117-基于CompactPCI的防火墙并行技术.pdf

基于CompactPCI 的防火墙并行技术研究1 李汉菊 李煜 华中科技大学计算机科学与工程系 湖北 武汉 430074 E-mail: liyuhust@hust.edu.cn 摘要 CompactPCI 是基于PCI 电气规范开发标准的高性能工业总线 作为一项提高 系统可用性的技术被广泛应用于电信 实时机器控制 军事系统 特别适用于系统控制 器 定制 I/O卡等嵌入式处理应用 本文提出了一种基于CompactPCI 技术的并行防火墙 模型 在此基础上讨论了动态负载均衡和容错的实现技术 关键词 防火墙 CompactPCI 负载均衡 容错 一 引言 防火墙等网络安全产品的出现 极大的缓解了全球的网络化趋势和网络安全之间的 矛盾 但随着网络带宽的不断突破,网络用户的增多以及网络应用的扩展 现有的防火墙 技术已经跟不上网络技术的发展 成为系统的瓶颈 当前网络安全的问题主要来自以下 几个方面 对带宽的无止境的追求 LAN 和WAN 中以太网速度的不断提高 安全技术 从客户端到服务提供商的转移 商务模式向主机托管和管理服务过渡 在网络的物理位置上 防火墙处在它所需要保护网络的网关位置 所有需要流入或 流出这个网络的数据 都需要经过防火墙 因此 如果防火墙在处理大量用户请求时的 效率不足 或者是由于用户服务请求数量过多的情况下的崩溃 就会造成网络服务中断 为了提高防火墙的性能 人们提出了并行防火墙的概念 按并行的层次的不同 一 般可以分为 多CPU 技术 多处理模块技术 多防火墙技术 多CPU 技术代价相对较小 效率较高 但是扩展性不强 而且由于技术本身的限制 多CPU 技术只能有限地提高防火墙的性能 多防火墙技术代价过大 而且效率不高 多 处理模块技术代价适中 效率较高 可扩展性强 是一种实现防火墙并行的理想技术 二 CompactPCI 技术 CompactPCI 总线标准是由具有 300 个成员的 PCI 工业计算机厂商组织 (PICMG)在 1995 年提出的,其宗旨是将高速发展的PCI 总线技术应用到在恶劣环境下 工作的工业计算机中 CompactPCI 汲取了PCI 总线以及VME(Versabus Module Europe) 1本文受国家信息安全应急计划301-6-1 国信安办2001-研 1-004 及武汉市科技计划项目20010 1111 的 资助. 总线技术的大部分精华,CompactPCI 的 CPU 及外设同标准 PCI 是相同的 并且 CompactPCI 系统使用与传统PCI 系统相同的芯片和相关软件 操作系统 驱动和应用 程序都感觉不到两者的区别 而且 CompactPCI 总线具有更好的机械特性 增强了 PCI 系统在电信或其它条件恶劣的工业环境中的可维护性和可靠性 作为一种集高性 能 低成本和可用软件 硬件于一体的板级技术 CompactPCI 正迅速成为一种新的全 球标准 推动板级新技术在众多市场和应用上大展身手 1 CompactPCI 的优点[1] 1 高扩展性 在CompactPCI 体系结构中 包含并扩展了现有的PCI 技术 使它能够适应电信 工业和其他相关市场上更高的要求 与其它技术不同 CompactPCI 不是在单一总线上 支持多板卡 而是使用网桥芯片 七个 CompactPCI 插槽可相互桥接成一个 PCI 总线 段 多个PCI 总线段组成一个单一完整的背板 这与标准PCI 总线技术支持的三插槽 形成明显的对比 2 提供更坚固的封装和连接 使用插槽的CompactPCI 板遵从Eurocard 封装标准 从而为PCI 环境增加了工业 级别的可靠性和可维护性 CompactPCI 的连接器本身是高低不同的针和槽式连接器 与标准PCI 插卡上的边缘连接器相比 这些针槽连接器可提供更快的传播速度 减少 接口上的反射 降低噪音 可更好地匹配阻抗 并且提高了机械可靠性 3 被动式背板 CompactPCI