你有一个跟踪狂。
他或她现在看着你。也许不是视觉,而是轻微低沉咝咝作声的声音你听到了吗?有人闻你的包。这个人需要你的独家关注,发布一个拒绝服务攻击,这样你就不会注意到任何其他粗鄙的人试图将你引入歧途。考虑你的邮件阅读;你的隐私已经死了。你可能是天才宝贝机器人不需要爱和关心的你;他们只是帮助你的真爱永远监控你所做的一切。
这是一个神奇的事情被崇拜。你一定感到很幸运。
实际上,讽刺的是,尽管这些事情可能发生,有些是黑帽的结果和一些结果的白色帽子试图从黑帽子保护你。虽然,在某种程度上,黑白色是很苍白的。
这是第一次处理问题的两篇文章围绕你的内心最深处的秘密:考试的深度数据包检测(DPI)。而基本的网络协议只处理如何获得有效载荷从这里到那里,DPI进入负载本身。就像开车沿着州际。在大多数情况下,一个军官会监控你旅行的外在抽象:你的速度。但有时你必须要引入一个检查站以确保流浪香蕉不会消灭整个国家的经济。如果有必要,他们可以执行负载检查你的车。更多的个人。
DPI上下文中我们讨论的是一个更大的主题:入侵检测和预防。这样,这是为了确保没有邪恶piggy-backers在你的包。但本身,DPI只是一种手段,观察数据包内容和可能被用于窥探和间谍活动和其他任何你能想到的做包,有或没有法院的批准。
这些文章的主题已经由几个不相关的信息。第一次是跟Netronome的Jarrod Siket ESC今年早些时候。Netronome DPI基准他们跑的结果。现在,你和我都知道,如果他们在大会上展示结果,然后他们必须赢了。没有惊喜。没有按下停止。
通常,烘烤大赛得到接近的结果,和各种参赛者争吵和愤怒为什么这个或那个不重要或不公平等等。
但这一次没有。Netronome结果大约8 x比最好的non-Netronome竞争对手。这是引人注目的。有趣的事情正在发生或已经犯下大规模舞弊。我还没有听到任何的犯规(不要哭的混淆家禽,城市越来越普遍,但是我跑题了),所以我把这个。
基准涉及一个受欢迎的DPI程序调用Snort。在由NSS实验室测试,Netronome董事会能够通过80 Gbps,涉及6000万流,半个百万的TCP和HTTP-CPS流,混合包的大小。SourceFire董事会使用Netronome 40 Gbps的技术实现。下一个竞争者,McAfee m - 8000系统(使用RMI高端处理器构建的),有超过11 Gbps,长尾下降。
所以我有最直接的问题是,是什么Netronome的技术,将看似让它扑向DPI呢?事实证明,这不是太多的问题处理DPI一样它是关于处理其他的事情好让DPI更快。事实上,进一步明确关注DPI可以提高更多的分数。但是让我们备份更加宏伟,看看这是怎么回事,根据Netronome的世界观。
在大多数情况下,包处理器适合两类。首先是网络的基本处理单元,或转专业,EZchip等公司生产的。这些都是一心一意的与一个目的:ICs路由数据包尽可能行动超常的速度一样快。他们操作模式,有一个专用的管道,可以处理一个典型的包非常迅速——所谓的“捷径”或“数据平面”——和一个单独的处理器来处理控制和古怪的包太罕见的快速路径的负担:这是“慢路径”或“控制飞机。”(是迂腐的注意,快/慢路径模型和数据/控制平面模型,严格来说,不是同构。)这些芯片是重要的获得所需的吞吐量高密度10 - 100 - gb或以太网端口。他们通常不操作上面第四层OSI模型,和许多可敬的IPv4 -优化互联网协议版本4,减少可用的IP地址,现在才准备开始失去主导地位到IPv6。
在光谱的另一端是由这样的公司更强大的芯片Cavium和昔日的RMI,现在Netlogic的一部分。这些是许多核心芯片进行了优化网络应用程序,有一些硬件加速器——比如说,调度或加密。与小型发动机组成一个转专业快捷路径,这些都是不折不扣的处理器从MIPS公司,使他们能够更大范围的职责。他们可能工作在任何OSI的水平,包括7层,达到有效载荷最私密的角落。
在中间Netronome看到房间里的东西。有许多共同的协议TCP会话管理要求,或一个给定数量的数据必须分歧大量的数据包,最终必须协调他们的顺序传送。转专业不能这么做,因为他们只看到一个包。更大的芯片可以做到,但不够快:他们的工作制服。
这是Netronome创造了“流处理器。“这是下一个抽象层次高于包:构成一系列相关的数据包流。有一个数据包和流动状态。原负载可能是跨越许多包,所以任何个人包只会部分整体负载。
尤其有关DPI,因为如果你要检查的内容是电线和传递下来的东西分解成块,一个特定的位移指示器签名可能会跨越数据包。如果你检查单个包,没有人会提高红旗。只有当你加入他们一起回来,你找到它。状态变得很重要,因为如果在一个包,你追踪可疑的东西,你想保存,作为一个国家,这样,当遇到下一个包系列(这可能不会成为下一个数据包,甚至可能不会成为下一个数据包收到特定的流程,由于数据包可以重新定购商品在飞行中),你知道继续搜索从你离开的地方。
Netronome收购他们的基本处理单元,他们叫micro-engines,从英特尔。英特尔是一个大玩家在转专业空间,结合他们的micro-engines快速路径与XScale处理器慢路径IXP家庭。他们最终出售技术,现在Netronome micro-engines。
他们使用这些micro-engines - 40他们精确的基本网络处理器体系结构和创建他们称之为他们的网络流处理器临界多边形求解()技术。而不是包信息的基本单位,现在流或会话的基本单位。他们提供加速度模块包括一个戒指和列表,凸轮和TCAM和重新排序的工作队列,内存锁定和散列。
IXP家族的一个挑战是编程模型。它需要非常乏味micro-coding micro-engines。以至于有一个公司叫Teja技术(为谁,充分披露,我工作)的业务提供一种编程模型为IXP设备(和其他转专业)基于C语言而不是微码。Teja了弧(Virage Synopsys对此收购收购),所以Netronome增加了自己的C前端允许更多的传统的编程。
问题是,这些芯片加速DPI怎么样?答案是,事实上,他们不喜欢。他们跑的烘烤大赛,他们的芯片甚至不处理DPI的东西:一个单独的主机处理器。临界多边形求解但Netronome逻辑后,没有他们的芯片,你的选择都是转专业,这不能做DPI,可以做DPI或更大的芯片,但也将背负包处理,使许多周期没有DPI处理。
非盈利芯片将这些选项的区别:他们在流数据包处理的负担水平转专业不能处理,他们只发送数据包需要DPI(或其他类型的特殊的TLC)主机处理器。这使得流管理更加高效,让更多的周期DPI的主机。结果呢?一切都运行得更快。
具体来说,在处理,在基准测试中,有几个重要的任务被执行:
- 包多路分解和分类;
- 零拷贝大块转移;
- I / O虚拟化(作为PCIe);
- 即将离任的交通管理;
- 卸载TCP;
- SSL检验;
- I / O安全和DPI。
其中,第一个四人由非盈利芯片;其余的都是由一个多核x86主机。下一个显而易见的问题是,如果我们有加速最后三个物品吗?那么明显的事情本来可以更快。
我们在本系列的下一篇文章:一种加速DPI部分。这将给我们带来更深的DPI勇气。
更多信息:Netronome网络流处理器
