一种防火墙性能测试方法及装置的制造方法
【技术领域】
[0001]本发明涉及通信技术领域，特别是涉及一种防火墙性能测试方法及装置。
【背景技术】
[0002]防火墙在网络安全领域扮演着重要角色，防火墙的性能测试结果是防火墙选型的重要技术指标，包括吞吐量(Throughput)、每秒新建连接能力(New Sess1ns)、最大并发连接数(Concurrent Sess1ns)、时延(Latency)及应用层的吞吐量(Goodput)测试等。现有的测试方法都是依据RFC标准:如吞吐量和时延依据RFC2544、最大并发连接数和每秒新建连接能力依据RFC2647、Goodput依据RFC3511。防火墙的转发性能可以用Throughput和Goodput两个指标来衡量。而对于防火墙设备来说，Goodput这个指标比Throughput更具有实际意乂，因此在测试防火墙吞吐量时，更多米用Goodput指标。
[0003]Bypass技术应用到防火墙中本意为当防火墙设备处于业务板卡故障或性能瓶颈等特殊情况时，防火墙能将流量不经过防火墙业务处理模块处理，直接由路由转发，放弃防火墙的安全保护功能，保证业务流量的正常转发，维护全网业务畅通。但防火墙的性能测试指标应反映防火墙在正常防火墙处理模式下设备处理业务的能力，如果在测试时防火墙使用Bypass功能，且将开启Bypass功能的预定条件设置为检测到业务处理模块达到瓶颈状态或者某一特定流量阀值时，对防火墙性能的测试将存在测试数据不真实的情况。如某款防火墙设备Goodput处理能力为40G，通常40G是业务处理模块的能力极限，若防火墙开启Bypass功能且将开启Bypass功能的预定条件设置为检测到业务处理模块达到瓶颈状态，当业务处理模块达到瓶颈状态时，流量不经过业务板卡进行应有的策略过滤、会话状态检测等功能，直接通过路由转发，测试数据将远超过40G，因此测试得到的数据并不能反映设备的真实处理能力，会给防火墙设备选型等提供错误的数据支持。
【发明内容】
[0004]本发明的目的在于提供一种防火墙性能测试方法及装置，用以解决由于防火墙的旁路bypass功能导致测试出的防火墙性能指标不能准确反映防火墙性能的问题。
[0005]为了实现上述目的，本发明提供了一种防火墙性能测试方法，包括:
[0006]生成用于测试所述防火墙转发性能的测试流量；其中，所述测试流量包含性能测试流量以及功能验证流量，所述功能验证流量在所述防火墙的bypass功能关闭时不被所述防火墙转发；
[0007]将所述测试流量均衡地发送到所述防火墙的各个测试端口 ；
[0008]根据所述防火墙的各个测试端口对所述功能验证流量的转发结果，确定所述防火墙bypass功能的开启状态；
[0009]根据所述防火墙bypass功能的开启状态以及所述各个测试端口对所述性能测试流量的转发结果，确定所述防火墙的转发能力。
[0010]其中，所述将所述测试流量均衡地发送到所述防火墙的各个测试端口的步骤包括:
[0011 ] 对所述性能测试流量以及所述功能验证流量进行聚合处理，得到聚合流量；
[0012]根据散列hash算法将所述聚合流量均衡地发送到所述防火墙的各个测试端口。
[0013]其中，所述根据所述各个测试端口对所述功能验证流量的转发结果，确定所述防火墙bypass功能的开启状态的步骤包括:
[0014]若所述功能验证流量全部或者部分转发成功，则确定所述防火墙的bypass功能开启；
[0015]若所述功能验证流量全部转发失败，则确定所述防火墙的bypass功能关闭。
[0016]其中，所述根据所述防火墙的bypass功能的开启状态以及所述各个测试端口对所述性能测试流量的转发结果，确定所述防火墙的转发能力的步骤包括:
[0017]若所述防火墙的bypass功能关闭，且所述性能测试流量全部成功转发，则确定所述性能测试流量的值为所述防火墙的转发能力；
[0018]若所述防火墙的bypass功能关闭，且所述性能测试流量未全部成功转发，则确定所述防火墙的转发能力低于所述性能测试流量的值；
[0019]若所述防火墙的bypass功能开启，确定所述防火墙转发的性能测试流量的值非所述防火墙的转发能力。
[0020]其中，所述功能验证流量为匹配所述防火墙拒绝策略的流量、无会话匹配的流量或者无状态的流量。
[0021]本发明实施例还提供了一种防火墙性能测试装置，包括:
[0022]生成模块，用于生成用于测试所述防火墙转发性能的测试流量；其中，所述测试流量包含性能测试流量以及功能验证流量，所述功能验证流量在所述防火墙的bypass功能关闭时不被所述防火墙转发；
[0023]均衡模块，用于将所述测试流量均衡地发送到所述防火墙的各个测试端口 ；
[0024]第一确定模块，用于根据所述防火墙的各个测试端口对所述功能验证流量的转发结果，确定所述防火墙bypass功能的开启状态；
[0025]第二确定模块，用于根据所述防火墙bypass功能的开启状态以及所述各个测试端口对所述性能测试流量的转发结果，确定所述防火墙的转发能力。
[0026]其中，所述均衡模块包括:
[0027]聚合模块，用于对所述性能测试流量以及所述功能验证流量进行聚合处理，得到聚合流量；
[0028]分散模块，用于根据散列hash算法将所述聚合流量均衡地发送到所述防火墙的各个测试端口。
[0029]其中，所述第一确定模块具体用于若所述验证流量全部或者部分转发成功，则确定所述防火墙的bypass功能开启，若所述功能验证流量全部转发失败，则确定所述防火墙的bypass功能关闭。
[0030]其中，所述第二确定模块包括:
[0031]第一确定单元，用于若所述防火墙的bypass功能关闭，且所述性能测试流量全部成功转发，则确定所述性能测试流量的值为所述防火墙的转发能力；
[0032]第二确定单元，用于若所述防火墙的bypass功能关闭，且所述性能测试流量未全部成功转发，则确定所述防火墙的转发能力低于所述性能测试流量的值；
[0033]第三确定单元，用于若所述防火墙的bypass功能开启，确定所述防火墙转发的性能测试流量数据非所述防火墙的转发能力。
[0034]其中，所述功能验证流量为匹配所述防火墙拒绝策略的流量、无会话匹配的流量或者无状态的流量。
[0035]本发明实施例具有以下有益效果:
[0036]本发明实施例的防火墙性能测试方法，在原有性能测试流量的基础上增加当防火墙的bypass功能关闭时不能被防火墙转发的功能验证流量，同时本发明实施例在被测防火墙与检测仪表之间增加交换机间，并进行端口聚合，利用聚合端口的流量均衡功能，使得被测试设备各端口都有需要测试的性能测试流量和少量的验证流量，从而保证在性能测试流量正常转发而功能验证流量全部转发失败的条件下，测试出的性能值更加准确、严谨地反映出防火墙的真实处理能力。
【附图说明】
[0037]图1为本发明实施例的方法流程图；
[0038]图2为本发明实施例的防火墙性能测试拓扑图；
[0039]图3为本发明实施例的结构框图。
【具体实施方式】
[0040]为使本发明要解决的技术问题、技术方案和优点更加清楚，下面将结合具体实施例及附图进行详细描述。
[0041]本发明实施例解决由于防火墙的旁路byp