vxr

400分

樓主

vxr

個人積分：400分

文章編號：38327970

[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning...

FortiOS v5.2.x討論請至:
http://www.mobile01.com/topicdetail.php?f=110&t=3948153&p=4#51248664

Use the NPU feature in FortiOS for supported FortiGate units
FortiSoC提供了極為有效的線性流量ASIC加速, 透過內置的NPU負載各種尺寸的封包大小.
[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning...

[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning...

NPU雖然提供了有效的fast-path線性加速, 可惜的是硬件限制問題把H/W Traffic-shaper透過f/w給關閉掉了(目前只有獨立的NP2/4/6支持這項高級特徵, 效果極佳).
[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning...

如果需要獲得fast-path的ASIC加速需要符合如下幾個要求:
[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning...

其中最後一項所謂的local host表示在FGT操作的local traffic無法被加速, 即管理型流量.
[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning...

轉發至不同路由的流量(非管理型流量), 才有機會丟到NPU進行加速.
[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning...

ASIC流量加速會依照如下的基本判斷, 判定是否能夠加速該流量:
[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning...

SoC相關的資訊(FortiSoC v1版), 以下為g3版本:

在SoC2版本增強了CPU性能, 提供更高的clock:
[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning...

縱然CPU提高了clock, 依然無法脫離ARM926EJS古老架構的貧弱性能. 事實上, SoC2提供了雙核心架構, 但是他並不是一個SMP操作. 因此官方沒有特意說明這部分, 當然也沒說明他是SMP.
The two cores are configured in a non-SMP manner. They don't even see the same memory space. They act more like two different CPUs with their own physical memory interface. The only way to reuse the second core is run a different OS on that and offload some traffic or compute to it.
在x86體系的CPU上, 依然可以在FOS操作下保持相當程度的流暢性. ARM-based的CPU難免會有一些delay, 縱然SoC2拉高到800MHz.
SoC2比起SoC1多出了IPsec ASIC加速(1Gbps), 因此可以提供近乎"免費"的效能.
盡可能避免使用UTM掃描, 因為經過UTM操作過後的流量無法被NPU加速(UTM操作會經由CP和CPU操作).
[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning...

一個很簡單的暴力測試, 用續傳軟體即可測..

沒有FastPath丟去NP進行加速的情況下..
這是60C, 只有悲劇可以形容...

這是80C, 80C沒有NP, 因此只能丟到傳統的CPU進行操作...

60C透過NP啟用FastPath進行大規模加速後:

這是非常明顯的變化, NP使用FastPath起了一個非常大的作用....
CPU資源得以繼續負載其他任務...
作為UTM來說, 這款完全不及格, 性能實在太差!...
但是拿來做為純高速防火牆其實是相當合適的...
要注意的是!如果使用FortiAP或著FortiWiFi建立VAP的話...
很可惜!由VAP跨到PHY送出來的packet無法丟給NP處理, 他只能被CPU照單全收...
因此要注意!!..要配置無線網路還是使用第三方的AP送出給60C, 這樣便可允許NP進行加速...

1. 這款不支援LACP, 不能聚合PHY...
2. 這款不支援Jumbo Frame
3. NPU無法加速本身AP的wireless packet(跨VAP吃不了), 需使用3rd-party AP達成...
ASIC NPU basically can't processing WiFi unit(wireless) logical interface.
4. 不要開UTM(CP0特徵不足), 做單純的防火牆可以提供有效的性能保證...
5. 這款可以建VDOM, 但是建議做2~3個就好
6. DRAM是焊死的, 不能換...
7. 支援VLAN, 可以TRUNK(VLAN出來的packet(tagged)可以被NPU加速)
8. 要用AP的話, 不要開Rogue AP detection, 他會消費CPU資源, 除非你是透過FortiAP做monitor, 那情況會不一樣..
9. 這款要透過CLI微調, 微調後即可達到有效的性能保證(參考Fortinet KB, 可以大幅節省系統資源)
10. FortiOS 4.0MR3功能強大, 調整性高..
11. IPSec/SSL VPN能透過CP0/NPU提供ASIC硬線加速設計(*這是非常有效的)...
12. rev.2 的60C內建的8GB FLASH是焊死的, 不能換(*~!!@#$%^&*())...
13. 支援Web caching, 不過FLASH太小了, 不要做!!..
14. 沒有給RJ-45 to RS-232 console line, 只有附USB cable, 可以使用FortiExplorer..

[20140107, upgraded, FortiOS v5]
1. 開始後支持Jumbo-frame.
2. SoC2依然不能加速CAPWAP, 獨立的NP6才能加速.
3. FortiWiFi的WTP mode已經被移除, 不能再交由上層controller管理.
4. 使用Bridge mode可以讓wireless traffic被NPU加速, 即並非為Tunnel架構.
5. IPv6 traffic不能被加速(目前只有NP6支持IPv6加速).
6. 在SoC2機種提供了2GB記憶體空間(DRAM), 可以建置更多的VDOM.
7. SoC2的Rogue AP detection近乎免費性能的改進.
8. UTM依然對SoC2的性能殺傷力太強, 盡可能避免使用.
9. SSL加速會牽涉到L7的操作, 因此他無法被L3/L4的NPU加速.
10. 比起SoC1, SoC2具備極強的線性流量加速, CPU loading進一步下降.
[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning...

2012-09-08 10:34 #1

文章關鍵字

UPGRADED 201407300634

tompopo

26分

2樓

tompopo

個人積分：26分

文章編號：38328926

vxr wrote:
最近拿了這款...規...(恕刪)

讚，解釋很詳細，但大多看不懂XDD
我也是fortigate的愛用者
目前公司正想透過資安艦隊採購
裡面有台60c wifi

公司有台100A
4.0實在很不會用
還是3.0比較上手

vxr

400分

樓主

vxr

個人積分：400分

文章編號：38329318

4.0可以幫助您學習狂用CLI...
讓你對CLI的command大副增強記憶力...

hikaruu

63分

4樓

hikaruu

個人積分：63分

文章編號：38340064

難得在M01看到這麼專業的文章

1. 這款不支援LACP, 不能聚合PHY...

LACP的市場在NAS/SAS等要高速的,這種沒有應該都很合理,LACP一上來,IC會太難設計,也沒必要

2. 這款不支援Jumbo Frame

Jumbo frame 相容性太差了,真要高速IO其實要考慮1G/10G/LACP

這比較適合讓end-user高興的功能 , 實際上也很多廠商拿這當key function,

但在enterprise這不開還比較合適

11. IPSec/SSL VPN能透過CP0/NPU提供ASIC硬線加速設計(*這是非常有效的)...

這應是價值所在, 只要IPSEC SSL可以跑到Cht的100M/100M, 對企業的site-to-site VPN 佈置很有吸引力

ming2892

19分

5樓

ming2892

個人積分：19分

文章編號：38341140

對了中華電信的資安艦隊目前似乎是改提供ver2的80C
但目前網站資料都是舊版的我有和資安艦隊的產品經理連絡過是否會改用新版
得到的答案是確定的
新版的80C校能很強....
我正在考慮弄一台來測(搭配100M雙向)

60C的方案,便宜到翻掉
有機會弄到的一定要拿到阿

vxr

400分

樓主

vxr

個人積分：400分

文章編號：38345238

hikaruu wrote:
難得在M01看到這麼...(恕刪)

**1跟2的問題僅僅只是產品市場區隔的差異, 並不是不做...
9K MTU起碼要80C以上機種才有(80C只有WAN port才支持)..

**這款的IPSec VPN只能到70M...
這是屬於基本款的..
但是重點是FortiASIC的效益..
如果需要更高速要80C以上的CP6才有(for VPN)...

vxr

400分

樓主

vxr

個人積分：400分

文章編號：38345261

ming2892 wrote:
對了中華電信的資安...(恕刪)

論純防火牆性能..
80C不會比60C強...
它的結構就是CP6+CPU...
CP6並不能做封包加速...
起碼要找具備NPU的機種...
例如200B...

for 80C, 如果要利用其他的加值服務..
例如UTM..
跟60C一樣都必須要透過CLI進行微調才能提供有效的性能保證...

vxr

400分

樓主

vxr

個人積分：400分

文章編號：38423053

well...
traffic shapping要丟到FortiASIC做加速(fast path)..
有其限制..
這包括了優先權管制(for DCSP)...

一般的QoS Traffic Shaper(policy-based)無法透過FortiASIC加速..
他只能經過CPU收掉...
ok...
FTP暴力測試, 經過CPU最大傳輸率 20~30MBytes之間(CPU還會滿載)..
如果改用FortiASIC進行加速則可以達到70~90MBytes之間(CPU不會滿載, 這個優勢可以維持在20~30%左右)..
這個ARM-based CPU真的是弱的可以...

ming2892

19分

9樓

ming2892

個人積分：19分

文章編號：38471413

因為晚點我這邊會有要上線調整
80C舊版 80C新版 60C
還在想說要怎麼做最佳化的調整
60C在firewall的部分看spec很強
但在UTM的部分就又輸一大截了

除了以上機種之外我這邊還有200A,60B,50B

200A那台最不知道要怎麼處理
續約太貴,但單純拿來當firewall嗎?

vxr

400分

樓主

vxr

個人積分：400分

文章編號：38478258

ming2892 wrote:
因為晚點我這邊會有要...(恕刪)

80C和60C由於這類機種..
算是不上不下..
因此要透過CLI做調整(Web-based無法做重點調整)..
80C如果開UTM, 我建議要在CLI這邊下點功夫...
官方的KB文件可以參考...

60C就只有做純防火牆的份...
開UTM, 別說CPU(CPU占用其實還算可以...)
記憶體很快就吃爆...Orz..

60C的調整最主要在於要想辦法節省記憶體資源...
否則按照預設值, 都是吃很兇...
其次就是任何封包處理一定設法丟給ASIC加速..
當操作CPU引發slow path, 悲劇的情況就是網路效能急遽下降...
連console都進不去, 慢到極點...

200A骨董還是拿來當純防火牆就好=3=...

FortiWiFi 60C的Wireless部分可以用一種爛招讓VAP送出來的封包丟去ASIC引發fast path..
就是拿性能較好的機種, 例如80C...
80C沒有NPU, 雖然CPU不怎麼樣但是起碼能做的事比60C弱弱的ARM-based CPU強多了...
透過CLI將wireless從AC轉為WTP成為managed device讓上層的fortigate進行管理...
(AC相關的探測操作會被移轉..)

一種特殊的怪作法:
80C(NAT)<=(WAN 2, GbE)=>60C(NAT)<=>VTU-R<<==>>Internet
在由80C進行相關的操作處理, 此外可以額外做其他的處理, 例如QoS traffic shaper, UTM等..
從這邊把它做掉...
最後透過80C從WAN(PHY)出來的封包便可丟到60C做ASIC加速...Orz...
因為VAP的操作是由80C做掉..

[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning...

小惡魔新聞台

小惡魔廣編特輯

[UPGRADED: 201407300634] FortiGate NPU&FortiOS v5.0.x Learning...

小惡魔新聞台

小惡魔廣編特輯

今日熱門文章 網友點擊推薦！

今日熱門文章　網友點擊推薦！