IPS 性能与容量评估是什么
检测是计算密集型工作：每个报文都要与特征库匹配，还要维护会话状态。因此 IPS 的规格通常按吞吐、并发会话数、新建速率三个维度给出上限，且不同功能组合下的数值差异明显——开启解密、文件检测或沙箱后，标称吞吐会显著下降。容量评估的关键是按全功能开启的真实组合来核算，而不是按说明书上最大的那个数字采购。
基本信息
| 关键指标 | 吞吐、并发会话数、新建速率、时延增加 |
|---|---|
| 评估口径 | 按链路峰值与全功能开启后的规格留出余量 |
| 监控指标 | CPU、内存、会话使用率、检测丢包计数 |
| 降级表现 | 超出能力后可能出现丢包、检测漏报而非报错 |
| 规划周期 | 结合未来一到两年的业务增长预留空间 |
典型使用场景
- 出口设备选型：按当前峰值与增长预期比对规格并留余量
- 功能扩容前评估：准备开启解密或文件检测，先核算剩余性能空间
- 故障定位：业务时断时续，怀疑检测设备丢包，需要看检测丢包计数
- 高峰期验证：在业务高峰观察 CPU 与丢包计数，确认是否接近上限
- 双机改造评估：串联设备叠加后整体吞吐下降，需要重新核算链路能力
- 容量复盘：把关键指标记录成曲线，判断性能余量随业务增长的变化趋势
容量评估示例
容量评估示例
# 1. 统计链路峰值带宽与高峰并发会话数（取近 3 个月）
# 2. 查设备规格：全功能开启（含解密/文件检测）时的吞吐与会话数
# 3. 用峰值对比规格，余量建议不低于 30%
# 4. 注意新建速率瓶颈：短连接业务对新建速率更敏感
# 5. 开启新功能前后各做一次压测或观察，记录实际表现
# 6. 把指标纳入日常巡检，按趋势提前扩容指标与异常表现
| 指标 | 正常表现 | 接近上限的表现 |
|---|---|---|
| CPU | 高峰平稳，无长时间高占用 | 持续高位，业务响应变慢 |
| 会话使用率 | 峰值不超过规格的七成 | 新建连接失败或被拒绝 |
| 检测丢包计数 | 长期不增长 | 计数增长，业务随机超时 |
| 时延增加 | 在可接受范围内 | 交互类业务体验明显下降 |
| 新建速率 | 峰值低于规格 | 短连接业务偶发失败 |
性能不足的典型表现是漏报与随机丢包，而不是设备报错；只盯 CPU 不看丢包计数，容易长时间忽略已经超载的状态。
叠加解密与文件检测后规格会明显下降，扩容或新增功能的评估必须按「全部启用后」的规格计算。