安全和性能：两者不可得兼?

　　华为在深耕安全10多年后，推出其下一代防火墙产品USG6000系列，实现安全和性能的完美融合，在打开所有威胁防护下，能够实现万兆级的应用层全威胁防御。华为USG6000采用NG-Security硬件平台和智能感知引擎(IAE，Intelligent Awareness Engine)技术，全面覆盖1G-40G应用层防护场景。

　　NG-Security硬件平台是华为公司全新一代高性能系列安全产品的硬件平台。NG-Security硬件平台采用“多核MIPS”+“硬件协处理加速”+“高速SwitchFabric”的架构，通过高速总线实现多核CPU与业务处理模块、接口扩展模块之间的通信。NG_Security硬件平台同时进行了冗余设计，提高硬件可靠性。增强了性能和功能的扩展，进一步实现了存储的扩展，满足网络安全设备对本地日志存储的需要。

　　1、华为NG-Security硬件平台采用64位高性能新一代多核MIPS平台，MIPS架构基于一种固定长度的定期编码指令集，其精简的指令集、指令与高速数据缓存分层的设计、并发的多级流水线、以及专门为网络报文吞吐所设计的高速接口及DMA能力，结合华为公司电信级的嵌入式实时操作系统，保证了华为下一代墙平台处理的高性能。同时，在NG_Security硬件平台的高端机型，还可多扩展一块CPU处理板，即相当于实现1+1的CPU扩展能力，每颗CPU均为多核MIPS处理器，这样的弹性扩展能力可实现硬件处理能力的翻倍。

　　2、华为NG-Security硬件平台集成了IPSec、SSL加解密运算、压缩解压缩、模式匹配、以及硬盘RAID的硬件协处理器。使得本来应该由CPU软件来计算处理的特定、重复的耗费CPU性能的业务，如加解密、压缩解压缩、模式匹配等，由协处理器来完成，其处理能力将有质的飞跃。同时CPU就不需要参与此类复杂计算，对CPU的消耗大大降低，使CPU集中实现擅长的网络报文的处理。

　　3、华为NG-Security 硬件平台选用容量达480Gbps的交换芯片作为多核CPU、业务处理模块、扩展接口模块之间的互联总线，高容量的交换总线为模块之间的提供的足够的带宽，保证了各模块之间的业务交换。同时选用高速率的SAS硬盘，支持300GB大容量，为用户提供实时记录日志和报表，减少CPU与外围网管采集软件的交互流量和性能消耗，进一步提高CPU的利用率，并且为用户提供实时大容量的日志和报表记录。

　　另外，华为下一代防火墙采用全新架构的智能感知引擎(IAE, Intelligence Aware Engine)，通过该项技术，能够实现下一代防火墙的核心安全功能，同时能够带来全功能和高性能的全新用户体验。

　　IAE是一体化的内容安全业务处理框架和一系列安全特性或组件的集合，配合各种安全知识库，以及和安全智能中心实时联动，是方便各种产品在其上进行内容安全业务的定制、扩展、集成和快速发布的安全服务程序。 简单来讲：IAE = 安全框架(流+代理) + 安全特性组件 + 配套知识库 + 安全智能中心联动。传统威胁检测引擎根据逐个报文进行威胁特征匹配，这种方式容易造成攻击者逃避检测。IAE摒弃了此种方式，将报文根据会话进行重组，并进行协议解码和特征匹配，更加精准的检测各层协议中的威胁。在检测过程中，基于多核CPU架构，IAE采用了一次解析，多业务并行处理的架构。其核心的应用解析和特征匹配处理由硬件加速模块高速处理，各个安全业务并行的跟踪处理结果并更新状态，当威胁特征的条件都符合时，立即根据安全策略触发响应动作，而当条件不符合时，IAE会自动调整跟踪状态，确保检测安全的流量高速转发。这种架构确保了多种安全业务开启情况下，对整体性能影响最小。

　　华为下一代防火墙通过其软硬件的创新，在相同防火墙性能的条件下启用应用威胁防护特性后，性能下降在50%以内，实现真正意义上的万兆全防御性能，达到业界顶尖水平，为客户提供全网络最佳的性能体验。安全和性能两者兼得。