一种深度包检测引擎的FPGA硬件实现-论文.pdf

《一种深度包检测引擎的FPGA硬件实现-论文.pdf》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、·l00·《测控技术}2014年第33卷第6期一种深度包检测引擎的FPGA硬件实现陈世文，黄万伟，曹建业(国家数字交换系统工程技术研究中心，河南郑州450002)摘要：针对硬件防火墙的防护性能优势，提出一种基于FPGA实现的硬件防火墙，利用FPGA设计深度包检测引擎，实现基于应用层的内容防护。深度包检测引擎支持固定、浮动和统一资源定位符关键词匹配，可实现灵活的表项宽度变化和表项更新操作。实际测试表明，采用基于FPGA设计的深度包检测引擎，硬件防火墙的主要处理指标满足实用性要求。关键词：硬件防火墙；FPGA；深度包检测；统一资源

2、定位符中图分类号：TP393文献标识码：A文章编号：1000—8829(2014)06—0100—03ADeepPacketInspectionEngineHardwareDesignBasedonFPGACHENShi—wen，HUANGWan-wei，CAOJian—ye(ChinaNationalDigitalSwitchingSystemEngineeringandTechnologicalR&DCenter，Zhengzhou450002，China)Abstract：Consideringtheprotective

3、performanceadvantagesofhardwarefirewall，aFPGA—basedhardwarefirewallisproposed，whichusesFPGA—baseddeeppacketinspection(DPI)enginetorealizethecontentprotee—tionofapplicationlayer．DPIengine，whichsupportsfixed，floatinganduniformresourcelocatorkeywordmate—hing，canachieve

4、flexibleentrieswidthchangingandentriesupdating．TheimplementationresultsshowthattheperformancesofhardwirefirewallmeetthepracticalrequirementsbyadoptingtheFPGA—basedDPIengine．Keywords：hardwarefirewall；FPGA；deeppacketinspection；uniformresourcelocator随着网络技术的飞速发展，为保障网络安全

5、，使用火墙基于DPI技术，防护重心从网络层发展到应用层，户数据资料免受病毒侵袭和黑客攻击，防火墙等安全对数据包进行基于应用层协议的解析，提供2～7层网设备应运而生¨J。由于网络协议不断发展和攻击手络协议的全面控制与防护。段不断升级，很多恶意行为隐藏在数据载荷中，在报文考虑到硬件防火墙的突出性能优势，笔者提出一的应用层载荷中携带垃圾邮件、蠕虫病毒、木马程序、种基于FPGA硬件设计的防火墙，采用硬件实现DPI垃圾邮件和漏洞等恶意代码，单纯依靠网络层信息防引擎，大大提高数据包的处理性能。DPI引擎支持固护的传统防火墙技术，已经无法满

6、足安全要求。定关键词、浮动关键词和统一资源定位符(URL，uni—深度包检测(DPI，deeppacketinspection)技术是formresourcelocator)关键词的匹配，实现了基于应用近年来出现的一种新型协议识别技术，其不仅检测网层的内容防护，提高了硬件防火墙的防护功能。络层和传输层报文头部，同时深入到应用层数据包的1硬件防火墙应用部署有效载荷所封装的内容中，执行基于应用层的内容分析，识别隐藏在应用层的网络攻击行为。新一代防软件防火墙的优点是实现灵活，更新升级快捷。软件防火墙通常采用CPU处理数据包，数据包网

7、络层处理速率较低，只能从几十兆到几百兆不等。CPU若收稿日期：2013—03—13执行网络应用层的数据处理，将导致软件防火墙的处基金项目：国家973计划资助项目(2012CB315901)；国家863理性能大大下降。硬件防火墙采用硬件ASIC芯片或计划资助项目(2011AA01A103)；国家科技支撑计划资助项目FPGA器件，及硬件实时处理数据包，减少CPU的负(2011BAHI9BO1)作者简介：陈世文(1974一)，男，湖南益阳人，博士，讲师，主要担，解决了防火墙效率和性能之间的矛盾，可以达到线研究方向为宽带信息网络、机器

8、学习；黄万伟(1979一)，男，江速实现数据包DPI处理。苏盐城人，博士，讲师，主要研究方向为宽带信息网；曹建业硬件防火墙采用集中式网络防护模式，主要包括(1987一)，男，河南周121人，硕士，主要研究方向为宽带信息网。硬件防护平台、软件控制终端和审计／控制服务器i大一种深