透析分布式防火墙架构
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
相 应 的 高 速 接 口分 别 连 接 到 两 个 主 控 板 或 者 交 换 网 板 ， 从
架构、 板式功能模 块 、 布式处理 系统 ， 插 分 用户可 以根据 自
己的需 求选 择 不 同 的 机 架 类 型 和 插 板 模 块 来 搭 建 自己 的 网
而大 大提 高了双主控 主备切 换的速度 。
位置。防火墙产 品在 经历 了 Ｘ８ 、 、 Ｉ 多核等技术 ６ ＮＰ ＡＳ Ｃ、 的演化过程 ， 仍能 满足大部分 用户 的需 求。高端用 户对 防
火墙的要求 至少要达到 小包万兆 线速转发性 能 ， 只是靠 而
地 交 换 的 问题 ， 而在 业 务板 交 换芯 片 和交 换 网板 之 间的 Ｃ ｏ ｓａ 芯 片解 决了 把业务 板的业 务数据 信元 化从 而提 ｒｓｂ ｒ
随着 网络 的升级 和扩容 ， 传统 的盒式 防火 墙 已经很难
满 足 大容 量 、 性 能 、 扩展 的 需 求 和 挑 战 。这 就 引 入 了机 高 可
架 式 防火 墙产 品的设计 与研发 。分 布 式的 Ｃ ｏｓ ａ ｒ ｓｂ ｒ架构
能够 很 好 地 满 足 高 性 能 和灵 活 扩展 性 的挑 战 。 分 布 式 Ｃ ｏｓａ ｒｓｂ ｒ架 构 除 了 交 换 网 板 采 用 了 Ｃ ｏｓａ ｒｓｂ ｒ 架 构 之 外 ， 每 个 业 务 板 上 也 采 用 了 Ｃ ｏｓ ａ ＋ 交 换 芯 在 ｒｓｂ ｒ 片 的 架 构 。 在 业 务 板 上 加 交 换 芯 片 可 以很 好 地 解 决 了 本
备 的整体性 能， 这也是业务 板本地 转发能够提高效率 的重
要 原 因 。这 种 分 布 式 Ｃ ｏ ａ 、 布 式 业 务 处 理 的设 计 理 ｒｗｂ ｒ分 念 是 核 心 网络 设 备 设 计 的 发 展 方 向 ， 证 了 防 火 墙 等 安 全 保
设备能够部署到 网络核心位置 ， 不会成为 网络的瓶颈。
高了交换效率 ， 并且 使 得 业 务 板 的 数 据 类 型 和 交 换 网 板 的
提 高 Ｃ Ｕ 主 频和 Ｃ Ｕ 内核 数量 已经无法 满足高 端用 Ｐ Ｐ
户 的万 兆级 以上 需 求 了 。 这 就 要 求 我 们 从 其 他 方 面 人 手 来
信元成为 两个 平面 ， 也就是说可 以有非常 丰富的业务 板， 比
，
＋
－
，
●
１ 前 言 ．
络。
随着网络规模不断扩大 、 各种应用业务 日益增 多 ， 特别 是政府 、 电信 、 金融、 电力等 关键行业 的数据 中心、 电信 网络 等的数据流量巨大 ， 技术含量不 断提 高， 都要求有一个高可 靠性、 高质量和高安全性 的网络 来承 载， 支撑 由此带来 的网 络流量 、 管理控制 、 交换 传输的复 杂变 化对 网络的新要 求 ， 并保证网络以及信息系统的安全。为 了满足上述信息 系统
解 决 之 道 ・ ｏ ｕ ｉｎ Ｓ ｌ ｔｏ
透析分布式 防火墙架构
王 震
（ 京 天 融 信科 技 有 限 公 司 北 京 １ ０ ８ ） 北 ０ ０ ５
【 摘要】为 了满足电信级防火墙 的高性 能、 高可靠性 、 高扩展性需求 ， 以北京天融信公司 的防火墙 为基础就分布 式防火墙系
统 做 了 一些 架构 上 的探 讨 。硬 件上 采 用分 布 式 ｃ ｓｂｒ 多 核 技 术 ， 件 上 采 用 控 制 系 统 和 转 发 系 统分 离 技 术 。 ｒ ｓａ 加 ｏ 软
安 全 需 求 ， 统 的 防火 墙 已经 显 得 力 不从 心 了 ， 就 对 防火 传 这 墙 系 统 的 架 构提 出 了 新 的挑 战 。 防 火墙 产 品 一 直 以来 都 占据 着 网 络 安 全 产 品 中的 重 要
２ ．分 布 式 防 火 墙 架 构
２ ．１分布式防火墙硬件架构
分 布 式 Ｃ ｏｓ ａ ｒ ｓ ｒ设计 中 ， Ｐ 也 采 用 了分 布 式 设 计 。 ｂ Ｃ Ｕ 信 息 安 全 与 技 术 ・ ０ Ｏ０ １ ７・ ２１． ９・ １
Ｓ ｌｔｏ ｏ ｕ ｉ ｎ・解 决之 道
设备主控 板上 的主 Ｃ Ｕ 负责整机控 制调度 由表学习 Ｐ 路 和下发， 业务板从 Ｃ Ｕ 主要负责本地 查表、 Ｐ 业务板状态维 护、 安全业务功 能处理 等工作。这就实现 了分布 式路由计 算和分布式路由表查询 ， 大大缓解 主控板的压力 ， 提高了设 流提交到安全业务板上 。由安全业务板完成访问策略控制 、 ＮＡＴ地址转换 、Ｐ ＩＳ防御 、 防病毒 、Ｐ Ｅ Ｐ ＩＳ Ｃ Ｖ Ｎ等功能。
如 可 以把 防 火 墙 、 Ｐ ＩＳ系 统 、 由 器 、 容 交 换 、 Ｐ ６等 类 路 内 Ｉｖ
提 高安全产 品的整体处理性 能 ， 分布式 处理 是一个 很好 的 选 择。在高端 交换机 ／路 由器 领域 ， 般采用机 架式体系 一
型的业务 整合到 核心交换 平 台上。同时这 个 Ｃ ｏｓ ａ 有 ｒｓｂ ｒ
【 关键字】防火 墙 ； 主控板 ： １ 接 ３业务板 ； 安全 业务板
Ｄｉｔｉ ｕ ｅ Ｆｉ ｗａｌＡｒ ｈｉ ｃ ｕｒ ｓ ｒｂ ｔ ｒ ｅ Ｉ ｃ ｔ ｔ ｅ ｅ
Ｗａ ｇＺ ｅ ｎ ｈｎ
（ｅ ｉ Ｔ Ｐ Ｅ ｏ ｏａｏ Ｂ ｉｎ Ｈ ｉｉ １０８） Ｂｉｎ Ｏ Ｓ Ｃｃｒ ｒｔｎ ｅ ｉ ａ ｎ ００５ Ｊｇ ｐ ｉ Ｊｇ Ｄ ｇ ［ ｂｔ ｃ ｏｍ ｅ ｔｌ ｏ ｒ ａ’ｈ ｈｐｒ ｒａ ｃ， ｉ －ｖｉｂｉ， ｉ — ａａｉｙ ｅｕ ｅ ｅｔｗ ａｅｏ ｅＴ Ｐ Ｅ ’ｆｅ ａ Ａ ｓｒ ｔ ｅｔｅ ｃｍｆｅ ｌ ｉ ・ ｆ ｍ ｎｅ ｈ ｈａａａ ｉｙｈ ｈ ｃｌ ｌ ｑｉ ｍ ｎ， ｅｂｓ ｎ ｈ Ｏ Ｓ Ｃｓ ｒｗ ｌ ａ ］Ｔ ｅ ｉ ｗ ｌ ｇ ｅｏ ｓ ｇ ｌ ｌ ｇ ｓ ｂｉ ｒ ｒ ｔ ｔ ｔ ｌ
架构、 板式功能模 块 、 布式处理 系统 ， 插 分 用户可 以根据 自
己的需 求选 择 不 同 的 机 架 类 型 和 插 板 模 块 来 搭 建 自己 的 网
而大 大提 高了双主控 主备切 换的速度 。
位置。防火墙产 品在 经历 了 Ｘ８ 、 、 Ｉ 多核等技术 ６ ＮＰ ＡＳ Ｃ、 的演化过程 ， 仍能 满足大部分 用户 的需 求。高端用 户对 防
火墙的要求 至少要达到 小包万兆 线速转发性 能 ， 只是靠 而
地 交 换 的 问题 ， 而在 业 务板 交 换芯 片 和交 换 网板 之 间的 Ｃ ｏ ｓａ 芯 片解 决了 把业务 板的业 务数据 信元 化从 而提 ｒｓｂ ｒ
随着 网络 的升级 和扩容 ， 传统 的盒式 防火 墙 已经很难
满 足 大容 量 、 性 能 、 扩展 的 需 求 和 挑 战 。这 就 引 入 了机 高 可
架 式 防火 墙产 品的设计 与研发 。分 布 式的 Ｃ ｏｓ ａ ｒ ｓｂ ｒ架构
能够 很 好 地 满 足 高 性 能 和灵 活 扩展 性 的挑 战 。 分 布 式 Ｃ ｏｓａ ｒｓｂ ｒ架 构 除 了 交 换 网 板 采 用 了 Ｃ ｏｓａ ｒｓｂ ｒ 架 构 之 外 ， 每 个 业 务 板 上 也 采 用 了 Ｃ ｏｓ ａ ＋ 交 换 芯 在 ｒｓｂ ｒ 片 的 架 构 。 在 业 务 板 上 加 交 换 芯 片 可 以很 好 地 解 决 了 本
备 的整体性 能， 这也是业务 板本地 转发能够提高效率 的重
要 原 因 。这 种 分 布 式 Ｃ ｏ ａ 、 布 式 业 务 处 理 的设 计 理 ｒｗｂ ｒ分 念 是 核 心 网络 设 备 设 计 的 发 展 方 向 ， 证 了 防 火 墙 等 安 全 保
设备能够部署到 网络核心位置 ， 不会成为 网络的瓶颈。
高了交换效率 ， 并且 使 得 业 务 板 的 数 据 类 型 和 交 换 网 板 的
提 高 Ｃ Ｕ 主 频和 Ｃ Ｕ 内核 数量 已经无法 满足高 端用 Ｐ Ｐ
户 的万 兆级 以上 需 求 了 。 这 就 要 求 我 们 从 其 他 方 面 人 手 来
信元成为 两个 平面 ， 也就是说可 以有非常 丰富的业务 板， 比
，
＋
－
，
●
１ 前 言 ．
络。
随着网络规模不断扩大 、 各种应用业务 日益增 多 ， 特别 是政府 、 电信 、 金融、 电力等 关键行业 的数据 中心、 电信 网络 等的数据流量巨大 ， 技术含量不 断提 高， 都要求有一个高可 靠性、 高质量和高安全性 的网络 来承 载， 支撑 由此带来 的网 络流量 、 管理控制 、 交换 传输的复 杂变 化对 网络的新要 求 ， 并保证网络以及信息系统的安全。为 了满足上述信息 系统
解 决 之 道 ・ ｏ ｕ ｉｎ Ｓ ｌ ｔｏ
透析分布式 防火墙架构
王 震
（ 京 天 融 信科 技 有 限 公 司 北 京 １ ０ ８ ） 北 ０ ０ ５
【 摘要】为 了满足电信级防火墙 的高性 能、 高可靠性 、 高扩展性需求 ， 以北京天融信公司 的防火墙 为基础就分布 式防火墙系
统 做 了 一些 架构 上 的探 讨 。硬 件上 采 用分 布 式 ｃ ｓｂｒ 多 核 技 术 ， 件 上 采 用 控 制 系 统 和 转 发 系 统分 离 技 术 。 ｒ ｓａ 加 ｏ 软
安 全 需 求 ， 统 的 防火 墙 已经 显 得 力 不从 心 了 ， 就 对 防火 传 这 墙 系 统 的 架 构提 出 了 新 的挑 战 。 防 火墙 产 品 一 直 以来 都 占据 着 网 络 安 全 产 品 中的 重 要
２ ．分 布 式 防 火 墙 架 构
２ ．１分布式防火墙硬件架构
分 布 式 Ｃ ｏｓ ａ ｒ ｓ ｒ设计 中 ， Ｐ 也 采 用 了分 布 式 设 计 。 ｂ Ｃ Ｕ 信 息 安 全 与 技 术 ・ ０ Ｏ０ １ ７・ ２１． ９・ １
Ｓ ｌｔｏ ｏ ｕ ｉ ｎ・解 决之 道
设备主控 板上 的主 Ｃ Ｕ 负责整机控 制调度 由表学习 Ｐ 路 和下发， 业务板从 Ｃ Ｕ 主要负责本地 查表、 Ｐ 业务板状态维 护、 安全业务功 能处理 等工作。这就实现 了分布 式路由计 算和分布式路由表查询 ， 大大缓解 主控板的压力 ， 提高了设 流提交到安全业务板上 。由安全业务板完成访问策略控制 、 ＮＡＴ地址转换 、Ｐ ＩＳ防御 、 防病毒 、Ｐ Ｅ Ｐ ＩＳ Ｃ Ｖ Ｎ等功能。
如 可 以把 防 火 墙 、 Ｐ ＩＳ系 统 、 由 器 、 容 交 换 、 Ｐ ６等 类 路 内 Ｉｖ
提 高安全产 品的整体处理性 能 ， 分布式 处理 是一个 很好 的 选 择。在高端 交换机 ／路 由器 领域 ， 般采用机 架式体系 一
型的业务 整合到 核心交换 平 台上。同时这 个 Ｃ ｏｓ ａ 有 ｒｓｂ ｒ
【 关键字】防火 墙 ； 主控板 ： １ 接 ３业务板 ； 安全 业务板
Ｄｉｔｉ ｕ ｅ Ｆｉ ｗａｌＡｒ ｈｉ ｃ ｕｒ ｓ ｒｂ ｔ ｒ ｅ Ｉ ｃ ｔ ｔ ｅ ｅ
Ｗａ ｇＺ ｅ ｎ ｈｎ
（ｅ ｉ Ｔ Ｐ Ｅ ｏ ｏａｏ Ｂ ｉｎ Ｈ ｉｉ １０８） Ｂｉｎ Ｏ Ｓ Ｃｃｒ ｒｔｎ ｅ ｉ ａ ｎ ００５ Ｊｇ ｐ ｉ Ｊｇ Ｄ ｇ ［ ｂｔ ｃ ｏｍ ｅ ｔｌ ｏ ｒ ａ’ｈ ｈｐｒ ｒａ ｃ， ｉ －ｖｉｂｉ， ｉ — ａａｉｙ ｅｕ ｅ ｅｔｗ ａｅｏ ｅＴ Ｐ Ｅ ’ｆｅ ａ Ａ ｓｒ ｔ ｅｔｅ ｃｍｆｅ ｌ ｉ ・ ｆ ｍ ｎｅ ｈ ｈａａａ ｉｙｈ ｈ ｃｌ ｌ ｑｉ ｍ ｎ， ｅｂｓ ｎ ｈ Ｏ Ｓ Ｃｓ ｒｗ ｌ ａ ］Ｔ ｅ ｉ ｗ ｌ ｇ ｅｏ ｓ ｇ ｌ ｌ ｇ ｓ ｂｉ ｒ ｒ ｔ ｔ ｔ ｌ