目前大多需要進(jìn)行高速流量處理的場(chǎng)景，基本都是使用DPDK進(jìn)行數(shù)據(jù)包處理加速，DPDK雖然是開(kāi)源免費(fèi)的，但是DPDK提供的API很簡(jiǎn)單，進(jìn)行開(kāi)發(fā)十分復(fù)雜，耗時(shí)，應(yīng)用困難，于是許多人開(kāi)始尋找替代方案--虹科PF_RING ZC。

細(xì)談區(qū)別

DPDK

假如你一名經(jīng)驗(yàn)豐富的開(kāi)發(fā)人員（抱歉，DPDK API 非常簡(jiǎn)單），您需要在從頭開(kāi)始編寫(xiě)您的應(yīng)用程序，您可以使用所有 DPDK API 調(diào)用來(lái)分配/管理數(shù)據(jù)包，并且您必須了解您所使用的 NIC。

舉個(gè)例子：假如你使用英特爾 X710/XL710，它是英特爾當(dāng)前的旗艦 10/40 Gbit 適配器。當(dāng)您啟用巨型幀時(shí)，NIC 將返回 2K 長(zhǎng)的 RX 數(shù)據(jù)包（因此，如果您有一個(gè)入口 5k 數(shù)據(jù)包，您將收到部分 2 x 2K 緩沖區(qū)和剩余的 1k 緩沖區(qū)），如果您想發(fā)送一個(gè)數(shù)據(jù)包，則大小為 9K（因此您需要發(fā)送 1x8K 部分緩沖區(qū)以及以下緩沖區(qū)中的其余部分）。本質(zhì)上，開(kāi)發(fā)人員必須知道這一點(diǎn)，準(zhǔn)備用應(yīng)用程序來(lái)處理這些問(wèn)題，并確保當(dāng)您移動(dòng)到另一個(gè)不能以這種方式工作的 NIC（例如 Intel X520/X540）時(shí)，您能夠處理巨型幀。

PF_RING ZC

相反，在 PF_RING ZC 中，庫(kù)根據(jù) MTU 分配內(nèi)存緩沖區(qū)，無(wú)論您使用什么網(wǎng)卡，庫(kù)都將始終返回完整的數(shù)據(jù)包（即緩沖區(qū)中的所有這些數(shù)據(jù)包分段不會(huì)暴露給將始終使用的用戶，開(kāi)發(fā)人員唯一要做的就是確保他的應(yīng)用程序可以處理巨型數(shù)據(jù)包。使用PF_RING ZC API，開(kāi)發(fā)人員無(wú)需記住的 NIC 的硬件細(xì)節(jié)，無(wú)需更改一行代碼、只需將設(shè)備名稱(chēng)從：

-i eth1

更改為

-i zc:eth13

就可以將應(yīng)用程序在不同硬件設(shè)備上進(jìn)行轉(zhuǎn)移。

比較

1） ZC 需要支付少許的許可證費(fèi)用，DPDK 是免費(fèi)的，；

2） DPDK 與ZC的性能基本持平；

3）ZC提供易于使用的應(yīng)用層API，開(kāi)發(fā)難度遠(yuǎn)小于DPDK；

PF_RING ZC提供的API

PF_RINGZC帶有一個(gè)簡(jiǎn)單的API，能夠用幾行代碼創(chuàng)建一個(gè)復(fù)雜的應(yīng)用程序。以下示例顯示了如何用6行代碼創(chuàng)建一個(gè)聚合器+負(fù)載均衡器應(yīng)用程序。

PF_RING ZC加速Zeek

Zeek是一個(gè)開(kāi)源網(wǎng)絡(luò)流量分析器。許多用戶將Zeek用作網(wǎng)絡(luò)安全監(jiān)視器（NSM），以支持對(duì)可疑或惡意活動(dòng)的調(diào)查。Zeek還支持安全領(lǐng)域以外的各種流量分析任務(wù)，包括性能評(píng)估和故障排除。使用PF_RING ZC（zero copy）驅(qū)動(dòng)程序可實(shí)現(xiàn)極高的數(shù)據(jù)包捕獲/傳輸速度，極大提升Zeek的流量處理能力。

使用帶有 PF_RING 的 Suricata

Suricata是一個(gè)免費(fèi)、開(kāi)源、成熟、快速、健壯的網(wǎng)絡(luò)威脅檢測(cè)引擎。Suricata引擎能夠進(jìn)行實(shí)時(shí)入侵檢測(cè)（IDS）、內(nèi)聯(lián)入侵預(yù)防（IPS）、網(wǎng)絡(luò)安全監(jiān)控（NSM）和離線pcap處理。Suricata使用強(qiáng)大而廣泛的規(guī)則和簽名語(yǔ)言來(lái)檢查網(wǎng)絡(luò)流量，應(yīng)用十分廣泛。使用PF_RING ZC讓你您現(xiàn)在可以在 IDS 和 IPS 模式下高速使用 Suricata。

Snort高速數(shù)據(jù)采集

許多用戶還可以在使用Snort（最受歡迎的 IDS/IPS 之一），且目前正受益于 PF_RING ZC 的速度。使用PF_RING ZC （Snort 數(shù)據(jù)采集）庫(kù)比標(biāo)準(zhǔn)的PF_RING速度提高 20% 到 50% ，它可以在 IPS 和 IDS 模式下運(yùn)行。

虹科提供網(wǎng)絡(luò)流量監(jiān)控與分析的軟件解決方案-ntop。該方案可在物理，虛擬，容器等多種環(huán)境下部署，部署簡(jiǎn)單且無(wú)需任何專(zhuān)業(yè)硬件即可實(shí)現(xiàn)高速流量分析。解決方案由多個(gè)組件構(gòu)成，每個(gè)組件即可單獨(dú)使用，與第三方工具集成，也可以靈活組合形成不同解決方案。包含的組件如下：

PF_RING：一種新型的網(wǎng)絡(luò)套接字，可顯著提高數(shù)據(jù)包捕獲速度。

nProbe：網(wǎng)絡(luò)探針，可用于處理NetFlow/sFlow流數(shù)據(jù)或者原始流量。

n2disk：用于高速連續(xù)流量存儲(chǔ)處理和回放。

ntopng：基于Web的網(wǎng)絡(luò)流量監(jiān)控分析工具，用于實(shí)時(shí)監(jiān)控和回溯分析。

編輯：jq