基于FPGA的网络安全加速卡研究与设计

摘要

随着网络应用范围的迅速扩大和网络性能的不断提高，安全网关的吞吐量从原来的几十兆/每秒迅速增长到几百兆/每秒甚至几千兆/每秒。另外，安全网关从传统的防火墙应用扩展到UTM、在线流量分析监控、Web访问管理等领域。因此，网络管理设备需要有更加强大的CPU处理能力、更强大的数据报文分析能力和流量转发能力来支撑整个网络的高速运转。在实际应用过程中，转发工作往往消耗了过多的服务器CPU资源，使得CPU没有足够的资源对高速数据报文进行分析，影响了网络的性能，制约了网络的应用。因此，本文设计了一种网络安全加速卡来有效解决网络数据包处理的瓶颈问题。
　　 本文首先介绍了课题的研究背景，概述了网络安全方面的威胁和对策、网络加速方面的常见技术。接着，对多种处理器的实现方式进行比较，得出了本文的主要研究内容。通过对网络隔离原理的分析，总结了网络安全隔离的要求；对数据包分类字段、TCAM的硬件查找原理和规则管理算法做深入的研究，总结出一种合适的硬件规则管理方法。在此基础上，设计一种基于FPGA的网络安全加速卡，该卡采用硬件数据包分类和硬件转发的方式来分担CPU的数据分析和转发工作量。另外，通过对匹配条目的具体配置，和对网络数据报文的采样，能够有效地拦截有威胁的报文，具备网络安全功能。
　　 网络安全加速卡的设计包括：总体框架设计、网络接口模块设计、硬件查找模块设计、硬件转发模块设计、PCIE总线接口设计、电源时钟设计、掉电保护电路设计、FPGA设计。最后，就网络应用的主要性能，与软件加速方法做了具体的比较。
　　 本设计在用硬件方式实现数据报文分析、规则匹配、报文转发等功能的基础上，还为未来可能的新应用保留了升级的空间。在保持现有硬件平台不变的基础上，通过软件的升级可以实现地址转换、状态跟踪和Qos等功能。本设计具有比较好的可扩展性和应用价值。