可以胜任较苛刻的网络环境的。

　　不过由于我们并未拆解该机器，所以目前未能确定是基于软件的NAT转发，还是内部具有硬件支持（ASIC芯片）的NAT转发

2006年PConline宽带路由器横向评测转发率结果

并发连接数与每秒新建连接数测试

　　并发连接数是指防火墙或代理服务器对其业务信息流的处理能力，是防火墙能够同时处理的点对点连接的最大数目，它反映出防火墙设备对多个连接的访问控制能力和连接状态跟踪能力，这个参数的大小直接影响到防火墙所能支持的最大信息点数。

　　并发连接数是衡量防火墙性能的一个重要指标。在目前市面上常见防火墙设备的说明书中大家可以看到，从低端设备的500、1000个并发连接，一直到高端设备的数万、数十万并发连接，存在着好几个数量级的差异。那么，并发连接数究竟是一个什么概念呢？它的大小会对用户的日常使用产生什么影响呢？要了解并发连接数，先需要明白一个概念，那就是“会话”。这个“会话”可不是我们平时的谈话，但是可以用平时的谈话来理解，两个人在谈话时，你一句，我一句，一问一答，我们把它称为一次对话，或者叫会话。同样，在我们用电脑工作时，打开的一个窗口或一个Web面，我们也可以把它叫做一个“会话”，扩展到一个局域网里面，所有用户要通过防火墙上网，要打开很多个窗口或Web面（即会话），那么，这个防火墙，所能处理的最大会话数量，就是“并发连接数”。

　　每秒新建连接数是指防火墙在单位时间内所能建立TCP/HTTP连接数量，这个参数的大小直接影响防火墙在单位时间内所能建立的最大连接数量，这也是考察防火墙性能的一个重要指标。

设备配置：

　　测试流量分别为TCP和HTTP。模拟200个客户端和2个server，TCP模拟三次握手然后不关闭连接，HTTP 使用1.1版本，模拟get 1byte的http面，然后三次握手关闭链接。

　　使用软件为IXLoad 3.30版本。

　　使用TCP测试的新建连接速率为10000connections/s

　　SR-330的并发连接数达到了100K之多，在这个档次的产品中算是上等表现了。而据我们获得的信息，100K的连接数还是设备本身设定的最高值，如果不加以限制，应该还会更高。之所以限制连接数，是因为过高的连接数会消耗更多的系统内存，同时会对CPU的压力增大，从而影响到其它应用的正常发挥，甚至发生雪崩效应，另外也会让远低于设备吞吐量的Internet链路变得更拥挤。

　　而每秒新建连接数取决于设备的内存容量和处理器，从测试结果来看，7000每秒的新建连接数还是对得起其800MHz的多核处理器和256MB的内存的。（低于其标称值10K，不过测试方法的不同会导致数据偏差）

场景模拟测试

　　做完基础性能测试，我们会发现基于所有应用关闭，即“裸奔”下的性能，对于实际使用并没有一个非常直观的参考依据。虽然性能不错，但在实际应用中复杂的网络环境下，是否有同样良好的表现？这个有待进一步验证。于是，我们决定对其进行场景模拟测试。

　　场景模拟测试分两部分，都是打开大多数功能，第一部分采用一定比例的不同大小数据包，对被测设备进行再一次的性能测试，也就是说这次不是“裸奔”了，而是“负重行军”，还是以吞吐量作为准绳。第二部分则是在一定比例大小数据包的情况下，发送一定带宽的流量，在这基础上采用Chariot对设备的时延进行对比性测试，观察在不同流量情况下Chariot测试的时延结果差距，从而对设备性能有更直观的表达。

场景设置一（模拟网吧的真实情况）

设备连接：采用单WAN口单向流量

用户：
70%——网游
20%——网、聊天
10%——在线视、P2P

条件：

模拟客户机上网时
在被测设备上配置带宽管理策略——每IP配置上行512K,下行1M
在被测设备上配置会话数限制——配置会话数限制在300个/IP
开启内外网所有抗攻击功能
用IXIA测试仪模拟200个源IP的流量和会话数
在被测设备上配置保障测试协议的优先级

IXIA1600参数设置：

包比例　包大小　带宽
3% 　1518B 　12%
19% 　750B   　53%
78% 　78B    　35%

　　由于考虑到防火墙会阻止类似DDOS攻击的问题，全部用UDP，TCP包暂时不采取。

Marvell Yukon 88E8055