SSL性能测试结果：F5 BIG-IP iSeries与Citrix和A10对比
我们进行了测试，结果显示：全新F5 BIG-IP iSeries应用交付平台的SSL ECC TPS性能是竞争对手同类设备的5倍。
随着全球逐步采用更广泛的密码套件，F5凭借自身优势，有望继续保持在SSL/TLS领域的领先地位。配备老一代SSL硬件加速器的应用交付控制器（ADC）通过软件处理加密连接，以弥补硬件不足。这会增加系统负载，可能降低应用性能并限制容量。F5新款iSeries采用新一代加密加速硬件，可卸载Diffie-Hellman椭圆曲线加密（ECDHE）处理，从而支持快速采用ECC和ECDHE密码套件，即使在高负载TLS环境中也不例外。
为了解iSeries与市场上其他设备的性能差异，我们使用ECDH-ECDSA-AES128-SHA256 SSL密码套件，对该平台以及A10 Networks和Citrix的同类设备进行了严格的性能测试。
在测试中，客户端通过客户端侧SSL连接到支持ECDH-ECDSA-AES128-SHA256 SSL密码套件的虚拟服务器。连接建立后，客户端发送一次文件请求；服务器返回该文件和200 OK响应。随后，客户端通过四次挥手关闭连接。所有测试均禁用连接复用。
从以下数据可以看出，我们测试的Citrix和A10 Networks设备均使用商用芯片卸载SSL，但其性能未能达到F5 iSeries加密卸载硬件所提供的水平。
| 每秒事务数 | ||||
|---|---|---|---|---|
| 文件大小 | 128B | 5KB | 16KB | 512KB |
| F5 BIG-IP i7800 | 27243 | 27077 | 26573 | 5251 |
| Citrix NetScaler 14080 | 5103 | 5087 | 5060 | 2156 |
| A10 Networks 4440S | 3976 | 3910 | 3891 | 2135 |
| 吞吐量（Mbps） | ||||
| 文件大小 | 128B | 5KB | 16KB | 512KB |
| F5 BIG-IP i7800 | 105 | 1185 | 3558 | 22034 |
| Citrix NetScaler 14080 | 19 | 222 | 677 | 9047 |
| A10 Networks 4440S | 15 | 171 | 521 | 8955 |
测试流程和环境
每款产品均采用F5在以往报告中使用的同一套多阶段测试流程。该流程包括以下阶段：
- 初步测试：为每台被测设备（DUT）创建并验证配置，确保所有DUT以相同方式管理网络流量。
- 探索性测试：此阶段将确定每台设备的适宜测试设置，并了解其在各类测试中的性能表现。DUT配置也将在此阶段最终确定。
- 最终测试：每种类型的测试均会运行多次。测试将反复进行，直至至少有三次有效运行能够持续取得理想结果。为达到这一一致性标准，一项测试可能需要运行多次。
- 确定最佳结果：详细分析每种测试中表现较好的三次测试运行，以确定哪一次的整体性能更优。本报告采用每种测试中该次运行的结果。
为得出这些结果，共进行了50多次测试运行。
测试产品
我们测试的产品价格区间相近，包括：
- Citrix 14080（113,069 美元）
- A10 4440S（94,240 美元）
- F5 BIG-IP i7800（85,000 美元）
SSL处理测试
安全套接层（SSL）加密在全球广泛用于保护用户与应用之间的通信。SSL是一种标准加密协议，适用于各大主流操作系统、Web浏览器和智能手机等。SSL技术有助于保障在线购物安全、实现安全远程访问（SSL VPN）等功能，已广泛应用于商业和消费者网络安全解决方案。SSL结合使用公钥密码学和对称加密来提供安全保护：前者用于共享加密密钥，后者（通常采用RC4、3DES或AES）用于实际加密流量。密钥交换和各种加密算法都需要大量计算资源，因此在几乎所有SSL商业应用中，都需要服务器端的专用硬件才能达到可接受的性能或实现大规模部署。
SSL每秒事务数（TPS）性能主要用于衡量设备的密钥交换和握手处理能力。该指标通常使用小文件进行测量，衡量的是每个新SSL会话开始时执行的握手操作。此操作需要大量计算，因此主要SSL卸载厂商均使用专用硬件来加速处理。对于较大的服务器响应和文件，握手操作的计算成本相对不那么重要。由于该操作仅在会话开始时执行一次，因此产生的开销要小得多。用于比较性能的一个更均衡的指标是加密流量吞吐量，也称为对称加密或批量加密。批量加密衡量的是每秒可加密和传输的数据量。
SSL流量有多种处理方式。有些设备仅使用专用硬件处理SSL握手和密钥交换，后续的“批量”加密则由CPU处理。另一些设备则可使用专用硬件处理这两项功能。F5 iSeries采用独特设计，可优化处理SSL连接建立和批量吞吐。F5 iSeries平台充分利用先进的加密硬件，在提供出色事务处理性能的同时，还能实现大规模加密批量吞吐。这使客户和系统管理员能够节省CPU周期，用于提升其他性能或支持更多功能。
与往常一样，测试涵盖多种文件大小（128 B、5 KB、16 KB和512 KB），以展示不同场景下的性能。
测试采用384位密钥长度，这是各权威安全机构建议的长度；同时采用ECDH-ECDSA-AES128-SHA256密码套件，这是目前常用的密码算法之一。
结论
iSeries平台延续了F5在为客户提供全面SSL解决方案方面的优势，其中包括率先在ADC中支持通过专用硬件卸载ECDHE。随着越来越多的企业转向使用ECC密码套件来实现完全前向保密，对保障应用性能的解决方案需求将持续增长。性能测试表明，F5 iSeries平台在支持广泛密码套件的同时，能够持续保持出色性能。