二、Internet应用控制和带宽管理处理能力

    Internet应用控制和带宽管理，通常是通过对应用数据包进行分析，通过识别匹配协议或应用特征进行的4-7层的应用管控。仅仅靠识别端口是不行的，因为当前网络上的大部分应用会采用隐藏或假冒端口号的方式躲避检测和管控，也常常通过动态协商端口等方式仿冒合法应用的数据流来侵蚀着网络，因此对于应用管控还需要识别出协议或应用中特定的字符串以便更准确地进行应用的识别与管控。当然，对于应用管控不需要对所有的应用数据包进行一一的检测过滤，仅仅需要对应用流量中开始的1个或几个数据包进行特征分析与匹配。因此，对于Internet应用控管，其性能的关键在于网关的包转发能力。用户在选购产品时，需要考察的是设备对数据包的吞吐量。为了提高吞吐量，市面上有ASIC加速技术也有多核技术，二者的目的一致，都是为了提高性能。支持多核并不难，普通的Linux就可以支持，但如果没有良好的并行多核控制技术，既使再多的核也不能完全发挥出多核的硬件优势。因此，这就需要具备并行多核优化控制技术来保证多核CPU快速均衡的响应不同的网络应用。Anchiva(安启华)并行多核控制技术采用数据包动态均衡分发处理机制，实现流量在多核间的负载均衡，极大的提升了系统的运算效率。并且一般的多核控制技术是通过CPU的其中一个核来完成流量的均衡分发，而Anchiva(安启华)为了充分利用硬件资源，使性能达到最优，不是占用CPU的一个核来完成流量的均衡分发，而是通过专门编写的控制技术利用网卡中的芯片完成流量在不同CPU间的均衡分发，这样使相同的多核CPU的处理能力更进一步发挥出来。另外在多核上实现的应用调度处理也很重要，应用调度处理一般有并行和串行两种模式。显然，为了实现对多核资源的充分挖掘和利用，并行应用调度处理方式也是必须的，为此Anchiva(安启华)专门编写了自己的并行应用处理引擎，以便充分的利用多核资源。

    三、URL过滤处理能力

    URL过滤的实现机制是将客户端请求的URL与网关中的URL过滤策略进行匹配，从而达到过滤控制的目的。对于这部分功能，Web安全网关仅仅需要对http header中的URL进行扫描处理，不需要对http请求的内容进行扫描，以一个32K的http请求为例，http 的header部分只有几百个字节，不到1K。于是可以看出，对于URL过滤，需要考察的重要性能指标是http的并发连结数和每秒新建连接数，这就需要一个强大的http处理引擎。各厂家也都在http的处理性能上下功夫，通常使用最多的还是多核技术， Anchiva(安启华)认为，良好的HTTP 处理引擎不仅跟CPU是单核还是多核有关系，即使有多核技术，如果没有优化基于kernel的TCP协议栈，对于上层应用代理的处理能力也会受限于传统TCP协议栈共享锁的限制。目前很少有厂商愿意花费时间来攻破这一难题。攻破TCP协议栈的束缚将成就更快的Web安全网关。Anchiva(安启华)公司在成立之初就决定优化重写TCP协议栈，在兼顾安全性的基础上，开发了横跨系统内核层和系统应用层的TCP协议栈，同时将TCP协议栈与应用进程并行结合，打破了通用操作系统基于内核的TCP协议栈共享锁的限制及系统应用层与系统内核层分离的制约，实现了转发层面和应用层面的并行处理，也使Anchiva Web安全网关的性能随着硬件配置的提升，能够做到近似线性增长。

    当然，单独的吞吐量、并发连接数和每秒新建连接数的数据毫无意义，一定要说明这个数据是用什么方法测试出来的才有用，同类产品相互性能的比较一定要在同样的测试环境和方法下以及相同的策略条件下进行才公平和有意义。最好的方法是对同类产品用相同的测试仪器通过相同的测试环境和测试参数测试出来的性能才具有可比性和参考价值。对于防火墙、路由器等设备，测试标准通常要遵从RFC 2544/1242；但是对于应用网关，目前没有成型的测试标准，各家都有各家的方法，这里就需要企业在选购时一定要清楚各家的性能参数是如何得到的。

    除此之外，对于Web安全网关而言应用层的处理能力是需要用户考察的关键点。成就高性能的应用层面处理能力，首先需要克服的是转发层面和协议层面甚至硬件架构等等更底层的处理瓶颈或处理技术。因此认清其对多核和ASIC的支持能力、TCP协议栈以及上层应用处理引擎的并行处理能力和扫描检测算法的优化能力，这些都是Web安全网关性能能否达到最优的核心技术。攻克这些核心技术，不仅能成就高性能的网关杀毒，对于URL过滤和应用管控的性能提高仅仅是顺带手就能够做到的。相信认清市场上种类繁多的Web安全网关的真正优势后，企业选择一款真正适合自己的边界Web安全网关设备并不难。