CN102571533A - 网络装置及其网络封包处理方法 - Google Patents

Abstract

本发明提供一种网络装置，经由一网络适配卡与一网络建立连结。网络装置包含一处理器以及一储存组件。处理器包含至少一封包传输处理核心、至少一安全检测处理核心以及一主处理核心。储存组件储存一封包接收模块和一封包输出模块。主处理核心加载封包接收模块，以透过网络适配卡，自该网络接收数个封包，使至少一封包传输处理核心，对封包进行网络传输处理，并使至少一安全检测处理核心，对封包进行安全检测。主处理核心加载封包输出模块，以在网络传输处理以及安全检测完成后，输出封包。

Description

网络装置及其网络封包处理方法

技术领域

本发明是有关于一种网络装置及其网络封包处理方法，特别是有关于适用至少三核心的处理器的网络装置及其网络封包处理方法。

背景技术

以太网络的传输率已由往日的10/100Mbps快速的成长至今日的1G/10Gbps。随着因特网、企业网络等网络应用的频宽需求急剧上升，传输、检查、拆解、组合、搜寻、内容比对、转递等IP封包运算处理动作也随之大量增加。近年研究指出，处理1Gbps频宽的TCP协议，需要100％的PentiumIII1GHz处理器效能，或30％的Pentium4 2.4GHz。

虽然，目前市面上已经出现有多核心处理器，以解决处理数据量急剧增加的问题，但在目前的多核心处理器中，网络封包处理仍仅由单一核心处理(如主处理核心)，因而使得负责网络封包处理的单一核心将有高达50％～80％的效能消耗在网络封包处理上，无法将其效能分散到其它处理核心，有效地运用多核心处理器的优点。此外，在高速的网络传输速率下，处理器对网络封包处理的速度，已经成为网络传输的瓶颈，即使使用多核心处理器，对其在处理大量网络封包时，也无法充分地提升其对网络封包的处理速度，成为业者的困扰。

此外，以往在进行封包传输数据处理时，安全性并非必需的考虑，所以封包传输处理整个完成后，才会依照其需要再决定是否要做安全性检测，因此封包传输数据处理和封包安全检测处理是分成两个不同步骤来处理。然而随着网络的发达，网络应用越来越多元及广泛，网络的黑客及攻击事件也越来越多，因此网络安全的考虑已经越来越重要甚至是必须的考虑，而已知技术中分成两个不同步骤来处理会变成资源的浪费。

发明内容

因此，本发明提出一种网络装置，使用多核心处理器，用以将所接收的网络封包分配给数个处理核心，进行网络传输处理以及安全检测处理。网络装置是经由一网络适配卡与一网络建立连结。网络装置包含相互电性连接的一处理器以及一储存组件。处理器包含至少一封包传输处理核心、至少一安全检测处理核心以及一主处理核心。储存组件储存一封包接收模块和一封包输出模块。主处理核心加载封包接收模块，以透过网络适配卡，自网络接收数个封包。主处理核心使至少一封包传输处理核心，对封包进行网络传输处理，并使至少一安全检测处理核心，对封包进行安全检测。主处理核心加载封包输出模块，以在网络传输处理以及安全检测完成后，输出封包。

本发明的另一实施例是在提供一种网络封包处理方法，适用于一处理器，该处理器包含至少一封包传输处理核心、至少一安全检测处理核心以及一主处理核心，其中该方法包含：接收数个封包。使至少一封包传输处理核心，对封包进行网络传输处理。使至少一安全检测处理核心，对封包进行安全检测处理。在网络传输处理以及安全检测完成后，输出封包。

网络封包处理方法可实作为一计算机程序，并储存于一计算机可读取记录媒体中，而使计算机读取此记录媒体后执行网络封包处理方法。当该计算机程序被机器或电子装置加载且执行时，机器或电子装置成为用以实行本发明的装置或系统。

应用本发明具有下列优点。本发明在使用多核心处理器来处理大量的网络传输数据时，可将封包的网络传输处理以及安全检测处理分配给数个核心处理，解决已知技术中只能由其中一处理核心来处理网络封包的问题，并降低该处理核心的运算使用率，使其它核心也都能协助处理网络传输处理，于是，可加速处理封包的速度，突破封包传输量瓶颈。此外，本发明亦能够在进行封包传输数据处理时，同时进行安全检测处理，提升安全性，并有效提升处理器的效能，并确保所输出的封包的安全性。

附图说明

为让本发明的上述和其它目的、特征、优点与实施例能更明显易懂，所附附图的说明如下：

图1绘示依照本发明一实施方式的一种网络装置的功能方块图；

图2是依照本发明一实施方式的一种网络封包处理方法的流程图。

【主要组件符号说明】

100：网络装置

110：处理器

121、…、12n：封包传输处理核心

131、…、13n：安全检测处理核心

140：主处理核心

151、…、15n：处理核心群组

160：储存组件

161：封包接收模块

162：封包输出模块

163：封包分类模块

164：封包分配模块

165：流量监控模块

200：网络

210：网络适配卡

300：网络封包处理方法

310～380：步骤

具体实施方式

以下将以附图及详细说明清楚说明本发明的精神，任何所属技术领域中具有通常知识者在了解本发明的较佳实施例后，当可由本发明所教示的技术，加以改变及修饰，其并不脱离本发明的精神与范围。

请参照图1，其绘示依照本发明一实施方式的一种网络装置的功能方块图。网络装置将所接收的网络封包，分配给多核心处理器中的多个处理核心，进行网络传输处理以及安全检测。

网络装置100是经由一网络适配卡210与一网络200建立连结。网络装置100包含相互电性连接的一处理器110以及一储存组件160。处理器110包含至少一封包传输处理核心121、…、12n、至少一安全检测处理核心131、…、13n以及一主处理核心140。储存组件160储存一封包接收模块161和一封包输出模块162。处理器110可以是一般市售可得的多核心处理器，例如三核心以上的处理器、INTEL CORE I7四核心处理器、或CELL九核心处理器等。储存组件160可为只读存储器(read only memory；ROM)、闪存(FlashMemory)、软盘、硬盘、光盘、随身碟、磁带、可由网络存取的数据库或熟悉此技艺者可轻易思及具有相同功能的储存组件，其较佳实施例可采用只读存储器或闪存。主处理核心140加载封包接收模块161，以透过网络适配卡210，自网络200接收数个封包。主处理核心140使至少一封包传输处理核心121、…、12n，对封包进行网络传输处理，并使至少一安全检测处理核心131、…、13n，对封包进行安全检测。在另一些实施例中，主处理核心140、封包传输处理核心121、…、12n以及安全检测处理核心131、…、13n等，除了可以执行本发明所述及的相关功能之外，还可作为处理核心以处理其它数据或提供其它功能，并非只进行封包传输处理和安全检测处理而已。

在一些实施例中，至少一封包传输处理核心121、…、12n可对封包进行传输控制协议/因特网协议(Transmission Control Protocol/Internet Protocol)或其它网络通讯协议相关的网络传输处理。举例来说，至少一封包传输处理核心121、…、12n可对封包进行封包检查、封包处理、重组程序、解译程序、封包输出等网络传输相关的处理。

此外，主处理核心140在加载封包接收模块161后，使至少一安全检测处理核心131、…、13n，对封包进行安全检测。在本发明的一实施例中，至少一安全检测处理核心131、…、13n可通过市售可得、或可经由业界所流通的网络封包安全检测系统，例如网络入侵检测系统(如snort)，检测封包是否安全。在本发明的另一实施例中，至少一安全检测处理核心131、…、13n可将所接收的封包与一特征数据库比对，以检测封包是否安全。在本发明的另一实施例中，至少一安全检测处理核心131、…、13n可对封包进行行为分析，以检测封包是否安全。在本发明的其它实施例中，至少一安全检测处理核心131、…、13n可通过其它安全检测方法，或自行开发的安全检测机制，来检测封包是否安全，并不限于本揭露。

另外，在本发明的一实施例中，可使封包先于传输处理核心121、…、12n进行网络传输处理后，再传送至安全检测处理核心131、…、13n进行安全检测。在本发明的另一实施例中，可使封包先于安全检测处理核心131、…、13n进行安全检测后，再传送至传输处理核心121、…、12n进行网络传输处理。

主处理核心140加载封包输出模块162，以在网络传输处理以及安全检测处理完成后，输出封包。更进一步时，主处理核心140可依据安全检测的结果，在输出封包做不同处理，例如，若所输出的封包被检测为安全封包时，主处理核心140直接将其输出。若所输出的封包被检测为可疑封包时，主处理核心140可将其丢弃而不输出或将其标示为可疑封包。在其它实施例中，主处理核心140可将可疑封包进行其它处理，并不限于本揭露。

如上所述，网络装置100可将封包的网络传输处理以及安全检测分配给处理器110中其它核心处理，而降低网络装置100的主处理核心140之运算使用率。于是，可加速网络装置100处理封包的速度，突破原先处理器110的封包传输量瓶颈。因此，网络装置100可输出更多的封包，并确保其所输出的封包的安全性。

在本发明一些实施例中，处理器110中的至少一封包传输处理核心121、…、12n以及至少一安全检测处理核心131、…、13n的数量皆为数个时，主处理核心140可使封包传输处理核心121、…、12n以及安全检测处理核心131、…、13n两两一组，组成多个处理核心群组151、…、15n。于是，可使同一处理核心群组151、…、15n的传输处理核心121、…、12n以及安全检测处理核心131、…、13n，分别对同一封包进行网络传输处理以及安全检测。此外，各处理核心群组151、…、15n可由其位在处理器110中位置相近的封包传输处理核心121、…、12n以及安全检测处理核心131、…、13n所组成。在另一些实施例中，主处理核心140可依据其它核心位于处理器110中的位置，令位置相近的任两核心为一处理核心群组，然后在令处理核心群组中的一核心为该处理核心群组中的封包传输处理核心，另一核心为安全检测处理核心。如上所述，封包可在同一处理核心群组151、…、15n的传输处理核心121、…、12n以及安全检测处理核心131、…、13n间传送，分别进行网络传输处理以及安全检测处理时，可进一步减少封包传送所需的时间。换言之，可更进一步增加网络装置100进行网络传输处理以及安全检测的效率。此外，多个处理核心群组151、…、15n可分别对多个封包，进行网络传输处理以及安全检测处理，因而增加对于封包的处理速度。于是，网络装置100更能轻松应付更高速的网络封包传输。

此外，在本发明一些实施例中，储存组件160还可存有一封包分配模块164。主处理核心140于加载封包分配模块164后，主处理核心140可将封包分配至各处理核心群组151、…、15n。于是，处理核心群组151、…、15n可对所被分配的封包，进行网络传输处理以及安全检测处理。在封包分配至各处理核心群组151、…、15n前，可进一步先将封包先进行分类，作为分配的依据。因此，储存组件160更可储存一封包分类模块163。主处理核心140于加载封包分类模块163后，根据封包的网络传输信息，分类为数个封包分类。

一般来说，封包的网络传输信息可包含封包的来源或目的地的因特网通讯协议(Internet Protocol，IP)地址(address)、连接端口号码(port number)或其它网络传输相关信息。在本发明的一实施例中，主处理核心140可将具相同来源或目的地的因特网通讯协议地址的封包，分至同一封包分类。在本发明的另一实施例中，主处理核心140可将具来源或目的地的相同连接端口号码的封包，分至同一封包分类。在本发明的另一实施例中，主处理核心140可将具相同来源或目的地的因特网通讯协议地址以及连接端口号码的封包，分至同一封包分类。在其它实施例中，主处理核心140可依据其它网络传输相关信息进行分类，不限于本揭露。于是，主处理核心140于加载封包分配模块164后，在使封包传输处理核心对该些封包进行网络传输处理时，根据封包的封包分类，将所接收到的封包，分配至对应封包分类的处理核心群组151、…、15n。其中，主处理核心140可将同一封包分类的至少一封包，分配至同一处理核心群组151、…、15n，以进行网络传输处理以及安全检测。如此一来，具有相同网络传输信息的封包可被分配至相同处理核心群组151、…、15n进行处理。此外，具有相同网络传输信息的封包具有相似的特性，可加速处理核心群组151、…、15n的处理速度。

更进一步时，为平衡各处理核心群组151、…、15n的负载，网络装置100可监控封包分类的流量，调整各分类所对应的处理核心群组。因此，储存组件160还储存一流量监控模块165。主处理核心140于加载封包分配模块164后，监控每一封包分类的流量。于是，主处理核心140可于加载封包分配模块164后，根据该些封包分类的流量，改变该些封包分类所对应的处理核心群组151、…、15n及其数量。其中，主处理核心140可将流量较大的封包分类，分配至目前封包处理数目较少的处理核心群组151、…、15n。然而，在其它实施例中，主处理核心140可通过其它负载平衡机制，进行封包分类的分配。主处理核心140还可将每一封包分类之流量以及所被分配的处理核心群组记录至一动态分配表记录。如此一来，可平均各处理核心群组151、…、15n的负载，而增进网络装置100的效能。

在本发明一些实施例中，当封包传输处理核心(如121、…、12n)的数量为数个时，储存组件160还可储存有一封包分配表，当主处理核心140使封包传输处理核心(如121、…、12n)对封包进行网络传输处理时，可在封包分配表，记录每一个封包所被分配的封包传输处理核心。在另一些实施例中，当封包传输处理核心121、…、12n以及安全检测处理核心131、…、13n两两一组，组成多个处理核心群组151、…、15n时，主处理核心140对封包进行网络传输处理时，可在封包分配表，记录每一个封包所被分配的处理核心群组。

请参照图2，其是依照本发明一实施方式的一种网络封包处理方法的流程图。网络封包处理方法可经由一处理器来实作，或为一计算机程序，并储存于一计算机可读取记录媒体中，而使一计算机或一电子设备来读取此记录媒体后执行网络封包处理方法。计算机可读取记录媒体可为只读存储器、闪存、软盘、硬盘、光盘、随身碟、磁带、可由网络存取的数据库或熟悉此技艺者可轻易思及具有相同功能的计算机可读取记录媒体。

网络封包处理方法300适用于一处理器，该处理器包含至少一封包传输处理核心、至少一安全检测处理核心以及一主处理核心。网络封包处理方法300包含以下步骤：

在步骤310中，透过网络接收数个封包。

在步骤320中，主处理核心使至少一封包传输处理核心，对各封包进行网络传输处理。

在步骤330中，主处理核心使至少一安全检测处理核心，对各封包进行安全检测处理。

在步骤340中，主处理核心在网络传输处理以及安全检测完成后，输出处理完成的封包。

在步骤320中，更进一步时，至少一封包传输处理核心可对封包进行传输控制协议/因特网协议(Transmission Control Protocol/Internet Protocol)或其它网络通讯协议相关的网络传输处理。

在步骤330中，更进一步时，至少一安全检测处理核心可通过一网络入侵检测系统(如snort)，检测封包是否安全，或者是将所接收的封包与一特征数据库比对，以检测封包是否安全，或者是对封包进行行为分析，以检测封包是否安全，又或者是通过其它安全检测方法，检测封包是否安全，并不限于本揭露。此外，步骤320可执行于步骤330之前或同时执行，并不限于本揭露。

在步骤340中，更进一步时，封包于完成网络传输处理以及安全检测处理后，若所输出的封包被步骤330检测为安全封包时，主处理核心则直接将其输出，若所输出的封包被步骤330检测为可疑封包时，可将其丢弃而不输出或将其标示为可疑封包。在其它实施例中，可将可疑封包进行其它处理，并不限于本揭露。

在至少一封包传输处理核心以及至少一安全检测处理核心的数量皆为数个时，主处理核心可使封包传输处理核心以及安全检测处理核心两两一组，组成多个处理核心群组。于是，可使同一处理核心群组的传输处理核心以及安全检测处理核心，分别对同一封包进行网络传输处理以及安全检测。此外，各处理核心群组可由相互间位置相近的一封包传输处理核心以及一安全检测处理核心所组成。

本发明方法流程300，更进一步时，可在步骤320及步骤330之前，主处理核心可将任两个封包传输处理核心以及安全检测处理核心组成一处理核心群组，再将封包分配至各处理核心群组。其中，可先将封包分类为多个封包分类，以做为分配的依据。于是，各处理核心群组中的封包传输处理核心与安全检测处理核心可分别对所被分配的封包，进行网络传输处理以及安全检测处理。此外，上述分类可依据各封包的网络传输信息进行，网络传输信息可包含封包的来源或目的地的因特网通讯协议地址、连接端口号码或其它网络传输相关信息。于是，上述步骤中主处理核心根据封包的封包分类，分配至对应封包分类的处理核心群组时，可将同一封包分类的至少一封包，分配至同一处理核心群组，以进行网络传输处理以及安全检测。

另外，为平衡各处理核心群组的负载，前述分类步骤中，主处理核心还可依据封包分类，重新分配至不同处理核心群组进行处理。因此，更进一步时，可监控每一封包分类的流量，再依据各封包分类的流量，改变封包分类所分配的处理核心群组及其数量。例如，可将流量较大的封包分类，分配至目前封包处理数目较少的处理核心群组。此外，网络封包处理方法300，主处理核心还可将每一封包分类的流量以及所被分配的处理核心群组记录至一动态分配表记录，以平均各处理核心群组的负载，而增进网络封包处理的效能。

在步骤310中，更进一步时，可提供一封包分配表，当主处理核心使封包传输处理核心对封包进行网络传输处理时，可在封包分配表，记录每一个封包所被分配的封包传输处理核心。

由上述本发明实施方式可知，应用本发明具有下列优点。可将封包的网络传输处理以及安全检测分别由不同核心处理，而降低各处理核心的运算使用率。于是，可加速处理封包的速度，突破封包传输量瓶颈。因此，可输出更多的封包，并确保所输出的封包的安全性。

虽然本发明已以实施方式揭露如上，然其并非用以限定本发明，任何熟悉此技艺者，在不脱离本发明的精神和范围内，当可作各种的更动与润饰，因此本发明的保护范围当视所附的权利要求书所界定的范围为准。

Claims (17)

1.一种网络装置，其特征在于，该网络装置是经由一网络适配卡与一网络建立连结，且该网络装置包含：

一处理器，包含至少一封包传输处理核心、至少一安全检测处理核心以及一主处理核心；以及

一储存组件，电性连接至该处理器，储存一封包接收模块和一封包输出模块；且其中，

该主处理核心加载该封包接收模块，以透过该网络适配卡，自该网络接收数个封包，使该至少一封包传输处理核心，对该些封包进行网络传输处理，并使该至少一安全检测处理核心，对该些封包进行安全检测，以及加载该封包输出模块，以在网络传输处理以及安全检测完成后，输出该些封包。

2.根据权利要求1所述的网络装置，其特征在于，该至少一封包传输处理核心的数量为数个，该至少一安全检测处理核心数量为数个，每一该些封包传输处理核心与该些安全检测处理核心的其中之一组成一处理核心群组，且同一处理核心群组的该封包传输处理核心与该安全检测处理核心，分别对同一封包进行网络传输处理以及安全检测处理。

3.根据权利要求2所述的网络装置，其特征在于，每一该处理核心群组的组成是依据该些封包传输处理核心与该些安全检测处理核心位于该处理器上的位置，将位置相近者组成该处理核心群组。

4.根据权利要求1所述的网络装置，其特征在于，该至少一封包传输处理核心的数量为数个，该至少一安全检测处理核心为数个，每一该些封包传输处理核心与该些安全检测处理核心的其中之一组成一处理核心群组，且该储存组件还储存一封包分配模块，且该主处理核心于加载该封包分配模块后，将该些封包分配至该些处理核心群组，借此使每一该些处理核心群组分别对所被分配的该些封包，进行网络传输处理以及安全检测处理。

5.根据权利要求1所述的网络装置，其特征在于，该至少一封包传输处理核心的数量为数个，该至少一安全检测处理核心为数个，每一该些封包传输处理核心与该些安全检测处理核心的其中之一组成一处理核心群组；

其中该储存组件还储存一封包分类模块和一封包分配模块；以及

其中该主处理核心于加载该封包分类模块后，根据该些封包的网络传输信息，分类为数个封包分类，以及于加载该封包分配模块后，使该至少一封包传输处理核心对该些封包进行网络传输处理并使该至少一安全检测处理核心对该些封包进行安全检测处理时，是根据该些封包的封包分类，将该些封包分配至对应该封包分类的处理核心群组，借此使每一该些处理核心群组对所被分配的该些封包，进行网络传输处理以及安全检测处理。

6.根据权利要求5所述的网络装置，其特征在于，储存组件还储存一流量监控模块，且该主处理核心于加载该流量监控模块后，监控每一该些封包分类的流量，且该主处理核心还包括于加载该封包分配模块后，根据该些封包分类的流量，改变该些封包分类所对应的处理核心群组及其数量。

7.根据权利要求1所述的网络装置，其特征在于，该至少一封包传输处理核心的数量为数个，且该储存组件还储存一封包分配表，而该主处理核心使该些封包传输处理核心对该些封包进行网络传输处理时，于该封包分配表记录每一该些封包其所被分配的封包传输处理核心。

8.根据权利要求1所述的网络装置，其特征在于，该些封包于完成网络传输处理以及安全检测处理后，若检测结果为安全封包时，主处理核心输出该封包，若检测结果为可疑封包时，则主处理核心执行丢弃该封包、不输出该封包、或将该封包标示为可疑封包的其中之一。

9.一种网络封包处理方法，其特征在于，适用于一处理器，该处理器包含至少一封包传输处理核心、至少一安全检测处理核心以及一主处理核心，其中该方法包含：

接收数个封包；

使该至少一封包传输处理核心，对该些封包进行网络传输处理；

使该至少一安全检测处理核心，对该些封包进行安全检测处理；以及

在网络传输处理以及安全检测完成后，输出该些封包。

10.根据权利要求9所述的网络封包处理方法，其特征在于，该至少一封包传输处理核心的数量为数个，该至少一安全检测处理核心的数量为数个，每一该些封包传输处理核心与该些安全检测处理核心的其中之一组成一处理核心群组，且同一处理核心群组的该封包传输处理核心与该安全检测处理核心，分别对同一封包进行网络传输处理以及安全检测处理。

11.根据权利要求10所述的网络封包处理方法，其特征在于，每一该处理核心群组的组成是依据该些封包传输处理核心与该些安全检测处理核心位于该处理器上的位置，将位置相近者组成该处理核心群组。

12.根据权利要求9所述的网络封包处理方法，其特征在于，该至少一封包传输处理核心的数量为数个，该至少一安全检测处理核心为数个，每一该些封包传输处理核心与该些安全检测处理核心的其中之一组成一处理核心群组，且该网络封包处理方法还包含：

将该些封包分配至该些处理核心群组，借此使每一该些处理核心群组分别对所被分配的该些封包，进行网络传输处理以及安全检测处理。

13.根据权利要求9所述的网络封包处理方法，其特征在于，该至少一封包传输处理核心的数量为数个，该至少一安全检测处理核心为数个，每一该些封包传输处理核心与该些安全检测处理核心的其中之一组成一处理核心群组，该网络封包处理方法还包含：

根据该些封包的网络传输信息，分类为数个封包分类；以及

使该至少一封包传输处理核心对该些封包进行网络传输处理并使该至少一安全检测处理核心对该些封包进行安全检测处理时，根据该些封包的封包分类，将该些封包分配至对应该封包分类的处理核心群组，借此使每一该些处理核心群组对所被分配的该些封包，进行网络传输处理以及安全检测处理。

14.根据权利要求13所述的网络封包处理方法，其特征在于，该网络封包处理方法还包含：

监控该些封包分类的流量；以及

根据该些封包分类的流量，改变该些封包分类所分配的处理核心群组及其数量。

15.根据权利要求13所述的网络封包处理方法，其特征在于，该些封包的网络传输信息包含该些封包的因特网协议地址或该些封包的连接端口。

16.根据权利要求9所述的网络封包处理方法，其特征在于，该至少一封包传输处理核心的数量为数个，且该网络封包处理方法还包含：

储存一封包分配表；以及

使该些封包传输处理核心对该些封包进行网络传输处理时，于该封包分配表记录每一该些封包其所被分配的封包传输处理核心。

17.根据权利要求9所述的网络封包处理方法，其特征在于，还包含：

该些封包于完成网络传输处理以及安全检测处理后，若检测结果为安全封包时，主处理核心输出该封包，若检测结果为可疑封包时，则主处理核心执行丢弃该封包、不输出该封包、或将该封包标示为可疑封包的其中之一。

Images