多核防火墙浅析介绍.pdfVIP

多核防火墙浅析 王子军 大连辽南船厂辽宁11604l 摘要：本文讨论了现今网络安全的重要设备防火墙，在与传统防火墙的比较中详细介绍了多核防火墙，包括构架，原理， 以及各种参数。并在对比中指出新一代防火墙的发展方向。 NP 关键词：多核防火墙；网络安全；X86lASICl 0引言 为各种业务提供高品质高性能的服务。这对作为出口设备的 随着信息技术的飞速发展，互联网已经成为我们生活中 防火墙提出两大挑战：业务能力的增强即在安全防御的基础 不可或缺的一部分，它给我们的工作学习生活带来了前所未 上，对ⅦN，P2P限速等应用功能的支持。以及处理性能的 有的方便，与此同时，也将潜在的威胁悄悄的植入其中，对 提升即多用户的支持、多出口高速率的扩展等。 于信息管理人员来说，整个局域网的安全是重中之重，先让 我们回顾下近期国内外发生的重大信息安全事故：家乐福中 国网站连续两次遭遇黑客攻击被黑，部分红十字会官方网站 遭非法入侵，不法分子篡改网站面向全社会发布抗震救灾募 捐的专用账号；美超市遭黑客入侵三个月近四百万个信用卡 遭泄露等等事件不堪穷举。 1 防火墙的两大挑战 黑客的攻击是随机的，他向网络中植入木马病毒，该病 毒会向所有网络发起随机攻击，对于已经修补过漏洞的系统， 图1 攻击模式 病毒被拒之门外；但是，一旦发现没有修补漏洞的系统，病 2传统防火墙分析 毒就会轻而易举的入侵系统，或加以破坏，或发布不良信息， X86平台通常使用一个或多个主CPu来处理业务数据， 或窃取机密信息，同时，将攻占的系统作为基地再次向外辐 网卡芯片和CPU通过PCI总线来传输数据。 射攻击。从这个典型的共计模型中我们可以看到，最为有效 由于传统的32位PCI总线频率为33MHz，所以，理论 的防护方法就是在整个系统外面做好。门卫”，检查进入系统 MB 的数据，并加以分析，放行可信正常的数据，阻断那些危险 通讯速率为：132 Bytes／S即：1056MBits／S．单从PCI通 的病毒数据。而这个“门卫”就是我们所要阐述的。防火墙” 讯的速率上来说是可以满足千兆防火墙的需要，但实际上Pa (图1)。 总线在x86系统中是共享的，也就足说，如果有两个网卡同时 MB m网络技术和业务的飞速发展，网络中承载的业务类型 传输数据，那么每个网卡所能获得的速率就只有66 B蛐耐 越来越丰富，关键业务越来越多。从业务类型来看，语音、视 S，即：528Mbi耐S，如果有四个网口同时传输数据，则每个 MB 频、数据业务实现了在IP网络中的统一承载。从应用业务来 网卡所能获得的速度只有16 Bytes／S，即128Mbit／S． 看，P2P、ⅥN、数据加速等应用越来越多。各种应用对服务 从总线速度来看基于32位PCI总线的X86平台，做为百 质量、安全、可靠性的要求不尽相同，这就对出口设备的要 兆防火墙的方案足没有任何问题的。但x86平台的防火墙方 求越来越高，出口设备出了具备多业务能力的扩展，并还要 案，数据从网卡到cPu之间的传输机制是靠“中断”来实现 32瞳略安宝技7lt与匝用硼． 万方数据 的，中断机制导致在有大量数据包需要处理的情况下(如：“ Bytes的小包，以下简称小包)，X86平台的防火墙吞吐速率 不高，大概在30％左右，并且CPU占用会很高。这是所有基 于X