-
併發連接
鎖定
併發連接併發連接數
併發連接數是衡量防火牆性能的一個重要指標。在市面上常見防火牆設備的説明書中大家可以看到，從低端設備的500、1000個併發連接，一直到高端設備的數萬、數十萬併發連接，存在着好幾個數量級的差異。那麼，併發連接數究竟是一個什麼概念呢？它的大小會對用户的日常使用產生什麼影響呢？要了解併發連接數，首先需要明白一個概念，那就是“會話”。這個“會話”可不是我們平時的談話，但是可以用平時的談話來理解，兩個人在談話時，你一句，我一句，一問一答，我們把它稱為一次對話，或者叫會話。同樣，在我們用電腦工作時，打開的一個窗口或一個Web頁面，我們也可以把它叫做一個“會話”，擴展到一個局域網裏面，所有用户要通過防火牆上網，要打開很多個窗口或Web頁面發（即會話），那麼，這個防火牆，所能處理的最大會話數量，就是“併發連接數”。
併發連接併發連接表
像路由器的路由表存放路由信息一樣，防火牆裏也有一個這樣的表，我們把它叫做併發連接表，是防火牆用以存放併發連接信息的地方，它可在防火牆系統啓動後動態分配進程的內存空間，其大小也就是防火牆所能支持的最大併發連接數。大的併發連接表可以增大防火牆最大併發連接數，允許防火牆支持更多的客户終端。儘管看上去，防火牆等類似產品的併發連接數似乎是越大越好。但是與此同時，過大的併發連接表也會帶來一定的負面影響。
併發連接負面影響
內存消耗
以每個併發連接表項佔用300B計算，1000個併發連接將佔用300B×1000≈0.3Mb內存空間，10000個併發連接將佔用3Mb內存空間，100000個併發連接將佔用30Mb內存空間，而如果真的試圖實現1000000個併發連接的話那麼，這個產品就需要提供0.3Gb內存空間！
影響CPU的處理能力
CPU的主要任務是把網絡上的流量從一個網段儘可能快速地轉發到另外一個網段上，並且在轉發過程中對此流量按照一定的訪問控制策略進行許可檢查、流量統計和訪問審計等操作，這都要求防火牆對併發連接表中的相應表項進行不斷的更新讀寫操作。如果不顧CPU的實際處理能力而貿然增大系統的併發連接表，勢必影響防火牆對連接請求的處理延遲，造成某些連接超時，讓更多的連接報文被重發，進而導致更多的連接超時，最後形成雪崩效應，致使整個防火牆系統崩潰。
物理鏈路的實際承載能力將嚴重影響防火牆發揮出其對海量併發連接的處理能力
雖然很多防火牆都提供了10/100/1000Mbps的網絡接口，但是，由於防火牆通常都部署在Internet出口處，在客户端PC與目的資源中間的路徑上，總是存在着瓶頸鍊路——該瓶頸鍊路可能是2Mbps專線，也可能是512Kbps乃至64Kbps的低速鏈路。這些擁擠的低速鏈路根本無法承載太多的併發連接，所以即便是防火牆能夠支持大規模的併發訪問連接，也無法發揮出其原有的性能。
有鑑於此，我們應當根據網絡環境的具體情況和個人不同的上網習慣來選擇適當規模的併發連接表。因為不同規模的網絡會產生大小不同的併發連接，而用户習慣於何種網絡服務以及如何使用這些服務，同樣也會產生不同的併發連接需求。高併發連接數的防火牆設備通常需要客户投資更多的設備，這是因為併發連接數的增大牽扯到數據結構、CPU、內存、系統總線和網絡接口等多方面因素。如何在合理的設備投資和實際上所能提供的性能之間尋找一個黃金平衡點將是用户選擇產品的一個重要任務。按照併發連接數來衡量方案的合理性是一個值得推薦的辦法。
以每個用户需要10.5個併發連接來計算，一箇中小型企業網絡（1000個信息點以下，容納4個C類地址空間）大概需要10.5×1000=10500個併發連接，因此支持20000～30000最大併發連接的防火牆設備便可以滿足需求；大型的企事業單位網絡（比如信息點數在1000～10000之間）大概會需要105000個併發連接，所以支持100000～120000最大併發連接的防火牆就可以滿足企業的實際需要; 而對於大型電信運營商和ISP來説，電信級的千兆防火牆（支持120000～200000個併發連接）則是恰當的選擇。為較低需求而採用高端的防火牆設備將造成用户投資的浪費，同樣為較高的客户需求而採用低端設備將無法達到預計的性能指標。利用網絡整體上的併發連接需求來選擇適當的防火牆產品可以幫助用户快速、準確的定位所需要的產品，避免對單純某一參數“愈大愈好”的盲目追求，縮短設計施工週期，節省企業的開支。從而為企業實施最合理的安全保護方案。
在利用併發連接數指標選擇防火牆產品的同時，產品的綜合性能、廠家的研發力量、資金實力、企業的商業信譽和經營風險以及產品線的技術支持和售後服務體系等都應當納入採購者的視野，將多方面的因素結合起來進行綜合考慮，切不可盲目的聽信某些廠家廣告宣傳中的大併發連接的宣傳，要根據自己業務系統、企業規模、發展空間和自身實力等因素多方面考慮。
併發連接修改方法
眾所周知，為了防範蠕蟲病毒的傳播和攻擊，Windows XP SP2將併發線程最多限制為10個。SP2利用Messages動態鏈接庫，來實時監控每個進程的併發線程數目，一旦它發現某進程的線程數超過10個，就會屏蔽掉部分線程。SP2這樣做，雖然可以防範震盪波類型的蠕蟲病毒，加強系統安全，但是也帶了一些負面影響，例如當你使用BT、P2P或 FlashGet軟件下載時，部分線程將被屏蔽掉，因此下載速度會變得很慢。為此，你可以採取以下對策，來突破TCP併發連接數，從而提高SP2的多線程訪問速度
註冊表修改法的誤區
單擊“開始”/運行，輸入Regedit打開註冊表，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services\Tcpip\Parameters下，修改的“TcpNumConnections”的鍵值，將之由10改為150，即設置TCP最大併發連接數為150。
經過實際測試，我們發現該方法看起來有效，但實質上並不能突破併發連接數限制，提高SP2的多線程訪問速度。因為SP2對線程數目的控制，是通過 “Tcpip.sys”這個系統文件來實現的，並不是通過註冊表實現的，因此，該方法不能增加SP2的TCP併發連接數。
使用工具來替換Tcpip．sys
為了突破SP2的TCP併發連接數限制，正確地方法是修改Windows XP SP2的系統文件Tcpip.sys。Tcpip.sys是Windows XP SP2重要的系統文件，位於“C:\Windows\system32\drivers目錄下。該文件由於平時受到系統保護，所以正常情況下你是無法替換它的，必須在安全模式或純DOS模式下才能替換，建議你使用以下專門工具、來替換“Tcpip.sys”文件，操作步驟如下：
從網上下載替換工具(僅為30KB)，用它來修改系統文件Tcpip.sys最大安全併發連接限制；然後備份一下C:\Windows\system32\drivers\Tcpip.sys文件。
接下來，雙擊打開下載文件ZIP壓縮包，運行其中的替換工具EvID4226Patch.exe，隨之將彈出一個命令行提示符窗口，首先顯示 Windows當前的Tcpip.sys文件版本，以及併發連接的限制數值(默認為10)；接着詢問你是否將連接數限制在50，你可以選擇 “Yes/No/Change”，如果你輸入“Y”，則會將併發連接數改為“50”，如果想改為其他數(例如150)，可以在提示符後輸入“c”，然後輸入最大的併發連接數(例如150)回車，最後在提示符下輸入“Y”並回車，這樣就替換了Tcpip.sys文件；Tcpip.sys文件被替換後，隨之會彈出系統文件保護對話框，你可以點擊“取消”按鈕，然後點擊“是”按鈕，重新啓動後，Tcpip.sys文件的替換就大功告成了！
DOS下修改Tcpip．sys文件
以上替換程序EvID4226Patch.exe也可以在DOS下使用，方法是：首先把EvID4226Patch.exe拷貝到C盤根目錄下；然後再進入DOS模式，進入C盤根目錄，輸入命令EvID4226Patch/L=$n$/w=C:\WINDOWS\system32\drivers/L= tcpip.sys即可修改Tcpip.sys文件。
注意：以上$n$為你要設置的最大安全連接數，假如要把最大併發連接數設置為150個線程，那麼輸入命令EvID4226Patch/L=150/w=C:\WINDOWS\system32\drivers/L=tcpip.sys即可。
四、使用比特精靈附帶的工具
從網上下載比特精靈(BitSpirit)V2.7.2.225簡體中文正式版，然後雙擊下載文件進行安裝。你可以選擇安裝哪些組件，應該安裝“用於 Windows XP SP2的TCP/IP連接數破解補丁”，安裝結束後，XP開始菜單中就會有BitSpirit程序組，單擊其中的“XP SP2連接數破解補丁”，即可修改Tcpip.sys文件。
單擊“XP SP2連接數破解補丁”，彈出該軟件的界面，界面中列出了當前Tcpip.sys的版本、及最大併發連接數，你可以在“TCP/IP Linitation”輸入一個數，來設置最大併發連接數，例如輸入150，然後按“Apply”按鈕，重啓系統後，你的SP2最大併發連接數就改為了 150。
