关于防火墙的思考

核心提示：防火墙采用NP技术并不是什么新的概念，那么东软在这一领域的大张旗鼓，关于防火墙的思考，又有着怎样的意义呢？防火墙已经是企业网络必不可少的安全设备，目前市场上的防火墙品牌众多，期待国产防火墙超越“状态检测”阶段，针对VoIP、视频会议、P2P等用户应用，所采用的技术方案也不尽相同，日前

防火墙采用NP技术并不是什么新的概念，那么东软在这一领域的大张旗鼓，又有着怎样的意义呢？

防火墙已经是企业网络必不可少的安全设备，目前市场上的防火墙品牌众多，所采用的技术方案也不尽相同。日前，东软与英特尔紧密合作，推出了全系列基于NP（Network Processor）技术的NETEYE防火墙产品。在此之前，联想、方正等国产厂商也推出了基于NP技术的防火墙产品，这说明NP技术已经逐步得到了用户的认可。

我们知道，NP技术并不是什么新的技术概念，NP，即网络处理器，是英特尔专门为处理数据包而设计。除此之外，防火墙产品设计或采用专用ASIC芯片，或者干脆采用基于x86架构的通用处理器。其中，基于ASIC芯片的防火墙是公认的能够达到线速转发、满足高速网络环境骨干级应用的方案。但是其缺点是缺乏灵活性，由于指令或计算逻辑固化在硬件中，因此不便于修改和升级；此外，现在网络需要的深层次包（L4+）分析，使得ASIC设计复杂度增加，需要非常高的技术含量。与之相比，NP技术完全可编程的特点恰好弥补了ASIC的弱点。

国内很多的防火墙产品以前是采用x86架构通用处理器设计的，虽然在满足功能实现方面具有很好的灵活性，但是x86架构通用处理器毕竟是为数据的处理而设计的，尽管所使用的PCI总线最大带宽达到了1Gb/s，但由于PCI 总线是共享式的，这样，当一个网络组成模块发出指令时，就有可能由于冲突而影响PCI总线传输速度。因此，在流量比较大的网络环境，特别是千兆网络环境中，往往会造成整体网络性能的下降。此外，x86防火墙的稳定性也存在问题，PCI接口、功耗、灰尘、振动等都有可能导致防火墙的故障。与之相比，专门为处理数据包而设计的NP处理器显然解决了性能和稳定性的问题。因此，国产的防火墙产品在采用了NP处理器之后，往往会有更好的性能表现。

那么，国产的防火墙产品为什么在采用了NP技术之后就具备了市场竞争力能力呢？为此，记者也专门采访了东软网络安全产品营销中心的总经理曹斌先生。“市场没有那么简单，采用了NP技术之后，也不意味着大家的防火墙产品都处于同一个起跑线上，不同的防火墙产品还是具有很大的分别的，需要用户进行认真的分辨，”曹斌表示，“其中最大的差别在于技术上的积累和沉淀。”

曹斌表示，不同的用户对于防火墙产品的需求不完全相同，不能按照同一个标准要求，例如电信用户比较看重防火墙产品的通讯能力，对于界面和接口，以及产品可靠性具有很高的要求，有些用户对于防火墙的速度比较偏重，而有些用户则要求防火墙具有非常好的安全防护策略。因此，防火墙产品并不是功能越全越好，性能越出色越好，要根据用户的需求进行设计。目前，很多国产的防火墙产品仍然在强调单一的性能或者“状态检测”的功能，实际上，这基本上是3年前的技术，如今，防火墙产品的挑战在于如何更好的识别应用，与用户的应用系统很好的结合，提供更强的安全防护。在这个基础上，未来的防火墙产品竞争将更多体现在成本制造方面的竞争，曹斌对此进行了大胆的预测。

专家表示，东软防火墙的优势在于功能，如其独树一帜的流过滤技术，如今，原有的这些功能都移植到了NP架构下，产品的性能和稳定性得到进一步提升，这将大大提高东软防火墙的竞争能力。期待国产防火墙超越“状态检测”阶段，针对VoIP、视频会议、P2P等用户应用，提供更好的安全防护方案。