网络处理器及在网络安全中的应用-PPT课件.ppt

1、北京中科网威信息技术有限公司 http:/北京中科网威信息技术有限公司 http:/u可编程性-programable；u简单的编程模式 simple programming mode;u最大化系统灵活性 maximizing the systems flexibilities;u高处理能力 high performance;u高度功能集成 highly functionally integration;u开放的编程接口 open programming interface;u第三方支持能力 third supporting;David Husak 认为-北京中科网威信息技术有限公司 http

2、:/u全编程型 n代表厂家为Intel、Cognigine；n优点是灵活性强；n缺点是比较复杂，熟练掌握有难度；u流水并行处理型 n代表厂家Agere和Ezchip n优点是实现数据层面功能比较简单；北京中科网威信息技术有限公司 http:/u固定功能型 n代表厂家AMCC；n缺少灵活性，但效率高、易于实现；u多核通用处理SOC型n代表厂家是Broadcom 公司；n优点是灵活性强，便于掌握；n需要结合硬件进行系统优化；北京中科网威信息技术有限公司 http:/u遵循PowerNP体系；nEPC(Embedded Processor complex)n指令存储器；nMAC；nFabric接口；

3、n固定功能逻辑；u16个picoprocessor；u多个加速器件；uPowerPC 405处理器；u线程切换和包处理模式具有创造性；n2019年度“Microprocessor Report Analysts Choice Award”北京中科网威信息技术有限公司 http:/u基于P4GS3的清晰的产品开发流程；u各种加速逻辑可以通过编写代码来整合；u提供了丰富的API和工具；u编制了详实的技术指导文档；北京中科网威信息技术有限公司 http:/北京中科网威信息技术有限公司 http:/u内部包含一个通用600Mhz xscale RISC核;n初始化和管理层面的工作由xscale负责;u

4、内部集成了8个微引擎（Microengine）;n照四个一组分为两组;n每个微引擎可以启动多个线程;u微引擎可容纳4096条指令,每条指令40比特宽，并通过校验防止错误；u硬件实现CRC校验、随机数发生器、乘法器和计时器功能；北京中科网威信息技术有限公司 http:/u提供大量专用和通用寄存器、Hash逻辑；u拥有两个QDR SRAM接口；u通用内存控制器支持DDR DRAM，最大容量达1Gb；u内嵌MSF(Media and Switch Fabric)接口；uIXP2800微引擎增加到16个，并增加了加解密硬件；北京中科网威信息技术有限公司 http:/北京中科网威信息技术有限公司 htt

5、p:/u集成三个10/100/1000兆以太MAC；u双内存访问通道，带宽最高可达50Gbps；uHyperTransport高速端口能提供19.2Gbps的通讯能力；u1GHz条件下，两个MIPS核具有4000MIPS或10Mpps的处理能力；u双核支持非对称配置；u面向网络分组处理优化的内部ZBus总线；北京中科网威信息技术有限公司 http:/北京中科网威信息技术有限公司 http:/u带宽需求迅猛增长；u网络服务从简单的浏览到多媒体等高层次、交互式服务；u通用处理器的处理能力的增长远远不能满足数据层面的要求；u异构网络、多种接口形式；u性能、灵活性、兼容性；u快速开发和生存期延长的要求

6、；北京中科网威信息技术有限公司 http:/北京中科网威信息技术有限公司 http:/u个人的私密信息由于网络问题被泄漏；u各种关键数据的完整性受到来自网络内部、外部的威胁，如金融、证券等行业的交易数据；u网络中用户的身份鉴别问题；u网络服务和应用的授权问题；u网络活动的不合否认问题；u特定服务的有效性；北京中科网威信息技术有限公司 http:/u百兆、千兆防火墙设备uIDS系统；uVPN软件、芯片和设备；u加解密软件、芯片和设备；u路由器、交换机和多服务接入设备等；u认证设备或系统；北京中科网威信息技术有限公司 http:/u数据层面u控制层面u管理层面北京中科网威信息技术有限公司 http

7、:/u访问控制列表（访问控制列表（Access control lists）u应用代理软件（应用代理软件（Application proxies）u状态检测（状态检测（Stateful inspection）u深度包检测深度包检测 北京中科网威信息技术有限公司 http:/u面向应用u面向数据流u需要进行特征匹配u甚至一个字节一个字节的匹配；n防火墙需要在特征匹配方面具有高性能！防火墙需要在特征匹配方面具有高性能！北京中科网威信息技术有限公司 http:/u降低漏报率和误报率；u协议分析u异常分析北京中科网威信息技术有限公司 http:/uVPNu加解密卡和认证系统u防火墙和IDS结合u面向路

8、由器端口的防火墙应用；u防病毒墙u带有路由或交换功能的防火墙；北京中科网威信息技术有限公司 http:/北京中科网威信息技术有限公司 http:/uRecursive Flow ClassificationuHierarchical triesuSet-pruning triesuGrid of triesuArea-based quadtree(AQT)uHierachical intelligent cutting(HiCuts)u*Fat inverted segment tree（FIST)uBitmap-IntersectionuTuple space search参考 Xuehon

9、g Sun IP address lookup and packet classification北京中科网威信息技术有限公司 http:/Algorithm Time StorageLinear search N(1000)*N(1000)*Ternary CAM *1 *N(1000)Hierarchical tries Wd(107)*NdW(105)Set-pruning tries *dW(100)Nd(1015)Grid-of-tries W(d-1)(106)*NdW(105)Cross-producting *dW(100)Nd(1015)*FIS-tree *(l+1)W(1

10、00)*lN(1+1/l)(104)RFC *d(5)Nd(1015)*Bitmap-intersection *d/W+N/men(100)*dN2(106)HiCuts *d(5)Nd(1015)Tuple space search N(1000)*N(1000)N-prefix length;d-dimension;W-address lengthN=1000;d=5;w=32北京中科网威信息技术有限公司 http:/北京中科网威信息技术有限公司 http:/北京中科网威信息技术有限公司 http:/u假设系统吞吐量为1.2Gb/s(其余的数据见表1),nRTR 所需要的运算量为1.2/

11、8*2.1=315 MIPS,nCAST 需要的运算量为1.2/8*104=15 600 MIPS.u网络处理器中单个处理元的处理能力仅为1500MIPS 左右,nIBM 的NP2G 为1 596MPIS、nIntel的IXP1200 为1 396MIPS.u系统负载处理的开销是相当庞大的,并且处理的层次越高,开销越大.摘自：谭章熹的网络处理器的分析与研究北京中科网威信息技术有限公司 http:/uIA-32服务器型nP3,P4;uXScale(ARM)n425,1200,2400uMotorola C5uAMCC nP7510uIBM NP4GS3uBroadcom 1250State pa

12、cket filterNAT/PATLoad BalanceAAAHA代理IPS硬件平台VPN北京中科网威信息技术有限公司 http:/u主要承担数据层面的工作；u发挥多核优势，以流水和并行的方式处理数据包；u协调多核操作，优化调度策略；u将计算密集型的操作转移到协处理器上完成；u协调DMA和包处理过程；北京中科网威信息技术有限公司 http:/uCPUDDR SDRAM;nP4-i875P-DDR 3.2GB/snSb1-DDR 6.4GB/suEthernetDDR SDRAM/SRAM;nDMA-i875P-DDR-L2;nDMA-L2;nDMA-SRAM-Register;uInterBus(I/O Hub ZBus)uCoordination(MEs,ARM)北京中科网威信息技术有限公司 http:/北京中科网威信息技术有限公司 http:/NPFW1000防火墙硬件平台防火墙硬件平台