CN102148727A

CN102148727A - 网络设备性能测试方法及系统

Info

Publication number: CN102148727A
Application number: CN2011101016499A
Authority: CN
Inventors: 何佳杰; 陈佑建
Original assignee: Beijing Star Net Ruijie Networks Co Ltd
Current assignee: Beijing Star Net Ruijie Networks Co Ltd
Priority date: 2011-04-22
Filing date: 2011-04-22
Publication date: 2011-08-10
Anticipated expiration: 2031-04-22
Also published as: CN102148727B

Abstract

本发明提供一种网络设备性能测试方法及系统，包括：将待测网络设备的两个端口分别作为输入端和输出端连接至测试设备，将待测网络设备的其他两个端口连接至辅测设备；根据待测网络设备的最大传输层性能指标和测试设备支持的最大传输层性能指标，为待测网络设备及辅测设备所使用的各端口创建逻辑接口；根据逻辑接口，设置测试数据在待测网络设备和辅测设备的传递路径；在待测网络设备中配置会话识别信息，会话识别信息用于区分通过待测网络设备上设置的不同逻辑接口从外部接收测试数据的会话；所述测试设备通过所述输入端向所述待测网络设备输入测试数据，并检测所述输出端的输出是否正常，以确定待测网络设备的性能是否正常。

Description

网络设备性能测试方法及系统

技术领域

本发明涉及网络通信技术，尤其涉及一种网络设备性能测试方法及系统。

背景技术

随着网络规模的扩大及性能、功能的不断扩展，网络设备的传输层性能对于网络的正常运转起到极为重要的作用。

传输层性能测试指的是测试与防火墙状态相关的性能和扩展性，主要包括并发TCP连接数(Concurrent TCP Connection Capacity)和最大TCP连接建立速率(Maximum TCP Connection Establishment Rate)两项指标的测试。其中，并发TCP连接数是指穿过被测设备的主机之间或主机与被测设备之间能够同时建立的最大连接数，可以反映防火墙对多个连接的访问控制能力和连接状态跟踪能力。并发TCP连接数测试的是状态检测表中能维护处于连接建立状态的最大连接个数，是对被测设备状态检测表容量的测试。最大TCP连接建立速率是指在被测设备能够成功建立所有请求连接的条件下所能承受的最大TCP连接建立速率，体现了防火墙更新状态表的最大速率，可以反映被测防火墙对于连接请求的实时反应能力。最大TCP连接建立速率测试的是设备每秒能处理的最大连接数。

图1为现有技术防火墙传输层性能的测试模型示意图。如图1所示，目前对防火墙传输层性能的测试模型是将两个测试设备的端口对应连接至被测防火墙的端口，由其中一个测试设备向被测防火墙发送测试数据(客户端)，并由另一测试设备检测相对应端口的输出是否正常(服务端)，若正常，则确定被测防火墙的传输性能正常。测试设备所支持最大TCP连接建立速率跟测试设备本身的性能有关，通常一对千兆口的测试设备的端口能支持的最大TCP连接速率只有万连接数每秒的数量级，而主流的千兆防火墙设备的最大TCP连接建立速率一般10万连接数每秒数量级。所以当采用这种测试方法时，例如要测试最大TCP连接建立速率为30万连接数每秒的防火墙的传输层性能是否正常，所采用的测试设备所支持的最大TCP连接建立速率为2万连接数每秒，则需要有30个千兆测试设备端口，同时需要30个被测防火墙的端口。如图1中所示，测试设备的多个端口Port1到Port 15作为连接的客户端，端口Port16到Port 30作为连接的服务端，该30个端口分别与被测设备的物理端口Port1到Port 30相连接。

可以看出，当采用上述测试方法时，一方面，由于需使用大量的测试设备端口，增加了成本；另一方面，由于还需使用大量的被测设备的端口，而由于很多被测设备未配置足够的端口，导致无法有效测试其传输层性能。

发明内容

针对上述缺陷，本发明提供一种网络设备性能测试方法及系统，用以实现利用很少的物理端口对高性能的网络设备进行有效的传输层性能检测。

本发明提供一种网络设备性能测试方法，包括：

步骤S1，将待测网络设备的两个端口分别作为输入端和输出端连接至测试设备，将所述待测网络设备的其他两个端口连接至辅测设备；

步骤S2，根据所述待测网络设备的最大传输层性能指标和所述测试设备支持的最大传输层性能指标，为所述待测网络设备及所述辅测设备所使用的各端口创建逻辑接口；

步骤S3，根据所述逻辑接口，设置测试数据在所述待测网络设备和所述辅测设备的传递路径；

步骤S4，在所述待测网络设备中配置会话识别信息，所述会话识别信息用于区分通过所述待测网络设备上设置的不同逻辑接口从外部接收所述测试数据的会话；

步骤S5，所述测试设备通过所述输入端向所述待测网络设备输入所述测试数据，并检测所述输出端的输出是否正常，以确定所述待测网络设备的性能是否正常。

根据本发明的另一方面，还提供一种网络设备性能测试系统，包括待测网络设备、测试设备和辅测设备，其中：

所述待测网络设备的两个端口分别作为输入端和输出端连接至测试设备，所述待测网络设备的其他两个端口连接至辅测设备；

所述待测网络设备及所述辅测设备所使用的各端口上创建有根据所述待测网络设备的最大传输层性能指标和所述测试设备支持的最大传输层性能创建的逻辑接口；

所述待测网络设备与所述辅测设备中设置有根据所述逻辑接口设置的测试数据的传递路径；

所述待测网络设备中配置有会话识别信息，所述会话识别信息用于区分通过所述待测网络设备上设置的不同逻辑接口从外部接收所述测试数据的会话；

所述测试设备通过所述输入端向所述待测网络设备输入所述测试数据，并检测所述输出端的输出是否正常，以确定所述待测网络设备的性能是否正常。

根据上述实施例的网络设备性能测试方法及系统，由于在待测网络设备与辅测设备连接的物理端口上分别设置了多个逻辑端口，并根据该多个逻辑端口设备测试数据的传递路径，以使得测试设备发送的一个测试数据可多次由外部输入待测网络设备。从而实现了利用很少的物理端口对高性能的网络设备进行有效的传输层性能检测。

附图说明

图1为现有技术防火墙传输层性能的测试模型示意图。

图2为本发明网络设备性能测试方法的流程图。

图3为待测网络设备与测试设备、辅测设备的物理连接示意图。

图4为报文在由两个封装不同VLAN tag的逻辑接口构成的桥组中传递的示意图。

图5为执行本发明网络设备性能测试方法的示例。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图，对本发明的技术方案进行清楚、完整地描述。

图2为本发明网络设备性能测试方法的流程图。如图2所示，该网络设备性能测试方法包括以下步骤：

具体地，图3为待测网络设备与测试设备、辅测设备的物理连接示意图。如图3所示，需利用待测网络设备的四个端口、测试设备两个端口和辅测设备两个端口。

具体地，例如为图3中所示的待测网络设备的四个端口Port3～Port6创建逻辑接口，并为辅测设备的两个端口Port7和Port8创建逻辑接口。当为利用较少的物理端口实现对于高性能的测量时，所创建的逻辑接口的数量应大于实际占用的物理端口的数量，并且所需创建的逻辑接口的数量应根据待测网络设备的最大传输层性能指标和所述测试设备支持的最大传输层性能指标来确定。

优选地，按照以下方式创建逻辑接口：步骤S21，为待测网络设备与所述测试设备连接的各端口分别创建一个逻辑接口；步骤S22，为所述待测网络设备和所述辅测设备上用于实现两者连接的各端口分别创建多个逻辑接口，所述逻辑接口的数量为：(待测网络设备的最大传输层性能指标/测试设备支持的最大传输层性能指标)-1。

在图3所示的物理拓扑中，在待测网络设备的作为输入端、输出端的两个端口Port3和Port6上各创建一个逻辑端口，分别为Port3.1和Port6.1；假设待测网络设备的最大传输层性能指标为测试设备支持的最大传输层性能指标的3倍，则此时应在待测网络设备的端口Port4和Port5上分别创建两个逻辑接口，分别为Port4.1、Port4.2、Port5.1和Port5.2。相应地，在辅测设备的两个端口Port7和Port8上创建Port7.1、Port7.2、Port8.1和Port8.2。

具体地，在上述步骤S2中创建的多个逻辑端口均为测试数据的传送端，通过对各逻辑端口进行相应的配置，可在待测网络设备和辅测设备之间及两者内部设定测试数据的传递路径，以使得当测试设备通过作为输入端的端口Port1向待测网络设置发送测试数据时，该测试数据能够按照预定的传递路径在待测网络设备和辅测设备之间传递。

例如在如图3所示的示例中，所设置的测试数据在各逻辑端口之间的传递路径为：

“Port3.1→Port4.1→Port7.1→Port8.1→Port5.2→Port4.2→Port7.2→Port8.2→Port5.1→Port6.1”。

具体地，在图3所示的物理拓扑中，当测试数据按照在步骤S3中所设定的传递路径传递时，分别通过三个不同的逻辑接口从外部(即测试设备和辅测设备)流入待测网络设备，该三个逻辑接口分别为：Port3.1，Port5.1和Port5.2。通过将测试数据通过该三个逻辑接口流入的会话相区分，相当于有三路测试数据流入该待测网络设备，所以相当于所输入的测试数据的流量为实际测试数据流量的三倍。更为具体地，可通过多种方式来区分通过所述待测网络设备上设置的不同逻辑接口从外部接收所述测试数据的会话，例如根据所述传递路径在所述待测网络设备中建立多个虚拟防火墙，或在待测网络设备上配置的状态检测表中增加入接口信息项，以使待测网络设备可区分入接口不同的会话。

其中，状态检测表通常配置在状态检测防火墙中。状态检测防火墙通过该状态检测表实现了比包过滤更为有效的安全控制方法，即：对新建的应用连接，根据状态检测表中的检测信息项和预先设置的安全规则检测一个数据包是否包括在状态检测表中，如果不在，则使用规则库对该数据包进行检查，如果规则库通过了这个数据包，则将该次会话添加到在状态检测表中，则后续相应的包会和状态检测表比较而被通过。现有的状态检测表中的连接一般是以五元素(源IP地址、目的IP地址、协议号、源端口号、目的端口号)来区分会话。由于在上述实施例的网络设备性能测试方法中，通过Port5.1和Port5.2从外部接收测试数据的会话的上述五元素均相同，所以无法将其区分。因此，可通过在状态检测表中增加入接口信息项来加以区分，即：Port5.1所对应的会话的入接口为Port5.1，Port5.2所对应的会话的入接口为Port5.2。

具体地，若输出端的输出正常，则获知待测网络设备的性能正常；反之，可获知待测网络设备的性能不正常。

根据上述实施例的网络设备性能测试方法，由于在待测网络设备与辅测设备连接的物理端口上分别设置了多个逻辑端口，并根据该多个逻辑端口设备测试数据的传递路径，以使得测试设备发送的一个测试数据可多次由外部输入待测网络设备。从而实现了利用很少的物理端口对高性能的网络设备进行有效的传输层性能检测。

进一步地，在上述实施例的网络设备性能测试方法中，步骤S3包括：

分别为所述待测网络设备和所述辅测设备上创建的各逻辑接口封装虚拟局域网标签(VLAN tag)；

将所述待测网络设备中，所述VLAN tag相同的逻辑接口划入同一桥组；

将所述辅测设备中，所述VLAN tag不同的逻辑接口划入同一桥组。

具体地，防火墙在透明模式下工作时，可以通过配置将两个封装相同VLAN tag或者不同VLAN tag的逻辑接口桥接在一起，形成一个桥组，报文只在这个桥组中透传，不会传到其他桥组。所以通过将逻辑接口划分为不同的桥组，可实现对于测试数据的传递路径的设置。并且，当将两个封装不同VLAN tag的逻辑接口桥组在一起时，在转发过程中，从一个接口接收的带本接口封装的VLAN tag的报文，在转发出去的时该VLAN tag会被修改为出接口封装的VLAN tag。图4为报文在由两个封装不同VLAN tag的逻辑接口构成的桥组中传递的示意图。如图4所示，Tag＝1指的是以太网帧上带有VLANID等于1的报文，该报文可以被封装了VLAN1的逻辑端口Port1.1进行接收并转发到同一个桥组的逻辑端口Port2.1，Port2.1封装的VLAN ID为2，于是将tag＝1的报文修改为tag＝2转发出去。

对逻辑接口封装VLAN需遵从以下原则，即：同一个物理端口的不同逻辑接口不能封装相同VLAN；不同物理端口的逻辑接口可封装相同VLAN。在图3所示的物理拓扑中，遵从上述原则对逻辑接口进行封装时，可采取以下封装方案：Port3.1和Port4.1封装VLAN1，加入桥组1；Port5.2和Port4.2封装VLAN2，加入桥组2；Port5.1和Port6.1封装VLAN3，加入桥组3；Port7.1封装VLAN1，Port8.1封装VLAN2，Port7.1和Port8.1加入同一桥组；Port7.2封装VLAN2，Port8.2封装VLAN3，Port7.2和Port8.2加入同一桥组。至此，设置了传递路径“Port3.1→Port4.1→Port7.1→Port8.1→Port5.2→Port4.2→Port7.2→Port8.2→Port5.1→Port6.1”。

进一步地，在上述实施例的网络设备性能测试方法中，步骤S4包括：

根据所述传递路径在所述待测网络设备中建立多个虚拟防火墙。

具体地，可在待测网络设备中，对应于多个桥组分别设置多个虚拟防火墙。测试设备的两个端口Port1(作为客户端)和Port2(作为服务端)之间建立一个TCP连接，并向待测网络设备发送测试数据(TCP连接报文)时，该TCP连接经过Port3.1、Port5.1和Port5.2各一次，由于这三个逻辑接口分别属于三个不同的虚拟防火墙，且这三个虚拟防火墙都能接收到TCP连接报文，所以就会在各自的虚拟防火墙状态检测表中创建该连接。因此，测试设备的客户端与服务端创建一个TCP连接，实际上分别在Port3.1、Port5.1和Port5.2所在的三个虚拟防火墙上各创建一个TCP连接。所以通过此方式能测试出测试设备所支持的最大TCP连接建立速率的三倍的指标。

图5为执行本发明网络设备性能测试方法的示例。如图5所示，假设要测试的网络设备的最大TCP连接建立速率为10万连接数每秒，测试设备为所支持的最大TCP连接建立速率为2万连接数每秒，所以需在待测网络设备的端口Port4和Port5以及辅测设备的端口Port7和Port8上分别创建四个逻辑端口，即：Port4.1-Port4.4，Port5.1-Port5.4，Port7.1-Port7.4，Port8.1-Port8.4。

在创建上述逻辑接口后，还应确保在Port3上所创建的逻辑接口在测试过程中的最大流量总和不能超过该物理端口的带宽。如果未超过，则继续执行后续步骤；若超过了，则需将待测网络设备与辅测设备的另外一对端口相连接，以用于设置传递路径。

由于待测网络设备的物理端口Port4是千兆端口(最大TCP连接建立速率为10万连接数每秒的网络设备的端口通常为千兆端口)，所以在Port3上所创建的逻辑接口在测试过程中的最大流量总和不能超过1Gbps。为确保在Port3上所创建的逻辑接口在测试过程中的最大流量总和不能超过1Gbps，可预先对流经Port3的流量进行计算。更为具体地，可采取以下方式：

在两个阶段有流量流经Port3，一个阶段是建立连接时所产生的流量，另一阶段是拆除连接时所产生的流量。通常地，客户端完成一个连接的建立需要发送2个TCP数据包，拆除一个连接需要2个TCP数据包；服务端完成一个连接的建立需要发送1个TCP数据包，拆除一个连接需要2个TCP数据包。因此，客户端完成一次连接的建立和拆除总共需要发送4个数据包，服务端需要发送3个数据包(上述计算的发送数据包的数量是以通过三次所致建立连接、且通过四次握手拆除连接为例进行说明；并且，若要测试并发TCP连接，则不需要测试设备发送TCP拆除连接的报文，所以在上个分析过程中，无需考虑拆除连接过程中发送的数据包)。则可计算获知完成一个连接的建立和拆除时，测试设备端口需要发送的最大流量为：4*(64+12+8)*8＝2688bps。其中，4为客户端和服务端完成一个连接发送的报文数的最大值；64为发送的TCP报文的大小，单位为字节；12为帧间隙，单位为字节；8为前导符，单位为字节。因此，在达到2万连接数每秒时，测试设备送的最大流量为：2688bps*20000＝53.76Mbps。该测试设备端口发送的最大流量也就是Port3上创建的一个逻辑接口接收或者发送的最大流量，由于Port3上共创建的四个逻辑接口，所以可计算出Port3的最大流量总和为：4*53.76Mbps＝215.04Mbps，其小于1Gbps，所以可按照上述端口划分方法将端口划分为4个逻辑接口。

对待测网络设备配置桥组和虚拟防火墙，具体配置如下：

Port3.1与Port4.1封装VLAN 1，划入桥组1，加入虚拟防火墙fw1，接收和转发VLAN tag为1的报文。

Port6.1与Port5.1封装VLAN 5，划入桥组5，加入虚拟防火墙fw5，接收和转发VLAN tag为5的报文。

Port4.2与Port5.2封装VLAN 2，划入桥组2，加入虚拟防火墙fw2，接收和转发VLAN tag为2的报文。

Port4.3与Port5.3封装VLAN 3，划入桥组3，加入虚拟防火墙fw3，接收和转发VLAN tag为3的报文。

Port4.4与Port5.4封装VLAN 4，划入桥组4，加入虚拟防火墙fw4，接收和转发VLAN tag为4的报文。

对辅测设备配置桥组和虚拟防火墙，具体配置如下：

Port7.1封装VLAN1，Port8.1封装VLAN2，划入桥组1，加入虚拟防火墙fw1，从Port7.1接收VLAN tag为1的报文，转换为VLAN tag为2的报文从Port8.1转发出去。

Port7.2封装VLAN2，Port8.2封装VLAN3，划入桥组2，加入虚拟防火墙fw2，从Port7.2接收VLAN tag为2的报文，转换为VLAN tag为3的报文从Port8.2转发出去。

Port7.3封装VLAN3，Port8.3封装VLAN4，划入桥组3，加入虚拟防火墙fw3，从Port7.3接收VLAN tag为3的报文，转换为VLAN tag为4的报文从Port8.3转发出去。

Port7.4封装VLAN4，Port8.4封装VLAN5，划入桥组4，加入虚拟防火墙fw4，从Port7.4接收VLAN tag为4的报文，转换为VLAN tag为5的报文从Port8.4转发出去。

通过上述配置，测试数据分别从Port3.1、Port5.1、Port5.2、Port5.3和Port5.4流入待测网络设备，所以当测试设备的客户端与服务端创建一个TCP连接时，该待测网络设备内需创建五个TCP连接，即实现了对于最高传输层性能为测试设备可支持的最高传输层性能的五倍的网络设备的测试。

本发明还提供一种网络设备性能测试系统，包括待测网络设备、测试设备和辅测设备，其中：

上述实施例的网络设备性能测试系统对网络设备性能测试的流程与上述实施例的网络设备性能测试方法相同，故此处不再赘述。

根据上述实施例的网络设备性能测试系统，由于在待测网络设备与辅测设备连接的物理端口上分别设置了多个逻辑端口，并根据该多个逻辑端口设备测试数据的传递路径，以使得测试设备发送的一个测试数据可多次由外部输入待测网络设备。从而实现了利用很少的物理端口对高性能的网络设备进行有效的传输层性能检测。

进一步地，在上述实施例的网络设备性能测试系统中，所述待测网络设备与所述测试设备连接的各端口分别创建有一个逻辑接口；所述待测网络设备和所述辅测设备上用于实现两者连接的各端口分别创建有多个逻辑接口，所述逻辑接口的数量为：(待测网络设备的最大传输层性能指标/测试设备支持的最大传输层性能指标)-1。

进一步地，在上述实施例的网络设备性能测试系统中，所述待测网络设备和所述辅测设备上创建的各逻辑接口封装有虚拟局域网标签VLANtag；所述待测网络设备中，所述VLAN tag相同的逻辑接口被划入同一桥组；所述辅测设备中，所述VLAN tag不同的逻辑接口被划入同一桥组。

进一步地，在上述实施例的网络设备性能测试系统中，所述待测网络设备上配置的状态检测表中增加有入接口信息项，以使所述待测网络设备可区分入接口不同的会话，或者待测网络设备中建立有根据所述传递路径建立的多个虚拟防火墙。

进一步地，在上述实施例的网络设备性能测试系统中，所创建的对应于同一端口的逻辑接口在测试过程中的最大流量总和不超过所述端口的带宽，若超过，则需增加所述待测网络设备与所述辅测设备连接的端口。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims

1.一种网络设备性能测试方法，其特征在于，包括：

2.根据权利要求1所述的网络设备性能测试方法，其特征在于，所述步骤S2包括：

步骤S21，为所述待测网络设备与所述测试设备连接的各端口分别创建一个逻辑接口；

步骤S22，为所述待测网络设备和所述辅测设备上用于实现两者连接的各端口分别创建多个逻辑接口，所述逻辑接口的数量为：(待测网络设备的最大传输层性能指标/测试设备支持的最大传输层性能指标)-1。

3.根据权利要求1或2所述的网络设备性能测试方法，其特征在于，所述步骤S3包括：

分别为所述待测网络设备和所述辅测设备上创建的各逻辑接口封装虚拟局域网标签VLAN tag；

4.根据权利要求1或2所述的网络设备性能测试方法，其特征在于，所述步骤S4包括：

在所述待测网络设备上配置的状态检测表中增加入接口信息项，以使所述待测网络设备可区分入接口不同的会话，或者根据所述传递路径在所述待测网络设备中建立多个虚拟防火墙。

5.根据权利要求1或2所述的网络设备性能测试方法，其特征在于，所述步骤S2之后、所述步骤S3之前还包括：

检测所创建的对应于同一端口的逻辑接口在测试过程中的最大流量总和是否不超过所述端口的带宽；若否，则增加所述待测网络设备与所述辅测设备连接的端口。

6.一种网络设备性能测试系统，其特征在于，包括待测网络设备、测试设备和辅测设备，其中：

7.根据权利要求6所述的网络设备性能测试系统，其特征在于，所述待测网络设备与所述测试设备连接的各端口分别创建有一个逻辑接口；所述待测网络设备和所述辅测设备上用于实现两者连接的各端口分别创建有多个逻辑接口，所述逻辑接口的数量为：(待测网络设备的最大传输层性能指标/测试设备支持的最大传输层性能指标)-1。

8.根据权利要求6或7所述的网络设备性能测试系统，其特征在于，所述待测网络设备和所述辅测设备上创建的各逻辑接口封装有虚拟局域网标签VLAN tag；所述待测网络设备中，所述VLAN tag相同的逻辑接口被划入同一桥组；所述辅测设备中，所述VLAN tag不同的逻辑接口被划入同一桥组。

9.根据权利要求6或7所述的网络设备性能测试系统，其特征在于，所述待测网络设备上配置的状态检测表中增加有入接口信息项，以使所述待测网络设备可区分入接口不同的会话，或者所述待测网络设备中建立有根据所述传递路径建立的多个虚拟防火墙。

10.根据权利要求6或7所述的网络设备性能测试系统，其特征在于，所创建的对应于同一端口的逻辑接口在测试过程中的最大流量总和不超过所述端口的带宽，若超过，则增加所述待测网络设备与所述辅测设备连接的端口。