基于可編程邏輯門(mén)陣列芯片實(shí)現(xiàn)防火墻報(bào)文檢測(cè)系統(tǒng)的設(shè)計(jì)

一。引言

1.防火墻

防火墻技術(shù)作為必備的安全手段越來(lái)越多地應(yīng)用于各種互聯(lián)網(wǎng)絡(luò)。但是傳統(tǒng)防火墻的處理速度已成為限制網(wǎng)絡(luò)帶寬的瓶頸，極大地制約了在網(wǎng)絡(luò)中的實(shí)際應(yīng)用?；?a href="http://ttokpm.com/soft/data/30-91/" target="_blank">FPGA的硬件防火墻系統(tǒng)能具有良好的性能并能夠更好的滿足高速帶寬的需要。防火墻具有包過(guò)濾、NAT、VPN以及應(yīng)用代理等功能。最基本的功能是包過(guò)濾，主要是根據(jù)定義好的過(guò)濾規(guī)則審查每個(gè)數(shù)據(jù)包，根據(jù)匹配過(guò)濾規(guī)則來(lái)確定對(duì)數(shù)據(jù)包如何動(dòng)作。與一般包過(guò)濾不同的還有動(dòng)態(tài)包過(guò)濾，它是根據(jù)數(shù)據(jù)包前面的報(bào)文描述的會(huì)話狀態(tài)來(lái)檢查包，從而確定如何對(duì)包進(jìn)行過(guò)濾。此外防火墻還具有健全的日志和審計(jì)功能。

2.CAM

內(nèi)容尋址存儲(chǔ)器（Content Addressable Memory-CAM）能夠在一個(gè)硬件時(shí)鐘周期內(nèi)完成關(guān)鍵字的精確匹配查找。常用的隨機(jī)存儲(chǔ)器通過(guò)輸入地址來(lái)返回該地址處所對(duì)應(yīng)的數(shù)據(jù)信息，但是CAM的訪問(wèn)方式不同，它只需要輸入關(guān)鍵字的內(nèi)容，CAM就會(huì)將此關(guān)鍵字與CAM中所有的表項(xiàng)同時(shí)進(jìn)行匹配比較，最后返回匹配表項(xiàng)在CAM中所對(duì)應(yīng)的地址。

二。網(wǎng)絡(luò)報(bào)文硬件處理平臺(tái)及報(bào)文處理流程

●硬件報(bào)文處理平臺(tái)

我們開(kāi)發(fā)了一個(gè)基于FPGA（可編程邏輯門(mén)陣列）的硬件網(wǎng)絡(luò)處理平臺(tái)。系統(tǒng)平臺(tái)由高速網(wǎng)絡(luò)接口單元，SRAM內(nèi)存單元，F(xiàn)IFO緩存單元，F(xiàn)PGA和MPC860通信控制單元組成。我們利用該平臺(tái)接收網(wǎng)絡(luò)報(bào)文并進(jìn)行過(guò)濾分析，根據(jù)過(guò)濾規(guī)則判斷報(bào)文特征并采取相應(yīng)的措施，從而有效的檢測(cè)可疑報(bào)文并防范網(wǎng)絡(luò)入侵。如下圖所示，硬件系統(tǒng)由以下幾個(gè)部分組成：

1.網(wǎng)絡(luò)數(shù)據(jù)采集部分

網(wǎng)絡(luò)數(shù)據(jù)采集部分主要是由PHY芯片和MAC芯片來(lái)完成對(duì)網(wǎng)絡(luò)數(shù)據(jù)包的接收和發(fā)送工作。并通過(guò)MAC芯片的IX BUS接口將網(wǎng)絡(luò)數(shù)據(jù)包實(shí)時(shí)地送給系統(tǒng)核心模塊——FPGA，由FPGA來(lái)完成對(duì)數(shù)據(jù)包的進(jìn)一步處理工作。

2.FPGA開(kāi)發(fā)板部分

選用的FPGA芯片是ALTERA公司的APEX20KE1000E。此型號(hào)的規(guī)模大，邏輯門(mén)達(dá)到150萬(wàn)門(mén)，具有51840個(gè)邏輯單元（LEs），特別是其內(nèi)部可定義的存儲(chǔ)單元大，達(dá)到了442368位，而且使用嵌入式系統(tǒng)塊（ESB）實(shí)現(xiàn)內(nèi)容可尋址存儲(chǔ)器（CAM）功能。FPGA開(kāi)發(fā)板是一功能相對(duì)獨(dú)立的數(shù)據(jù)包處理板，完成來(lái)自MAC芯片的數(shù)據(jù)包的過(guò)濾、緩存、關(guān)鍵字信息提取、比對(duì)查找、正常報(bào)文的調(diào)度輸出等功能，是整個(gè)系統(tǒng)的核心處理部分。

3.SRAM緩存部分

在系統(tǒng)運(yùn)行過(guò)程中，我們將把關(guān)鍵字規(guī)則模型存放在一個(gè)存儲(chǔ)器中，如將其緩存在FPGA片內(nèi)，將占用FPGA大量資源，所以必須使用獨(dú)立的存儲(chǔ)器。

4.MPC860開(kāi)發(fā)板部分

高集成的通訊控制器MPC860是一種通用的單片微處理器，它適用各種控制器功能。顯著的性能使它在通信和網(wǎng)絡(luò)系統(tǒng)方面應(yīng)用廣泛。嵌入式處理器MPC860在系統(tǒng)中起到FPGA與用戶主機(jī)之間的橋梁與紐帶作用。此開(kāi)發(fā)板可以作為我們網(wǎng)絡(luò)處理系統(tǒng)的主控板。MPC860除了接收FIFO中的報(bào)文，還需實(shí)現(xiàn)與后臺(tái)主機(jī)的數(shù)據(jù)傳輸。另外也要對(duì)FPGA進(jìn)行一些命令控制操作。

●報(bào)文處理流程

報(bào)文過(guò)濾可以通過(guò)訪問(wèn)CAM來(lái)實(shí)現(xiàn)。CAM由一組過(guò)濾規(guī)則按照過(guò)濾的先后順序組織在一起的，過(guò)濾規(guī)則基于可以提供結(jié)IP轉(zhuǎn)發(fā)過(guò)程的包頭信息，如IP源地址、IP目的地址、協(xié)議類型、TCP/UDP端口等。通常將訪問(wèn)控制列表應(yīng)用到一個(gè)網(wǎng)絡(luò)接口上，對(duì)于每一個(gè)通過(guò)該接口進(jìn)入或流出網(wǎng)絡(luò)的包，過(guò)濾器自頂向下依次與列表中的過(guò)濾規(guī)則進(jìn)行比較，直到有一個(gè)匹配發(fā)生或到達(dá)列表的底部。如果有一個(gè)匹配，將執(zhí)行一個(gè)允許或拒絕的動(dòng)作；如果沒(méi)有一個(gè)匹配發(fā)生，將執(zhí)行一個(gè)默認(rèn)的拋棄報(bào)文操作。報(bào)文處理的流程下圖所示。

三。在FPGA中實(shí)現(xiàn)CAM關(guān)鍵字匹配

1.下圖描述了ALTERA系列FPGA芯片中嵌入式CAM模塊

APEX CAM 提供可變的CAM容量。一個(gè)APEX ESB嵌入式系統(tǒng)模塊可以被構(gòu)造成一個(gè)32-word×32-bit的CAM塊， 并且多個(gè)ESB 可以被層疊構(gòu)造成更大更深的CAM塊。例如，如果在EP20K -1000E中所有的ESB用來(lái)作CAM，可以創(chuàng)建一160-K比特的CAM塊。

2．關(guān)鍵字匹配模塊設(shè)計(jì)

關(guān)鍵字匹配模塊設(shè)計(jì)利用FPGA來(lái)實(shí)現(xiàn)。利用FPGA內(nèi)部的CAM來(lái)處理可變長(zhǎng)度的關(guān)鍵字。它由控制單元，CAM比對(duì)單元，關(guān)鍵字匹配處理單元和地址輸出邏輯組成。CAM比對(duì)單元負(fù)責(zé)加載所有的需要匹配的關(guān)鍵字信號(hào)并進(jìn)行關(guān)鍵字的匹配。控制單元接收來(lái)自網(wǎng)絡(luò)的報(bào)文并且輸出每個(gè)匹配上關(guān)鍵字信號(hào)地址。后臺(tái)處理機(jī)可以根據(jù)對(duì)收集到的信息進(jìn)行分析，并采取相應(yīng)策略。

該設(shè)計(jì)的核心模塊是CAM比對(duì)單元和關(guān)鍵字匹配處理單元。CAM在9*n的存儲(chǔ)陣列存儲(chǔ)8bit字符。其中第九比特位是關(guān)鍵字結(jié)束標(biāo)識(shí)位，n代表關(guān)鍵字字符數(shù)即關(guān)鍵字的總長(zhǎng)度。一個(gè)輸入字符同時(shí)與陣列中的n欄進(jìn)行比對(duì)。當(dāng)這個(gè)字符中的8bit全部匹配，該欄的字符匹配標(biāo)志被激活并標(biāo)識(shí)為1。

關(guān)鍵字匹配處理陣列由n×1個(gè)處理單元（PE）組成，PE由關(guān)鍵字匹配算法電路邏輯和一個(gè)寄存器組成。在程序中，我們?cè)陉P(guān)鍵字開(kāi)始處設(shè)置了一個(gè)標(biāo)識(shí)位，并且只要接下來(lái)的輸入字符連續(xù)匹配，該標(biāo)識(shí)將順序移至關(guān)鍵字的結(jié)束處。舉例說(shuō)明：我們利用Snort源代碼的NIDS數(shù)據(jù)庫(kù)［5］中的兩個(gè)關(guān)鍵字L44和L44ADSL，并把它們放入到CAM中。如圖所示：

L44中的第二個(gè)4和L44ADSL中的第二個(gè)L被標(biāo)記為星號(hào)表示第九比特為1，因?yàn)樗鼈兪顷P(guān)鍵字的最后一個(gè)字符。我們輸入字符串“fl44d”進(jìn)行關(guān)鍵字匹配過(guò)程，CAM 每時(shí)鐘周期匹配一個(gè)字符。第一個(gè)時(shí)鐘周期，字符f輸入到CAM并且沒(méi)有匹配輸出。在第二個(gè)時(shí)鐘，第二個(gè)字符l有三個(gè)匹配位置。PE陣列判斷并設(shè)置PE（0）和PE（3）為1，表示可能的關(guān)鍵字匹配已經(jīng)找到。PE（9）沒(méi)有標(biāo)志為1，因?yàn)樗皇顷P(guān)鍵字的開(kāi)始。在接下來(lái)的時(shí)鐘周期，字符4，4和d 被放入CAM進(jìn)行比對(duì)，同時(shí)PE匹配位跟著移動(dòng)。當(dāng)?shù)诙€(gè)4匹配時(shí)，PE（2）標(biāo)識(shí)置1，并且關(guān)鍵字匹配信號(hào)同時(shí)置1，因?yàn)?是第一個(gè)關(guān)鍵字的最后一個(gè)字符。它也可能是第二個(gè)關(guān)鍵字的匹配，但是當(dāng)下一個(gè)字符d到達(dá)時(shí)不再有匹配，此時(shí)PE標(biāo)識(shí)置0。相對(duì)于輸入流，因?yàn)橐粋€(gè)新的輸入字符每隔一個(gè)時(shí)鐘周期進(jìn)行處理，關(guān)鍵字匹配陣列可以線速處理輸入字符串。處理時(shí)間與關(guān)鍵字的數(shù)量相關(guān)。

我們已經(jīng)用verilog語(yǔ)言在quartus II開(kāi)發(fā)環(huán)境下設(shè)計(jì)實(shí)現(xiàn)了這個(gè)NIDS結(jié)構(gòu)，采用的是ALTERA公司的EP20K-1000E芯片。

四?？偨Y(jié)及下一步研究

基于軟件的報(bào)文匹配不能夠勝任高速網(wǎng)絡(luò)的需要，而基于硬件的方法是理想的選擇，大量的研究在這個(gè)領(lǐng)域已經(jīng)展開(kāi)。我們已經(jīng)實(shí)現(xiàn)了基于FPGA的CAM關(guān)鍵字有效匹配。但是由于CAM的容量有限，我們下一步的研究方向是將較長(zhǎng)的關(guān)鍵字進(jìn)行有效的壓縮、分割，同時(shí)利用多個(gè)并行CAM方式加速報(bào)文處理速度方面進(jìn)行進(jìn)一步研究。

責(zé)任編輯：gt