防火墙(pfSense)如何根据规则检查数据包
防火墙(pfSense)如何根据规则检查数据包
提问于 2020-06-03 21:01:43
对于数据包规则测试，遗留的基于5元组的技术采用基于决策树、分解或硬件(通常是TCAM)的方法。pfSense防火墙使用什么特定技术来以最小的硬件需求根据规则测试数据包。由于规则通常由IPv4的5个元组定义，防火墙必须将每个传入的数据包和传输头字段与存储的规则集匹配。防火墙如何决定哪个规则与传入数据包匹配，或者阻止或保持线路速率？
回答 2
Network Engineering用户
回答已采纳
发布于 2020-12-20 08:26:03
pfSense是一个开放源码的软件防火墙，所以他们如何做到这一点，最明显的答案就是“看看源代码”。无论如何，编程技术在这里都是不讨论的。
作为一个软件防火墙，pfSense不需要像ASIC或TCAM这样的特殊硬件。它可以使用NIC提供的卸载功能，但仅此而已。所以这都是关于代码效率的。
基于硬件的防火墙可以大量使用TCAM，从而实现非常高效的表查找.ASICs可以进一步加速更复杂的处理。
考虑到一个好的CPU的速度，基于软件的方法可以提供出色的吞吐量和总体性能，但是基于硬件的防火墙可能仍然有更好的延迟。
Network Engineering用户
发布于 2020-12-20 06:55:45
如果数据包源ip地址、目标ip地址、服务端口、应用程序id与防火墙中的策略匹配，并进一步检查路由入口。如果它与防火墙配置包相匹配，则允许防火墙向外到内网络和内到外网络。
如果上述参数不匹配，那么防火墙将简单地删除带有引用的数据包，以清除规则。
页面原文内容由Network Engineering提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接：
https://networkengineering.stackexchange.com/questions/68262
复制相关文章
相似问题
腾讯云开发者
