一種基於fpga的網絡安全內容處理卡的製作方法

2023-05-04 08:07:16 1

專利名稱：一種基於fpga的網絡安全內容處理卡的製作方法
技術領域：
本發明涉及一種網絡安全內容處理技術領域，具體而言，涉及一種基於專用FPGA安全晶片的伺服器網絡安全的內容處理PCI板卡。
背景技術：
隨著網絡技術的飛速發展，網絡安全問題越發凸顯重要。病毒、蠕蟲、黑客攻擊、網上的有害信息等安全事件頻繁發生。病毒技術在不斷的發展，病毒利用作業系統和應用程式的漏洞傳播，同時集黑客、木馬等技術為一身，傳播速度快、破壞力強、智能程度高，導致現在病毒防護不能依靠單一的防病毒系統。黑客的攻擊手段也是融合多種技術和利用多種方式，有些網絡攻擊，覆蓋的內容非常廣泛，當針對內容或者系統漏洞的黑客和病毒攻擊的時候，單一功能的防火牆和防病毒系統顯得無能為力，需要跟其它安全設備配套使用，比如IDS系統。IDS作為旁路系統，在處理及時攻擊時很難阻止正在進行的網絡攻擊，採用聯動方式也只能關閉少數服務和埠，有可能影響其它正常用戶的使用，缺乏更有效的響應處理機制。比如在爆發衝擊波病毒的時候，IDS和防火牆聯動還是阻擋不住衝擊波。同時在千兆網環境或者大流量衝擊、多IP分片情況下，IDS自身的處理能力都成問題，不能適應新的交換技術和高帶寬環境的發展。
針對內容和應用處理的安全產品(比如網關防病毒產品、IDS、關鍵字過濾等產品)來說，數據的採集和安全事件的處理是相當耗費資源的， 一旦在大流量的網絡上工作的時候，都會嚴重的消耗整個網絡帶寬和系統自身的資源。同時，如果處理能力不夠，將有可能導致漏報，使得極端情況下的數據內容檢測風險大大增加。當安全產品在用戶網絡中的不斷發展和廣泛使用的同時，產生了網絡安全產品和網絡應用的矛盾，特別是針對應用和內容的網絡安全產品。隨著企事業單位的應用也日趨複雜，內部的應用也越來越多樣化，都會佔用有限的帶寬，如何在相同的物理線路上，優先保障重要的服務質量和內容，同時又能解決安全問題？
這需要面對以下兩對矛盾
1) 網絡安全與網絡速度的矛盾；
2) 網絡管理和網絡成本的矛盾；
在帶寬正常使用與網絡的安全保護對帶寬的消耗這一對矛盾的解決中，呼喚出
4具備高速、深入地分析和處理大量網絡數據包的功能的產品。而基於FPGA晶片的網絡安全內容處理卡正是解決以上矛盾的安全產品。

發明內容
本發明的目的在於提供一種基於FPGA安全晶片的伺服器網絡安全內容處理卡，為實現上述目的，
本發明的技術方案是按以下方式實現的，以專用FPGA安全晶片為主，採用PCI板卡的形式插在伺服器PCI插槽中，通過PCI Express接口協議與伺服器進行數據通信。不佔用伺服器系統資源，與伺服器硬體平臺、作業系統無關。該處理卡通過千兆網口與乙太網連接，完成數據的接受、發送功能。所述千兆網口，以lOOObaseT接口方式完成對乙太網數據包的接受和發送。同時，可以與遠端的計算機進行乙太網網絡連接通訊，接收安全策略管理命令，完成遠程管理。所有內容處理算法載入在自主智慧財產權的FPGA專用晶片內，該晶片査找CORE在接口上具有高兼容性，能對不同的數據來源進行處理。無論數據流的輸入是來自網絡上的數據包和流，還是內存中的數據，都能夠被CORE進行高效的處理。
對於來自網絡上的數據包和流，核心査找C 0 R E能夠對數據包和整流進行深度檢查，以字節為比較單元，核心査找CORE將數據包和流分解為以字節為單位的字節流與規則庫中的字節逐一比對，對於命中規則的數據包和流按照預定的安全策略進行丟棄、轉發、記日誌等配套動作。
本發明支持兩類査找方式兩類方式的級聯使用，進行更深入準確的內容査找和處理。對於來自乙太網接口的以太數據包進行全包整流內容檢測方式處理。在該方式下，支持基於數據包和流的深度內容檢測、分流和流量控制，對匹配規則的數據包和流執行相關的配套動作，能減輕系統進一步處理的負擔；對於來自CPU的數據進行基於內存的內容査找方式處理，該數據既可以是軟體發送過來的單個數據包，也可以是內存中的一片數據。該方式能給CPU的査找提供加速功能，尤其是在大數據量，多規則的情況下，效果非常明顯。本發明的技術解決方案是，以FPGA安全晶片為基礎，採用PCI板卡的形式插在伺服器PCI插槽中，通過PCIExpress接口協議與伺服器進行數據通信，實現千兆線速下伺服器數據包逐字節的內容檢查、內容標籤以及流重組。同時可以實現網絡流量實時控制、阻斷和入侵檢測、日誌審計等功能。
本發明的有益效果FPGA晶片査找C0RE具備高達2 G數據的內容處理能力，算法可平滑過渡到更高性能，在對數據進行內容查找和處理的同時，不影響系統效率。
5支持兩類査找方式，兩類方式的級聯使用，進行更深入準確的內容査找和處理。 對於來自乙太網接口的以太數據包進行全包整流內容檢測方式處理。在該方式下， 支持基於數據包和流的深度內容檢測、分流和流量控制，對匹配規則的數據包和 流執行相關的配套動作，能減輕系統進一步處理的負擔；對於來自CPU的數據 進行基於內存的內容査找方式處理，該數據既可以是軟體發送過來的單個數據包， 也可以是內存中的一片數據。該方式能給CPU的査找提供加速功能，尤其是在 大數據量，多規則的情況下，效果非常明顯。不佔用伺服器系統資源，與伺服器 硬體平臺、作業系統無關，


圖l為板卡系統結構圖； 圖2為數據流程圖。
附圖標記醒U:包調度模塊；ACL:接入控制模塊；SEACHCORE:安全策略
查找核心模塊
具體實施例方式
下面結合附圖對本發明板卡的功能實現作以下詳細的描述。
如圖1所示，本發明由專用FPGA安全晶片、千兆網口模塊(88E1145) 、 PCI 接口 (PEX8311)、電源模塊、SMM等組成。本發明主要模塊功能如下
FPGA晶片主要實現入侵防禦、內容過濾、流量監控，安全審計、安全策 略調度等邏輯功能。
千兆網口模塊(88E1145):以1000baseT接口方式完成對乙太網數據包的接 受和發送。同時，可以與遠端的計算機進行乙太網網絡連接通訊，接收安全策略 管理命令，完成遠程管理。
PC I接口 (PEX8311):完成板卡通過PCI Express接口協議與本地C PU
進行數據通信。
電源模塊完成板卡各個模塊所需不同電壓的轉換及管理。 如圖2所示，將本發明板卡插入伺服器P C I插槽中，通過網線與交換機連接 到乙太網，通過管理平臺下發安全策略後，即可實現千兆線速下伺服器數據包逐 字節的內容檢査、內容標籤、流重組、入侵檢測、流量控制、日誌審計等功能。 詳細的數據流程如下如附圖2所示
1) 數據從GEO口輸入，經過88E1145進入FPGA的ACL模塊， 如果匹配上ACL規則，則按照ACL規則定義的動作執行；如果動作為DR0P，則 該包丟棄；如果動作需要記R志，則把該包發送到88E1145;如果動作為PASS，
6則送到PLX8311然後通過PCIE送到安全伺服器。如果未匹配上ACL規則，則送到 SEARCHCORE做基於RULE規則的過濾，然後根據匹配結果送PCIE或GE0。
數據從PCIE輸入，經過PLX8311再到SEARCHCORE;如果未匹配—h RULE規則， 則數據包經過88E1145到GEO;如果匹配上RULE規則，則根據RULE的ACI0N做相 應的處理。
總的來說，從GEO輸入的網絡數據包需要經過ACL和SEARCHCORE兩級安全過 濾；從PCIE輸入的數據包只經過SEARCHCORE過濾；日誌信息和管理信息都通過 GEO發送到管理平臺。
本發明板卡可以在單個伺服器中使用，也可以在多個伺服器集群使用。該板卡 核心功能通過專用FPGA晶片組實現，可達到千兆線速的數據包的處理速度，並且 不佔用伺服器CPU資源.不會降低伺服器的性能。因此本發明在提高了伺服器對 網絡數據流的處理性能的同時，又保留了靈活的處理方式。
所述千兆網口，以lOOObaseT接口方式完成對乙太網數據擺的接受和發送，同 時，與遠端的計算機進行乙太網網絡連接通訊，接收安全策略管理命令，完成遠 程管理。
所有內容處理算法載入在FPGA專用晶片內，FPGA晶片查找CORE在接口上具 有高兼容性，能對來自包括來自網絡和內存的數據包和數據流進行高效的處理。
對於來自網絡上的數據包和流，FPGA晶片查找CORE對數據包和整流進行深度 檢查，處理到內容級。
權利要求
1、一種基於FPGA的網絡安全內容處理卡，其特徵在於以FPGA安全晶片為主，採用PCI板卡的形式插在伺服器PCI插槽中，通過PCI Express接口協議的方式與伺服器進行數據通信，通過千兆網口與外網連接，完成數據的接受、發送功能，實現千兆線速下伺服器數據包逐字節的內容檢查、內容標籤以及流重組，同時實現網絡流量實時控制、阻斷、入侵檢測和日誌審計功能，網絡安全內容處理卡是由FPGA安全晶片、千兆網口模塊、PCI接口、電源模塊、SRAM等組成，各模塊的功能如下FPGA晶片主要實現入侵防禦、內容過濾、流量監控，安全審計、安全策略調度的等邏輯功能；千兆網口模塊，型號是88E1145以1000baseT接口方式完成對乙太網數據包的接受和發送，同時，與遠端的計算機進行乙太網網絡連接通訊，接收安全策略管理命令，完成遠程管理；PCI接口，型號是PEX8311功能是完成板卡通過PCI Express接口協議與本地CPU進行數據通信；電源模塊完成板卡各個模塊所需不同電壓的轉換及管理；詳細的數據流程如下1)數據從GEO口輸入，經過千兆網口模塊進入FPGA的ACL模塊，匹配上使用ACL規則，則按照ACL規則定義的動作執行；動作為DROP，則該包丟棄；動作需要記日誌，則把該包發送到88E1145；動作為PASS，則送到PLX8311然後通過PCIE送到安全伺服器；未匹配上ACL規則，則送到SEARCHCORE做基於RULE規則的過濾，然後根據匹配結果送PCIE或GEO；數據從PCIE輸入，經過PLX8311再到SEARCHCORE；未匹配上RULE規則，則數據包經過88E1145到GEO；匹配上RULE規則，則根據RULE的ACION做相應的處理；從GEO輸入的網絡數據包需要經過ACL和SEARCHCORE兩級安全過濾；從PCIE輸入的數據包只經過SEARCHCORE過濾；口志信息和管理信息都通過GEO發送到管理平臺。
2、 根據權利要求l所述的網絡安全處理方法，其特徵在於所述千兆網口， 以lOOObaseT接口方式完成對乙太網數據擺的接受和發送，同時，與遠端的計算 機進行乙太網網絡連接通訊，接收安全策略管理命令，完成遠程管理。
3、 根據權利要求l所述的網絡安全處理方法，其特徵在於所有內容處理算法載入在FPGA專用晶片內，FPGA晶片査找CORE在接口上具有高兼容性，能對來自包括來自網絡和內存的數據包和數據流進行高效的處理。
4、根據權利要求3所述的網絡安全處理方法，其特徵在於對於來自網絡上 的數據包和流，FPGA晶片査找CORE對數據包和整流進行深度檢查，處理到內容級。
全文摘要
本發明涉及一種基於FPGA的網絡安全內容處理卡。本發明提供一種解決日益嚴重的網絡安全與網絡速度、網絡管理與網絡成本的矛盾的方法。該方法是以FPGA安全晶片為主，採用PCI板卡的形式插在伺服器PCI插槽中，通過PCI Express接口協議的方式與伺服器進行數據通信，通過千兆網口與外網連接，完成數據的接受、發送功能，實現千兆線速下伺服器數據包逐字節的內容檢查、內容標籤以及流重組，同時實現網絡流量實時控制、阻斷、入侵檢測和日誌審計功能，採用本發明可以減少組網費用，節省伺服器CPU資源，使CPU專注完成其他功能，提高系統整體性能。
文檔編號H04L29/06GK101483649SQ20091001369
公開日2009年7月15日 申請日期2009年2月10日 優先權日2009年2月10日
發明者周海波, 支阿龍 申請人:浪潮電子信息產業股份有限公司