基于网络处理器的防火墙流量控制技术
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
能接受的。在安全非常敏感 的情况 下 ， 户是不 可信 的， 用 网络
通信和其他数据终端 的一种 高度集 成的 网络设 备。它采 用并
行处理器结构来实现数 据 的线 速转发 ， 目前可 以达至 ＿ ４ ／ （ ８ ）
２５ ｂ ｓ ．Ｇ ｐ 的带宽 ， 应用于路 由器 、 无线 基础构架 系统 、 网络 安全 设备等 。 Ｉｔ 公 司在 Ｉ Ｐ ４ ０网络处理器中采用了全新体 系结构 ， ｎｅ ｌ Ｘ ２０
理器特点的 自 适应抢夺式流量控制算法， 并给出基 于网络 处理器 ＩＰ ４０的具体设计实现。 Ｘ ２０
关键 词 ： 网络 处理 器 ； 冲管理 ；分组调 度 ；流 量控 制 缓
中图法分 类号 ：Ｔ ３ ３ Ｐ ９
文献标 识码 ：Ａ
文章编 号 ：１０．６５ ２０ ） １０８ ．４ ０ １３９ （０ ６ １－０３０
．
ｋ ｙ ｗｏ ｄ ：Ｎｅｗｏｋ Ｐ ｏ ｅ ｓ ｒ ｕ ｅ ｎ ｅ ｎ ；Ｐ ｃ ｅ ｃ ｅ ｕ ｉ ｇ ｒ ｆ ｃ Ｃ ｎ ｒ ｌ ｅ ｒ ｓ ｔ ｒ ｒ ｃ ｓｏ ；Ｂ ｆ ｒＭａ ｇ ｍｅ ｔ ａ ｋ ｔＳ ｈ ｄ ｌ ；Ｔ ａｆ ｏ ｔ ｎ ｉ ｏ
在信息高速发展的今天 ， 网络不仅需要 带宽 ， 而且 必须考 虑 网络流量高峰时期重要数 据的优 先传输 。当信息拥 塞造成 瓶颈时 ，网络管理 员必须 有优 先权数 据 队列机 制 ，以保 证那 些重要应用的数据 比次重要应用数据获得更高 的优先传输权 。 从安全角度看 ， 用 （ 应 即用 户 ） 决定 网络数 据流 的优先权 是不
以适应高速 网络设备设计 的需求 ， 中主要包括 ： 二个嵌 入 其 ① ＿ 一
式 的 ＲＳ ＩＣ通 用处 理 核 心 Ｘ ｃｌ Ｃ ｒ； 八 个微 引 擎 （ ｉ ｏ ｓａ ｏｅ ② ｅ Ｍｃ ． ｒ
Ｅｇｅ ； ｎ ｉ ） ③两个 Ｓ Ａ ｎ Ｒ Ｍ控制器 ， 峰值带 宽每通道 １６ ｂ ｓ支持 ．Ｇ ｐ ，
一
设备应该成为优先权和带 宽分配 的唯一决 定者 。流量 控制就 是 网络中间设备针对不 同优先级的业务进行带宽分配 ， 为重 要
的应用提供潜在的性能保证 ， 同时在一定程度 上保证普通会话
个 Ｓ Ｒ Ｍ控制器峰值带 宽每 通道 ２ ４ ｂ ｓ包含 硬件逻辑 ＤＡ ．Ｇ ｐ，
的传送。流量控制模块是现 代 网络安 全设备 尤其是 防火墙 的
，
ｗａｌｔ ｆ ｃ ｃ ｎ ｒｌａｇ ｒｔｍ ａｌ ｄ ＤＰ Ｃ ａ ｄ ｐ ｏ ｉ ｅ ｔ ｄ ｓｇ ｎ ｍｐ ｅ ｎ ａｉｎ ｏ ｈ ｎ ｅ ’ ｅｗ ｒ ｒ ｃ ｓ ｏ ｌ ｒ ｆ ｏ ｔ ｌｏ ｉ ａｉ ｏ ｈ ｃ ｌ Ｔ ｎ ｒ ｖｄ ｓ ｉ ｅ ｉ ｎ ａ ｄ ｉ ｌｍｅ ｔ ｔ ｎ ｔ ｅ Ｉ ｔｌ ｓｎ ｔ ｏ ｋ ｐ ｏ ｅ ｓ ｒ ｅ ｓ ｏ
一
支持 队列操作 、 原子 运算 、 位原 子运算 ； ④ＭＳ Ｆ单元 ， 用于 连接 Ｕｏ ｉ， Ｏ － ，Ｐ－ ， ＳＸ接 口， ｔ ａ Ｐ Ｓ ２ Ｓ Ｉ３ Ｃ Ｉ ｐ 提供 高速 外部 数据 总 线 ； ⑤ ＰＩ Ｃ 控制器 ， 提供与管理层面的通信接 口； ）Ｈ ｃ （ Ｓ ａ 单元 ， ￣ 包括一 个快速 片上 Ｓ ｒ ｃｐｄ存储器 ， ｃａ ｈａ ｔ 一个 Ｈ ｓ ａｈ运算 器。所有 模块 通过 内部高速总线通信 。 网络处理器 的体系结构具有一些突 出特点 ： （） １ 并行协处理器 结构 。八个微 引擎都是可编程 处理器 ， 支持多级流水线 ， 指令集 针对 网络优化 ， 可独立并行 工作 （ 无须
Ｆｉｅ ｌ Ｔ ａｆ ｎｒ １Ｂａ ｅ ｎ Ｎｅｗｏ ｋ Ｐ ｏ ｅ ｓ ｒ ｒ ｗａ１ ｒ ｆｉ Ｃｏ ｔｏ ｓ ｄ ｏ ｔ ｒ ｒ ｃ ｓｏ Ｃ
ＺＥＮＧ ｕ ． ＺＨＡＮＧ Ｗ Ｇｕｏ ｂｎｇ ． ＨＵＡＮＧ ａ ．ｉ Ｈ ｏ，
（ ． ｔｔ ＫｙＬｂｒｔｙ ｏ ｏｅＳｆｗ ｒ Ｔｃｎｌ ｙ Ｎ ｎ ｎｖｒｔ， ａ ｇＪａｇｕ２ ０９ Ｃ ｉａ ． ｅｔ ｆＣｍ ｕ ｒ ｃ ｎｅ＆ １Ｓａｅ ｅ ａ ｏａｏ ｆｒ ｖｌ ｏｔａｅ ｅｈｏｏ ， ａ ｇ Ｕ ｉ ｓｙ Ｎ ｎ ｉｎｓ １０ ３， ｈｎ ；２ Ｄｐ．ｏ ｏ ｐ ｔ ｉ ｅ ｒ Ｎ ｇ ｅ ｉ ｅＳ ｅ
维普资讯 http://www.cqvip.com
第 １ 期 １
曾 武等 ： 基于网络处理器的防火墙流量控制技术
Βιβλιοθήκη Baidu・ ３・ ８
基 于 网络处 理 器 的 防火墙 流 量 控 制 技 术
曾 武 ，张国兵 ，黄 皓。 ，
（． １南京大学 软件新技术 国家重点实验 室， 江苏 南京 ２０９ ； ． １ ３ ２南京大学 计算机科 学与技 术 系， ０ 江苏 南京 ２ ０３ １ ９） ０ 摘 要 ：分析 了流量控 制机 制 中现 有 的缓 冲管理和 分组调 度算 法 ， 出一 种适合 防 火墙 流量控 制 特点 和 网络 处 提
Ｔｃｎｌ ｙ Ｎ ｎ ｎｖｒｔ Ｎ ｎ ｉｎｓ １０ ３ ｈｎ ） ｅ ｏｏ ， ａ ｇ Ｕ ｉ ｓｙ， ａ ｇＪａｇｕ２ ０ ９ ，Ｃ ｉａ ｈ ｇ ｅ ｉ
Ａｂ ｔ ａ ｔ Ｎｅｗ ｒ ｒ ｃ ｓｏ ｓａ ｋ ｎ ｆ ｐ ｏ ｒｍｍａ ｌ ｒ ｃ ｓｏ ｏ ｉ ｉｇ ｔ ｅ ｆ ｘｂ ｌ ｙ ｏ ｏｔ ａ ｅ ａ ｄ ｔｅ ｈ ｇ ｅｆ ｒ ｓｒ ｃ ： ｔ ｏ ｋ ｐ ｏ ｅ ｓ ｒｉ ｉ ｄ ｏ ｒ ｇａ ｂ ｅ ｐ ｏ ｅ ｓ ｒ ｃ ｍｂｎ ｎ ｈ ｅ ｉ ｉ ｔ ｆｓ ｆ ｒ ｎ ｈ ｉｈ ｐ ｒｏ ． ｌ ｉ ｗ ｍａ ｃ ｆ ａｄ ａ ｅ ｈ ｓｐ ｐ ｒａ ａｙ ｅ ｏ ｆｔｅ ｂ ｆ ｒｍａ ａ ｅ ｎ ｎ ａ ｋ ｔ ｃ ｅ ｕ ｉ ｇａ ｇ ｒｔｍｓ ｄ ｓｇ ｓａ ｎ ｗ ｆ ｅ ｎ ｅ ｏ ｒ ｗ ｒ ．Ｔ ｉ ａ ｅ ｎ ｌｓ ｓｓ ｍｅｏ ｕ ｆ ｎ ｇ ｍｅ ｔａ ｄ ｐ ｃ ｅ ｈ ｄ ｌ ｌｏ ｉ ｈ ｈ ｅ ｓ ｎ ｈ ｅ ｉｎ ｅ ｒ ． ｉ
通信和其他数据终端 的一种 高度集 成的 网络设 备。它采 用并
行处理器结构来实现数 据 的线 速转发 ， 目前可 以达至 ＿ ４ ／ （ ８ ）
２５ ｂ ｓ ．Ｇ ｐ 的带宽 ， 应用于路 由器 、 无线 基础构架 系统 、 网络 安全 设备等 。 Ｉｔ 公 司在 Ｉ Ｐ ４ ０网络处理器中采用了全新体 系结构 ， ｎｅ ｌ Ｘ ２０
理器特点的 自 适应抢夺式流量控制算法， 并给出基 于网络 处理器 ＩＰ ４０的具体设计实现。 Ｘ ２０
关键 词 ： 网络 处理 器 ； 冲管理 ；分组调 度 ；流 量控 制 缓
中图法分 类号 ：Ｔ ３ ３ Ｐ ９
文献标 识码 ：Ａ
文章编 号 ：１０．６５ ２０ ） １０８ ．４ ０ １３９ （０ ６ １－０３０
．
ｋ ｙ ｗｏ ｄ ：Ｎｅｗｏｋ Ｐ ｏ ｅ ｓ ｒ ｕ ｅ ｎ ｅ ｎ ；Ｐ ｃ ｅ ｃ ｅ ｕ ｉ ｇ ｒ ｆ ｃ Ｃ ｎ ｒ ｌ ｅ ｒ ｓ ｔ ｒ ｒ ｃ ｓｏ ；Ｂ ｆ ｒＭａ ｇ ｍｅ ｔ ａ ｋ ｔＳ ｈ ｄ ｌ ；Ｔ ａｆ ｏ ｔ ｎ ｉ ｏ
在信息高速发展的今天 ， 网络不仅需要 带宽 ， 而且 必须考 虑 网络流量高峰时期重要数 据的优 先传输 。当信息拥 塞造成 瓶颈时 ，网络管理 员必须 有优 先权数 据 队列机 制 ，以保 证那 些重要应用的数据 比次重要应用数据获得更高 的优先传输权 。 从安全角度看 ， 用 （ 应 即用 户 ） 决定 网络数 据流 的优先权 是不
以适应高速 网络设备设计 的需求 ， 中主要包括 ： 二个嵌 入 其 ① ＿ 一
式 的 ＲＳ ＩＣ通 用处 理 核 心 Ｘ ｃｌ Ｃ ｒ； 八 个微 引 擎 （ ｉ ｏ ｓａ ｏｅ ② ｅ Ｍｃ ． ｒ
Ｅｇｅ ； ｎ ｉ ） ③两个 Ｓ Ａ ｎ Ｒ Ｍ控制器 ， 峰值带 宽每通道 １６ ｂ ｓ支持 ．Ｇ ｐ ，
一
设备应该成为优先权和带 宽分配 的唯一决 定者 。流量 控制就 是 网络中间设备针对不 同优先级的业务进行带宽分配 ， 为重 要
的应用提供潜在的性能保证 ， 同时在一定程度 上保证普通会话
个 Ｓ Ｒ Ｍ控制器峰值带 宽每 通道 ２ ４ ｂ ｓ包含 硬件逻辑 ＤＡ ．Ｇ ｐ，
的传送。流量控制模块是现 代 网络安 全设备 尤其是 防火墙 的
，
ｗａｌｔ ｆ ｃ ｃ ｎ ｒｌａｇ ｒｔｍ ａｌ ｄ ＤＰ Ｃ ａ ｄ ｐ ｏ ｉ ｅ ｔ ｄ ｓｇ ｎ ｍｐ ｅ ｎ ａｉｎ ｏ ｈ ｎ ｅ ’ ｅｗ ｒ ｒ ｃ ｓ ｏ ｌ ｒ ｆ ｏ ｔ ｌｏ ｉ ａｉ ｏ ｈ ｃ ｌ Ｔ ｎ ｒ ｖｄ ｓ ｉ ｅ ｉ ｎ ａ ｄ ｉ ｌｍｅ ｔ ｔ ｎ ｔ ｅ Ｉ ｔｌ ｓｎ ｔ ｏ ｋ ｐ ｏ ｅ ｓ ｒ ｅ ｓ ｏ
一
支持 队列操作 、 原子 运算 、 位原 子运算 ； ④ＭＳ Ｆ单元 ， 用于 连接 Ｕｏ ｉ， Ｏ － ，Ｐ－ ， ＳＸ接 口， ｔ ａ Ｐ Ｓ ２ Ｓ Ｉ３ Ｃ Ｉ ｐ 提供 高速 外部 数据 总 线 ； ⑤ ＰＩ Ｃ 控制器 ， 提供与管理层面的通信接 口； ）Ｈ ｃ （ Ｓ ａ 单元 ， ￣ 包括一 个快速 片上 Ｓ ｒ ｃｐｄ存储器 ， ｃａ ｈａ ｔ 一个 Ｈ ｓ ａｈ运算 器。所有 模块 通过 内部高速总线通信 。 网络处理器 的体系结构具有一些突 出特点 ： （） １ 并行协处理器 结构 。八个微 引擎都是可编程 处理器 ， 支持多级流水线 ， 指令集 针对 网络优化 ， 可独立并行 工作 （ 无须
Ｆｉｅ ｌ Ｔ ａｆ ｎｒ １Ｂａ ｅ ｎ Ｎｅｗｏ ｋ Ｐ ｏ ｅ ｓ ｒ ｒ ｗａ１ ｒ ｆｉ Ｃｏ ｔｏ ｓ ｄ ｏ ｔ ｒ ｒ ｃ ｓｏ Ｃ
ＺＥＮＧ ｕ ． ＺＨＡＮＧ Ｗ Ｇｕｏ ｂｎｇ ． ＨＵＡＮＧ ａ ．ｉ Ｈ ｏ，
（ ． ｔｔ ＫｙＬｂｒｔｙ ｏ ｏｅＳｆｗ ｒ Ｔｃｎｌ ｙ Ｎ ｎ ｎｖｒｔ， ａ ｇＪａｇｕ２ ０９ Ｃ ｉａ ． ｅｔ ｆＣｍ ｕ ｒ ｃ ｎｅ＆ １Ｓａｅ ｅ ａ ｏａｏ ｆｒ ｖｌ ｏｔａｅ ｅｈｏｏ ， ａ ｇ Ｕ ｉ ｓｙ Ｎ ｎ ｉｎｓ １０ ３， ｈｎ ；２ Ｄｐ．ｏ ｏ ｐ ｔ ｉ ｅ ｒ Ｎ ｇ ｅ ｉ ｅＳ ｅ
维普资讯 http://www.cqvip.com
第 １ 期 １
曾 武等 ： 基于网络处理器的防火墙流量控制技术
Βιβλιοθήκη Baidu・ ３・ ８
基 于 网络处 理 器 的 防火墙 流 量 控 制 技 术
曾 武 ，张国兵 ，黄 皓。 ，
（． １南京大学 软件新技术 国家重点实验 室， 江苏 南京 ２０９ ； ． １ ３ ２南京大学 计算机科 学与技 术 系， ０ 江苏 南京 ２ ０３ １ ９） ０ 摘 要 ：分析 了流量控 制机 制 中现 有 的缓 冲管理和 分组调 度算 法 ， 出一 种适合 防 火墙 流量控 制 特点 和 网络 处 提
Ｔｃｎｌ ｙ Ｎ ｎ ｎｖｒｔ Ｎ ｎ ｉｎｓ １０ ３ ｈｎ ） ｅ ｏｏ ， ａ ｇ Ｕ ｉ ｓｙ， ａ ｇＪａｇｕ２ ０ ９ ，Ｃ ｉａ ｈ ｇ ｅ ｉ
Ａｂ ｔ ａ ｔ Ｎｅｗ ｒ ｒ ｃ ｓｏ ｓａ ｋ ｎ ｆ ｐ ｏ ｒｍｍａ ｌ ｒ ｃ ｓｏ ｏ ｉ ｉｇ ｔ ｅ ｆ ｘｂ ｌ ｙ ｏ ｏｔ ａ ｅ ａ ｄ ｔｅ ｈ ｇ ｅｆ ｒ ｓｒ ｃ ： ｔ ｏ ｋ ｐ ｏ ｅ ｓ ｒｉ ｉ ｄ ｏ ｒ ｇａ ｂ ｅ ｐ ｏ ｅ ｓ ｒ ｃ ｍｂｎ ｎ ｈ ｅ ｉ ｉ ｔ ｆｓ ｆ ｒ ｎ ｈ ｉｈ ｐ ｒｏ ． ｌ ｉ ｗ ｍａ ｃ ｆ ａｄ ａ ｅ ｈ ｓｐ ｐ ｒａ ａｙ ｅ ｏ ｆｔｅ ｂ ｆ ｒｍａ ａ ｅ ｎ ｎ ａ ｋ ｔ ｃ ｅ ｕ ｉ ｇａ ｇ ｒｔｍｓ ｄ ｓｇ ｓａ ｎ ｗ ｆ ｅ ｎ ｅ ｏ ｒ ｗ ｒ ．Ｔ ｉ ａ ｅ ｎ ｌｓ ｓｓ ｍｅｏ ｕ ｆ ｎ ｇ ｍｅ ｔａ ｄ ｐ ｃ ｅ ｈ ｄ ｌ ｌｏ ｉ ｈ ｈ ｅ ｓ ｎ ｈ ｅ ｉｎ ｅ ｒ ． ｉ