基于IXP2400的防火墙系统的设计与实现.pdfVIP

计算机研究与发展 ISSN 1000．．12391CN11．．1777]TP of Researchand JournalComputer Development 基于IXP 2400的防火墙系统的设计与实现 丁 乐 罗军舟 孙 宇 杨 明 (东南大学计算机科学与工程学院南京210096) (dingle@seu．edu．cn) and ofaFirewallBasedonIXP2400 DesignImplementationSystem Le，LuoJunzhou，Sun Ding Yu，andYangMing (SchoolofComputerScienceEngineering，Southeast210096) University，Nanjing AbstractForthedilemma and oftraditional firewall based concerningspeedflexibility firewalls，asystem onIntelIXP2400is and theoverall schemealsothe designedimplemented．Notonly design but detailed schemeandcorrelative ofitsmodulessuchas andVPNare design algorithms forwarder，filter，NAT given． resultsshow The thatthefirewall can runwellinthelinerate． testing systemgenerally wordsnetwork 2400 Key security；firewall；networkprocessor；IXP IXP 摘要针对传统防火墙在性能和灵活性需求上难以兼顾的问题，设计并实现了一个基于Intel 2400的防火墙系统，在给出系统整体设计方案的基础上，对该系统的路由转发、包过滤、网络地址转换、 虚拟专用网等模块给出了详细设计方案，并对其中涉及的算法做了具体描述．经测试证明该防火墙系 统具备线速处理能力． 2400 关键词 网络安全；防火墙；网络处理器；IXP 中图法分类号TP393．08 传统的防火墙分为X86架构和ASIC架构，前分析；最后对论文进行总结． 者采用通用的CPU和主板，以软件方式实现防火墙 功能，虽然功能上相当灵活，但由于CPU处理能力 1 防火墙系统的整体设计 及PCI总线速度的制约，在性能上难以满足千兆骨 1．1 IntelIXP 干网的应用需求；而后者通过把防火墙应用相关指 2400网络处理器 令和计算逻辑固化到ASIC芯片中，从而获得极高 IntelIXP 的处理能力，但灵活性差，开发周期长，成本高。针 面向中高端应用的网络处理器，可用于实现OC-48 对两者的缺点，网络处理器(network processor)应运(2．4Gbp