唐泽坤+王修刚+宋伟+于珊珊+刘超

摘 要：本文提出了一种基于FPGA的硬件防火墙的实现方案，采用FPGA来实现百兆线速以上的防火墙设计。网络数据在建立连接跟踪后，由FPGA实现的快速处理板直接转发，实现了网络数据的线速处理，通用CPU在操作系统支持下，完成网络数据连接跟踪的创建、维护以及对网络规则表的维护等工作。

关键词：防火墙；FPGA；Verilog HDL；CPU

一、引言

防火墙是一种基本的网络防护设备。它是一种设置在内部网和外部网之间的安全网关，通过安全策略和规则来控制外部用户对内部资源的访问，使外部网和内部网之间既保持连通性，又根据规则间接交换信息。防火墙所采用的硬件设备必须满足网络处理性能的需求。在早期网络中，数据速率相对较低，协议也比较简单，因此网络设备通常以通用处理器配合分組处理软件实现。然而，随着数据速率的不断提高和协议的日益复杂，通用处理器处理能力的增长逐渐落后于数据速率的增长，因此，基于通用处理器平台的网络产品开发者遇到了性能上的障碍。

本文针对目前防火墙的设计方式提出了一种基于FPGA的硬件防火墙的实现方案，采用FPGA来实现百兆线速以上的防火墙设计。传统的基于x86等通用CPU的防火墙无法适应当前快速增长的网络速度，无法实现线速过滤与转发。本文采用FPGA结合通用CPU模式，可以快速处理网络数据，能够避免NP的不足。网络数据在建立连接跟踪后，由FPGA实现的快速处理板直接转发，实现了网络数据的线速处理。……