Fortinet 社製 UTM アプライアンス ベンチマークテストレポート DUT(テスト対象装置: Device Under Test) Fortinet 社製 FortiGate-300D 2015/05/18 SEC-00010 2015/05/18 SEC-00010 目次 ■ベンチマークテストの内容.................................................................................. 3 ■DUT(テスト対象装置: Device Under Test) ........................................................ 3 ■本資料作成のために用いた測定器 ...................................................................... 3 ■テストの概要............................................................................................... 3 ■使用ポート................................................................................................. 3 ■テストトラフィックについて................................................................................... 4 ■ベンチマークテスト項目と説明 ............................................................................ 4 ■本資料での用語の定義 .................................................................................. 5 ■本資料でのテストに関する諸元 .......................................................................... 6 1．テスト時の FortiGate-300D および Avalanche C100 の構成（基本の物理構成） ....... 6 2．テスト時の FortiGate-300D および Avalanche C100 の構成（論理構成） ............... 7 3．テスト時の FortiGate-300D のコンフィグレーション ................................................ 8 4．その他の Avalanche C100 の設定 ............................................................... 9 ■テスト結果 ................................................................................................. 9 1．DUT のコンフィグレーションごとの HTTP のスループット ............................................. 9 2．HTTP と HTTPS の比較 ............................................................................ 9 ■ベンチマークテスト機材 .................................................................................. 10 ■リファレンス ............................................................................................... 10 ■テスト対象装置 ......................................................................................... 10 ■FortiGate-300D OS 設定 ......................................................................... 11 PAGE 2 OF 11 Copyright (C) @benchmark 2015/05/18 SEC-00010 中規模エンタープライズ向け UTM アプライアンス・ベンチマークテストレポート ■ベンチマークテストの内容 測定器に設定する MSS（最大長：Maximum Segment Size）を変化させ、それぞれのテスト対 象機器の最大スループット測定を DUT のコンフィグレーションごとに行った。 ■DUT(テスト対象装置: Device Under Test) ・Fortinet 社製 FortiGate-300D ・製品 URL: http://www.fortinet.co.jp/doc/FGT300D-500DDS.pdf ・FortiOS v5.2.3(build670) ■本資料作成のために用いた測定器 ・Spirent Communications 社製 Spirent Avalanche C100(Version 4.46) ■テストの概要 測定器上に構成した疑似クライアントおよび疑似サーバにより生成するアプリケーショントラフィック （HTTP および HTTPS）をテスト対象機器に印加し、最大となるスループットの測定を行った。測定器 に設定する MSS は 64Bytes、128Bytes、1460Bytes とした。また、DUT のコンフィグレーションは、 以下の 6 種類でテストを行った。 ・ファイアウォールのみ有効 ・アンチウィルス(平文)のみ有効 ・アンチウィルス(平文+SSL)のみ有効 ・IPS のみ有効 ・アンチウィルス(平文)+IPS が有効 ・アンチウィルス(平文)+IPS+ウェブフィルタ+アプリケーション制御が有効 ■使用ポート クライアント群 ：1000BASE-T(2 ポート) サーバ群 ：1000BASE-T(2 ポート) PAGE 3 OF 11 Copyright (C) @benchmark 2015/05/18 SEC-00010 ■テストトラフィックについて 疑似クライアントに接続されているポートをクライアント群ネットワーク、疑似 Web サーバに接続されている ポートをサーバ群のネットワークとして使用する。各アプリケーションの TCP コネクションはクライアント群ネット ワーク上の擬似クライアントから開始する。サーバからの応答は、HTTP のボディサイズを 100kBytes 固 定とした。また、 Avalanche（疑似クライアント、疑似サーバ）では、コネクション確立時に MSS を 64Bytes / 128Bytes / 1460Bytes と変更することで、受信するパケットあたりの TCP 上のデータ量 を調整することでテストを実施した。なお、DUT のコンフィグレーションによっては Avalanche と DUT の間 で TCP コネクションがセットアップされるので、 DUT の MSS が 1460 バイトであるために Avalanche の MSS の設定値にかかわらず、Avalanche が DUT に送信するトラフィックは MSS が 1460 バイトとなっ た。 Avalanche（疑似クライアント、疑似サーバ）による負荷量の設定は、まず DUT を挟み込んだ測定を 行う前に、試験構成から決まる最大の帯域（2Gbps）を上限として、MSS が 64Bytes / 128Bytes / 1460Bytes の各ケースで最大となる負荷量を机上計算する。次に DUT を挟み込んだテストをこの値 を上限として段階的に増加する負荷を印加しておこない、大雑把な上限値を先に調べた。続いて、その 上限値付近からスタートして 30 秒毎に徐々に負荷を増加させるテストを行い、通信エラーや負荷がさば ききれなくなってコネクションが連続的に増大する直前の負荷量を見つけた。この時の平均スループットを 測定値として採用した。 ■ベンチマークテスト項目と説明 アプリケーションスループット性能 HTTP および HTTPS について、プロトコルごとに測定器（Avalanche）のクライアントポートが受信する トラフィックを測定するスループットテストを行った。 また、MSS の違いにより全通信量に占める TCP ヘッダ等のオーバーヘッドの割合が相当変わる。そこで、 測定器（Avalanche)は、アプリケーションが受け取ることのできる単位時間当たりのデータを Goodput として測定できるので、併せてこの値も記録して本資料で用いた。 PAGE 4 OF 11 Copyright (C) @benchmark 2015/05/18 SEC-00010 ■本資料での用語の定義 【TCP】 TCP は OSI 参照モデルのトランスポート層にあたる。TCP では各コンピュータ上で実行されている、アプリ ケーション間での通信方法を規定している。 【MSS】 最大セグメント長（Maximum Segment Size）。TCP のコネクション確立の手順（3way ハンドシェ イク）時に、受信可能な最大セグメントサイズ、すなわち 1 パケットの TCP 上に載せることのできる最大の データ量を、通信を行う双方がそれぞれ相手に通知する。データ送信方向に対してそれぞれに設定される ので、双方向でまったく異なる値となることもある。 【SSL】 Secure Sockets Layer。TCP/IP ネットワークでデータを暗号化して送受信するプロトコル(通信手順) の一つであるが、本ドキュメント中では SSL≒HTTPS としている。 【IPS】 Intrusion Prevention System（侵入防止システム）。サーバやネットワークへの不正侵入を阻止す るツール、機能。 【スループット】 本資料中では、単位時間あたりに Avalanche のクライアントポートが受信したパケットの総オクテット数の 総和。TCP ヘッダ等のオーバーヘッドはスループットに含まれる。 【Goodput】 アプリケーションが受け取ることのできる単位時間当たりのデータ量。本資料中では、Avalanche のクライ アントポートが受信した単位時間当たりのアプリケーションデータの総和を測定値として使用している。 TCP ヘッダ等のオーバーヘッドや再送されて重複した TCP 上のデータは含まれない。 PAGE 5 OF 11 Copyright (C) @benchmark 2015/05/18 SEC-00010 ■本資料でのテストに関する諸元 1．テスト時の FortiGate-300D および Avalanche C100 の構成（基本の物理構成） 今回のテストで用いた測定器は、Spirent Communications 社製 Avalanche C100 である。図 に示すように 1000Base-T を 4 ポート用い、サーバ疑似用に 2 ポート、クライアント疑似用に 2 ポート 設定し、FortiGate-300D と接続した。FortiGate-300D のマネジメントポートには管理用の端末を 接続し、必要に応じて cpu の状態などを確認した。 なお、テスト結果（スループット等）の測定は、Avalanche のクライアントを疑似するポートで行った。 FortiGate-300Dマネジメントポート に端末を接続し、必要に応じて CPUなどの状態を確認した Mgmt Port2 FortiGate-300D Port4 Port1 Port3 クライアントを疑 似するポート 1Gbps×2 サーバを疑似 するポート 1Gbps×2 エ ミ ュ レートされた クライア ント エ ミ ュ レートされた サーバ Avalanche クライアント群 サーバ群 テスト時の FortiGate-300D および Avalanche C100 の構成 （基本の物理構成） PAGE 6 OF 11 Copyright (C) @benchmark 2015/05/18 SEC-00010 2．テスト時の FortiGate-300D および Avalanche C100 の構成（論理構成） 図に示すように、172.31.1.0/24 および 172.31.2.0/24 にそれぞれ 100 台のクライアントからな る 2 つのクライアントグループを Avalanche 上に構成する。172.31.1.0/24 に属するクライアントは FortiGate-300D の Port2 に、また 172.31.2.0/24 に属するクライアントは Port4 につながる。 サーバは、10.31.1.1 と 10.31.2.1 の 2 台を構成し、それぞれ FortiGate-300D の Port1 と Port3 に接続した。 FortiGate-300D を通過するトラフィックは、以下に示す 2 種類がある。 172.31.1.101～172.31.1.200 ←→ 10.31.1.1 172.31.2.101～172.31.2.200 ←→ 10.31.2.1 本資料中で記載される測定値は、上記の 2 種類のトラフィックの合算である。 Server Server 10.31.1.1 / 24 10.31.2.1 / 24 Port1 10.31.1.99 / 24 Port3 10.31.2.99 / 24 FortiGate-300D Port2 172.31.1.99 / 24 Port4 172.31.2.99 / 24 Client Client Client Client Client Client 172.31.1.101 ～ 172.31.1.200 172.31.2.101 ～ 172.31.2.200 Avalanche テスト時の FortiGate-300D および Avalanche C100 の構成 （論理構成） PAGE 7 OF 11 Copyright (C) @benchmark 2015/05/18 SEC-00010 3．テスト時の FortiGate-300D のコンフィグレーション FortiGate-300D に対して、以下に示す 6 種類のコンフィグレーションにて試験を実施した。 ファイアウォールのみ有効 アンチウィルス(平文)のみ有効 アンチウィルス(平文+SSL)のみ有効 IPS のみ有効 アンチウィルス(平文)+IPS が有効 アンチウィルス(平文)+IPS+ウェブフィルタ+アプリケーション制御が有効 上記の設定の内、「ファイアウォールのみ有効」と「IPS のみ有効」の時には、Fortigate-300D は TCP コネクションをパケット単位で通過させるように機能する。 対して、他のコンフィグレーションを適用したときには、FortiGate-300D はアプリケーション上の全 データをいったんすべて受信した後に所定の処理を行い、そののちクライアントに転送するという動 作になる。そのため、一組の通信に対して FortiGate-300D を挟んで 2 つの TCP コネクションが 存在することになる。 Client FortiGate -300D 3way ハンドシェイク Server FortiGate -300D Client Server 3way ハンドシェイク リクエスト リクエスト 3way ハンドシェイク リクエスト レスポンス レスポンス レスポンス RST 該当するコンフィグレーション ・ファイアウォール有効 ・ＩＰＳのみ有効 RST RST 該当するコンフィグレーション ・アンチウイルス（平文）のみ有効 ・アンチウイルス（平文＋SSL）のみ有効 ・アンチウイルス（平文）＋IPSが有効 ・アンチウイルス（平文）＋IPS＋ウェブフィルタ ＋アプリケーション制御が有効 コンフィグレーションによる FortiGate-300D の動作の違いのイメージ PAGE 8 OF 11 Copyright (C) @benchmark 2015/05/18 SEC-00010 4．その他の Avalanche C100 の設定 TCP パラメータ 本 資 料 の た め に 実 施 し た テ ス ト で は 、ク ラ イ アン ト 疑 似 お よび サ ー バ 疑 似 の い ず れ で も 、 Avalanche C100 の TCP に関連するパラメータは、以下の通りとした。 MSS 64Bytes / 128Bytes /1460Bytes Receive Window 32768Bytes ポートレンジ（クライア ントのみ） 1024-65535 再送タイムアウト初期値 300ミリ秒 最大再送回数 5回 HTTP / HTTPS のパラメータ 本資料のために実施したテストでは、HTTP / HTTPS に関連するパラメータは、以下の通りとし た。 HTTP / HTTPSのバージョン HTTP 1.1 ポート番号 HTTP ：80 HTTPS：443 サーバレスポンスのボディサイズ 100KBytes コネクションクローズ方式 クライアントからのReset HTTP / HTTPS のセキュリティ仕様 本資料を作成するために実施したテストでは、サーバ証明書のみ使用し HTTPS の通信を行った。 AES256-SHA1 である。 ■テスト結果 1．DUT のコンフィグレーションごとの HTTP のスループット 会員の皆さまは会員サイトでログイン後、テストレポートを全てご覧いただけます。 非会員の皆さまは会員申込み（有料）いただければ、本テストレポートの続きをご覧いただけます。 2．HTTP と HTTPS の比較 会員の皆さまは会員サイトでログイン後、テストレポートを全てご覧いただけます。 非会員の皆さまは会員申込み（有料）いただければ、本テストレポートの続きをご覧いただけます。 PAGE 9 OF 11 Copyright (C) @benchmark 2015/05/18 SEC-00010 ■ベンチマークテスト機材 本ベンチマークテストには下記の測定器を用いた。 ●Spirent Communications 社アプリケーション・パフォーマンス/セキュリティ 試験ツール Spirent Avalanche C100 Version 4.46 ■リファレンス http://tools.ietf.org/html/rfc3511 ファイアウォール パフォーマンス評価手法 Benchmarking Methodology for Firewall Performance ■テスト対象装置 ●Fortinet 社製 FortiGate-300D PAGE 10 OF 11 Copyright (C) @benchmark 2015/05/18 SEC-00010 ■FortiGate-300D OS 設定 会員の皆さまは会員サイトでログイン後、テストレポートを全てご覧いただけます。 非会員の皆さまは会員申込み（有料）いただければ、本テストレポートの続きをご覧いただけます。 免責 本テストレポートは＠benchmark 会員よりテスト申請を受けて株式会社東陽テクニカがテストを実施し ております。 テストに際し、DUT の設定はレポート内もしくは個別の設定ファイルで公開し、この設定、テ スト環境の時の実測値を記載しており、DUT の性能を保証するものではありません。 本テストレポートに関する会員からの質問は [email protected] でお受けしております。 なお、会員以外からの質問等には一切お答えできません。 本テストレポートをデータとしてご利用いただく場合、会員規約で規定されている注意事項を了承された ものとします。 PAGE 11 OF 11 Copyright (C) @benchmark
© Copyright 2024 Paperzz
