您的位置 首页 测评

选用FPGA器材APEX20K1500E芯片完成TCAM的规划

采用FPGA器件APEX20K1500E芯片实现TCAM的设计-网际协议(Internet Protocol) 是互联网进行网际互连的基础。随着互联网服务的快速发展,对网络的安全性提出了更高的要求,如何快速有效的过滤网络中的IP数据报文是一个始终需要解决的问题。

一、前语

网际协议(Internet Protocol) 是互联网进行网际互连的根底。跟着互联网服务的快速开展,对网络的安全性提出了更高的要求,怎么快速有用的过滤网络中的IP数据报文是一个一直需求处理的问题。

过滤IP数据报文是为了避免未授权用户拜访内部网资源,一起约束网内用户不合法运用外部服务。进行过滤之后,局域网内用户只能运用特定的服务(例如e-mail),网外的用户也只能拜访经过授权的网内资源。因为网络带宽的飞速添加,传统的依据软件的查找算法现已不能适应网络速度的飞速开展,迫切需求选用新的硬件过滤办法,计划之一便是选用内容可寻址存储器TCAM(Ternary Content Addressable Memory)。

TCAM运用三个数值存储数据‘0’ 、‘1’ 、‘X’(不关心),每一个表项都包括数值比特串和掩码比特串。TCAM能够在一个硬件时钟周期内完结要害字的准确匹配查找,只需求输入要害字的内容,TCAM就会将此要害字与CAM中一切的表项一起进行匹配比较,最终回来匹配表项在TCAM中所对应的地址,假设存在多个匹配表项则回来地址最低的表项。现在干流的IDS(Intrusion Detection Systems),例如Snort,能够编写相应规矩来完结实时协议剖析、内容查找/匹配、对网络上的IP包登录进行测验等功用。咱们能够把类似于Snort的规矩使用到TCAM中,经过拟定契合特定规矩的表项,来完结IP数据报的匹配。当数据报在TCAM中能够找到相应的匹配项时,咱们即以为它是合法的,不然予以阻拦并送入后台作为反常报文处理。

为了完结快速查找,规划者有必要在PCB板上添加一个独立的TCAM器材,这会添加片间延时,一起削减PCB板上的可用空间,然后下降电路板的体系功用。因而咱们选用FPGA来完结TCAM,FPGA芯片选用ALTERA公司的APEX20K1500E。

二、用FPGA完结TCAM

APEX20KE系列芯片选用嵌入式体系模块(Embedded System Blocks)完结了片内CAM,能够供给比传统CAM器材更高的体系功用,一起支撑Ternary CAM。其间,每个ESB能够完结32×32的CAM模块,级联多个ESB能够完结更宽更深的CAM。

ALTERA公司的MegafuncTIon库供给了altcam MegafuncTIon,运用Quartus软件规划东西能够非常便利对TCAM进行读写操作。图1为altcam的结构图。

选用FPGA器材APEX20K1500E芯片完结TCAM的规划

CAM能够在初始化装备时预加载默许表项,也能够在体系运行时对表项进行实时更新。在大多数状况下,写入一个数据表项需求两个时钟周期,当写入“X”(不关心)比特位时,需求三个时钟周期。

Altera CAM有三种不同的读形式:单匹配形式、多匹配形式和快速多匹配形式,其间单匹配形式适用于CAM里没有多个匹配项的状况。不管作业在哪种形式下,ESB都会输出匹配数据项的编码地址或未编码地址。当用未编码地址输出时,每条信号线对应CAM模块里的一个表项,当输出信号线为高时,标明对应的表项和输入数据匹配(例如,假设地址为15的表项数据匹配,则mbit[14]输出高电平)。一般状况下,在一个时钟周期内每个ESB最多完结16个表项的比对,因而在多匹配形式下,需求两个时钟周期才干完结CAM模块里一切表项的比

对。而快速多匹配形式仅运用每个ESB的一半空间(即16个表项),因而一个时钟周期就能够输出匹配表项的地址,大大提高了查找速度,但一起也耗费了很多的存储空间,约束了CAM

的总容量。图4展现了多匹配形式下的功用仿真波形图。

三、拟定CAM表项规矩

考虑到报头里包括了报文的地址和操控信息,咱们能够从报头中提取某些域的值作为TCAM的匹配要害字。图5给出了CAM表项的一种装备计划。因为规矩的不同,大多数的表项都

存储了很多的“X”(不关心)比特位,这是因为:

◆ 并不是IP数据报中一切对应域都需求同表项进行匹配。比如要阻拦特定主机的IP包时,只是匹配源IP地址就足够了。

◆ 有时IP地址并不是指定一个特定的主机,而是代表一个网络或许一个包括多台主机的子网,这意味着表项的某些比特位有必要是“X”(不关心)。

在CAM中能够找到相应的匹配项时,输入数据报能够顺畅经过,不然予以阻拦并作为不合法报文处理。因为只需判别CAM里是否有匹配表项,而不关心详细表项的地址,因而存在多个匹配表项并不会影响比对的成果。在图5中,因为在CAM里找不到匹配表项,源地址为192.168.1.10的主机不能进行Telnet(23)服务。

尽管Snort给出了超越1400条装备规矩,但一般并不需求一起使用一切的规矩。Y. H. Cho提出了一种包括105条规矩的IDS[3],因而巨细为128×128的CAM足以满意绝大多数的需求。别的为了有用地进行比对,路由器输入端送来的报文要暂存在SRAM傍边,办理这些报文需求对报文进行有用的地址分配,以便对报文进行相应处理。

四、动态办理FPGA

为便于办理和动态更新,FPGA不只要担负对输入报文进行分类、过滤、提取要害字、进行高速查找等作业,还有必要拟定专门的通讯模块担任与主控单元(实践选用MPC860)进行通讯。通讯模块起到对下进行数据接纳,对上进行状况陈述的桥梁效果,是主控单元同FPGA进行通讯的接口,首要完结以下功用:

1、 监控体系的硬软复位信号,然后对整个体系进行复位。

2、 向主控单元发送状况陈述。首要由主控单元恳求取得,然后能够实时监控体系各模块的作业状况。

3、 将FPGA体系划分为正常作业形式和测验形式。FPGA存在两种作业形式,一种是正常作业形式,另一种是测验形式;在正常作业形式状况下,体系正常接纳网络中的数据报文;测验形式条件下,体系处于测验状况,能够将内部测验信号送出以到达快速调试的意图。

4、 向主控单元供给错误陈述。体系内部对一些要害部分设定监控程序,一旦有问题出现将迅速将错误信息传送给主控单元,然后便利对毛病的检测。

5、 将主控单元的指令信息转发给相应模块,完结FPGA的动态更新。这样能够依据实践需求动态更新TCAM的表项,改动IP报文过滤规矩。

五、总结

选用依据FPGA的CAM进行IP数据报文过滤是一种抱负的挑选。因为要害性的功用(查找CAM)和一些非要害性的功用(改动CAM内容)分别在硬件和软件中完结,因而该规划具有高度灵活性,一起比纯软件过滤有更快的处理速度,在实践中可到达800Mbit/s.

表项宽度可变的CAM能够很好的使用Snort规矩进行字符串匹配,一起可经过软件进行动态更新。此外,CAM模块大约只耗费了FPGA一半的存储资源,能够依据需求在FPGA内整合相关功用逻辑电路扩大电路功用。

责任编辑:gt

声明:本文内容来自网络转载或用户投稿,文章版权归原作者和原出处所有。文中观点,不代表本站立场。若有侵权请联系本站删除(kf@86ic.com)https://www.86ic.net/ceping/86137.html

为您推荐

联系我们

联系我们

在线咨询: QQ交谈

邮箱: kf@86ic.com

关注微信
微信扫一扫关注我们

微信扫一扫关注我们

返回顶部