Cisco Cisco Firepower Management Center 4000 User Guide

18-12

FireSIGHT 系统用户指南

第 18 章      使用入侵和文件策略控制流量       

  调整的入侵防御性能

数据包延迟阈值功能对被动式部署和内嵌式部署的性能均有提升作用，并且可以停止检测需要大
量处理时间的数据包，从而降低延迟。例如，这些性能优势可以在以下情形中发挥出来：

对于被动和内联式部署，多个规则依序检查一个数据包需要过长的时间

对于内联式部署，网络性能不佳（例如，当有人下载超大文件时）期间，数据包处理变慢。

在被动式部署中，停止数据包的处理可能无助于恢复网络性能，这是因为，只不过转至处理下一
数据包而已。

配置数据包延迟阈值设置　

许可证：保护

默认情况下系统提供的 Balanced Security and Connectivity 入侵策略已启用基于延迟的性能设置。
下表介绍了在配置数据包延迟阈值时可设置的选项。

可启用规则 134:3，这样，当系统因超过数据包延迟阈值而停止检查数据包时可生成事件。有关
详细信息，请参阅

。

很多因素影响系统性能和数据包延迟，如 CPU 速度、数据速率、数据包大小和协议类型。因此，
思科建议您使用下表中的阈值设置，直到您计算出了适合自己的网络环境的设置。

计算设置时请确定：

每秒的平均数据包数

每个数据包所需的平均微秒数

将网络中每个数据包所需的平均微秒数乘以一个较大的安全因子，以确保不必要地中止数据包检查。

表建议 1 G 环境中的最小数据包延迟阈值应为 100 微秒。此建议

的最小阈值所依据的测试数据为每秒平均 250,000 个数据包，即每微秒 0.25 个数据包，或每个数
据包用时 4 微秒。乘以因子 25 即得出建议的最小阈值 100 微秒。

要配置数据包延迟阈值，请执行以下操作：

访问：管理员/访问管理员/网络管理员

步骤 1

选择 

Policies > Access Control。

系统将显示 Access Control Policy 页面。

表 

数据包延迟阈值 选项

选项

说明

Threshold (microseconds) 指定数据包检查停止的时间，单位为微秒。有关所建议的最小阈值设

置，请参阅

表 

最小数据包延迟阈值设置 

针对此数据速率...

将阈值（微秒）设置为至少...

1 Gbps

100 

100 Mbps

250

5 Mbps

1000