प्रविधि गाइड
NGFW कार्यसम्पादनलाई निम्नसँग अप्टिमाइज गर्नुहोस्
सार्वजनिक क्लाउडमा Intel® Xeon® प्रोसेसरहरू
लेखकहरू
जियाङ वाङ
जयप्रकाश पाटीदार
डेक्लान डोहर्टी
एरिक जोन्स
शुभिक्षा रविसुन्दर
हेकिङ झु
परिचय
अर्को पुस्ताका फायरवालहरू (NGFWs) नेटवर्क सुरक्षा समाधानहरूको मूल भाग हुन्। परम्परागत फायरवालहरूले स्टेटफुल ट्राफिक निरीक्षण गर्छन्, सामान्यतया पोर्ट र प्रोटोकलमा आधारित जुन आधुनिक दुर्भावनापूर्ण ट्राफिक विरुद्ध प्रभावकारी रूपमा रक्षा गर्न सक्दैन। NGFWs उन्नत गहिरो प्याकेट निरीक्षण क्षमताहरू सहित परम्परागत फायरवालहरूमा विकसित र विस्तार हुन्छन्, जसमा घुसपैठ पत्ता लगाउने/रोकथाम प्रणालीहरू (IDS/IPS), मालवेयर पत्ता लगाउने, अनुप्रयोग पहिचान र नियन्त्रण, आदि समावेश छन्।
NGFW हरू कम्प्युट-गहन कार्यभारहरू हुन्, उदाहरणका लागिampले, नेटवर्क ट्राफिक इन्क्रिप्शन र डिक्रिप्शनको लागि क्रिप्टोग्राफिक अपरेशनहरू र दुर्भावनापूर्ण गतिविधिहरू पत्ता लगाउनको लागि भारी नियम मिलान। इंटेलले NGFW समाधानहरूलाई अनुकूलन गर्न मुख्य प्रविधिहरू प्रदान गर्दछ।
इन्टेल प्रोसेसरहरू विभिन्न निर्देशन सेट आर्किटेक्चर (ISAs) ले सुसज्जित छन्, जसमा इन्टेल® एडभान्स्ड एन्क्रिप्शन स्ट्यान्डर्ड न्यू इन्स्ट्रक्शन्स (Intel® AES-NI) र इन्टेल® क्विकअसिस्ट टेक्नोलोजी (Intel® QAT) समावेश छन् जसले क्रिप्टो कार्यसम्पादनलाई उल्लेखनीय रूपमा गति दिन्छ।
इन्टेलले हाइपरस्क्यान सहित सफ्टवेयर अप्टिमाइजेसनहरूमा पनि लगानी गर्छ। हाइपरस्क्यान एक उच्च-प्रदर्शन स्ट्रिङ र नियमित अभिव्यक्ति (रेजेक्स) मिल्दो पुस्तकालय हो। यसले ढाँचा-मिलाउने कार्यसम्पादन बढाउन इन्टेल प्रोसेसरहरूमा एकल निर्देशन बहु डेटा (SIMD) प्रविधिको लाभ उठाउँछ। स्नोर्ट जस्ता NGFW IPS प्रणालीहरूमा हाइपरस्क्यान एकीकरणले इन्टेल प्रोसेसरहरूमा 3x सम्म प्रदर्शन सुधार गर्न सक्छ।
NGFW हरू प्रायः इन्टरप्राइज डाटा सेन्टरहरूको डिमिलिटराइज्ड जोन (DMZ) मा तैनाथ गरिएको सुरक्षा उपकरणको रूपमा डेलिभर गरिन्छ। यद्यपि, सार्वजनिक क्लाउडमा, इन्टरप्राइज डाटा सेन्टरहरूमा, वा नेटवर्क एज स्थानहरूमा तैनाथ गर्न सकिने NGFW भर्चुअल उपकरणहरू वा सफ्टवेयर प्याकेजहरूको लागि बलियो माग छ। यो सफ्टवेयर डिप्लोयमेन्ट मोडेलले इन्टरप्राइज IT लाई भौतिक उपकरणहरूसँग सम्बन्धित सञ्चालन र मर्मतसम्भार ओभरहेडबाट मुक्त गर्छ। यसले प्रणाली स्केलेबिलिटी सुधार गर्छ र लचिलो खरीद र खरिद विकल्पहरू प्रदान गर्दछ।
बढ्दो संख्यामा उद्यमहरूले NGFW समाधानहरूको सार्वजनिक क्लाउड तैनातीलाई अँगालिरहेका छन्। यसको प्रमुख कारण लागत वृद्धि हो।tagक्लाउडमा भर्चुअल उपकरणहरू चलाउने।
तैपनि, CSP हरूले फरक-फरक कम्प्युट विशेषताहरू र मूल्य निर्धारणका साथ धेरै प्रकारका उदाहरणहरू प्रदान गर्ने भएकाले, NGFW को लागि उत्तम TCO भएको उदाहरण छनौट गर्नु चुनौतीपूर्ण हुन सक्छ।
यो पेपरले हाइपरस्क्यान सहितको इन्टेल प्रविधिहरूसँग अनुकूलित, इन्टेलबाट NGFW सन्दर्भ कार्यान्वयनको परिचय दिन्छ। यसले इन्टेल प्लेटफर्महरूमा NGFW प्रदर्शन विशेषताको लागि भरपर्दो प्रमाण-बिन्दु प्रदान गर्दछ। यो इन्टेलको नेटसेक सन्दर्भ सफ्टवेयर प्याकेजको भागको रूपमा समावेश गरिएको छ। हामी चयन गरिएका सार्वजनिक क्लाउड प्रदायकहरूमा NGFW सन्दर्भ कार्यान्वयनको तैनाती स्वचालित गर्न उही प्याकेजमा बहु-क्लाउड नेटवर्किङ स्वचालन उपकरण (MCNAT) पनि प्रदान गर्दछौं। MCNAT ले विभिन्न कम्प्युट उदाहरणहरूको लागि TCO विश्लेषणलाई सरल बनाउँछ र प्रयोगकर्ताहरूलाई NGFW को लागि इष्टतम कम्प्युट उदाहरणमा मार्गदर्शन गर्दछ।
NetSec सन्दर्भ सफ्टवेयर प्याकेजको बारेमा थप जान्नको लागि कृपया लेखकहरूलाई सम्पर्क गर्नुहोस्।
कागजात संशोधन इतिहास
| संशोधन | मिति | विवरण |
| 001 | मार्च २०२४ | प्रारम्भिक रिलीज। |
१.१ शब्दावली
तालिका 1. शब्दावली
| संक्षिप्त नाम | विवरण |
| DFA | निर्धारणात्मक परिमित स्वचालन |
| DPI | गहिरो प्याकेट निरीक्षण |
| HTTP | हाइपरटेक्स्ट ट्रान्सफर प्रोटोकल |
| IDS/IPS | घुसपैठ पत्ता लगाउने र रोकथाम प्रणाली |
| ISA | निर्देशन सेट वास्तुकला |
| एमसीएनएटी | बहु-क्लाउड नेटवर्किङ स्वचालन उपकरण |
| NFA | गैर-निर्धारित परिमित स्वचालन |
| NGFW | अर्को पुस्ताको फायरवाल |
| PCAP | प्याकेट क्याप्चर |
| PCRE | पर्लसँग मिल्दो नियमित अभिव्यक्ति पुस्तकालय |
| रेजेक्स | नियमित अभिव्यक्ति |
| SASE | सुरक्षित पहुँच सेवा किनारा |
| SIMDName | एकल निर्देशन बहु डेटा प्रविधि |
| TCP | प्रसारण नियन्त्रण प्रोटोकल |
| URI | एकरूप स्रोत पहिचानकर्ता |
| WAF | Web आवेदन फायरवाल |
1.2 सन्दर्भ दस्तावेज
तालिका २. सन्दर्भ कागजातहरू
पृष्ठभूमि र प्रेरणा
आज, धेरैजसो NGFW विक्रेताहरूले भौतिक NGFW उपकरणहरूबाट सार्वजनिक क्लाउडमा तैनाथ गर्न सकिने भर्चुअल NGFW समाधानहरूमा आफ्नो पदचिह्न विस्तार गरेका छन्। निम्न फाइदाहरूका कारण सार्वजनिक क्लाउड NGFW तैनातीहरूले बढ्दो अपनत्व देखिरहेका छन्:
- स्केलेबिलिटी: कार्यसम्पादन आवश्यकताहरू पूरा गर्न क्रस-जियो कम्प्युट स्रोतहरूलाई सजिलैसँग मापन वा घटाउनुहोस्।
- लागत प्रभावकारिता: प्रति प्रयोग भुक्तानी गर्न अनुमति दिन लचिलो सदस्यता। पूँजीगत खर्च (क्यापेक्स) हटाउँछ र भौतिक उपकरणहरूसँग सम्बन्धित सञ्चालन लागत घटाउँछ।
- क्लाउड सेवाहरूसँग नेटिभ एकीकरण: नेटवर्किङ, पहुँच नियन्त्रणहरू र एआई/एमएल उपकरणहरू जस्ता सार्वजनिक क्लाउड सेवाहरूसँग निर्बाध एकीकरण।
- क्लाउड कार्यभार सुरक्षा: सार्वजनिक क्लाउडमा होस्ट गरिएको उद्यम कार्यभारहरूको लागि स्थानीय ट्राफिक फिल्टरिङ।
सार्वजनिक क्लाउडमा NGFW कार्यभार चलाउने कम लागत उद्यम प्रयोगका केसहरूको लागि एक आकर्षक प्रस्ताव हो।
यद्यपि, NGFW को लागि उत्कृष्ट प्रदर्शन र TCO भएको उदाहरण छनौट गर्नु चुनौतीपूर्ण छ, किनकि विभिन्न CPU हरू, मेमोरी आकारहरू, IO ब्यान्डविथसँग क्लाउड उदाहरण विकल्पहरूको विस्तृत दायरा उपलब्ध छ, र प्रत्येकको मूल्य फरक छ। हामीले Intel प्रोसेसरहरूमा आधारित विभिन्न सार्वजनिक क्लाउड उदाहरणहरूको प्रदर्शन र TCO विश्लेषणमा मद्दत गर्न NGFW सन्दर्भ कार्यान्वयन विकास गरेका छौं। हामी AWS र GCP जस्ता सार्वजनिक क्लाउड सेवाहरूमा NGFW समाधानहरूको लागि सही Intel-आधारित उदाहरणहरू छनौट गर्न गाइडको रूपमा प्रदर्शन र प्रति डलर मेट्रिक्स प्रदर्शन प्रदर्शन गर्नेछौं।
NGFW सन्दर्भ कार्यान्वयन
इन्टेलले नेटसेक सन्दर्भ सफ्टवेयर प्याकेज (पछिल्लो रिलीज २५.०५) विकास गरेको छ जसले अन-प्रिम इन्टरप्राइज पूर्वाधार र क्लाउडमा अनुकूलित प्रदर्शन प्रदर्शन गर्न नवीनतम इन्टेल सीपीयू र प्लेटफर्महरूमा उपलब्ध ISA र एक्सेलेरेटरहरूको लाभ उठाउँदै अनुकूलित सन्दर्भ समाधानहरू प्रदान गर्दछ। सन्दर्भ सफ्टवेयर इन्टेल स्वामित्व लाइसेन्स (IPL) अन्तर्गत उपलब्ध छ।
यस सफ्टवेयर प्याकेजका मुख्य विशेषताहरू यस प्रकार छन्:
- नेटवर्किङ र सुरक्षाका लागि सन्दर्भ समाधानहरूको विस्तृत पोर्टफोलियो, क्लाउड र इन्टरप्राइज डेटा केन्द्रहरू र किनारा स्थानहरूको लागि एआई फ्रेमवर्कहरू समावेश गर्दछ।
- बजारमा आउन समय र इन्टेल प्रविधिहरूको द्रुत अपनत्व प्रदान गर्दछ।
- स्रोत कोड उपलब्ध छ जसले इन्टेल प्लेटफर्महरूमा तैनाती परिदृश्यहरू र परीक्षण वातावरणहरू दोहोर्याउन अनुमति दिन्छ।
NetSec सन्दर्भ सफ्टवेयरको पछिल्लो संस्करण प्राप्त गर्ने बारे थप जान्नको लागि कृपया लेखकहरूलाई सम्पर्क गर्नुहोस्।
NetSec सन्दर्भ सफ्टवेयर प्याकेजको एक महत्वपूर्ण भागको रूपमा, NGFW सन्दर्भ कार्यान्वयनले Intel प्लेटफर्महरूमा NGFW प्रदर्शन विशेषताहरू र TCO विश्लेषणलाई चलाउँछ। हामी NGFW सन्दर्भ कार्यान्वयनमा Hyperscan जस्ता Intel प्रविधिहरूको निर्बाध एकीकरण प्रदान गर्छौं। यसले Intel प्लेटफर्महरूमा NGFW विश्लेषणको लागि ठोस आधार निर्माण गर्दछ। विभिन्न Intel हार्डवेयर प्लेटफर्महरूले कम्प्युटदेखि IO सम्म फरक क्षमताहरू प्रदान गर्ने भएकोले, NGFW सन्दर्भ कार्यान्वयनले स्पष्ट प्रस्तुत गर्दछ। view NGFW कार्यभारहरूको लागि प्लेटफर्म क्षमताहरूको विश्लेषण र Intel प्रोसेसरहरूको पुस्ता बीचको प्रदर्शन तुलना देखाउन मद्दत गर्दछ। यसले कम्प्युट प्रदर्शन, मेमोरी ब्यान्डविथ, IO ब्यान्डविथ, र पावर खपत सहित मेट्रिक्समा गहन अन्तर्दृष्टि प्रदान गर्दछ। प्रदर्शन परीक्षण परिणामहरूको आधारमा, हामी NGFW को लागि प्रयोग गरिने Intel प्लेटफर्महरूमा TCO विश्लेषण (प्रति डलर प्रदर्शनको साथ) थप सञ्चालन गर्न सक्छौं।
NGFW सन्दर्भ कार्यान्वयनको पछिल्लो रिलीज (२५.०५) मा निम्न प्रमुख सुविधाहरू समावेश छन्:
- आधारभूत स्टेटफुल फायरवाल
- घुसपैठ रोकथाम प्रणाली (IPS)
- Intel® Xeon® 6 प्रोसेसरहरू, Intel Xeon 6 SoC, आदि सहित अत्याधुनिक Intel प्रोसेसरहरूको समर्थन।
भविष्यका रिलीजहरूमा निम्न अतिरिक्त सुविधाहरू लागू गर्ने योजना छ:
- VPN निरीक्षण: सामग्री निरीक्षणको लागि ट्राफिकको IPsec डिक्रिप्शन
- TLS निरीक्षण: क्लाइन्ट र सर्भर बीचको जडान समाप्त गर्न र त्यसपछि प्लेनटेक्स्ट ट्राफिकमा सामग्री निरीक्षण गर्न TLS प्रोक्सी।
3.1 प्रणाली वास्तुकला
चित्र १ ले समग्र प्रणाली संरचना देखाउँछ। हामी प्रणाली निर्माणको लागि आधारको रूपमा खुला स्रोत सफ्टवेयरको प्रयोग गर्छौं:
- VPP ले आधारभूत स्टेटफुल फायरवाल प्रकार्यहरू सहित उच्च-प्रदर्शन डेटा प्लेन समाधान प्रदान गर्दछ, जसमा स्टेटफुल ACL हरू समावेश छन्। हामी कन्फिगर गरिएको कोर एफिनिटीको साथ धेरै VPP थ्रेडहरू स्पोन गर्छौं। प्रत्येक VPP कार्यकर्ता थ्रेड एक समर्पित CPU कोर वा कार्यान्वयन थ्रेडमा पिन गरिएको हुन्छ।
- स्नोर्ट ३ लाई IPS को रूपमा छनोट गरिएको छ, जसले बहु-थ्रेडिङलाई समर्थन गर्दछ। स्नोर्ट वर्कर थ्रेडहरूलाई समर्पित CPU कोर वा कार्यान्वयन थ्रेडहरूमा पिन गरिएको छ।
- Snort र VPP लाई Snort प्लगइन प्रयोग गरेर VPP मा एकीकृत गरिन्छ। यसले VPP र Snort बीच प्याकेटहरू पठाउनको लागि क्यु जोडीहरूको सेट प्रयोग गर्दछ। क्यु जोडीहरू र प्याकेटहरू आफैं साझा मेमोरीमा भण्डारण गरिन्छन्। हामीले Snort को लागि नयाँ डेटा अधिग्रहण (DAQ) कम्पोनेन्ट विकास गरेका छौं, जसलाई हामी VPP शून्य प्रतिलिपि (ZC) DAQ भन्छौं। यसले Snort DAQ API प्रकार्यहरू लागू गर्दछ जसले प्याकेटहरू प्राप्त गर्न र प्रसारण गर्न सम्बन्धित क्युहरूबाट पढेर र लेखेर। पेलोड साझा मेमोरीमा भएकोले, हामी यसलाई शून्य-प्रतिलिपि कार्यान्वयन मान्दछौं।
Snort 3 एक कम्प्युट-गहन कार्यभार भएकोले जसलाई डेटा प्लेन प्रशोधन भन्दा बढी कम्प्युटिङ स्रोतहरू चाहिन्छ, हामी चलिरहेको हार्डवेयर प्लेटफर्ममा उच्चतम प्रणाली स्तर प्रदर्शन प्राप्त गर्न VPP थ्रेडहरू र Snort3 थ्रेडहरूको संख्या बीच एक अनुकूलित प्रोसेसर कोर आवंटन र सन्तुलन कन्फिगर गर्ने प्रयास गरिरहेका छौं।
चित्र २ (पृष्ठ ६ मा) ले VPP भित्रको ग्राफ नोड देखाउँछ, जसमा ACL र Snort को भाग रहेका नोडहरू पनि समावेश छन्। pluginsहामीले दुई नयाँ VPP ग्राफ नोडहरू विकास गर्यौं:
- snort-enq: कुन Snort थ्रेडले प्याकेट प्रशोधन गर्नुपर्छ भन्ने बारे लोड-ब्यालेन्सिङ निर्णय गर्छ र त्यसपछि प्याकेटलाई सम्बन्धित क्युमा राख्छ।
- snort-deq: एक इनपुट नोडको रूपमा कार्यान्वयन गरिएको छ जसले धेरै लाइनहरूबाट मतदान गर्दछ, प्रति Snort कार्यकर्ता थ्रेड एक।
३.२ इन्टेल अप्टिमाइजेसनहरू
हाम्रो NGFW सन्दर्भ कार्यान्वयनले अग्रसरता लिन्छtagनिम्न अनुकूलनहरू मध्ये e:
- स्नोर्टले स्नोर्टमा पूर्वनिर्धारित खोज इन्जिनको तुलनामा कार्यसम्पादनमा उल्लेखनीय वृद्धि प्रदान गर्न हाइपरस्क्यान उच्च-प्रदर्शन मल्टिपल रेजेक्स मिल्दो पुस्तकालयको लाभ उठाउँछ। चित्र ३ ले स्नोर्टसँग हाइपरस्क्यान एकीकरणलाई हाइलाइट गर्दछ
शाब्दिक machng र regex मिल्दो कार्यसम्पादन दुवैलाई गति दिनुहोस्। Snort 3 ले Hyperscan सँग नेटिभ एकीकरण प्रदान गर्दछ जहाँ प्रयोगकर्ताहरूले config मार्फत Hyperscan खोल्न सक्छन्। file वा कमाण्ड लाइन विकल्पहरू।
- VPP ले एडभान लिन्छtagधेरै VPP कार्यकर्ता थ्रेडहरूमा ट्राफिक वितरण गर्न Intel® इथरनेट नेटवर्क एडेप्टरहरूमा रिसिभ साइड स्केलिंग (RSS) को e।
- Intel QAT र Intel AVX-512 निर्देशनहरू: IPsec र TLS लाई समर्थन गर्ने भविष्यका रिलीजहरूले अग्रिम लिनेछन्tagIntel बाट क्रिप्टो एक्सेलेरेशन टेक्नोलोजीहरूको e। Intel QAT ले क्रिप्टो कार्यसम्पादनलाई गति दिन्छ, विशेष गरी सार्वजनिक कुञ्जी क्रिप्टोग्राफी जुन नेटवर्क जडानहरू स्थापना गर्न व्यापक रूपमा प्रयोग गरिन्छ। Intel AVX-512 ले VPMADD52 (गुणा र संचय अपरेशनहरू), भेक्टर AES (Intel AES-NI निर्देशनहरूको भेक्टर संस्करण), vPCLMUL (vectorized carry-less multiple, AES-GCM अनुकूलन गर्न प्रयोग गरिन्छ), र Intel® Secure Hash Algorithm - New Instructions (Intel® SHA-NI) सहित क्रिप्टोग्राफिक कार्यसम्पादनलाई पनि बढाउँछ।
NGFW सन्दर्भ कार्यान्वयनको क्लाउड डिप्लोयमेन्ट
4.1 प्रणाली कन्फिगरेसन
तालिका ३. परीक्षण कन्फिगरेसनहरू
| मेट्रिक | मूल्य |
| केस प्रयोग गर्नुहोस् | क्लियरटेक्स्ट निरीक्षण (FW + IPS) |
| ट्राफिक प्रोfile | HTTP ६४KB GET (प्रति जडान १ GET) |
| VPP ACL हरू | हो (२ स्टेटफुल ACL हरू) |
| स्नर्ट नियमहरू | Lightspd (~४९ हजार नियमहरू) |
| स्नोर्ट नीति | सुरक्षा (~२१ हजार नियमहरू सक्षम पारिएको) |
हामी RFC9411 मा प्रयोगका केसहरू र KPI हरूमा आधारित स्पष्ट पाठ निरीक्षण परिदृश्यहरूमा ध्यान केन्द्रित गर्छौं। ट्राफिक जेनेरेटरले प्रति जडान १ GET अनुरोधको साथ ६४KB HTTP लेनदेनहरू सिर्जना गर्न सक्छ। ACL हरू निर्दिष्ट सबनेटहरूमा IP हरूलाई अनुमति दिन कन्फिगर गरिएका छन्। हामीले बेन्चमार्किङको लागि Snort Lightspd नियमहरू र Cisco बाट सुरक्षा नीति अपनाएका छौं। ट्राफिक जेनेरेटरहरूबाट अनुरोधहरू सेवा गर्न एक समर्पित सर्भर पनि थियो।
चित्र ४ र चित्र ५ मा देखाइए अनुसार, प्रणाली टोपोलोजीमा तीन प्राथमिक उदाहरण नोडहरू समावेश छन्: क्लाइन्ट, सर्भर र सार्वजनिक क्लाउड तैनातीका लागि प्रोक्सी। प्रयोगकर्ताबाट जडानहरू सेवा गर्न बास्टन नोड पनि छ। क्लाइन्ट (WRK चलिरहेको) र सर्भर (Nginx चलिरहेको) दुवैमा एकल समर्पित डेटा-प्लेन नेटवर्क इन्टरफेस छ, र प्रोक्सी (NGFW चलिरहेको) मा परीक्षणको लागि दुई डेटा-प्लेन नेटवर्क इन्टरफेसहरू छन्। डेटा-प्लेन नेटवर्क इन्टरफेसहरू समर्पित सबनेट A (क्लाइन्ट-प्रोक्सी) र सबनेट B (प्रोक्सी-सर्भर) मा संलग्न छन् जसले उदाहरण व्यवस्थापन ट्राफिकबाट अलगाव कायम राख्छ। समर्पित IP ठेगाना दायराहरू ट्राफिकको प्रवाहलाई अनुमति दिन पूर्वाधारमा प्रोग्राम गरिएको सम्बन्धित राउटिङ र ACL नियमहरूसँग परिभाषित गरिएका छन्।
४.२ प्रणाली परिनियोजन
MCNAT इन्टेलद्वारा विकसित एक सफ्टवेयर उपकरण हो जसले सार्वजनिक क्लाउडमा निर्बाध नेटवर्किङ कार्यभार तैनातीहरूको लागि स्वचालन प्रदान गर्दछ र प्रदर्शन र लागतको आधारमा उत्तम क्लाउड उदाहरण चयन गर्न सुझावहरू प्रदान गर्दछ।
MCNAT प्रो को एक श्रृंखला मार्फत कन्फिगर गरिएको छfiles, प्रत्येकले प्रत्येक उदाहरणको लागि आवश्यक चर र सेटिङहरू परिभाषित गर्दछ। प्रत्येक उदाहरण प्रकारको आफ्नै प्रो हुन्छfile जुन त्यसपछि दिइएको क्लाउड सेवा प्रदायक (CSP) मा त्यो विशिष्ट उदाहरण प्रकार तैनाथ गर्न MCNAT CLI उपकरणमा पास गर्न सकिन्छ। उदाहरणका लागि।ampकमाण्ड लाइन प्रयोग तल र तालिका ४ मा देखाइएको छ।
तालिका ४. MCNAT कमाण्ड लाइन प्रयोग
| विकल्प | विवरण |
| - तैनाथ गर्नुहोस् | नयाँ डिप्लोयमेन्ट सिर्जना गर्न उपकरणलाई निर्देशन दिन्छ। |
| -u | कुन प्रयोगकर्ता प्रमाणपत्रहरू प्रयोग गर्ने भनेर परिभाषित गर्दछ |
| -c | (AWS, GCP, आदि) मा तैनाती सिर्जना गर्न CSP |
| -s | तैनाथ गर्ने परिदृश्य |
| -p | प्रोfile प्रयोग गर्न |
MCNAT कमाण्ड लाइन उपकरणले एकै चरणमा उदाहरणहरू निर्माण र तैनाथ गर्न सक्छ। एक पटक उदाहरण तैनाथ भएपछि, पोस्ट कन्फिगरेसन चरणहरूले उदाहरण पहुँच गर्न अनुमति दिन आवश्यक SSH कन्फिगरेसन सिर्जना गर्दछ।
४.३ प्रणाली बेन्चमार्किङ
MCNAT ले उदाहरणहरू तैनाथ गरेपछि, सबै कार्यसम्पादन परीक्षणहरू MCNAT अनुप्रयोग टुलकिट प्रयोग गरेर चलाउन सकिन्छ।
पहिले, हामीले tools/mcn/applications/configurations/ngfw-intel/ngfw-intel.json मा तल दिइए अनुसार परीक्षण केसहरू कन्फिगर गर्नुपर्छ:
त्यसपछि हामी ex प्रयोग गर्न सक्छौंampपरीक्षण सुरु गर्न तलको आदेश दिनुहोस्। DEPLOYMENT_PATH त्यो ठाउँ हो जहाँ लक्षित वातावरण तैनाती अवस्था भण्डारण गरिन्छ, जस्तै, tools/mcn/infrastructure/infrastructure/examples/ngfw-ntel/gcp/terraform.tfstate.d/tfws_default.
यसले क्लाइन्टमा WRK द्वारा उत्पन्न गरिएको http ट्राफिकमा दिइएको नियमहरूको सेटको साथ NGFW चलाउँछ, जबकि परीक्षण अन्तर्गत उदाहरणको लागि प्रदर्शन संख्याहरूको पूर्ण सेट सङ्कलन गर्न CPU कोरहरूको दायरा पिन गर्दछ। परीक्षणहरू पूरा भएपछि, सबै डेटा csv को रूपमा ढाँचाबद्ध हुन्छ र प्रयोगकर्तालाई फिर्ता गरिन्छ।
कार्यसम्पादन र लागत मूल्याङ्कन
यस खण्डमा, हामी AWS र GCP मा Intel Xeon प्रोसेसरहरूमा आधारित विभिन्न क्लाउड उदाहरणहरूमा NGFW तैनातीहरूको तुलना गर्छौं।
यसले कार्यसम्पादन र लागतको आधारमा NGFW को लागि सबैभन्दा उपयुक्त क्लाउड इन्स्टन्स प्रकार फेला पार्न मार्गदर्शन दिन्छ। हामी ४ vCPU हरू भएका इन्स्टन्सहरू छनौट गर्छौं किनकि तिनीहरू धेरैजसो NGFW विक्रेताहरूद्वारा सिफारिस गरिन्छन्। AWS र GCP मा नतिजाहरू समावेश छन्:
- Intel® हाइपर-थ्रेडिङ टेक्नोलोजी (Intel® HT टेक्नोलोजी) र हाइपरस्क्यान सक्षम पारिएका ४ vCPU हरू होस्ट गर्ने साना इन्स्टन्स प्रकारहरूमा NGFW प्रदर्शन।
- पहिलो पुस्ताको इन्टेल क्सीओन स्केलेबल प्रोसेसरबाट पाँचौं पुस्ताको इन्टेल क्सीओन स्केलेबल प्रोसेसरसम्म पुस्ता-पुस्ता कार्यसम्पादनमा वृद्धि हुन्छ।
- पहिलो पुस्ताको इन्टे® क्सीओन स्केलेबल प्रोसेसरदेखि पाँचौं पुस्ताको इन्टेल क्सीओन स्केलेबल प्रोसेसरसम्म प्रति डलर पुस्ताको प्रदर्शन वृद्धि।
३.१ AWS तैनाती
३.१.१ उदाहरण प्रकार सूची
तालिका ५. AWS उदाहरणहरू र माग अनुसारको घण्टा दरहरू
| उदाहरण प्रकार | CPU मोडेल | vCPU | मेमोरी (GB) | नेटवर्क कार्यसम्पादन (Gbps) | माग अनुसारurly दर ($) |
| c5-xlarge | दोस्रो पुस्ताको Intel® Xeon® स्केलेबल प्रोसेसरहरू | 4 | 8 | 10 | 0.17 |
| c5n-xlarge | पहिलो पुस्ताको Intel® Xeon® स्केलेबल प्रोसेसरहरू | 4 | 10.5 | 25 | 0.216 |
| c6i-xlarge | तेस्रो पुस्ताको Intel® Xeon® स्केलेबल प्रोसेसरहरू | 4 | 8 | 12.5 | 0.17 |
| c6in-xlarge मा | तेस्रो पुस्ताको इन्टेल क्सीन स्केलेबल प्रोसेसरहरू | 4 | 8 | 30 | 0.2268 |
| c7i-xlarge | चौथो पुस्ताको Intel® Xeon® स्केलेबल प्रोसेसरहरू | 4 | 8 | 12.5 | 0.1785 |
तालिका ५ ले ओभर देखाउँछview हामीले प्रयोग गर्ने AWS उदाहरणहरूको। थप प्लेटफर्म विवरणहरूको लागि कृपया प्लेटफर्म कन्फिगरेसन हेर्नुहोस्। यसले माग अनुसारको हो पनि सूचीबद्ध गर्दछ।urly दर (https://aws.amazon.com/ec2/pricing/on-demand/) सबै उदाहरणका लागि। माथिको यो पेपर प्रकाशित गर्दाको समयमा माग दर थियो र यो अमेरिकाको पश्चिमी तटमा केन्द्रित छ।
माग अनुसारको होurly दर क्षेत्र, उपलब्धता, कर्पोरेट खाताहरू, र अन्य कारकहरू अनुसार फरक हुन सक्छ।
5.1.2 परिणामहरू
चित्र ६ ले अहिलेसम्म उल्लेख गरिएका सबै उदाहरण प्रकारहरूमा प्रदर्शन र प्रति घण्टा दरको तुलना गर्दछ:
- नयाँ पुस्ताको Intel Xeon प्रोसेसरहरूमा आधारित उदाहरणहरूसँग प्रदर्शनमा सुधार भयो। c5.xlarge (दोस्रो पुस्ताको Intel Xeon स्केलेबल प्रोसेसरमा आधारित) बाट c2i.xlarge (चौथो पुस्ताको Intel Xeon स्केलेबल प्रोसेसरमा आधारित) मा स्तरोन्नति गर्दै।
१.९७ गुणा कार्यसम्पादन सुधार देखाउँछ। - नयाँ पुस्ताको Intel Xeon प्रोसेसरहरूमा आधारित उदाहरणहरूसँग प्रति डलर प्रदर्शनमा सुधार भयो। c5n.xlarge (पहिलो पुस्ताको Intel Xeon स्केलेबल प्रोसेसरमा आधारित) बाट c1i.xlarge (चौथो पुस्ताको Intel Xeon स्केलेबल प्रोसेसरमा आधारित) मा स्तरोन्नति गर्दा १.८८ गुणा कार्यसम्पादन/घण्टा दरमा सुधार देखिएको छ।
३.२ GCP तैनाती
३.१.१ उदाहरण प्रकार सूची
तालिका ६. GCP उदाहरणहरू र माग अनुसारको घण्टा दरहरू
| उदाहरण प्रकार | CPU मोडेल | vCPU | मेमोरी (GB) | पूर्वनिर्धारित इग्रेस ब्यान्डविथ (Gbps) | माग अनुसारurly दर ($) |
| n1-std-4 | पहिलो पुस्ताको इन्टेल® क्सीओन® स्केलेबल प्रोसेसरहरू |
4 | 15 | 10 | 0.189999 |
| n2-std-4 | तेस्रो पुस्ताको इन्टेल® क्सीओन® स्केलेबल प्रोसेसरहरू |
4 | 16 | 10 | 0.194236 |
| c3-कक्षा-4 | चौथो पुस्ताको Intel® Xeon® स्केलेबल प्रोसेसरहरू |
4 | 16 | 23 | 0.201608 |
| n4-std-4 | चौथो पुस्ताको Intel® Xeon® स्केलेबल प्रोसेसरहरू |
4 | 16 | 10 | 0.189544 |
| c4-कक्षा-4 | चौथो पुस्ताको Intel® Xeon® स्केलेबल प्रोसेसरहरू |
4 | 15 | 23 | 0.23761913 |
तालिका ५ ले ओभर देखाउँछview हामीले प्रयोग गर्ने GCP उदाहरणहरूको। थप प्लेटफर्म विवरणहरूको लागि कृपया प्लेटफर्म कन्फिगरेसन हेर्नुहोस्। यसले माग अनुसारको हो पनि सूचीबद्ध गर्दछ।urly दर (https://cloud.google.com/compute/vm-instance-pricing?hl=en) सबै उदाहरणहरूको लागि। माथिको यो पत्र प्रकाशित गर्दाको समयमा माग अनुसारको दर थियो र यो अमेरिकाको पश्चिमी तटमा केन्द्रित छ। माग अनुसारको दरurly दर क्षेत्र, उपलब्धता, कर्पोरेट खाताहरू, र अन्य कारकहरू अनुसार फरक हुन सक्छ।
5.2.2 परिणामहरू
चित्र ६ ले अहिलेसम्म उल्लेख गरिएका सबै उदाहरण प्रकारहरूमा प्रदर्शन र प्रति घण्टा दरको तुलना गर्दछ:
- नयाँ पुस्ताको Intel Xeon प्रोसेसरहरूमा आधारित उदाहरणहरूसँग प्रदर्शनमा सुधार भयो। n1-std-4 (पहिलो पुस्ताको Intel Xeon स्केलेबल प्रोसेसरमा आधारित) बाट c1-std-4 (पाँचौं पुस्ताको Intel Xeon स्केलेबल प्रोसेसरमा आधारित) मा स्तरोन्नति गर्दा २.६८ गुणा प्रदर्शन सुधार देखिएको छ।
- नयाँ पुस्ताको Intel Xeon प्रोसेसरहरूमा आधारित उदाहरणहरूसँग प्रति डलर प्रदर्शनमा सुधार भयो। n1-std-4 (पहिलो पुस्ताको Intel Xeon स्केलेबल प्रोसेसरमा आधारित) बाट c1-std-4 (पाँचौं पुस्ताको Intel Xeon स्केलेबल प्रोसेसरमा आधारित) मा स्तरोन्नति गर्दा २.१५ गुणा प्रदर्शन/घण्टा दर सुधार देखाइएको छ।
सारांश
बहु- र हाइब्रिड-क्लाउड डिप्लोयमेन्ट मोडेलहरूको बढ्दो अपनाइसँगै, सार्वजनिक क्लाउडमा NGFW समाधानहरू प्रदान गर्नाले वातावरणमा निरन्तर सुरक्षा, सुरक्षा आवश्यकताहरू पूरा गर्न स्केलेबिलिटी, र न्यूनतम मर्मत प्रयासहरूको साथ सरलता प्रदान गर्दछ। नेटवर्क सुरक्षा विक्रेताहरूले सार्वजनिक क्लाउडमा विभिन्न क्लाउड उदाहरण प्रकारहरूको साथ NGFW समाधानहरू प्रदान गर्छन्। सही क्लाउड उदाहरणको साथ स्वामित्वको कुल लागत (TCO) लाई कम गर्न र लगानीमा प्रतिफल (ROI) लाई अधिकतम बनाउन महत्त्वपूर्ण छ। विचार गर्नुपर्ने मुख्य कारकहरूमा कम्प्युट स्रोतहरू, नेटवर्क ब्यान्डविथ, र मूल्य समावेश छन्। हामीले प्रतिनिधि कार्यभारको रूपमा NGFW सन्दर्भ कार्यान्वयन प्रयोग गर्यौं र विभिन्न सार्वजनिक क्लाउड उदाहरण प्रकारहरूमा तैनाती र परीक्षण स्वचालित गर्न MCNAT लाई लिभरेज गर्यौं। हाम्रो बेन्चमार्किङको आधारमा, AWS (चौथो Intel Xeon स्केलेबल प्रोसेसरहरू द्वारा संचालित) र GCP (पाँचौं Intel Xeon स्केलेबल प्रोसेसरहरू द्वारा संचालित) मा Intel Xeon स्केलेबल प्रोसेसरहरूको नवीनतम पुस्ताको साथ उदाहरणहरूले प्रदर्शन र TCO दुवै सुधारहरू प्रदान गर्दछ। तिनीहरूले अघिल्लो पुस्ताको तुलनामा 4x सम्म प्रदर्शन र प्रति घण्टा दर 5x सम्म प्रदर्शन सुधार गर्छन्। यो मूल्याङ्कनले NGFW को लागि Intel आधारित सार्वजनिक क्लाउड उदाहरणहरू चयन गर्ने सम्बन्धमा ठोस सन्दर्भहरू उत्पन्न गर्दछ।
परिशिष्ट A प्लेटफर्म कन्फिगरेसन
प्लेटफर्म कन्फिगरेसन
c5-xlarge – “०३/१७/२५ सम्म Intel द्वारा परीक्षण। १-नोड, १x Intel(R) Xeon(R) Platinum 03CL CPU @ 17GHz, २ कोर, HT अन, टर्बो अन, कुल मेमोरी ८GB (१x८GB DDR25 २९३३ MT/s [अज्ञात]), BIOS १.०, माइक्रोकोड ०x५००३८०१, १x इलास्टिक नेटवर्क एडाप्टर (ENA), १x ३२G Amazon इलास्टिक ब्लक स्टोर, Ubuntu २२.०४.५ LTS, ६.८.०-१०२४-aws, gcc ११.४, NGFW २४.१२, हाइपरस्क्यान ५.६.१“
c5n-xlarge – “०३/१७/२५ सम्म Intel द्वारा परीक्षण। १-नोड, १x Intel(R) Xeon(R) प्लेटिनम ८१२४M CPU @ ३.००GHz, २ कोर, HT अन, टर्बो अन, कुल मेमोरी १०.५GB (१×१०.५GB DDR४ २९३३ MT/s [अज्ञात]), BIOS १.०, माइक्रोकोड ०x२००७००६, १x इलास्टिक नेटवर्क एडाप्टर (ENA), १x ३२G Amazon इलास्टिक ब्लक स्टोर, Ubuntu २२.०४.५ LTS, ६.८.०-१०२४-aws, gcc ११.४, NGFW २४.१२, हाइपरस्क्यान ५.६.१”
c6i-xlarge – “०३/१७/२५ सम्म Intel द्वारा परीक्षण। १-नोड, १x Intel(R) Xeon(R) Platinum 03C CPU @ २.९०GHz, २ कोर, HT अन, टर्बो अन, कुल मेमोरी ८GB (१x८GB DDR17 ३२०० MT/s [अज्ञात]), BIOS १.०, माइक्रोकोड ०xd०००३f६, १x इलास्टिक नेटवर्क एडाप्टर (ENA), १x ३२G Amazon इलास्टिक ब्लक स्टोर, Ubuntu २२.०४.५ LTS, ६.८.०-१०२४-aws, gcc ११.४, NGFW २४.१२, हाइपरस्क्यान ५.६.१“
c6in-xlarge – “०३/१७/२५ सम्म Intel द्वारा परीक्षण। १-नोड, १x Intel(R) Xeon(R) Platinum 03C CPU @ २.९०GHz, २ कोर, HT अन, टर्बो अन, कुल मेमोरी ८GB (१x८GB DDR17 ३२०० MT/s [अज्ञात]), BIOS १.०, माइक्रोकोड ०xd०००३f६, १x इलास्टिक नेटवर्क एडाप्टर (ENA), १x ३२G Amazon इलास्टिक ब्लक स्टोर, Ubuntu २२.०४.५ LTS, ६.८.०-१०२४-aws, gcc ११.४, NGFW २४.१२, हाइपरस्क्यान ५.६.१”
c7i-xlarge – “०३/१७/२५ सम्म Intel द्वारा परीक्षण। १-नोड, १x Intel(R) Xeon(R) Platinum 03C CPU @ २.४०GHz, २ कोर, HT अन, टर्बो अन, कुल मेमोरी ८GB (१x८GB DDR17 ४८०० MT/s [अज्ञात]), BIOS १.०, माइक्रोकोड ०x२b०००६२०, १x इलास्टिक नेटवर्क एडाप्टर (ENA), १x ३२G Amazon इलास्टिक ब्लक स्टोर, Ubuntu २२.०४.५ LTS, ६.८.०-१०२४-aws, gcc ११.४, NGFW २४.१२, हाइपरस्क्यान ५.६.१”
n1-std-4 – “०३/१७/२५ सम्म Intel द्वारा परीक्षण। १-नोड, १x Intel(R) Xeon(R) CPU @ २.००GHz, २ कोर, HT अन, टर्बो अन, कुल मेमोरी १५GB (१x१५GB RAM []), BIOS गुगल, माइक्रोकोड ०xffffffff, १x उपकरण, १x ३२G PersistentDisk, Ubuntu २२.०४.५ LTS, ६.८.०-१०२५gcp, gcc ११.४, NGFW २४.१२, हाइपरस्क्यान ५.६.१“
n2-std-4 – ०३/१७/२५ सम्म Intel द्वारा परीक्षण। १-नोड, १x Intel(R) Xeon(R) CPU @ २.६०GHz, २ कोर, HT अन, टर्बो अन, कुल मेमोरी १६GB (१x१६GB RAM []), BIOS गुगल, माइक्रोकोड ०xffffffff, १x उपकरण, १x ३२G PersistentDisk, Ubuntu २२.०४.५ LTS, ६.८.०-१०२५gcp, gcc ११.४, NGFW २४.१२, हाइपरस्क्यान ५.६.१”
c3-std-4 – ०३/१४/२५ सम्म Intel द्वारा परीक्षण। १-नोड, १x Intel(R) Xeon(R) प्लेटिनम ८४८१C CPU @ २.७०GHz @ २.६०GHz, २ कोर, HT अन, टर्बो अन, कुल मेमोरी १६GB (१x१६GB RAM []), BIOS गुगल, माइक्रोकोड ०xffffffff, १x कम्प्युट इन्जिन भर्चुअल इथरनेट [gVNIC], १x ३२G nvme_card-pd, Ubuntu २२.०४.५ LTS, ६.८.०-१०२५-gcp, gcc ११.४, NGFW २४.१२, हाइपरस्क्यान ५.६.१”
n4-std-4 – ०३/१८/२५ सम्म Intel द्वारा परीक्षण। १-नोड, १x Intel(R) Xeon(R) PLATINUM 03C CPU @ २.१०GHz, २ कोर, HT अन, टर्बो अन, कुल मेमोरी १६GB (१x१६GB RAM []), BIOS गुगल, माइक्रोकोड ०xffffffff, १x कम्प्युट इन्जिन भर्चुअल इथरनेट [gVNIC], १x ३२G nvme_card-pd, Ubuntu २२.०४.५ LTS, ६.८.०-१०२५-gcp, gcc ११.४, NGFW २४.१२, हाइपरस्क्यान ५.६.१”
c4-std-4 – ०३/१८/२५ सम्म Intel द्वारा परीक्षण। १-नोड, १x Intel(R) Xeon(R) PLATINUM 03C CPU @ २.३०GHz, २ कोर, HT अन, टर्बो अन, कुल मेमोरी १५GB (१x१५GB RAM []), BIOS गुगल, माइक्रोकोड ०xffffffff, १x कम्प्युट इन्जिन भर्चुअल इथरनेट [gVNIC], १x ३२G nvme_card-pd, Ubuntu २२.०४.५ LTS, ६.८.०-१०२५-gcp, gcc ११.४, NGFW २४.१२, हाइपरस्क्यान ५.६.१”
परिशिष्ट B Intel NGFW सन्दर्भ सफ्टवेयर कन्फिगरेसन
| सफ्टवेयर कन्फिगरेसन | सफ्टवेयर संस्करण |
| होस्ट OS | Ubuntu 22.04 LTS |
| कर्नेल | 6.8.0-1025 |
| कम्पाइलर | GCC ११.४.० |
| WRK | ७४eb९४३७ को बारेमा |
| WRK2 को लागि सोधपुछ पेश गर्नुहोस् | ४४a९४c१७ ले |
| VPP | 24.02 |
| स्नोर्ट | 3.1.36.0 |
| DAQ | 3.0.9 |
| लुआजिट | २.१.०-बिटा३ |
| लिबक्याप | 1.10.1 |
| PCRE | 8.45 |
| ZLIB का थप वस्तुहरू | 1.2.11 |
| हाइपरस्क्यान | 5.6.1 |
| एलजेडएमए | 5.2.5 |
| NGINX | 1.22.1 |
| DPDK | 23.11 |
प्रदर्शन प्रयोग, कन्फिगरेसन र अन्य कारकहरू द्वारा भिन्न हुन्छ। मा थप जान्नुहोस् www.intel.com/perperpanandindeex.
प्रदर्शन परिणामहरू कन्फिगरेसनहरूमा देखाइएका मितिहरूको परीक्षणमा आधारित हुन्छन् र सबै सार्वजनिक रूपमा उपलब्ध अद्यावधिकहरू प्रतिबिम्बित नहुन सक्छन्। कन्फिगरेसन विवरणहरूको लागि ब्याकअप हेर्नुहोस्। कुनै पनि उत्पादन वा कम्पोनेन्ट पूर्ण रूपमा सुरक्षित हुन सक्दैन।
Intel ले सबै एक्सप्रेस र निहित वारेन्टीहरू अस्वीकृत गर्दछ, बिना सीमा, व्यापारिकताको निहित वारेन्टी, एक विशेष उद्देश्यको लागि फिटनेस, र गैर-उल्लंघन, साथै प्रदर्शनको पाठ्यक्रम, व्यवहारको पाठ्यक्रम, वा व्यापारमा प्रयोगबाट उत्पन्न हुने कुनै पनि वारेन्टी।
इंटेल टेक्नोलोजीहरूले सक्षम हार्डवेयर, सफ्टवेयर वा सेवा सक्रियताको आवश्यक हुन सक्दछ।
Intel ले तेस्रो-पक्ष डेटा नियन्त्रण वा लेखा परीक्षण गर्दैन। तपाईंले शुद्धता मूल्याङ्कन गर्न अन्य स्रोतहरू परामर्श गर्नुपर्छ।
वर्णन गरिएका उत्पादनहरूमा डिजाइन त्रुटिहरू वा त्रुटिहरू समावेश हुन सक्छन् जसलाई इरेटा भनिन्छ जसले उत्पादनलाई प्रकाशित विनिर्देशहरूबाट विचलित हुन सक्छ। हालको विशेषता इरेटा अनुरोधमा उपलब्ध छन्।
© इंटेल निगम। Intel, Intel लोगो, र अन्य Intel मार्कहरू Intel Corporation वा यसको सहायक कम्पनीहरूको ट्रेडमार्क हुन्। अन्य नाम र ब्रान्डहरू अरूको सम्पत्तिको रूपमा दाबी गर्न सकिन्छ।
०४२५/XW/MK/PDF ३६५१५०-००१US
कागजातहरू / स्रोतहरू
 |
इन्टेलले अर्को पुस्ताका फायरवालहरूलाई अप्टिमाइज गर्छ [pdf] प्रयोगकर्ता गाइड अर्को पुस्ताका फायरवालहरूलाई अप्टिमाइज गर्नुहोस्, अप्टिमाइज गर्नुहोस्, अर्को पुस्ताका फायरवालहरू, जेनेरेसन फायरवालहरू, फायरवालहरू |