Microsoft Word - CTP9-SSLVPN

Size: px

Start display at page:

Download "Microsoft Word - CTP9-SSLVPN"

劫奈昌
5 years ago
Views:

1 目錄 1. 待測物與測試工具待測物規格測試工具規格 Performance Benchmark Concurrent VPN connection VPN Connection Rate Throughput Login response time Support Web Security Client Control Access Privilege Control 探討測試結果討論...18 Network Benchmarking Lab 1

2 1. 待測物與測試工具 1.1 待測物規格 Device Under Test (DUT) Firmware Version: CPU: RAM: Flash: Network Interface: 1.2 測試工具規格 Spirent SmartBits and Avalanche/Reflector SmartBits 600B Chassis 2 * LAN-3301A 2-port 10/100/1000Base-T Ethernet TeraMetrics Module SmartBits Avalanche/Reflector 7.02 Network Benchmarking Lab 2

3 2. Performance Benchmark 2.1 Concurrent VPN connection 測試目的 : 檢測 DUT 能同時建立幾條 SSL sessions 測試變因 : Concurrent VPN connections 測試組態 : Environment: DUT Configuration: reverse proxy, default policy Avalanche Configuration Load Specification Connections Phase I Phase II Phase III Phase IV URL List Object Size Client/Server Step height: 47 connections/ step time: 30 sec Step height: 47 connections/ step number: 2/ step time: 20 sec Step height 141connections/ step time: 60 sec Ramp time : 40 sec 1 GET Fixed size 1024 bytes Server type:, Protocol level: 1.0 without keep alive Network Benchmarking Lab 3

4 測試方法 : 讓一 Client (web client) 登入 DUT(S) 連接後端的 Simulated Server (web server), 此 S 連線會產生一 Cookie, 將此 Cookie 用在之後 Simulated Clients 與 DUT 的連線上以順利建立 SSL Session, 除此之外我們還必須讓 Simulated Clients 不去 reuse SSL session ID, 如此便可讓每一個 simulated client 與 DUT 的連線都會有完整的 SSL handshake 測試結果 : Summary Item Concurrent VPN connections Product DUT1 141 DUT2 18 DUT3 143 DUT1 Connections Transactions per second Network Benchmarking Lab 4

5 Network Traffic 2.2 VPN Connection Rate 測試目的 : 檢測 DUT 建立 SSL sessions 的速度可以多快測試變因 : VPN Connection rate 測試組態 : Environment: 請參考 2.1 之測試組態圖 DUT Configuration: reverse proxy, default policy Avalanche Configuration Load Specification Connections per sec Phase I Step height: 8 connections per sec/ Step time: 30 sec Network Benchmarking Lab 5

6 Phase II Phase III Phase IV URL List Object Size Client/Server Step height: 8 connections per sec/ Step number: 2/ Step time: 20 sec Step height 24 connections per sec/ Step time: 60 sec Ramp time : 40 sec 1 GET Fixed size 1024 bytes Server type:, Protocol level: 1.0 without keep alive 測試方法 : 請參考 2.1 之測試方法測試結果 : Summary Item VPN connection rate Product (Connections/sec) DUT1 24 DUT2 1 DUT3 33 DUT1 Connections per sec Transactions per second Network Benchmarking Lab 6

7 Network Traffic 2.3 Throughput 測試目的 : 檢測 DUT 在不同的 Tunnel number, Packet size, Client access method 時所能達到的 throughput 測試變因 : Tunnel number: 1(default), 5, 10, 25 Packet size: 128, 512, 1400 Cipher spec: AES128-SHA, IDEA CBC-SHA, Null-SHA, RC4-SHA, RC4-MD5(default) Client access methods: Reverse proxy 及 Full tunnel Network Benchmarking Lab 7

8 測試組態 : Environment: (A) Reverse proxy: Scenario 1: 使用 Avalanche 測試, 請參考 2.1 之測試組態圖 Scenario 2: 使用 real-word application: 進行測試, 參考下圖 Scenario 3: 使用 real-word application: 進行測試, 參考下圖 (B) Full tunnel: Scenario 1: 使用 real-word application: 進行測試, 參考下圖 Scenario 2: 使用 real-word application: 進行測試, 參考下圖 DUT Configuration: default policy Avalanche Configuration: Load Specification Phase I Phase II Phase III Phase IV URL List Object Size Client/Server Bandwidth (Kbps) Step height: 1024 Kbps / Step time: 30 sec Step height: 2048 Kbps/ Step number: 4/ Step time: 20 sec Step height: Kbps / Step time: 60 sec Ramp time : 120 sec 1 GET / /RevProxy/ Fixed size 1 MB Server type:, Protocol level: 1.1 with persistence / Clients/Servers Configuration: SW Information: server: zserver Suite server: appserv win client: Filezilla 2.14 client: IE 6.0 HW Information: CPU RAM OS Network Benchmarking Lab 8

9 Server Windows2003 Client Winxp sp2 Client WinXP sp2 Client WinXP sp2 測試方法 : Reverse proxy 測試時, 我們會使用如 2.1 測試方法來達到同時有多個 SSL tunnel, 而不同 packet size 是利用 TCP MSS 以及 MTU 來達成, 除此之外也會使用真實的 client 測試 ( 多個 client 每個 client 都有不同的 account) 加以佐證測試的正確性 Full tunnel 測試時, 由於 client 端必須經由新產生的 network interface 傳送資料, 因此我們會使用真實的 client 搭配 VMWare 以達到同時有多個 SSL session ( 每個 client 都有不同的 account) 測試結果 : DUT1 (A) Reverse proxy: Scenario 1: 使用 Avalanche 測試單位 (Mbps) Number of Tunnel Throughput Cipher Spec AES128 IDEA Null RC4 SHA CBC-SHA SHA SHA Throughput Scenario 2&3: 使用 real-word application: / 進行測試單位 (Mbps) Number of PC Packet size (bytes) Network Benchmarking Lab 9

10 (B) Full tunnel: Scenario 1&2: 使用 real-word application: / 進行測試 Number of PC 單位 (Mbps) DUT2 (A) Reverse proxy: Scenario 1: 使用 Avalanche 測試單位 (Mbps) Number of Tunnel Throughput Cipher Spec AES128 IDEA Null RC4 Number of Tunnel SHA CBC-SHA SHA SHA N/A N/A Scenario 2&3: 使用 real-word application: / 進行測試單位 (Mbps) Number of PC 1 N/A N/A N/A Packet size (bytes) 128 N/A N/A N/A N/A (B) Full tunnel: Scenario 1&2: 使用 real-word application: / 進行測試單位 (Mbps) Network Benchmarking Lab 10

11 Number of PC N/A N/A 3 N/A N/A (A) Reverse proxy: DUT3 Scenario 2&3: 使用 real-word application: / 進行測試單位 (Mbps) Number of PC N/A N/A N/A Packet size (bytes) N/A N/A N/A N/A (B) Full tunnel: Scenario 1&2: 使用 real-word application: / 進行測試 Number of PC 單位 (Mbps) (A) Reverse proxy: DUT4 Scenario 2&3: 使用 real-word application: / 進行測試單位 (Mbps) Number of PC Network Benchmarking Lab 11

12 Packet size (bytes) (B) Full tunnel: Scenario 1&2: 使用 real-word application: / 進行測試 Number of PC 單位 (Mbps) DUT5 (B) Full tunnel: Scenario 1&2: 使用 real-word application: / 進行測試 Number of PC 單位 (Mbps) 2.4 Login response time 測試目的 : 假設時間點 A: 當一個 Client 輸入 username/password, 按下 submit 按鈕的時候, 而時間點 B: 當 Client 收到 DUT 的 response 而看到 portal 網頁的時候, 此項測試即是欲測出 B A 的平均值測試變因 : Network Benchmarking Lab 12

13 Login 次數測試組態 : Environment: DUT Configuration: reverse proxy, default policy 測試方法 : Step 1: 使用 Wireshark 先行在 client 分析出 submit 使用者帳號時的第一個封包為何以及接收到 portal 網路時的最後一個封包為何 Step 2: 啟動 Wireshark 聽封包 Step 3: 操作 client 進行登入 DUT 的動作 Step 4: 分析 Wireshark 所錄到的封包 ( 有 timestamp 資訊 ), 找出 Login Response Time 測試結果 : Login Response Tim: 單位 (second) No. Product DUT1 DUT2 DUT3 DUT4 DUT N/A N/A N/A 2.47 Average N/A 2.51 Network Benchmarking Lab 13

14 3. Support 3.1 Web 測試目的 : 檢測 Web 相關應用軟體是否可透過 DUT 所支援的兩種 Access 方式 (Reverse proxy 及 Full tunnel) 正常使用測試變因 : Web s: web server, internet mail, OWA Client access methods: reverse proxy 及 full tunnel 測試組態 : Environment: DUT Configuration: 測試方法測試結果 : Item Initiator Types Responder Procedure/Observation ( 藍字代表正常紅字代表有問題或不支援 ) 1 Tester_C Web server Tester_D 檢查在 DUT 下的 web server 是否可經由 SSL-VPN 正常運作 Network Benchmarking Lab 14

15 2 Tester_C Internet mail Tester_D 檢查在 DUT 下的 web mail 是否可經由 SSL-VPN 正常運作 3 Tester_C OWA Tester_D 檢查在 DUT 下的 OWA 是否可經由 SSL-VPN 正常運作 OWA: Exchange server 測試目的 : 檢測非 Web 相關應用軟體是否可透過 DUT 所支援的兩種 Access 方式 (Reverse proxy 及 Full tunnel) 正常使用測試變因 : s: Custom,, S,, TELNET, T, SMTP, SMTPS, IMAP, IMAPS, VNC, RDP, SSH, SQUID, CIFS, POP3, POP3S Client access methods: Reverse proxy 及 Full tunnel 測試組態 : Environment: 參考 3.1 的測試組態 DUT Configuration: create corresponding SSL and SSL Policy 測試方法測試結果 : Item Initiator Types Responder Procedure/Observation ( 藍字代表正常紅字代表有問題或不支援 ) 1 Tester_C SSH Tester_D 檢查在 DUT 下的 SSH 是否可經由 SSL-VPN 正常運作 2 Tester_C Tester_D 檢查在 DUT 下的 server 是否可經由 SSL-VPN 正常運作 3 Tester_C CIFS Tester_D 檢查在 DUT 下的 CIFS 是否可經由 SSL-VPN 正常運作 4 Tester_C RDP Tester_D 檢查在 DUT 下的 RDP server 是否可經由 SSL-VPN 正常運作 5 Tester_C Custom with NTP Tester_D 檢查在 DUT 下的 NTP server 是否可經由 SSL-VPN 正常運作 6 Tester_C File Sharing Tester_D 檢查在 DUT 下的 File-Sharing 是否可經由 SSL-VPN 正常運作 Network Benchmarking Lab 15

16 4. Security 4.1 Client Control 測試目的 : 檢測 DUT 對於 Client 本機端所作的安全性評量, 如 Endpoint security, Client session cleanup 測試變因 : Endpoint security: Check Windows Version, Check Windows Service Pack Version, Check Windows Auto Update, Check Personal Firewall Name, Check Personal Firewall Version, Check Anti Virus, Check Anti Virus Version, Check Anti Virus Auto Protect, Check Browser, Check Browser Version Client session cleanup 測試組態 : Environment: 參考 3.1 的測試組態 DUT Configuration: create corresponding Endpoint Security and SSL Policy 測試方法測試結果 : Item Initiator Types Responder Procedure/Observation ( 藍字代表正常紅字代表有問題或不支援 ) 1 DUT OS Tester_C 檢查 OS 相關 Security 1. OS Type. 2. Service Pack 2 DUT Firewall Tester_C 檢查 Firewall 相關是否正常 1. Firewall type: Norton (2005), Macfee ( ) 3 DUT Anti-Virus Tester_C 檢查 Anti-Virus 相關是否正常 1. Anti-Virus type: Norton ( ), Macfee ( ) 2. Anti-Virus Auto Protect ( ) 4 DUT Browser Tester_C 檢查 Browser 相關是否正常 1. Browser Type Network Benchmarking Lab 16

17 4.2 Access Privilege Control 測試目的 : 檢測此項功能是否運作正常, 此項功能目的為偵測登入 DUT 的使用者中, 是否符合 Access Control 及 SSL Policy 的設定測試變因 : Who: IP, Action, Protocol, Schedule What: s 測試組態 : Environment: 參考 3.1 的測試組態 DUT Configuration: create corresponding SSL, SSL Policy, and SSL Access Control 測試方法測試結果 : Item Initiator Types Responder Procedure/Observation ( 藍字代表正常紅字代表有問題或不支援 ) 1 Tester_C Dest IP Tester_D 檢查各種 dest IP 的設定是否運作正常 1. Subnet 2. IP range 3. Host 2 Tester_C Action Tester_D 檢查各種 Action 是否運作正常 1. Accept 2. Drop 3. Deny 3 Tester_C Protocol Tester_D 檢查各種 Protocol 是否運作正常 1. TCP 2. UDP 3. User Define with ICMP 4. Any 4 Tester_C Schedule Tester_D 檢查各種 Schedule 是否運作正常 1. Day 2. Time of day Network Benchmarking Lab 17

18 5. 探討 5.1 測試結果討論 ID Comment Resolution 註 : Resolution 包含 FIXED, INVALID, WONTFIX, LATER, REMIND, WORKSFORME Implementation Difference Reverse Proxy Full Tunnel New Client APP? Accessible IP New Connection Interface Type of connection interface DUT1 無 localhost 有 PPP DUT2 有 Remote host 有 ISDN DUT3 有 Remote host 有 ISDN DUT4 N/A N/A 有 ISDN DUT5 有 Remote host 有 ISDN Network Benchmarking Lab 18

ebook140-9

ebook140-9 9 VPN VPN Novell BorderManager Windows NT PPTP V P N L A V P N V N P I n t e r n e t V P N 9.1 V P N Windows 98 Windows PPTP VPN Novell BorderManager T M I P s e c Wi n d o w s I n t e r n e t I S P I