景 阳 卢子晋 姜海洋 张广兴 曾 彬

1.江苏省未来网络创新研究院；2.吉林大学通信工程学院；

3.中国科学院计算技术研究所；4.湖南友道信息技术有限公司

0 引言

为了监测和防御网络入侵行为，网络中部署了大量的安全设备，如网络流量分析（Network Traffic Analysis，NTA）系统、入侵防御检测系统、防火墙等。随着网络带宽的快速增长，安全设备面临严峻的性能挑战。目前针对网络安全设备性能提升及扩展性问题的研究，大多集中在算法优化层面，如针对硬件资源的调度算法优化、针对具体业务层面的算法优化等，但是在生产环境中，所有资源都接近满负荷运行的情况下，各种调度算法就不能很好地发挥效果了。本研究以江苏省未来网络创新研究院建设的未来网络实验设施（China Environment for Network Innovations，CENI）中的NTA 系统为例，分析如何在多核、众核处理器上获得可扩展的流量处理能力。NTA 的系统架构是典型的安全设备系统架构，本研究通过分析NTA 的业务特性和使用场景，得出影响NTA 系统处理能力扩展性的两个主要方面：硬件层面的资源竞争问题和软件层面的资源竞争。然后从硬件和软件两个层面对NTA 系统的性能扩展性提出相应的优化方法。通过该方法，CENI 网管的NTA 探针子系统获得了200 Gbps 的处理能力。本研究提出的方法同样也可以应用到防火墙、入侵防御、入侵检测等安全设备中。

1 相关工作

在硬件层面，影响NTA 系统处理能力及扩展性的主要是处理器、三级缓存、内存、PCIe 网卡的工作方式。这些硬件之间的协作关系如图1 所示。……