由安全設(shè)備的演變看多核安全網(wǎng)關(guān)的優(yōu)勢(shì)
[導(dǎo)讀]隨著網(wǎng)絡(luò)及應(yīng)用的逐漸深化，信息安全設(shè)備處理能力的瓶頸逐漸突出，一些用戶甚至不得不犧牲網(wǎng)絡(luò)的安全性以滿足業(yè)務(wù)連續(xù)性的需求，這一矛盾也成為擺在安全廠商面前的新挑戰(zhàn)。網(wǎng)絡(luò)安全設(shè)備將何去何從，如何才能滿足發(fā)展
隨著網(wǎng)絡(luò)及應(yīng)用的逐漸深化，信息安全設(shè)備處理能力的瓶頸逐漸突出，一些用戶甚至不得不犧牲網(wǎng)絡(luò)的安全性以滿足業(yè)務(wù)連續(xù)性的需求，這一矛盾也成為擺在安全廠商面前的新挑戰(zhàn)。網(wǎng)絡(luò)安全設(shè)備將何去何從，如何才能滿足發(fā)展的需求?
回看網(wǎng)絡(luò)安全設(shè)備的發(fā)展歷程：1995年，CheckPoint推出了第一代基于軟件的防火墻，但是實(shí)踐證明這種技術(shù)不能適用于需要提供吞吐量保證和低延遲的網(wǎng)絡(luò)。1996年到1997年，x86架構(gòu)防火墻的出現(xiàn)，使其憑借高靈活性和擴(kuò)展性在百兆防火墻上獲得了巨大成功，同時(shí)x86防火墻相對(duì)傳統(tǒng)防火墻還具有開發(fā)、設(shè)計(jì)門檻低，技術(shù)成熟等優(yōu)點(diǎn)。但是由于x86架構(gòu)的硬件并非為了網(wǎng)絡(luò)數(shù)據(jù)傳輸而設(shè)計(jì)，缺陷也是顯而易見的：所有通過防火墻的數(shù)據(jù)包都要通過CPU去處理，它對(duì)數(shù)據(jù)包的轉(zhuǎn)發(fā)性能相對(duì)較弱，內(nèi)部交換總線則成了處理能力的瓶頸，無法適應(yīng)日益增長(zhǎng)的網(wǎng)絡(luò)性能要求。
1997年，NetScreen成功研發(fā)了ASIC防火墻。定制的ASIC防火墻與軟件解決方案相比，安全規(guī)則匹配速度和數(shù)據(jù)流查詢速度提升了幾十倍，在處理NAT和快速數(shù)據(jù)流查詢方面更是具有傳統(tǒng)防火墻無法比擬的優(yōu)勢(shì)。然而在集成了應(yīng)用層安全防護(hù)功能后，CPU的處理能力卻成為ASIC防火墻不得不面對(duì)的挑戰(zhàn)，綜合衡量ASIC不可改變和低擴(kuò)展等缺陷，ASIC防火墻難以保障用戶的應(yīng)用安全需求。
此后幾年，一些公司開始為應(yīng)用層安全嘗試使用網(wǎng)絡(luò)處理器(NP)結(jié)構(gòu)。雖然NP在可擴(kuò)展性上優(yōu)于ASIC，但是它仍然不能及時(shí)響應(yīng)今天安全需求的快速變化。由于缺乏可擴(kuò)展性和可維護(hù)性，以及高昂的成本等因素，NP結(jié)構(gòu)已經(jīng)逐漸被淘汰。
從2008年開始，多核技術(shù)開始廣泛地、頻繁的出現(xiàn)在用戶面前，由此引發(fā)了信息安全領(lǐng)域最大的變革，多核以及多線程技術(shù)的出現(xiàn)，解決了原有產(chǎn)品功能多樣性與性能不足的矛盾問題。用戶需求的不斷攀升，決定多核技術(shù)發(fā)展的不可逆轉(zhuǎn)性。多核帶來了更強(qiáng)的并行處理能力，但同時(shí)也對(duì)當(dāng)前的操作系統(tǒng)體系架構(gòu)提出了更高的要求。
如何才能發(fā)揮多核安全網(wǎng)關(guān)的真正優(yōu)勢(shì)?為此，筆者采訪了Hillstone 山石網(wǎng)科首席軟件架構(gòu)師王鐘，他表示：只是單純的把安全網(wǎng)關(guān)的CPU換成多核，操作系統(tǒng)不做變化，那多核處理器也僅僅是個(gè)擺設(shè)，設(shè)備的處理能力還是單核，因此要求軟件架構(gòu)有根本性的變化，適應(yīng)多核處理器，真正體現(xiàn)出多核安全網(wǎng)關(guān)的優(yōu)勢(shì)。另一方面，多核CPU是加速應(yīng)用層安全的利器，Hillstone 山石網(wǎng)科的設(shè)計(jì)思路是將多核與ASIC結(jié)合起來，同時(shí)再有一個(gè)穩(wěn)定的，實(shí)時(shí)的64位操作系統(tǒng)作為支撐，為用戶提供一個(gè)可升級(jí)、可擴(kuò)展、穩(wěn)定的設(shè)備，造就真正適合用戶的萬兆多核安全產(chǎn)品。
隨著應(yīng)用層網(wǎng)絡(luò)功能集成的快速發(fā)展，例如：防病毒、流量管理和上網(wǎng)行為管理等，都需要大量的CPU處理，而目前市場(chǎng)上的很多安全網(wǎng)關(guān)設(shè)備卻不能很好的支持這些功能。王鐘認(rèn)為，多核架構(gòu)必須要與軟件平臺(tái)互相配合，才能為用戶日益增長(zhǎng)的需求留出增加性能的空間。Hillstone 山石網(wǎng)科在架構(gòu)安全業(yè)務(wù)處理模型的時(shí)候，考慮的重點(diǎn)是如何使得多核處理器提供最佳的處理效率?我們通過合理安排多核的任務(wù)分工，核內(nèi)核間任務(wù)的分工以及多核的并行處理，使得整個(gè)系統(tǒng)的效率和擴(kuò)展性大幅提升。不但要具備領(lǐng)先的技術(shù)研發(fā)實(shí)力，而且要同時(shí)滿足用戶對(duì)日益增長(zhǎng)業(yè)務(wù)的安全和性能需求，這才是多核安全網(wǎng)關(guān)的真正優(yōu)勢(shì)所在。
回看網(wǎng)絡(luò)安全設(shè)備的發(fā)展歷程：1995年，CheckPoint推出了第一代基于軟件的防火墻，但是實(shí)踐證明這種技術(shù)不能適用于需要提供吞吐量保證和低延遲的網(wǎng)絡(luò)。1996年到1997年，x86架構(gòu)防火墻的出現(xiàn)，使其憑借高靈活性和擴(kuò)展性在百兆防火墻上獲得了巨大成功，同時(shí)x86防火墻相對(duì)傳統(tǒng)防火墻還具有開發(fā)、設(shè)計(jì)門檻低，技術(shù)成熟等優(yōu)點(diǎn)。但是由于x86架構(gòu)的硬件并非為了網(wǎng)絡(luò)數(shù)據(jù)傳輸而設(shè)計(jì)，缺陷也是顯而易見的：所有通過防火墻的數(shù)據(jù)包都要通過CPU去處理，它對(duì)數(shù)據(jù)包的轉(zhuǎn)發(fā)性能相對(duì)較弱，內(nèi)部交換總線則成了處理能力的瓶頸，無法適應(yīng)日益增長(zhǎng)的網(wǎng)絡(luò)性能要求。
1997年，NetScreen成功研發(fā)了ASIC防火墻。定制的ASIC防火墻與軟件解決方案相比，安全規(guī)則匹配速度和數(shù)據(jù)流查詢速度提升了幾十倍，在處理NAT和快速數(shù)據(jù)流查詢方面更是具有傳統(tǒng)防火墻無法比擬的優(yōu)勢(shì)。然而在集成了應(yīng)用層安全防護(hù)功能后，CPU的處理能力卻成為ASIC防火墻不得不面對(duì)的挑戰(zhàn)，綜合衡量ASIC不可改變和低擴(kuò)展等缺陷，ASIC防火墻難以保障用戶的應(yīng)用安全需求。
此后幾年，一些公司開始為應(yīng)用層安全嘗試使用網(wǎng)絡(luò)處理器(NP)結(jié)構(gòu)。雖然NP在可擴(kuò)展性上優(yōu)于ASIC，但是它仍然不能及時(shí)響應(yīng)今天安全需求的快速變化。由于缺乏可擴(kuò)展性和可維護(hù)性，以及高昂的成本等因素，NP結(jié)構(gòu)已經(jīng)逐漸被淘汰。
從2008年開始，多核技術(shù)開始廣泛地、頻繁的出現(xiàn)在用戶面前，由此引發(fā)了信息安全領(lǐng)域最大的變革，多核以及多線程技術(shù)的出現(xiàn)，解決了原有產(chǎn)品功能多樣性與性能不足的矛盾問題。用戶需求的不斷攀升，決定多核技術(shù)發(fā)展的不可逆轉(zhuǎn)性。多核帶來了更強(qiáng)的并行處理能力，但同時(shí)也對(duì)當(dāng)前的操作系統(tǒng)體系架構(gòu)提出了更高的要求。
如何才能發(fā)揮多核安全網(wǎng)關(guān)的真正優(yōu)勢(shì)?為此，筆者采訪了Hillstone 山石網(wǎng)科首席軟件架構(gòu)師王鐘，他表示：只是單純的把安全網(wǎng)關(guān)的CPU換成多核，操作系統(tǒng)不做變化，那多核處理器也僅僅是個(gè)擺設(shè)，設(shè)備的處理能力還是單核，因此要求軟件架構(gòu)有根本性的變化，適應(yīng)多核處理器，真正體現(xiàn)出多核安全網(wǎng)關(guān)的優(yōu)勢(shì)。另一方面，多核CPU是加速應(yīng)用層安全的利器，Hillstone 山石網(wǎng)科的設(shè)計(jì)思路是將多核與ASIC結(jié)合起來，同時(shí)再有一個(gè)穩(wěn)定的，實(shí)時(shí)的64位操作系統(tǒng)作為支撐，為用戶提供一個(gè)可升級(jí)、可擴(kuò)展、穩(wěn)定的設(shè)備，造就真正適合用戶的萬兆多核安全產(chǎn)品。
隨著應(yīng)用層網(wǎng)絡(luò)功能集成的快速發(fā)展，例如：防病毒、流量管理和上網(wǎng)行為管理等，都需要大量的CPU處理，而目前市場(chǎng)上的很多安全網(wǎng)關(guān)設(shè)備卻不能很好的支持這些功能。王鐘認(rèn)為，多核架構(gòu)必須要與軟件平臺(tái)互相配合，才能為用戶日益增長(zhǎng)的需求留出增加性能的空間。Hillstone 山石網(wǎng)科在架構(gòu)安全業(yè)務(wù)處理模型的時(shí)候，考慮的重點(diǎn)是如何使得多核處理器提供最佳的處理效率?我們通過合理安排多核的任務(wù)分工，核內(nèi)核間任務(wù)的分工以及多核的并行處理，使得整個(gè)系統(tǒng)的效率和擴(kuò)展性大幅提升。不但要具備領(lǐng)先的技術(shù)研發(fā)實(shí)力，而且要同時(shí)滿足用戶對(duì)日益增長(zhǎng)業(yè)務(wù)的安全和性能需求，這才是多核安全網(wǎng)關(guān)的真正優(yōu)勢(shì)所在。
下載文檔
