波仔
📡 第七章 网络硬件设备的选购要点
📄 一句话概括

防火墙规格书上常见两个「连接数」：并发连接数与新建连接速率。 它们量的是完全不同的两件事，混起来选型必错。

📝 本节和前面几节的关系

07.04.03 与 07.04.04 讲的都是「带宽与 pps」，防火墙的核心指标却是「会话」。 因为它记住的不是「包」，而是「一段一段的对话」。

一、两个连接数，两个瓶颈

指标 含义 单位 卡住什么

并发连接数 同时存在的会话总数 万条 能装多少人 新建速率 每秒能建多少新会话 每秒 能扛多少点击

两个瓶颈的故障现象完全不同：新建速率不够，表现为「打不开页面、超时重试」； 并发不够，表现为「会话表满了，新连接直接被拒」。

所以定位错了就会买错设备：早高峰卡顿多半是新建速率的事，全天不稳多半是并发的事。

二、并发怎么估

并发 ＝ 常驻连接 ＋ 短连接在存活时间内的滞留量。 前一项按「人数 × 每用户连接数」，后一项用 Little 定律算。

部分 估算方式 1000 人的量

常驻连接 人数 × 每用户 40 条 40000 条 短连接滞留 新建速率 × 存活 15 秒 2500 条 合计 — 约 4.3 万条

所以「并发 5 万条」的机型够用，「并发 2 万条」的就悬。 而如果老化时间设得长，异常断开的残留会往上堆——那部分不走 Little 定律，只能靠老化清掉。

三、新建速率怎么估

新建速率 ＝ 人数 × 每次点击的连接数 ÷ 峰值时间段秒数。 1000 人、每人拉 10 个连接、一分钟内打完，峰值约 167 条每秒。

这个数比并发数小两个量级，但它更容易成为瓶颈： 因为很多设备的「并发 200 万条」写得很漂亮，「新建 8000 条每秒」却藏在小字里。

而 8000 条每秒在 1000 人的场景里够用，在 5000 人时就不够——这就是为什么同一个型号，在小公司好用，在大公司卡。

四、三个最容易踩的坑

一、把并发数当成「能带多少人」：并发 200 万条的设备，新建速率可能只有 8000 条每秒。

二、把「老化时间设长」当好事：表项清得慢，异常残留越堆越多，最后把表撑满。

三、不看「每用户连接数」：同样 1000 人，网页办公与视频会议能差好几倍。

这三个坑的共同点是「只看一个数」： 防火墙的性能是一个「三元组」——并发、新建、吞吐，缺一个都算不出够不够。

五、动手 Demo：防火墙的两个连接数，别搞混

这段按 1000 人估并发与新建速率，再用 Little 定律把「平均连接存活时间」对并发占用的影响算出来。

users, per, clicks = 1000, 40, 10
base = users * per
peak_rate = users * clicks / 60.0
for t in (5, 15, 60, 300):
    keep = peak_rate * t
    T([u"%d 秒" % t, u"%.0f" % keep,
       u"%.0f" % (base + keep)], [0, 0, 0])

实跑输出：

--------------------------------------------------------------------
防火墙的两个连接数，别搞混
--------------------------------------------------------------------
**防火墙规格书上常见两个「连接数」：并发连接数与新建连接速率。**
**它们量的是完全不同的两件事，混起来选型必错。**

  指标           含义                   单位     卡住什么
  ---------------------------------------------------------------
  并发连接数     同时存在的会话总数     万条     能装多少人
  新建速率       每秒能建多少新会话     每秒     能扛多少点击

**算并发连接**：1000 人，每人平均 40 个长连接（网页、IM、后台心跳），再加 20% 余量。

  1000 × 40 ＝ 40000 条，留 20% 余量 ＝ 48000 条。
  所以「并发 5 万条」的机型够用，「并发 2 万条」的就悬。

**算新建速率**：早高峰 10 分钟内所有人同时打开办公系统，每人每次点击平均拉 10 个连接。

  1000 人 × 10 个连接 ÷ 60 秒 ＝ 峰值约 167 条每秒。
  这是「一分钟内全打完」的极端假设，比平均负载高一个量级。
  **注意两个指标差着两个量级：新建速率是百级，并发是万级。**

**两个数字要分开核对，因为卡的地方不一样**：
  新建速率不够：早高峰时大量用户「打不开页面」，表现为超时重试。
  并发不够：会话表满了之后，新连接直接被拒，老连接继续跑。
  两种故障现象不同，定位错了就会买错设备。

**并发到底要多大，用 Little 定律算**：**并发 ＝ 新建速率 × 平均连接存活时间。**

  存活时间     短连接滞留 条     加常驻后 条
  ----------------------------------------------
  5 秒         833               40833
  15 秒        2500              42500
  60 秒        10000             50000
  300 秒       50000             90000

**按 15 秒算，短连接只占 2500 条，常驻的 40000 条才是大头。**
  所以「并发 5 万条」够用，前提是常驻连接按每人 40 条估。
  但如果这台设备的会话老化时间设得很长（比如 30 分钟），异常断开的残留就会堆起来。
  那些残留不走 Little 定律，只能靠老化清掉。

**三个最容易踩的坑**：
  把「并发数」当成「能带多少人」：并发 200 万条的设备，新建速率可能只有 8000 条每秒。
  把「老化时间设长」当好事：表项清得慢，异常残留越堆越多。
  都不看「每用户连接数」：同样 1000 人，网页办公和视频会议差好几倍。

这段的关键是「用存活时间，不用老化超时」： Little 定律里的时间是「连接真正活着的时长」，不是「设备清表项的时长」。 两个概念混了，算出来的并发会差一个数量级。

表里「15 秒」那一行是常驻占大头：短连接只占 2500 条，常驻 40000 条才是主体。 所以「每用户多少条常驻连接」这个参数，比「存活时间」更关键。

最后一条经验： 买防火墙时先问「我们有多少人、每人平时开着几个客户端」，这比任何规格书上的数字都管用。

30 秒实验

  1. 数一下你电脑上同时开着多少个网络连接（用 netstat 看）。
  2. 按 40 条每人算，你单位需要多少并发连接？
  3. 问一下防火墙的会话老化时间是多少分钟。

常见误区

  1. 把并发数当成「能带多少人」。两个指标差着两个量级，卡的地方也不同。
  2. 把老化时间设得很长当好事。表项清得慢，异常残留会撑满会话表。
  3. 用「老化超时」算并发。要用平均存活时间，两者差一个数量级。
自测三问（点开对答案） 1. 防火墙的两个「连接数」分别是什么？各卡住什么？ —— 并发连接数（能装多少人）与新建连接速率（能扛多少点击）。 2. 并发连接怎么估？ —— 常驻连接（人数 × 每用户连接数）加短连接滞留（新建速率 × 存活时间）。 3. 为什么「并发 200 万条」的设备可能不够用？ —— 因为新建速率可能只有 8000 条每秒，早高峰会卡在新建上。

下一节：无线的性能怎么算——带机量要打折。

相关笔记