摘要
因特網(wǎng)、企業(yè)網(wǎng)絡(luò)等網(wǎng)絡(luò)應用的帶寬需求急劇上升，傳輸、檢查、拆分、組合、搜尋、內(nèi)容比對、轉(zhuǎn)遞等IP封包運算處理動作，以往可以靠軟件程序在一般X86微處理器上完成，搭配以網(wǎng)卡做封包出入口。但是近年來這些封包的運算處理越來越復雜，將數(shù)據(jù)輸入處理單元，完成后再將結(jié)果送往輸出單元，慢速處理造成的時間延遲會嚴重影響到數(shù)據(jù)吞吐量，無法滿足Line Rate Operation的需求。Intel 公司提供的網(wǎng)絡(luò)處理器系列產(chǎn)品專門用來解決這樣的問題，IXP-4XX屬于較低端的系列，本文則集中探討IXP-2XXX系列高端網(wǎng)絡(luò)處理器，文中將以IXP-2400處理器在凌華科技cPCI-6240系列產(chǎn)品的設(shè)計為例做出說明。
以下將先介紹IXP-2XXX處理器的功能特性，再探討處理器的平臺設(shè)計、應用開發(fā)，最后探討它在網(wǎng)絡(luò)安全領(lǐng)域的應用，以入侵檢測系統(tǒng)為實例做出說明。
Intel IXP-2XXX 網(wǎng)絡(luò)處理器
Intel XP-2XXX系列網(wǎng)絡(luò)處理器大致包含：IXP-2400、IXP-2800及IXP-2850，請參考表一的性能差異。除此之外，Intel還考慮比照了IXP-42X系列的做法，高度整合MACs等功能模塊，建造優(yōu)異的性價比產(chǎn)品，使這一系列處理器的應用更普及化。
表一、IXP-2XXX系列比較表
全系列IXP-2XXX網(wǎng)絡(luò)處理器都可拆分為『控制管道』(Control Plane)及『數(shù)據(jù)管道』(Data Plane)兩大部分。參考圖一 IXP-2400網(wǎng)絡(luò)處理器，它內(nèi)建一顆600MHz 32-bit XScale來負責Control Plane的處理工作，XScale執(zhí)行相當?shù)讓拥目刂乒ぷ鳎ㄐ畔魉�，還有跟系統(tǒng)內(nèi)其它處理器的溝通。Data Plane則由內(nèi)建的八顆微處理引擎(Micro-Engine Version 2, MEv2)來做平行處理，MEv2是XScale精簡下來的 (Reduced) 可程序處理器，使用者可用Micro-Code匯編語言或是高端Micro-C語言撰寫應用程序，透過指令告訴這八顆MEv2怎樣處理封包運算，以達到應用目的。
圖一：IXP-2400的外部接口
圖一是IXP-2400示意圖外觀，它有兩個信道的QDR SRAM接口，存放重要的數(shù)據(jù)結(jié)構(gòu)，比如：Route Tables， Free Buffer Pools，F(xiàn)low State Tables，Queue Descriptors等等重要的信息，其中一個信道還可以接一顆協(xié)處理器，做TCP/IP封包比對時的內(nèi)存搜尋引擎，加速決定封包的協(xié)議屬性跟流向(Flow)。DDR DRAM則用來儲存封包以及大量的State tables，另外C-bus接口可以連接第二顆處理器，這是采用一進一出架構(gòu)的雙處理器設(shè)計時用的。
圖二：IXP-2400功能單元及數(shù)據(jù)信道
圖三：Intel IXA 可攜式軟件架構(gòu)
圖五 ADLINK cPCI-6240系列網(wǎng)絡(luò)安全平臺
網(wǎng)絡(luò)安全系統(tǒng)內(nèi)最關(guān)鍵性的功能可以說是封包表頭辨識(Classification)及內(nèi)容檢查(Content Inspection)，表頭辨識是針對其流向、連結(jié)、輸入端口及目的地址等做比對；內(nèi)容檢查則有復雜的算法，處理帶寬及內(nèi)存容量需求極高，很顯然內(nèi)容檢查即將是此系統(tǒng)非常嚴重的交通瓶頸所在，這個運算將耗用大量IXP-2400網(wǎng)絡(luò)處理器的運算資源。因此必須采用另一顆處理器卸載此運算，有兩種方法可行，其一是如圖四：加入一顆可編程內(nèi)容檢查引擎(Programmable CIE, Content Inspection Engine)，比如IDT PAX.port 2500 CIE；或是在封包經(jīng)網(wǎng)絡(luò)處理器集結(jié)成較大封包后，進入一張專屬內(nèi)容檢查的高速運算服務器，比如ADLINK cPCI-6860 Dual-Xeon Server Blade。加CIE的做法可以卸載95% 的MicroEngine資源使用量，刪除掉85%的MicroCode，同時削減75%內(nèi)存帶寬使用量，成本可大大節(jié)省，TTM(Time to Market)時間可以顯著縮減。加一張專屬服務器則維持舊有軟件延續(xù)使用，節(jié)省軟件開發(fā)的時間及人力成本，兩者各有優(yōu)點，但是CIE是純硬件運算所以效率較好，從長遠角度看應會成為較受歡迎的選擇。
網(wǎng)絡(luò)處理器的時代已經(jīng)來臨，它可以有效解決網(wǎng)絡(luò)交通擁塞的問題，也可以處理復雜的封包運算。無論如何，Inetel IXA架構(gòu)已經(jīng)正確的跨出第一步，接下來就須要更多的平臺設(shè)計者投入開發(fā)工作，以及更多的應用開發(fā)者投入資源，發(fā)展軟件程序，逐步建立完整的可攜式Microblocks。網(wǎng)絡(luò)興起、帶寬加速拓展，使整個網(wǎng)絡(luò)通訊的市場板塊不斷的在調(diào)整、挪動，凌華科技與Intel合作，共同推廣IXP-2XXX網(wǎng)絡(luò)處理器的應用，希望能有拋磚引玉之效。
凌華科技公司供稿 CTI論壇編輯
相關(guān)閱讀：
