千兆網(wǎng)環(huán)境下數(shù)據(jù)包捕獲技術(shù)研究.pdf

1、隨著互聯(lián)網(wǎng)帶寬的不斷增長，網(wǎng)絡(luò)安全技術(shù)面臨越來越繁重的數(shù)據(jù)監(jiān)測任務(wù)。而數(shù)據(jù)包被動捕獲技術(shù)在是網(wǎng)絡(luò)安全領(lǐng)域一切監(jiān)測應(yīng)用的基礎(chǔ)，例如網(wǎng)絡(luò)檢測軟件、各種入侵檢測系統(tǒng)、防火墻以及網(wǎng)絡(luò)調(diào)試等應(yīng)用，都需要數(shù)據(jù)包捕獲技術(shù)。由于目前流行的操作系統(tǒng)存在缺陷（Linux等），在千兆網(wǎng)環(huán)境下的數(shù)據(jù)包捕獲應(yīng)用往往性能很差，丟包率相當(dāng)嚴(yán)重。
　　 一種將網(wǎng)卡接收和處理數(shù)據(jù)包的方式由中斷模式改為設(shè)備輪詢模式的方法，被提出來解決千兆網(wǎng)環(huán)境下的數(shù)據(jù)包捕獲的問題

2、?；谶@一思路，NAPI（基于輪詢機制的網(wǎng)絡(luò)數(shù)據(jù)處理機制）技術(shù)被提出來實現(xiàn)這一改進：該技術(shù)通過一次硬中斷來啟動輪詢機制，使得CPU在處理中斷方面的的負擔(dān)大為降低。在此基礎(chǔ)上，Luca Deri等人提出了一種新的方法：PF_RING 技術(shù)，該技術(shù)融合了設(shè)備輪詢機制、NAPI 技術(shù)和零拷貝技術(shù)。通過PF_RING 技術(shù)，即使一臺常規(guī)的PC機也能在千兆網(wǎng)環(huán)境下捕獲所有數(shù)據(jù)而不產(chǎn)生丟包。PF_RING 以通用性為目標(biāo)，通過封裝使得使用Socke

3、t（套接字）函數(shù)和libpcap（專用數(shù)據(jù)包捕獲函數(shù)庫）函數(shù)的應(yīng)用程序可以直接使用該技術(shù)。
　　 但是PF_RING 技術(shù)存在占用內(nèi)存大和數(shù)據(jù)拷貝等問題。因為PF_RING的適用性要求，使得該方案并沒有真正的實現(xiàn)零拷貝。針對這一問題，提出了在PF_RING基礎(chǔ)上做出修改的方案：主要包括取消環(huán)形緩沖區(qū)、通過內(nèi)存映射直接使用DMA（直接內(nèi)存訪問）緩存等。修改后的PF_RING 雖然在對硬件通用性方面不如原本的PF_RING，但真正實