基于網(wǎng)絡(luò)處理器的IPV6狀態(tài)跟蹤防火墻設(shè)計與實現(xiàn).pdf

1、隨著互聯(lián)網(wǎng)的飛速發(fā)展，網(wǎng)絡(luò)節(jié)點數(shù)量急劇增加，為解決網(wǎng)絡(luò)地址緊張的問題并增強網(wǎng)絡(luò)數(shù)據(jù)的安全性，采用新的IP協(xié)議IPv6替代現(xiàn)有的IPv4協(xié)議已經(jīng)是不可逆轉(zhuǎn)的技術(shù)潮流。同時，網(wǎng)絡(luò)帶寬不斷提升，伴隨著網(wǎng)絡(luò)技術(shù)的不斷推陳出新，最早用于解決高速網(wǎng)絡(luò)的ASIC等技術(shù)的開發(fā)周期過長，不容易升級等問題越來越被人們所重視，在此情況下新的技術(shù)——網(wǎng)絡(luò)處理器(NP)誕生了，它專門針對網(wǎng)絡(luò)數(shù)據(jù)處理進行了硬件優(yōu)化，能適應(yīng)現(xiàn)代網(wǎng)絡(luò)的高速度；可編程，能夠快速升級以適

2、應(yīng)新的網(wǎng)絡(luò)技術(shù)和應(yīng)用。 本文主要研究基于Intel網(wǎng)絡(luò)處理器和IPv6技術(shù)的狀態(tài)跟蹤防火墻系統(tǒng)的設(shè)計。研究Intel IXA(Internet Exchange Architecture)，并基于該框架完成IPv6狀態(tài)跟蹤防火墻系統(tǒng)的整體設(shè)計。 本文作者負責(zé)對整個防火墻系統(tǒng)進行架構(gòu)，將各個功能模塊平衡分配到不同的微引擎，注重系統(tǒng)平衡，最大限度地發(fā)揮網(wǎng)絡(luò)處理器高速處理數(shù)據(jù)包的能力。并在整個系統(tǒng)上實現(xiàn)了狀態(tài)跟蹤，動態(tài)Hash

3、，包過濾等相關(guān)核心功能。 帶狀態(tài)跟蹤的包過濾與傳統(tǒng)包過濾防火墻的靜態(tài)過濾規(guī)則表相比，它具有更好的靈活性和安全性，是新一代的防火墻技術(shù)。雖然目前市面是也具有相對應(yīng)的狀態(tài)跟蹤防火墻，但由于網(wǎng)絡(luò)處理器的平臺的硬件特性，很多常用的方法并不能直接照搬過來。本文作者將狀態(tài)跟蹤分為應(yīng)用層狀態(tài)跟蹤和傳輸層狀態(tài)跟蹤，并按照網(wǎng)絡(luò)處理器平臺的特點，分別將不同的層次的狀態(tài)跟蹤放入到不同硬件層次上，實現(xiàn)了高速與功能并重。 同時由于數(shù)據(jù)平面沒有操作