Кратко

  • RFC 9411 прямо говорит, что его performance-методика не предназначена для устройств, полагающихся на machine learning или behavioral analysis; если такие функции присутствуют, их следует отключить.
  • Это честная граница эксперимента, а не доказательство стоимости или качества отключённых функций. Результат должен хранить feature state, security-effectiveness configuration, traffic mix, crypto, sustain и failures, прежде чем его связывают с production.

Функцию отключили по правилам метода. Это сделало нагрузку стабильнее и повторяемее. Затем в презентации осталось только имя устройства и число Gbit/s.

Получилось утверждение о рабочем режиме, которого не существовало в лаборатории. Ошибка возникла не в измерении, а в наследовании: отключённая функция получила чужой результат.

RFC 3511 был опубликован в апреле 2003 года как Informational методика firewall performance. RFC 9411 в марте 2023 года сделал его obsolete и описал современные NGFW/NGIPS. Новый документ расширил измерительный контракт, но одновременно сохранил явную границу для недетерминированных функций.

Отключение — это часть объекта

Feature flag определяет, какой код, какие модели, таблицы и решения участвуют в обработке. Если функция выключена, тест измеряет систему без неё.

Это не делает результат бесполезным. Он может быть базовой линией, оценкой fast path или сравнением детерминированных частей. Но он не отвечает, сколько ресурсов потребует включённый behavioral engine, как он будет обновляться и какие решения примет на реальном распределении.

В receipt нужно сохранить не только «enabled/disabled», но и версию модели, сигнатур, policy, режим обучения, внешние сервисы и причины исключения.

RFC 9411 предпочёл воспроизводимость

Машинное обучение и поведенческий анализ зависят от истории, состояния и входного распределения. Две идентичные нагрузки могут встретить разное состояние модели. Это усложняет повторение.

Поэтому исключение таких функций из основной методики — аккуратное ограничение. Стандарт не притворяется, что умеет измерять всё.

Проблема начинается, когда ограничение превращают в универсальный product score. Чем честнее метод отсекает неопределённость, тем важнее не возвращать её маркетинговым выводом.

Остальные функции тоже должны быть закреплены

RFC 9411 описывает TLS inspection, IDS/IPS, anti-malware, anti-spyware, application identification, logging и deep packet inspection в зависимости от класса DUT/SUT.

Рекомендуемые функции включаются или отклонение объясняется вместе с ожидаемым влиянием. Конфигурация остаётся одинаковой по suite. Где применимо, используются реалистичные ACL.

Таким образом, имя коробки не является конфигурацией. Два запуска на одном hardware могут измерять разные системы.

Эффективность не прячется в throughput

Современный метод сначала проверяет выбранную security-effectiveness configuration, затем измеряет performance. Быстрый allow path не становится защитой только потому, что передал много трафика.

Но effectiveness validation ограничена corpus, policy и criteria. Она не доказывает неизвестные угрозы, production false positives, incident response или business outcome.

Версия модели и набор проверки нужны отдельно. Performance связывается с ними, но не заменяет их.

RFC 3511 уже отделял скорость от безопасности

Старая методика включала denial-of-service handling и illegal traffic handling, однако её Security Considerations исключали общую security assessment.

Для незаконного трафика требовалось считать запрещённые connections, которые всё же были разрешены. Без этого быстрый пропуск выглядел бы успехом. DoS test измерял влияние заданной атаки на заданные rates, а не универсальную устойчивость.

Эта граница остаётся полезной: измерить взаимодействие security и performance не значит слить их в один verdict.

Конфигурация создаёт workload

RFC 3511 требовал NAT state, rulesets и учитывал caching, authentication и TCP stacks. Он разделял packet sizes, offered load, concurrent connections, establishment, teardown и HTTP object transfer.

RFC 9411 добавляет applications, Layer 7 protocols, encryption share, directions и object sizes. HTTP/1.1, HTTP/2 и HTTP/3, TCP и QUIC нагружают систему по-разному.

Feature state и traffic mix вместе определяют работу. Нельзя восстановить их из итогового числа.

Crypto-параметры принадлежат результату

HTTPS baseline использует TLS 1.2 или выше, полные handshakes и отключённую resumption. QUIC baseline отключает 0-RTT и early data.

TLS version, cipher, key, record size, certificate, SNI, ALPN и inspection state должны быть задокументированы. Для QUIC сохраняются transport parameters, UDP size, flow control и close method.

Если production возобновляет sessions или включает другой inspection path, это новый workload, а не автоматическое продолжение лабораторного результата.

Sustain показывает стоимость состояния

RFC 9411 делит test на init, ramp-up, sustain и ramp-down. KPI снимают в sustain. Failed application transactions, unexpected TCP RST и определённые QUIC failures должны оставаться ниже критериев.

Успешная transaction передаёт все данные и получает valid status. Временной ряд показывает state growth, queues, memory pressure и thermal reduction.

Модель или behavioral state могли бы добавить свою динамику, но основной тест их отключил. Это ещё одна причина не переносить peak на неизмеренный режим.

Лаборатория сначала проверяет себя

Тест идёт в изолированной среде. Reference run без DUT/SUT подтверждает, что generator, links, switches, virtual functions и heat не ограничивают результат.

RFC 6815 предупреждает, что RFC-2544-подобную нагрузку вредно запускать в production. Значит, реальное применение числа требует отдельной модели, а не опасного повторения в рабочей сети.

Лаборатория владеет воспроизводимым receipt. Оператор владеет решением о применимости.

Граница доказательства

Статья не называет vendor, product, release, laboratory, customer или deployment. Здесь нет benchmark score, exploit, incident, market ranking или утверждения о текущей реализации.

RFC 3511 точно описан как Informational методика апреля 2003 года, obsolete по RFC 9411. RFC 9411 — Informational методика марта 2023 года, не certification и не production guarantee. Его thresholds не являются общей допустимой долей security failure.

Принципы Heng Lu о minimum specification и running-code primacy — раскрытая editorial lens. Они требуют минимального общего receipt и локальной ответственности, но не являются firewall data.

Вывод узкий: когда функция отключена, её поведение не может наследовать число от оставшегося пути.

Sources