基于FPGA的高速硬件防火墙报文检测系统设计.pdfVIP

电子发烧友电子发烧友 电子技术论坛电子技术论坛 基于FPGA的高速硬件防火墙报文检测系统设计 李长胜 龙文 (解放军信息工程大学信息工程学院 通信工程系 郑州 450002 ；） 摘要:在这篇论文中，我们介绍了一个基于FPGA的网络报文处理硬件平台并且分析了一种基于硬件的防火 墙报文检测系统结构。目前的基于软件的防火墙计算量非常大并且不能够满足现代网络带宽的需要。而基 于硬件的技术是加速网络处理的一个理想的办法。文章着重介绍了基于FPGA的IP报文过滤处理模块设计， 它是基于硬件防火墙的核心处理部分。过滤处理采用关键字匹配策略的重要特征是利用CAM作为处理单元。 CAM可以在超过2Gbps的速度下进行线速的入侵检测报文查找。 关键字：防火墙； 报文过滤； CAM； FPGA 中图文分类号：TP393 文献表示码：A 基金资助：总装武器装备基金项目 FPGA-based Efficient and High-Speed system design for Network Packets Inspection LiChangSheng LongWen (Information Engineering Institute PLA Information Engineering University Zhengzhou 450002) Abstract ：In this paper, we introduce a FPGA based development hardware platform for network packets processing and analysis an architecture for a hardware based Firewall.Current software-based Firewall are too compute intensive and can not meet the bandwidth requirements of a modern network. Thus, hardware techniques are desired to speed up network processing. This paper introduces a FPGA based IP packet filter that can serve as the core of a hardware based Firewall. Packet filter processor’s key feature is a cellular processor architecture that allows content addressable memory (CAM) to process variable sized keys. These CAMs allow us to perform intrusion detection signature lookups at line speed at rates well past 2 Gbps. Key words: Firewall; Packet filter; CAM; FPGA 一.引言 1.防火墙 防火墙技术作为必备的安全手段越来越多地应用于各种互联网络。但是传统防火墙的处 理速度已成为限制网络带宽的瓶颈，极大地制约了在网络中的实际应用。基于FPGA 的硬件 防火墙系统能具有良好的性能并能够更好的满足高速带宽的需要。防火墙具有包过滤、NAT 、 VPN 以及应用代理等功能。最基本的功能是包过滤，主要是根据定义好的过滤规则审查每个 数据包，根据匹配过滤规则来确定对数据包如何动作。与一般包过滤不同的还有动态包过滤， 它是根据数据包前面的报文描述的会话状态来检查包，从而确定如何对包进行过滤。此外防 火墙还具有健全的日志和审计功能。 2.CAM Memory-CAM）能够在一个硬件时钟周期内完