一。引言

1.防火墻

防火墻技術作為必備的安全手段越來越多地應用于各種互聯(lián)網絡。但是傳統(tǒng)防火墻的處理速度已成為限制網絡帶寬的瓶頸，極大地制約了在網絡中的實際應用?；?a target="_blank">FPGA的硬件防火墻系統(tǒng)能具有良好的性能并能夠更好的滿足高速帶寬的需要。防火墻具有包過濾、NAT、VPN以及應用代理等功能。最基本的功能是包過濾，主要是根據(jù)定義好的過濾規(guī)則審查每個數(shù)據(jù)包，根據(jù)匹配過濾規(guī)則來確定對數(shù)據(jù)包如何動作。與一般包過濾不同的還有動態(tài)包過濾，它是根據(jù)數(shù)據(jù)包前面的報文描述的會話狀態(tài)來檢查包，從而確定如何對包進行過濾。此外防火墻還具有健全的日志和審計功能。

2.CAM

內容尋址存儲器（Content Addressable Memory-CAM）能夠在一個硬件時鐘周期內完成關鍵字的精確匹配查找。常用的隨機存儲器通過輸入地址來返回該地址處所對應的數(shù)據(jù)信息，但是CAM的訪問方式不同，它只需要輸入關鍵字的內容，CAM就會將此關鍵字與CAM中所有的表項同時進行匹配比較，最后返回匹配表項在CAM中所對應的地址。

二。網絡報文硬件處理平臺及報文處理流程

●硬件報文處理平臺

我們開發(fā)了一個基于FPGA（可編程邏輯門陣列）的硬件網絡處理平臺。系統(tǒng)平臺由高速網絡接口單元，SRAM內存單元，F(xiàn)IFO緩存單元，F(xiàn)PGA和MPC860通信控制單元組成。我們利用該平臺接收網絡報文并進行過濾分析，根據(jù)過濾規(guī)則判斷報文特征并采取相應的措施，從而有效的檢測可疑報文并防范網絡入侵。如下圖所示，硬件系統(tǒng)由以下幾個部分組成：

1.網絡數(shù)據(jù)采集部分

網絡數(shù)據(jù)采集部分主要是由PHY芯片和MAC芯片來完成對網絡數(shù)據(jù)包的接收和發(fā)送工作。并通過MAC芯片的IX BUS接口將網絡數(shù)據(jù)包實時地送給系統(tǒng)核心模塊——FPGA，由FPGA來完成對數(shù)據(jù)包的進一步處理工作。

2.FPGA開發(fā)板部分

選用的FPGA芯片是ALTERA公司的APEX20KE1000E。此型號的規(guī)模大，邏輯門達到150萬門，具有51840個邏輯單元（LEs），特別是其內部可定義的存儲單元大，達到了442368位，而且使用嵌入式系統(tǒng)塊（ESB）實現(xiàn)內容可尋址存儲器（CAM）功能。FPGA開發(fā)板是一功能相對獨立的數(shù)據(jù)包處理板，完成來自MAC芯片的數(shù)據(jù)包的過濾、緩存、關鍵字信息提取、比對查找、正常報文的調度輸出等功能，是整個系統(tǒng)的核心處理部分。

3.SRAM緩存部分

在系統(tǒng)運行過程中，我們將把關鍵字規(guī)則模型存放在一個存儲器中，如將其緩存在FPGA片內，將占用FPGA大量資源，所以必須使用獨立的存儲器。

4.MPC860開發(fā)板部分

高集成的通訊控制器MPC860是一種通用的單片微處理器，它適用各種控制器功能。顯著的性能使它在通信和網絡系統(tǒng)方面應用廣泛。嵌入式處理器MPC860在系統(tǒng)中起到FPGA與用戶主機之間的橋梁與紐帶作用。此開發(fā)板可以作為我們網絡處理系統(tǒng)的主控板。MPC860除了接收FIFO中的報文，還需實現(xiàn)與后臺主機的數(shù)據(jù)傳輸。另外也要對FPGA進行一些命令控制操作。

●報文處理流程

報文過濾可以通過訪問CAM來實現(xiàn)。CAM由一組過濾規(guī)則按照過濾的先后順序組織在一起的，過濾規(guī)則基于可以提供結IP轉發(fā)過程的包頭信息，如IP源地址、IP目的地址、協(xié)議類型、TCP/UDP端口等。通常將訪問控制列表應用到一個網絡接口上，對于每一個通過該接口進入或流出網絡的包，過濾器自頂向下依次與列表中的過濾規(guī)則進行比較，直到有一個匹配發(fā)生或到達列表的底部。如果有一個匹配，將執(zhí)行一個允許或拒絕的動作；如果沒有一個匹配發(fā)生，將執(zhí)行一個默認的拋棄報文操作。報文處理的流程下圖所示。

三。在FPGA中實現(xiàn)CAM關鍵字匹配

1.下圖描述了ALTERA系列FPGA芯片中嵌入式CAM模塊

APEX CAM 提供可變的CAM容量。一個APEX ESB嵌入式系統(tǒng)模塊可以被構造成一個32-word×32-bit的CAM塊， 并且多個ESB 可以被層疊構造成更大更深的CAM塊。例如，如果在EP20K -1000E中所有的ESB用來作CAM，可以創(chuàng)建一160-K比特的CAM塊。

2．關鍵字匹配模塊設計

關鍵字匹配模塊設計利用FPGA來實現(xiàn)。利用FPGA內部的CAM來處理可變長度的關鍵字。它由控制單元，CAM比對單元，關鍵字匹配處理單元和地址輸出邏輯組成。CAM比對單元負責加載所有的需要匹配的關鍵字信號并進行關鍵字的匹配?？刂茊卧邮諄碜跃W絡的報文并且輸出每個匹配上關鍵字信號地址。后臺處理機可以根據(jù)對收集到的信息進行分析，并采取相應策略。

該設計的核心模塊是CAM比對單元和關鍵字匹配處理單元。CAM在9*n的存儲陣列存儲8bit字符。其中第九比特位是關鍵字結束標識位，n代表關鍵字字符數(shù)即關鍵字的總長度。一個輸入字符同時與陣列中的n欄進行比對。當這個字符中的8bit全部匹配，該欄的字符匹配標志被激活并標識為1。

關鍵字匹配處理陣列由n×1個處理單元（PE）組成，PE由關鍵字匹配算法電路邏輯和一個寄存器組成。在程序中，我們在關鍵字開始處設置了一個標識位，并且只要接下來的輸入字符連續(xù)匹配，該標識將順序移至關鍵字的結束處。舉例說明：我們利用Snort源代碼的NIDS數(shù)據(jù)庫［5］中的兩個關鍵字L44和L44ADSL，并把它們放入到CAM中。如圖所示：

L44中的第二個4和L44ADSL中的第二個L被標記為星號表示第九比特為1，因為它們是關鍵字的最后一個字符。我們輸入字符串“fl44d”進行關鍵字匹配過程，CAM 每時鐘周期匹配一個字符。第一個時鐘周期，字符f輸入到CAM并且沒有匹配輸出。在第二個時鐘，第二個字符l有三個匹配位置。PE陣列判斷并設置PE（0）和PE（3）為1，表示可能的關鍵字匹配已經找到。PE（9）沒有標志為1，因為它不是關鍵字的開始。在接下來的時鐘周期，字符4，4和d 被放入CAM進行比對，同時PE匹配位跟著移動。當?shù)诙€4匹配時，PE（2）標識置1，并且關鍵字匹配信號同時置1，因為4是第一個關鍵字的最后一個字符。它也可能是第二個關鍵字的匹配，但是當下一個字符d到達時不再有匹配，此時PE標識置0。相對于輸入流，因為一個新的輸入字符每隔一個時鐘周期進行處理，關鍵字匹配陣列可以線速處理輸入字符串。處理時間與關鍵字的數(shù)量相關。

我們已經用verilog語言在quartus II開發(fā)環(huán)境下設計實現(xiàn)了這個NIDS結構，采用的是ALTERA公司的EP20K-1000E芯片。

四。總結及下一步研究

基于軟件的報文匹配不能夠勝任高速網絡的需要，而基于硬件的方法是理想的選擇，大量的研究在這個領域已經展開。我們已經實現(xiàn)了基于FPGA的CAM關鍵字有效匹配。但是由于CAM的容量有限，我們下一步的研究方向是將較長的關鍵字進行有效的壓縮、分割，同時利用多個并行CAM方式加速報文處理速度方面進行進一步研究。

責任編輯：gt