一、 NP的技術(shù)價值
目前在國內(nèi)防火墻等安全產(chǎn)品市場上，千兆高端安全市場幾乎被國外產(chǎn)品所壟斷。因此開發(fā)防火墻等高性能、高穩(wěn)定、具有自主知識產(chǎn)權(quán)的千兆線速安全產(chǎn)品，對于建設(shè)我國自主知識產(chǎn)權(quán)的信息保障基礎(chǔ)設(shè)施和落實27號文件精神具有重要的戰(zhàn)略意義。
防火墻和VPN等網(wǎng)絡(luò)安全產(chǎn)品發(fā)展中面臨的一個重要問題是“如何在保持足夠安全性的同時提供盡可能高的速率”。目前國內(nèi)防火墻廠商基于Intel X86架構(gòu)的千兆防火墻由于受CPU處理能力和PCI總線速度的制約，性能和功能不能達到網(wǎng)絡(luò)安全和網(wǎng)絡(luò)性能間的統(tǒng)一。所以，從純軟件技術(shù)向硬件技術(shù)發(fā)展是網(wǎng)絡(luò)安全產(chǎn)品發(fā)展的必然趨勢，中國信息化深度應(yīng)用迫切需要貼近高性能、高靈活性、高可靠性的專用網(wǎng)絡(luò)安全設(shè)備。
國外廠商憑借在集成電路方面的技術(shù)優(yōu)勢已推出基于ASIC的千兆線速防火墻和VPN產(chǎn)品，因開發(fā)難度大、周期長、產(chǎn)品靈活性差等原因，不適合技術(shù)和資金積累較薄弱的國內(nèi)廠商發(fā)展。
如何突破技術(shù)壟斷，提高國家網(wǎng)絡(luò)安全的核心競爭力，是國內(nèi)網(wǎng)絡(luò)安全廠商必須迫切解決的問題！隨著NP技術(shù)的成熟和發(fā)展，開發(fā)基于NP的網(wǎng)絡(luò)安全產(chǎn)品可以使國內(nèi)安全企業(yè)抓住產(chǎn)業(yè)更新?lián)Q代機會，迅速打破國外企業(yè)基于ASIC技術(shù)控制高端安全產(chǎn)品市場的局面。
二、 NP技術(shù)特點
網(wǎng)絡(luò)處理器（NP）是專門為處理數(shù)據(jù)包而設(shè)計的可編程處理器，能夠直接完成網(wǎng)絡(luò)數(shù)據(jù)處理的一般性任務(wù)。硬件體系結(jié)構(gòu)大多采用高速的接口技術(shù)和總線規(guī)范，具有較高的I/O能力，包處理能力得到了很大提升。網(wǎng)絡(luò)處理器一般具有以下特點：
● 并行處理器: 采用多內(nèi)核并行處理器結(jié)構(gòu)。片內(nèi)處理器按任務(wù)大致分為核心處理器和轉(zhuǎn)發(fā)引擎。
● 專用硬件協(xié)處理器: 對要求高速處理的通用功能模塊采用專用硬件實現(xiàn)以提高系統(tǒng)性能。
● 專用指令集: 轉(zhuǎn)發(fā)引擎通常采用專用的精簡指令集，并針對網(wǎng)絡(luò)協(xié)議處理特點優(yōu)化。
● 分級存儲器組織: ＮＰ存儲器一般包含多種不同性能的存儲結(jié)構(gòu)，對數(shù)據(jù)進行分類存儲以適應(yīng)不同的應(yīng)用目的。
● 高速Ｉ／Ｏ接口: NP具有豐富的高速Ｉ／Ｏ接口，包括物理鏈路接口、交換接口、存儲器接口、ＰＣＩ總線接口等。通過內(nèi)部高速總線連接在一起，提供很強的硬件并行處理能力。
● 可擴展性: 多個ＮＰ之間還可以互連，構(gòu)成網(wǎng)絡(luò)處理器簇，以支持更為大型高速的網(wǎng)絡(luò)處理。
從網(wǎng)絡(luò)處理器以上特點可以看出，與通用處理器相比，網(wǎng)絡(luò)處理器在網(wǎng)絡(luò)分組數(shù)據(jù)處理上具有明顯的優(yōu)勢。
三、 NP防火墻的體系架構(gòu)
1. 總體結(jié)構(gòu)
NP架構(gòu)防火墻一般由主控單元和網(wǎng)絡(luò)處理單元組成，網(wǎng)絡(luò)處理單元是采用網(wǎng)絡(luò)處理器芯片(NP)設(shè)計的專用網(wǎng)絡(luò)處理板，主控單元是采用通用處理器設(shè)計的管理與協(xié)處理板，網(wǎng)絡(luò)處理單元通過PCI 總線與主控單元通信。NP防火墻總體結(jié)構(gòu)如圖1所示。
2. 網(wǎng)絡(luò)處理單元
網(wǎng)絡(luò)處理單元采用網(wǎng)絡(luò)處理器芯片設(shè)計專用網(wǎng)絡(luò)處理板，內(nèi)嵌微碼運行實時性高的防火墻功能模塊。其硬件結(jié)構(gòu)如圖2所示。
網(wǎng)絡(luò)處理單元包括網(wǎng)絡(luò)處理器、存儲器、網(wǎng)絡(luò)接口、PCI接口、引導Flash，通過高速總線連接在一起。存儲器包括快速存儲器和慢速存儲器。防火墻主要功能都在網(wǎng)絡(luò)處理單元上完成，安全軟件存放在網(wǎng)絡(luò)處理器的指令存儲器中，當網(wǎng)絡(luò)接口收到數(shù)據(jù)包時，由網(wǎng)絡(luò)處理器中的微引擎執(zhí)行。安全軟件主要包括包分類、攻擊檢查、狀態(tài)檢測、規(guī)則檢查、內(nèi)容掃描、地址轉(zhuǎn)換和帶寬控制等主要模塊。流程如圖3所示。
3. 主控單元
主控單元是采用通用CPU設(shè)計的主控板，用于配置管理網(wǎng)絡(luò)處理板和運行其他非實時性的安全模塊。包括CPU、存儲器、Flash、串行接口、網(wǎng)絡(luò)接口、PCI總線。通過串行接口或網(wǎng)絡(luò)接口對防火墻進行配置管理。Flash中存放防火墻操作系統(tǒng)，主控單元上電后將防火墻操作系統(tǒng)裝載到存儲器中執(zhí)行。主控單元通過PCI總線與網(wǎng)絡(luò)處理單元通信。
主控單元上軟件包括控制管理軟件和高級安全軟件。控制管理軟件接收從Web界面和命令行對防火墻傳遞的配置信息，并轉(zhuǎn)換為網(wǎng)絡(luò)處理器識別的信息，發(fā)送到網(wǎng)絡(luò)處理單元的控制管理模塊，同時接收從網(wǎng)絡(luò)處理單元的控制管理模塊返回的信息。高級安全軟件主要是那些對實時性要求不高或在NP中實現(xiàn)會極大影響性能的功能。
4. 特點
防火墻安全過濾與其操作系統(tǒng)無關(guān)并與防火墻配置管理、控制分離，以網(wǎng)絡(luò)處理器為主，網(wǎng)絡(luò)處理器上的安全功能可以隨時升級。系統(tǒng)在提供高安全性和高性能的同時，符合電信級網(wǎng)絡(luò)設(shè)備高可靠、高穩(wěn)定的要求。系統(tǒng)相對成本較低。由于具有自主知識產(chǎn)權(quán)，因此系統(tǒng)具有極強的功能和性能可擴展性等。
四、 NP防火墻的關(guān)鍵技術(shù)
在設(shè)計NP架構(gòu)千兆線速防火墻過程中，為了確保防火墻的高安全、高性能、高可靠、高可控和高可擴，需要突破許多完全超越Intel X86架構(gòu)防火墻的關(guān)鍵技術(shù)。包括線速安全過濾技術(shù)、可靠性設(shè)計技術(shù)、可擴?股杓萍際酢⒕妨骺丶際醯取?
1. 線速安全過濾技術(shù)
為使防火墻在千兆環(huán)境下達到線速性能，需要采用以下技術(shù)：
● 三級并行處理技術(shù)：包括處理器級并行、線程級并行和指令級并行。從硬件到軟件均采用并行處理機制，最大限度地提高數(shù)據(jù)幀的處理速度。
快速查表技術(shù)：防火墻最主要的功能是狀態(tài)檢測和安全規(guī)則檢查。為節(jié)約處理器資源和內(nèi)存資源，在硬件上采用專用硬件查表協(xié)處理器提高查找速度；在軟件上根據(jù)各自特點采用不同的分類算法優(yōu)化，樹形結(jié)構(gòu)存儲等技術(shù)來提高查表速度。并采用狀態(tài)表倍速檢測技術(shù)，針對已建立連接，對數(shù)據(jù)包（請求和回應(yīng)的數(shù)據(jù)包）的狀態(tài)檢查一次完成。
● 全規(guī)則動態(tài)平衡存儲技術(shù)：傳統(tǒng)防火墻的處理性能受限于設(shè)置的安全規(guī)則數(shù)目，隨著安全規(guī)則數(shù)的增加，其搜索增長速率呈線性遞增。我們實現(xiàn)了基于專用處理器的非線性快速規(guī)則匹配算法，保證防火墻每一次發(fā)起的規(guī)則查找在極短的時間內(nèi)完成。與快速狀態(tài)表配合保證了防火墻線速處理的最小延時。
2. 可靠性設(shè)計技術(shù)
在千兆環(huán)境下對防火墻的高可靠性提出了更高的要求，我們通過以下技術(shù)在高可靠性方面取得突破;
● 硬件方面：網(wǎng)絡(luò)處理器單元采用１４層高速ＰＣＢ設(shè)計和板級仿真，解決由于高頻串擾帶來的千兆線速丟包問題；電源、風扇冗余設(shè)計；獨立硬件控制下的災(zāi)難自恢復(fù)機制，保證整機的可靠性。
● 軟件方面：將網(wǎng)絡(luò)安全處理功能運行在網(wǎng)絡(luò)處理器中，避免操作系統(tǒng)帶來的穩(wěn)定性和安全隱患問題；防火墻監(jiān)控系統(tǒng)包括防火墻狀態(tài)監(jiān)控，防火墻集群節(jié)點集中監(jiān)控、統(tǒng)一日志等；采用冗余設(shè)計，保證防火墻一旦發(fā)生問題后，其負載可以迅速切換到其他防火墻上；實現(xiàn)負載均衡設(shè)計，通過動態(tài)的負載均衡技術(shù)解決單一防火墻負載過大的問題，與此同時采用集群防火墻的方式，從整體上提高防火墻處理網(wǎng)絡(luò)信息的能力。
3. 可擴展設(shè)計技術(shù)
作為網(wǎng)絡(luò)安全設(shè)備的防火墻，在系統(tǒng)的結(jié)構(gòu)設(shè)計中，除突出高性能和高穩(wěn)定性外，需要特別注重系統(tǒng)的可擴展性。其中包括將硬件按模塊化設(shè)計和軟件按模塊分層，并逐層封裝，其中，配置與控制層提供功能的擴展接口。
4. 精確流控技術(shù)
基于網(wǎng)絡(luò)處理器提供的能力，實現(xiàn)高效的數(shù)據(jù)流分類算法；在隊列調(diào)度方面，支持先進先出隊列、定制隊列、加權(quán)公平隊列和基于類的加權(quán)公平隊列調(diào)度算法; 在擁塞控制方面，實現(xiàn)業(yè)界流行的WRED 算法，準確的丟包算法保證當網(wǎng)絡(luò)發(fā)生擁塞時，避免由于誤丟包而帶來流量震蕩。
五、 NP架構(gòu)與Intel X86架構(gòu)的性能對比分析
以聯(lián)想為例，聯(lián)想集團采用IBM公司的NP3G4S-C網(wǎng)絡(luò)處理器芯片，自主開發(fā)了“超五”千兆線速防火墻無阻塞系統(tǒng)，帶寬（使用Smartbits 6000網(wǎng)絡(luò)性能測試儀實測64字節(jié)小包）達到3.5Gbps，是基于Inter X86架構(gòu)準千兆防火墻的十倍以上。在《計算機世界》報社組織的千兆防火墻橫向評比中，吞吐量的各項測試都達到了100%的水平，用64字節(jié)的UDP包（480流）進行壓力測試，仍然達到了100%。在抗攻擊能力的測試中，在50%的Syn-flood攻擊流量及5000次/s的連接速率下，10萬次連接中有99.36%成功建立，受到攻擊的影響非常弱。
基于NP的防火墻無論在吞吐率還是延遲上都具有絕對優(yōu)勢。在傳統(tǒng)Intel X86架構(gòu)上開發(fā)高端網(wǎng)絡(luò)安全產(chǎn)品靈活性強，可擴充能力好，但性能無法完全滿足千兆骨干網(wǎng)絡(luò)傳輸需求。開發(fā)專用于網(wǎng)絡(luò)處理的ASIC芯片則費用高、時間長而且靈活性較差。在此情況下，利用網(wǎng)絡(luò)處理器開發(fā)下一代高速網(wǎng)絡(luò)安全產(chǎn)品是一個必然趨勢，特別是對國內(nèi)防火墻廠商而言，采用網(wǎng)絡(luò)處理器可以快速縮短和國外廠商的差距，填補國內(nèi)產(chǎn)品在高端市場上的空白。這對提高我國網(wǎng)絡(luò)安全防護的整體水平，建設(shè)具有自主知識產(chǎn)權(quán)的信息安全基礎(chǔ)設(shè)施具有戰(zhàn)略意義。
