并发连接数.pdf

来源Windows8 论坛：www.W 发连接数 目录[隐藏] 并发连接数的定义 并发连接数的作用 并发连接数的影响 并发连接数的指导 防火墙中的并发连接数 防火墙有哪些缺点和不足？ 防火墙的分类 [编辑本段] 并发连接数的定义 并发连接数是指防火墙或代理服务器对其业务信息流的处理能力，是防火墙能够 同时处理的点对点连接的最大数目，它反映出防火墙设备对多个连接的访问控制能力 和连接状态跟踪能力，这个参数的大小直接影响到防火墙所能支持的最大信息点数。 [编辑本段] 并发连接数的作用 并发连接数是衡量防火墙性能的一个重要指标。在目前市面上常见防火墙设备的 说明书中大家可以看到，从低端设备的 500、1000 个并发连接，一直到高端设备的 数万、数十万并发连接，存在着好几个数量级的差异。那么，并发连接数究竟是一个 什么概念呢？它的大小会对用户的日常使用产生什么影响呢？要了解并发连接数，首 先需要明白一个概念，那就是 会话”。这个 会话”可不是我们平时的谈话，但是可以用 平时的谈话来理解，两个人在谈话时，你一句，我一句，一问一答，我们把它称为一 次对话，或者叫会话。同样，在我们用电脑工作时，打开的一个窗口或一个 Web 页 面，我们也可以把它叫做一个 会话”，扩展到一个局域网里面，所有用户要通过防火 墙上网，要打开很多个窗口或Web 页面发 （即会话），那么，这个防火墙，所能处理 的最大会话数量，就是 并发连接数”。 像路由器的路由表存放路由信息一样，防火墙里也有一个这样的表，我们把它叫 做并发连接表，是防火墙用以存放并发连接信息的地方，它可在防火墙系统启动 动 来源Windows8 论坛：www.W 态分配进程的内存空间，其大小也就是防火墙所能支持的最大并发连接数。大的并发 连接表可以增大防火墙最大并发连接数，允许防火墙支持更多的客户终端。尽管看 去，防火墙等类似产品的并发连接数似乎是越大越好。但是与此同时，过大的并发连 接表也会带 一定的负面影响： [编辑本段] 并发连接数的影响 1.并发连接数的增大意味着对系统内存资源的消耗 以每个并发连接表项占用 300B 计算，1000 个并发连接将占用 300B×1000×8bit /B≈2 .3Mb 内存空间，10000 个并发连接将占用 23Mb 内存空间，100000 个并发连接 将占用 230Mb 内存空间，而如果真的试图实现 1000000 个并发连接的话那么，这个 产品就需要提供 2 .24Gb 内存空间！ 2.并发连接数的增大应当充分考虑 CPU 的处理能力 CPU 的主要任务是把网络 的流量从一个网段尽可能快速地转发到另外一个网 段 ，并且在转发过程中对此流量按照一定的访问控制策略进行许可检查、流量统计 和访问审计等操作，这都要求防火墙对并发连接表中的相应表项进行不断的更新读写 操作。如果不顾 CPU 的实际处理能力而贸然增大系统的并发连接表，势必影响防火 墙对连接请求的处理延迟，造成某些连接超时，让更多的连接报文被重发，进而导致 更多的连接超时，最 成雪崩效应，致使整个防火墙系统崩溃。 3.物理链路的实际承载能力将严重影响防火墙发挥出其对海量并发连接的处理 能力 虽然目前很多防火墙都提供了 10/ 100/ 1000Mbps 的网络接口，但是，由于防火 墙通常都部署在 Internet 出口处，在客户端 PC 与目的资源中间的路径 ，总是存在 着瓶颈链路——该瓶颈链路可能是2Mbps 专线，也可能是 512Kbps 乃至 64Kbps 的 低速链路。这些拥挤的低速链路根本无法承载太多的并发连接，所以即便是防火墙能 够支持大规模的并发访问连接，也无法发挥出其原有的性能。 [编辑本段] 并发连接数的指导 我们应当根据网络环境的具体情况和个人不同的上网习惯 选择适当规模的并 发连接表。因为不同规模的网络会产生大小不同的并发连接，而用户习惯于何种网络 服务以及如何使用这些服务，同样也会产生不同的并发连接需求。高并发连接数的防 火墙设备通常需要客户投资更多的设备，这是因为并发连接数的增大牵扯到数据结 构、CPU、内存、系统总线和网络接口等多方面因素。如何在合理的设备投资和实际 所能提供的性能之间寻找一个黄金平衡点将是用户选择产品的一