沈阳东软软件股份有限公司本次送测的NetEye FW5200-IP391/IP561是今年刚刚发布的面向电信及高端行业用户的防火墙产品。FW5200-IP391采用的是NOKIA IP391硬件平台，标称吞吐量3Gbps，提供了500Mbps的VPN处理能力；FW5200-IP561采用NOKIA IP561硬件平台，提供了高达6Gbps的吞吐量，并以标配加速卡的形式提供了2Gbps的VPN加速性能。这两款产品都预置了NetEye 3.2.4.1版防火墙软件，是东软与NOKIA国际化合作的产物。

秉承了NOKIA IP安全平台一贯的模块化设计理念，FW5200-IP391/IP561都具有很强的扩展性。FW5200-IP391除了固化的四个千兆电口与两个PCMICA接口外，另提供了两个PMC扩展接口。FW5200-IP561则直接在前面板设计了4个PMC接口，用户可根据实际需要进行选购。

东软对FW5200-IP391/IP561的定位是满足电信级应用的高端防火墙，所以在系统软件中没有提供任何应用层相关的功能。对于行业用户比较重视的某些功能模块，如虚拟防火墙、策略NAT、链路绑定等，则被细化加强。系统的监控功能值得一提，我们在硬件监控界面中看到系统实时的风扇转速、插槽、温度、电压等信息。高可靠性模块能够以这些信息为依据，在异常发生的初始阶段进行主备切换。这种变被动为主动的处理机制，想必是电信与行业用户很感兴趣的。

从测试结果看，FW5200-IP391/IP561在处理128Byte以上大小的数据包时基本可以达到线速，转发延迟则始终保持在一个比较合理的水平。这使我们感到困惑，因为无论是东软提供的产品资料还是NOKIA关于硬件的Datasheet，都清楚地写明具备3Gbps或6Gbps的吞吐能力。

经过沟通得知，NOKIA的IP安全平台集成的快速芯片在设计时就对数据包转发速率进行了限制。为了证实这一点，我们对FW5200-IP561进行了3对千兆口路由模式下的2、3层性能测试，考校产品是否能够达到标称性能。在1518Byte大包测试中，FW5200-IP561实现了6Gbps流量线速转发；在64Byte小包条件下，该产品可以保持8.59%的吞吐量。值得称赞的是，FW5200-IP561在6Gbps负载下的数据转发延迟保持在一个比较合理的水平，可以满足各类时延敏感型应用的要求。

在应用层性能测试中，FW5200-IP391/IP561也有着不错表现。FW5200-IP391在路由模式加载200条规则的情况下，可以成功建立并维持100万个HTTP并发连接，每秒HTTP协议新建连接数达到13181个。FW5200-IP561的HTTP并发连接数同为100万，每秒HTTP协议新建连接数则上升到14561个。需要说明的是，两款产品的最大并发连接数是在系统中人为锁定的，而大多数情况下100万个并发连接也能满足需要。

FW5200-IP391/IP561的抗攻击机制是基于快速芯片实现的，效果非常出色。在测试中，常规攻击与SYN Flood攻击被全部阻塞，无一漏网。Ping Flood和UDP Flood则严格按照阀值的设定被过滤，不存在任何误差。我们将两款产品的阀值设定为同样的数目，通过数据包的数量完全一致，即阀值与测试时间的乘积。这种精确的控制能力，是传统由CPU处理攻击流量的产品很难提供的。