艾銻無限干貨集：什么是防火墻并發(fā)連接數(shù)

2020-03-18 21:40 作者：admin

 
2015年我第一次參加阿里云杭州全球云棲大會(huì)時(shí)，看到的是驚喜和無限的可能性。
 
 
“2015杭州云棲大會(huì)”于10月14日至15日在杭州云棲小鎮(zhèn)如期召開。大會(huì)以“互聯(lián)網(wǎng)、創(chuàng)新、創(chuàng)業(yè)”為本屆主題，展現(xiàn)“互聯(lián)網(wǎng)+”時(shí)代下無處不在的云計(jì)算與各行各業(yè)的交錯(cuò)連接，介紹云計(jì)算為產(chǎn)業(yè)升級(jí)和改革創(chuàng)新提供的源源動(dòng)力，挖掘云計(jì)算助力下生生不息的創(chuàng)業(yè)激情和機(jī)遇。
 
2015年正式更名為“云棲大會(huì)”，阿里云的名字不再出現(xiàn)在會(huì)議名稱中，而是更加強(qiáng)調(diào)云計(jì)算、大數(shù)據(jù)生態(tài)的定位。量子計(jì)算、人工智能、生物識(shí)別、深度學(xué)習(xí)等前沿的科技創(chuàng)新力量首次在大會(huì)亮相。大會(huì)吸引了全球超過20個(gè)國(guó)家的21500名開發(fā)者，參展企業(yè)達(dá)到219家，參與企業(yè)3000多家，現(xiàn)場(chǎng)參觀超過42584人次，全球直播收看人數(shù)超過127萬人，成為全球最大規(guī)模的云計(jì)算峰會(huì)之一。
 
走進(jìn)會(huì)場(chǎng)別開生面，豐富多彩，讓人忘掉了科技的冰冷，就像走進(jìn)了游樂園，有運(yùn)動(dòng)，有演出，有游戲，有展示，有互動(dòng)，4萬多人把整個(gè)會(huì)場(chǎng)擠得水泄不通，來自全球的技術(shù)愛好者，企業(yè)家，科學(xué)家，政府官員，阿里云的合作伙伴，競(jìng)爭(zhēng)對(duì)手，閑雜人等五花八門，你能想到的人都聚齊了。
 
甚至還有票販子，是什么吸引了各路好漢齊聚一堂，擠破頭也要參加一場(chǎng)聽起來非常專業(yè)性的云棲大會(huì)呢?
 
除了上面說的阿里云的技術(shù)能力和運(yùn)營(yíng)能力以外，其實(shí)還有一個(gè)非常重要的原因，就是能親眼見到馬云馬老師，甚至還能有機(jī)會(huì)與他零距離接觸.
 
從2015到2018年，在這四年中馬老師每年都會(huì)參加杭州云棲大會(huì)的分享，而且還會(huì)出現(xiàn)在云棲現(xiàn)場(chǎng)的不同地方，這讓很多喜歡馬老師的伙伴興奮極了，你想你一生能有幾次親眼見到“外星人”呢.  
2015年他在主會(huì)場(chǎng)20分鐘的分享表達(dá)了一個(gè)重要的觀點(diǎn)，就是在未來5年無企業(yè)，不上云。上云是企業(yè)戰(zhàn)略而不是戰(zhàn)術(shù)，未來是一個(gè)萬物互聯(lián)的時(shí)代，只有那些在云上的企業(yè)才能快速有效的抓住時(shí)代變化的先機(jī)，才能使用計(jì)算的能力，才能利用好數(shù)據(jù)的價(jià)值.
 
當(dāng)時(shí)聽了馬老師的演講，我當(dāng)刻就決定了和阿里云的合作，讓艾銻無限成為了阿里云的戰(zhàn)略合作伙伴，和阿里云一起為中小企業(yè)提供上云解決方案服務(wù)。
 
四年多過去了，馬老師當(dāng)年說無企業(yè)，不上云，如今，如果你不知道云，你的企業(yè)沒有用云，可能你在這次的疫情中根本就沒有戰(zhàn)斗力，你都不知道別人企業(yè)是如何贏得這次疫情戰(zhàn)斗勝利的.
 
企業(yè)上云不僅能為企業(yè)節(jié)省70%以上的成本，更能為企業(yè)提升500%以上的效率，甚至它的有些價(jià)值是無法計(jì)算的，這些年艾銻無限為上千家企業(yè)提供了上云服務(wù)，親身經(jīng)歷了有一些企業(yè)上云變革后帶來的增長(zhǎng)和變化，我記得服務(wù)了一家裝修行業(yè)的領(lǐng)頭企業(yè)，在2016年這家企業(yè)因人員場(chǎng)地和機(jī)房成本，讓這家公司舉步維艱，離破產(chǎn)僅一步之遙，我和這家企業(yè)的CEO是好朋友，有一天我去看他，聽到他和我分享現(xiàn)在遇到的巨大困境，我問了他幾個(gè)關(guān)鍵的問題，最后確認(rèn)了是成本不斷提升，業(yè)績(jī)卻沒有提高，效率低下從而導(dǎo)致企業(yè)經(jīng)營(yíng)困難，后來艾銻無限的云解決方案團(tuán)隊(duì)幫助他出了三個(gè)解決方案:
 
第一， 把他們現(xiàn)有機(jī)房近百臺(tái)服務(wù)器遷到云上，釋放出近百平米的機(jī)房空間和硬件運(yùn)維升級(jí)成本，因?yàn)樵剖菑椥缘?，可以根?jù)企業(yè)用量來支付費(fèi)用，這一下就幫他們減輕了一年上百萬的硬件投入成本.
 
第二， 幫助他們打通各個(gè)管理系統(tǒng)，讓企業(yè)內(nèi)部數(shù)據(jù)更透明，讓整體效率一下子就提升了上來，而且當(dāng)他發(fā)現(xiàn)整個(gè)環(huán)節(jié)全部通透后，有1/3的人力是可以節(jié)省的，完全沒必要用這么多人，這一下讓他們每年節(jié)省了近200萬的人力支出，這就是科技的力量，雖然對(duì)失業(yè)的員工有些殘忍，但對(duì)與一家商業(yè)企業(yè)來說這是正確的選擇.
 
第三， 重建營(yíng)銷系統(tǒng)，讓傳統(tǒng)的銷售模式重新變革，提升人員的產(chǎn)出比，讓全員進(jìn)行銷售，整體銷售額提高了200%，這個(gè)時(shí)代職責(zé)和名稱將會(huì)越來越模糊，誰能為企業(yè)創(chuàng)造價(jià)值，誰就是企業(yè)最重要的員工.
 
大家可以想象一下，一家企業(yè)人員降低原來的1/3，但銷售額卻提升原來的兩倍，這意味著盈利能力和盈利水平呈指數(shù)級(jí)的增長(zhǎng)，這就是變革后的成果.
 
無企業(yè)，不上云，你的企業(yè)上云了嗎？  
如果你的企業(yè)還沒有下云也沒有關(guān)系，也許你的企業(yè)還沒有遇到挑戰(zhàn)，假如你有和我朋友同樣的困境，那不妨與艾銻無限的云工程師和技術(shù)專家聊一聊，說不定就讓你眼前一亮，打開了你遇到的限制和困境，從而讓你的企業(yè)邁上了生長(zhǎng)的第二春。
 
艾銻無限干貨集：什么是防火墻并發(fā)連接數(shù)
 
 
 
并發(fā)連接數(shù)是指防火墻或代理服務(wù)器對(duì)其業(yè)務(wù)信息流的處理能力，是防火墻能夠同時(shí)處理的點(diǎn)對(duì)點(diǎn)連接的最大數(shù)目，它反映出防火墻設(shè)備對(duì)多個(gè)連接的訪問控制能力和連接狀態(tài)跟蹤能力，這個(gè)參數(shù)的大小直接影響到防火墻所能支持的最大信息點(diǎn)數(shù)。 并發(fā)連接數(shù)是衡量防火墻性能的一個(gè)重要指標(biāo)。    在目前市面上常見防火墻設(shè)備的說明書中大家可以看到，從低端設(shè)備的500、1000個(gè)并發(fā)連接，一直到高端設(shè)備的數(shù)萬、數(shù)十萬并發(fā)連接，存在著好幾個(gè)數(shù)量級(jí)的差異。那么，并發(fā)連接數(shù)究竟是一個(gè)什么概念呢？它的大小會(huì)對(duì)用戶的日常使用產(chǎn)生什么影響呢？要了解并發(fā)連接數(shù)，首先需要明白一個(gè)概念，那就是“會(huì)話”。這個(gè)“會(huì)話”可不是我們平時(shí)的談話，但是可以用平時(shí)的談話來理解，兩個(gè)人在談話時(shí)，你一句，我一句，一問一答，我們把它稱為一次對(duì)話，或者叫會(huì)話。同樣，在我們用電腦工作時(shí)，打開的一個(gè)窗口或一個(gè)Web頁面，我們也可以把它叫做一個(gè)“會(huì)話”，擴(kuò)展到一個(gè)局域網(wǎng)里面，所有用戶要通過防火墻上網(wǎng)，要打開很多個(gè)窗口或Web頁面發(fā)（即會(huì)話），那么，這個(gè)防火墻，所能處理的最大會(huì)話數(shù)量，就是“并發(fā)連接數(shù)”。像路由器的路由表存放路由信息一樣，防火墻里也有一個(gè)這樣的表，我們把它叫做并發(fā)連接表，是防火墻用以存放并發(fā)連接信息的地方，它可在防火墻系統(tǒng)啟動(dòng)后動(dòng)態(tài)分配進(jìn)程的內(nèi)存空間，其大小也就是防火墻所能支持的最大并發(fā)連接數(shù)。大的并發(fā)連接表可以增大防火墻最大并發(fā)連接數(shù)，允許防火墻支持更多的客戶終端。盡管看上去，防火墻等類似產(chǎn)品的并發(fā)連接數(shù)似乎是越大越好。但是與此同時(shí)，過大的并發(fā)連接表也會(huì)帶來一定的負(fù)面影響：
1.并發(fā)連接數(shù)的增大意味著對(duì)系統(tǒng)內(nèi)存資源的消耗 以每個(gè)并發(fā)連接表項(xiàng)占用300B計(jì)算，1000個(gè)并發(fā)連接將占用300B×1000×8bit/B≈2。3Mb內(nèi)存空間，10000個(gè)并發(fā)連接將占用23Mb內(nèi)存空間，100000個(gè)并發(fā)連接將占用230Mb內(nèi)存空間，而如果真的試圖實(shí)現(xiàn)1000000個(gè)并發(fā)連接的話那么，這個(gè)產(chǎn)品就需要提供24Gb內(nèi)存空間
2.并發(fā)連接數(shù)的增大應(yīng)當(dāng)充分考慮CPU的處理能力 CPU的主要任務(wù)是把網(wǎng)絡(luò)上的流量從一個(gè)網(wǎng)段盡可能快速地轉(zhuǎn)發(fā)到另外一個(gè)網(wǎng)段上，并且在轉(zhuǎn)發(fā)過程中對(duì)此流量按照一定的訪問控制策略進(jìn)行許可檢查、流量統(tǒng)計(jì)和訪問審計(jì)等操作，這都要求防火墻對(duì)并發(fā)連接表中的相應(yīng)表項(xiàng)進(jìn)行不斷的更新讀寫操作。如果不顧C(jī)PU的實(shí)際處理能力而貿(mào)然增大系統(tǒng)的并發(fā)連接表，勢(shì)必影響防火墻對(duì)連接請(qǐng)求的處理延遲，造成某些連接超時(shí)，讓更多的連接報(bào)文被重發(fā)，進(jìn)而導(dǎo)致更多的連接超時(shí)，最后形成雪崩效應(yīng)，致使整個(gè)防火墻系統(tǒng)崩潰。
3.物理鏈路的實(shí)際承載能力將嚴(yán)重影響防火墻發(fā)揮出其對(duì)海量并發(fā)連接的處理能力 雖然目前很多防火墻都提供了10/100/1000Mbps的網(wǎng)絡(luò)接口，但是，由于防火墻通常都部署在Internet出口處，在客戶端PC與目的資源中間的路徑上，總是存在著瓶頸鏈路——該瓶頸鏈路可能是2Mbps專線，也可能是512Kbps乃至64Kbps的低速鏈路。這些擁擠的低速鏈路根本無法承載太多的并發(fā)連接，所以即便是防火墻能夠支持大規(guī)模的并發(fā)訪問連接，也無法發(fā)揮出其原有的性能。 有鑒于此，我們應(yīng)當(dāng)根據(jù)網(wǎng)絡(luò)環(huán)境的具體情況和個(gè)人不同的上網(wǎng)習(xí)慣來選擇適當(dāng)規(guī)模的并發(fā)連接表。因?yàn)椴煌?guī)模的網(wǎng)絡(luò)會(huì)產(chǎn)生大小不同的并發(fā)連接，而用戶習(xí)慣于何種網(wǎng)絡(luò)服務(wù)以及如何使用這些服務(wù)，同樣也會(huì)產(chǎn)生不同的并發(fā)連接需求。
    高并發(fā)連接數(shù)的防火墻設(shè)備通常需要客戶投資更多的設(shè)備，這是因?yàn)椴l(fā)連接數(shù)的增大牽扯到數(shù)據(jù)結(jié)構(gòu)、CPU、內(nèi)存、系統(tǒng)總線和網(wǎng)絡(luò)接口等多方面因素。如何在合理的設(shè)備投資和實(shí)際上所能提供的性能之間尋找一個(gè)黃金平衡點(diǎn)將是用戶選擇產(chǎn)品的一個(gè)重要任務(wù)。按照并發(fā)連接數(shù)來衡量方案的合理性是一個(gè)值得推薦的辦法。以每個(gè)用戶需要10。5個(gè)并發(fā)連接來計(jì)算，一個(gè)中小型企業(yè)網(wǎng)絡(luò)（1000個(gè)信息點(diǎn)以下，容納4個(gè)C類地址空間）大概需要10。5×1000=10500個(gè)并發(fā)連接，因此支持20000～30000最大并發(fā)連接的防火墻設(shè)備便可以滿足需求；大型的企事業(yè)單位網(wǎng)絡(luò)（比如信息點(diǎn)數(shù)在1000～10000之間）大概會(huì)需要105000個(gè)并發(fā)連接，所以支持100000～120000最大并發(fā)連接的防火墻就可以滿足企業(yè)的實(shí)際需要; 而對(duì)于大型電信運(yùn)營(yíng)商和ISP來說，電信級(jí)的千兆防火墻（支持120000～200000個(gè)并發(fā)連接）則是恰當(dāng)?shù)倪x擇。為較低需求而采用高端的防火墻設(shè)備將造成用戶投資的浪費(fèi)，同樣為較高的客戶需求而采用低端設(shè)備將無法達(dá)到預(yù)計(jì)的性能指標(biāo)。利用網(wǎng)絡(luò)整體上的并發(fā)連接需求來選擇適當(dāng)?shù)姆阑饓Ξa(chǎn)品可以幫助用戶快速、準(zhǔn)確的定位所需要的產(chǎn)品，避免對(duì)單純某一參數(shù)“愈大愈好”的盲目追求，縮短設(shè)計(jì)施工周期，節(jié)省企業(yè)的開支。   從而為企業(yè)實(shí)施最合理的安全保護(hù)方案。 在利用并發(fā)連接數(shù)指標(biāo)選擇防火墻產(chǎn)品的同時(shí)，產(chǎn)品的綜合性能、廠家的研發(fā)力量、資金實(shí)力、企業(yè)的商業(yè)信譽(yù)和經(jīng)營(yíng)風(fēng)險(xiǎn)以及產(chǎn)品線的技術(shù)支持和售后服務(wù)體系等都應(yīng)當(dāng)納入采購(gòu)者的視野，將多方面的因素結(jié)合起來進(jìn)行綜合考慮，切不可盲目的聽信某些廠家廣告宣傳中的大并發(fā)連接的宣傳，要根據(jù)自己業(yè)務(wù)系統(tǒng)、企業(yè)規(guī)模、發(fā)展空間和自身實(shí)力等因素多方面考慮。