一。引言

1.防火墻

防火墻技術作為必備的安全手段越來越多地應用于各種互聯網絡。但是傳統防火墻的處理速度已成為限制網絡帶寬的瓶頸，極大地制約了在網絡中的實際應用。基于FPGA的硬件防火墻系統能具有良好的性能并能夠更好的滿足高速帶寬的需要。防火墻具有包過濾、NAT、VPN以及應用代理等功能。最基本的功能是包過濾，主要是根據定義好的過濾規則審查每個數據包，根據匹配過濾規則來確定對數據包如何動作。與一般包過濾不同的還有動態包過濾，它是根據數據包前面的報文描述的會話狀態來檢查包，從而確定如何對包進行過濾。此外防火墻還具有健全的日志和審計功能。

2.CAM

內容尋址存儲器（Content Addressable Memory-CAM）能夠在一個硬件時鐘周期內完成關鍵字的精確匹配查找。常用的隨機存儲器通過輸入地址來返回該地址處所對應的數據信息，但是CAM的訪問方式不同，它只需要輸入關鍵字的內容，CAM就會將此關鍵字與CAM中所有的表項同時進行匹配比較，最后返回匹配表項在CAM中所對應的地址。

二。網絡報文硬件處理平臺及報文處理流程

●硬件報文處理平臺

我們開發了一個基于FPGA（可編程邏輯門陣列）的硬件網絡處理平臺。系統平臺由高速網絡接口單元，SRAM內存單元，FIFO緩存單元，FPGA和MPC860通信控制單元組成。我們利用該平臺接收網絡報文并進行過濾分析，根據過濾規則判斷報文特征并采取相應的措施，從而有效的檢測可疑報文并防范網絡入侵。如下圖所示，硬件系統由以下幾個部分組成：

1.網絡數據采集部分

網絡數據采集部分主要是由PHY芯片和MAC芯片來完成對網絡數據包的接收和發送工作。并通過MAC芯片的IX BUS接口將網絡數據包實時地送給系統核心模塊——FPGA，由FPGA來完成對數據包的進一步處理工作。

2.FPGA開發板部分

選用的FPGA芯片是ALTERA公司的APEX20KE1000E。此型號的規模大，邏輯門達到150萬門，具有51840個邏輯單元（LEs），特別是其內部可定義的存儲單元大，達到了442368位，而且使用嵌入式系統塊（ESB）實現內容可尋址存儲器（CAM）功能。FPGA開發板是一功能相對獨立的數據包處理板，完成來自MAC芯片的數據包的過濾、緩存、關鍵字信息提取、比對查找、正常報文的調度輸出等功能，是整個系統的核心處理部分。

3.SRAM緩存部分

在系統運行過程中，我們將把關鍵字規則模型存放在一個存儲器中，如將其緩存在FPGA片內，將占用FPGA大量資源，所以必須使用獨立的存儲器。

4.MPC860開發板部分

高集成的通訊控制器MPC860是一種通用的單片微處理器，它適用各種控制器功能。顯著的性能使它在通信和網絡系統方面應用廣泛。嵌入式處理器MPC860在系統中起到FPGA與用戶主機之間的橋梁與紐帶作用。此開發板可以作為我們網絡處理系統的主控板。MPC860除了接收FIFO中的報文，還需實現與后臺主機的數據傳輸。另外也要對FPGA進行一些命令控制操作。

●報文處理流程

報文過濾可以通過訪問CAM來實現。CAM由一組過濾規則按照過濾的先后順序組織在一起的，過濾規則基于可以提供結IP轉發過程的包頭信息，如IP源地址、IP目的地址、協議類型、TCP/UDP端口等。通常將訪問控制列表應用到一個網絡接口上，對于每一個通過該接口進入或流出網絡的包，過濾器自頂向下依次與列表中的過濾規則進行比較，直到有一個匹配發生或到達列表的底部。如果有一個匹配，將執行一個允許或拒絕的動作；如果沒有一個匹配發生，將執行一個默認的拋棄報文操作。報文處理的流程下圖所示。

三。在FPGA中實現CAM關鍵字匹配

1.下圖描述了ALTERA系列FPGA芯片中嵌入式CAM模塊

APEX CAM 提供可變的CAM容量。一個APEX ESB嵌入式系統模塊可以被構造成一個32-word×32-bit的CAM塊， 并且多個ESB 可以被層疊構造成更大更深的CAM塊。例如，如果在EP20K -1000E中所有的ESB用來作CAM，可以創建一160-K比特的CAM塊。

2．關鍵字匹配模塊設計

關鍵字匹配模塊設計利用FPGA來實現。利用FPGA內部的CAM來處理可變長度的關鍵字。它由控制單元，CAM比對單元，關鍵字匹配處理單元和地址輸出邏輯組成。CAM比對單元負責加載所有的需要匹配的關鍵字信號并進行關鍵字的匹配。控制單元接收來自網絡的報文并且輸出每個匹配上關鍵字信號地址。后臺處理機可以根據對收集到的信息進行分析，并采取相應策略。

該設計的核心模塊是CAM比對單元和關鍵字匹配處理單元。CAM在9*n的存儲陣列存儲8bit字符。其中第九比特位是關鍵字結束標識位，n代表關鍵字字符數即關鍵字的總長度。一個輸入字符同時與陣列中的n欄進行比對。當這個字符中的8bit全部匹配，該欄的字符匹配標志被激活并標識為1。

關鍵字匹配處理陣列由n×1個處理單元（PE）組成，PE由關鍵字匹配算法電路邏輯和一個寄存器組成。在程序中，我們在關鍵字開始處設置了一個標識位，并且只要接下來的輸入字符連續匹配，該標識將順序移至關鍵字的結束處。舉例說明：我們利用Snort源代碼的NIDS數據庫［5］中的兩個關鍵字L44和L44ADSL，并把它們放入到CAM中。如圖所示：

L44中的第二個4和L44ADSL中的第二個L被標記為星號表示第九比特為1，因為它們是關鍵字的最后一個字符。我們輸入字符串“fl44d”進行關鍵字匹配過程，CAM 每時鐘周期匹配一個字符。第一個時鐘周期，字符f輸入到CAM并且沒有匹配輸出。在第二個時鐘，第二個字符l有三個匹配位置。PE陣列判斷并設置PE（0）和PE（3）為1，表示可能的關鍵字匹配已經找到。PE（9）沒有標志為1，因為它不是關鍵字的開始。在接下來的時鐘周期，字符4，4和d 被放入CAM進行比對，同時PE匹配位跟著移動。當第二個4匹配時，PE（2）標識置1，并且關鍵字匹配信號同時置1，因為4是第一個關鍵字的最后一個字符。它也可能是第二個關鍵字的匹配，但是當下一個字符d到達時不再有匹配，此時PE標識置0。相對于輸入流，因為一個新的輸入字符每隔一個時鐘周期進行處理，關鍵字匹配陣列可以線速處理輸入字符串。處理時間與關鍵字的數量相關。

我們已經用verilog語言在quartus II開發環境下設計實現了這個NIDS結構，采用的是ALTERA公司的EP20K-1000E芯片。

四。總結及下一步研究

基于軟件的報文匹配不能夠勝任高速網絡的需要，而基于硬件的方法是理想的選擇，大量的研究在這個領域已經展開。我們已經實現了基于FPGA的CAM關鍵字有效匹配。但是由于CAM的容量有限，我們下一步的研究方向是將較長的關鍵字進行有效的壓縮、分割，同時利用多個并行CAM方式加速報文處理速度方面進行進一步研究。

責任編輯：gt