一、前言

網(wǎng)際協(xié)議（Internet Protocol） 是互聯(lián)網(wǎng)進(jìn)行網(wǎng)際互連的基礎(chǔ)。隨著互聯(lián)網(wǎng)服務(wù)的快速發(fā)展，對(duì)網(wǎng)絡(luò)的安全性提出了更高的要求，如何快速有效的過濾網(wǎng)絡(luò)中的IP數(shù)據(jù)報(bào)文是一個(gè)始終需要解決的問題。

過濾IP數(shù)據(jù)報(bào)文是為了防止未授權(quán)用戶訪問內(nèi)部網(wǎng)資源，同時(shí)限制網(wǎng)內(nèi)用戶非法使用外部服務(wù)。進(jìn)行過濾之后，局域網(wǎng)內(nèi)用戶只能使用特定的服務(wù)（例如e-mail），網(wǎng)外的用戶也只能訪問經(jīng)過授權(quán)的網(wǎng)內(nèi)資源。由于網(wǎng)絡(luò)帶寬的飛速增長(zhǎng)，傳統(tǒng)的基于軟件的查找算法已經(jīng)不能適應(yīng)網(wǎng)絡(luò)速度的飛速發(fā)展，迫切需要采用新的硬件過濾方法，方案之一就是采用內(nèi)容可尋址存儲(chǔ)器TCAM（Ternary Content Addressable Memory）。

TCAM利用三個(gè)數(shù)值存儲(chǔ)數(shù)據(jù)‘0’ 、‘1’ 、‘X’（不關(guān)心），每一個(gè)表項(xiàng)都包含數(shù)值比特串和掩碼比特串。TCAM能夠在一個(gè)硬件時(shí)鐘周期內(nèi)完成關(guān)鍵字的精確匹配查找，只需要輸入關(guān)鍵字的內(nèi)容，TCAM就會(huì)將此關(guān)鍵字與CAM中所有的表項(xiàng)同時(shí)進(jìn)行匹配比較，最后返回匹配表項(xiàng)在TCAM中所對(duì)應(yīng)的地址，如果存在多個(gè)匹配表項(xiàng)則返回地址最低的表項(xiàng)。目前主流的IDS（Intrusion Detection Systems），例如Snort，可以編寫相應(yīng)規(guī)則來完成實(shí)時(shí)協(xié)議分析、內(nèi)容查找／匹配、對(duì)網(wǎng)絡(luò)上的IP包登錄進(jìn)行測(cè)試等功能。我們可以把類似于Snort的規(guī)則應(yīng)用到TCAM中，通過制定符合特定規(guī)則的表項(xiàng)，來實(shí)現(xiàn)IP數(shù)據(jù)報(bào)的匹配。當(dāng)數(shù)據(jù)報(bào)在TCAM中能夠找到相應(yīng)的匹配項(xiàng)時(shí)，我們即認(rèn)為它是合法的，否則予以攔截并送入后臺(tái)作為異常報(bào)文處理。

為了實(shí)現(xiàn)快速查找，設(shè)計(jì)者必須在PCB板上添加一個(gè)獨(dú)立的TCAM器件，這會(huì)增加片間延時(shí)，同時(shí)減少PCB板上的可用空間，從而降低電路板的系統(tǒng)性能。因此我們采用FPGA來實(shí)現(xiàn)TCAM，F(xiàn)PGA芯片采用ALTERA公司的APEX20K1500E。

二、用FPGA實(shí)現(xiàn)TCAM

APEX20KE系列芯片采用嵌入式系統(tǒng)模塊（Embedded System Blocks）實(shí)現(xiàn)了片內(nèi)CAM，能夠提供比傳統(tǒng)CAM器件更高的系統(tǒng)性能，同時(shí)支持Ternary CAM。其中，每個(gè)ESB能夠?qū)崿F(xiàn)32×32的CAM模塊，級(jí)聯(lián)多個(gè)ESB可以實(shí)現(xiàn)更寬更深的CAM。

ALTERA公司的Megafunction庫提供了altcam Megafunction，運(yùn)用Quartus軟件設(shè)計(jì)工具可以十分方便對(duì)TCAM進(jìn)行讀寫操作。圖1為altcam的結(jié)構(gòu)圖。

CAM可以在初始化配置時(shí)預(yù)加載默認(rèn)表項(xiàng)，也可以在系統(tǒng)運(yùn)行時(shí)對(duì)表項(xiàng)進(jìn)行實(shí)時(shí)更新。在大多數(shù)情況下，寫入一個(gè)數(shù)據(jù)表項(xiàng)需要兩個(gè)時(shí)鐘周期，當(dāng)寫入“X”（不關(guān)心）比特位時(shí)，需要三個(gè)時(shí)鐘周期。

Altera CAM有三種不同的讀模式：?jiǎn)纹ヅ淠Ｊ?、多匹配模式和快速多匹配模式，其中單匹配模式適用于CAM里沒有多個(gè)匹配項(xiàng)的情況。無論工作在哪種模式下，ESB都會(huì)輸出匹配數(shù)據(jù)項(xiàng)的編碼地址或未編碼地址。當(dāng)用未編碼地址輸出時(shí)，每條信號(hào)線對(duì)應(yīng)CAM模塊里的一個(gè)表項(xiàng)，當(dāng)輸出信號(hào)線為高時(shí)，表明對(duì)應(yīng)的表項(xiàng)和輸入數(shù)據(jù)匹配（例如，假如地址為15的表項(xiàng)數(shù)據(jù)匹配，則mbit［14］輸出高電平）。通常情況下，在一個(gè)時(shí)鐘周期內(nèi)每個(gè)ESB最多完成16個(gè)表項(xiàng)的比對(duì)，因此在多匹配模式下，需要兩個(gè)時(shí)鐘周期才能完成CAM模塊里所有表項(xiàng)的比

對(duì)。而快速多匹配模式僅使用每個(gè)ESB的一半空間（即16個(gè)表項(xiàng)），因此一個(gè)時(shí)鐘周期就可以輸出匹配表項(xiàng)的地址，大大提高了查找速度，但同時(shí)也耗費(fèi)了大量的存儲(chǔ)空間，限制了CAM

的總?cè)萘?。圖4展示了多匹配模式下的功能仿真波形圖。

三、制定CAM表項(xiàng)規(guī)則

考慮到報(bào)頭里包含了報(bào)文的地址和控制信息，我們可以從報(bào)頭中提取某些域的值作為TCAM的匹配關(guān)鍵字。圖5給出了CAM表項(xiàng)的一種配置方案。由于規(guī)則的不同，大多數(shù)的表項(xiàng)都

存儲(chǔ)了大量的“X”（不關(guān)心）比特位，這是因?yàn)椋?/p>

◆ 并不是IP數(shù)據(jù)報(bào)中所有對(duì)應(yīng)域都需要同表項(xiàng)進(jìn)行匹配。比如要攔截特定主機(jī)的IP包時(shí)，僅僅匹配源IP地址就足夠了。

◆ 有時(shí)IP地址并不是指定一個(gè)特定的主機(jī)，而是代表一個(gè)網(wǎng)絡(luò)或者一個(gè)包含多臺(tái)主機(jī)的子網(wǎng)，這意味著表項(xiàng)的某些比特位必須是“X”（不關(guān)心）。

在CAM中能夠找到相應(yīng)的匹配項(xiàng)時(shí)，輸入數(shù)據(jù)報(bào)可以順利通過，否則予以攔截并作為非法報(bào)文處理。由于只需判斷CAM里是否有匹配表項(xiàng)，而不關(guān)心具體表項(xiàng)的地址，因此存在多個(gè)匹配表項(xiàng)并不會(huì)影響比對(duì)的結(jié)果。在圖5中，由于在CAM里找不到匹配表項(xiàng)，源地址為192.168.1.10的主機(jī)不能進(jìn)行Telnet（23）服務(wù)。

雖然Snort給出了超過1400條配置規(guī)則，但通常并不需要同時(shí)應(yīng)用所有的規(guī)則。Y. H. Cho提出了一種包含105條規(guī)則的IDS［3］，因此大小為128×128的CAM足以滿足絕大多數(shù)的需要。另外為了有效地進(jìn)行比對(duì)，路由器輸入端送來的報(bào)文要暫存在SRAM當(dāng)中，管理這些報(bào)文需要對(duì)報(bào)文進(jìn)行有效的地址分配，以便對(duì)報(bào)文進(jìn)行相應(yīng)處理。

四、動(dòng)態(tài)管理FPGA

為便于管理和動(dòng)態(tài)更新，F(xiàn)PGA不僅要肩負(fù)對(duì)輸入報(bào)文進(jìn)行分類、過濾、提取關(guān)鍵字、進(jìn)行高速查找等工作，還必須制定專門的通信模塊負(fù)責(zé)與主控單元（實(shí)際采用MPC860）進(jìn)行通信。通信模塊起到對(duì)下進(jìn)行數(shù)據(jù)接收，對(duì)上進(jìn)行狀態(tài)報(bào)告的橋梁作用，是主控單元同F(xiàn)PGA進(jìn)行通信的接口，主要實(shí)現(xiàn)以下功能：

1、 監(jiān)控系統(tǒng)的硬軟復(fù)位信號(hào)，從而對(duì)整個(gè)系統(tǒng)進(jìn)行復(fù)位。

2、 向主控單元發(fā)送狀態(tài)報(bào)告。主要由主控單元請(qǐng)求獲得，從而能夠?qū)崟r(shí)監(jiān)控系統(tǒng)各模塊的工作狀態(tài)。

3、 將FPGA系統(tǒng)劃分為正常工作模式和測(cè)試模式。FPGA存在兩種工作模式，一種是正常工作模式，另一種是測(cè)試模式；在正常工作模式情況下，系統(tǒng)正常接收網(wǎng)絡(luò)中的數(shù)據(jù)報(bào)文；測(cè)試模式條件下，系統(tǒng)處于測(cè)試狀態(tài)，可以將內(nèi)部測(cè)試信號(hào)送出以達(dá)到快速調(diào)試的目的。

4、 向主控單元提供錯(cuò)誤報(bào)告。系統(tǒng)內(nèi)部對(duì)一些關(guān)鍵部分設(shè)定監(jiān)控程序，一旦有問題出現(xiàn)將迅速將錯(cuò)誤信息傳送給主控單元，從而方便對(duì)故障的檢測(cè)。

5、 將主控單元的命令信息轉(zhuǎn)發(fā)給相應(yīng)模塊，實(shí)現(xiàn)FPGA的動(dòng)態(tài)更新。這樣可以根據(jù)實(shí)際需要?jiǎng)討B(tài)更新TCAM的表項(xiàng)，改變IP報(bào)文過濾規(guī)則。

五、總結(jié)

采用基于FPGA的CAM進(jìn)行IP數(shù)據(jù)報(bào)文過濾是一種理想的選擇。由于關(guān)鍵性的功能（搜索CAM）和一些非關(guān)鍵性的功能（改變CAM內(nèi)容）分別在硬件和軟件中實(shí)現(xiàn)，因此該設(shè)計(jì)具有高度靈活性，同時(shí)比純軟件過濾有更快的處理速度，在實(shí)際中可達(dá)到800Mbit/s.

表項(xiàng)寬度可變的CAM能夠很好的應(yīng)用Snort規(guī)則進(jìn)行字符串匹配，同時(shí)可通過軟件進(jìn)行動(dòng)態(tài)更新。此外，CAM模塊大約只耗費(fèi)了FPGA一半的存儲(chǔ)資源，可以根據(jù)需要在FPGA內(nèi)整合相關(guān)功能邏輯電路擴(kuò)充電路功能。

責(zé)任編輯：gt