开发硬件防火墙的主要步骤

 这里说的虽然是硬件防火墙，但几乎所有的工作都是软件工作。硬件防火墙的核心是软件。

    在开发前，首先要清楚知道自已要需要的是什么类型的防火墙。同为硬件防火墙，大致可以分为高端以千兆为代表的主火墙，中端的百兆企业防火墙，以及低端家庭-小办公室的防火墙（SOHU-SMB）。这三个级别的防火墙的开发方式有很大的不同。高端千兆防火墙的代表产品包括Netscreen的 5000系列防火墙，以及Nodia-CheckPoint的IP720以上的产品，这级防火墙能够适应千兆要求的作业，吞吐量至少在600M以上。作为国内生产商目前要推出真正的千兆防火墙是很困难的，详情请参考：为什么实现千兆防火墙很困难

    而作为低端家庭-小办公室产品的防火墙，主要受的是硬件成本的压力。这一级产品包括如Netscreen的50/25/5X系列， Fortigate的FG200和FG300，以及一些市场上的拨号器、宽带路由器都可以归属这档防火墙。工作特点多是单进单出，主要用在小局域网进出互联网的控制。考虑到一般公司出入互联网的通道充其量也就几兆，即使是LAN用户或CABLE MODEM，公共出口也仍是几兆。因此，自适应十兆/百兆的单进出小防火墙基本上可以满足要求。事实上有些几百人的公司使用win98+sysgate拨号，也是自我感觉良好，可见这一档次的上网防火墙性能要求并不高；价格也是维持在两万元以下。但对于使用X86架构的防火墙来说，要求再低硬件也是有几千元的；连上软件成本，这两万元简直无法维持。因此，这一级防火墙的主要开发方式，是选择合适的嵌入式系统，通常是Linux，连硬件和软件整套买进来，自已添加其中的防火墙应用程序。这种防火墙主要的系统开发工作由各嵌入系统的供应商完成，而系统功能也弱，留给生产商的软件施展空间也不大，所以更象是一项硬件采购项目。连同最低采购限额（一般是一千）和软件开发，大致在一百万左右就可以拿下一个产品。这种防火墙，虽然也是“硬件防火墙”，但不是我们本文的重点。

    本文介绍的，是中档的企业级百兆防火墙的开发的主要步骤。这一级防火墙，是目前企业采购的主要对象，也是最需要的产品类型。国产防火墙，基本上集中在这个区间，操作系统一般选用开源的Linux或者BSD；相比之下，BSD的应用程序升级速度不算快，所以大部分防火墙选用的是Linux。

    要决定开发一个百兆的防火墙，需要选定一款合适的服务器主板，或者工控机，另外就是要选定一个好的网卡，通常是服务器专用网卡。虽然象Linux 这样的操作系统可以自动适应不同的主板，（只要它符合象PC2000这样的标准），Linux的最新内核也总能支持较新的主板的性能，（如PIII的超线程）；但每个主板和CPU之间还是有少许不同的；作为一个防火墙，除非对极端性能要求不是太严格，否则，需要针对主板和CPU的一些特性，如寄存器， SMP，超线程等等对内核进行针对性的修改和优化，否则，默认的内核就只能使用这些主板/CPU最基本的部分。举个例子说，防火墙有一个重要的性能指标叫最大会话数速率，或称每秒最大生成会话数，如果使用普适形的内核用到P3CPU上，能够达到的最大数值大致也就只有几千；但经过对针对主板设计（这种说明可以从主板和CPU厂商获取）进行优化，可以把性能提高到3-5万左右。同样，单纯升级主板和CPU不见得能提高性能，象把防火墙从P3升级到P4，如果没有支持P4的特殊性能，如超线程，最大会话能力就仍与P3没有区别，不如不升值，还可以减点成本。而专门的优化，则可以把性能达到50万，这也是这类防火墙的使用Intel架构主板目前所能达到的极限。针对选定硬件的优化工作尽管独立于防火墙开发的主体软件工作，一般情况下也不会显出它的必要性，但当防火墙进行极端的使用环境或评测环境时，显出的差距就非常大。针对网卡的开发驱动程序除了优化性能外，另一个目的就是要把防火墙与网关绑定在一起，以免被盗版。这个驱动程序与定造的防火墙内核一起，就令盗版显得困难得多了。 TAG标签 : 步骤 主要 防火墙 硬件 开发 工作 测试 可以 一个 使用