实验室检测报告

Miercom实验室测试总结报告

实验室测试总结报告 2005年10月 报告 050914 产品种类：

统一威胁管理（UTM）安全设备 被测系统：

Cisco Systems®ASA 5520 Check Point®VPN-1 Pro Fortinet®FortiGate 1000

Juniper Networks®NetScreen-208 主要发现和结论

在实际的多功能威胁防御中，Cisco ASA 5520的吞吐率比同类解决方案高六倍以上。

在利用实际流量进行测试时，Cisco ASA 5520可以提供比同类产品高出三倍的3DES加密VPN吞吐率。 Cisco ASA 5520 可以100%地检测出所有威胁；同类产品只能达到30%到40%。

在实际的多功能威胁防御性能对比中，Cisco ASA 5520具有最高的连接建立速度，比最接近的同类产品快四倍以上。

思科系统公司®邀请Miercom对Cisco ASA 5520自适应安全设备与多款同类的、竞争性的统一威胁管理（UTM）安全设备（包括Check Point®VPN-1®Pro，Fortinet®FortiGate 1000, Juniper Networks® NetScreen-208 ）进行了独立的对比测试。考察的性能领域包括：统一防火墙和IPS吞吐率性能，VPN吞吐率性能，IPS威胁防御能力，以及每秒连接性能。

在启用所有攻击/病毒签名时的防火墙性能（Mbps），HTTP对象的尺寸为16K字节

在使用实际流量和尺寸为16K字节的对象并启用全部威胁签名时，Cisco ASA 5520的吞吐率明显高于其他同类产品。

对比测试说明：产生这些结果的测试和测试方法是由赞助本次对比评测的制造商所提议并协助创建的，并且可能受到该制造商的影响。Miercom会确保公平、准确地运用这些测试和方法。这些评测结果不应作为选择或购买产品的唯一参照标准。 测试环境的设置

关于测试：对Cisco ASA 5520和本测试中的所有其他同类系统所使用的测试环境设置都是相同的。 Cisco ASA 5520（自适应安全设备）配备了Cisco AIP SSM-20（高级检测和防御安全服务模块）。ASA软件的版本为7.0.2；AIP SSM-20的版本为5.0.4。签名定义文件的版本为S187。

Check Point系统位于一台采用了一个2.4Ghz Xeon处理器、1GB内存和一个Intel Pro. 1000 MT双端口服务器适配器的HP DL380 G3上。所使用的软件为VPN-1 Pro Gateway NGX 6.0, Build 244。Smart Defense Update的版本为591050816。软件包括WebIntellegence和SecureXL。

Fortinet的FortiGate 1000的操作系统版本为2.80, Build 456。FortiGuard AV（防病毒）定义的版本为6.037，FortiGuard入侵定义的版本为2.226。

Juniper Networks的NetScreen-208的操作系统版本为5.2.0 r2.0，深入检测签名升级的版本为364。被测系统中包含了NetScreen的深入分组检测软件。

我们进行了四组测试。前两组测试――防火墙性能测试――在启用所有威胁签名的情况下测量了每秒连接数和防火墙吞吐率。通常，用户可以选择性地启用签名，以便最大限度地降低发生误报的可能性。但是在我们的测试中，我们需要检查每个IPS的完整检测功能，测试系统在承担负载时的性能。因此，我们在这些测试中启用了全部的签名组。第三组测试是两地间VPN端接测试；在这项测试中，我们使用了供应商的"缺省"防火墙设置。第四组测试是IPS威胁防御测试，其中我们启用了所有设备的所有签名。

所有性能测试所用的流量都是通过两对Spirent Avalanche/Reflector 2500流量生成器（软件版本为7.0，build 36784）产生的。来自流量生成器的负载和攻击系统――Imperfect Networks ThreatEx Appliance（v1.60b）――的输出都通过一台Cisco 6509 Catalyst交换机（运行的IOS版本为12.2）上的同一个VLAN进行连接。

注：为了确保竞争产品供应商的设备在每种测试环境中都可以得到合适的、最佳的配置，我们参考了这些供应商公开发布的所有文档和资料，以及测试人员的技术经验和判断能力。Check Point、Fortinet和Juniper拒绝在本次测试中为Miercom提供直接技术支持。

统一威胁管理

统一威胁管理（UTM）设备最近得到了广泛的使用，因为它们可以通过单个设备防御多种与安全有关的威胁。目前市场上的很多UTM产品都是以安全设备的形式提供的（预装硬件和软件）。但是，有些则是运行在标准的Intel PC/服务器平台上的软件产品。

在本次对比测试中，所有被测设备都可以提供防火墙功能、IPS（入侵防御系统）功能和VPN网关功能。 所有供应商都为实现这些功能提供了多种设备。我们之所以在本次评测中选用这些设备，是因为它们的价位相当。基本Check Point VPN-1 Pro（配有WebIntelligence和SecureXL）――一款纯软件产品――的价格略高于其他系统，但是仍然与其他被测系统接近。

这些产品的价格与性能密切相关。所有供应商都提供了具有更高性能和处理能力的高端设备，但是价格也要高得多。本次评测的目的是比较价格接近的系统。 工作负荷和性能

我们的性能测试的流量负荷是利用Spirent的Avalanche/Reflector流量生成器（参见第二页的详细介绍）产生的。Avalanche/Reflector系统被设置为自动生成高速的TCP/IP流量，它们将会被发往指定的被测UTM设备（一次一个，按序发送）。所生成的TCP/IP流量可以模拟普通用户和Web服务器之间的实际HTTP 1.1 Web流量。

对于HTTP流量，我们在每次测试期间建立和端接了数千个TCP/IP连接。每次测试大约持续两到三分钟，包含"加速"、"稳定"和"减速"三个阶段。每个被测系统上的负荷会一直增加，直到连接开始被丢弃（依照Avalanche/Reflector系统的报告）。这时，"最大"吞吐率会被记录下来。为了确认这一点，流量负荷会被增加到这一点之上。在某些情况下，总体吞吐率会出现幅度极小的增加；但是在其他情况下，吞吐率会下降。随着流量的进一步增加，越来越多的连接会被丢弃。

更高的吞吐率可以通过UDP流量实现，但是UDP不需要建立和中断连接，也不需要执行其他一些与TCP相关的逻辑，而这正是防火墙操作和性能的核心。而且，目前绝大部分的网络流量都是TCP/IP。 对于防火墙和VPN测试，测试环境都采用了尺寸为4K字节和16K字节的HTTP对象。它们可以模拟两种不同类型的用户：16K字节对象模拟下载大型文件的用户，而4K字节对象更加接近事务处理型流量。 对于防火墙吞吐率测试、IPS性能测试和每秒连接数测试，我们启用了供应商的所有威胁签名。对于两地间VPN测试，我们只使用了供应商的"缺省"防火墙设置――即产品出厂时本身携带的配置。IPS测试专门用于评估设备检测每种威胁的能力。在进行威胁检测测试时，没有使用任何背景流量。 防火墙和IPS性能

为了测量防火墙性能，我们在测试中使用了尺寸分别为4K字节和16K字节的HTTP对象。本文的第一页显示了尺寸为16K字节的HTTP对象的测试结果。下表显示了尺寸为4K字节的HTTP对象的测试结果。这些结果表明，即使对于这些尺寸较小的事务处理型流量，在启用全部威胁签名的情况下，Cisco ASA 5520仍然可以提供高于同类产品的吞吐率性能。

在启用所有攻击/病毒签名时的防火墙性能（Mbps），HTTP对象的尺寸为4K字节

在使用尺寸为4K字节的HTTP对象并启用全部威胁签名时，Cisco ASA 5520的吞吐率明显高于其他同类产品。

VPN网关吞吐率性能

与防火墙性能类似，我们利用尺寸分别为4K字节和16K字节的HTTP对象评测了VPN性能。这些流量仍然是由Spirent Avalanche/Reflector系统生成的 …… 此处隐藏：5372字，全部文档内容请下载后查看。喜欢就下载吧 ……