安恒防火墙的参数

安恒防火墙的安恒参数表放在你面前，第一眼很容易被“吞吐量”“并发连接数”“新建连接速率”这三项吸走注意力。防火这很正常，参数采购和测评的安恒人都盯着它们。但真正决定一台防火墙在你机房里能不能活过第三年的防火，往往是参数参数表最下面那几行小字——那些没人愿意细看的地方。

先说吞吐量。安恒安恒标称的防火整机吞吐和实际业务吞吐是两码事。整机吞吐测的参数是大包、简单策略、安恒关闭应用层检测的防火理想状态。你把IPS、参数AV、安恒URL过滤全打开，防火再挂上真实混合流量，参数性能掉一半是常态。我见过一台标称40G的墙，在开启全功能后跑不到12G。这不是安恒一家的问题，是整个行业的默认玩法。所以看参数时，别只看那个最大的数字，去找“应用层吞吐”或者“威胁防护吞吐”这一栏，那才是你真正能用的带宽。

并发连接数这个参数水分更大。标称1000万并发，实际能到300万就算良心。关键在于内存分配策略——每个连接要占多少会话表项，老化时间设多长。安恒的会话老化默认值偏保守，长连接业务比如数据库同步、视频流，很容易把表项撑满。这时候新建连接就会被丢弃，表现为“网络时通时断”。我的建议是，拿到设备后第一件事就是调老化时间，根据业务类型分策略设置，别用全局默认值。

新建连接速率（CPS）是容易被忽略的硬指标。它决定防火墙能不能扛住短时间大量短连接冲击，比如秒杀、爬虫、DDoS。安恒高端型号标称CPS在50万到200万之间，但这是实验室数据。实际环境中，如果开启源IP验证、会话同步这些功能，CPS会明显下降。有个做电商的客户，大促前压测发现CPS只有标称的三分之一，后来发现是会话同步拖了后腿——他们开了双机热备，每新建一个连接都要同步到对端，开销翻倍。

接口和扩展槽位这些物理参数，反而最实在。安恒的万兆口通常带光模块，但电口和光口的组合方式每个型号不一样。有的型号标称8个万兆口，实际是4个光口+4个电口，电口还不能同时跑满。买之前一定让销售发背板图，看清楚接口类型和数量。扩展槽位同理，标称支持4个扩展卡，但可能只有2个槽能插万兆卡，另外2个是千兆卡专用。

电源和风扇这些“非核心”参数，决定的是可用性。安恒中高端型号基本都配冗余电源，但要注意是热插拔还是冷备。热插拔电源可以在线更换，冷备的必须关机。风扇同理，有的型号风扇是固定焊死的，坏了只能返厂。我经手过一台设备，风扇异响，拆开发现是普通滚珠风扇，不是模块化的。这种细节参数表上不会写，但客服知道，问清楚再下单。

最后说一个容易被忽略的：规则库更新频率和授权方式。安恒的IPS规则库、URL库、AV库是分开授权的，参数表上只写“支持”，不写“包含”。有的型号基础授权只带IPS库，URL和AV要另外买。更新频率也分实时、每日、每周三档，实时更新对性能有影响，每周更新又可能漏掉最新威胁。这个要在采购合同里写清楚，别只看硬件参数。

参数表是死的，业务是活的。安恒防火墙的硬件底子不差，但参数背后的实现细节才是选型的关键。拿一份配置清单，对着实际流量模型跑一遍，比看一百页参数表都有用。

很赞哦!（411）