必要 Cookie
架构与采购指南
Defense Fabric 与 FastNetMon Advanced 对比
FastNetMon Advanced 用于遥测及网络动作自动化，其文档现在也描述了 FastACL 这一 VPP 串联过滤插件。对比必须明确实际部署的组件。
各方案适合什么情况
Defense Fabric 提供本地过滤与策略工作流，包括服务器注册、共享授权端口池和 Peeryx 门户。安装版本和流量路径都需验证。
FastNetMon Advanced 可自动控制现有路由器或清洗服务。需要串联过滤时应单独评估 FastACL，不能从采集器订阅推断其可用性、支持和价格。
技术与商业对比
部署与流量路径
| 比较项目 | Peeryx Defense Fabric | FastNetMon Advanced / FastACL |
|---|---|---|
| 产品范围 | 在自有服务器上进行本地检测、报文过滤和策略管理。 [1] |
Advanced 负责检测与网络动作自动化；FastACL 是文档所述的 VPP 过滤组件。 [4] [5] |
| 专用设备或软件 | 需授权的 Linux 软件；服务器和网络由运营方提供。 [1] |
运行于运营方基础设施的软件；应区分核心采集器、实验性 XDP 和 FastACL。 [4] [6] [5] |
| 硬件要求 | 兼容的标准服务器和经过验证的网卡；要求 TPM 2.0。 [1] |
采集可使用标准服务器或虚拟机；串联网卡与数据面要求需单独验证。 [4] [5] |
| 本地部署 | 发布的安装环境：Debian 12、x86-64、VPP 25.10-release。 [1] |
采集器本地部署；串联 FastACL 运行在 VPP 内。 [4] [5] |
| 串联过滤 | 支持串联转发；物理旁路需单独设计。 [1] |
FastACL 支持桥接和路由过滤。独立的主机 XDP 功能标为实验性。 [5] [6] |
| 流量牵引 | 通过 BGP 将流量牵引至已验证的过滤下一跳，并使用独立的清洁返回路径。 [1] |
Advanced 自动化 BGP 牵引至外部清洗目的地。 [7] |
检测与防护
| 比较项目 | Peeryx Defense Fabric | FastNetMon Advanced / FastACL |
|---|---|---|
| NetFlow / sFlow / IPFIX | 支持 sFlow、NetFlow 和 IPFIX 采集；需验证采样与导出延迟。 [1] |
文档支持 sFlow、NetFlow、IPFIX 与镜像报文输入。 [4] |
| 报文检查 | 基于 VPP 的本地报文过滤；采样证据不是完整攻击抓包。 [1] |
镜像报文分析与独立串联执行；需确认具体使用的引擎。 [4] [5] |
| L3/L4 过滤 | 协议阈值、TCP 验证、源地址配额以及过滤后的防火墙策略。 [1] |
FlowSpec 规则由路由器或选定的串联组件执行。 [7] [5] |
| 应用层覆盖范围 | 协议专用模块需逐项验证；不承诺通用 WAF 或任意 L7 覆盖。 [1] |
文档中的 FlowSpec 生成器分析 L3/L4，不分析应用载荷。 [7] |
| 自动生成攻击特征 | 自适应特征可观察或实际应用；需验证对合法流量的影响。 [1] |
通过流量样本统计生成攻击规则。 [7] |
| BGP FlowSpec | 支持模拟和实际导出；要求兼容路由器及 BGP 地址族；面板上限为 50 条规则。 [1] |
Advanced 生成 BGP FlowSpec；FastACL 匹配 IPv4/IPv6 FlowSpec 类规则。 [7] [5] |
| BGP 流量调度 | 由代理管理会话与流量牵引；需确认 FIB 中的安装和撤销。 [1] |
BGP 路由动作与清洗牵引；需验证已安装下一跳和撤销。 [7] |
| RTBH 黑洞路由 | 目的地址黑洞作为最后手段；正常流量也会被丢弃。 [1] |
支持自动 BGP 黑洞通告。 [7] |
| 游戏专用防护 | 可选 Game 模块；下单前需验证每个协议和架构。 [3] |
游戏流量需单独验证；L3/L4 检测不保证游戏会话验证。 [7] |
运维与连续性
| 比较项目 | Peeryx Defense Fabric | FastNetMon Advanced / FastACL |
|---|---|---|
| 报告与取证 | 面板历史记录及可用的 PCAP、ZIP、PDF 证据；受采样和保留期限限制。 [1] |
指标与攻击历史；LiveView 为可选付费网页界面。 [4] [8] |
| API 与自动化接口 | 公开带身份认证的 OpenAPI；带修订号的变更在节点应用前保持待处理状态。 [2] |
提供 Advanced API 和回调文档；FastACL 有 VPP CLI 参考。 [9] [5] |
| 高可用性 | 网络故障切换需规划；增加第二台服务器不等于自动复制连接状态。 [1] |
有高可用部署文档；额外实例必须纳入授权。 [10] [8] |
| 多服务器或多站点 | 最多 128 台受管服务器共享端口池；第二条链路的 ECMP 需验证。 [1] |
支持多采集器和站点；适用实例数量与整体授权范围限制。 [8] |
| 自动运行 | 观察、自动与常驻模式；保持时间和退出阈值控制恢复。 [1] |
阈值驱动动作及恢复正常；具体响应由配置决定。 [7] |
授权、成本与验证
| 比较项目 | Peeryx Defense Fabric | FastNetMon Advanced / FastACL |
|---|---|---|
| 授权计量单位 | 基础授权含一个 10G 端口；额外端口及速率在服务器集群中共享授权池。 [3] |
Advanced 按观测流量和实例数授权；FastACL 商业条款需单独确认。 [8] [5] |
| 评估条件 | 14 天试用；新增服务器不会重置试用期，物理及激活限制仍然适用。 [1] |
Advanced 可试用一个月；需确认是否包含拟使用的串联组件。 [8] |
| 公开价格依据 | 每月 €350.00，未含税；服务器、网络和可选模块另计。 [3] |
Advanced 每月 115 USD 起，含 10G 观测流量及一个实例；月付订阅另收一次性 85 USD 激活费。 [8] |
| 支持范围 | Peeryx 技术支持；需明确部署职责及合同响应承诺。 [3] |
各计划有支持工单限额；企业条款及串联组件支持需确认。 [8] |
| 部署限制 | TPM、兼容网卡、管理 HTTPS 和已测试的路由；SYN proxy 要求对称路径。 [1] |
现行授权依据是全网入站与出站合计流量的平均值，不是 P95 或过滤吞吐量。 [8] |
| 性能依据 | 参考服务器尚无公开可复现基准测试；请测量自己的业务负载。 [1] |
观测带宽与串联吞吐是不同指标；未开展共同基准测试。 [8] [5] |
| 上游链路饱和 | 本地过滤无法缓解已饱和的上游链路；受保护的 IP Transit 是独立服务。 [1] |
链路饱和仍需在上游路由器执行防护，或购买清洗服务。 [4] |
价格保留公开的币种和计费周期。观测带宽、授权端口与过滤能力是不同指标，因此这些金额不是同等配置的报价。硬件、税费和附加服务可能增加总成本。
决策前需要核实的事项
- FastACL 支持 VPP 桥接及路由模式。较早的实验性主机 XDP 过滤器限制不同，两者不是同一实现。
- Advanced 定价基于观测网络流量与实例数量，这不代表有保证的清洗能力。
- 比较总额前，计入 LiveView 用户、附加实例、激活费用及串联组件条款。
要求各供应商使用相同负载演示
- 记录具体版本、硬件、报文大小、规则及正常业务流量。比较完整路径，而不只是端口标称速率。
- 在防护期间测试新建和已建立连接。除攻击吞吐量外，还要测量丢包率和应用时延。
- 分别测试导出设备失联、BGP 中断、节点故障、路由撤销和恢复，记录对客户流量的影响。
- 核算完整部署成本：实例、端口、模块、支持、硬件、机架、电力及网络服务。
对比依据
本对比由 Peeryx 根据下方列出的厂商公开文档和已发布的 Defense Fabric 版本编写，说明产品范围，不代表共同开展的性能测试。尚未确认的项目需针对具体报价配置核实，并不表示产品缺少该功能。外部来源通常为英文。
来源核查日期:
在您的网络中验证 Defense Fabric
准备服务器型号、接口速率、拓扑和正常流量特征。通过试用确认您实际计划部署的配置行为与处理能力。