基於堆疊結構的10g高性能寬帶網絡行為實時安全管理系統的製作方法

2023-05-02 14:16:21 2

專利名稱：基於堆疊結構的10g高性能寬帶網絡行為實時安全管理系統的製作方法
技術領域：
本發明涉及網絡行為實時分析及管理設備，特別涉及一種基於堆疊結構的IOG高性能寬 帶網絡行為實時分析及安全管理系統。在1G單板上基於網絡處理器採用硬體的模式匹配引 擎利用流水線處理架構，能夠實現對2000種業務的實時檢測和控制，由多塊1G設備堆疊而 成的IOG方案能夠將處理帶寬由1G擴展至IOG，從而對校園網或企業網的接入提供有效的 安全保障。
背景技術：
深度包檢測(DPI)技術是為了提高當前網絡防火牆性能而提出的一項重要的改進技術。因 為隨著近年來網絡應用的高速發展，各種網絡危險應運而生，此時防火牆就充當著一個重要 的角色，它是防禦網絡入侵的最有效機制，防火牆的發展階段包括訪問控制列表、應用代理 服務、狀態檢測3個階段。而深度包檢測(DPI)能看作是傳統防火牆技術的入侵檢測(IDS)和入 侵阻止(IPS)的整合，是解決傳統防火牆目前遇到難題的一項新技術，是防火牆技術發展的一 個重要階段，將該技術融入寬帶網絡行為實時安全管理在技術上將實現一次飛躍。
雖然傳統的防火牆通過檢測包頭部分是一種較為經濟的方式，但是可以發現越來越多的 惡意行為可能隱藏在數據載荷中，順利穿透防禦邊界後在安全體系內部產生嚴重的危害。同 時由於數據載荷中可能充斥著垃圾郵件、廣告、蠕蟲病毒以及很多企業、事業單位不欣賞的 P2P傳輸，各種電子商務程序的HTML和XML格式數據中也可能夾帶著後門和木馬程序在 網絡節點之間交換。所以，在應用形式及其格式以爆炸速度增長的今天，僅僅依照數據包的 第三層信息決定其是否準入，實在無法滿足安全的要求。
深度包檢測(DPI)技術是一種深入檢査通過防火牆的每個數據包及其應用載荷的技術。通 過在應用層深入到正在進入伺服器的數據包的有效載荷所封裝的內容部分，搜尋合法或非法 的內容以決定是否允許數據包通過，或者査找常見的攻擊，並丟棄與之相關的會話。
隨著計算機網絡與電信網絡融合進程的推進，高速的城市網絡發展，需要不斷提高寬帶 網絡容量，尋求低成本效益的解決方案。10G乙太網技術既提供速率優勢，又具有靈活性、 可升級性及技術簡單等特點。10G乙太網技術的推出，無疑在向一個目標前進——從接入到 骨幹網絡都採用乙太網技術，從而可構架出一個與傳統電信網絡不同的寬帶網絡。10G以太 網較大的帶寬使之可以成為園區骨幹網或企業數據中心。同時10G乙太網的出現也將加速電 子商務的應用及乙太網高速接入Internet的實現。如何有效實現10G乙太網的深度包檢測(DPI) 成為當前研究的技術難點。傳統的網絡處理器處理性能遠遠達不到IOG網絡帶寬的要求，而能夠實現10G乙太網深度包處理的晶片尚未得到商用，因而在當前的技術條件下，採用堆疊結構的10G深度包檢測(DPI)系統為高帶寬網絡安全提供了最有效的解決方案。因此，基於堆疊結構的IOG深度包檢測(DPI)系統具備以下優點
(1) 高處理帶寬、線速處理能力使骨幹網的應用得以實現；
(2) 相比軟體實現所需的巨大處理開銷，大大減少對處理器的資源消耗；
(3) 構建靈活、配置方便，可以為不同帶寬要求提供相應的解決方案；

發明內容
本發明的目的在於提供了一種基於堆疊結構的10G高性能寬帶網絡行為實時安全管理系統，在實現以太數據傳輸轉發的同時，具備數據包有效載荷檢測及處理功能，解決了對網際網路上高速流動的數據進行實時有效的分析和控制的問題，從而保證網絡的正常運行。
為達到上述目的，本發明採用下述技術方案-
一種基於堆疊結構的10G高性能寬帶網絡行為實時分析及管理系統，包括10G交換機和10塊具有ig網絡處理能力的深度包檢測(dpi)設備，其特徵在於所述1G流量的深度包檢測DPI設備具有四個10/100/1000乙太網接口模塊，所述10G交換機是具有兩個10G乙太網接口與24個10/100/1000乙太網接口的電信交換機；1G深度包檢測DPI設備作為系統的核心處理單元，其四個10/100/1000乙太網接口根據堆疊方式以相應連接方式連接到IOG交換機的10/100/1000乙太網接口上，IOG交換機的10G乙太網接口作為整個系統的對外接口，實現系統的IOG網絡處理能力。
上述堆疊方式為雙向探針方式，所述對應連接方式為所述10G交換機(l)有一個IOG輸入口輸入數據流，有10個1G輸出口分別連接到10塊1G深度包檢測DPI設備(3)的第一個1G輸入口 ，而1G深度包檢測DPI設備的第三個1G輸出口連接到所述的10G交換機(l)的另10個1G輸入口，數據流匯聚後從該10G交換機(1)的一個10G輸出口輸出；所述1G深度包檢測DPI設備的第四個1G 口作為該設備管理口，經一個1G交換機(2)後連接至PC機。
上述堆疊方式為單向探針方式，所述對應連接方式為所述10G交換機(4)有兩個IOG輸入口分別輸入第一和第二數據流，有第一 10個1G輸出口分別連接所述10塊1G深度包檢測DPI設備(6)的第一個輸入口，還有第二 10個1G輸出口分別連接所述10快1G深度包檢測DPI設備(6)的第二輸入口；所述1G深度包檢測DPI設備(6)的第三1G輸出口連接到另一個10G交換機(5)的10個1G輸入口，所述1G深度包檢測DPI設備(6)的第四1G 口連接所述10G交換機(5)的另10個1G 口，所述10G交換機(5)有一個管理口連接PC機，另一個10G輸出口輸出數據流。上述堆疊方式為串聯方式，所述連接方式為所述一個10G交換機(7)有兩個IOG口，有10個第一 1G 口分別連接所述10個1G深度包檢測DPI設備(9)的第一 1G 口，有10個第二1G 口分別連接所述10個1G深度包檢測DPI設備(9)的第二 1G 口 ，另一個10G交換機(8)有10個第一 1G輸入口分別連接所述10個1G深度包檢測DPI設備(9)的第三1G輸出口 ，還有10個第二 1G 口分別連接所述10個1G深度包檢測DPI設備(9)的第四1G 口 ，該10G交換機(8)有一個10G輸出口輸出數據流，並有一個管理口連接PC機。
上述1G深度包檢測DPI設備包括網絡處理器MPC8572E(10)，存儲器單元(U)，邏輯控制與管理單元(12)， 10/100/1000乙太網接口模±央(13)，背板接口單元(14)和電源與時鐘管理單元(15);所述的網絡處理器MPC8572E(10)作為該設備的核心處理單元；所述的存儲單元(ll)包括兩條DDR2內存條、NORFLASH以及CF卡，兩條DDR2內存條通過雙通道DDR2/DDR3總線連接至網絡處理器MPC8572E(10), —片8MB的NOR FLASH與CF卡插槽連接至網絡處理器MPC8572E(10)的本地總線上；所述的邏輯控制與管理單元(12)通過本地總線連接至網絡處理器MPC8572E(10)，負責整板的接口邏輯連接；所述的10/100/1000乙太網接口模塊(13)通過串行千兆媒體無關接口 SGMII接口連接至網絡處理器MPCS572E(10)的四個集成的乙太網控制器——增強型TSEC上；所述的背板接口單元(14)包含兩個GE 口以及一系列背板控制信號，其中兩個GE 口通過串行千兆媒體無關接口 SGMII接口連接至網絡處理器MPC8572E(10),此兩口與前面板中的兩個GE 口復用，通過高速交叉開關實現切換；所述的電源與時鐘管理單元(15)包括三個DC-DC電源模塊和一系列的時鐘產生與分發電路，提供設備所需的電源與時鐘。
上述網絡處理器MPC8572E(10)採用兩個功能強大的處理器內核、增強型外圍設備和高速互連技術，還包含l個應用加速塊，集成了4個功能強大的引擎 一個查找表單元TLU， 一個模式匹配引擎PME， 一個壓縮存儲空間引擎和一個安全引擎。
上述邏輯控制與管理單元(12)採用ALTERA公司的MAX II系列CPLD EPM1270,實現通用I/0擴展、總線擴展、系統復位邏輯、中斷控制、接口膠連功能。
本發明與現有技術相比較，具有如下顯而易見的突出實質性特點和顯著優點
1、 具備多個1G口的匯聚與分發功能，使系統帶寬可達10G，方便企業網與校園網的組
建與應用。
2、 MPC8572E基於雙核雙通道內存架構，硬體集成應用加速模塊和四大引擎，為網絡深度數據報檢測、分類管理和安全加速提供了高效的平臺。
3、 系統結構配置靈活，可根據需要增減1G深度包檢測設備實現總流量負荷的分配，降低了使用成本。


圖1是雙向探針堆疊結構的10G高性能寬帶網絡行為實時分析及安全管理系統框圖。圖2是單向探針堆疊結構的10G高性能寬帶網絡行為實時分析及安全管理系統框圖。圖3是串聯堆疊結構的10G高性能寬帶網絡行為實時分析及安全管理系統框圖。圖4是1G深度包檢測(DPI)設備結構框圖。圖5是深度包檢測設備軟體結構框圖。
具體實施例方式
本發明的優選實施例結合附圖詳述如下
參見圖l、圖2和圖3，本基於堆疊結構的IOG高性能寬帶網際網路網絡行為實時分析及管理系統
本IOG高性能寬帶網際網路網絡行為實時分析及管理系統總體堆疊結構可分為三種，其一為雙向探針方式，框圖如圖l所示；其二為單向探針方式，框圖如圖2所示；其三為串聯方式，框圖如圖3所示。
參見圖1，雙向探針方式的系統堆疊結構為10G以太數據流從10G交換機1的第一個IOG口進入，其中的數據流是由網絡中IOG雙向以太數據流鏡像到該口。該數據流經過10G交換機l的流量分配之後，均勻分配到10個1G口輸出，該10個1G口分別連接至10臺1G深度包檢測DPI設備3的第一個1G 口。經過包檢測之後，將未識別的流或需要鏡像的流通過1G深度包檢測DPI設備的第三個1G 口輸出，此10個1G 口輸出至IOG交換機1的另10個1G 口，該數據流經過匯聚後從另一個10G 口輸出。1G深度包檢測DPI設備的第四個1G口作為該設備的管理口，此10個1G 口經過一個1G交換機2後可連接至PC機，通過不同IP位址可對10臺1G深度包檢測DPI設備3進行訪問。該堆疊方式需要一臺10G交換機與一臺1G交換機。
參見圖2，單向探針方式主要為解決雙向IOG數據流鏡像到一個10G 口導致該口數據流量過大而引入，其系統堆疊結構為10G雙向以太數據流分別鏡像到10G交換機4的兩個10G口。其中第一個10G數據流經過10G交換機4的流量分配之後，均勻分配到10個1G 口輸出，該10個1G口分別連接至10臺1G深度包檢測DPI設備6的第一個1G口；第二個10G數據流經過10G交換機4的流量分配之後，均勻分配到IO個1G 口輸出，該10個1G口分別連接至10臺1G深度包檢測DPI設備6的第二個1G 口 。經過包檢測之後，將未識別的流或需要鏡像的流通過1G深度包檢測DPI設備6的第三個1G 口輸出，此10個1G 口輸出至另一臺10G交換機5的10個1G 口，該數據流經過匯聚後從該10G交換機5的一個10G 口輸出。1G深度包檢測DPI設備6的第四個1G 口作為該設備的管理口，此10個1G口經過該10G交換機5後，可連接至PC機，通過不同IP位址可對10臺1G深度包檢測DPI設備6進行訪問。該堆疊方式需要兩臺IOG交換機。
參見圖3，串聯方式的系統堆疊結構為IOG雙向以太數據流串聯至10G交換機7的兩個10G 口。該兩個10G 口的數據流經過10G交換機7的流量分配之後，均勻分配到20個1G口 。其中10個1G 口為第一個10G 口流量均分而來，該10個1G 口連接至10臺1G深度包檢測DPI設備9的第一個1G 口。 10G交換機7的另10個1G口為第二個10G口流量均分而來，該10個1G 口連接至10臺1G深度包檢測DPI設備9的第二個1G 口 。 1G深度包檢測DPI設備9對其第-第二個1G 口上的雙向數據流進行檢測與過濾，將未識別的流或需要鏡像的流通過第三個1G 口輸出，此10個1G口輸出至另一臺10G交換機8的IO個IG口，該數據流經過匯聚後從該10G交換機8的一個10G 口輸出。1G深度包檢測DPI設備9的第四個1G 口作為該設備的管理口，此10個1G口經過該10G交換機8後，可連接至PC機，通過不同IP位址可對10臺1G深度包檢測DPI設備9進行訪問。該堆疊方式需要兩臺10G交換機。
以下介紹1G深度包檢測DPI設備結構。
參見圖4， 1G深度包檢測DPI設備包括網絡處理器MPC8572E 10，存儲器單元ll，邏輯控制與管理單元12， 10/100/1000乙太網接口模塊13，背板接口單元14和電源與時鐘管理單元15。其中MPC8572E 10為該設備的核心處理單元，該處理器可提供1.2GHz-1.5GHz的時鐘速度。它採用兩個功能強大的處理器內核、增強型外圍設備和高速互連技術，對處理器性能和I/O系統吞吐量進行平衡。這些處理器還包含1個應用加速塊，它集成了4個功能強大的引擎 一個查找表單元TLu，可以降低複雜表搜索和報頭檢測的負荷； 一個模式匹配引
擎PME，用於處理正則表達式(reg-ex)匹配； 一個壓縮存儲空間引擎，用於管理文件解壓；和為虛擬專用網絡加速IPSec和SL/TLS密碼操作的安全引擎。由於採用了飛思卡爾的絕緣體上矽晶片技術(SOI)， MPC8572能夠提供更高的性能和更低的功耗。通過進行無損失集成，MPC8572平臺構建在Power Architecture技術的嵌入式核心性能之上，增加了新的功能，增強了流量管理和安全加速。存儲單元11包括2條DDR2內存條、NOR FLASH以及CF卡。MPC8572E包含兩個DDR2/DDR3控制器，每個控制器上連接了一條1GB DDR2 800的內存條，實現雙通道存儲。 一片8MB的NOR FLASH連接在MPC8572E的本地總線上，作為系統啟動的FLASH。 CF卡通過CPLD實現膠連邏輯後也連接在MPC8572E的本地總線上，用來存儲Linux作業系統的內核與文件系統。MPC8572E帶有4個集成的乙太網控制器(增強型TSEC)，其通過串行千兆媒體無關接口(SGMII)接口連接至四個10/100/1000乙太網接口模塊13，該四個GE 口連接至前面板。乙太網接口模塊的控制與狀態信息通過其I2C接口與MPC8572E的I2C接口相連接。背板接口單元14包含兩個GE 口以及一系列背板控制信號，其中兩個GE 口通過串行千兆媒體無關接口 SGMII接口連接至MPC8572E，此兩口與前面板中的兩個GE 口復用，通過高速交叉開關實現切換。MPC8572E的一個串行口連接到前面板的RJ45座上實現串行控制臺接口 。邏輯控制與管理單元12由ALTERA公司的MAX II系列CPLDEPM1270構成，該CPLD在板上實現系統的邏輯控制與管理，其中包括整個板卡的復位邏輯與中斷控制，CF卡與MPC8572E本地總線的膠合邏輯，四個10/100/1000乙太網接口模塊的控制與狀態信息處理，MPC8572E的調試接口邏輯，背板信號邏輯處理與風扇狀態監控等。電源與時鐘管理單元15中系統電源由三個DC-DC電源模塊組成，分別輸出3.3V、 1.8V和1.0V，實現板上器件的供電。系統時鐘由時鐘產生電路與時鐘分發電路組成，其中66.66MHz時鐘作為MPC8572E的系統時鐘，125MHz時鐘提供10/100/1000乙太網控制器的時鐘，55MHz時鐘作為CPLD運行的系統時鐘。
整個系統從功能上可以分為數據平面16，識別平面17和管理平面18。數據進入系統後，首先進入數據平面16。其主要完成以太數據包的捕獲和發送，即實現數據包在GE1與GE2之間的轉發；IP分片的重組；根據管理平面的配置，對特定的數據包通過GE3鏡像輸出；通知識別平面對數據包進行後處理。
識別平面17主要完成會話流的跟蹤、維護和管理，根據網絡情況，實現會話流的添加、刪除並記錄每條會話流的流量和持續時間；數據包的埠檢測，利用硬體査找表完成具有固
定埠的傳統業務的識別，如http，ftp;數據包的深度包檢測，利用模式匹配引擎對數據應用
層內容進行模式匹配，完成具有明確特徵碼業務的識別，如BT， MSN;狀態檢測，某些網絡業務會在不同的階段呈現出不同的特徵，狀態檢測跟蹤會話流狀態的變化，以達到識別的
目的，如SIP;將業務的識別信息告知分析統計模塊。
管理平面18實現的主要功能有將識別模塊提交的業務識別信息生成報表發送至控制終
端；提供給用戶當前網絡的流量信息；提供用戶設置某業務或會話流Qos等級的接口，並執行該規則。在網絡擁塞時丟棄低優先級的數據包。
這裡通過參考具體的實施例對本發明進行了詳細描述，但這僅僅是應用舉例，應該清楚本領域的普通技術人員在不脫離本發明的範圍和實質的情況下可做出各種修改和變化。
權利要求
1.一種基於堆疊結構的10G高性能寬帶網絡行為實時分析及安全管理系統，包括10塊能處理1G流量的深度包檢測DPI設備及10G交換機，其特徵在於所述1G流量的深度包檢測DPI設備具有四個10/100/1000乙太網接口模塊，所述10G交換機是具有兩個10G乙太網接口與24個10/100/1000乙太網接口的電信交換機；1G深度包檢測DPI設備作為系統的核心處理單元，其四個10/100/1000乙太網接口根據堆疊方式以相應連接方式連接到10G交換機的10/100/1000乙太網接口上，10G交換機的10G乙太網接口作為整個系統的對外接口，實現系統的10G網絡處理能力。
2. 根據權利要求1所述的基於堆疊結構的1G高性能寬帶網絡行為實時分析及安全管理系 統，其特徵在於所述的堆疊方式為雙向探針方式，所述對應連接方式為所述10G交換 機(l)有一個10G輸入口輸入數據流，有10個1G輸出口分別連接到10塊1G深度包檢測 DPI設備(3)的第一個1G輸入口 ，而1G深度包檢測DPI設備的第三個1G輸出口連接到 所述的10G交換機(l)的另10個1G輸入口 ，數據流匯聚後從該10G交換機(l)的一個10G 輸出口輸出；所述1G深度包檢測DPI設備的第四個1G 口作為該設備管理口，經一個1G 交換機(2)後連接至PC機。
3. 根據權利要求1所述的基於堆疊結構的1G高性能寬帶網絡行為實時分析及安全管理系 統，其特徵在於所述的堆疊方式為單向探針方式，所述對應連接方式為所述10G交換 機(4)有兩個IOG輸入口分別輸入第一和第二數據流，有第一 10個1G輸出口分別連接所 述10塊1G深度包檢測DPI設備(6)的第一個輸入口 ，還有第二 10個1G輸出口分別連接 所述10快1G深度包檢測DPI設備(6)的第二輸入口 ；所述1G深度包檢測DPI設備(6)的 第三1G輸出口連接到另一個10G交換機(5)的10個1G輸入口 ，所述1G深度包檢測DPI 設備(6)的第四1G 口連接所述10G交換機(5)的另10個1G 口，所述10G交換機(5)有一個 管理口連接PC機，另一個10G輸出口輸出數據流。
4. 根據權利要求1所述的基於堆疊結構的1G高性能寬帶網絡行為實時分析及安全管理系 統，其特徵在於所述堆疊方式為串聯方式，所述連接方式為所述一個10G交換機(7)有 兩個10G 口 ，有10個第一 1G 口分別連接所述10個1G深度包檢測DPI設備(9)的第一 1G 口 ，有10個第二 1G 口分別連接所述10個1G深度包檢測DPI設備(9)的第二 1G 口 ， 另一個10G交換機(8)有10個第一 1G輸入口分別連接所述10個1G深度包檢測DPI設 備(9)的第三1G輸出口 ，還有10個第二 1G 口分別連接所述10個1G深度包檢測DPI設 備(9)的第四1G口，該10G交換機(8)有一個10G輸出口輸出數據流，並有一個管理口連 接PC機。
5. 根據權利要求1所述的基於堆疊結構的1G高性能寬帶網絡行為實時分析及安全管理系 統，其特徵在於所述1G深度包檢測DPI設備包括網絡處理器MPC8572E(10)，存儲器單 元(ll)，邏輯控制與管理單元(12)， 10/100/1000乙太網接口模塊(13)，背板接口單元(14) 和電源與時鐘管理單元(15);所述的網絡處理器MPC8572E(10)作為該設備的核心處理單 元；所述的存儲單元(11)包括兩條DDR2內存條、NOR FLASH以及CF卡，兩條DDR2 內存條通過雙通道DDR2/DDR3總線連接至網絡處理器MPC8572E(10)， 一片8MB的NOR FLASH與CF卡插槽連接至網絡處理器MPC8572E(10)的本地總線上；所述的邏輯控制與 管理單元(12)通過本地總線連接至網絡處理器MPC8572E(I0)，負責整板的接口邏輯連接； 所述的10/100/1000乙太網接口模塊(13)通過串行千兆媒體無關接口 SGMII接口連接至網 絡處理器MPC8572E(10)的四個集成的乙太網控制器——增強型TSEC上；所述的背板接 口單元(14)包含兩個GE 口以及一系列背板控制信號，其中兩個GE 口通過串行千兆媒體 無關接口 SGMII接口連接至網絡處理器MPC8572E(10)，此兩口與前面板中的兩個GE 口 復用，通過高速交叉開關實現切換；所述的電源與時鐘管理單元(15)包括三個DC-DC電 源模塊和一系列的時鐘產生與分發電路，提供設備所需的電源與時鐘。
6. 根據權利要求5所述的基於堆疊結構的1G高性能寬帶網絡行為實時分析及安全管理系 統，其特徵在於所述網絡處理器MPC8572E(10)採用兩個功能強大的處理器內核、增強型 外圍設備和高速互連技術，還包含1個應用加速塊，集成了 4個功能強大的引擎 一個 査找表單元TLU， 一個模式匹配引擎PME， 一個壓縮存儲空間引擎和一個安全引擎。
7. 根據權利要求5所述的基於堆疊結構的1G高性能寬帶網絡行為實時分析及安全管理系 統，其特徵在於所述邏輯控制與管理單元(12)採用ALTERA公司的MAX II系列CPLD EPM1270，實現通用I/0擴展、總線擴展、系統復位邏輯、中斷控制、接口膠連功能。
全文摘要
本發明的目的在於提供了一種基於堆疊結構的10G高性能寬帶網絡行為實時分析及安全管理系統，該系統基於堆疊結構，由10塊能處理1G流量的深度包檢測(DPI)板卡通過10G交換機堆疊而成。本系統在實現以太數據傳輸轉發的同時，具備數據包有效載荷檢測及處理功能，同時系統上增加了埠分發與匯聚功能，系統帶寬可達10Gbps，有效解決了對網際網路上高速流動的數據進行實時有效的分析和控制的問題，從而保證網絡的正常運行和運營商的收益。
文檔編號H04L12/56GK101662428SQ20091019651
公開日2010年3月3日 申請日期2009年9月25日 優先權日2009年9月25日
發明者盧旌平, 狄 孫, 孫文忠, 健 陳, 鵬 顧 申請人:上海大學