由于千兆防火墙主要应用于电信级或者大型的数据中心，因此性能在千兆防火墙中所占的地位要比百兆防火墙更加重要。总的来说，三款千兆防火墙之间的差异相当大，但性能结果都明显要高于百兆防火墙。
双向吞吐量测试结果中，NetScreen-5200
64、128、256、512、1518字节帧结果分别为58.99%、73.05%、85.55%、94.53%、97.27%线速。千兆防火墙的延迟与百兆防火墙相比降低都十分明显，NetScreen-5200的双向10%线速下的延迟相当低，64字节帧长仅为4.68祍，1518字节帧长的也只有24.94祍。起NAT功能后，NetScreen-5200防火墙64字节帧长的吞吐量为62.5%。由于ServGate
SG2000H不支持路由模式，所有只测了NAT
结果，该防火墙在1518字节帧长达到了100%线速。阿姆瑞特F600+起NAT功能对其性能影响很小。最大并发连接数的测试结果表明，NetScreen-5200防火墙达到100万。
在防攻击能力测试中，
三款千兆防火墙对于Smurf和Land-based攻击的防护都很好，没有一个攻击包通过防火墙。对于Ping of Death攻击，
NetScreen-5200和阿姆瑞特F600+防火墙丢弃了所有的攻击包，SG2000H防火墙测试时对发送的45个攻击包，丢弃了后面的两个攻击包，这样也不会对网络造成太大的危害。在防护Teardrop攻击时，F600+防火墙丢弃了所有的攻击包，ServGate-2000防火墙只保留了第一个攻击包，NetSreen-5200防火墙则保留了第一和第三个攻击包，这三种情况都能够防护该攻击。阿姆瑞特F600+和SG2000H在PingSweep攻击测试结果为1000个攻击包全都过滤掉。
功能综述
在我们此次测试防火墙的过程中，感受到了不同防火墙产品之间的千差万别，并通过亲自配置体会到防火墙在易用性、管理性以及日志审计等方面的各自特色。
包过滤、状态检测和应用层代理是防火墙主要的三种实现技术，从此次参测的防火墙产品中我们可以明显地看到状态检测或将状态检测与其他两种技术混合在一起是主流的实现原理。
在工作方式方面，大部分防火墙都支持路由模式和桥模式（透明模式），来自ServGate公司的SG300和SG2000H，其工作方式主要是桥模式和
NAT模式，没有一般产品所具有的路由模式。天融信NGFW 4000和卫士通龙马的龙马卫士防火墙还支持混合模式。
百兆防火墙
与交换机走向融合？
当我们拿到要测试的防火墙时，有一个非常直观的感觉是防火墙不再只是传统的三个端口，正在朝向多个端口方向发展，带有4个端口的防火墙非常常见，我们都知道三个端口是用来划分内网、外网和DMZ区，那么增加的第4个端口有什么用呢？不同产品差别很大，但以用作配置管理的为主，安氏的防火墙将该端口作为与IDS互动的端口，比较独特。像天融信网络卫士NGFW4000则可以最多扩展到12个端口，Netscreen-208有8个固定端口，Netscreen-5200则是模块化的千兆防火墙，可以插带8个miniGBIC
1000Base-SX/LX千兆端口或24个百兆端口的模块，这显示了防火墙与交换机融合的市场趋势。
对DHCP协议的支持方面，防火墙一般可以作为DHCP信息的中继代理，安氏领信防火墙、清华得实NetST2104、天融信NGFW4000都有这个功能。而Netscreen-208、SG300还可以作为DHCP
服务器和客户端，这是非常独特的地方。
在VLAN支持方面，Netscreen防火墙又一次显示了强大的实力。与交换机类似，Netscreen-208支持每个端口划分为子端口，每个子端口属于不同的VLAN，支持802.1Q，并且不同子端口还可以属于不同区域。安氏领信、联想网御2000、天融信NGFW4000防火墙则有相应选项支持VLAN，主要支持802.1Q和Cisco的ISL。
管理特色凸现
管理功能是一个产品是否易用的重要标志，对此我们考察了防火墙对管理员的权限设置、各种管理方式的易用性以及带宽管理特性。
不同的防火墙对管理员的权限分级方式不同，但总的来说，不同的管理员权限在保护防火墙的信息的同时，通过三权分立确保了防火墙的管理者职责分明，各司其职。方正方御FGFW通过实施域管理权、策略管理、审计管理、日志查看四个不同权限对管理员权限进行限制。
目前，对防火墙的管理一般分为本地管理和远程管理两种方式，具体来说，主要包括串口命令行、Telnet、GUI管理工具以及Web管理。总的来讲，像Netscreen-208、神州数码防火墙支持命令行、Telnet、GUI管理工具以及Web管理这几种方式，非常方便用户从中选择自己喜欢的方式。但我们在测试过程中发现不少防火墙的命令行比较难懂，对于很多用户来说使用会比较困难，而安氏、Netscreen-208、天融信、清华得实防火墙的命令行方式比较简洁明了，这为喜欢用命令行进行防火墙配置的用户来说带来了便捷。当然，很多防火墙的CLI命令功能比较简单，主要功能还是留给了GUI管理软件，方正、联想防火墙是非常典型的例子。
从易用性的角度来讲，Web管理是最好的方式。安氏、Netscreen-208的Web管理界面给我们留下了最深刻的印象，漂亮的界面以及非常清晰的菜单选项可以使用户轻松配置管理防火墙的各方面，同时Web管理一般都支持基于SSL加密的HTTPS方式访问。当然，对于要集中管理多台防火墙来说，GUI管理软件应该是不错的选择。联想网御2000、天融信、清华得实、方正方御的GUI管理软件安装和使用都比较容易。
带宽管理正在成为防火墙中必不可少的功能，通过带宽管理和流量控制在为用户提供更好服务质量、防止带宽浪费的同时也能够有效防止某些攻击。此次送测的9款百兆防火墙都支持带宽管理。比如神州数码DCFW-1800防火墙能够实时检测用户流量，对不同的用户，每天分配固定的流量，当流量达到时切断该用户的访问。龙马卫士防火墙通过支持基于IP和用户的流量控制实现对防火墙各个接口的带宽控制。
VPN和加密认证
防火墙与VPN的集成是一个重要发展方向。此次参测的防火墙中安氏领信防火墙、方正网御FGFW、Netscreen-208、SG300、清华得实NetST
2104、龙马卫士防火墙这6款防火墙都有 VPN功能或VPN模块。作为构建VPN最主要的协议IPSec，这6款防火墙都提供了良好的支持。
安氏领信防火墙的VPN模块在对各种协议和算法的方面支持得非常全面，包括DES、3DES、AES、CAST、BLF、RC2/R4等在内的主流加密算法都在该产品中得到了支持。主要的认证算法MD5在6款防火墙中都得到了较好支持。不同加密算法与认证算法的组合将会产生不同的算法，如3DES-MD5就是3DES加密算法和MD5算法的组合结果。安氏和NetScreen-208能够很好地支持这种不同算法之间的组合。
方正网御、清华得实NetST2104和卫士通龙马的龙马卫士防火墙则以支持国家许可专用加密算法而具有自己的特点。当然，加密除了用于VPN之外，远程管理、远程日志等功能通过加密也能够提升其安全性。
在身份认证方面，防火墙支持的认证方法很重要。安氏领信防火墙支持本地、RADIUS、SecureID、NT域、数字证书、MSCHAP等多种认证方式和标准，这也是所有参测防火墙中支持得比较全的。非常值得一提的是联想网御2000所提供的网御电子钥匙。带USB接口的电子钥匙主要用来实现管理员身份认证，认证过程采用一次性口令(OTP)的协议SKEY，可以抵抗网络窃听。
| 共3页: 上一页 [1] 2 [3] 下一页 |