基于NP技术千兆防火墙的开发研究.pdfVIP

维普资讯 44 福 建 电 脑 2005年第 12期 基于 NP技术千兆防火墙的开发研究 金华松 -高 梅 z (1．福建省科学技术信息研究所 福建 福州 350003；2．福建经济干部管理学院 福建 福州 350003) 【摘 要】 本文通过分析千兆防火墙国内外技术发展状况与趋势以及NP技术的性能和优势．提出了开发基于 NP技术千兆防火墙的技术要点和技术方法。 【关键词】 网络处理器 防火墙 千兆 1 引言 通过硬件实现．内部一般都集成了几个甚至几十个转发微引擎 近年来，干兆网络技术开始大规模应用，宽带网络迅速普 和硬件协处理器、硬件加速器，在实现复杂的拥塞管理、队列调 及．形成了又一次的宽带风暴：骨干网开始大规模采用干兆结 度、流分类和 QoS功能的前提下．同样可以达到极高的查找、转 构．百兆网络正逐渐从骨干网络退到边缘网络 。并逐步进行干兆 发性能．实现”硬转发”。 网改造。在这种网络发展的大环境下．随之而来的是架设在干兆 ②町以灵活扩展的硬件特性 ：由于NP可以支持编程，一旦 网络上的安全 问题。防火墙作为保障网络安全最主要的安全技 有新的技术或者需求出现，可以很方便地通过微码编程实现．系 术之一，是 目前需求最大 、应用最广的安全产品．带宽的增长促 统的 “硬件”功能可以通过软件模块 (微码)的方式方便地进行添 使干兆防火墙产品应运而生。日前虽然百兆防火墙产品还将存 加 、删除。所以，对于特殊的用户需求 ，基于NP的产品可以实现 在，但随著技术和应用的发展，必将会退出舞台，开发干兆防火 定制开发．即可以通过模块删减开发能满足不同用户需求的产 墙已经是业界关注的热点。 品。所以NP提供了更快的技术、功能跟进和更加灵活的扩展能 2 国内外技术发展状况与趋势 力．特别是在新规格、新标准的支持上 ，基于NP技术构建的产 2．1千兆防火墙的硬件体系结构实现的三种技术发展情况 品在当前业界对MPI．S／IPv6等等新兴标准的支持中已经明显表 目前．干兆防火墙的硬件体系结构实现技术主要有三种： 现出其优势。 lntelX86架构工控机 、专用集成电路 (ASIC)硬件加速技术和网 ③高可靠性 ：基于NP的设备提供了更高的集成度 ．大部分 络处理器 (NP)~II速技术。 功能都能使用一个或者两个芯片实现．从而避免了从前通过多 lntelX86架构以其高灵活性和扩展性一直受到国内防火墙 个芯片、芯片组系统问配合实现的方式所带来的隐患和功能、性 厂商的青睐．特别是它在酉兆防火墙上获得了巨大的成功。由于 能下降．NP芯片系统出厂前都经过了严格的测试和各种抗干扰 X86架构的CPU考虑了符种应用的需要．具有一般化的通用体 和破坏性试验．从而使采用 NP的系统的可靠性大大提高。所以 系结构和指令集，以求支持复杂的运算并容易开发新的功能。所 NP特别适合用于开发运营级或者核心层数据通信产品。 以CPU处理速度相对较慢 ．特别是X86架构的防火墙在网卡捕 ④丰富的流分类、拥塞管理、队列调度和QoS功能：大多数 包速度、内存速度和PCI总线速度上都受到制约。所以在实际应 NP都使用硬件的并行操作方式。实现了业界流行的各种算法。 用中，尤其在小包情况下 ，这种结构的防火墙远远达不到干兆的 为使用NP的设备提供了丰富和强大的QoS功能。很多以前用 转发速度 ．难以满足干兆骨干网络的应用要求。 软件实现时无法保证性能的大量、复杂策略 QoS、流操作等等功 采用ASIC 片技术通过把指令或计算逻辑冈化在硬件中 能，在使用了NP之后，可以更加容易的得到实现，同时．对性能 来获得很高的处理能力，可以为防火墙应用设计专门的数据包 没有影响．这在软件实现和基于ASIC的系统中是难以实现的。 处理流水线，优化存储器等资源的利用．是 目前公认的使防火墙 ⑤管理更加方便有效 ：NP都提供了和上层 CPU标准的接 达到千