防火墙性能测试依据和标准及测试方法

http://bbs.chinaunix.net/thread-716338-1-1.html

1.防火墙性能测试依据的标准是什么？

    答：目前，防火墙性能测试依据的标准主要有两种，分别是：针对TCP/IP 2-3层的RFC2544和针对TCP/IP 4-7层的RFC3511。

   2.防火墙性能测试项目有哪些？

    答：由两种标准分别定义的防火墙性能测试项目包括：

    (1) 针对TCP/IP 2-3层RFC2544规定的吞吐量、延时、丢包率、背靠背、系统恢复和复位等测试项目；

    (2) (2)针对TCP/IP 4-7层RFC3511规定的IP吞吐量、并发TCP连接数、最大TCP连接建立速率、最大TCP连接释放速率、抗DoS攻击、HTTP传输速率、最大HTTP传输速率、非法数据流的处理能力、IP碎片处理能力和延时等测试项目。

   3.防火墙吞吐量的含义及测试方法是什么？

    答：防火墙吞吐量是指在没有帧丢失的情况下，设备能够接受的最大速率。其测试方法是：在测试中以一定速率发送一定数量的帧，并计算待测设备传输的帧，如果发送的帧与接收的帧数量相等，那么就将发送速率提高并重新测试；如果接收帧少于发送帧则降低发送速率重新测试，直至得出最终结果。吞吐量测试结果以比特/秒或字节/秒表示。

    4.防火墙延时有哪两种计算方式？各是什么含义？测试方法是什么？

    答：防火墙延时包括比特转发（CT）和存储转发（S&F）两种计算方式。其中，比特转发为：入口处输入帧第1个比特到达被测设备至出口处输出帧的第1个比特输出时所用的时间间隔；存储转发为入口处输入帧最后1个比特到达被测设备至出口处输出帧的第1个比特输出时所用的时间间隔。

    防火墙延时的测试方法为：在以已知待测设备在每种帧长下的吞吐量的前提下，以特定长度帧的吞吐量的速率向待测设备发送该长度的帧，在入口处的某一帧上标记时戳，经待测设备传输后在出口处标记时戳，两个时戳相减即为延时值。延时测试结果以毫秒或微秒表示。

   5.防火墙丢包率的含义及测试方法是什么？

    答：防火墙丢包率是指在稳态负载下，由于资源缺乏而被丢弃的本应由网络设备传输的帧，占所有应被转发的帧的百分比。其测试方法为在一定速率下对待测设备发送一定数量的帧，计算由待测设备传输的帧的数量，再由公式（（输入数量－输出数量）*100％）/输入数量计算出每一点的丢包率。

    6.防火墙背靠背的含义及测试方法是什么？

    答：防火墙背靠背是指从空闲状态开始，以达到传输介质最小合法间隔极限的传输速率，发送一定数量固定长度的帧，当出现第一个帧丢失时所发送的帧数。其测试方法是：测试时向待测设备发送一个有最小帧间距的帧风暴，然后对通过待测设备的帧进行计数。如果传输帧与发送帧相等，则增加帧风暴的长度，重新测试。如果传输帧少于发送帧，则降低帧风暴的长度，重新测试。

    7.防火墙TCP并发连接数的含义及测试方法是什么？

    答：防火墙TCP并发连接数是指穿过被测设备的主机之间或主机与被测设备之间能够同时维持的最大TCP联接总数。防火墙TCP并发连接数的测试采用一种反复搜索机制进行，在每次反复过程中，以低于被测设备所能承受的连接速率发送不同数量的并发连接，直至得出被测设备的最大的TCP并发连接数。

    8.防火墙最大TCP连接建立速率的含义及测试方法是什么？

    答：防火墙最大TCP连接建立速率是指在被测设备能够成功建立所有请求连接的条件下，所能承受的最大TCP连接建立速度。其测试采用反复搜索过程，每次反复过程中，以低于被测设备所能承受的最大并发连接数发起速率不同的TCP连接请求，直到得到所有连接被成功建立的最大速率。最大TCP连接建立速率以连接数/秒表示。

    9. 防火墙常用性能测试工具比较

    答：常用的防火墙性能测试工具有SmartBits和IXIA，每种工具所使用的模块及用途见下表。

SmartBits
IXIA

模块名称
用途
模块名称
用途

Application
TCP/IP 2-3层测试
ScriptMate
TCP/IP 2-3层测试

SmartFlow
TCP/IP 2-3层测试
IxLoad
TCP/IP 4-7层测试

WebSuite
TCP/IP 4-7层测试
IxExplorer
数据包构造及模块管理工具

SmartWindow
数据包构造及模块管理工具
IxAttack
DoS攻击工具