CN101212314A

CN101212314A - 单一芯片实现多项网络安全功能的方法

Info

Publication number: CN101212314A
Application number: CNA2006101561672A
Authority: CN
Inventors: 沈利军; 万鹤林; 邹希良; 曾涛; 王万亭
Original assignee: Beijing Topsec Network Security Technology Co Ltd
Current assignee: Beijing Topsec Network Security Technology Co Ltd
Priority date: 2006-12-30
Filing date: 2006-12-30
Publication date: 2008-07-02

Abstract

本发明公开了一种单一芯片实现多项网络安全功能的方法，包括如下步骤：芯片对收到的报文进行解析，得到输入报文的关键域的内容；根据解析的结果，进行二层处理，查找MACtable；如果MACtable查找命中，则用解析得到的报文的源IP、目的IP、源port、目的port、protocol查找防火墙连接表；如果没有命中，则送CPU，由CPU作进一步处理；如果防火墙连接表查找命中，则根据防火墙连接表中的标志对报文做相应的处理；如果没有命中，则送CPU，由CPU作进一步处理。本发明提高了网络的系统性能、降低了系统成本。

Description

单一芯片实现多项网络安全功能的方法

技术领域

本发明涉及网络安全和组网技术领域，尤其涉及一种单一芯片实现多项网络安全功能的方法。

背景技术

随着网络技术的不断发展，网络已经成了社会生活中不可或缺的一种工具，小到soho(家庭办公)，大到上万人的企业，都建立了自己的网络，但是随之而来的是，网络病毒、黑客的危害也越来越大，一次比一次频繁，影响范围一次比一次大，造成的损失一次比一次严重。面对这种情况，所有拥有网络的企业都不得不认真思考自身网络的安全问题。要解决网络安全，当然离不开网络安全设备。目前市面上的网络安全设备不外乎采用了以下几种方案：

1、基于工控机架构的防火墙

工控机的架构，是CPU+主板+网卡，网卡芯片与CPU通过主板的PCI总线相连，所有的报文从网卡芯片收上来，都通过PCI总线送到CPU，由CPU进行全部处理。基于这种方案的防火墙，性能受限于PCI总线的性能，是没有办法达到很高的性能的。

2、基于NP架构的防火墙

NP的架构，是CPU+若干个微引擎+网卡，一般CPU与微引擎是集成在一个NPU芯片内。报文从网卡收上来，分派到一个指定的微引擎去处理，处理完后微引擎直接转发。由于有若干个微引擎同时处理，处理速度较快。但微引擎的代码需要用微码编写，且直接操作微引擎内部的硬件资源，非常复杂；微引擎可存放的指令空间也非常有限，仅2K~4K(后续升级版本也在此数量级内)，不能实现复杂的处理逻辑。基于这种方案的防火墙，价格都比较昂贵，处理简单任务时，能够达到线速，但处理深度过滤等多任务时，性能急剧下降。

3、基于交换、路由芯片架构的防火墙

此架构是CPU+FPGA/ASIC，FPGA/ASIC上直接带有(或外接)网口，申请号为CN200410040052.8的发明专利申请就是采用此架构的技术方案。所述方案的FPGA/ASIC是从交换、路由芯片转过来的，在交换、路由的基础上，加入防火墙、NAT(Network AddressTranslation，网络地址转换)的功能。该方案的缺点是：处理每个报文，都要重新查找路由表中的路由，匹配NAT表中的地址转换规则，因此性能会受到很大的限制；另外，路由表、NAT表的大小不可能太大，也严重限制了其实际的应用范围。

以上几种方案都有不足，要么本身性能不高，要么在复杂应用下的性能不高，无法满足客户日益增长的需求。

发明内容

因此本发明所要解决的技术问题是提供一种单一芯片同时实现二层交换、防火墙连接表的方法，该方法能够提高网络的系统性能、降低系统成本。

本发明具体是这样实现的：

1、一种单一芯片实现多项网络安全功能的方法，包括如下步骤：

1-1、芯片对收到的报文进行解析，得到输入报文的关键域的内容；

1-2、根据解析的结果，进行二层处理，查找MAC table；

1-3、如果MAC table查找命中，则用解析得到的报文的源IP、目的IP、源port、目的port、protocol查找防火墙连接表；如果没有命中，则送CPU，由CPU作进一步处理；

1-4、如果防火墙连接表查找命中，则根据防火墙连接表中的标志对报文做相应的处理；如果没有命中，则送CPU，由CPU作进一步处理。

2、如1所述的单一芯片实现多项网络安全功能的方法，步骤1-2中用解析得到的报文的源MAC、目的MAC、VLAN号查找MAC table，判断在MAC table中是否存在源MAC与VLAN号的组合和目的MAC与VLAN号的组合，如果不存在，则送CPU，由CPU更新MACtable。

3、如1所述的单一芯片实现多项网络安全功能的方法，步骤1-4中根据防火墙连接表中的标志对报文做相应的处理包括如下步骤：判断防火墙连接表中是否有送CPU的标志，如果有，就将此报文送CPU处理；否则根据连接表中标示的出口，把报文转发出去。

4、如3所述的单一芯片实现多项网络安全功能的方法，如果防火墙连接表中没有送CPU的标志，则再判断防火墙连接表中是否有做网络地址转换的标志，如果有，则对报文做网络地址转换，然后根据连接表中标示的出口，把报文转发出去；否则直接根据连接表中标示的出口，把报文转发出去。

5、如1至4中任意一项所述的单一芯片实现多项网络安全功能的方法，所述单一芯片为现场可编程门阵列或者专用集成电路。

由于采用了上述处理过程，本发明与现有技术相比，具有以下优点：

1、本发明在单一芯片上实现了交换、三层转发、防火墙的功能。这样，绝大部分流量芯片都可直接处理，大大降低了系统对CPU、PCI总线带宽的需求，节省了CPU资源，提高了整个系统的性能。

2、本发明克服了基于工控机架构和基于NP架构的防火墙处理速度慢的缺陷，提高了整个系统在网络环境中的高速处理能力。即使在100/1000M的高速网络处于拥塞或繁忙时，也能保证进行线速交换。

3、本发明在单一芯片上同时实现了交换、三层转发、防火墙的功能，使系统成本大大降低。

4、本发明避免了基于交换、路由芯片架构的FPGA/ASIC方案中每个报文都要查一遍路由表的缺点，其路由只需在建立连接时查找一次，建立相应防火墙连接表，后续报文就不用再查，只需依据防火墙连接表进行转发即可；同时也避免了在芯片内部集成路由表时，路由表大小受限的缺点，依据这种方案，路由的数目几乎不受限制。

5、本发明避免了基于交换、路由芯片架构的FPGA/ASIC方案中每个报文要重新匹配NAT规则的缺点，其NAT只需在建立连接时查找，依据NAT规则，建立好防火墙连接表，后续的报文就不用再每次查找NAT规则表，只需依据防火墙连接表，就可完成NAT地址转换功能；同时也避免了在芯片内部集成NAT规则表时，NAT规则表大小受限的缺点，依据这种方案，NAT规则数几乎不受限制。

附图说明

图1是本发明的操作流程图。

具体实施方式

以下结合附图对本发明的具体实施作进一步的说明：

本发明提出了一种单一芯片实现多项网络安全功能的方法，该方法基于FPGA(FieldProgrammable GateArray，现场可编程门阵列)/ASIC(Application Specific Integrated Circuit，专用集成电路)芯片架构的防火墙，以克服CPU(Central Processing Unit，中央处理单元)、PCI(Peripheral Controller Interface，外围控制器接口)总线带宽对网络安全设备的性能限制，实现网络安全设备性能上的突破，降低网络安全解决方案的代价，降低组网成本。

本发明在一个芯片上同时实现二层交换、防火墙连接表，以单一芯片实现多项网络安全功能。二层交换是根据芯片内部的MAC(Media Access Control，媒介接入控制)table进行转发，这是网络设备领域的一项常规技术；防火墙连接表主要包括源IP、目的IP、源port、目的port、protocol等TCP(Transmission Control Protocol，传输控制协议)、UDP(User DatagramProtocol，用户数据报协议)连接的信息。如图1所示，本发明包括如下处理步骤：

1、芯片对收到的报文进行解析，得到输入报文的关键域的内容；

2、根据解析的结果，进行二层处理，查找MAC table；

3、如果MAC table查找命中，则根据解析的结果，取出五元组(源IP、目的IP、源port、目的port、protocol)，查找防火墙连接表，如果没有命中，则送CPU，由CPU作进一步处理；

4、如果防火墙连接表查找命中，则根据防火墙连接表中的标志对报文做相应的处理，包括：正常转发报文、做NAT(Network Address Translation，网络地址转换)之后转发报文、送CPU处理，如果没有命中，则送CPU，由CPU作进一步处理。

在第1步中，当芯片收到一个报文，首先解析出报文的源MAC、目的MAC、VLAN(VirtualLocal AreaNetwork，虚拟局域网)号；然后，在第2步中，在MAC table中查找是否存在源MAC与VLAN号的组合和目的MAC与VLAN号的组合，如果不存在，则送CPU，由CPU更新MAC table。

在第4步中，如果防火墙连接表中有送CPU的标志，就将此报文送CPU处理，如果防火墙连接表中有做NAT的标志，就做NAT，然后根据连接表中标示的出口，把报文转发出去，如果没有送CPU或者做NAT的标志，则直接根据连接表中标示的出口，把报文转发出去。

以下是根据上述处理步骤的一个具体实施实例，其具体处理流程如下：

1、芯片对收到的报文进行解析，得到源MAC、目的MAC、VLAN号、源IP、目的IP、源port、目的port、protocol等域的内容；

2、用解析得到的源MAC、目的MAC、VLAN号查找MAC table；

3、如果MAC table查找命中，则用解析得到的源IP、目的IP、源port、目的port、protocol查找防火墙连接表；

4、如果防火墙连接表查找命中，则先判断连接表中是否有送CPU标志，如果有，则报文送CPU处理，否则再判断连接表中是否有做NAT标志，如果有，则对报文做NAT。最后根据连接表中标示的出口，把报文发送出去。

以上所述仅为本发明的示意性实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种单一芯片实现多项网络安全功能的方法，包括如下步骤：

1-2、根据解析的结果，进行二层处理，查找MAC table；

2.如权利要求1所述的单一芯片实现多项网络安全功能的方法，其特征在于，步骤1-2中用解析得到的报文的源MAC、目的MAC、VLAN号查找MAC table，判断在MAC table中是否存在源MAC与VLAN号的组合和目的MAC与VLAN号的组合，如果不存在，则送CPU，由CPU更新MAC table。

3.如权利要求1所述的单一芯片实现多项网络安全功能的方法，其特征在于，步骤1-4中根据防火墙连接表中的标志对报文做相应的处理包括如下步骤：判断防火墙连接表中是否有送CPU的标志，如果有，就将此报文送CPU处理；否则根据连接表中标示的出口，把报文转发出去。

4.如权利要求3所述的单一芯片实现多项网络安全功能的方法，其特征在于，如果防火墙连接表中没有送CPU的标志，则再判断防火墙连接表中是否有做网络地址转换的标志，如果有，则对报文做网络地址转换，然后根据连接表中标示的出口，把报文转发出去；否则直接根据连接表中标示的出口，把报文转发出去。

5.如权利要求1至4中任意一项所述的单一芯片实现多项网络安全功能的方法，其特征在于，所述单一芯片为现场可编程门阵列或者专用集成电路。