DPtechFW1000系列防火墻系統(tǒng)測(cè)試方案

..下載可編寫.DPtechFW1000測(cè)試方案DPtech杭州迪普科技2021年10月目錄DPtechFW100測(cè)試方案1第1章產(chǎn)品介紹1第2章測(cè)試方案2測(cè)試方案2測(cè)試環(huán)境2測(cè)試環(huán)境一2測(cè)試環(huán)境二2第3章測(cè)試內(nèi)容4性能特色4功能特色4管理特色4安全性4高可靠性4第4章測(cè)試方法及步驟5性能測(cè)試5FW功能測(cè)試7DPI功能測(cè)試13管理特色14安全特色15第5章測(cè)試總結(jié)17產(chǎn)品介紹目前，、音頻/視頻、P2P、云計(jì)算等各種新應(yīng)用、新業(yè)務(wù)層見迭出，傳統(tǒng)的基于端口進(jìn)行應(yīng)用鑒別和接見控制的FW，已遠(yuǎn)遠(yuǎn)無法滿足各種新應(yīng)用下安全防范的需求，增加其他輔助設(shè)備又會(huì)增加組網(wǎng)復(fù)雜性；而經(jīng)過在傳統(tǒng)FW上簡(jiǎn)單疊加局部應(yīng)用層安全防范功能，也由于系統(tǒng)設(shè)計(jì)和硬件架構(gòu)的天然缺乏，造成性能的大幅衰減，以致應(yīng)用層功能不敢真切啟用。特別在對(duì)性能、牢固性要求苛刻的數(shù)據(jù)中心，此問題顯得特別嚴(yán)重。為解決上述難題，迪普科技推出了基于嶄新多查辦理器架構(gòu)的下一代FW—DPtechFW1000N系列應(yīng)用FW。FW1000對(duì)網(wǎng)絡(luò)層、應(yīng)用層安全進(jìn)行交融，并采用獨(dú)有的“并行流過濾引擎〃技術(shù)，全部安全策略能夠一次般配完成，即使在應(yīng)用層功能不斷擴(kuò)展、特色庫(kù)不斷增加的情況下，也不會(huì)造成性能的下降和網(wǎng)絡(luò)時(shí)延的增加。以萬(wàn)兆應(yīng)用FWFW1000-GE-為N例，在開啟FW、FWec/SSLVPN、NAT、URL過濾、攻擊防范、行為審計(jì)功能的情況下，擴(kuò)展應(yīng)用控制協(xié)議庫(kù)、URL過濾庫(kù)等，辦理能力仍舊可達(dá)萬(wàn)兆線速。FW1000N系列首創(chuàng)了應(yīng)用FW的先河?；诘掀湛萍甲灾髦R(shí)產(chǎn)權(quán)的萬(wàn)兆級(jí)應(yīng)用安全硬件辦理平臺(tái)和ConPlatOS安全操作系統(tǒng)，是目前業(yè)界性能最高的應(yīng)用FW。無以倫比的高可用性、高性能和高可靠性，使得FW1000N系列能夠放心規(guī)模部署于數(shù)據(jù)中心、大型園區(qū)網(wǎng)等各種復(fù)雜場(chǎng)景；別的，功能豐富并可按需擴(kuò)展的應(yīng)用FW方案，也簡(jiǎn)化了網(wǎng)絡(luò)的安全架構(gòu)，并大大降低了企業(yè)網(wǎng)絡(luò)整體擁有本錢！測(cè)試方案2?1測(cè)試方案DPtechFW產(chǎn)品主要包括包過濾、NAT、靜/動(dòng)向路由、虛假FW、多種VPN等幾大主體功能，本文檔的測(cè)試項(xiàng)主要以上述主體功能的測(cè)試張開；同時(shí)，測(cè)試中還涉及到限流等多種響應(yīng)方式，設(shè)備的可管理性、高可靠性等諸多方面的測(cè)試，以充分顯現(xiàn)設(shè)備的齊全功能和高性能。2.2測(cè)試環(huán)境2.2.1測(cè)試環(huán)境一Jib.dJib.dSnuiHBilS圖1性能測(cè)試環(huán)境1設(shè)備或軟件名稱描述數(shù)量DPtechFWFW1SmartBits測(cè)試設(shè)備性能的儀器1Switch交換機(jī)22.2?2測(cè)試環(huán)境二

圖2性能測(cè)試環(huán)境2設(shè)備或軟件名稱描述數(shù)量DPtechFWFW1Avalanche/Reflector2500性能測(cè)試儀器1測(cè)試內(nèi)容3.1性能特色FW的性能指標(biāo)為吞吐量、每秒新建數(shù)、每秒并發(fā)數(shù)，性能測(cè)試局部將主要針對(duì)這幾點(diǎn)進(jìn)行測(cè)試。3.2功能特色產(chǎn)品功能包括管理功能、ACL、包過濾、NAT、DPI〔攻擊防范，防病毒，帶寬容速,URL過濾〕等幾大主體功能，功能測(cè)試局部將主要針對(duì)這幾點(diǎn)進(jìn)行測(cè)試。3.3管理特色為方便IT人員管理，設(shè)備供應(yīng)了優(yōu)異的可管理性。支持等安全管理方式，支持Web的友好界面，簡(jiǎn)化FW的配置，方便用戶操作和保護(hù)。特色庫(kù)的升級(jí)支持手動(dòng)和自動(dòng)兩種方式，用戶可依照實(shí)質(zhì)情況隨意選擇特色庫(kù)的升級(jí)時(shí)間。3.4安全性可設(shè)置管理員的權(quán)限，不同樣權(quán)限的管理員接見設(shè)備的功能權(quán)限不同樣?？稍O(shè)置的權(quán)限選項(xiàng)有系統(tǒng)配置、業(yè)務(wù)配置、系統(tǒng)日志管理、操作日志管理和業(yè)務(wù)日志管理。在登錄參數(shù)設(shè)置上，包括超時(shí)時(shí)間、錯(cuò)誤登錄鎖定和鎖定后解鎖。3.5高可靠性抗掉電保護(hù)，在設(shè)備異常掉電后，當(dāng)FW恢復(fù)供電，系統(tǒng)的狀態(tài)、相關(guān)日志和配置信息正常保存。

測(cè)試方法及步驟4.1性能測(cè)試整機(jī)轉(zhuǎn)發(fā)吞吐量測(cè)試目的考據(jù)FW的整機(jī)轉(zhuǎn)發(fā)能力測(cè)試條件測(cè)試組網(wǎng)：拜會(huì)圖1測(cè)試過程性能測(cè)試儀的兩個(gè)端口分別與被測(cè)設(shè)備的端口A和B相連?！捕丝跀?shù)量依照客戶要求配置，進(jìn)行Fullmesh網(wǎng)狀流量測(cè)試〕在FW上配置201條安全策略，前200條均為deny最后一條為贊同全部經(jīng)過SmartFlow設(shè)置主要參數(shù)以下：雙向UDP數(shù)據(jù)包，包長(zhǎng)為64128、256、1024、1518字節(jié)，時(shí)長(zhǎng)為120秒，且不能夠般配前200條策略。記錄測(cè)試結(jié)果預(yù)期結(jié)果幀長(zhǎng)64128256512102412801518吞吐量其他說明和本卷須知測(cè)試結(jié)果幀長(zhǎng)64128256512102412801518—吞吐量每秒新建連接能力測(cè)試目的考據(jù)FW母秒新建會(huì)話數(shù)能力測(cè)試條件測(cè)試組網(wǎng)：拜會(huì)圖2測(cè)試過程FW工作在NAT模式；設(shè)定avalanche測(cè)試儀模擬客戶端500用戶，F(xiàn)Wnat變換地址池個(gè)數(shù)為20；米用測(cè)試儀表仿真客戶端與效勞器之間的通信過程。經(jīng)過調(diào)治通信聯(lián)接的建立速率，找尋FW能支持的最大的聯(lián)接建立速率。分別在設(shè)置一條全贊同規(guī)那么和設(shè)置201條安全控制規(guī)那么的條件下，完成上述測(cè)試過程，〔其中，刖200條均為deny，最后一條為贊同全部經(jīng)過〕預(yù)期結(jié)果FW每秒新建會(huì)話能力：一條全贊同規(guī)那么條件下，最大的新建連接速率Connections/Sec201條贊同規(guī)那么條件下，最大的新建連接速率Connections/Sec

其他說明和本卷須知測(cè)試結(jié)果不同樣意出現(xiàn)例失敗，否那么認(rèn)為數(shù)據(jù)無效測(cè)試結(jié)果FW每秒新建會(huì)話能力：一條全贊同規(guī)那么條件下，最大的新建連接速率Connections/Sec201條贊同規(guī)那么條件下，最大的新建連接速率Connections/Sec最大并發(fā)會(huì)話數(shù)測(cè)試目的考據(jù)FW設(shè)備的最大并發(fā)會(huì)話數(shù)測(cè)試條件測(cè)試組網(wǎng)：拜會(huì)圖2測(cè)試過程FW工作在NAT模式；500用戶，F(xiàn)Wnat變換地址池個(gè)數(shù)設(shè)定avalanche測(cè)試儀模擬客戶端為20；采用測(cè)試儀表仿真客戶端與效勞器之間的通信過程。設(shè)定通信聯(lián)接的建立速率為10000conn/s，找尋FW能支持的最大的并發(fā)會(huì)話辦理能力。分別在設(shè)置一條全贊同規(guī)那么和設(shè)條安全控制規(guī)那么的條件下，完成上述測(cè)試置1001過程，〔其中，刖1000條均為deny，最后一條為贊同全部經(jīng)過〕預(yù)期結(jié)果FW每秒新建會(huì)話能力：一條全贊同規(guī)那么條件下，最大并發(fā)會(huì)話數(shù)Connections1001條贊同規(guī)那么條件下，最大并發(fā)會(huì)話數(shù)Connections其他說明和本卷須知測(cè)試結(jié)果不同樣意出現(xiàn)例失敗，否那么認(rèn)為數(shù)據(jù)無效測(cè)試結(jié)果FW每秒新建會(huì)話能力：一條全贊同規(guī)那么條件下，最大并發(fā)會(huì)話數(shù)Connections1001條贊同規(guī)那么條件下，最大并發(fā)會(huì)話數(shù)ConnectionsVPN加密地道的吞吐量

過程。預(yù)期結(jié)果幀長(zhǎng)64128256512102412801518吞吐量其他說明和本卷須知測(cè)試結(jié)果幀長(zhǎng)64128256512102412801518吞吐量4.2FW功能測(cè)試管理功能測(cè)試端口照射測(cè)試目的考據(jù)FW設(shè)備的端口照射功能測(cè)試條件■PC-01防火墻PC-02測(cè)試過程PC01模擬客戶端，PC02模擬效勞器端〔安裝有FTP或效勞器端軟件〕；PC02大將FTP效勞器端口改為8000FW上配置端口照射；PC01ftpPC02的ip：8000端口，可正常接見PC02的ftp效勞；預(yù)期結(jié)果PC01能夠正常接見PC02的FTP效勞

其他說明和本卷須知測(cè)試結(jié)果ACL測(cè)試目的考據(jù)FW設(shè)備的ACL功能測(cè)試條件><——PC-01防火墻PC-02FW連接兩PC機(jī)器的兩端□參加不同樣安全測(cè)試過程"FW連接兩~PC丿機(jī)器口的兩端□參加不1同樣安全域，配置面向?qū)ο驛CL〔域間策略〕阻攔PC01與PC02互訪或依照客戶實(shí)質(zhì)要求限制對(duì)某些IP地址或端口的接見；測(cè)試PC01與PC02的互訪功能可否吻合既定域間策略；預(yù)期結(jié)果PC01與PC02間互訪吻合既定域間ACL策略其他說明和本卷須知Pc1為untrust,PC2為DMZ，贊同能夠接見PC1，不同樣意訪問PC2,PING，和測(cè)試結(jié)果贊同能夠接見PC1，不同樣意接見PC2包過濾測(cè)試目的考據(jù)FW設(shè)備的包過濾功能測(cè)試條件PC—01防火墻PC—02測(cè)試目的考據(jù)FW設(shè)備的包過濾功能測(cè)試條件PC—01防火墻PC—02測(cè)試過程FW開啟包過濾功能，F(xiàn)W配置包過濾策略；PC01接見PC02；觀察FW設(shè)備可否依照既定的包過濾策略接見；預(yù)期結(jié)果FW能夠正常依照既定包過濾策略進(jìn)行互訪其他說明和本卷須知1贊同ping2阻斷FTP3贊同F(xiàn)TP4贊同F(xiàn)TPget，阻斷FTPputPc1為untrust,PC2為DMZ測(cè)試結(jié)果4沒有阻斷FTPput，由于FTPGET和PUT在檢測(cè)的是時(shí)候是米用通用的同樣的5兀組，sourceip,dstip.sourceport,dstip,propole,GET和口PUT所用的同樣的，檢測(cè)線條太粗，只能采用深度檢測(cè)，檢測(cè)要點(diǎn)字，鑒別上傳還是下載

NAT測(cè)試目的考據(jù)FW設(shè)備的靜態(tài)地址變換功能測(cè)試條件F■他-u.j■"TPr?c十wcxlr■；■—ipnetwork―PC-Ol防火墻PC-02測(cè)試過程PCO1模擬內(nèi)網(wǎng)主機(jī)，PC02模擬外網(wǎng)效勞器〔裝有效勞器軟件如：FTPserver等〕，PCO1、PC02處于不同樣網(wǎng)段；FW配置靜態(tài)一對(duì)一地址靜態(tài)地址變換功能；PC01接見PC02的FTP效勞，在PC02端抓包；PC01可正常接見PC02的FTP效勞，在PC02上抓包能夠看到PC01接見PC02所用源地址為FW上所配置的靜態(tài)照射地址；預(yù)期結(jié)果PC01可正常接見PC02上的效勞，PC02端抓包看到PC01接見PC02接見其效勞所用源地址為FW上起初配置的靜態(tài)照射地址其他說明和本卷須知Pc-01為trust,pc-02為untrust，PC02網(wǎng)關(guān)不指向測(cè)試結(jié)果PC01可正常接見PC02上的效勞，PC02端抓包看到PC01接見PC02接見其效勞所用源地址為FW上起初配置的靜態(tài)照射地址動(dòng)向地址變換測(cè)試目的考據(jù)FW設(shè)備的動(dòng)向地址接見功能測(cè)試條件PC-01防火墻PC-02測(cè)試過程PC01模擬內(nèi)網(wǎng)主機(jī)，PC02模擬外網(wǎng)效勞器〔裝有效勞器軟件：FTPserver等〕，PC01、如PC02處于不同樣網(wǎng)段；FW配置動(dòng)向地址變換功能；PC01接見PC02的FTP效勞，在PC02端抓包；PC01接見PC02所用源地PC01可正常接見PC02的FTP效勞，在PC02上抓包能夠看到址為FW上所酉卩置的地址池中的地址.預(yù)期結(jié)果PC01可正常接見PC02上的效勞，PC02端抓包看到PC01接見PC02接見其效勞所用源地址為FW上起初配置的地址池中的地址卄/丄rrnFr斗厶/工—接口配置同t06-01，先進(jìn)行EASYIP的方式進(jìn)行NAT變換，爾后米用PAT，NO-PAT其他說明和本卷須知測(cè)試結(jié)果內(nèi)部效勞器測(cè)試目的考據(jù)FW設(shè)備的內(nèi)部效勞器功能ececWT1000ececW1000JINU/—V/..下載可編寫..下載可編寫.下載可編寫.測(cè)試條件IPnetworkI?PC-01防火墻PC-02測(cè)試過程PC01模擬內(nèi)網(wǎng)主機(jī)，PC02模擬外外網(wǎng)主機(jī)，PC01、PC02處于不同樣網(wǎng)段；FW配置內(nèi)部效勞器功能；PC01開啟FTP效勞，PC02接見FW外網(wǎng)□地址進(jìn)而能夠接見PC01的FTP效勞；PC02能夠正常接見PC01的FTP效勞預(yù)期結(jié)果PC02能夠正常接見PC01的FTP效勞其他說明和本卷須知接□配置同t06-01,先是在PC-02上不指定網(wǎng)關(guān)到G0/2上，需要配置靜態(tài)NAT，才能夠接見內(nèi)部效勞器，爾后在PC-O2指定網(wǎng)關(guān)到G0/2上，就經(jīng)過以上配置外面網(wǎng)絡(luò)可接見內(nèi)部的效勞器測(cè)試結(jié)果SNMP測(cè)試目的考據(jù)FW設(shè)備的SNMP功能測(cè)試條件IPnetworkpc夕測(cè)試過程PC與FW—接□向連，PC裝有MIBBrowser軟件；FW配置SNMP,PC機(jī)經(jīng)過MIBBrowser與FW連接；經(jīng)過MIBBrowser軟件查找相應(yīng)MIB項(xiàng)；預(yù)期結(jié)果經(jīng)過客戶端PC安裝的MIBBrowser軟件查找相應(yīng)~~MIB項(xiàng)其他說明和本卷須知測(cè)試結(jié)果SynFlood測(cè)試目的考據(jù)FW設(shè)備的抵擋SynFlood功能測(cè)試條件測(cè)試過程FW開啟SynFlood攻擊防范功能;使用測(cè)試儀器模擬進(jìn)行SynFlood?擊，攻擊FW內(nèi)網(wǎng)地域的PC；PC上抓包進(jìn)行考觀察FW設(shè)備可否對(duì)SynFlood攻擊進(jìn)行防守，并在據(jù)預(yù)期結(jié)果FW能夠正常抵擋SynFlood攻擊

其他說明和本卷須知測(cè)試結(jié)果RIPvl/v2測(cè)試目的考據(jù)FW對(duì)RIP協(xié)議的支持測(cè)試條件嚥dt一e■零髻aPC-01防火墻-01防火墻-02PC-02測(cè)試過程PC1、PC2的網(wǎng)關(guān)分別指向FW1和FW2。在FW1和FW2上面配置RIP動(dòng)向路由，并進(jìn)行宣布。一段時(shí)間后在FW1和FW2上分別查察RIP路由學(xué)習(xí)情況，并從PC1pingPC2。預(yù)期結(jié)果FW1與FW2能夠相互學(xué)習(xí)到對(duì)端的動(dòng)向路由其他說明和本卷須知測(cè)試結(jié)果OSPF測(cè)試目的考據(jù)FW對(duì)OSPF協(xié)議的支持測(cè)試條件PC-01防火墻測(cè)試目的考據(jù)FW對(duì)OSPF協(xié)議的支持測(cè)試條件PC-01防火墻-01防火墻-02PC-02測(cè)試過程PC1、PC2的網(wǎng)關(guān)分別指向FW1和FW2。在FW1和FW2上面配置OSPF動(dòng)向路由，并進(jìn)行宣布。一段時(shí)間后在FW1和FW2上分別查察OSPF路由學(xué)習(xí)情況，并從PC1pingPC2。預(yù)期結(jié)果FW1與FW2能夠相互學(xué)習(xí)到對(duì)端的動(dòng)向路由其他說明和本卷須知預(yù)期結(jié)果FW1與FW2能夠相互學(xué)習(xí)到對(duì)端的動(dòng)向路由其他說明和本卷須知測(cè)試結(jié)果BGP測(cè)試目的考據(jù)FW對(duì)BGP協(xié)議的支持

測(cè)試條件PC—01測(cè)試過程預(yù)期結(jié)果其他說明和本卷須知測(cè)試結(jié)果防火墻防火墻-02PC—02PCI、PC2的網(wǎng)關(guān)分別指向FW1和FW2。在FW1和FW2上面配置BGP測(cè)試條件PC—01測(cè)試過程預(yù)期結(jié)果其他說明和本卷須知測(cè)試結(jié)果防火墻防火墻-02PC—02PCI、PC2的網(wǎng)關(guān)分別指向FW1和FW2。在FW1和FW2上面配置BGP動(dòng)向路由，并進(jìn)行宣布。一段時(shí)間后在FW1和FW2上分別查察BGP路由學(xué)習(xí)情況，并從PC1pingPC2。FW1與FW2能夠相互學(xué)習(xí)到對(duì)端的動(dòng)向路-由測(cè)試目的考據(jù)虛假FW功能測(cè)試過程預(yù)期結(jié)果測(cè)試過程預(yù)期結(jié)果在上面FW組網(wǎng)中，內(nèi)網(wǎng)的效勞器劃分為三個(gè)地域（area1、area2、area3），并且這三個(gè)地域的網(wǎng)絡(luò)地址完好重疊，3個(gè)效勞器的地址均為，后分別接入FW的內(nèi)網(wǎng)接口上，F(xiàn)W上對(duì)應(yīng)的直連地址為在FW進(jìn)步行虛假FW的相關(guān)配置，模擬出3個(gè)獨(dú)立的FW分別把內(nèi)網(wǎng)地域3個(gè)效勞器照射為不同樣的公網(wǎng)IP爾后從外網(wǎng)地域接見分別3個(gè)效勞器。針對(duì)內(nèi)網(wǎng)地域3個(gè)效勞器配置不同樣的安全控制策略，爾后再分別從外網(wǎng)地域接見分別3個(gè)效勞器。步驟2,從外網(wǎng)地域都能夠同時(shí)正常接見3個(gè)效勞器。步驟3，從其他地域接見3個(gè)效勞器時(shí)，會(huì)碰到針對(duì)每個(gè)效勞器配置的安全策略的控制。其他說明和本卷須知

4.3DPI功能測(cè)試URL過濾功能測(cè)試測(cè)試目的考據(jù)URL過濾功能測(cè)試條件ConsoleUTMJi^^^0/^.Internet.測(cè)試過程使用PC機(jī)接見被過濾的URL站點(diǎn)預(yù)期結(jié)果能夠查察到相關(guān)的阻斷日志其他說明和本卷須知無測(cè)試結(jié)果帶寬管理功能測(cè)試測(cè)試目的考據(jù)帶寬管理功能ConsolePCG0/1測(cè)試過程o/OG使用PC在線觀看電影，使用迅雷下載限速。測(cè)試條件ConsolePCG0/1測(cè)試過程o/OG使用PC在線觀看電影，使用迅雷下載限速。預(yù)期結(jié)果能夠帶寬被限制預(yù)期結(jié)果其他說明和本卷須知測(cè)試結(jié)果

4.4管理特色豐富的管理方式測(cè)試目的考據(jù)設(shè)備的管理方式測(cè)試條件1、測(cè)試組網(wǎng)，拜會(huì)圖12、管理臺(tái)用串口和設(shè)備相連，管理口用網(wǎng)線和設(shè)備管理口相連，且IP地址屬同一網(wǎng)段測(cè)試過程1、FW支持Web操作］/s，端口可自定義〕、Telnet、SSH、串口管理2、用上述方式管理設(shè)備，獲取預(yù)期結(jié)果1預(yù)期結(jié)果1、各種管理方式均支持其他說明和本卷須知無測(cè)試結(jié)果手動(dòng)升級(jí)特色庫(kù)測(cè)試目的考據(jù)手動(dòng)升級(jí)特色庫(kù)測(cè)試條件1、組網(wǎng)，拜會(huì)圖12、設(shè)備中有該特色庫(kù)的License3、有要升級(jí)的特色庫(kù)文件測(cè)試過程1、在web上導(dǎo)入該特色庫(kù)2、點(diǎn)確定按鈕，升級(jí)最新的特色庫(kù)3、獲取預(yù)期結(jié)果1預(yù)期結(jié)果1、特色庫(kù)升級(jí)成功其他說明和本卷須知無測(cè)試結(jié)果設(shè)備狀態(tài)檢測(cè)訓(xùn)［1甘口白&考據(jù)FWWEB界面查察設(shè)備CPU，內(nèi)存使用測(cè)試目的~^率1"口IW1工王厶友1測(cè)試條件11、組網(wǎng)，拜會(huì)圖—1—測(cè)試過程1、B界面查察設(shè)備的CPU和內(nèi)存使用率2、預(yù)期結(jié)果1

預(yù)期結(jié)果1、可查察設(shè)備的CPU、內(nèi)存使用率其他說明和本卷須知無測(cè)試結(jié)果4.5安全特色用戶登陸鎖定的安全性測(cè)試目的用戶登陸鎖定的安全性測(cè)試條件1、測(cè)試組網(wǎng)，拜會(huì)圖1測(cè)試過程1、在web上增加一個(gè)用戶2、設(shè)置錯(cuò)誤登陸的試一試次數(shù)為3次、