怎样对Linux防火墙进行压力测试

Linux防火墙压力测试实操指南

一、测试目标与总体思路

• 明确要验证的策略点：端口与协议的放行/阻断、连接速率/并发限制、状态跟踪与已建立连接放行、以及日志与限速是否生效。
• 采用“基线测量 → 规则验证 → 并发压力 → 异常与边界”的递进路径，先小流量确认策略正确，再逐步放大并发与包量。
• 全程配合抓包与连接统计，在目标与审计机上同步观测，避免只看应用层结果造成误判。

二、准备与基线测量

• 在目标机上准备可被压测的服务与基线指标：
  • 启动服务（如 HTTP），确认监听端口与进程正常。
  • 记录基线：CPU、内存、网卡 bps/pps、当前连接数（如 ss -s、netstat -an | grep :80 | grep EST -c）、以及现有防火墙规则（iptables -nL -v、nft list ruleset 或 firewall-cmd --list-all）。
• 在审计机上安装观测工具：
  • 抓包与分析：tcpdump
  • 端口与服务探测：nmap
  • HTTP 压测：ab、wrk、siege
• 合规提示：仅在自有或获授权的网络与主机上进行扫描与压力测试，避免触犯服务条款或相关法律。

三、HTTP层压力测试

• 使用 ab（Apache Bench）验证端口放行、并发与长连接处理：
  • 示例：ab -n 100000 -c 40 http://目标IP/test.txt（总请求数 100000、并发 40）
  • 观察点：返回码分布、每秒请求数（Requests per second）、平均/最大时延、失败数；在目标机上用 ss -s 或 netstat -an | grep :80 | grep EST -c 观察并发连接变化。
• 使用 wrk 进行更高并发与长时压测：
  • 示例：wrk -t12 -c400 -d30s http://目标IP/（线程 12、并发 400、持续 30s）
  • 观察点：P95/P99 延迟、超时率、带宽占用与丢包。
• 使用 siege 做多用户并发与事务混合场景：
  • 示例：siege -c 200 -t 60s http://目标IP/
  • 观察点：事务成功率、并发维持能力与错误类型。

四、规则与连接限制验证

• 验证“仅特定来源可访问某端口”的策略：
  • 规则示例：iptables -I INPUT -p tcp -s 192.168.1.190 --dport 80 -j ACCEPT（仅放行 192.168.1.190 访问 80）
  • 用 ab 从 192.168.1.190 压测，确认可访问；从其他来源压测应被拒绝。
• 验证“并发连接数限制”与“状态跟踪”：
  • 规则示例：iptables -I INPUT -p tcp --dport 80 -s 192.168.1.190 -m connlimit --connlimit-above 10 -j REJECT（单源并发上限 10）
  • 规则示例：iptables -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT（已建立/相关连接放行）
  • 压测时逐步提升并发，观察是否在阈值处开始拒绝，且已建立连接不受影响。
• 观察点：命中计数（iptables -nL -v）、日志（若有 LOG 规则）、连接表与 HTTP 成功率的变化。

五、网络层与异常流量测试

• 端口与服务发现（验证“隐身/过滤”是否生效）：
  • SYN 扫描：nmap -sS 目标IP（半开扫描，常用于探测）
  • 全连接扫描：nmap -sT 目标IP
  • 服务/版本探测：nmap -sV 目标IP
  • 建议配合抓包：tcpdump host 目标IP -w scan.pcap，事后分析 SYN/ACK/RST 响应与防火墙行为。
• 专用防火墙/IDS规则验证工具 FTester：
  • 组成：数据包注入器 ftest 与嗅探器 ftestd，通过配置文件定义流量并比对日志，验证规则是否按预期阻断/放行。
  • 示例：ftest -f firewall_test.conf（按场景配置发送 TCP/UDP/ICMP 等流量，含分片、TTL、RST 插入等规避手段用于 IDS 测试）
  • 适用场景：验证状态检测防火墙、规则覆盖与规避技术下的行为一致性。
• 合规与安全提示：
  • 扫描与压力测试可能触发入侵检测/防护与运营商限流；仅在授权范围内进行，控制速率与时段，避免对生产造成中断。