高速包分類協(xié)處理器及網(wǎng)絡(luò)平臺研究.pdf

1、因特網(wǎng)的骨架由路由器(交換機)以及路由器之間的高速物理鏈路組成。因特網(wǎng)連接成千上萬個大小不同的本地網(wǎng)絡(luò)，每個本地網(wǎng)絡(luò)通過防火墻或者邊緣路由器和因特網(wǎng)互聯(lián)。因此，路由器和防火墻的性能決定了因特網(wǎng)的容量和靈活性，也是因特網(wǎng)的瓶頸所在。因特網(wǎng)是包交換網(wǎng)絡(luò)，其傳輸信息的基本單位是網(wǎng)絡(luò)包(IP包)。節(jié)點之間使用IP協(xié)議通信。網(wǎng)絡(luò)包沿著各自傳遞路徑，從一個節(jié)點傳輸?shù)搅硪粋€節(jié)點，最終到達(dá)目的地。路由器和防火墻均是因特網(wǎng)的網(wǎng)絡(luò)包傳輸處理中間節(jié)點，網(wǎng)絡(luò)包

2、從它們的一個端口進(jìn)入，經(jīng)過處理后從另一個端口輸出或被過濾。因此，網(wǎng)絡(luò)包的處理速度和靈活性是路由器和防火墻設(shè)計要考慮的最重要問題。 包分類是路由器和防火墻中的一類網(wǎng)絡(luò)包處理技術(shù)。隨著因特網(wǎng)的蓬勃發(fā)展，網(wǎng)絡(luò)負(fù)載迅速增長，超過了路由器容量的增長速度，導(dǎo)致網(wǎng)絡(luò)擁塞和報文丟失現(xiàn)象。傳統(tǒng)路由器對每個網(wǎng)絡(luò)包都“平等、盡力服務(wù)”的形式已經(jīng)不再使所有網(wǎng)絡(luò)用戶滿意，有的用戶愿意花費更多的錢來獲得更好的網(wǎng)絡(luò)服務(wù)。在這種背景下，網(wǎng)絡(luò)服務(wù)提供商為了最大化

3、利潤，對路由器技術(shù)提出了差別服務(wù)，流量計費等要求，這些要求直接促成了包分類技術(shù)的發(fā)展和應(yīng)用。隨著多媒體業(yè)務(wù)，P2P應(yīng)用的日益普及，以及惡意攻擊和掃描，病毒和蠕蟲等在因特網(wǎng)上的泛濫，要求防火墻設(shè)備能夠以很高的速度，在一秒鐘之內(nèi)處理大量的網(wǎng)絡(luò)連接，并跟蹤這些連接狀態(tài)。所有這些背景和應(yīng)用都要求路由器和防火墻設(shè)備要能對流入接口的網(wǎng)絡(luò)包進(jìn)行分類，根據(jù)網(wǎng)絡(luò)包的源地址、目的地址、源端口號、目的端口號等域的內(nèi)容，與既定的規(guī)則集匹配，識別不同的網(wǎng)絡(luò)包，并

4、對其特殊處理。 目前，隨著網(wǎng)絡(luò)安全需求的不斷提高，對防火墻的性能要求也在不斷提高。防火墻經(jīng)過過去基于軟件的三個時代的發(fā)展，正向第四代硬件防火墻過渡。我國防火墻的市場很大，國產(chǎn)防火墻基本都是低端產(chǎn)品，高端市場基本上被Cisco、Juniper、CheckPoint等公司產(chǎn)品壟斷，而高端防火墻主要用于金融、國家安全等重要網(wǎng)絡(luò)資源的保護，長期使用國外防火墻產(chǎn)品已經(jīng)引起國家有關(guān)部門的關(guān)注，岡此開發(fā)我們擁有自主知識產(chǎn)權(quán)的高端防火墻無論在經(jīng)

5、濟上還是政治上都有重要意義。 第四代防火墻設(shè)備基于深度包檢測技術(shù)，深度包檢測技術(shù)要求防火墻對網(wǎng)絡(luò)包的識別能力達(dá)到應(yīng)用層內(nèi)容，即深度包分類。它不僅可以按照網(wǎng)絡(luò)第3層(網(wǎng)絡(luò)層)協(xié)議和第4層(傳輸層)協(xié)議對網(wǎng)絡(luò)包分類，還可以根據(jù)應(yīng)用層的內(nèi)容對網(wǎng)絡(luò)包分類。對網(wǎng)絡(luò)包分類的程度越深，防火墻對包的了解就越清晰，因而對包的控制就越精細(xì)。但隨著分類深度的加深，每個網(wǎng)絡(luò)包的處理速度就會急劇下降，這樣防火墑設(shè)備就可能導(dǎo)致網(wǎng)絡(luò)的傳輸瓶頸。因而，設(shè)法提高

6、包分類速度，是能否實現(xiàn)高性能防火墑的關(guān)鍵。目前，國際上常用的包分類技術(shù)可以分為兩大類，一類是基于高效率的包分類算法，改善算法提高分類速度，由于這些算法在通用CPU上運行，到目前為止，單純的分類速度仍不能滿足防火墑的需要；另一類是基于CAM或網(wǎng)絡(luò)處理器的硬件實現(xiàn)，但由于CAM本身存在著功耗大、集成度較低，以及不能實現(xiàn)范圍搜索等缺點，其應(yīng)用也有一定的限制。多方面研究表明，目前還沒有一種簡單通用的方法能夠提供滿足高線速處理要求的深度包分類，包

7、分類技術(shù)應(yīng)該是各種算法和結(jié)構(gòu)的有機結(jié)合。根據(jù)應(yīng)用目的的不同，通過合理組合算法、CAM、通剛CPU、網(wǎng)絡(luò)處理器等來提高性能。 本文充分調(diào)研了目前包分類技術(shù)的發(fā)展?fàn)顩r和應(yīng)用前景，對比了多種包分類技術(shù)的實現(xiàn)原理，并結(jié)合我們目前的實際情況(綜合考慮成本、功耗和包分類性能)，面向自主研發(fā)高性能的硬件防火墻設(shè)備，設(shè)計實現(xiàn)了一個基于FPGA的高速包分類協(xié)處理器，這是本文的第一部分和第二部分內(nèi)容。協(xié)處理器將硬件邏輯實現(xiàn)的包分類引擎和管理調(diào)度接口

8、集成到一個FPGA上，兼具較高的包分類性能和靈活性。本文的第三部分內(nèi)容是基于上述包分類FPGA協(xié)處理器，將協(xié)處理器和嵌入式處理器相結(jié)合，構(gòu)成高性能防火墻的研究開發(fā)平臺，在此基礎(chǔ)上展開基于我們自主核心技術(shù)的高性能防火墻的研發(fā)。本文設(shè)計和實現(xiàn)了一個嵌入式網(wǎng)絡(luò)處理平臺，一方面，網(wǎng)絡(luò)處理平臺作為包分類技術(shù)研究平臺，可以對包分類協(xié)處理器進(jìn)行調(diào)試和性能測試；另一方面，網(wǎng)絡(luò)處理平臺自身形成一個完整的網(wǎng)絡(luò)包處理系統(tǒng)，可實現(xiàn)網(wǎng)絡(luò)業(yè)務(wù)的實際開發(fā)。本文的第四

9、部分內(nèi)容是針對上述包分類FPGA協(xié)處理器和網(wǎng)絡(luò)處理平臺進(jìn)行測試，測試結(jié)果和總結(jié)將在本文第五章和第六章描述。下面概要說明本文各章的具體內(nèi)容。 第一章是序言，介紹包分類技術(shù)產(chǎn)生的背景、意義，以及要達(dá)到的目標(biāo),并描述本文的工作內(nèi)容、研究方法和研究意義。 第二章是網(wǎng)絡(luò)包分類技術(shù)，指出包分類技術(shù)所面臨的挑戰(zhàn)，總結(jié)目前國內(nèi)外在包分類技術(shù)方面已有的工作，對一些有代表性的算法和技術(shù)作詳細(xì)的分析比較。 第三章是基于FPGA的包分類

10、協(xié)處理器，描述本文設(shè)計的包分類FPGA協(xié)處理器的體系結(jié)構(gòu)，它由包分類引擎和控制邏輯組成，介紹包分類引擎的硬件設(shè)計，以及協(xié)處理器的控制和管理。 第四章是嵌入式包分類網(wǎng)絡(luò)處理平臺，介紹包分類網(wǎng)絡(luò)處理平臺的總體結(jié)構(gòu)、硬件設(shè)計和軟件設(shè)計。包分類網(wǎng)絡(luò)處理平臺主要由一個主控嵌入式處理器和包分類FPGA協(xié)處理器組成，嵌入式處理器上運行GNU/Linux操作系統(tǒng)，負(fù)責(zé)對整個網(wǎng)絡(luò)處理平臺的管理和調(diào)度，并提供完備的用戶接口。這種設(shè)計方式使得：一方面