基于有限自動機的深度報文檢測引擎的ASIC設(shè)計.pdf

1、信息技術(shù)是21世紀最重要的技術(shù)之一，信息技術(shù)的應(yīng)用已深入到生活的各個方面，網(wǎng)絡(luò)信息安全的重要性也日益增加。傳統(tǒng)的網(wǎng)絡(luò)信息安全技術(shù)是基于軟件查詢的方式對網(wǎng)絡(luò)數(shù)據(jù)包進行檢測，但是隨著網(wǎng)絡(luò)規(guī)模的增長，這種方法的檢測速度已經(jīng)不能夠滿足高速數(shù)據(jù)交換的需求。在這種背景下，業(yè)界技術(shù)發(fā)展的趨勢是使用ASIC技術(shù)進行深度報文檢測。深度報文檢測系統(tǒng)要求交換芯片在報文被轉(zhuǎn)發(fā)之前完成對報文內(nèi)容的解析，因此檢測系統(tǒng)的結(jié)構(gòu)設(shè)計是完成高速檢測的關(guān)鍵。
　　本文

2、針對高速網(wǎng)絡(luò)數(shù)據(jù)檢測的要求，提出了一種基于混合型有限自動機的深度報文檢測方法，并對其進行ASIC設(shè)計。這種檢測方法是以確定型有限自動機(Deterministic Finite Automata，DFA)和非確定型有限自動機(Non-deterministic Finite Automata，NFA)技術(shù)為基礎(chǔ)，以查詢狀態(tài)跳轉(zhuǎn)的檢測方式對網(wǎng)絡(luò)數(shù)據(jù)包進行檢測，并判斷是否符合安全要求。該檢測方法將檢測內(nèi)容按照設(shè)定的語義集合分類，在DFA檢測

3、模塊對字符串精確匹配的基礎(chǔ)上，由NFA檢測模塊對字符串歸屬集合進行關(guān)系檢測，通過判斷這些共存的集合是否違反設(shè)定的檢測規(guī)則，來確定當前數(shù)據(jù)包能否通過檢測。這種方法創(chuàng)新之處在于提出“集合關(guān)聯(lián)檢測”的思想，在保證高速轉(zhuǎn)發(fā)的同時，不僅可以達到期望的檢測速度，而且解決了DFA的邏輯空間爆炸問題，降低了系統(tǒng)硬件消耗。在檢測系統(tǒng)的ASIC設(shè)計完成之后，本文對其進行了詳細的功能驗證，并通過使用高級的驗證方法和完整的測試向量來證明本系統(tǒng)設(shè)計的正確性。在驗

4、證完成之后，本文完成了模塊的RTL代碼綜合、時序驗證以及自動布局布線。結(jié)果表明，檢測系統(tǒng)能夠在使用有限硬件資源的條件下達到1Gbps的檢測速度，從而滿足設(shè)計的要求。
　　本文設(shè)計的基于混合型有限自動機技術(shù)的深度報文檢測引擎，可以保證在1Gbps的網(wǎng)絡(luò)速度下，對網(wǎng)絡(luò)數(shù)據(jù)包的包頭和載荷進行完整的深度檢測。與傳統(tǒng)的檢測結(jié)構(gòu)相比能夠達到更快的檢測速度，同時消耗更少的硬件資源。該系統(tǒng)在以太網(wǎng)數(shù)據(jù)檢測方面具有很好的應(yīng)用價值，同時該檢測方法在學