防火墻：多核，指引安全未來
更高的要求，更大的挑戰(zhàn)
隨著Web2.0、移動(dòng)互聯(lián)網(wǎng)等IT新技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)正在改變著人們的生活。同時(shí)，對(duì)網(wǎng)絡(luò)安全產(chǎn)品提出了更高的要求和更大的挑戰(zhàn)，其中最突出的有兩點(diǎn)：
1. 更高的IO吞吐性能。性能是個(gè)永恒的話題，隨著越來越多的視頻、語音等多媒體數(shù)據(jù)在網(wǎng)絡(luò)上傳輸，越來越多的P2P、IM應(yīng)用的廣泛開展，如今的信息量和傳統(tǒng)的文本形式相比呈現(xiàn)指數(shù)級(jí)增長，網(wǎng)絡(luò)帶寬一擴(kuò)再擴(kuò)。新的形勢(shì)，要求安全設(shè)備具備更高的IO吞吐性能。
2. 更強(qiáng)的應(yīng)用層數(shù)據(jù)處理能力。隨著網(wǎng)絡(luò)應(yīng)用的日益復(fù)雜化和多樣化，層出不窮的網(wǎng)絡(luò)攻擊逐步由網(wǎng)絡(luò)層和傳輸層向應(yīng)用層轉(zhuǎn)變，由固定端口協(xié)議向非固定端口協(xié)議轉(zhuǎn)變，由協(xié)議固定報(bào)頭向深度協(xié)議報(bào)文轉(zhuǎn)變。新的形勢(shì)，要求安全產(chǎn)品具備更強(qiáng)的應(yīng)用層數(shù)據(jù)處理能力。
2004年，告別Pentium時(shí)代，Intel推出Core 2雙核處理器
2005年，Cavium、RMI相繼推出商用的MIPS多核處理器
2007年，Checkpoint率先發(fā)布基于x86多核的Power系列產(chǎn)品
2008年，Cisco、Juniper相繼發(fā)布多核系列安全產(chǎn)品
應(yīng)對(duì)這些要求和挑戰(zhàn)，傳統(tǒng)架構(gòu)的安全產(chǎn)品準(zhǔn)備好了嗎？
架構(gòu)之爭，多核指引未來
從本質(zhì)上來說，網(wǎng)絡(luò)設(shè)備主要解決兩個(gè)問題：IO能力和數(shù)據(jù)包處理能力。傳統(tǒng)架構(gòu)在這兩個(gè)方面面臨著不可調(diào)和的矛盾：
1. 大部分安全產(chǎn)品是采用單核x86 CPU來構(gòu)建的，高度穩(wěn)定、靈活的x86盡管很好的解決了數(shù)據(jù)包處理的問題。但是受限于南北橋結(jié)構(gòu)和PCI總線能力，在IO能力上表現(xiàn)不盡如人意。同時(shí)，基于摩爾定律快速發(fā)展的傳統(tǒng)CPU技術(shù)面臨著以平方關(guān)系急劇增長的能耗問題，以及由此衍生的散熱問題的巨大挑戰(zhàn)和困擾。
2. NP和ASIC技術(shù)廣泛應(yīng)用于交換機(jī)和路由器產(chǎn)品，通過對(duì)數(shù)據(jù)包的快速轉(zhuǎn)發(fā)而解決了網(wǎng)絡(luò)設(shè)備的IO問題。但是NP和ASIC架構(gòu)面對(duì)應(yīng)用層的數(shù)據(jù)包處理時(shí)，不夠靈活的弱點(diǎn)暴露無疑，完全無法適用應(yīng)用趨勢(shì)的發(fā)展，因此，純粹的NP和ASIC架構(gòu)的安全產(chǎn)品勢(shì)必會(huì)被淘汰。
面對(duì)困境，多核技術(shù)應(yīng)運(yùn)而生，目前的多核技術(shù)主要包含x86多核和MIPS多核兩種。
x86多核產(chǎn)品一出來即引起廣泛關(guān)注，也被業(yè)界一致看好，主要原因如下：
1. 最新的PCI-E總線是直接從北橋接出來的獨(dú)占式總線，相比以前通過南橋—>北橋—>FSB—>CPU的共享式PCI總線，IO效率大大提高
2. PCI-E總線單條通道的單向帶寬達(dá)到2Gbps，現(xiàn)在做得多的可達(dá)16通道，雙向可達(dá)到64Gbps的吞吐量，從根本上解決了IO性能問題
3. 具備30多年P(guān)C經(jīng)驗(yàn)的x86架構(gòu)，具備高度的功能靈活性，在復(fù)雜數(shù)據(jù)處理方面具備獨(dú)天厚地的優(yōu)勢(shì)，在強(qiáng)調(diào)應(yīng)用層數(shù)據(jù)處理能力的今天尤為合適
4. x86多核通過分布式方式，有效解決了單核CPU面臨的能耗問題和散熱問題
5. 2007年，Intel發(fā)布Tolapai低功耗處理器，全面進(jìn)軍嵌入式和網(wǎng)絡(luò)通信市場(chǎng)，網(wǎng)絡(luò)安全作為網(wǎng)絡(luò)通信的主要市場(chǎng)，受到Intel的高度關(guān)注
6. Intel技術(shù)實(shí)力強(qiáng)大，產(chǎn)品商用化程度極高，成熟可靠
7. 網(wǎng)絡(luò)安全的關(guān)鍵在于軟件，眾多軟件廠商已經(jīng)在x86多核的開發(fā)上具備強(qiáng)大的實(shí)力和豐富的經(jīng)驗(yàn)
MIPS多核自2005年以來獲得了快速發(fā)展，代表的公司有Cavium和RMI兩家，主要特點(diǎn)有
1. MIPS多核基于精簡指令集，IO效率高，功耗低
2. MIPS多核也可以采用PCI-E總線，不存在南北橋結(jié)構(gòu)，吞吐能力強(qiáng)
3. MIPS多核擴(kuò)展能力強(qiáng)，Cavium公司已經(jīng)推出16核CPU，每個(gè)核600Mhz，總的處理能力可達(dá)9.6Ghz；而RMI公司也推出了8核CPU，每個(gè)核1.2Ghz，總的處理能力也達(dá)到了9.6Ghz
4. MIPS多核在交換機(jī)、路由器上有廣泛應(yīng)用，但是網(wǎng)絡(luò)安全產(chǎn)品方面缺乏足夠的經(jīng)驗(yàn)，產(chǎn)品的成熟度還有待市場(chǎng)的考驗(yàn)。
5. MIPS多核在固定數(shù)據(jù)處理方面效率很高，面對(duì)7層復(fù)雜數(shù)據(jù)的查找和處理效率大大降低。
6. 無論是Cavium公司，還是RMI公司，整體技術(shù)實(shí)力和Intel還有相當(dāng)?shù)牟罹唷?/FONT>
全新平臺(tái)，應(yīng)用安全
在技術(shù)發(fā)展最前沿，把握客戶應(yīng)用趨勢(shì)，率先推出了融合高性能、深度安全檢測(cè)、易擴(kuò)展升級(jí)的下一代多核防火墻RG-WALL1600系列。通過實(shí)現(xiàn)CPU核任務(wù)調(diào)度的動(dòng)態(tài)分配技術(shù)、并行設(shè)計(jì)算法、核間系統(tǒng)開銷最小等關(guān)鍵技術(shù)，合理地劃分了任務(wù)，大大減少了核間通信，有效地降低串行執(zhí)行比例和降低交互開銷，實(shí)現(xiàn)了多核的有效調(diào)度，雙核的處理性能即可較單核提升40%-60%，八核架構(gòu)則達(dá)到萬兆線速。
同時(shí)，多核架構(gòu)還為每一個(gè)核提供了額外的協(xié)處理器，使每個(gè)單獨(dú)的核在芯片上具有額外的安全性硬件加速能力。多核平臺(tái)的集成可以明顯提高分析處理性能，使得防火墻的性能得到了極大的提升。
不僅突破性能瓶頸，銳捷網(wǎng)絡(luò)新一代防火墻還在功能上取得了巨大的突破，全面詮釋應(yīng)用安全：
1. 通過萬兆光模塊，配合萬兆交換機(jī)和路由器等基礎(chǔ)網(wǎng)絡(luò)平臺(tái)，幫助客戶構(gòu)建真正的無瓶頸全萬兆安全網(wǎng)絡(luò)。
2. 支持高可用的SSL VPN解決方案，繼PPTP、L2TP、IPSec VPN之外，為用戶提供的全面的VPN解決方案。
3. 全面支持硬件模塊化和軟件模塊化，不僅穩(wěn)定可靠，而且靈活易擴(kuò)展，很好地保護(hù)用戶投資。
4. 內(nèi)置安全助手，可以主動(dòng)掃描網(wǎng)絡(luò)活動(dòng)主機(jī)，開放端口，操作系統(tǒng)版本和服務(wù)器版本，并添加到安全策略中去，為網(wǎng)絡(luò)安全管理提供關(guān)鍵信息。
5. 高可靠性的業(yè)務(wù)監(jiān)控，不僅可以提供CPU、內(nèi)存、用戶連接數(shù)等信息監(jiān)控，而且可提供鏈路級(jí)、VPN隧道和應(yīng)用業(yè)務(wù)（如HTTP等）層面的狀態(tài)檢測(cè)，能實(shí)現(xiàn)自動(dòng)負(fù)載均衡和故障切換。
6. 可選支持Bypass，保證網(wǎng)絡(luò)始終可用，徹底解決用戶關(guān)心的單點(diǎn)故障問題。
