·天新网首页·加入收藏·设为首页·网站导航
数码笔记本手机摄像机相机MP3MP4GPS
硬件台式机网络服务器主板CPU硬盘显卡
办公投影打印传真
家电电视影院空调
游戏网游单机动漫
汽车新车购车试驾
下载驱动源码
学院开发设计
考试公务员高考考研
业界互联网通信探索
浅析HiPER宽带安全网关的七大差异(图)
http://www.21tx.com 2005年11月24日
  宽带用户的高速增长引发了宽带接入产品的发展,市面上出现了很多供中小企业使用宽带接入设备,如宽带路由器,安全网关等,有些很贵到几万元,有些很便宜,甚至到100多元,那么这些接入设备有什么区别呢?比如我们去买冰淇淋,我们可以去吃一根几块钱的蒙牛,也可以去吃上百元的哈根达斯,都是冰淇淋,区别在哪儿?宽带接入设备也是一样,多种多样,HiPER的宽带安全网关和其他宽带路由器有什么区别呢?
  
  在解释这些区别之前,我们要提一下ReOS。ReOS是上海艾泰科技实现的适合接入设备的网络操作系统。ReOS对于HiPER系列宽带安全网关,就如CISCO的IOS对于Cisco的路由器,ReOS是一个运行在HiPER系列硬件设备上的网络操作系统。是HiPER系列宽带安全网关的核心。HiPER安全网关和普通宽带路由器的具体区别表现在以下7个方面。
  
  区别一:相同CPU时的性能
  
  一般而言,市面上的宽带路由器都是用有限的几家ARM/MIPS系列CPU外加以太网控制芯片的方案,硬件一旦固定,转发能力就体现在软件上了。而转发能力作为接入设备的一个重要特征,低转发能力会使宽带接入设备成为网络瓶颈,影响网络的使用。HiPER宽带安全网关使用了高效率的包快速转发算法,并申请多项专利,在相同的平台上,如ARM9 166的CPU,转发能力可以达到65K PPS。在Intel 的IXP 425硬件平台上可以达到210K PPS。与之相比较的是,其他厂商相同的硬件ARM9芯片,如TP-Link或者Linksys,只能做到9 K 到10 K PPS,是HiPER的ReOS实现的1/6。对于Intel IXP 425的硬件平台,台湾省的QNO 9416只能做到27 K PPS,HiPER相同CPU的产品4510NB是它的 210K/27K = 7.7倍。下面给出HiPER和几款其他厂商产品的包转发能力的比较。因为比较产品只能使用NAT模式,不能用路由模式,所以和宽带路由器的比较是以单向转发例子,而Cisco 2611、Linux代理服务器等可以实现双向转发的测试,而且双向转发更能体现路由器的转发能力,因此,比较选择的模式时双向转发。
  
 浅析HiPER宽带安全网关的七大差异(图)

  
图一:HiPER 3300NB和TP-Link488T/490T/R4000+/NBR100/Qno9416的单向转发比较

  
  图一给出了HiPER 3300NB的比较。尽管HiPER 3300NB使用的CPU不如TL-R4000+和QNO9416,但是实际的转发能力3300NB都超过了这些产品。
  
 浅析HiPER宽带安全网关的七大差异(图)

  
图二:HiPER 4510NB和TP-Link488T/490T/R4000+/NBR100/Qno9416的单向转发比较

  
  
  由图二很明显地看出,使用相同的CPU的产品,如R4000+/QNO9416的转发能力大大落后于4510NB。
  
  HiPER和代理服务器以及著名的Cisco路由器2611的比较如下:
  
 浅析HiPER宽带安全网关的七大差异(图)

  
图三:HiPER 3300NB和Linux/Cisco 2611的双向转发比较

  
  而对于使用Intel的IXP 425的CPU,HiPER 4510NB和代理服务器/Cisco2611的比较图如下:
  
浅析HiPER宽带安全网关的七大差异(图)

  
图四:HiPER 4510NB和Linux/Cisco 2611的双向转发比较

  
  由以上四个比较图可以很明显地看出,HiPER宽带安全网关的转发能力是非常突出的。
  
  区别二:长期运行的稳定性
  
  稳定性依赖在硬件上,除了CPU外,还有其他芯片选材和测试上;在软件上,需要能经得起考验得软件。HiPER的设计要求是按照7 X 24 X 365 不间断工作。因此,除了选择合适的CPU外,还需要反复比较各种外围部件的芯片,如发热比较大的交换芯片。HiPER选择的是低功耗的芯片,在《微型计算机世界》做过的十几种产品的评测中,在运行数小时之后,HiPER的温度是最低的。电子产品因为温度升高而不稳定,我们在测试台湾省的侠诺产品FVR9416的时候,开了一个小时,不小心摸到铁盒,发现很烫手。更多的实际应用结果,如在上海电信小区接入,广东通信,广西通信和其他场合中长期连续的使用表面了HiPER的稳定。这里可以看一台作为IDC机房的防火墙的HiPER的例子,连续开机404天11小时多。
  
  一般的宽带路由器如果软件实现不是很好,过几天就要开关一次,这对家庭和小企业或许可以接受,而对运营商就比较痛苦了。
  
  区别三:NAT功能的智能
  
  HiPER实现了智能NAT。在一些企业和ICP应用中,由于需要提供比较多的对外服务,往往会向运营商申请多个IP地址,一方面满足自己内部上网的需要,另一个方面为服务器的对外服务提供地址。ReOS设计的智能NAT可以将多个用户的IP地址映射到一个公网地址,也可以将用户分成多个组,在有多个地址的情况下,每个组的用户对应一个公网地址,同时,还支持内部地址到公网地址的一对一映射,内部服务器配置内部的地址,而从公网访问则通过公网地址,而且,智能NAT还可以将NAT和路由混合在一起,部分对外服务器可以配置公网地址。当然,使用智能NAT功能还可以配置NAT的静态映射,将内部服务器的服务端口映射到公网地址的一个端口,因此,HiPER系列能完全满足各种复杂的网络规划。ADSL的接入方式限于技术,带宽有限,因此很多网吧和企业申请多个ADSL以扩展内部网的带宽,或者申请光纤接入作为主线路,ADSL作为备份;学校一般通过教育科研网接入,然而,限于教育科研网和电信的互联互通的带宽,从学校访问电信的网络很慢,反之亦然,因此,学校往往再申请电信的接入线路,等等。HiPER 多线路的产品可以轻松实现提供多线路接入以扩展接入带宽。接入方式可以是ADSL,光纤,Cable Modem,FTTx+LAN的自由组合。而且,HiPER的ReOS还提供了一套完整的线路监测技术,在某个线路失效的时候自动将流量切换到好用的线路,检测方式从链路层到应用层都有。多个线路的负载均衡技术可以根据带宽的比例分配出口的流量,也可以根据数据包的目的地址和源地址指定线路。举个例子,HiPER 3300NB虽然提供了1个WAN口和1个WAN2口,但是,通过WAN口连接交换机的方式,HiPER 3300NB最多可以支持16个ADSL线路的同时接入。而对于学校的应用,经过设置,HiPER3300NB可以将往教育科研网的流量送到教育科研网的出口,其他的流量送到电信的出口。
  
  而一般的宽带路由器只能实现PAT,最普通的上网情况,最多加几个一对一的NAT,无法满足越来越多的应用要求。
  
  区别四:多样的安全功能
  
  ReOS的安全功能实现多种多样。
  
  首先是采用了多接入端口的设计,对于不能中断的网络,允许用户接入2个以上的线路,以保证网络的畅通。在同时接入多个线路的情况下,可以采用备份或者均衡的方式。均衡的选择方式有多种,基于主机或者NAT会话。NAT会话是最小的单元,因此,能做到最精细的均衡。同时,ReOS还提供了基于目的地址,源地址的均衡,可以根据线路的实际带宽设定流量均衡比例。为了实现在不同情况下的检测方式,ReOS提供了以下检测方式:
  
  ·网关ICMP请求的线路检测——路由器连续ping接入线路的下一跳,如果丢包达到预设值则认为线路中断,此时将此线路用户切换到好的线路上去;线路中断后设备会继续ping接入线路的下一跳,直到线路恢复,再将用户切换回来。
  
  ·指定地址ICMP请求的线路检测——当接入线路的下一跳禁ping时,可以将ICMP检测的目标地址指定为第三方的IP地址。
  
  ·ARP请求的线路检测——当接入线路全部禁ping时,可以使用向接入线路的下一跳发ARP请求的检测方式。
  
  ·DNS请求的线路检测——当接入线路只是IP路由中断(例如很多地方网吧12点后ISP断线的情况),可以使用向指定服务器发DNS请求的检测方式。
  
  一般的宽带路由器的线路均衡方式和检测方式比ReOS的简单,如国内的某家著名品牌的宽带路由器,只能实现基于目的地址和源地址的均衡;如果宽带路由器用很含糊的字眼表达线路均衡和线路检测,那就有理由怀疑它的实际的实现方式。
  
  其次是防火墙地功能保障业务安全。ReOS系统的业务管理功能基于Filter机制和IP/MAC绑定来实现。通过IP/MAC绑定不仅可以做到内部机器的IP地址和MAC地址绑定在一起,使得普通用户不能随便修改自己的IP,而且,IP/MAC绑定可以实现上网黑白名单。具体地说,如果内部有些机器不允许上网,那么可以使用IP/MAC绑定的黑名单功能,在IP/MAC绑定的配置中,给不能上网的机器的MAC地址对应的IP地址中输入不是本路由器网络的IP地址。HiPER 3300NB可以实现200个IP/MAC绑定。如果对内网机器的控制不仅仅限制在上网,要对他们的某些行为进行控制,如禁止访问限制网站,禁止使用MSNQQ,那么可以使用Filter过滤机制。
  
  ReOS有三种Filter。
  
  ·IP Filter只是对IP包进行判断和处理。它可以根据IP包的特点,如IP源地址,目的地址,协议和源端口,目的端口等对包进行处理,如转发或者丢弃。IP Filter的这些参数非常容易从实际环境得到。
  
  ·IPSSG Filter是扩展的Filter,是HiPER转有的Filter。IPSSG Filter判断的条件除了IP Filter中说的IP源地址,目的地址,协议和源端口,目的端口这些IP基本信息以外,还可以根据MAC地址,时间段等来判断。判断的灵活度加大了,IPSSG Filter可以列出一段地址和一段端口。
  
  ·Generic Filter 是按照字节( bytes)或者比特(bits)检查任何包。使用Generic Filter,管理员需要可以根据包的内容来查找。
  
  对Generic Filter进行扩展以后,在ReOS版本5.4以上,3100系列以上地机器已经实现了URL过滤和关键词过滤。URL过滤能阻止网络的使用者只访问允许的网站(白名单),或者不能访问控制的网站(黑名单),为学校、网吧、企业等提供一个良好的上网环
  

上一篇: 经济又实惠——家庭适用路由器选购(图)
下一篇: 深入了解宽带路由器共享上网原理(图)

关于我们 | 联系我们 | 加入我们 | 广告服务 | 投诉意见 | 网站导航
Copyright © 2000-2011 21tx.com, All Rights Reserved.
晨新科技 版权所有 Created by TXSite.net