Packets per Second (PPS) is the cla

Packets per Second (PPS) is the classic metric for evaluating router performance.
Considering that, most of the time, firewalls are inserted in the network topology as
Layer 3 elements, this parameter cannot be despised. Additionally, from the perspective
of a stateful firewall, a connection might contain multiple packets. Two examples that
illustrate the relationship between packets and connections are registered here:
■ The TCP three-way handshake process: When using TCP, before the application
flow starts, there should be at least three packets involved
Chapter 2: Cisco Firewall Families Overview 31
■ Large file transfers: The transfer of large files using protocols such as FTP or TFTP
can involve a large quantity of packets within the same data connection.
Many customers complain about their firewalls facing problems with small packets. A
few of them even had the impression that their products had some kind of limitation
when dealing with this class of packets. In essence, what was going on in most of the situations could be described as follows:
■ The data sheet numbers were calculated using Jumbo Frames ( ~9000 bytes) and expressed in Gbps.
■ Traffic in a real-world environment had an IMIX-like profile (an average of 450 bytes
per packet). Considering that customers associated performance with Gbps, the disappointment was significant: a performance 20 times lower than the marketing numbers. (Just think about discovering that a claimed 30 Gbps throughput was not more
than 1.5 Gbps....)
The simplified calculations that follow can provide a reasonable guidance for linking the
PPS and Gbps values:
■ 450 bytes / packet = 3600 bits/packet = 3.6 x 103 bits / packet (a)
■ 1 Gbps = 109 bits / second (b)
■ 109 bits/second = (Y packets / second) x (3.6 x 103 bits / packet) (c)
■ (a), (b), and (c) yield Y ~ 278,000 packets / second, meaning that you would roughly
need 278K PPS for each Gbps of IMIX traffic.
If your deployment scenario involves smaller packets, your computations should be even
more conservative.
The Simultaneous Connections parameter is directly related with the amount of memory reserved for the state table. This variable is also somewhat interconnected with the
CPS value. For instance, the ASA5585-SSP10 supports 1M concurrent connections and a
CPS rate of 50 K (see Figure 2-2 ). 1000K connections / 50 K CPS = 20 seconds, meaning
that this ASA model can accept new connections at the maximum setup rate of 50 K CPS
for a period of 20 seconds (without rejecting connections).
Note In Figure 2-2, whenever a cell contains values in the form X / Y for the 5505 and
5510 platforms, X means the parameter value for the Base License, whereas Y corresponds
to the Security Plus (SecPlus) license.
Note Whenever planning for the CPS parameter, it is important to keep in mind that the
selected value should process setup rates higher than those observed during normal firewall operations. For example, there should be some room for dealing with DoS attack situations. (Well-dimensioned firewalls can significantly contribute to DoS mitigation.)
Figure 2-3 presents a possible packet flow for the ASA appliance in a situation for which
there is neither VPN nor user-based features deployed. The purpose of this figure is to
illustrate the classic tasks that are part of ASA firewall operations. Details about each
step are the subject of later chapters.
Overview of ASA Hardware Models
Figure 2-4 registers the front and rear views for the ASA5505, the smallest model in the
ASA family. Some of its noteworthy characteristics follow:

Kết quả (Việt) 1:

Gói cho một thứ hai (PPS) là số liệu cổ điển để đánh giá hiệu suất router.Xem xét rằng, phần lớn thời gian, tường lửa được chèn vào trong topo mạng nhưLớp 3 yếu tố, tham số này không thể được khinh thường. Ngoài ra, từ quan điểmmột tường lửa trạng thái, một kết nối có thể chứa nhiều gói. Hai ví dụ màminh họa cho mối quan hệ giữa các gói dữ liệu và kết nối được đăng ký ở đây:■ The TCP ba chiều bắt tay quá trình: khi sử dụng TCP, trước khi các ứng dụngdòng chảy bắt đầu, có nên được ít nhất ba gói tham giaChương 2: Cisco tường lửa của gia đình tổng quan 31■ Lớn tập tin chuyển tiền: chuyển tập tin lớn bằng cách sử dụng giao thức như FTP hoặc TFTPcó thể liên quan đến một số lượng lớn của các gói tin trong vòng kết nối dữ liệu tương tự.Nhiều khách hàng phàn nàn về tường lửa của họ phải đối mặt với các vấn đề với gói dữ liệu nhỏ. Avài người trong số họ thậm chí đã có ấn tượng rằng sản phẩm của họ đã có một số loại giới hạnKhi giao dịch với lớp này gói. Về bản chất, những gì đã xảy ra ở hầu hết các tình huống có thể được mô tả như sau:■ dữ liệu bảng số được tính bằng cách sử dụng Jumbo khung (~ 9000 byte) và thể hiện trong Gbps.■ lưu lượng truy cập trong một môi trường thế giới thực có một cấu hình giống như IMIX (trung bình khoảng 450 bytemỗi gói). Xem xét rằng khách liên quan đến hiệu suất với Gbps, những thất vọng là đáng kể: một hiệu suất 20 lần thấp hơn những con số tiếp thị. (Chỉ cần nghĩ về việc phát hiện rằng một tuyên bố 30 Gbps thông lượng là không nhiều hơn nữahơn 1,5 Gbps...)Các tính toán đơn giản làm theo có thể cung cấp một hướng dẫn hợp lý để liên kết cácPPS và Gbps giá trị:■ 450 byte / gói = 3600 bit/gói = 3.6 x 103 bit / gói (a)■ 1 Gbps = 109 bit/giây (b)■ 109 bit/giây = (Y gói / thứ hai) x (3.6 x 103 bit / gói) (c)■ (a), (b), và (c) sản lượng Y ~ 278,000 gói / thứ hai, có nghĩa rằng bạn sẽ khoảngcần 278K PPS cho mỗi Gbps IMIX lưu lượng truy cập.Nếu tình huống triển khai của bạn liên quan đến gói nhỏ hơn, tính toán của bạn nên ngay cảbảo thủ hơn.Tham số kết nối đồng thời liên quan trực tiếp với số lượng bộ nhớ dành riêng cho bảng nhà nước. Biến này cũng phần nào được kết nối với cácGiá trị ký tự/giây. Ví dụ, ASA5585-SSP10 hỗ trợ kết nối đồng thời 1M và mộtKý tự/giây tốc độ 50 K (xem hình 2-2). Kết nối 1000K / 50 K CPS = 20 giây, có nghĩa làMô hình này ASA có thể chấp nhận các kết nối mới ở mức thiết lập tối đa 50 k CPStrong một thời gian 20 giây (mà không có từ chối kết nối).Lưu ý trong hình 2-2, bất cứ khi nào một tế bào có chứa các giá trị trong các hình thức X / Y cho các 5505 vànền tảng 5510, X có nghĩa là giá trị tham số cho phép cơ sở, trong khi Y tương ứngđể bảo mật Plus (SecPlus) giấy phép.Lưu ý bất cứ khi nào có kế hoạch cho các tham số ký tự/giây, nó là quan trọng cần lưu ý rằng cácgiá trị được chọn nên xử lý thiết lập mức giá cao hơn so với những người quan sát trong hoạt động bình thường tường lửa. Ví dụ, không nên có một số phòng để đối phó với DoS tấn công tình huống. (Tốt dimensioned tường lửa có thể đáng kể góp phần giảm nhẹ DoS.)Hình 2-3 trình bày một luồng có thể gói cho các thiết bị ASA trong một tình huống màcó là không VPN cũng không tính năng dựa trên người dùng được triển khai. Mục đích của con số này là đểminh họa cho các tác vụ cổ điển mà là một phần của ASA tường lửa hoạt động. Chi tiết về từngbước là chủ đề chương sau này.Tổng quan về các mô hình phần cứng ASAHình 2-4 đăng ký phía trước và phía sau xem cho ASA5505, các mô hình nhỏ nhất trong cácGia đình ASA. Một số đặc điểm đáng chú ý của nó làm theo:

Kết quả (Việt) 2:

Gói dữ liệu trên giây (PPS) là thước đo để đánh giá hiệu suất cổ điển router.
Xét rằng, hầu hết thời gian, tường lửa được lắp vào các cấu trúc liên kết mạng như
3 yếu tố Layer, tham số này có thể không được xem thường. Ngoài ra, từ quan điểm
của một tường lửa, một kết nối có thể chứa nhiều gói nhỏ. Hai ví dụ
minh họa cho mối quan hệ giữa các gói tin và các kết nối được đăng ký ở đây:
■ Các TCP quá trình bắt tay ba chiều: Khi sử dụng TCP, trước khi áp dụng
dòng chảy bắt đầu, cần có ít nhất ba gói tin liên quan đến
Chương 2: Cisco Firewall Gia Đình Tổng quan 31
■ chuyển tập tin lớn: Việc chuyển các tập tin lớn bằng cách sử dụng các giao thức như FTP hoặc
TFTP. có thể liên quan đến một số lượng lớn các gói tin trong các kết nối dữ liệu cùng
Nhiều khách hàng phàn nàn về tường lửa của họ phải đối mặt với các vấn đề với các gói tin nhỏ. Một
vài trong số họ thậm chí đã có ấn tượng rằng sản phẩm của họ đã có một số loại giới hạn
khi đối phó với lớp học này của gói tin. Về bản chất, những gì đang diễn ra trong hầu hết các tình huống có thể được mô tả như sau:
■ Các con số bảng dữ liệu đã được tính toán bằng cách sử dụng Jumbo Frames (~ 9000 byte) và thể hiện Gbps.
■ giao thông trong một môi trường thực tế đã một IMIX- như hồ sơ cá nhân (trung bình 450 byte
mỗi gói). Xét rằng khách hàng liên quan đến hiệu suất với Gbps, sự thất vọng là có ý nghĩa: một hiệu suất thấp hơn so với con số thị 20 lần. (Chỉ cần suy nghĩ về phát hiện ra rằng một tuyên bố 30 Gbps thông lượng không nhiều
hơn 1,5 Gbps ....)
Các tính toán đơn giản sau đó có thể cung cấp một hướng dẫn hợp lý cho việc kết nối các
giá trị PPS và Gbps:
■ 450 byte / gói = 3600 bit / gói = 3,6 x 103 bit / gói (a)
■ 1 Gbps = 109 bit / giây (b)
■ 109 bit / giây = (gói Y / giây) x (3,6 x 103 bit / gói) (c)
■ (a), (b), và (c) Năng suất Y ~ 278.000 gói tin / giây, có nghĩa là bạn gần như sẽ
cần 278K PPS cho từng lưu lượng Gbps IMIX.
Nếu kịch bản triển khai của mình liên quan đến các gói nhỏ hơn, các tính toán của bạn nên được thậm chí
bảo thủ hơn.
Các kết nối đồng thời tham số liên quan trực tiếp với số lượng bộ nhớ dành cho các bảng trạng thái. Biến này cũng phần nào được kết nối với nhau bằng các
giá trị CPS. Ví dụ, các ASA5585-SSP10 hỗ trợ 1 triệu kết nối đồng thời và một
tỷ lệ CPS 50 K (xem hình 2-2). 1000K kết nối / 50 K CPS = 20 giây, có nghĩa
rằng mô hình ASA này có thể chấp nhận các kết nối mới với mức thiết lập tối đa 50 K CPS
cho một khoảng thời gian 20 giây (mà không từ chối kết nối).
Chú ý Trong hình 2-2, bất cứ khi nào một tế bào chứa các giá trị trong các hình X / Y cho 5505 và
các nền tảng 5510, X là giá trị tham số cho phép cơ sở, trong khi Y tương ứng
với Security Plus (SecPlus) cấp giấy phép.
Lưu ý Mỗi khi lên kế hoạch cho các tham số CPS, điều quan trọng là để giữ nhớ rằng các
giá trị được lựa chọn nên xử lý mức thiết lập cao hơn so với những người quan sát trong quá trình hoạt động của tường lửa thông thường. Ví dụ, cần có một số phòng để đối phó với những tình huống tấn công DoS. (Tường lửa Well-kích thước tương có thể đóng góp đáng kể vào việc giảm thiểu DoS.)
Hình 2-3 trình bày một lưu lượng gói tin có thể cho các thiết bị ASA trong một tình huống mà
ở đó không phải là tính năng VPN cũng không dựa trên người dùng triển khai. Mục đích của con số này là để
minh họa cho các nhiệm vụ cổ điển mà là một phần của hoạt động ASA firewall. Thông tin chi tiết về mỗi
bước là chủ đề của chương sau.
Tổng quan về ASA Phần cứng Models
Hình 2-4 đăng ký phía trước và phía sau quan điểm cho ASA5505, mô hình nhỏ nhất trong
gia đình ASA. Một số đặc điểm đáng chú ý của nó theo: