刘宝辰

0 引言

随着计算机网络带宽的迅速发展，对网络流量分析提出了新的挑战。在高速网络环境中，设计流量分析系统的关键是如何高效捕获网络数据包，即能否快速、完整地捕获到所需要的数据包，是准确分析网络数据的基础。在硬件方面，研究人员同硬件生产厂家试图通过专用硬件实现流量监测和分析。当前市场上有很多千兆以太网报文处理网卡，如Endace公司生产的DAG网卡、Liberouter 及SCAMPI 项目开发的 COMBO网卡等。但基于硬件的捕包设备价格比较昂贵，且系统缺乏一定的灵活性，难以适应当今瞬息万变的网络发展现状与具体的流量分析需求。然而使用普通PC机，基于软件进行协议处理的 TCP/IP 协议，使 CPU承担了很大负载并且无法实现多线程或多进程数据包并行处理。在高速网络中，传统的数据包捕获处理模型，已经成为整个系统的性能瓶颈，这是因为传统处理流程需要经过网络设备到系统内存空间，系统内存空间到用户应用程序空间这两次拷贝，同时用户还需要向系统发出系统调用，这需要耗费大量的系统资源。

如何用普通PC搭建廉价灵活的高速数据包捕获接口？为了解决此的问题，也不断涌现出一批优秀软件，Libpcap、Libpcap-mmap、Tcpdump、PF_RING 等。作者在分析比较后，设计修改了BCM5709C的网卡驱动使其支持PF_RING，实现了一种基于 BROADCOM 千兆网卡和 PF_RING的高速包捕获接口。实验证明，使用这种接口可以大大提高数据包的捕获速度，降低系统开销，降低硬件成本，为网络数据后续处理打下良好的基础。……