配置防火墙要当心参数陷阱：会话数

配置防火墙有个重要的参数可支持并发的会话数，但是这个会话数很容易引起误解。。。。[@more@]

以juniper ssg 520m 为例

http://www.juniper.net/cn/zh/products-services/security/ssg-series/ssg520m/

中提到：参与测试的ScreenOS版本
ScreenOS 6.2

防火墙性能（大型数据包）
650+ Mbps

防火墙性能(IMIX)
600 Mbps

每秒处理的防火墙数据包数量
300,000 PPS

3DES+SHA-1 VPN性能
300 Mbps

并发VPN隧道数
500

最大安全策略数
4,000

最大并发会话数
128,000

新会话/秒
10,000

最大安全区数量
60

最大虚拟路由器数量
11

最大虚拟局域网数量
125

固定I/O
4个10/100/1000

微型物理接口模块(Mini-PIM)扩展插槽
0

物理接口模块(PIM)扩展插槽
4

增强型PIM(EPIM)扩展插槽
2

802.11 a/b/g
否

这里的

最大并发会话数
128,000

新会话/秒
10,000的会话到底是指什么会话呢？

tcp？ udp？ http，sip会话?

一定要和其售前咨询清楚，实际上如果是sip会话

，由于要进行sip穿越，必须对sip头进行协议解码，对ip地址进行nat处理，性能会急剧下降，差别非常大 根本达不到这个能力。

类似的 （大型数据包）
650+ Mbps 这个指标，也需要了解清楚具体是多大的包，不同的应用包的组成规律差别很大。

正规的做法应该在实验室进行选型性能测试加以评估

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/14067/viewspace-1034104/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/14067/viewspace-1034104/