防火墻三大體系架構(gòu)前景分析

賽迪顧問的統(tǒng)計(jì)分析顯示，2004年以來，防火墻市場(chǎng)依然保持了高速的增長(zhǎng)，僅第2季度，防火墻市場(chǎng)在整個(gè)網(wǎng)絡(luò)安全市場(chǎng)的份額高達(dá)40%以上。　　賽迪顧問的統(tǒng)計(jì)分析顯示，2004年以來，防火墻市場(chǎng)依然保持了高速的增長(zhǎng)，僅第2季度，防火墻市場(chǎng)在整個(gè)網(wǎng)絡(luò)安全市場(chǎng)的份額高達(dá)40%以上。

　　在現(xiàn)有的x86、NP、ASIC架構(gòu)的防火墻產(chǎn)品中，誰將成為市場(chǎng)的主流?三大架構(gòu)防火墻產(chǎn)品的不同技術(shù)特點(diǎn)是什么?

　　工控機(jī)時(shí)代漸行漸遠(yuǎn)

　　目前在國(guó)內(nèi)的信息安全市場(chǎng)上，防火墻多是基于Intel x86系列架構(gòu)的產(chǎn)品，又被稱為工控機(jī)防火墻，其具有開發(fā)、設(shè)計(jì)門檻低，技術(shù)成熟等優(yōu)點(diǎn)。

　　但是，缺陷也是顯而易見的，由于x86架構(gòu)的硬件并非為了網(wǎng)絡(luò)數(shù)據(jù)傳輸而設(shè)計(jì)，它對(duì)數(shù)據(jù)包的轉(zhuǎn)發(fā)性能相對(duì)較弱。并且由于國(guó)內(nèi)安全廠商并不掌握x86架構(gòu)的核心技術(shù)，其BIOS中存在著隱藏的漏洞，有可能影響防火墻的安全可靠性。而且工控機(jī)的產(chǎn)業(yè)鏈條非常復(fù)雜，國(guó)內(nèi)廠商在其中能發(fā)揮的影響力很有限，不利于國(guó)內(nèi)信息安全產(chǎn)業(yè)的長(zhǎng)期發(fā)展。

　　未來引領(lǐng)防火墻市場(chǎng)的會(huì)是哪一種技術(shù)，這是一直以來困擾業(yè)界的問題。隨著網(wǎng)絡(luò)帶寬的增長(zhǎng)和千兆網(wǎng)絡(luò)在國(guó)內(nèi)的大規(guī)模推廣應(yīng)用，市場(chǎng)對(duì)基于高帶寬網(wǎng)絡(luò)中安全設(shè)備的需求也迅速增長(zhǎng)。在未來的網(wǎng)絡(luò)環(huán)境下，傳統(tǒng)的基于x86體系結(jié)構(gòu)的工控機(jī)防火墻已不能滿足寬帶網(wǎng)絡(luò)高吞吐量、低時(shí)延的要求，而網(wǎng)絡(luò)處理器(Network Processor)和專用集成電路(ASIC)技術(shù)被認(rèn)為是未來千兆防火墻的主要方向。

　　三大技術(shù)優(yōu)勢(shì)互現(xiàn)

　　先來看基于ASIC技術(shù)的防火墻。采用ASIC技術(shù)可以為防火墻應(yīng)用設(shè)計(jì)專門的數(shù)據(jù)包，是公認(rèn)的滿足千兆環(huán)境骨干級(jí)應(yīng)用的技術(shù)方案。但ASIC技術(shù)開發(fā)成本高、開發(fā)周期長(zhǎng)且難度大，而且ASIC技術(shù)在國(guó)外已經(jīng)歷了10多年的發(fā)展，技術(shù)成熟、穩(wěn)定，而國(guó)內(nèi)廠商要采用ASIC技術(shù)難度卻很大。

　　NP(網(wǎng)絡(luò)處理器)是專門為處理數(shù)據(jù)包而設(shè)計(jì)的可編程處理器，它具有完全的可編程性、簡(jiǎn)單的編程模式、最大化系統(tǒng)靈活性、高處理能力、高度功能集成、開放的編程接口以及第三方支持能力。

　　這些特性使基于NP架構(gòu)的防火墻與傳統(tǒng)防火墻相比，在性能上得到了很大的提高，同時(shí)又具有極佳的靈活擴(kuò)展性。

　　NP技術(shù)可以支持編程，一旦有新的技術(shù)或者需求出現(xiàn)，資深設(shè)計(jì)師可以很方便地通過微碼編程實(shí)現(xiàn)。

　　對(duì)于特殊的用戶需求，基于NP的NetEye防火墻產(chǎn)品可以實(shí)現(xiàn)定制開發(fā)，即可以通過模塊刪減來開發(fā)出滿足不同用戶的需求的產(chǎn)品。而用ASIC實(shí)現(xiàn)的情況下，由于對(duì)ASIC不可編程，因此根本無法對(duì)新的功能進(jìn)行添加。

　　在新功能開發(fā)的時(shí)間上，按照業(yè)界的經(jīng)驗(yàn)數(shù)字，基于微碼的功能開發(fā)周期一般為6個(gè)月甚至更短，用ASIC實(shí)現(xiàn)的時(shí)間通常需要2～3年的時(shí)間。

　　NP，如何叫好又叫座?

　　2003年，國(guó)內(nèi)廠商開始推出基于NP架構(gòu)的防火墻，NP概念一下子火爆異常。但很快人們發(fā)現(xiàn)，NP平臺(tái)也并非坦途。由于受技術(shù)成熟因素和成本因素兩方面制約，國(guó)內(nèi)已推出的NP防火墻產(chǎn)品或局限于個(gè)別型號(hào)，或是干脆停留在實(shí)驗(yàn)階段，并沒有大規(guī)模進(jìn)入主流市場(chǎng)。一時(shí)間，NP陷入了叫好不叫座的尷尬局面。

　　從產(chǎn)品特性上講，NP架構(gòu)下的產(chǎn)品批量生產(chǎn)成本比x86架構(gòu)要高，而NP的計(jì)算能力又比ASIC要低。這都是NP架構(gòu)防火墻必須面對(duì)的問題，但NP防火墻具有更高的集成度，并以分布式的存儲(chǔ)系統(tǒng)，能夠勝任高帶寬的線速處理。

　　千兆防火墻：ASIC略勝一籌

　　以千兆防火墻為例，采用ASIC技術(shù)可以為防火墻應(yīng)用設(shè)計(jì)專門的數(shù)據(jù)包處理流水線，優(yōu)化存儲(chǔ)器等資源的利用，是公認(rèn)的使防火墻達(dá)到線速千兆，滿足千兆環(huán)境骨干級(jí)應(yīng)用的技術(shù)方案。但ASIC技術(shù)開發(fā)成本高、開發(fā)周期長(zhǎng)且難度大，一般的防火墻廠商難以具備相應(yīng)的技術(shù)和資金實(shí)力。

　　網(wǎng)絡(luò)處理器(NP)是專門為處理數(shù)據(jù)包而設(shè)計(jì)的可編程處理器，它的特點(diǎn)是內(nèi)含了多個(gè)數(shù)據(jù)處理引擎，這些引擎可以并發(fā)進(jìn)行數(shù)據(jù)處理工作，在處理2到4層的分組數(shù)據(jù)上比通用處理器具有明顯的優(yōu)勢(shì)，能夠直接完成網(wǎng)絡(luò)數(shù)據(jù)處理的一般性任務(wù)。硬件體系結(jié)構(gòu)大多采用高速的接口技術(shù)和總線規(guī)范，具有較高的I/O能力，包處理能力得到了很大提升。

　　從性能的角度分析，基于Intel x86架構(gòu)的千兆防火墻，由于受CPU處理能力和PCI總線速度的制約，性能和功能不能達(dá)到網(wǎng)絡(luò)安全和網(wǎng)絡(luò)性能間的統(tǒng)一。

　　從功能的角度分析，基于通用處理器的x86架構(gòu)上開發(fā)的防火墻，功能強(qiáng)大，可擴(kuò)充性非常好;基于ASIC的防火墻雖然在性能上非常強(qiáng)大，但是在功能性、靈活性和可擴(kuò)充性等方面就差很多了。

　　因基于ASIC的防火墻開發(fā)難度大、周期長(zhǎng)、產(chǎn)品靈活性差等原因，不適合技術(shù)和資金積累較薄弱的國(guó)內(nèi)廠商發(fā)展。所以，隨著NP技術(shù)的成熟和發(fā)展，開發(fā)基于NP的網(wǎng)絡(luò)安全產(chǎn)品成為國(guó)內(nèi)廠商的首選。

　　只是此消彼漲，不是誰消滅誰

　　基于網(wǎng)絡(luò)處理器架構(gòu)的防火墻與基于通用CPU架構(gòu)的防火墻相比，在性能上可以得到很大的提高。基于NP的防火墻可以集x86架構(gòu)防火墻的功能與ASIC防火墻的性能于一身。網(wǎng)絡(luò)處理器能彌補(bǔ)通用CPU架構(gòu)性能的不足，同時(shí)又不需要具備開發(fā)基于ASIC技術(shù)的防火墻所需要的大量資金和技術(shù)積累，最近在國(guó)內(nèi)信息安全廠商中備受關(guān)注，成為國(guó)內(nèi)廠商實(shí)現(xiàn)高端千兆防火墻的熱門選擇。因此，在高端千兆市場(chǎng)，基于NP的防火墻將是重要的趨勢(shì)。

　　但是，這種趨勢(shì)是此消彼長(zhǎng)的關(guān)系，不是誰消滅誰的關(guān)系，這三種防火墻在市場(chǎng)上將長(zhǎng)期保持共存的局面。未來，在低端千兆市場(chǎng)上，x86架構(gòu)的防火墻將成為主流;在高端千兆市場(chǎng)上，基于NP的防火墻將占有較大的市場(chǎng)分額。