網(wǎng)絡(luò)處理器技術(shù)

網(wǎng)絡(luò)處理器器件內(nèi)部通常由若干個(gè)微碼處理器和若干硬件協(xié)處理器組成，多個(gè)微碼處理器在網(wǎng)絡(luò)處理器內(nèi)部并行處理，通過預(yù)先編制的微碼來控制處理流程。而對(duì)于一些復(fù)雜的標(biāo)準(zhǔn)操作(如內(nèi)存操作、路由表查找算法、QoS的擁塞控制算法、流量調(diào)度算法等)則采用硬件協(xié)處理器來進(jìn)一步提高處理性能，從而實(shí)現(xiàn)了業(yè)務(wù)靈活性和高性能的有機(jī)結(jié)合。

網(wǎng)絡(luò)處理器特點(diǎn)

并行處理器: 采用多內(nèi)核并行處理器結(jié)構(gòu)。片內(nèi)處理器按任務(wù)大致分為核心處理器和轉(zhuǎn)發(fā)引擎。

專用硬件協(xié)處理器: 對(duì)要求高速處理的通用功能模塊采用專用硬件實(shí)現(xiàn)以提高系統(tǒng)性能。

專用指令集: 轉(zhuǎn)發(fā)引擎通常采用專用的精簡(jiǎn)指令集，并針對(duì)網(wǎng)絡(luò)協(xié)議處理特點(diǎn)優(yōu)化。

分級(jí)存儲(chǔ)器組織: NP存儲(chǔ)器一般包含多種不同性能的存儲(chǔ)結(jié)構(gòu)，對(duì)數(shù)據(jù)進(jìn)行分類存儲(chǔ)以適應(yīng)不同的應(yīng)用目的。

高速I/O接口: NP具有豐富的高速I/O接口，包括物理鏈路接口、交換接口、存儲(chǔ)器接口、PCI總線接口等。通過內(nèi)部高速總線連接在一起，提供很強(qiáng)的硬件并行處理能力。

可擴(kuò)展性: 多個(gè)NP之間還可以互連，構(gòu)成網(wǎng)絡(luò)處理器簇，以支持更為大型高速的網(wǎng)絡(luò)處理。 從網(wǎng)絡(luò)處理器以上特點(diǎn)可以看出，與通用處理器相比，網(wǎng)絡(luò)處理器在網(wǎng)絡(luò)分組數(shù)據(jù)處理上具有明顯的優(yōu)勢(shì)。

網(wǎng)絡(luò)處理器優(yōu)點(diǎn)

X86

基于X86架構(gòu)的防火墻，由于CPU處理能力和PCI總線速度的制約 ，在實(shí)際應(yīng)用中，尤其在小包情況下，這種結(jié)構(gòu)的千兆防火墻遠(yuǎn)遠(yuǎn)達(dá)不到千兆的轉(zhuǎn)發(fā)速度(64字節(jié)包長(zhǎng)時(shí)，雙向轉(zhuǎn)發(fā)速率一般為百分之二十以下)，難以滿足千兆骨干網(wǎng)絡(luò)的應(yīng)用要求。

采用NP架構(gòu)的防火墻，各種算法可以通過硬件實(shí)現(xiàn) ，在實(shí)現(xiàn)復(fù)雜的擁塞管理、隊(duì)列調(diào)度、流分類和QoS功能的前提下，還可以達(dá)到極高的查找、轉(zhuǎn)發(fā)性能，實(shí)現(xiàn)“硬轉(zhuǎn)發(fā)”。

ASIC

純硬件的ASIC防火墻缺乏可編程性，這使得它缺乏靈活性從而跟不上防火墻功能的快速發(fā)展。雖然現(xiàn)代的ASIC技術(shù)提高了可編程性，但從開發(fā)難度、開發(fā)成本和開發(fā)周期方面看，仍然困難重重。

NP完全支持編程，編程模式簡(jiǎn)單，一旦有新的技術(shù)或者需求出現(xiàn)，可以很方便地通過微碼編程進(jìn)行實(shí)現(xiàn)。提供了更快的技術(shù)、功能跟進(jìn)和更加靈活的擴(kuò)展能力，特別是在新規(guī)格、新標(biāo)準(zhǔn)的支持上 。

網(wǎng)絡(luò)處理器(NP)是專門為處理數(shù)據(jù)包而設(shè)計(jì)的可編程處理器，能夠直接完成網(wǎng)絡(luò)數(shù)據(jù)處理的一般性任務(wù)。硬件體系結(jié)構(gòu)大多采用高速的接口技術(shù)和總線規(guī)范，具有較高的I/O能力，包處理能力得到了很大提升。網(wǎng)絡(luò)處理器一般具有以下特點(diǎn)：

網(wǎng)絡(luò)處理器主要分類

NP芯片都是由國(guó)外廠商設(shè)計(jì)制造的，從體系結(jié)構(gòu)上主要分為兩大類：

Intel

一類是以Intel 的IXP系列產(chǎn)品為代表，分為控制和處理(或稱數(shù)據(jù))兩個(gè)平面。如Intel公司的IXP1200，控制平面是一個(gè)ARM CORE，負(fù)責(zé)維護(hù)系統(tǒng)信息和協(xié)調(diào)處理部分工作，處理平面由多個(gè)微引擎(Micro Engine)和其他專用硬件組成，負(fù)責(zé)利用控制平面下發(fā)的微代碼和命令，直接處理網(wǎng)絡(luò)數(shù)據(jù)。這類產(chǎn)品在對(duì)數(shù)據(jù)包進(jìn)行簡(jiǎn)單過濾時(shí)性能較好，但是由于體系結(jié)構(gòu)限制，尤其是微代碼的開發(fā)相對(duì)復(fù)雜，導(dǎo)致靈活性較差，難以滿足復(fù)雜多變的市場(chǎng)需求，一般適合3層(IP層)及以下網(wǎng)絡(luò)數(shù)據(jù)的處理。

SiByte

另一類產(chǎn)品以 SiByte的Mercurian系列產(chǎn)品為代表，它基于MIPS CPU設(shè)計(jì)，如SB1250。它一方面保持了基于通用CPU設(shè)計(jì)的靈活性，另一方面通過SOC(System On Chip)的方式消除了傳統(tǒng)CPU、總線、設(shè)備之間帶寬的瓶頸問題。這類產(chǎn)品靈活性較強(qiáng)，易于開發(fā)、升級(jí)和維護(hù)，適于構(gòu)建速度可與專用ASIC相媲美的、完全可編程的網(wǎng)絡(luò)處理平臺(tái)。

網(wǎng)絡(luò)處理器芯片廠家

提供NP芯片的廠家有很多，基本上都符合NPF指定的規(guī)范。國(guó)內(nèi)使用比較廣泛的則是Intel公司的 IXP xxx系列，主要包括IXP4xx、IXP12xx、IXP24xx、IXP28xx等。

IXP系列NP處理器從體系結(jié)構(gòu)上看基本上都一樣，都是由一個(gè)RISC處理器加一個(gè)微引擎構(gòu)成的。其中，RISC處理器主要用于控制微引擎的運(yùn)行，所以又稱為控制層面;微引擎完成對(duì)網(wǎng)絡(luò)數(shù)據(jù)包的處理，以實(shí)現(xiàn)高性能，所以又稱為數(shù)據(jù)層面。不同IXP系列處理器的RISC型號(hào)和主頻不同，微引擎的個(gè)數(shù)也有所不同，在性能上也有很大差別。

IXP4xx　的市場(chǎng)定位主要在中低端市場(chǎng)，因此基于IXP4xx芯片做出的防火墻也主要定位在中低端市場(chǎng)中。這里需要特別提一下IXP425，它內(nèi)嵌了一個(gè)加密引擎，支持一些公開的密碼算法，如3DES、AES、MD5、SHA1，因此，許多安全廠商會(huì)使用它生產(chǎn)低端的VPN或防火墻。不過，4xx系列芯片產(chǎn)品并不能進(jìn)行微碼編程，而Intel預(yù)置的微碼又沒有完成FW/VPN的處理，使得該芯片所對(duì)應(yīng)的產(chǎn)品對(duì)IP報(bào)文的處理要通過 533MHz的Xscale來處理的，因而在性能上并沒有什么優(yōu)勢(shì)。這可能也是一些國(guó)內(nèi)廠商采取變產(chǎn)品不變價(jià)格的策略的原因。

IXP12xx　從12xx系列開始已經(jīng)可以讓軟件開發(fā)人員根據(jù)不同的應(yīng)用定制微引擎上的微碼，以實(shí)現(xiàn)不同的功能。不過由于IXP12xx其微引擎只有6個(gè)，每個(gè)微引擎上可以存儲(chǔ)條2k×32位的指令，所以該系列NP芯片只能用來做簡(jiǎn)單的包轉(zhuǎn)發(fā)處理和QoS處理，如果用作較為復(fù)雜的防火墻處理則會(huì)顯得力不從心了。因此，基于該系列NP芯片的防火墻要么性能不高，要么功能簡(jiǎn)單。

IXP24xx　從2003年開始，Intel公司推出了IXP24xx系列的網(wǎng)絡(luò)處理器，它在性能上有了質(zhì)的變化，開發(fā)起來也要復(fù)雜得多。使用它們做出的防火墻可能在單純包轉(zhuǎn)發(fā)上到達(dá)線速。

IXP28xx　IXP28xx的NP處理器從性能上比IXP24XX的性能又增加了很大，單從芯片的性能指標(biāo)上看，IXP28xx比IXP24xx更有可能做出千兆線速的網(wǎng)絡(luò)安全設(shè)備。不過，由于IXP2800板卡的設(shè)計(jì)要比IXP2400板卡設(shè)計(jì)要更加復(fù)雜，市場(chǎng)上還沒有能夠支持它得工板。

國(guó)內(nèi)有不少?gòu)S商推出了低端基于INTEL IXP 425芯片的NP防火墻，面向百兆級(jí)用戶。但NP最大的優(yōu)點(diǎn)在于在高端，425芯片百兆上的處理能力沒有同級(jí)別X86防火墻性能高。具體可以參考 INTEL官方網(wǎng)站的425芯片的技術(shù)白皮書規(guī)格。而基于2400芯片的高端NP產(chǎn)品代表了業(yè)界的最高性能。國(guó)內(nèi)最先推出的神州數(shù)碼DCFW-1800E -NP產(chǎn)品在千兆環(huán)境下的小包雙向吞吐率可以達(dá)到93%以上，真正的實(shí)現(xiàn)了骨干網(wǎng)絡(luò)的高速安全。