网络处理器及在网络安全中的应用.ppt

《网络处理器及在网络安全中的应用.ppt》由会员分享，可在线阅读，更多相关《网络处理器及在网络安全中的应用.ppt（32页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、北京中科网威信息技术有限公司 http:/网络处理器及在网络安全中的应用 Still waters run deep.流静水深流静水深,人静心深人静心深 Where there is life,there is hope。有生命必有希望。有生命必有希望北京中科网威信息技术有限公司 http:/网络处理器特性u可编程性-programable；u简单的编程模式simpleprogrammingmode;u最大化系统灵活性maximizingthesystemsflexibilities;u高处理能力highperformance;u高度功能集成highlyfunctionallyintegrat

2、ion;u开放的编程接口openprogramminginterface;u第三方支持能力thirdsupporting;DavidHusak认为-北京中科网威信息技术有限公司 http:/网络处理器的分类u全编程型n代表厂家为Intel、Cognigine；n优点是灵活性强；n缺点是比较复杂，熟练掌握有难度；u流水并行处理型n代表厂家Agere和Ezchipn优点是实现数据层面功能比较简单；北京中科网威信息技术有限公司 http:/网络处理器的分类u固定功能型n代表厂家AMCC；n缺少灵活性，但效率高、易于实现；u多核通用处理SOC型n代表厂家是Broadcom公司；n优点是灵活性强，便于掌

3、握；n需要结合硬件进行系统优化；北京中科网威信息技术有限公司 http:/IBMNP4GS3u遵循PowerNP体系；nEPC(EmbeddedProcessorcomplex)n指令存储器；nMAC；nFabric接口；n固定功能逻辑；u16个picoprocessor；u多个加速器件；uPowerPC405处理器；u线程切换和包处理模式具有创造性；n2001年度“MicroprocessorReportAnalystsChoiceAward”北京中科网威信息技术有限公司 http:/IBMNP4GS3u基于P4GS3的清晰的产品开发流程；u各种加速逻辑可以通过编写代码来整合；u提供了丰富的

4、API和工具；u编制了详实的技术指导文档；北京中科网威信息技术有限公司 http:/北京中科网威信息技术有限公司 http:/IXP2400/2800u内部包含一个通用600MhzxscaleRISC核;n初始化和管理层面的工作由xscale负责;u内部集成了8个微引擎（Microengine）;n照四个一组分为两组;n每个微引擎可以启动多个线程;u微引擎可容纳4096条指令,每条指令40比特宽，并通过校验防止错误；u硬件实现CRC校验、随机数发生器、乘法器和计时器功能；北京中科网威信息技术有限公司 http:/IXP2400/2800u提供大量专用和通用寄存器、Hash逻辑；u拥有两个QDR

5、SRAM接口；u通用内存控制器支持DDRDRAM，最大容量达1Gb；u内嵌MSF(MediaandSwitchFabric)接口；uIXP2800微引擎增加到16个，并增加了加解密硬件；北京中科网威信息技术有限公司 http:/北京中科网威信息技术有限公司 http:/BCM1250/1255/1280u集成三个10/100/1000兆以太MAC；u双内存访问通道，带宽最高可达50Gbps；uHyperTransport高速端口能提供19.2Gbps的通讯能力；u1GHz条件下，两个MIPS核具有4000MIPS或10Mpps的处理能力；u双核支持非对称配置；u面向网络分组处理优化的内部ZBu

6、s总线；北京中科网威信息技术有限公司 http:/北京中科网威信息技术有限公司 http:/当前网络面临的挑战u带宽需求迅猛增长；u网络服务从简单的浏览到多媒体等高层次、交互式服务；u通用处理器的处理能力的增长远远不能满足数据层面的要求；u异构网络、多种接口形式；u性能、灵活性、兼容性；u快速开发和生存期延长的要求；北京中科网威信息技术有限公司 http:/北京中科网威信息技术有限公司 http:/网络安全面临的挑战u个人的私密信息由于网络问题被泄漏；u各种关键数据的完整性受到来自网络内部、外部的威胁，如金融、证券等行业的交易数据；u网络中用户的身份鉴别问题；u网络服务和应用的授权问题；u网络

7、活动的不合否认问题；u特定服务的有效性；北京中科网威信息技术有限公司 http:/网络安全产品u百兆、千兆防火墙设备uIDS系统；uVPN软件、芯片和设备；u加解密软件、芯片和设备；u路由器、交换机和多服务接入设备等；u认证设备或系统；北京中科网威信息技术有限公司 http:/网络处理的层次u数据层面u控制层面u管理层面北京中科网威信息技术有限公司 http:/防火墙发展阶段u访问控制列表（访问控制列表（Access control lists）u应用代理软件（应用代理软件（Application proxies）u状态检测（状态检测（Stateful inspection）u深度包检测深度包

8、检测北京中科网威信息技术有限公司 http:/深度包检测深度包检测u面向应用u面向数据流u需要进行特征匹配u甚至一个字节一个字节的匹配；n防火墙需要在特征匹配方面具有高性能！防火墙需要在特征匹配方面具有高性能！北京中科网威信息技术有限公司 http:/IDS产品的发展方向u降低漏报率和误报率；u协议分析u异常分析北京中科网威信息技术有限公司 http:/安全功能和通用网络设备的融合uVPNu加解密卡和认证系统u防火墙和IDS结合u面向路由器端口的防火墙应用；u防病毒墙u带有路由或交换功能的防火墙；北京中科网威信息技术有限公司 http:/包处理流程北京中科网威信息技术有限公司 http:/包分

9、类的基本算法uRecursiveFlowClassificationuHierarchicaltriesuSet-pruningtriesuGridoftriesuArea-basedquadtree(AQT)uHierachicalintelligentcutting(HiCuts)u*Fatinvertedsegmenttree（FIST)uBitmap-IntersectionuTuplespacesearch参考 Xuehong Sun IP address lookup and packet classification北京中科网威信息技术有限公司 http:/Algorithm T

10、ime StorageLinear search N(1000)*N(1000)*Ternary CAM *1 *N(1000)Hierarchical tries Wd(107)*NdW(105)Set-pruning tries *dW(100)Nd(1015)Grid-of-tries W(d-1)(106)*NdW(105)Cross-producting *dW(100)Nd(1015)*FIS-tree *(l+1)W(100)*lN(1+1/l)(104)RFC *d(5)Nd(1015)*Bitmap-intersection *d/W+N/men(100)*dN2(106)H

11、iCuts *d(5)Nd(1015)Tuple space search N(1000)*N(1000)包分类的基本算法N-prefix length;d-dimension;W-address lengthN=1000;d=5;w=32北京中科网威信息技术有限公司 http:/包分类协处理器IDTPAX.port1200北京中科网威信息技术有限公司 http:/不同应用的复杂度北京中科网威信息技术有限公司 http:/功能对网络处理能力的要求u假设系统吞吐量为1.2Gb/s(其余的数据见表1),nRTR所需要的运算量为1.2/8*2.1=315MIPS,nCAST需要的运算量为1.2/8*

12、104=15600MIPS.u网络处理器中单个处理元的处理能力仅为1500MIPS左右,nIBM的NP2G为1596MPIS、nIntel的IXP1200为1396MIPS.u系统负载处理的开销是相当庞大的,并且处理的层次越高,开销越大.摘自：谭章熹的网络处理器的分析与研究北京中科网威信息技术有限公司 http:/需要什么样的处理器？uIA-32服务器型nP3,P4;uXScale(ARM)n425,1200,2400uMotorolaC5uAMCCnP7510uIBMNP4GS3uBroadcom1250StatepacketfilterNAT/PATLoadBalanceAAAHA代理IP

13、S硬件平台VPN北京中科网威信息技术有限公司 http:/网络处理器在安全领域应用的策略u主要承担数据层面的工作；u发挥多核优势，以流水和并行的方式处理数据包；u协调多核操作，优化调度策略；u将计算密集型的操作转移到协处理器上完成；u协调DMA和包处理过程；北京中科网威信息技术有限公司 http:/性能瓶颈uCPUDDRSDRAM;nP4-i875P-DDR3.2GB/snSb1-DDR6.4GB/suEthernetDDRSDRAM/SRAM;nDMA-i875P-DDR-L2;nDMA-L2;nDMA-SRAM-Register;uInterBus(I/OHubZBus)uCoordination(MEs,ARM)北京中科网威信息技术有限公司 http:/网络处理器参考框架北京中科网威信息技术有限公司 http:/网络处理器应用的案例NPFW1000防火墙硬件平台防火墙硬件平台