论文部分内容阅读
伴随数据中心的大规模虚拟化和云化发展，防火墙的演进已经进入了变革的新时代。作为网络安全防护体系的基础屏障，防火墙在云中所面临的最大挑战莫过于如何抵挡海量攻击的冲击。为此，新一代高性能防火墙产品必将面临一次飞跃性的技术变革。
近期，华为在2012HCC上发布了T级高端防火墙USG9500系列，作为业界首款整机吞吐性能达到1Tbps的防火墙，USG9500正在为第五代防火墙制定新的性能标尺。
T级只是起步
华为企业业务SecoSpace产品线Marketing部长武鹏告诉记者，从云计算发展的速度来看，未来2～3年内，防火墙实现T级的吞吐性能就会成为整个市场不得不迈过去的一道坎。但高性能也仅是云对T级防火墙提出的一个基础要求而已。“面向未来虚拟化和云计算的高端防火墙必须具备三个能力：更高的性能，能适应云计算、虚拟化的弹性部署要求，能够满足未来面向应用的弹性交互和高质量交互的要求。这不仅是云对防火墙产品提出的要求，也是防火墙产品未来的发展方向。”
T级的吞吐性能保证了USG9500对大规模DDoS攻击的防护能力。据悉，USG9500可抵御超过数百G乃至1T的攻击流量，还能深入应用层检测DDoS攻击隐患，确保数据中心业务不会遭受频繁的DDoS恶意攻击。让USG9500抵御海量攻击的秘密来源于其软硬件平台的革新性设计。由于采用了业界领先的新一代多核处理器作为业务处理的承载器件，每颗处理器上都可以实现40Gbps的防火墙吞吐能力。在板级设计上，USG9500更是奢侈地使用了四枚处理器芯片，将每业务板的处理能力提升到160G。USG9500一个业务板的处理性能，甚至达到了目前市场中高端产品的整机性能。华为认为，近年来在业界大为流行的“处理器 硬件加速”的设计，虽然能以较低的成本获取部分场景下的高性能，但却无法保障产品在任何业务操作下都保持性能。所以，USG9500对全业务均使用处理器来实现，以便确保企业在任何场景下均能享受到高性能防护体验。在华为SecoSpace产品线Marketing部产品管理部部长张强看来，当前数据中心的流量增长速度超乎想象，每1G流量的链接数已接近100万，这意味着1Tbps吞吐量的防火墙要处理10亿条链接。防火墙仅通过加大内存支持大并发链接是没有意义的，因为内存只能解决状态表的存储问题，而百万级的并发表带来的新问题则是如何检索与查找，如果沿用以往的查表算法必然会导致延迟的翻倍。为此，华为专门开发了新的高速匹配算法，再配合内存的增加，才得以让USG9500支持10亿规模的并发链接处理能力。
云计算时代最显著的特征是“弹性”，租户需要根据自身业务规模租赁大小各异的虚拟资源，但是让安全防护体系也保持这种弹性却并不容易。过去，防火墙产品的虚拟化大多是将一台物理防火墙虚拟为多个逻辑防火墙以提供弹性服务。但在华为看来，面对云计算的发展，这种“弹性”还远远不够。USG9500将虚拟化进行了重大变革，在原有基础上，又通过对防火墙硬件平台上CPU和内存的虚拟化，为用户增加了实现安全防护的资源，以确保单个租户也能获得全面的安全防护能力。另外，对虚拟机的迁移问题，USG9500还能实现针对业务的安全策略的自动化迁移。
在数据中心云化的过程中，可靠性依旧是用户最为关注的问题。USG9500除了通过多核多线程的架构，板间备份等功能保证防火墙的可靠性外，还支持双主控和全业务双机热备，这种电信级别的可靠性设计还很少有厂商可以做到。
“云计算中心的业务种类非常多，比如Android里面就有超过40万种应用，苹果AppStore也已经超过50多万种应用，虽然现在用户不见得要做如此细粒度的管控，但也从侧面反映出应用识别能力的发展方向。”张强表示，基于应用实现细粒度的管控将是防火墙发展的方向，目前USG9500能对超过一千种的应用进行识别和流量的管控，其背后还有一个专业团队通过云系统对各种新应用进行智能跟踪与分析，以保障USG9500的防护能力。
SDN为下一代防火墙揭幕
IDC最新发布的中国IT安全硬件市场分析报告显示，2011年下半年防火墙硬件市场依然以36.7%的占有率成为中国IT硬件安全市场中的最大子市场。全国数据中心建设正在带动高性能防火墙的发展，预计未来五年防火墙市场将持续保持增长趋势。作为网络安全防护体系中最基础也是最重要的一道防护屏障，防火墙市场显然还会伴随数据中心的下一步演进而迎来新的高潮。
当前，业界对数据中心网络发展的预判直指SDN（软件定义网络）。与网络相生相惜的防火墙产品，又会出现怎样的变化呢？
张强认为，伴随SDN的发展，安全设备未来将被分成两部分：策略控制单元和安全处理单元。策略控制部分将通过OpenFlow与SDN控制器通信，来实现对全网转发节点的安全控制。对于需要进行流量处理的业务，如防病毒或VPN，则将通过SDN控制器下发指令，把流量定向到安全处理单元进行检测和加密、解密处理。
他表示，SDN不会让网络安全产品彻底舍弃硬件平台。“即使在SDN时代，独立硬件形态安全处理单元仍然是必要的，设备里面必须要有对加密解密的硬件加速，必须要有对业务感知、IPS、AV、状态过滤的加速。如果把这些业务全放到服务器上全靠软件完成处理，性能会大幅下降。”他透露，华为在规划高端防火墙的时候已经在考虑SDN的发展趋势，在设计架构上留出相应的接口，支持Open Flow的协议以及自身控制与业务处理的分离，也是为了让防火墙符合云计算未来的发展需求。
近期，华为在2012HCC上发布了T级高端防火墙USG9500系列，作为业界首款整机吞吐性能达到1Tbps的防火墙，USG9500正在为第五代防火墙制定新的性能标尺。
T级只是起步
华为企业业务SecoSpace产品线Marketing部长武鹏告诉记者，从云计算发展的速度来看，未来2～3年内，防火墙实现T级的吞吐性能就会成为整个市场不得不迈过去的一道坎。但高性能也仅是云对T级防火墙提出的一个基础要求而已。“面向未来虚拟化和云计算的高端防火墙必须具备三个能力：更高的性能，能适应云计算、虚拟化的弹性部署要求，能够满足未来面向应用的弹性交互和高质量交互的要求。这不仅是云对防火墙产品提出的要求，也是防火墙产品未来的发展方向。”
T级的吞吐性能保证了USG9500对大规模DDoS攻击的防护能力。据悉，USG9500可抵御超过数百G乃至1T的攻击流量，还能深入应用层检测DDoS攻击隐患，确保数据中心业务不会遭受频繁的DDoS恶意攻击。让USG9500抵御海量攻击的秘密来源于其软硬件平台的革新性设计。由于采用了业界领先的新一代多核处理器作为业务处理的承载器件，每颗处理器上都可以实现40Gbps的防火墙吞吐能力。在板级设计上，USG9500更是奢侈地使用了四枚处理器芯片，将每业务板的处理能力提升到160G。USG9500一个业务板的处理性能，甚至达到了目前市场中高端产品的整机性能。华为认为，近年来在业界大为流行的“处理器 硬件加速”的设计，虽然能以较低的成本获取部分场景下的高性能，但却无法保障产品在任何业务操作下都保持性能。所以，USG9500对全业务均使用处理器来实现，以便确保企业在任何场景下均能享受到高性能防护体验。在华为SecoSpace产品线Marketing部产品管理部部长张强看来，当前数据中心的流量增长速度超乎想象，每1G流量的链接数已接近100万，这意味着1Tbps吞吐量的防火墙要处理10亿条链接。防火墙仅通过加大内存支持大并发链接是没有意义的，因为内存只能解决状态表的存储问题，而百万级的并发表带来的新问题则是如何检索与查找，如果沿用以往的查表算法必然会导致延迟的翻倍。为此，华为专门开发了新的高速匹配算法，再配合内存的增加，才得以让USG9500支持10亿规模的并发链接处理能力。
云计算时代最显著的特征是“弹性”，租户需要根据自身业务规模租赁大小各异的虚拟资源，但是让安全防护体系也保持这种弹性却并不容易。过去，防火墙产品的虚拟化大多是将一台物理防火墙虚拟为多个逻辑防火墙以提供弹性服务。但在华为看来，面对云计算的发展，这种“弹性”还远远不够。USG9500将虚拟化进行了重大变革，在原有基础上，又通过对防火墙硬件平台上CPU和内存的虚拟化，为用户增加了实现安全防护的资源，以确保单个租户也能获得全面的安全防护能力。另外，对虚拟机的迁移问题，USG9500还能实现针对业务的安全策略的自动化迁移。
在数据中心云化的过程中，可靠性依旧是用户最为关注的问题。USG9500除了通过多核多线程的架构，板间备份等功能保证防火墙的可靠性外，还支持双主控和全业务双机热备，这种电信级别的可靠性设计还很少有厂商可以做到。
“云计算中心的业务种类非常多，比如Android里面就有超过40万种应用，苹果AppStore也已经超过50多万种应用，虽然现在用户不见得要做如此细粒度的管控，但也从侧面反映出应用识别能力的发展方向。”张强表示，基于应用实现细粒度的管控将是防火墙发展的方向，目前USG9500能对超过一千种的应用进行识别和流量的管控，其背后还有一个专业团队通过云系统对各种新应用进行智能跟踪与分析，以保障USG9500的防护能力。
SDN为下一代防火墙揭幕
IDC最新发布的中国IT安全硬件市场分析报告显示，2011年下半年防火墙硬件市场依然以36.7%的占有率成为中国IT硬件安全市场中的最大子市场。全国数据中心建设正在带动高性能防火墙的发展，预计未来五年防火墙市场将持续保持增长趋势。作为网络安全防护体系中最基础也是最重要的一道防护屏障，防火墙市场显然还会伴随数据中心的下一步演进而迎来新的高潮。
当前，业界对数据中心网络发展的预判直指SDN（软件定义网络）。与网络相生相惜的防火墙产品，又会出现怎样的变化呢？
张强认为，伴随SDN的发展，安全设备未来将被分成两部分：策略控制单元和安全处理单元。策略控制部分将通过OpenFlow与SDN控制器通信，来实现对全网转发节点的安全控制。对于需要进行流量处理的业务，如防病毒或VPN，则将通过SDN控制器下发指令，把流量定向到安全处理单元进行检测和加密、解密处理。
他表示，SDN不会让网络安全产品彻底舍弃硬件平台。“即使在SDN时代，独立硬件形态安全处理单元仍然是必要的，设备里面必须要有对加密解密的硬件加速，必须要有对业务感知、IPS、AV、状态过滤的加速。如果把这些业务全放到服务器上全靠软件完成处理，性能会大幅下降。”他透露，华为在规划高端防火墙的时候已经在考虑SDN的发展趋势，在设计架构上留出相应的接口，支持Open Flow的协议以及自身控制与业务处理的分离，也是为了让防火墙符合云计算未来的发展需求。