防火墙如何配置策略备份加速以及注意事项

小乔

通过配置策略备份加速功能，可以在策略改动时仍然使用之前的索引进行策略匹配，保证较高的处理性能。

一、背景信息

FW通过对多条策略生成索引并采用一定的加速算法完成安全策略的快速匹配。当策略改动（包括新建、修改、删除策略）时，索引需要重新建立：

• 如果FW未开启策略备份加速功能，默认会使用策略加速功能来生成新的索引。策略改动后，新的策略会对所有经过FW的流量立即生效。但是在加速延迟时间（缺省值为60s）内采用常规的逐条匹配规则，导致策略的匹配速度会大幅下降，影响处理性能。过了加速延迟时间之后（索引新建成功后），采用加速查询方法（索引匹配）进行策略匹配查询。
• 如果FW开启策略备份加速功能，策略改动后，FW会先备份当前索引，在新索引生成之前仍然使用备份的索引进行策略匹配，保证了较高的处理性能。但是，改动后的新策略不会立即生效。在策略修改以后加速延迟时间（缺省值为60s）内如果没有再改动策略，在过了加速延迟时间后开始生成新的策略索引，新索引生成后新的策略生效。
• 
  

是否启用备份加速功能，可根据实际情况进行配置：

1、当策略数量较多时（例如超过100条），为了提升策略加速期间的匹配效率，需要开启备份加速功能。但是开启该功能后，新配置的策略需要等待策略备份加速完成后才能生效（约2分钟左右，具体时间根据策略规则的数量而定）。

2、当策略较少时，可关闭备份加速功能。

除了USG6680E和USG6712E/6716E之外，策略备份加速功能缺省关闭。

二、配置方法：

Web配置

• 选择“策略 > 安全策略 > 安全策略”。
• 单击界面中安全策略列表下的“配置”，开启备份加速功能。
  

在界面上可以查看策略备份加速功能的当前状态，包括是否已启用策略备份加速功能及是否正在加速。

除USG6635E/6640E-K/6655E、USG6680E和USG6712E/6716E之外，其他型号均支持通过Web配置策略备份加速功能，且只有在策略备份加速功能已开启或已经配置的策略数量达到100条时才可以在Web上配置策略备份加速功能。

       3. 单击“确定”。

CLI配置

• 进入系统视图。system-view
• 配置策略备份加速。policy accelerate standby enable
• 可选：配置新建、修改或删除策略后启动策略加速的延迟时间。policy accelerate delay delay-time
  

缺省情况下，新建、修改或删除策略后，策略加速功能会延迟60秒启动，可以通过该命令修改延迟时间。

三、策略备份加速的注意事项

除了USG6680E和USG6712E/6716E之外，策略备份加速功能缺省关闭。

仅USG6000E （USG6680E和USG6712E/6716E除外）支持通过Web配置策略备份加速功能，且只有在策略备份加速功能已开启或已经配置的策略数量达到100条时才可以在Web上配置策略备份加速功能。

FW在进行策略匹配时，是通过查看索引的方式完成快速匹配。当策略改动（包括新建、修改、删除策略）后，索引需要重新建立。FW可以通过策略加速功能或策略备份加速功能来完成索引的生成。

• 当FW未开启策略备份加速功能时，默认会使用策略加速功能来生成新的索引。策略改动后，新的策略会对所有经过FW的流量立即生效。但是在加速延迟时间（缺省值为60s）内采用非加速方式查询，性能有所下降。过了加速延迟时间之后（索引新建成功后），采用加速查询方法（索引匹配）进行策略匹配查询。
• 当FW开启策略备份加速功能时，策略改动后，FW会先备份当前索引，在新索引生成之前使用备份的索引进行策略匹配。但是，改动后的新策略不会立即生效。在策略修改以后加速延迟时间（缺省值为60s）内如果没有再改动策略，在过了加速延迟时间后开始生成新的策略索引，新索引生成后新的策略生效。
• 是否启用备份加速功能，可根据实际情况进行配置：
  • 当策略数量较多时（例如超过100条），为了提升策略加速期间的匹配效率，需要开启备份加速功能。但是开启该功能后，新配置的策略需要等待策略备份加速完成后才能生效（约2分钟左右，具体时间根据策略规则的数量而定）。
  • 当策略较少时，可关闭备份加速功能。
    
  
  

cinnamon

狩月

感谢楼主分享