用NP(网络处理器)设计千兆线速防火墙

核心提示： ● 专用指令集: 转发引擎通常采用专用的精简指令集，并针对网络协议处理特点优化，用NP(网络处理器)设计千兆线速防火墙(2)，● 分级存储器组织: ＮＰ存储器一般包含多种不同性能的存储结构，对数据进行分类存储以适应不同的应用目的，Flash中存放防火墙操作系统，主控单元上电后将防火墙操作系

● 专用指令集: 转发引擎通常采用专用的精简指令集，并针对网络协议处理特点优化。

● 分级存储器组织: ＮＰ存储器一般包含多种不同性能的存储结构，对数据进行分类存储以适应不同的应用目的。

● 高速Ｉ／Ｏ接口: NP具有丰富的高速Ｉ／Ｏ接口，包括物理链路接口、交换接口、存储器接口、ＰＣＩ总线接口等。通过内部高速总线连接在一起，提供很强的硬件并行处理能力。

● 可扩展性: 多个ＮＰ之间还可以互连，构成网络处理器簇，以支持更为大型高速的网络处理。

从网络处理器以上特点可以看出，与通用处理器相比，网络处理器在网络分组数据处理上具有明显的优势。

三、 NP防火墙的体系架构

1. 总体结构

NP架构防火墙一般由主控单元和网络处理单元组成，网络处理单元是采用网络处理器芯片(NP)设计的专用网络处理板，主控单元是采用通用处理器设计的管理与协处理板，网络处理单元通过PCI 总线与主控单元通信。NP防火墙总体结构如图1所示。

2. 网络处理单元

网络处理单元采用网络处理器芯片设计专用网络处理板，内嵌微码运行实时性高的防火墙功能模块。其硬件结构如图2所示。

网络处理单元包括网络处理器、存储器、网络接口、PCI接口、引导Flash，通过高速总线连接在一起。存储器包括快速存储器和慢速存储器。防火墙主要功能都在网络处理单元上完成，安全软件存放在网络处理器的指令存储器中，当网络接口收到数据包时，由网络处理器中的微引擎执行。安全软件主要包括包分类、攻击检查、状态检测、规则检查、内容扫描、地址转换和带宽控制等主要模块。流程如图3所示。

3. 主控单元

主控单元是采用通用CPU设计的主控板，用于配置管理网络处理板和运行其他非实时性的安全模块。包括CPU、存储器、Flash、串行接口、网络接口、PCI总线。通过串行接口或网络接口对防火墙进行配置管理。Flash中存放防火墙操作系统，主控单元上电后将防火墙操作系统装载到存储器中执行。主控单元通过PCI总线与网络处理单元通信。