安全产品架构分析

安全产品架构分析

ID:15295231

大小:136.00 KB

页数:7页

时间:2018-08-02

安全产品架构分析_第1页
安全产品架构分析_第2页
安全产品架构分析_第3页
安全产品架构分析_第4页
安全产品架构分析_第5页
资源描述:

《安全产品架构分析》由会员上传分享,免费在线阅读,更多相关内容在行业资料-天天文库

1、安全产品架构分析   “安全”的网络,离不开安全产品,而高端的安全产品则更是焦点。万兆性能和深度报文处理已成为高端产品的基本需求。能否从设计上就既保证强大的性能和丰富的功能,同时又最大限度的降低和保护用户投资,构建一个“弹性”的产品平台,成为高端安全产品架构设计的精髓。   安全产品的基本架构安全产品如同其他数据通信产品一样,其系统架构设计也有着基本原则和定式。即使是面临新的挑战,这些基本的设计框架依然得到了延续,但在具体的方案和实现上,却有着不同的优化和改进。最基本的一个设计框架就是安全产品基本

2、上都基于“快速路径+慢速路径”的设计原则(图1),这是由安全产品的技术特点决定的。快速路径用来完成基本的数据转发和交换(尤其是数据流的后续报文,特点是流量大),而慢速路径进行深度的协议处理(不但包括数据流的首包处理,还包括对payload的复杂处理,特点是处理复杂)。从具体实现上看,业界主流厂商安全产品大致可以分为如下几类:1.ASSP+通用处理器平台(X86Server/嵌入式系统)2.FPGA/ASIC+多核处理器/通用X86处理器3.多核处理器+通用X86处理器4.NP+多核处理器5.FPG

3、A/ASIC+NP+多核处理器/通用X86处理器从架构上看,1是一种架构,所有功能都依赖于通用的CPU处理平台(图2),而2、3、4、5的产品架构比较类似,可以统一归纳为一种架构(图3)。这两种架构最大的区别就在于其是否有专门的部件或模块,来独立完成快速路径的处理。这里,我们把第一种架构,即完全基于通用处理器来完成所有报文处理的架构称为“纯软件的设计架构”(架构A),而把有专门部件或模块进行快速路径处理的架构称为“基于硬件加速的架构”(架构B)。需要注意的是,对于纯软件的架构设计,处理器平台其实也

4、有不同的选择,比如可以是X86架构的通用处理器,也可以是单核的嵌入式处理器如PowerPC,还可以是最新的多核处理器。相对于X86处理器和嵌入式处理器,多核处理器由于其在单颗芯片内集成了更多的CPU处理单元,因此其在处理能力上比前两者更高,辅助于优秀的软件系统设计,是目前通用处理器上较好的选择。当然,考虑到其也是靠软件编程来实现各种功能的,在下文中针对通用处理器平台就不再分开讨论了。纯软件的架构设计,是最常见的一种安全产品设计方案,也是一种通用的安全产品架构设计,可以称之为“万能”设计。对于安全领

5、域的各种产品形态,都完全可以采用架构A的方案进行设计。在这种架构上面,产品的所有特性和功能都是通过编写软件代码来实现的,可以最大限度的实现灵活性、复杂性和扩展性。另外,从技术难度和成本来讲,架构A也是很有优势的。但是,架构A的缺点也显而易见——性能比较差。即使是使用目前业界最高端的CPU来实现,在复杂业务处理的情况下也很难达到2G以上的吞吐性能。这不仅仅因为在架构A中所有的功能都用软件完成,本身对处理器而言就是很沉重的负载,而且,通用处理器(包括多核处理器)在外围接口上,往往因为其考虑了更多的通用

6、性而造成不能够达到很高的带宽。所以,在业界的安全厂家中,架构A在中低端安全产品中采用的比较多,设计的产品往往都具有较好的性价比。对于高端的安全产品,为了达到更高的性能目标,则必须采用基于硬件加速的产品架构设计,即架构B。架构B有什么优势呢?首先,把处理相对比较简单、但是流量很大的“快速路径”从处理器上“卸载(Offload)”下来,把“宝贵”的处理器资源留给复杂的协议处理和报文的深度检测。另一方面,因为专用芯片如FPGA/ASIC、NPU等本身又具有很高带宽的外部接口(如多个DDRRAM、SRAM

7、、TCAM接口等),具有很强的报文处理能力,让这些芯片去承担大吞吐量的快速路径处理,恰恰充分发挥了它的特点。这样的系统设计就达到了很好的平衡——“物尽其用”,让每颗芯片都去完成其最擅长的功能,充分发挥其硬件加速的特点。高端安全产品的架构设计“基于硬件加速的架构”(图3),其慢速路径的通用处理器单元可以基于多核处理器来实现,这种选择相对于基于X86的处理器和嵌入式处理器在处理能力上更有优势,灵活性也很强,是目前主流的实现方式。在快速路径的设计上,根据前面的描述,也有各种各样的实现方案(如实现方式2、

8、3、4、5),这些不同的实现方案采用了不同的芯片如FPGA/ASIC、NPU及多核处理器等。面对这些组合,该如何看待其方案的差异性呢?在分析这个问题之前,先来看看高端安全产品的一个设计理念——从处理器上卸载更多的业务。安全产品因为其业务处理的复杂性和多变性,导致不可能完全采用ASIC来完成所有的业务处理,这一点在本文前面已经有所讨论。所以,通用处理器在安全产品中是必不可少的一个部件。但是,通用处理器的性能差也是无法避免的。因此,要想达到更高的性能,就必须尽可能的让更多的流量不通过通

当前文档最多预览五页,下载文档查看全文

此文档下载收益归作者所有

当前文档最多预览五页,下载文档查看全文
温馨提示:
1. 部分包含数学公式或PPT动画的文件,查看预览时可能会显示错乱或异常,文件下载后无此问题,请放心下载。
2. 本文档由用户上传,版权归属用户,天天文库负责整理代发布。如果您对本文档版权有争议请及时联系客服。
3. 下载前请仔细阅读文档内容,确认文档内容符合您的需求后进行下载,若出现内容与标题不符可向本站投诉处理。
4. 下载文档时可能由于网络波动等原因无法下载或下载错误,付费完成后未能成功下载的用户请联系客服处理。