多核防火墙浅析.doc

多核防火墙浅析 王子军 大连辽南船厂辽宁11604l 摘要：本文讨论了现今网络安全的重要设备防火墙，在与传统防火墙的比较中详细介绍了多核防火墙，包括构架，原理， 以及各种参数。并在对比中指出新一代防火墙的发展方向。 关键词：多核防火墙；网络安全；X86l ASICl NP 0引言 为各种业务提供高品质高性能的服务。这对作为出口设备的 随着信息技术的飞速发展，互联网已经成为我们生活中 防火墙提出两大挑战：业务能力的增强即在安全防御的基础 上，对ⅦN，P2P限速等应用功能的支持。以及处理性能的 不可或缺的一部分，它给我们的工作学习生活带来了前所未 有的方便，与此同时，也将潜在的威胁悄悄的植入其中，对 提升即多用户的支持、多出口高速率的扩展等。 于信息管理人员来说，整个局域网的安全是重中之重，先让 我们回顾下近期国内外发生的重大信息安全事故：家乐福中 国网站连续两次遭遇黑客攻击被黑，部分红十字会官方网站 遭非法入侵，不法分子篡改网站面向全社会发布抗震救灾募 捐的专用账号；美超市遭黑客入侵三个月近四百万个信用卡 遭泄露等等事件不堪穷举。 1 防火墙的两大挑战 黑客的攻击是随机的，他向网络中植入木马病毒，该病 毒会向所有网络发起随机攻击，对于已经修补过漏洞的系统， 病毒被拒之门外；但是，一旦发现没有修补漏洞的系统，病 毒就会轻而易举的入侵系统，或加以破坏，或发布不良信息， 图1 攻击模式 2传统防火墙分析 X86平台通常使用一个或多个主CPu来处理业务数据， 或窃取机密信息，同时，将攻占的系统作为基地再次向外辐 网卡芯片和CPU通过PCI总线来传输数据。 射攻击。从这个典型的共计模型中我们可以看到，最为有效 由于传统的32位PCI总线频率为33MHz，所以，理论 的防护方法就是在整个系统外面做好。门卫”，检查进入系统 通讯速率为：132 MB Bytes／S即：1056 MBits／S．单从PCI通 的数据，并加以分析，放行可信正常的数据，阻断那些危险 讯的速率上来说是可以满足千兆防火墙的需要，但实际上Pa 的病毒数据。而这个“门卫”就是我们所要阐述的。防火墙” 总线在x86系统中是共享的，也就足说，如果有两个网卡同时 (图1)。 m网络技术和业务的飞速发展，网络中承载的业务类型 传输数据，那么每个网卡所能获得的速率就只有66 MB B蛐耐 越来越丰富，关键业务越来越多。从业务类型来看，语音、视 S，即：528Mbi耐S，如果有四个网口同时传输数据，则每个 频、数据业务实现了在IP网络中的统一承载。从应用业务来 网卡所能获得的速度只有16 MB Bytes／S，即128Mbit／S． 看，P2P、ⅥN、数据加速等应用越来越多。各种应用对服务 从总线速度来看基于32位PCI总线的X86平台，做为百 质量、安全、可靠性的要求不尽相同，这就对出口设备的要 兆防火墙的方案足没有任何问题的。但x86平台的防火墙方 求越来越高，出口设备出了具备多业务能力的扩展，并还要 案，数据从网卡到cPu之间的传输机制是靠“中断”来实现 32瞳略安宝技7lt与匝用硼． 万方数据  的，中断机制导致在有大量数据包需要处理的情况下(如：“ Bytes的小包，以下简称小包)，X86平台的防火墙吞吐速率 不高，大概在30％左右，并且CPU占用会很高。这是所有基 于X86平台的防火墙所共同存在的问题。 因此，基于32位PCI总线的X86平台是不能做为千兆防 火墙使用的，因为32位PCI总线的通讯速率不能达到千兆防 火墙的要求。针对这个问题，Intel提出了解决方案，可以把 32位的PCI总线升级到了PCI-E，即：PCI· D【pI岱s，这样，PCI· E 4X的总线的速度就可以达到2000MB B蛐耐S，即：16Gbi耐 S，并且PCH!各个PCI设备之间互相独立不共享总线带宽，每 图2 多核防火墙 个基于PCI· E的网口可以使用的带宽为：2000MB Bytes／S， 多核防火墙就是拥有多核处理器的防火墙，所谓多核处 理器，是在同一个硅晶片上集成了多个独立物理核心(所谓核 即：16Gbit瞒，所以基于PCI· E4X的X86从系统带宽上来说， 做为千兆防火墙是没有任何问题的。但是，基于PCI-E的防火 心，就是指处理器内部负责计算、接受／存储命令，处理数据 的执行中心，可以理解成一个单核CPU)，每个核心都具有独 墙数据从网卡到CPu之间传输同样使用“中断”机制来传输 数据，所以小包(“Bytes)的通过率仍然为：30_40％。 立的逻辑结构，包括缓存、执行单元、指令级单元和总线接 x86平台的防火墙其最大的缺点就是小包通速率低，只 口等逻辑单元，通过高速总线、内存共享进行通信。在实际 工作中，每个核心可以在相对节能的方式下运行，牺牲