防火墙、UTM产品硬件平台架构分析

核心提示： 第二类，基于ASIC架构的防火墙、UTM产品，防火墙、UTM产品硬件平台架构分析(2)， 从上面对X86架构防火墙的分析中，我们了解到X86平台的防火墙其最大的缺点就是小包通速率低，只能是做为低端的方案来使用，如桌面型的UTM，只有30%－40%，造成这个问题的主要原因是因为X86平台的中

第二类，基于ASIC架构的防火墙、UTM产品。

从上面对X86架构防火墙的分析中，我们了解到X86平台的防火墙其最大的缺点就是小包通速率低，只有30%－40%，造成这个问题的主要原因是因为X86平台的中断机制以及X86平台的防火墙所有数据都要经过主CPU处理。基于ASCI架构的防火墙从架构上改进了中断机制，数据从网卡收到以后，不经过主CPU处理，而是经过集成在系统中的一些芯片直接处理，由这些芯片来完成传统防火墙的功能，如：路由、NAT、防火墙规则匹配等。这样数据不经过主CPU处理，不使用中断机制，理所当然，ASIC是做为功能简单的防火墙的最佳选择。

但随之而来的问题是，ASIC架构的防火墙是芯片一级的，所有的防火墙动作由芯片来处理。这些芯片的功能比较单一，要升级维护的开发周期比较长。尤其是作为多功能集成的UTM网关来说，无法在芯片一级完成杀毒、垃圾邮件过滤、网络监控等比较复杂的功能，所以说，ASIC架构用来做功能简单的防火墙，是完全适用的，64 Bytes的小包都可以达到线速。但ASIC架构做为UTM就不是理想的选择，因为ASIC架构不可能把像网关杀毒、垃圾邮件过滤、网络监控等这些功能做到芯片一级去。

第三类，基于NP架构的防火墙。

NP架构实现的原理和ASIC类似，但升级、维护远远好于ASIC 架构。NP架构在的每一个网口上都有一个网络处理器，即：NPE，用来处理来自网口的数据。每个网络处理器上所运行的程序使用微码编程，其软件实现的难度比较大，开发周期比ASIC短，但比X86长。做为UTM，由于NP架构每个网口上的网络处理器性能不高，所以同样无法完成像网关杀毒、垃圾邮件、过滤、访问监控等复杂功能。

可能有人会问？ASIC 和 NP为什么不可以把网关杀毒、和垃圾邮件过滤、访问监控等这些功能放在主CPU上来实现？这样不就可以做为UTM方案使用了吗？这个问题问得很好，目前有很多基于NP和ASIC的UTM都是这样做的，但问题是ASIC和NP架构的防火墙，其主CPU性能很低，如：Intel基于IXP2400的千高端NP方案，主CPU只有1.0G，处理能力还比不上Celeron 1.0G，大家可以对照一下与其主频相当的X86平台的处理能力。所以如果以ASIC和NP架构来实现一个UTM网关，只能是做为低端的方案来使用，如桌面型的UTM，而并不能做为中、高端的UTM来使用。