[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning... (第6頁)

vxr · 2012-09-08T10:34:37+08:00

FortiOS v5.2.x討論請至:http://www.mobile01.com/topicdetail.php?f=110&t=3948153&p=4#51248664Use the NPU feature in FortiOS for supported FortiGate unitsFortiSoC提供了極為有效的線性流量ASIC加速, 透過內置的NPU負載各種尺寸的封包大小.NPU雖然提供了有效的fast-path線性加速, 可惜的是硬件限制問題把H/W Traffic-shaper透過f/w給關閉掉了(目前只有獨立的NP2/4/6支持這項高級特徵, 效果極佳).如果需要獲得fast-path的ASIC加速需要符合如下幾個要求:其中最後一項所謂的local host表示在FGT操作的local traffic無法被加速, 即管理型流量.轉發至不同路由的流量(非管理型流量), 才有機會丟到NPU進行加速.ASIC流量加速會依照如下的基本判斷, 判定是否能夠加速該流量:SoC相關的資訊(FortiSoC v1版), 以下為g3版本:在SoC2版本增強了CPU性能, 提供更高的clock:縱然CPU提高了clock, 依然無法脫離ARM926EJS古老架構的貧弱性能. 事實上, SoC2提供了雙核心架構, 但是他並不是一個SMP操作. 因此官方沒有特意說明這部分, 當然也沒說明他是SMP.The two cores are configured in a non-SMP manner. They don't even see the same memory space. They act more like two different CPUs with their own physical memory interface. The only way to reuse the second core is run a different OS on that and offload some traffic or compute to it.在x86體系的CPU上, 依然可以在FOS操作下保持相當程度的流暢性. ARM-based的CPU難免會有一些delay, 縱然SoC2拉高到800MHz.SoC2比起SoC1多出了IPsec ASIC加速(1Gbps), 因此可以提供近乎"免費"的效能.盡可能避免使用UTM掃描, 因為經過UTM操作過後的流量無法被NPU加速(UTM操作會經由CP和CPU操作).一個很簡單的暴力測試, 用續傳軟體即可測..沒有FastPath丟去NP進行加速的情況下..這是60C, 只有悲劇可以形容...這是80C, 80C沒有NP, 因此只能丟到傳統的CPU進行操作...60C透過NP啟用FastPath進行大規模加速後:這是非常明顯的變化, NP使用FastPath起了一個非常大的作用....CPU資源得以繼續負載其他任務...作為UTM來說, 這款完全不及格, 性能實在太差!...但是拿來做為純高速防火牆其實是相當合適的...要注意的是!如果使用FortiAP或著FortiWiFi建立VAP的話...很可惜!由VAP跨到PHY送出來的packet無法丟給NP處理, 他只能被CPU照單全收...因此要注意!!..要配置無線網路還是使用第三方的AP送出給60C, 這樣便可允許NP進行加速...1. 這款不支援LACP, 不能聚合PHY...2. 這款不支援Jumbo Frame3. NPU無法加速本身AP的wireless

vxr

vxr
個人積分：455分
文章編號：41309910

455分

樓主

2013-01-19 22:19

sonywii wrote:
還有一點，在UTM中...(恕刪)

要使用Application Control..
這個服務是使用IPS Engine..
這是由CP0進行加速..
只是要注意的是small box的吞吐量並不高..
所以最好做在LAN=>WAN這塊...

因此建議管制服務轉移到client端..
使用endpoint control...

sonywii

sonywii
個人積分：5分
文章編號：41310119

5分

52樓

2013-01-19 22:30

vxr wrote:
要使用Applica...(恕刪)

UTM License要每年續期的，請問在到期後如不再購買續期的話，該UTM功能會否完全失效或被禁用？

還是該UTM功能仍能繼續使用，只是不能再線上自動更新定義檔而已？

vxr

vxr
個人積分：455分
文章編號：41310290

455分

樓主

2013-01-19 22:38

sonywii wrote:
UTM Licens...(恕刪)

Email filter和Web Filter無法續約的話..
主要功能無法繼續用...
其餘Application Control, AV, IPS等依然可以繼續用..
只是不能更新定義檔

如果需要用60C開UTM..
最好使用1GB版本..
UTM那些服務頗消耗系統記憶體..

否則如果client低於10條的話..
轉用endpoint control會比較好..

否則另外一招就是使用4.0(MR2 or later)的f/w..
使用FCP 4.2..
他不會受限到10條連線控制..

sonywii

sonywii
個人積分：5分
文章編號：41310395

5分

54樓

2013-01-19 22:42

vxr wrote:
Email filt...(恕刪)

即不續約的話還是可以利用UTM阻擋BT、QQ和串流影音的?

看報導Fortinet在幾天前公佈了新型號Fortigate 60D，你有收到相關消息嗎? 何時能上市?

http://www.fortinet.com/products/fortiwifi/60D.html

vxr

vxr
個人積分：455分
文章編號：41310623

455分

樓主

2013-01-19 22:50

sonywii wrote:
即不續約的話還是可以...(恕刪)

60D主要是採用改進的FortiAIC SoC2(應該是1GB RAM, 不過我不清楚是不是用DDR2..)..
改進UTM的部分吞吐量..
另外最主要大幅提升IPSEC VPN吞吐量..
但是這個吞吐量的I/O提升前提是丟到NPU加速才能大幅提升
60C的SoC目前只能丟到CP0, 這會被CPU給handle, 所以會受到嚴重限制....
60D何時上市..
我這邊目前沒消息..

"即不續約的話還是可以利用UTM阻擋BT、QQ和串流影音的?"
這類阻擋跟Email和Web Filter無關..
使用UTM的話採用Application Control進行阻擋..
不續約依然可以使用...

當然個人依然建議使用endpoint control去阻擋...

sonywii

sonywii
個人積分：5分
文章編號：41312916

5分

56樓

2013-01-20 0:47

vxr wrote:
60D主要是採用改進...(恕刪)

VXR兄有試過UTM阻擋的效果如何? 真的能有效擋掉大部份的應用嗎?

vxr

vxr
個人積分：455分
文章編號：41315463

455分

樓主

2013-01-20 9:02

sonywii wrote:
VXR兄有試過UTM...(恕刪)

Application Control會依據現存的database相關簽章數據而定義規則...
你所提的幾個主流可以被受到控制..

Application Control大約包含2300多個簽章數據...
如果不是一些太特例的..
BT, IM等主流的都可以封殺...
但是我不清楚你要做到甚麼程度??全面封鎖?..

保險性的情況下...
使用4.0MR3的f/w是比較好的做法..
目前新的5.0 f/w還有一些問題..

簽章數據: 201301/mobile01-a40d3022c9c3f845c373622add026b22.zip

mandymak

mandymak
個人積分：11分
文章編號：41317465

11分

58樓

2013-01-20 11:51

Fortigate 60D美國某網有賣了:
http://www.corporatearmor.com/product_info.php?part_number=FG-60D&cPath=213_406_606_463&products_id=5568

sonywii

sonywii
個人積分：5分
文章編號：41318160

5分

59樓

2013-01-20 12:42

vxr wrote:
Applicatio...(恕刪)

若使用5.0 F/W來進行Application Control目前會存在哪些問題或缺憾?

另外就穩定性的問題，使用Application Control來阻擋某些上網行為，長時期運行後會否出現一些莫名其妙的現象，如網速變慢或某些本來沒有受限制的網站也變成受限，又或某些應受限制的突然又可訪問到了？　需要定期手動Reboot一下Fortigate設備嗎？

sonywii

sonywii
個人積分：5分
文章編號：41318168

5分

60樓

2013-01-20 12:43

mandymak wrote:
Fortigate ...(恕刪)

看來60D的價格應該與60C持平