CN111600852A - 一种基于可编程数据平面的防火墙设计方法 - Google Patents

Abstract

本发明公开了一种基于可编程数据平面的防火墙设计方法，该方法包括以下步骤：1)将可编程网卡的硬件固件文件、流水线处理配置文件、用户规则配置文件发送到带有可编程网卡的服务器端；2)服务器端接收到用户规则配置文件后，删除原先的用户规则配置文件并进行重新配置，配置完成后，重新运行配置后的防火墙功能；3)当可编程网卡运行时，在可编程数据平面实现防火墙应用；4)允许转发的数据包经过与网卡相连的PCI总线传入主机系统，供内部应用程序使用。本发明通过将防火墙功能迁移到可编程数据平面，在网络内部减少了发往服务器的流量，缓解了服务器进行数据处理的压力，提高服务吞吐量。

Description

一种基于可编程数据平面的防火墙设计方法

技术领域

本发明涉及网络安全技术，尤其涉及一种基于可编程数据平面的防火墙设计方法。

背景技术

防火墙是一种网络安全设备，它允许对入站和出站的流量进行监控，使用一组预先定义的安全规则来同意或拒绝事件。传统的软件防火墙应用程序有Linux IP-Chains、Snort和ClamAV等免费开源工具。这些软件防火墙的共同特点都是在网络堆栈层过滤通信数据包，包过滤模块直接集成到操作系统的内核中，拦截每一个传入和传出的数据包并进行过滤，根据用户自定义的安全策略对数据包进行评估，然后执行丢弃或允许访问受保护的计算机等操作。通常采用的Snort、IP-Chains等工具通过libpcap或netfilter模块来获取数据包的方法数据处理效率低，尤其当数据量变大时，会频繁的触发系统软中断来获取数据，引入巨大的中断开销，导致系统无法承受。此外，当用户态程序需要数据时，需要将数据包从内核缓冲区拷贝到用户缓冲区，带来系统调用和数据包复制开销，这会严重制约其报文处理性能。

为了更好的利用系统资源，节省网络开销并提高数据处理效率，英特尔开发了数据平面开发套件(Data Plane Development Kit，简称DPDK)，为网络功能开发人员提供了一套用于构建高速数据平面应用程序的工具。DPDK包含一组用于快速数据包处理的库和兼容DPDK的网卡的驱动程序，它基于轮询模式的PMD(Poll Mode Drivers)驱动方式进行数据包处理，而不是默认的系统中断模式。轮询模式采用忙等待技术，不断检查网络接口中的状态变化，允许网络应用程序直接从/向主机的网卡提取和推送数据。这有效的减少了数据包处理产生的I/O中断和从内核到用户内存的数据包复制次数，从而加快了数据包的处理速度。DPDK由于上述特性，目前成为了主流软件防火墙程序的首选。但是，DPDK技术还是在用户态进行数据包处理，依然会消耗较多的CPU资源。

发明内容

本发明要解决的技术问题在于针对现有技术中的缺陷，提供一种基于可编程数据平面的防火墙设计方法。

本发明解决其技术问题所采用的技术方案是：一种基于可编程数据平面的防火墙设计方法，包括以下步骤：

1)将可编程网卡的硬件固件文件、流水线处理配置文件、用户规则配置文件发送到带有可编程网卡的服务器端；

2)服务器端接收到用户规则配置文件后，删除原先的用户规则配置文件并进行重新配置，配置完成后，重新运行配置后的防火墙功能；

3)当可编程网卡运行时，在可编程数据平面实现防火墙应用，具体如下：

3.1)数据平面根据控制器下发的用户规则配置文件，使能本地防火墙功能，并配置相应的转发规则；

3.2)当数据平面收到数据包时，根据流水线处理配置文件对数据包进行解析，提取出包头中的有用信息；

3.3)根据包头中的有用信息中的匹配项，将数据包匹配相应转发规则进行网络地址的转换并决定转发端口；

3.4)数据包进入防火墙模块，防火墙模块先根据连接状态表对该数据包进行连接状态检查，如果检查结果为已建立连接的流的数据包，则跳过接下来的过滤规则检查，将该数据记录到连接状态表中，并更新连接状态信息，否则将包头中的匹配项与过滤规则表进行匹配，如果命中，就丢弃该数据包，如果没命中，允许转发并更新连接状态表；所述连接状态表用于数据包连接状态的记录；

3.5)根据相应的转发决策对数据包进行转发；

4)允许转发的数据包经过与网卡相连的PCI总线传入主机系统，供内部应用程序使用。

本发明产生的有益效果是：

本发明在将防火墙功能迁移到可编程数据平面上时，需要在保护内部网络安全的同时也不降低网络的I/O性能，实现对数据包的线速处理的同时，将防火墙功能部署到可编程数据平面上，不影响数据平面的数据分组处理速度，从而获得大幅性能提升。

在交换机本地及时获取数据包信息,并根据信息进行快速的处理，提升全网的稳定性，保障通信的安全性；

通过将防火墙功能迁移到可编程数据平面，在网络内部减少了发往服务器的流量，缓解了服务器进行数据处理的压力，提高服务吞吐量。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明实施例的基于可编程数据平面的防火墙设计框架示意图；

图2是本发明实施例的总体工作流程图；

图3是本发明实施例的数据平面防火墙逻辑示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

如图1和图2所示，一种基于可编程数据平面的防火墙设计方法，包括以下步骤：

(1)经由远程主机的客户端将可编程网卡的硬件固件文件、流水线处理配置文件、用户规则配置文件等发送到可编程网卡的服务器端；

(2)服务器端接收到远程配置文件后，删除原先的配置文件并进行重新配置，配置完成后，重新运行全新的防火墙功能；

(3)当可编程网卡运行时，首先，数据平面根据控制器下发的用户规则配置文件，使能本地防火墙功能，并配置相应的转发规则。然后，当数据平面收到数据包时，对数据包进行解析，提取出包头中的有用信息。之后，数据包进入转发模块并匹配相应转发规则进行网络地址的转换并决定转发端口。之后，数据包进入防火墙模块，防火墙模块首先会对该数据包进行连接状态检查，如果检查结果为已建立连接的流的数据包，则跳过接下来的过滤规则检查，将该数据记录到连接状态表中，并更新连接状态信息，否则将包头中的匹配项与过滤规则表进行匹配，如果命中，就丢弃该数据包，如果没命中，允许转发并更新状态表。最后，根据相应的转发决策进行转发，防火墙模块的工作流程如图3所示。

通过可编程网卡就能够通过识别出已建立的连接，使得对流的状态处理逻辑变得简单，对于之后到达的相同流的包转发的决策也会更快。

(4)允许转发的内部流量经过与网卡相连的PCI总线传入主机系统，供内部应用程序使用。

本发明的目的是提供一种利用现代可编程数据平面来动态卸载防火墙逻辑功能的方法，我们在可编程数据平面上实现了一个防火墙应用程序，实现减少CPU利用率，提高网络吞吐量的目的。系统的总体框架如图1所示，实现了两个功能：数据平面的防火墙功能设计和控制平面功能动态管理。

控制平面功能动态管理：主要负责管理流表规则的下发、防火墙的动态管理和数据面状态的收集，控制平面和数据平面通过thriftAPI进行交互通信，实现对防火墙功能的动态管理和配置。

数据平面防火墙功能设计：则是在数据分组的处理过程中，根据定义好的过滤规则检查每个数据分组，并根据是否与规则匹配来决定是否让该数据分组通过，数据平面则主要由三个部分组成，分别是数据包解析、数据包转发和防火墙，在防火墙模块中会嵌入一个连接状态模块(状态表)，进行数据包连接状态的记录。

应当理解的是，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，而所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (1)

1.一种基于可编程数据平面的防火墙设计方法，其特征在于，包括以下步骤：

1)将可编程网卡的硬件固件文件、流水线处理配置文件、用户规则配置文件发送到带有可编程网卡的服务器端；

2)服务器端接收到用户规则配置文件后，删除原先的用户规则配置文件并进行重新配置，配置完成后，重新运行配置后的防火墙功能；

3)当可编程网卡运行时，在可编程数据平面实现防火墙应用，具体如下：

3.1)数据平面根据控制器下发的用户规则配置文件，使能本地防火墙功能，并配置相应的转发规则；

3.2)当数据平面收到数据包时，根据流水线处理配置文件对数据包进行解析，提取出包头中的有用信息；

3.3)根据包头中的有用信息中的匹配项，将数据包匹配相应转发规则进行网络地址的转换并决定转发端口；

3.4)数据包进入防火墙模块，防火墙模块先根据连接状态表对该数据包进行连接状态检查，如果检查结果为已建立连接的流的数据包，则跳过接下来的过滤规则检查，将该数据记录到连接状态表中，并更新连接状态信息，否则将包头中的匹配项与过滤规则表进行匹配，如果命中，就丢弃该数据包，如果没命中，允许转发并更新连接状态表；所述连接状态表用于数据包连接状态的记录；

3.5)根据相应的转发决策对数据包进行转发；

4)将转发的数据包经过与网卡相连的PCI总线传入主机系统，供内部应用程序使用。

Images