防火墙与安全网关
多网口 1U 平台结合 bypass 旁路与 DPDK 用户态数据面，支撑防火墙、VPN 与统一威胁管理设备。
防火墙与安全网关串接在互联网出口、数据中心边界与内部区域之间，逐包执行访问控制、会话管理、NAT、入侵防御与 VPN 加解密。硬件平台决定这类设备的能力上限：网口数量决定可划分的安全区域，网卡与处理器决定包转发速率，bypass 与看门狗决定设备故障时链路能否保持连通。
防火墙的数据路径可以简化为：网卡收包、会话查找、策略匹配、按需深度检测或加解密、从出口网卡发出。走 Linux 内核协议栈时，每个包都要经历中断、内存拷贝与上下文切换，小包高并发时 CPU 主要消耗在这些环节。DPDK 等用户态数据面采用轮询模式驱动、大页内存与 CPU 核绑定，绕开内核路径，把包处理集中到专用工作核上。
性能指标要结合帧长理解：万兆口 64 字节线速约 1488 万 pps，1518 字节时仅约 81 万 pps，大包吞吐容易跑满接口，小包更考验平台。1U 网安平台常见 6~8 路千兆电口，通过扩展槽增加 SFP+ 万兆光口，成对网口配 bypass，管理口与 Console 口独立。开启入侵防御、应用识别后，吞吐主要受核心数与内存带宽制约。
挑战与解决方案
- 流量越大，性能越吃紧：网络带宽不断提升，攻击流量也越来越大，安全设备一旦处理不过来，就会出现丢包和延迟，影响正常业务。 研肯网络安全平台采用多核处理器，可配合 DPDK 与多队列网卡，让多个处理核心共同分担转发工作。
- 安全功能全开后变慢：应用识别、入侵防御、病毒扫描等功能全部开启后，处理负担成倍增加，吞吐明显下降。 研肯平台提供板载电口加扩展模块的组合，网口与性能可随业务规模扩展，从分支出口平滑升级到万兆边界。
- 设备故障导致断网：安全设备串接在网络链路中，一旦断电或死机，整条链路就会中断，业务随之停摆。 研肯平台提供 bypass 网口组，断电或死机时链路保持连通；1U 机架式整机适配标准 19 英寸机柜，便于机房集中部署。
防火墙与安全网关应用
- 中小型出口防火墙：中小企业与分支机构互联网出口：4~8 核处理器平台、6 路千兆电口、1 组 bypass、8GB 以上内存、1U 机架式
- 高性能安全网关：园区或数据中心出口，多项安全功能全开：多核至强或海光平台、板载千兆 + SFP+ 万兆扩展、多组 bypass、32GB 以上内存并配置大页、DPDK 用户态数据面
- VPN 汇聚网关：分支互联与远程接入的 IPsec / SSL VPN 汇聚：多核平台，关注加解密性能、双千兆或万兆上联、PCIe 密码卡或加速卡扩展、按需配置冗余电源