網(wǎng)絡(luò)處理器及在網(wǎng)絡(luò)安全中的應(yīng)用-PPT課件

1、網(wǎng)絡(luò)處理器及在網(wǎng)絡(luò)安全中的應(yīng)用中科網(wǎng)威信息技術(shù)有限公司葉小列2019-07-28網(wǎng)絡(luò)處理器特性可編程性-programable ；簡(jiǎn)單的編程模式 simple programming mode;最大化系統(tǒng)靈活性 maximizing the systems flexibilities;高處理能力 high performance;高度功能集成 highly functionally integration;開放的編程接口 open programming interface;第三方支持能力 third supporting;David Husak 認(rèn)為-網(wǎng)絡(luò)處理器的分類全編程型 代表廠家為In

2、tel、Cognigine ；優(yōu)點(diǎn)是靈活性強(qiáng) ；缺點(diǎn)是比較復(fù)雜，熟練掌握有難度 ；流水并行處理型 代表廠家Agere和Ezchip 優(yōu)點(diǎn)是實(shí)現(xiàn)數(shù)據(jù)層面功能比較簡(jiǎn)單 ；網(wǎng)絡(luò)處理器的分類固定功能型 代表廠家AMCC ；缺少靈活性，但效率高、易于實(shí)現(xiàn) ；多核通用處理SOC型代表廠家是Broadcom 公司 ；優(yōu)點(diǎn)是靈活性強(qiáng) ，便于掌握；需要結(jié)合硬件進(jìn)行系統(tǒng)優(yōu)化；IBM NP4GS3遵循PowerNP體系 ；EPC(Embedded Processor complex ) 指令存儲(chǔ)器 ；MAC ；Fabric接口 ；固定功能邏輯 ；16個(gè)picoprocessor； 多個(gè)加速器件 ；PowerPC 4

3、05處理器 ；線程切換和包處理模式具有創(chuàng)造性 ；2019年度“Microprocessor Report Analysts Choice Award ” IBM NP4GS3基于P4GS3的清晰的產(chǎn)品開發(fā)流程；各種加速邏輯可以通過編寫代碼來整合 ；提供了豐富的API和工具 ；編制了詳實(shí)的技術(shù)指導(dǎo)文檔 ；IXP2400/2800內(nèi)部包含一個(gè)通用600Mhz xscale RISC核;初始化和管理層面的工作由xscale負(fù)責(zé) ;內(nèi)部集成了8個(gè)微引擎（Microengine）;照四個(gè)一組分為兩組 ;每個(gè)微引擎可以啟動(dòng)多個(gè)線程 ;微引擎可容納4096條指令 ,每條指令40比特寬，并通過校驗(yàn)防止錯(cuò)誤 ；

4、硬件實(shí)現(xiàn)CRC校驗(yàn)、隨機(jī)數(shù)發(fā)生器、乘法器和計(jì)時(shí)器功能 ；IXP2400/2800提供大量專用和通用寄存器、Hash邏輯 ；擁有兩個(gè)QDR SRAM接口 ；通用內(nèi)存控制器支持DDR DRAM，最大容量達(dá)1Gb ；內(nèi)嵌MSF(Media and Switch Fabric)接口 ；IXP2800微引擎增加到16個(gè) ，并增加了加解密硬件 ；BCM1250/1255/1280集成三個(gè)10/100/1000兆以太MAC ；雙內(nèi)存訪問通道，帶寬最高可達(dá)50Gbps ；HyperTransport高速端口能提供19.2Gbps的通訊能力 ；1GHz條件下，兩個(gè)MIPS核具有4000MIPS或10Mpps的處

5、理能力 ；雙核支持非對(duì)稱配置；面向網(wǎng)絡(luò)分組處理優(yōu)化的內(nèi)部ZBus總線；當(dāng)前網(wǎng)絡(luò)面臨的挑戰(zhàn)帶寬需求迅猛增長(zhǎng)；網(wǎng)絡(luò)服務(wù)從簡(jiǎn)單的瀏覽到多媒體等高層次、交互式服務(wù)；通用處理器的處理能力的增長(zhǎng)遠(yuǎn)遠(yuǎn)不能滿足數(shù)據(jù)層面的要求；異構(gòu)網(wǎng)絡(luò)、多種接口形式；性能、靈活性、兼容性；快速開發(fā)和生存期延長(zhǎng)的要求；網(wǎng)絡(luò)安全面臨的挑戰(zhàn)個(gè)人的私密信息由于網(wǎng)絡(luò)問題被泄漏；各種關(guān)鍵數(shù)據(jù)的完整性受到來自網(wǎng)絡(luò)內(nèi)部、外部的威脅，如金融、證券等行業(yè)的交易數(shù)據(jù)；網(wǎng)絡(luò)中用戶的身份鑒別問題；網(wǎng)絡(luò)服務(wù)和應(yīng)用的授權(quán)問題；網(wǎng)絡(luò)活動(dòng)的不合否認(rèn)問題；特定服務(wù)的有效性；網(wǎng)絡(luò)安全產(chǎn)品百兆、千兆防火墻設(shè)備IDS系統(tǒng)；VPN軟件、芯片和設(shè)備；加解密軟件、芯片和設(shè)備

6、；路由器、交換機(jī)和多服務(wù)接入設(shè)備等；認(rèn)證設(shè)備或系統(tǒng)；網(wǎng)絡(luò)處理的層次數(shù)據(jù)層面控制層面管理層面防火墻發(fā)展階段 訪問控制列表（Access control lists） 應(yīng)用代理軟件（Application proxies） 狀態(tài)檢測(cè)（Stateful inspection） 深度包檢測(cè) 深度包檢測(cè)面向應(yīng)用面向數(shù)據(jù)流需要進(jìn)行特征匹配甚至一個(gè)字節(jié)一個(gè)字節(jié)的匹配；防火墻需要在特征匹配方面具有高性能！IDS產(chǎn)品的發(fā)展方向降低漏報(bào)率和誤報(bào)率；協(xié)議分析異常分析安全功能和通用網(wǎng)絡(luò)設(shè)備的融合VPN加解密卡和認(rèn)證系統(tǒng)防火墻和IDS結(jié)合面向路由器端口的防火墻應(yīng)用；防病毒墻帶有路由或交換功能的防火墻；包處理流程包分類的

7、基本算法Recursive Flow ClassificationHierarchical triesSet-pruning triesGrid of triesArea-based quadtree(AQT)Hierachical intelligent cutting (HiCuts)*Fat inverted segment tree（FIST)Bitmap-IntersectionTuple space search參考 Xuehong Sun IP address lookup and packet classificationAlgorithm Time StorageLinear

8、 search N(1000) *N(1000)*Ternary CAM *1 *N(1000)Hierarchical tries Wd(107) *NdW(105)Set-pruning tries *dW(100) Nd(1015)Grid-of-tries W(d-1)(106) *NdW(105)Cross-producting *dW(100) Nd(1015)*FIS-tree *(l+1)W(100) *lN(1+1/l)(104)RFC *d(5) Nd(1015)*Bitmap-intersection *d/W+N/men(100) *dN2(106)HiCuts *d(

9、5) Nd(1015) Tuple space search N(1000) *N(1000)包分類的基本算法N-prefix length;d-dimension;W-address lengthN=1000;d=5;w=32包分類協(xié)處理器 IDT PAX.port 1200不同應(yīng)用的復(fù)雜度功能對(duì)網(wǎng)絡(luò)處理能力的要求假設(shè)系統(tǒng)吞吐量為1.2Gb/s(其余的數(shù)據(jù)見表1),RTR 所需要的運(yùn)算量為1.2/8*2.1=315 MIPS,CAST 需要的運(yùn)算量為1.2/8*104=15 600 MIPS.網(wǎng)絡(luò)處理器中單個(gè)處理元的處理能力僅為1500MIPS 左右,IBM 的NP2G 為1 596MPIS

10、、Intel的IXP1200 為1 396MIPS.系統(tǒng)負(fù)載處理的開銷是相當(dāng)龐大的,并且處理的層次越高,開銷越大.摘自：譚章熹的網(wǎng)絡(luò)處理器的分析與研究需要什么樣的處理器？IA-32服務(wù)器型P3,P4;XScale(ARM)425,1200,2400Motorola C5AMCC nP7510IBM NP4GS3Broadcom 1250State packet filterNAT/PATLoad BalanceAAAHA代理IPS硬件平臺(tái)VPN網(wǎng)絡(luò)處理器在安全領(lǐng)域應(yīng)用的策略主要承擔(dān)數(shù)據(jù)層面的工作；發(fā)揮多核優(yōu)勢(shì)，以流水和并行的方式處理數(shù)據(jù)包；協(xié)調(diào)多核操作，優(yōu)化調(diào)度策略；將計(jì)算密集型的操作轉(zhuǎn)移到協(xié)處理器上完成；協(xié)調(diào)DMA和包處理過程；性能瓶頸CPUDDR SDRAM;P4-i875P-DDR 3.2GB/s