CN108809864A

CN108809864A - 一种基于fpga的多线卡高密度tap交换机

Info

Publication number: CN108809864A
Application number: CN201810617188.2A
Authority: CN
Inventors: 董继刚; 吴恒奎; 孙宏; 王天罡; 姜玥
Original assignee: CETC 41 Institute
Current assignee: CETC 41 Institute
Priority date: 2018-06-15
Filing date: 2018-06-15
Publication date: 2018-11-13
Anticipated expiration: 2038-06-15
Also published as: CN108809864B

Abstract

本发明公开了一种基于FPGA的多线卡高密度TAP交换机，包括若干个线卡模块、高速串行背板、主控制模块和交换模块；所述线卡模块接收网络侧接口的数据流，识别数据流的协议信息，将网络侧接口的数据流发送至交换模块，并接收交换模块发送的数据流，将处理后的数据流以及交换模块上传的数据流发送至工具侧接口；所述交换模块实现各线卡模块之间以及线卡模块与主控制模块之间的数据与控制信息的交换，并对接收的网络侧接口的数据流进行识别和处理，按照用户定制的TAP交换策略将处理后的数据流发送至线卡模块；所述主控制模块实现整机的控制和状态监测，通过交换控制模块向各线卡模块下发控制和配置指令，并收集各线卡模块以及交换模块的状态信息。

Description

一种基于FPGA的多线卡高密度TAP交换机

技术领域

本发明涉及一种基于FPGA的多线卡高密度TAP交换机。

背景技术

TAP交换机又称为以太网分路器或者网络监控交换机，是一种以太网网络流量智能处理设备，其端口可设置为网络侧接口和工具侧接口，其中网络侧接口用于获取网络上的原始数据，经过TAP处理后，发送到工具侧接口，工具侧接口用于连接网络安全工具。TAP交换机能够在不中断网络正常流量的情况下，对数据进行复制、汇聚、负载均衡等功能，同时，可以对流量进行过滤处理，提高网络安全工具的兼容性和可扩展性。因此，TAP交换机是IP网络安全监测、入侵检测系统、移动信令分析系统、内容审计系统等安全解决方案中，获取网络流量和优化网络安全工具性能的重要支撑设备。

目前，TAP交换机的结构及其实现方法主要有如下三种：

(1)基于PHY芯片实现的TAP交换机如图1，采用以太网PHY芯片背靠背连接的方式，利用PHY芯片间的交叉结构，获取上行和下行链路的数据。

(2)基于NPU的TAP交换机如图2所示，该方法需要与Switch芯片或者PHY芯片联合工作，同时需要DDR和其他存储器，数据经过PHY芯片处理后送入NPU缓存，由NPU进行分析和处理，再反向送到指定的工具侧接口。

(3)基于Switch芯片实现的TAP交换机如图3所示，系统主要由Switch芯片、主控制模块、PHY接口芯片组成。Switch芯片利用自身的存储转发结构，在主控制模块的配置下，对数据进行过滤和处理，并将数据发送到指定的工具端口。

基于PHY芯片构建的TAP交换机，由于PHY芯片的功能较为单一，只有相同速率的PHY接口之间可以传输数据，不能实现高密度端口间的数据交换，不适用于数据中心等大规模高密度网络的安全监控。

基于NPU实现的TAP交换机，一方面，高性能的NPU价格较为昂贵，因此基于NPU构建的TAP交换机成本较高；另一方面，由于NPU内部的数据处理采用软件处理，因此转发和处理时间延迟较大，且不易精确控制，在金融等对实时性要求较高的应用场景，不能满足低时延的要求。

基于Switch实现的TAP交换机，需要高性能的Switch芯片，但是对网络流量的处理速度和分析深度不足，由于Switch芯片对数据的处理集中在链路层、网络层和传输层，因此，无法对网络数据流的应用层进行深度识别和过滤处理。

综上所述，现有技术中TAP交换机在端口数量和数据处理深度上存在不足，不能满足数据中心等大规模高密度网络的安全监测需求，对于如何增加TAP的数据处理深度，增加端口数量，满足高密度网络的应用需求，仍缺乏有效的解决方案。

发明内容

为了克服上述现有技术的不足，本发明提供了一种基于FPGA的多线卡高密度TAP交换机，采用FPGA构建线卡模块，可以对数据流进行应用层的识别与分析，增加了TAP的数据处理深度；此外，通过高速串行背板和Switch芯片实现了多块板卡之间的互联与数据交换，增加了端口数量，解决了高密度网络的应用需求。

本发明所采用的技术方案是：

一种基于FPGA的多线卡高密度TAP交换机，包括若干个线卡模块、高速串行背板、主控制模块和交换模块；各线卡模块分别通过高速串行背板与交换模块连接，所述交换模块通过高速串行背板与主控制模块连接；

所述线卡模块，用于接收网络侧接口的数据流，识别数据流的协议信息，并对数据流进行分析和处理，同时，将网络侧接口的数据流发送至交换模块，并接收交换模块发送的数据流，将处理后的数据流以及交换模块上传的数据流发送至工具侧接口；

所述交换模块用于实现各线卡模块之间以及线卡模块与主控制模块之间的数据与控制信息的交换，并对接收的网络侧接口的数据流进行识别和处理，按照用户定制的TAP交换策略将处理后的数据流发送至线卡模块；

所述主控制模块，用于整机的控制和状态监测，通过交换控制模块向各线卡模块下发控制和配置指令，并收集各线卡模块以及交换模块的状态信息。

进一步的，还包括电源模块，所述电源模块被配置为将220V交流转换为-48V直流电压，给TAP交换机内其他各模块供电。

进一步的，所述交换模块包括控制交换芯片和数据交换芯片，所述控制交换芯片用于接收主控制模块的指令，对各线卡模块进行控制，监测各线卡模块的状态信息，传输至主控制模块；所述数据交换芯片用于接收线卡模块发送的网络侧接口数据流并进行识别和处理，按照用户定制的TAP交换策略将处理后的数据发送到对应的线卡模块。

进一步的，所述线卡模块包括接收控制模块、协议识别与处理模块和发送控制模块；其中，所述接收控制模块接收网络侧接口的数据流，发送至协议识别与处理模块；所述协议识别与处理模块按照TCP/IP协议提取从网络侧接口或交换模块接收的数据流的各层协议信息，对数据流进行协议识别，获取数据流的应用层信息，按照预先配置的数据处理策略对数据流进行处理，从网络侧接口接收的数据流发送至交换模块或者丢弃，从交换模块接收的数据流发送到工具侧接口或者丢弃。

进一步的，所述数据流的各层协议信息包括MAC地址、以太类型、协议、IP地址或端口号信息；

所述应用层信息包括报文中负载部分的二进制信息、报文所使用的应用协议类型信息。

进一步的，所述协议识别与处理模块包括链路层识别与处理模块、IP层识别与处理模块、传输层识别与处理模块和应用层识别与处理模块；

所述链路层识别与处理模块，用于按照TCP/IP协议提取数据流的链路层协议的信息，截取报文的二层数据报头，解析源/目的MAC地址、Ehtertype、VLAN字段，并与用户预配置的条件进行对比；

所述IP层识别与处理模块，用于按照TCP/IP协议提取数据流的IP层协议的信息，截取报文的三层数据报头，解析IP协议、DSCP/TOS、源/目的IP地址字段，并与用户预配置的条件进行对比；

所述传输层识别与处理模块，用于按照TCP/IP协议提取数据流的传输层协议的信息，截取报文的四层数据报头，解析源端口号、目的端口号字段，并与用户预配置的条件进行对比；

所述应用层识别与处理模块，用于按照TCP/IP协议提取数据流的应用层协议的信息，截取报文的载荷部分，对载荷部分进行特征匹配，识别数据流的应用协议。

进一步的，所述线卡模块还包括策略管理与控制模块，所述策略管理与控制模块用于管理本线卡模块的数据处理策略和状态监控，通过控制交换芯片与主控制模块连接，接收主控制模块发送的任务配置信息，并根据数据转发策略设置相应的FPGA匹配条件。

进一步的，在接收控制模块与网络侧接口之间、在接收控制模块与工具侧接口之间分别设置有网络接口模块，所述网络接口模块包括物理层处理器和MAC控制器，所述物理层处理器采用PHY芯片，用于实现对数据流的串并/并串转换以及编码、解码；所述MAC控制器采用FPGA电路，用于实现以太网帧的线速发送与接收。

进一步的，所述接收控制模块和发送控制模块分别采用多级RAM结构。

进一步的，所述高速串行背板包括用于线卡模块与交换模块连接的高速串行数据线以及用于线卡模块与主控制模块连接的双向通讯控制线、同步时钟线或状态控制信号线。

与现有技术相比，本发明的有益效果是：

(1)本发明可实现网络流量的应用识别，提高了TAP交换机的数据处理能力，可以识别数据流的应用层信息；

(2)本发明利用高速串行背板和线卡模块实现了多个线卡的互联，解决了高密度网络中TAP端口不足的问题，可对高密度的网络端口进行监测，连接更多的网络安全和分析工具；

(3)利用FPGA实现了MAC控制器，解决了TAP交换机中通用MAC控制器缓存过小，无法实现10Gbps速率下的线速处理问题：

(4)本发明端口密度大，接入能力更强，可以对数据中心等高密度网络进行监测分流，支持更多的安全工具同时工作。

附图说明

构成本申请的一部分的说明书附图用来提供对本申请的进一步理解，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。

图1是基于PHY芯片实现的TAP交换机结构图；

图2是基于NPU的TAP交换机结构图；

图3是基于Switch芯片实现的TAP交换机结构图；

图4是本发明提出的基于FPGA的多线卡高密度TAP交换机结构图；

图5是线卡模块结构图。

具体实施方式

下面结合附图与实施例对本发明作进一步说明。

应该指出，以下详细说明都是例示性的，旨在对本申请提供进一步的说明。除非另有指明，本文使用的所有技术和科学术语具有与本申请所属技术领域的普通技术人员通常理解的相同含义。

需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本申请的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。

正如背景技术所介绍的，现有技术中基于PHY芯片构建的TAP交换机存在不能实现高密度端口间的数据交换，不适用于数据中心等大规模高密度网络的安全监控的不足，基于NPU实现的TAP交换机存在转发和处理时间延迟较大，不易精确控制，在金融等对实时性要求较高的应用场景，不能满足低时延的要求的不足，基于Switch实现的TAP交换机存在无法对网络数据流的应用层进行深度识别和过滤处理的不足，为了解决如上的技术问题，本申请提出了一种基于FPGA的多线卡高密度TAP交换机。

如图4所示，本发明实施例提供了一种基于FPGA的多线卡高密度TAP交换机，该交换机由若干个线卡模块、主控制模块、交换模块、电源模块、高速串行背板五部分组成，各线卡模块分别通过高速串行背板与交换模块连接，所述交换模块通过高速串行背板与主控制模块连接。

所述电源模块主要完成220V交流供电，经一次电源处理滤波后，以-48V直流电压供给整机内其他各模块，各模块经DC/DC变换将-48V变到各芯片所需的工作电压。

所述主控模块主要完成系统初始化、任务配置、TAP数据处理策略管理、状态监测等功能，与各线卡模块和交换模块通过高速串行背板连接。所述主控制模块，用于整机的控制和状态监测，通过控制交换芯片与各线卡模块连接，通过控制交换芯片下发控制和配置指令，包括系统初始化、任务配置、数据处理策略等信息，并收集各线卡模块以及交换模块的状态信息。

所述交换模块主要完成网络数据流的2-4层识别、过滤与流量端口的决策。该模块由控制交换芯片和数据交换芯片组成，控制交换芯片用于实现主控制模块与各线卡之间控制与状态监测信息的传输。数据交换芯片具备高密度高速端口，接收网络侧接口线卡发送的数据，进一步处理后，按照用户定制的TAP交换策略将数据流发送到相应工具侧接口所在的线卡。

线卡模块主要由FPGA、PHY接口芯片和微控制处理器组成，主要完成网络数据的接收与发送以及各层协议的识别和过滤功能，功能组成结构如图5所示，由网络接口模块、接收控制模块、协议识别与处理模块、策略管理与控制模块、发送控制模块等组成；所述接收控制模块接收网络侧线卡的数据流，发送至协议识别与处理模块；所述协议识别与处理模块按照TCP/IP协议提取从网络侧接口或交换模块接收数据流的各层协议信息，对数据流进行协议识别，获取数据流的应用层信息，按照预先配置的数据处理策略决定数据流的处理方法，从网络侧接口接收的数据流发送至交换模块或者丢弃，从交换模块接收的数据流发送到工具侧接口或者丢弃。其中，所述数据流的各层协议信息包括MAC地址、以太类型、协议、IP地址或端口号信息；所述应用层信息包括报文中负载部分的二进制信息、报文所使用的应用协议类型信息。

在本实施例中，网络接口模块由物理层处理和MAC控制两部分组成，支持10Gbps和1Gbps接口，其中物理层处理采用PHY芯片，由于传统的MAC芯片其内部FIFO缓存较小，无法满足万兆速率线速处理的需求，因此本发明采用FPGA电路构建MAC控制器；所述物理层处理器采用PHY芯片，用于数据流的串并/并串转换以及编码、解码等功能；所述MAC控制器采用FPGA电路，用于实现以太网帧的线速发送与接收。

在本实施例中，接收控制模块和发送控制模块主要完成数据的收发的缓冲，利用多级RAM结构，达到10Gbps接口速率的全线速收发。

在本实施例中，协议识别与处理模块按照TCP/IP协议提取数据流各层协议的信息，包括MAC地址、以太类型、协议、IP地址、端口号等信息，同时对数据流进行深度分析与处理，获取数据流的应用层信息。协议识别与处理模块在网络侧入口方向和工具侧出口方向上都可以对数据流进行分析和处理，与交换模块中的数据流识别构成三级数据识别与处理机制。

所述协议识别与处理模块包括链路层识别与处理模块、IP层识别与处理模块、传输层识别与处理模块和应用层识别与处理模块；

在本实施例中，所述策略管理与控制模块用于管理本线卡的数据处理策略和状态监控，通过控制交换芯片与主控制模块连接，接收主控制模块发送的任务配置信息，并根据数据转发策略设置相应的FPGA匹配条件。

所述高速串行背板用于承载多块线卡，实现TAP交换内部的高速数据联通，包括线卡与交换网络模块的高速串行数据线，各个模块与主控模块的双向通讯控制线、同步时钟线、以及其它的状态控制信号线和电源、地线等。

本发明实施例公开的基于FPGA的多线卡高密度TAP交换机，可实现网络流量的应用识别，提高了TAP交换机的数据处理能力；利用高速串行背板和线卡模块实现了多个线卡的互联，解决了高密度网络中TAP端口不足的问题，可对高密度的网络端口进行监测，连接更多的网络安全和分析工具；利用FPGA实现了MAC控制器，解决了TAP交换机中通用MAC控制器缓存过小，无法实现10Gbps速率下的线速处理问题。

本发明实施例公开的基于FPGA的多线卡高密度TAP交换机，数据处理能力更强，可以识别数据流的应用层信息；端口密度大，接入能力更强，可以对数据中心等高密度网络进行监测分流，支持更多的安全工具同时工作。

上述虽然结合附图对本发明的具体实施方式进行了描述，但并非对本发明保护范围的限制，所属领域技术人员应该明白，在本发明的技术方案的基础上，本领域技术人员不需要付出创造性劳动即可做出的各种修改或变形仍在本发明的保护范围以内。

Claims

1.一种基于FPGA的多线卡高密度TAP交换机，其特征是，包括若干个线卡模块、高速串行背板、主控制模块和交换模块；各线卡模块分别通过高速串行背板与交换模块连接，所述交换模块通过高速串行背板与主控制模块连接；

2.根据权利要求1所述的基于FPGA的多线卡高密度TAP交换机，其特征是，还包括电源模块，所述电源模块被配置为将220V交流转换为-48V直流电压，给TAP交换机内其他各模块供电。

3.根据权利要求1所述的基于FPGA的多线卡高密度TAP交换机，其特征是，所述交换模块包括控制交换芯片和数据交换芯片，所述控制交换芯片用于接收主控制模块的指令，对各线卡模块进行控制，监测各线卡模块的状态信息，传输至主控制模块；所述数据交换芯片用于接收线卡模块发送的网络侧接口数据流并进行识别和处理，按照用户定制的TAP交换策略将处理后的数据发送到对应的线卡模块。

4.根据权利要求1所述的基于FPGA的多线卡高密度TAP交换机，其特征是，所述线卡模块包括接收控制模块、协议识别与处理模块和发送控制模块；其中，所述接收控制模块接收网络侧接口的数据流，发送至协议识别与处理模块；所述协议识别与处理模块按照TCP/IP协议提取从网络侧接口或交换模块接收的数据流的各层协议信息，对数据流进行协议识别，获取数据流的应用层信息，按照预先配置的数据处理策略对数据流进行处理，从网络侧接口接收的数据流发送至交换模块或者丢弃，从交换模块接收的数据流发送到工具侧接口或者丢弃。

5.根据权利要求4所述的基于FPGA的多线卡高密度TAP交换机，其特征是，所述数据流的各层协议信息包括MAC地址、以太类型、协议、IP地址或端口号信息；

6.根据权利要求4所述的基于FPGA的多线卡高密度TAP交换机，其特征是，所述协议识别与处理模块包括链路层识别与处理模块、IP层识别与处理模块、传输层识别与处理模块和应用层识别与处理模块；

7.根据权利要求4所述的基于FPGA的多线卡高密度TAP交换机，其特征是，所述线卡模块还包括策略管理与控制模块，所述策略管理与控制模块用于管理本线卡模块的数据处理策略和状态监控，通过控制交换芯片与主控制模块连接，接收主控制模块发送的任务配置信息，并根据数据转发策略设置相应的FPGA匹配条件。

8.根据权利要求1所述的基于FPGA的多线卡高密度TAP交换机，其特征是，在接收控制模块与网络侧接口之间、在接收控制模块与工具侧接口之间分别设置有网络接口模块，所述网络接口模块包括物理层处理器和MAC控制器，所述物理层处理器采用PHY芯片，用于实现对数据流的串并/并串转换以及编码、解码；所述MAC控制器采用FPGA电路，用于实现以太网帧的线速发送与接收。

9.根据权利要求4所述的基于FPGA的多线卡高密度TAP交换机，其特征是，所述接收控制模块和发送控制模块分别采用多级RAM结构。

10.根据权利要求1所述的基于FPGA的多线卡高密度TAP交换机，其特征是，所述高速串行背板包括用于线卡模块与交换模块连接的高速串行数据线以及用于线卡模块与主控制模块连接的双向通讯控制线、同步时钟线或状态控制信号线。