基于Linux的千兆網(wǎng)絡(luò)數(shù)據(jù)包捕捉技術(shù)的研究與實現(xiàn).pdf

1、被動數(shù)據(jù)捕捉技術(shù)在網(wǎng)絡(luò)安全領(lǐng)域有著極其豐富的應(yīng)用，如IDS(入侵檢測系統(tǒng))、防火墻等，tcpdump，ethereal，snort等軟件都采用此項技術(shù)。隨著諸多應(yīng)用層服務(wù)，如VoIP、P2P等的投入應(yīng)用，使得網(wǎng)絡(luò)的承載能力大為緊張。由于CPU性能、操作系統(tǒng)的處理機制等原因，傳統(tǒng)的捕包方式已經(jīng)不能適應(yīng)千兆網(wǎng)絡(luò)的要求，尤其在網(wǎng)絡(luò)流量比較大時，系統(tǒng)將出現(xiàn)大量丟包現(xiàn)象，形成了系統(tǒng)級瓶頸。 NAPI，device polling，零拷貝等

2、技術(shù)被提出來解決這一問題，零拷貝技術(shù)已經(jīng)被成熟的應(yīng)用于路由器<'[20]>、防火墻等硬件的設(shè)計中，它可以通過修改網(wǎng)卡驅(qū)動程序使應(yīng)用程序直接訪問網(wǎng)卡在內(nèi)核中的內(nèi)存。Luca Deri<'[1]>在零拷貝的基礎(chǔ)上提出了一種新的解決方案：PF＿RING機制。 PF＿RING機制則不必修改網(wǎng)卡驅(qū)動。在內(nèi)核中，它以一種帶緩存的協(xié)議簇PF＿RING為依托，結(jié)合NAPI技術(shù)，改善網(wǎng)卡中斷響應(yīng)頻率；在用戶空間，應(yīng)用程序可以通過mmap手段，將網(wǎng)

3、絡(luò)數(shù)據(jù)包直接傳送給應(yīng)用層的用戶程序。PF＿RING是一種面向普通PC普通網(wǎng)卡的、接口豐富的、性能表現(xiàn)優(yōu)異的軟件解決方案。 我們在PF＿RING機制的基礎(chǔ)上做了如下工作： 1．分析了PF＿RING的原理和實現(xiàn)過程，在此基礎(chǔ)上以內(nèi)核模塊的形式實現(xiàn)了PF＿RING。邏輯上這部分又分為模塊的加載與卸載、注冊PF＿RING協(xié)議簇、初始化環(huán)狀緩存、向緩存中添加skb等幾步。 2．分析了PF＿RING關(guān)于libpcap的接口并