防火墙开发硬件选型

    网络设备最经常用到的，也是最重要的一个安全设备就是防火墙了。作为一款IT设备，无非两种选择方式。一种是购买品牌防火墙成品，另一种是自己DIY防火墙。两种方式各有自己的优劣，购买品牌防火墙最大的问题莫过于是投入较多的资金，却可以得到更多的后期维护。而自己 DIY防火墙的最大弊端就在于需要一个专业的人员来定制，还要投入更多的精力做后期的维护。

    作为一个热血IT青年，自己DIY一个防火墙设备，不仅仅能够带来投入的节省，最重要的是你可以在这个过程中，得到许多一个电话CALL来的售后服务那里，所学到的到东西要多得多。DIY一个防火墙设备，最最重要的是要认清硬件架构和软件架构的特点，以及最适合于那种搭配。

    基于通用CPU的X86架构的安全网关，一般采用Intel或AMD公司的芯片，X86在架构系统时还需要北桥和南桥芯片，采用该种硬件架构，软硬件配套资源比较多，便于快速推出产品，企业投资少，最初的防火墙大都是基于X86架构。X86架构采用通用CPU和PCI总线接口，具有很高的灵活性和可扩展性，过去一直是防火墙开发的主要平台。其产品功能主要由软件实现，可以根据用户的实际需要而做相应调整，增加或减少功能模块，产品比较灵活，功能十分丰富。

　　但其性能发展却受到体系结构的制约，作为通用的计算平台，x86的结构层次较多，不易优化，且往往会受到PCI总线的带宽限制。虽然PCI总线接口理论上能达到接近2Gbps的吞吐量，但是通用CPU的处理能力有限，尽管防火墙软件部分可以尽可能地优化，很难达到千兆速率。同时很多X86架构的防火墙是基于定制的通用操作系统，安全性很大程度上取决于通用操作系统自身的安全性，可能会存在安全漏洞。

　　从总线速度来看，基于32位PCI总线的X86平台，也就是我们所说的基于传统X86架构的防火墙，做为百兆防火墙的方案是没有任何问题的。但X86平台的防火墙方案，数据从网卡到CPU之间的传输机制是靠“中断”来实现的，中断机制导致在有大量数据包的需要处理的情况下（如：64 Bytes的小包，以下简称小包），X86平