高速网络流过滤关键技术研究与应用.pdfVIP

摘 要 随着网络的发展，网络上的非法信息严重威胁了网络的安全，因此，需要对有害的 或不符合安全策略的信息进行过滤。传统的过滤技术基于数据包头部进行过滤，但越来 越多的有害信息隐藏于数据包内容中，仅仅依靠传统的过滤技术无法有效的解决此问 题。由于正则表达式描述篚力强大、灵活、丰富，因此利用正则表达式匹配技术作为过 滤关键技术来实现对网络数据流的过滤。 Fmite 正则表达式规则转换成确定型有穷自动机(Deterministic 时存在“空间爆炸。商踅，会消耗大量的内存空间，导致无法有效选直接将DFA状态表 存储于内存里，因此，需要对DFA状态表进行压缩以减少占用的内存空间。在高速网 络流环境下，过滤数据需要消耗大量的计算能力，而现场可编程门阵列(Field— Gate Programmable Array,FPGA)具有硬件并行性的特点，很适合用来处理大量的网络 流。针对上述问题，结合FPGA并行加速的特点，本文研究基于正则表达式匹配的高速 网络流过滤技术，并在NetFPGA-10G平台上设计与实现高速网络流过滤系统。主要包 括以下几点： (1)提出一种改善ClusterFA压缩率的算法，称之为EnClusterFA算法。为了解 一 决正则表达式匹配中盼‘空间爆炸”问题，前人提出了基于簇聚类的DFA压缩算法，即 ClusterFA算法，但该算法的分组个数取理想值较为困难，且其类中心向量表中每一行 连续重复的转移状态出现频率较高。针对此问题，提出一种改善ClusterFA压缩率的算 法，即EnClusterFA算法：提取类中心向量表行与行之间相同的首尾部分，并对其进 行游程编码以建立索引表，然后对类中心向量表余下部分的转移状态进行游程编码。实 验结果表明，与ClustcrFA算法中DFA状态表的压缩率相比，En ClusterFA算法平均提 高了4％。 (2)利用En 平台上设计与实现高速网络流过滤系统：在硬件上通过精确串匹配和DFA匹配，识别 和过滤得到相应的网络流后将其传至内核驱动层对应的数据缓冲区，然后绕过协议栈， 直接拷贝至用户空间。为了验证精确串匹配和DFA匹配功能的正确性，在硬件里对过 滤得到的数据包个数分类进行统计，然后在用户界面上显示出来。实验结果验证了 En ClusterFA算法在FPGA上实现的正确性： 万方数据 关键词：现场可编程门阵列；EnClusterFA算法；确定型有穷自动机：正则表达式匹配； 过滤；NetFPGA．10G Ⅱ 万方数据 ABSTRACT Withthe the ofthenetworkthreatsthe of information network,the development illegal network’S is tofiltertheharmfulinformationwhich securityseriously．Therefore，itnecessary data violatesthe filterthe basedonthe securitypohcy．Tmdifionalfilteringtechniques packet and