網(wǎng)絡科技瞬息萬變，使用者的需求也是日新月異。但即使在這劇變的網(wǎng)絡時代里，也有一件事無法改變，那便是信息將永無止境地激增。當前報文處理技術僅能做到信息導向的功能，而面對龐大網(wǎng)絡信息所帶來的眾多威脅與挑戰(zhàn)，無法了解報文內容的信息管理者如同霧里看花，只能利用龐大的后端芯片與軟件機制來防范潛在的風險?，F(xiàn)在，下一代的深層報文檢測(DPI，Deep Packet Inspection)解決方案，將大幅提升網(wǎng)絡以及服務器的安全性與功能，讓企業(yè)與網(wǎng)絡服務提供者創(chuàng)造更多價值。
企業(yè)市場：征服海量信息挑戰(zhàn)
隨著網(wǎng)絡技術的演進，企業(yè)對于信息安全的主要需求也逐漸不同。早期，企業(yè)著重于對抗如病毒、非法登錄等外部攻擊;而到后來則開始以使用者行為與思考為出發(fā)點，建立信息安全的機制。也就是說從當初“排除”的思維改變成“分析”的概念。
當然，除了企業(yè)信息安全的需求不斷增長之外，網(wǎng)絡威脅也是日新月異。比如說網(wǎng)絡上的威脅早已不再隨機，而變成高度目標導向，攻擊非常精準。而其方式也從單純病毒式的外部攻擊，擴張至木馬式的內部滲透。種種的威脅與挑戰(zhàn)都讓珍貴的企業(yè)信息暴露在極高的風險之中，如果通過龐大的后臺軟件來建立信息安全機制，雖然可提供一定的可靠度，但是其管理與運算成本卻是非常驚人?，F(xiàn)在，通過 DPI解決方案，企業(yè)可以精密地在每一個報文進出企業(yè)網(wǎng)絡時，深入分析了解其所內含的信息。一旦系統(tǒng)管理者能在此關鍵環(huán)節(jié)輕松掌握與分析所有的信息，那么它就如同化身為明察秋毫的海關人員般，能以非常有效率的方式，掌握所有進出的信息。
另一方面，隨著無線網(wǎng)絡接入技術的日益成熟，以及移動辦公的普及，企業(yè)對其分支網(wǎng)絡的管理難度有上了一個新的臺階。因為，傳統(tǒng)上的防護設備(如防火墻)是假設內部網(wǎng)絡是可以信賴的，只需將內部網(wǎng)絡和外部網(wǎng)絡隔開，僅開放少許端口或連接，控制以及檢測這少量的連接便可。但是這種簡單的網(wǎng)絡拓撲結構假設已經(jīng)完全不適用于當今，員工的被入侵的移動設備或者陌生訪客的臨時接入，都會給企業(yè)的網(wǎng)絡帶來不確定的風險，諸如病毒感染，木馬后門植入，甚至絕密資料的泄漏等等。面對這些企業(yè)網(wǎng)絡在內部被撕開的口子，網(wǎng)絡管理人員不能再安枕無憂。他們需要更加全面和強大的網(wǎng)絡報文管理和監(jiān)控能力。通過引入高速的DPI解決方案，檢測每一個在企業(yè)網(wǎng)內部傳遞的報文，也變得非常重要起來。
因此，DPI技術在企業(yè)市場便可產(chǎn)生許多不同的應用。除了可應用于龐大的信息安全需求之外，更可以做企業(yè)網(wǎng)絡的內容與流量控制等精密的網(wǎng)絡管理。通過DPI技術，企業(yè)將能擺脫被動的姿態(tài)，以經(jīng)濟有效的方式主動管理內外部的網(wǎng)絡信息。
圖1 深層報文檢測(DPI)大幅提升企業(yè)信息安全范疇
網(wǎng)絡服務市場：再創(chuàng)獲利高峰
從電話成功問世以來，人類社會的通訊網(wǎng)絡便以極其快速且復雜的方式拓展著，而運營商始終扮演者關鍵的角色。然而，面對目前這個高科技普及化的時代，消費者可以輕易地使用VoIP或是P2P等網(wǎng)絡協(xié)議或應用，因此光是提供清晰的語音與基礎的網(wǎng)絡服務，是無法讓消費者對運營商產(chǎn)生忠誠并貢獻獲利的。而許多如Google等在線服務提供者，也以非常精彩有效的方式，取代了早期網(wǎng)絡服務商提供的網(wǎng)絡入口信息功能。因此如何變得與眾不同，成為了當前運營商們成功營運的關鍵問題。
因此網(wǎng)絡運營商若要繼續(xù)成長，新應用開發(fā)與網(wǎng)絡通訊品質提升可以說是關鍵。近年來，許多振奮人心的網(wǎng)絡應用都已問世，但由于網(wǎng)絡速度與信息安全等條件制約，導致通訊業(yè)者難以快速導入，進而創(chuàng)造利潤。而網(wǎng)絡上如P2P等復雜且難以管理的信息交換機制，也讓網(wǎng)絡服務提供者不易保障網(wǎng)絡品質。另外，收費機制也一個令人頭痛的問題。就算推出了新的應用，但服務提供者要如何有效的得知網(wǎng)絡系統(tǒng)龐大交換信息中包含了特定的增值服務，并借此公平且輕易地向特定使用者收取增值服務費用呢?
以上這些問題，隨著高速DPI解決方案的問世，都將可以一一改善。通過高效的深層報文管理，網(wǎng)絡服務提供者可以有效掌握所有系統(tǒng)上的信息流量，進而提升QoS等機制，來有效維護網(wǎng)絡品質。而一旦能掌握每個報文的內容后，網(wǎng)絡服務提供者也能檢測到使用者目前正在使用的應用是什么，并由此開發(fā)出適合于新應用，并更有利于雙方的收費機制。
當然，在高速DPI解決方案的驅動下，傳輸?shù)膬热轃o所遁形，網(wǎng)絡服務提供者能夠更加方便地提供信息安全保障，進而提升自身服務的價值。
圖2 運營商對深層報文檢測需求日益強勁
統(tǒng)一的平臺，統(tǒng)一的特征庫
對于眾多的企業(yè)網(wǎng)絡和運營商網(wǎng)絡問題以及需求，反病毒、反攻擊、信息安全審計、業(yè)務流量管理和特定業(yè)務計費等等，它們中的幾個會同時出現(xiàn)在網(wǎng)絡當中。傳統(tǒng)辦法將其分開處理往往會帶來軟件開發(fā)、設備投資、場地占用、能源消耗以及維護工作上的巨大投入，而獲得的僅僅是低性能的系統(tǒng)，而且經(jīng)過多個設備后報文的網(wǎng)絡延時會變得相當大。這些對于現(xiàn)行的網(wǎng)絡是個可怕的負擔，也是為什么這些業(yè)務尚未完全開展起來的原因之一。
這些重要但開銷巨大的業(yè)務有很多共同之處，都需要將網(wǎng)絡報文基于網(wǎng)絡會話重整然后查閱會話的每一個字節(jié) ，也即所謂的深度報文檢測。高性能的DPI系統(tǒng)能夠將這些看似獨立卻又緊密聯(lián)系的業(yè)務引入一同統(tǒng)一的架構平臺上，大大減少了開發(fā)時間、設備、場地占用、能源消耗和維護的成本。
在DPI系統(tǒng)設計中另一個至關重要的問題就是，如何描述需要在網(wǎng)絡報文中尋找的內容。我們需要一種語言，簡單卻又靈活，并且能夠精確地將已知病毒、攻擊、敏感信息和不同網(wǎng)絡協(xié)議的特征描述出來。而正則表達式(Regular Expression)正是這樣一種語言，它能夠較為簡單地描述清楚特征，而且又不失靈活性，與它相伴而生的自動機技術(Finite Automaton)又是快速同時處理多條特性匹配的最好方式。
所以將各種業(yè)務使用到的特征用正則表達式描述出來，形成不同的正則特征庫。這些特征庫從系統(tǒng)中獨立出來，可以很容易地放入其他系統(tǒng)中重復使用，以加速新產(chǎn)品開發(fā);而且它們可以方便地更新，這樣能夠處理每月以萬記增加的病毒和攻擊特征、新增加的網(wǎng)絡協(xié)議以及經(jīng)常不定期改變的私有網(wǎng)絡協(xié)議。這種獨立的特征庫模式會催生出更多專注于特征庫開發(fā)的機構，而設備制造者們可以更加專注于其他方面的創(chuàng)造。
六百倍的效能，百分之六的耗電
LSI是業(yè)界最早涉足DPI芯片解決方案的公司之一，其Tarari系列DPI解決方案自2001年問世以來已經(jīng)得到業(yè)界領先公司的青睞，2006年推出全球首款DPI ASIC處理器，2008年又先后推出了基于最新T10技術的T1000及T2000芯片解決方案。LSI Tarari DPI處理器系列經(jīng)過了8年的發(fā)展，技術演進了5代。扎實的技術積累與眾多的商業(yè)應用案例經(jīng)驗，讓該系列處理器發(fā)展地相當成熟、更加貼近實際應用場景，而更多的前瞻性設計讓這系列方案成為DPI行業(yè)的領航者。
了解了DPI解決方案的優(yōu)勢后，我們接下來便應該思考如何規(guī)劃搭載高速DPI解決方案的高效能系統(tǒng)了。在設計系統(tǒng)時，我們需要了解LSI Tarari處理器與中央處理器的搭配關系，這是關鍵的問題。首先，我們需考慮處理器頻率與網(wǎng)絡流量搭配狀況，最好使處理器對于網(wǎng)絡流量的轉發(fā)能力以及TCP/IP流的管理能力和高速DPI芯片能夠匹配。而當我們追求更高效能時，多核處理器自然是合適的選擇，而現(xiàn)在不論是X86或是RISC架構的處理器都有豐富的多核處理器可供選擇。
通過多核處理器與LSI Tarari的組合，搭載LSI Tarari的系統(tǒng)能以非常有效率的方式發(fā)揮極大的效能。例如同樣都是3Ghz頻率的中央處理器，在使用純軟件方案與使用LSI Tarari基于ASSP(Application-specific Standard Processor)的高速DPI解決方案的對比測試中，它們處理上會有超過600倍以上的性能差距，成效可謂相當驚人。
而使用LSI Tarari處理器對系統(tǒng)在耗電上的貢獻也更是卓越。以10 Gb/s的深層報文檢測任務為例，我們將需要20組搭載Intel Xeon 3Ghz Dual-Core的系統(tǒng)來應付如此繁重的軟件解決方案，而其總耗電約為5000瓦。但是若是使用搭配LSI Tarai DPI芯片解決方案的系統(tǒng)的話，處理同樣的運算總體系統(tǒng)功耗需求僅需265瓦。也就是說，通過LSI Tarari處理器的貢獻，我們大約可以省下約94%的耗電!
綜上所述，DPI芯片解決方案是提升系統(tǒng)深層報文處理能力的理想選擇。而不論搭配的是普通處理器、多核心處理器還是網(wǎng)絡處理器，在使用了高速DPI的芯片解決方案后，我們都能輕易且大幅地提升系統(tǒng)的深層報文處理能力。
圖3 深層報文檢測解決方案可有效配合任何功能訴求的處理器
下載文檔
