两台设备标称的新建连接数相近，实际表现仍可能不同：一台能承受短促突发，另一台更适合持续到达的连接。评估流量清洗设备每秒新建连接处理能力如何评估，关键是统一计数口径，再结合峰值持续时间、连接类型和资源余量判断，不能把参数表上的单个数字直接当作可用能力。
先弄清“每秒新建连接”统计的是什么
通常用 CPS（每秒新建连接数）描述连接建立速率，但测试结果会受协议与统计位置影响。TCP连接可以按收到首个握手报文、完成握手，或设备开始转发来计数；UDP没有同样的握手过程，设备可能依据流表创建规则计数。比较数据前，应让供应方说明计数点、成功判定、超时规则，以及统计是否包含被丢弃或清洗的连接。
还要区分 CPS 与并发连接数：CPS关注单位时间内新建多少连接，并发数关注某一时刻仍被跟踪的连接总量。连接持续时间越长，同样的到达速率越容易累积成更大的状态表压力。带宽或 PPS（每秒数据包数）也不能替代 CPS，它们分别反映数据传输量和包处理速率。
用峰值形态而非单个数字做测试
区分突发、持续与混合负载
先在授权、隔离的测试环境中确定基线，再逐档提高新建速率。至少记录短时突发和持续负载两类结果：突发测试看瞬时排队与丢弃，持续测试看设备能否稳定处理并避免资源逐步耗尽。可将每档稳定运行约5至15分钟作为初步观察窗口；若业务峰值更长，应按实际峰值持续时间延长测试。这个时间范围是测试建议，并非所有设备通用的验收标准。
负载组合应贴近实际：改变连接保持时间、源与目的地址数量、TCP与UDP比例，并区分短连接和长连接。若只用大量重复的同一组流量特征，结果可能无法代表多样化连接带来的查表与调度开销。测试时同时记录连接建立成功率、时延、丢弃情况和处理速率。
检查设备内部的余量
观察处理器占用、内存、网卡队列、设备告警及连接跟踪表使用率；设备若提供按转发模块或处理核心统计的数据，也应一并查看。对基于 Linux 的测试组件，可用 ss观察主机套接字状态，或在启用相应功能时查看 conntrack 计数；这些只能辅助排查，不能替代清洗设备自身的遥测数据。网络流量发生丢弃时，也要区分设备资源不足与测试端、交换链路等外部瓶颈。
可复现的评估步骤
- 确认边界：记录设备型号与配置、软件版本、接口速率、部署拓扑、协议范围和计数口径；未经授权，不要对生产网络施加压力测试。
- 设定基线：在低负载下验证流量生成器、接收端和链路均未成为瓶颈，并校对生成数与设备计数是否一致。
- 分档升压：按固定步长逐渐提高 CPS，每档观察稳定状态，再单独测试更短的突发；不要只测试一个峰值点。
- 重复并对照：分别改变连接时长和协议组合，重复测试；保存速率、成功率、时延、丢弃、CPU及表项占用曲线。
- 确定可用值：以业务要求下仍能稳定处理的最高档作为参考，并预留资源余量。可先把峰值能力的约20%至30%作为预留讨论起点，再按增长预测、故障切换和测量波动调整；这不是固定行业标准。
如何读懂测试结论
若突发档位短暂达标、持续档位却出现成功率下降或表项逼近上限，应按持续能力规划，并确认突发缓冲能维持多久。若 CPU 不高但丢弃增加，应检查连接表容量、网卡队列和转发路径；若生成端先到极限，结果只能说明测试平台能力不足。最终报告应写明环境、计数口径、峰值速率、持续时间和余量，避免只留下一个脱离条件的 CPS 数字。
因此，回答流量清洗设备每秒新建连接处理能力如何评估，应以可复现的峰值测试和资源监测为依据，分别给出突发上限、持续可用值及适用条件，而不是只引用标称值。
常见问题
标称 CPS 是否等于实际可用能力？
不一定。统计口径、协议、流量形态、设备配置和测试持续时间都会影响结果，应核对测试条件后再比较。
连接建立成功率应达到多少？
没有适用于所有场景的统一数值。应按业务目标设定验收门槛，并在同一测试条件下同时报告成功率与设备丢弃情况。
为什么 CPS 达标，连接跟踪表仍可能耗尽？
CPS是新建速率，并发状态取决于连接到达速度与存续时间。连接保持得越久，表项累积越多；还需检查超时策略及表项上限。
流量生成器会影响测试结论吗？
会。生成端处理能力、端口数量、链路和报文配置都可能限制负载。测试前应确认这些环节能稳定提供目标流量，并对照设备侧计数。
