基线的作用
性能基线是设备在正常业务下的一组可复现数字：不同时段的 CPU 与内存、转发吞吐、平均与尾部时延、丢包计数、检测会话数。IPS 是检测型设备，开启的特征越多、流量越复杂，CPU 占用越高；一旦业务反馈变慢，有没有基线决定了你是在「凭体感争论」还是「拿数据说话」。升级前后、规则集调整前后、业务量增长前后，都靠基线做对比。
基本信息
| 采集指标 | CPU/内存占用、吞吐、时延、丢包、检测会话数与新建速率 |
|---|---|
| 时间覆盖 | 至少包含业务高峰与低谷两个时段，按周取样本 |
| 采集方式 | 网管平台 SNMP 轮询 + 设备 Web 概览，重要节点手工采样留档 |
| 部署差异 | 串联部署影响转发路径，旁路/镜像部署只影响检测能力，基线要分开建 |
| 留存要求 | 按变更节点归档，作为下次升级的对照基准 |
典型使用场景
- 特征库或软件版本升级后业务变慢，用基线判断是否是设备侧引入的额外开销
- 大促、开学季等业务量上升前做容量评估，判断设备还有多少处理余量
- 同一型号多台设备性能表现不一致时，用基线找出配置或版本差异
- 对上层解释「网络慢」时提供数据依据，把责任边界说清楚
- 硬件旁路或 Bypass 策略的参数校准，需要知道正常负荷下的实际水位
- 为 SLA 与运维指标打底，把设备健康度量纳入日常报表
基线记录模板
基线记录模板
设备型号与软件版本：
采样时段：工作日高峰 10:00-11:00 / 低谷 02:00-03:00
CPU：高峰均值 42%（峰值 58%）/ 低谷 15%
内存：38%（稳定）
吞吐：高峰 1.8Gbps（链路 5Gbps）
丢包计数：0（连续 7 天无增长）
检测会话数：12.4 万（上限 100 万）
备注：本基线用于 SPC510 升级后的对比参照基线指标读法
| 指标 | 含义 | 关注点 |
|---|---|---|
| CPU 占用 | 检测与转发线程的处理器消耗 | 高峰持续高于 70% 说明余量不足，需评估调优或扩容 |
| 内存占用 | 会话表、特征库、缓存的内存占用 | 长期缓慢上升不回落，警惕内存泄漏类问题 |
| 吞吐 | 单位时间实际转发的流量 | 与链路带宽对比可看出设备与链路哪个先到瓶颈 |
| 丢包计数 | 设备侧丢包或队列溢出计数 | 应长期为 0，出现增长要区分是拥塞还是设备处理不及 |
| 检测会话数 | 当前正在跟踪的会话数量 | 接近上限时新建连接会失败，与 CPU 无关 |
基线要覆盖业务高峰，只在空闲时段采样得到的数字没有参考意义。建议固定采样脚本与时段，让每次采集口径完全一致，否则前后对比会变成伪对比。