[導讀]隨著網(wǎng)絡及應用的逐漸深化，信息安全設備處理能力的瓶頸逐漸突出，一些用戶甚至不得不犧牲網(wǎng)絡的安全性以滿足業(yè)務連續(xù)性的需求，這一矛盾也成為擺在安全廠商面前的新挑戰(zhàn)。網(wǎng)絡安全設備將何去何從，如何才能滿足發(fā)展
隨著網(wǎng)絡及應用的逐漸深化，信息安全設備處理能力的瓶頸逐漸突出，一些用戶甚至不得不犧牲網(wǎng)絡的安全性以滿足業(yè)務連續(xù)性的需求，這一矛盾也成為擺在安全廠商面前的新挑戰(zhàn)。網(wǎng)絡安全設備將何去何從，如何才能滿足發(fā)展的需求?
回看網(wǎng)絡安全設備的發(fā)展歷程：1995年，CheckPoint推出了第一代基于軟件的防火墻，但是實踐證明這種技術不能適用于需要提供吞吐量保證和低延遲的網(wǎng)絡。1996年到1997年，x86架構(gòu)防火墻的出現(xiàn)，使其憑借高靈活性和擴展性在百兆防火墻上獲得了巨大成功，同時x86防火墻相對傳統(tǒng)防火墻還具有開發(fā)、設計門檻低，技術成熟等優(yōu)點。但是由于x86架構(gòu)的硬件并非為了網(wǎng)絡數(shù)據(jù)傳輸而設計，缺陷也是顯而易見的：所有通過防火墻的數(shù)據(jù)包都要通過CPU去處理，它對數(shù)據(jù)包的轉(zhuǎn)發(fā)性能相對較弱，內(nèi)部交換總線則成了處理能力的瓶頸，無法適應日益增長的網(wǎng)絡性能要求。
1997年，NetScreen成功研發(fā)了ASIC防火墻。定制的ASIC防火墻與軟件解決方案相比，安全規(guī)則匹配速度和數(shù)據(jù)流查詢速度提升了幾十倍，在處理NAT和快速數(shù)據(jù)流查詢方面更是具有傳統(tǒng)防火墻無法比擬的優(yōu)勢。然而在集成了應用層安全防護功能后，CPU的處理能力卻成為ASIC防火墻不得不面對的挑戰(zhàn)，綜合衡量ASIC不可改變和低擴展等缺陷，ASIC防火墻難以保障用戶的應用安全需求。
此后幾年，一些公司開始為應用層安全嘗試使用網(wǎng)絡處理器(NP)結(jié)構(gòu)。雖然NP在可擴展性上優(yōu)于ASIC，但是它仍然不能及時響應今天安全需求的快速變化。由于缺乏可擴展性和可維護性，以及高昂的成本等因素，NP結(jié)構(gòu)已經(jīng)逐漸被淘汰。
從2008年開始，多核技術開始廣泛地、頻繁的出現(xiàn)在用戶面前，由此引發(fā)了信息安全領域最大的變革，多核以及多線程技術的出現(xiàn)，解決了原有產(chǎn)品功能多樣性與性能不足的矛盾問題。用戶需求的不斷攀升，決定多核技術發(fā)展的不可逆轉(zhuǎn)性。多核帶來了更強的并行處理能力，但同時也對當前的操作系統(tǒng)體系架構(gòu)提出了更高的要求。
如何才能發(fā)揮多核安全網(wǎng)關的真正優(yōu)勢?為此，筆者采訪了Hillstone 山石網(wǎng)科首席軟件架構(gòu)師王鐘，他表示：只是單純的把安全網(wǎng)關的CPU換成多核，操作系統(tǒng)不做變化，那多核處理器也僅僅是個擺設，設備的處理能力還是單核，因此要求軟件架構(gòu)有根本性的變化，適應多核處理器，真正體現(xiàn)出多核安全網(wǎng)關的優(yōu)勢。另一方面，多核CPU是加速應用層安全的利器，Hillstone 山石網(wǎng)科的設計思路是將多核與ASIC結(jié)合起來，同時再有一個穩(wěn)定的，實時的64位操作系統(tǒng)作為支撐，為用戶提供一個可升級、可擴展、穩(wěn)定的設備，造就真正適合用戶的萬兆多核安全產(chǎn)品。
隨著應用層網(wǎng)絡功能集成的快速發(fā)展，例如：防病毒、流量管理和上網(wǎng)行為管理等，都需要大量的CPU處理，而目前市場上的很多安全網(wǎng)關設備卻不能很好的支持這些功能。王鐘認為，多核架構(gòu)必須要與軟件平臺互相配合，才能為用戶日益增長的需求留出增加性能的空間。Hillstone 山石網(wǎng)科在架構(gòu)安全業(yè)務處理模型的時候，考慮的重點是如何使得多核處理器提供最佳的處理效率?我們通過合理安排多核的任務分工，核內(nèi)核間任務的分工以及多核的并行處理，使得整個系統(tǒng)的效率和擴展性大幅提升。不但要具備領先的技術研發(fā)實力，而且要同時滿足用戶對日益增長業(yè)務的安全和性能需求，這才是多核安全網(wǎng)關的真正優(yōu)勢所在。
回看網(wǎng)絡安全設備的發(fā)展歷程：1995年，CheckPoint推出了第一代基于軟件的防火墻，但是實踐證明這種技術不能適用于需要提供吞吐量保證和低延遲的網(wǎng)絡。1996年到1997年，x86架構(gòu)防火墻的出現(xiàn)，使其憑借高靈活性和擴展性在百兆防火墻上獲得了巨大成功，同時x86防火墻相對傳統(tǒng)防火墻還具有開發(fā)、設計門檻低，技術成熟等優(yōu)點。但是由于x86架構(gòu)的硬件并非為了網(wǎng)絡數(shù)據(jù)傳輸而設計，缺陷也是顯而易見的：所有通過防火墻的數(shù)據(jù)包都要通過CPU去處理，它對數(shù)據(jù)包的轉(zhuǎn)發(fā)性能相對較弱，內(nèi)部交換總線則成了處理能力的瓶頸，無法適應日益增長的網(wǎng)絡性能要求。
1997年，NetScreen成功研發(fā)了ASIC防火墻。定制的ASIC防火墻與軟件解決方案相比，安全規(guī)則匹配速度和數(shù)據(jù)流查詢速度提升了幾十倍，在處理NAT和快速數(shù)據(jù)流查詢方面更是具有傳統(tǒng)防火墻無法比擬的優(yōu)勢。然而在集成了應用層安全防護功能后，CPU的處理能力卻成為ASIC防火墻不得不面對的挑戰(zhàn)，綜合衡量ASIC不可改變和低擴展等缺陷，ASIC防火墻難以保障用戶的應用安全需求。
此后幾年，一些公司開始為應用層安全嘗試使用網(wǎng)絡處理器(NP)結(jié)構(gòu)。雖然NP在可擴展性上優(yōu)于ASIC，但是它仍然不能及時響應今天安全需求的快速變化。由于缺乏可擴展性和可維護性，以及高昂的成本等因素，NP結(jié)構(gòu)已經(jīng)逐漸被淘汰。
從2008年開始，多核技術開始廣泛地、頻繁的出現(xiàn)在用戶面前，由此引發(fā)了信息安全領域最大的變革，多核以及多線程技術的出現(xiàn)，解決了原有產(chǎn)品功能多樣性與性能不足的矛盾問題。用戶需求的不斷攀升，決定多核技術發(fā)展的不可逆轉(zhuǎn)性。多核帶來了更強的并行處理能力，但同時也對當前的操作系統(tǒng)體系架構(gòu)提出了更高的要求。
如何才能發(fā)揮多核安全網(wǎng)關的真正優(yōu)勢?為此，筆者采訪了Hillstone 山石網(wǎng)科首席軟件架構(gòu)師王鐘，他表示：只是單純的把安全網(wǎng)關的CPU換成多核，操作系統(tǒng)不做變化，那多核處理器也僅僅是個擺設，設備的處理能力還是單核，因此要求軟件架構(gòu)有根本性的變化，適應多核處理器，真正體現(xiàn)出多核安全網(wǎng)關的優(yōu)勢。另一方面，多核CPU是加速應用層安全的利器，Hillstone 山石網(wǎng)科的設計思路是將多核與ASIC結(jié)合起來，同時再有一個穩(wěn)定的，實時的64位操作系統(tǒng)作為支撐，為用戶提供一個可升級、可擴展、穩(wěn)定的設備，造就真正適合用戶的萬兆多核安全產(chǎn)品。
隨著應用層網(wǎng)絡功能集成的快速發(fā)展，例如：防病毒、流量管理和上網(wǎng)行為管理等，都需要大量的CPU處理，而目前市場上的很多安全網(wǎng)關設備卻不能很好的支持這些功能。王鐘認為，多核架構(gòu)必須要與軟件平臺互相配合，才能為用戶日益增長的需求留出增加性能的空間。Hillstone 山石網(wǎng)科在架構(gòu)安全業(yè)務處理模型的時候，考慮的重點是如何使得多核處理器提供最佳的處理效率?我們通過合理安排多核的任務分工，核內(nèi)核間任務的分工以及多核的并行處理，使得整個系統(tǒng)的效率和擴展性大幅提升。不但要具備領先的技術研發(fā)實力，而且要同時滿足用戶對日益增長業(yè)務的安全和性能需求，這才是多核安全網(wǎng)關的真正優(yōu)勢所在。
下載文檔本站聲明： 本文章由作者或相關機構(gòu)授權發(fā)布，目的在于傳遞更多信息，并不代表本站贊同其觀點，本站亦不保證或承諾內(nèi)容真實性等。需要轉(zhuǎn)載請聯(lián)系該專欄作者，如若文章內(nèi)容侵犯您的權益，請及時聯(lián)系本站刪除。
換一批
延伸閱讀
Linux內(nèi)核是從V2.6開始引入設備樹的概念，其起源于OF:OpenFirmware， 用于描述一個硬件平臺的硬件資源信息，這些信息包括：CPU的數(shù)量和類別、內(nèi)存基地址和大小、總線和橋、外設連接、中斷控制器和中斷使用情...
關鍵字： Linux內(nèi)核 硬件 CPU
