[发明专利]一种防火墙性能测试方法及装置

说明书

本发明提供一种防火墙性能测试方法及装置，解决由于防火墙的旁路bypass功能导致测试出的防火墙性能指标不能准确反映防火墙性能的问题。本发明包括：生成用于测试防火墙转发性能的测试流量；其中，测试流量包含性能测试流量以及功能验证流量，功能验证流量在防火墙的bypass功能关闭时不被防火墙转发；将测试流量均衡地发送到防火墙的各个测试端口；根据防火墙的各个测试端口对功能验证流量的转发结果，确定防火墙bypass功能的开启状态；根据防火墙bypass功能的开启状态以及各个测试端口对性能测试流量的转发结果，确定防火墙的转发能力。本发明能有效准确地测出支持bypass功能防火墙的性能数据，真实反映出防火墙的业务处理能力，具有广阔的应用前景。

技术领域

本发明涉及通信技术领域，特别是涉及一种防火墙性能测试方法及装置。

背景技术

防火墙在网络安全领域扮演着重要角色，防火墙的性能测试结果是防火墙选型的重要技术指标，包括吞吐量(Throughput)、每秒新建连接能力(New Sessions)、最大并发连接数(Concurrent Sessions)、时延(Latency)及应用层的吞吐量(Goodput)测试等。现有的测试方法都是依据RFC标准：如吞吐量和时延依据RFC2544、最大并发连接数和每秒新建连接能力依据RFC2647、Goodput依据RFC3511。防火墙的转发性能可以用Throughput和Goodput两个指标来衡量。而对于防火墙设备来说，Goodput这个指标比Throughput更具有实际意义，因此在测试防火墙吞吐量时，更多采用Goodput指标。

Bypass技术应用到防火墙中本意为当防火墙设备处于业务板卡故障或性能瓶颈等特殊情况时，防火墙能将流量不经过防火墙业务处理模块处理，直接由路由转发，放弃防火墙的安全保护功能，保证业务流量的正常转发，维护全网业务畅通。但防火墙的性能测试指标应反映防火墙在正常防火墙处理模式下设备处理业务的能力，如果在测试时防火墙使用Bypass功能，且将开启Bypass功能的预定条件设置为检测到业务处理模块达到瓶颈状态或者某一特定流量阀值时，对防火墙性能的测试将存在测试数据不真实的情况。如某款防火墙设备Goodput处理能力为40G，通常40G是业务处理模块的能力极限，若防火墙开启Bypass功能且将开启Bypass功能的预定条件设置为检测到业务处理模块达到瓶颈状态，当业务处理模块达到瓶颈状态时，流量不经过业务板卡进行应有的策略过滤、会话状态检测等功能，直接通过路由转发，测试数据将远超过40G，因此测试得到的数据并不能反映设备的真实处理能力，会给防火墙设备选型等提供错误的数据支持。

发明内容

本发明的目的在于提供一种防火墙性能测试方法及装置，用以解决由于防火墙的旁路bypass功能导致测试出的防火墙性能指标不能准确反映防火墙性能的问题。

为了实现上述目的，本发明提供了一种防火墙性能测试方法，包括：

生成用于测试所述防火墙转发性能的测试流量；其中，所述测试流量包含性能测试流量以及功能验证流量，所述功能验证流量在所述防火墙的bypass功能关闭时不被所述防火墙转发；

将所述测试流量均衡地发送到所述防火墙的各个测试端口；

根据所述防火墙的各个测试端口对所述功能验证流量的转发结果，确定所述防火墙bypass功能的开启状态；

根据所述防火墙bypass功能的开启状态以及所述各个测试端口对所述性能测试流量的转发结果，确定所述防火墙的转发能力。

其中，所述将所述测试流量均衡地发送到所述防火墙的各个测试端口的步骤包括：

对所述性能测试流量以及所述功能验证流量进行聚合处理，得到聚合流量；

根据散列hash算法将所述聚合流量均衡地发送到所述防火墙的各个测试端口。