万兆安全多面手——华为EudemonlOOOE-X8评测报告-.docx

万兆安全多面手——华为EudemonlOOOE-X8评测报告

作者：暂无

来源：《计算机世界》2012年第15期

对于我们本次测试的华为安全网关最高端型号Eudemon1000E-X8来说，FPGA加速卡已经属于标准配置，提供30G以上的处理能力。

■计算机世界实验室

用户需求的不断变化，导致安全产品的性能始终处于快速增长的过程中。比如安全网关，几年前我们还在为万兆产品的横空出世兴奋不已，如今业界领导厂商就已将新品的防火墙性能上限提升至300G?500G。失去了“性能之王”光环的万兆安全网关正在走下神坛，以进入机柜为目标，开始了新的市场周期。根据近期用户、厂商与我们交流时分享的信息来看，这类产品已成为许多行业用户在网络建设或升级时的选型评估对象，其部署数量呈爆发性增长。

万兆从理想到现实的过渡，也让人们对产品的审视角度发生了变化：当其处在巅峰时，大家看到的只是亮点，那就是产品性能；但当它接受选型评估时，用户会以理智乃至苛刻的态度，全面衡量产品对需求的综合满足度。如果设备的接口数量或支持安全业务的种类不能满足要求，抑或价格不具合理性，再高的性能也毫无意义。华为显然意识到这一点，针对愈发复杂的万兆应用场景推出了全新的Eudemon1000E-X系列安全网关，为用户提供了高性价比的选择。

规格为需求服务

Eudemon1000E-X产品线中目前包含5款产品，分别为1U规格的Eudemon1000E-X3\X5和3U规格的Eudemon1000E-X6\X7\X8，定位于Eudemon200E-X与Eudemon8000E-X之间的高端千兆至中低端万兆层面。它们均采用集中式转发的设计思路，由主控交换模块上的1颗NetLogicXLR732多核处理器实现所有安全业务的处理。从硬件规格角度看，这颗处理器难以支撑20G以上的流量，所以华为为Eudemon1000E-X系列产品设计了FPGA加速卡，用以强化除应用层外所有安全业务的性能。对于我们本次测试的最高端型号Eudemon1000E-X8来说，FPGA加速卡已经属于标准配置，宣称提供30G以上的处理能力。

在以往测试中，华为安全产品在接口密度与种类方面就曾给我们留下过深刻印象。Eudemon1000E-X延续了这一传统，并将其提升到一个新的高度。该产品目前已拥有超过10种不同规格的接口卡，支持光纤、铜缆介质下的千兆、万兆接口及3G数据接入。采用高密度卡可以大幅提升整机的接口数量，就以1U规格的Eudemon1000E-X5为例，设备的主控交换模块上固化有8个千兆接口，如果再选配两个2万兆加8千兆接口模块，整机接口数量就达到4万兆加24千兆；而对于3U规格的型号来说，最多14万兆加56千兆的接口配置足以应对任何复杂的接入需求。多模/单模Bypass接口卡也是非常实用的设计，很好地解决了用户对于光纤链路的的透传需求。该卡不对流量做任何处理，只在设备工作状态出现异常时进行透传，保证链路的连通性，为用户节省了独立设备的投资。

从产品形态发展的角度看，安全网关走过了UTM、NGFW等市场周期，在安全业务的集成度方面达到一个新的阶段。尽管业界对产品本身存在各种争论，用户还是认为利大于弊，并以实际行动接受了这类产品。随着软硬件技术的发展，开启多种安全业务后性能大幅衰减的难题被逐渐克服，安全网关的部署场景也随之扩大，其身影已出现在大型网络边缘，开始取代传统的多设备串联模型。Eudemon1000E-X就是在这种背景下诞生的产品，它在高性能防火墙/VPN的基础上，加入了包括防病毒、IPS、URL过滤、反垃圾邮件、应用识别与控制在内的多种安全业务。实际上，除最高端的Eudemon8000E-X系列外，华为在其他所有安全网关产品中都集成了同样的安全业务组件。所以Eudemon1000E-X的推出，也可以看做是UTM+产品家族的延伸。

细致入微的功能特性

对于安全网关来说，性能与复杂安全业务的实现效果是天生的矛盾体，厂商必须做出取舍。与多数性能优先的产品不同，Eudemon1000E-X以提升安全性和用户体验为目标，将功能实现的深度与细粒度作为重点。我们在测试中看到，来自赛门铁克的防病毒与IPS模块在检测率、误报率方面表现出较高的水准，对著名的“16277压缩病毒样本包”和针对近年来危险级别较高的CVE漏洞的攻击有着很好的查杀、抵御能力。而在加入10GHTTP背景流的情况下，设备仍旧工作正常，病毒检测率与攻击防御效果也没有任何下降。如果用户对病毒防范有更严格的要求，Eudemon1000E-X还提供了更高等级的启发式检测机制，可将可