全分布式架构：性能随CPU线性扩展

　　8月22日，山石网科发布了继X6180之后的新一代高端数据中心安全产品X7180。显然，这是一次重大的升级，最大数据吞吐量从100G提升至360G，最大并发连接数从6000万提升到1.2亿，每秒新建连接从180万提升至240万……

　　然而，X7180最大的亮点在于其采用了全分布式架构设计。“对于数据中心而言，基于大数据的应用会产生很多并发连接和流量，而我们创新的全分布式安全架构，可以让数据中心安全产品完全适应这种变化，让其性能随CPU的增加线性扩展。”山石网科首席技术官刘向明告诉记者。

　　突破的全新架构

　　在高端数据中心安全产品中，多CPU架构已成为主流。“目前的多CPU架构还存在性能增长上的瓶颈，主要原因在于设备对于RTO（实时动态信息）的处理方式。”刘向明认为。

　　RTO是防火墙在进行数据包处理时动态创建的信息，它包含处理数据包所需的信息以及攻击防护和系统监控所需的计数器和状态信息等。其处理机制是影响设备扩展性的关键因素之一。

　　对于共享型分布式架构，其采用的集中RTO-DB（存储RTO的数据库）管理方式，所有RTO都存储在一个RTO-DB中。在CPU增加后，这种一对多的模式会限制性能的提升，并可能出现单点故障。而复制型分布式架构是在所有CPU上完全复制RTO信息。这一架构下每个CPU都有相同的RTO-DB的复制信息，CPU增加时，RTO-DB的信息同步复杂度随之增加，造成资源内耗。

　　“与这两种最常见的分布式架构不同，全分布式架构的RTO-DB是在SSM（业务模块）的CPU上完全分布式部署的，每个CPU负责一个本地的RTO-DB（称为LRTO-DB），RTO-DB信息完全分布式存储在各个LRTO-DB中。同时通过我们专有的资源分布管理算法保证RTO-DB的定位和检索。”刘向明介绍，全分布式架构实现了多CPU下的资源高效分配及同步存储，完全去除了控制的单故障点，使网络安全产品的吞吐、新建、并发等关键性能都可以随CPU的增加而全面线性增长，大幅提升了防火墙的数据包处理能力、可扩展性和稳定性。

　　“X7180是全分布式架构在山石网科的防火墙产品中首次采用，且全分布式架构已经作为山石网科独创的技术申请了专利。”刘向明向记者透露。

　　更广阔的高端市场

　　事实上，云计算的多业务并行与多租户接入环境，已经是高端数据中心安全产品不可回避的问题。设备要提供虚拟防火墙技术，为不同租户、不同业务提供独立的安全控制，并能满足不同租户的个性化需求。据记者了解，X7180可支持高达1000个虚拟防火墙，每个虚拟防火墙系统拥有独立的系统资源，并可独立精细化管理，为不同的用户或业务提供可视化的独立安全管理。它可根据实际业务情况，合理分配每个虚拟防火墙的CPU、会话、接口等资源，能独立配置安全策略和日志审计。

　　此外，X7180在基于可靠性的基础上，承载了智能带宽管理、深度应用识别防火墙、链路负载均衡、VPN等多种安全功能。“X7180采用先进的深度应用识别技术，可对包括200种移动应用在内的1300 多种网络应用及加密P2P 应用进行深度识别，并可对用户的网络流量进行更细粒度的访问控制。基于深度识别的智能带宽管理与会话限制、策略路由、链路负载均衡等功能配合使用，可以为用户提供非常灵活的流量管理解决方案。”山石网科产品经理戈建勇说。

　　无疑，X7180将成为一款重要的高端数据中心安全产品，运营商、互联网服务商、大型企业和政府云数据中心等领域将成为X7180的目标市场。“现在，运营商已经开始集采超100G的设备，而且越来越多企业的高性能安全设备需求，也预示X7180将面对一个广阔的市场。”山石网科市场副总裁张凌龄说。

　　程彦博