聚焦40G和智能DPI的分組數(shù)據(jù)網(wǎng)網(wǎng)關(guān)實(shí)現(xiàn)
Linley集團(tuán)近期市場(chǎng)分析預(yù)測(cè)，在未來(lái)5年內(nèi)連接設(shè)備將增長(zhǎng)26倍。到2015年，僅智能手機(jī)出貨量就將達(dá)到6.75億，預(yù)計(jì)增長(zhǎng)2.8倍。
在同樣的時(shí)間段里，具有無(wú)線功能的移動(dòng)計(jì)算設(shè)備預(yù)計(jì)將從32%上升至65%。從應(yīng)用的角度來(lái)看，移動(dòng)視頻推動(dòng)了對(duì)帶寬和低延遲的需求，二者都是可預(yù)見(jiàn)且一致的。思科的分析表明，所有移動(dòng)數(shù)據(jù)流量中66%包含視頻內(nèi)容。隨著社會(huì)網(wǎng)絡(luò)化和以“云”為基礎(chǔ)的商業(yè)模式的發(fā)展，我們將看到在未來(lái)幾年內(nèi)基于Web和應(yīng)用的瀏覽會(huì)增加21%。這些新的市場(chǎng)需求和移動(dòng)設(shè)備中對(duì)新技術(shù)的積極采用帶來(lái)了多種技術(shù)上的垗戰(zhàn)，我們?cè)谙蚴袌?chǎng)推出新服務(wù)時(shí)必須考慮到這一點(diǎn)。
由于網(wǎng)絡(luò)復(fù)雜性的增加，帶寬匹配和計(jì)算性能的挑戰(zhàn)也在增加。它現(xiàn)在需要維持龐大的流量和迅速倍增的用戶數(shù)據(jù)量，因?yàn)樾略O(shè)備增加了許多倍。安全性也變得更加重要，因?yàn)檫B接到移動(dòng)網(wǎng)絡(luò)的更多設(shè)備、操作系統(tǒng)和應(yīng)用暴露了新的威脅。它們除了傷害個(gè)人用戶和設(shè)備外，會(huì)潛在地傷害整個(gè)網(wǎng)絡(luò)。運(yùn)營(yíng)商在發(fā)展自己的網(wǎng)絡(luò)及尋找提供具有預(yù)期安全水平的無(wú)處不在的訪問(wèn)方式時(shí)，必須考慮到所有這一切。
LTE與演進(jìn)包核心
3GPP已經(jīng)為下一代移動(dòng)基礎(chǔ)設(shè)備創(chuàng)建了架構(gòu)，稱為L(zhǎng)TE（Long Term Evolution，長(zhǎng)期演進(jìn)）。LTE為基于多個(gè)設(shè)備的網(wǎng)絡(luò)提供了網(wǎng)絡(luò)基礎(chǔ)設(shè)施和無(wú)線接口，并遷移到僅基于IP的互聯(lián)戰(zhàn)略。此IP網(wǎng)絡(luò)將提供與任何設(shè)備之間基于數(shù)據(jù)包的語(yǔ)音、視頻和內(nèi)容轉(zhuǎn)碼。支持100Mbps的LTE目前每臺(tái)設(shè)備的延遲小于10ms，將來(lái)的版本可能是這個(gè)速度的3倍。
LTE的主要功能成分是演進(jìn)包核心（Evolved Packet Core, EPC），它被構(gòu)造為一種安全的IP網(wǎng)絡(luò)，且必須提供多個(gè)當(dāng)前及傳統(tǒng)RAN的移動(dòng)性和互通性的支持。EPC有3個(gè)主要子實(shí)體。
1. MME（Mobility Management Entity，移動(dòng)管理實(shí)體）提供了用于LTE接入網(wǎng)絡(luò)的主要控制。它跟蹤負(fù)責(zé)身份驗(yàn)證、移動(dòng)性，以及與傳統(tǒng)接入2G/3G接入網(wǎng)絡(luò)的互通性的用戶設(shè)備(UE)。該MME還支持合法的信號(hào)攔截。
2.SWG（服務(wù)網(wǎng)關(guān)）路由和轉(zhuǎn)發(fā)用戶數(shù)據(jù)包，同時(shí)也作為eNodeB之間互相傳遞期間用戶平面的移動(dòng)錨，以及作為L(zhǎng)TE和其他3GPP技術(shù)的移動(dòng)性的錨。
3.PGW（分組數(shù)據(jù)網(wǎng)網(wǎng)關(guān)）管理用戶設(shè)備(UE)和外部分組數(shù)據(jù)網(wǎng)絡(luò)之間的連接。一個(gè)UE可以與訪問(wèn)多個(gè)PDN的多個(gè)PGW同步連接。PGW執(zhí)行政策的實(shí)施，為每個(gè)用戶進(jìn)行數(shù)據(jù)包過(guò)濾、計(jì)費(fèi)支持、合法攔截和數(shù)據(jù)包篩選。
分組數(shù)據(jù)網(wǎng)網(wǎng)關(guān)是推動(dòng)對(duì)處理器和帶寬性能增加需求的關(guān)鍵網(wǎng)絡(luò)元素。PGW的主要功能是UE IP地址分配、基于每個(gè)用戶的數(shù)據(jù)包過(guò)濾、深度包檢測(cè)(DPI)和合法攔截。
下圖顯示了PGW內(nèi)具備的廣泛功能和所需的軟件和協(xié)議層，以及SGW和PGW之間的一些公共層。這類功能中有些需要大量處理資源，必須能處理不會(huì)反過(guò)來(lái)影響整體網(wǎng)絡(luò)性能的吞吐量和連通性。支持這些重要功能的唯一可行方式是利用專用硬件資源。
核心網(wǎng)絡(luò)的安全性
PGW中推動(dòng)高帶寬和處理性能的功能主要是與核心網(wǎng)絡(luò)基礎(chǔ)設(shè)施中的安全要求有關(guān)的功能。其中許多（如果不是所有）功能需要10GbE以上的高帶寬接口。檢測(cè)運(yùn)行中的流量然后根據(jù)每個(gè)數(shù)據(jù)包的內(nèi)容做決定的能力，是PGW安全功能得以實(shí)現(xiàn)的技術(shù)基礎(chǔ)。這項(xiàng)技術(shù)稱為深度包檢測(cè)(DPI)，由專門(mén)的多核處理器驅(qū)動(dòng)，并配以最高可達(dá)40GbE的I/O。利用處理器之間的高速互聯(lián)是維持流量和平衡PGW平臺(tái)中的處理器利用率的另一個(gè)關(guān)鍵推動(dòng)因素。這種傳輸機(jī)制需要三層處理，利用各個(gè)處理器刀片上的40GbE接口。這種刀片處理器有一個(gè)可將特定數(shù)據(jù)包路由到專用socket和/ 或刀片內(nèi)核的協(xié)議結(jié)構(gòu)。
深度包檢測(cè)
顧名思義，DPI深度關(guān)注數(shù)據(jù)流量，并能夠讀取每一個(gè)字節(jié)，直到它可以判斷是否需要根據(jù)其預(yù)先設(shè)定的規(guī)則之一標(biāo)記任何特定數(shù)據(jù)包。DPI是一個(gè)專門(mén)的硬件和軟件組合，能夠標(biāo)識(shí)特定協(xié)議和應(yīng)用程序、不恰當(dāng)?shù)腢RL、入侵企圖和惡意軟件。在許多情況下，DPI引擎只是標(biāo)識(shí)和標(biāo)記“違規(guī)”數(shù)據(jù)包，并報(bào)告給一個(gè)更高級(jí)的應(yīng)用機(jī)構(gòu)。在某些情況下，比如入侵企圖、病毒或惡意軟件，系統(tǒng)可以采取預(yù)防性行動(dòng)來(lái)完全拒絕或阻止特定的數(shù)據(jù)包或數(shù)據(jù)流。
典型DPI系統(tǒng)的功能分為四大類：
»協(xié)議分析與應(yīng)用識(shí)別——任何DPI系統(tǒng)的基礎(chǔ)都是識(shí)別和分離多種不同協(xié)議的能力。如今的復(fù)雜DPI系統(tǒng)可以識(shí)別數(shù)百個(gè)協(xié)議，幾乎涵蓋了所有應(yīng)用和服務(wù)類型。
»防惡意軟件和反病毒防護(hù)——互聯(lián)網(wǎng)發(fā)展的副作用是嚴(yán)重的病毒和惡意軟件問(wèn)題。DPI系統(tǒng)通過(guò)與包含已識(shí)別的惡意URL和病毒簽名的廣泛數(shù)據(jù)庫(kù)作比較，可以識(shí)別并消除這些威脅。
» IDS和/或IPS——入侵檢測(cè)系統(tǒng)(IDS)和入侵防御系統(tǒng)(IPS)在許多方面是相似的，在一個(gè)關(guān)鍵方面不同。兩者都檢測(cè)未經(jīng)授權(quán)者（比如黑客）入侵企圖，但I(xiàn)DS僅僅記錄和報(bào)告，而IPS檢測(cè)到入侵時(shí)會(huì)自動(dòng)采取行動(dòng)。
» URL過(guò)濾——一個(gè)相對(duì)簡(jiǎn)單和直接的功能，將URL與已知威脅數(shù)據(jù)庫(kù)作比較，過(guò)濾并刪除潛在的威脅。難點(diǎn)在于要能夠以“線速”為數(shù)以百萬(wàn)計(jì)的URL做這一切。
鑒于PGW平臺(tái)的吞吐量需要，任何DPI引擎都必須具備檢查龐大數(shù)量的數(shù)據(jù)流和數(shù)據(jù)包的能力。這種軟件引擎本質(zhì)上是一個(gè)不斷重復(fù)的任務(wù)集，它在高度并行環(huán)境下工作，使多核架構(gòu)成為性能和可擴(kuò)展性方面的理想解決方案。這些技術(shù)的領(lǐng)先供應(yīng)商之一是Cavium Networks公司，它們提供的多核OCTEON II處理器具有內(nèi)置包檢測(cè)引擎。
Cavium Networks公司的OCTEON II
OCTEON II多核處理器系列面向高性能、高吞吐量、服務(wù)豐富的應(yīng)用。該系列的一個(gè)主要特征是它具備從1-2個(gè)內(nèi)核擴(kuò)展到32個(gè)內(nèi)核的能力，采用一個(gè)共同的軟件架構(gòu)。CN68XX處理器系列為苛刻的4G/LTE基礎(chǔ)設(shè)施應(yīng)用提供了最高的計(jì)算性能。配備20個(gè)可配置第二代SERDES、4個(gè)DDR3控制器、一個(gè)4MB的二級(jí)緩存，以及整套應(yīng)用加速解決方案，包括數(shù)據(jù)包處理、加密/解密、深度包檢測(cè)、壓縮/解壓，CN68XX提供了計(jì)算和網(wǎng)絡(luò)吞吐量處理和服務(wù)的理想組合。
OCTEON II等專業(yè)高性能芯片，是位于GPW解決方案的核心DPI引擎的理想動(dòng)力來(lái)源。軟件是下一個(gè)步驟，Cavium Networks公司為不希望一切都從頭開(kāi)始寫(xiě)的開(kāi)發(fā)商創(chuàng)建了TurboDPITM。這是一款基于網(wǎng)絡(luò)的多功能軟件平臺(tái)，旨在利用OCTEIO II處理器及其內(nèi)置的包檢測(cè)引擎。TurboDPI系統(tǒng)為四個(gè)關(guān)鍵DPI功能都提供了內(nèi)置支持：協(xié)議檢測(cè)與應(yīng)用識(shí)別、防惡意軟件和防病毒、IDS/IPS 和URL過(guò)濾。憑借對(duì)現(xiàn)成的或自定義配置文件和威脅數(shù)據(jù)庫(kù)的支持，該系統(tǒng)可以方便地進(jìn)行更新，既可手動(dòng)更新也可使用自動(dòng)分析服務(wù)（比如卡巴斯基）完成。然后，標(biāo)記為陽(yáng)性(positive)，并傳送到相應(yīng)的應(yīng)用程序（比如防惡意軟件）進(jìn)行進(jìn)一步處理。
它設(shè)計(jì)為可以方便地在多個(gè)標(biāo)準(zhǔn)規(guī)格的TurboDPI上實(shí)現(xiàn)，以便輕松地?cái)U(kuò)展平臺(tái)體系結(jié)構(gòu)，可用于跨AMC(AdvancedMC)模塊和 ATCA(AdvancedTCA)刀片系統(tǒng)設(shè)計(jì)支持。在高端產(chǎn)品上，性能是一個(gè)關(guān)鍵設(shè)計(jì)標(biāo)準(zhǔn)，而OCTEON II和TurboDPI的組合能夠以高達(dá)40Gbps的數(shù)據(jù)速率處理數(shù)據(jù)包。
Cavium Networks的解決方案的功能和性能特點(diǎn)與PGW實(shí)現(xiàn)所要求的整體能力和吞吐量，使得ATCA成為構(gòu)建這種應(yīng)用程序的理想硬件平臺(tái)。ATCA標(biāo)準(zhǔn)早已在許多不同基礎(chǔ)設(shè)施應(yīng)用領(lǐng)域建立起來(lái)，它不斷發(fā)展擴(kuò)大規(guī)范以滿足不斷擴(kuò)張的網(wǎng)絡(luò)日益增長(zhǎng)的需求。目前10Gbps能力的平臺(tái)現(xiàn)在已經(jīng)根據(jù)IEEE以太網(wǎng)修訂版802.3ba和對(duì)PICMG3.1規(guī)范的相關(guān)更新進(jìn)行了擴(kuò)展。這些新的標(biāo)準(zhǔn)使ATCA平臺(tái)一馬當(dāng)先，可以支持40Gbps的背板和能夠充分利用這些吞吐量水平的相關(guān)處理器卡。
控創(chuàng)集團(tuán)是嵌入式計(jì)算和通信技術(shù)的領(lǐng)先制造商之一，將所有這些元素結(jié)合在一起，產(chǎn)生了一個(gè)與EPC分組數(shù)據(jù)網(wǎng)網(wǎng)關(guān)的要求相匹配的平臺(tái)解決方案。 AT8242是第三代控創(chuàng)包處理器產(chǎn)品，它搭載了Cavium Networks公司的兩個(gè)CN6880 OCTEON II MIPS64數(shù)據(jù)包處理器，總共達(dá)到64個(gè)內(nèi)核。利用OCTEON II的多核優(yōu)勢(shì)，AT8242能夠?qū)崿F(xiàn)卓越的能耗比以及整體功耗優(yōu)化，同時(shí)傳播到TurboDPI提供的所有DPI功能上。網(wǎng)絡(luò)連通性和吞吐量要求與每臺(tái)支持2個(gè)20Gbps和2個(gè)10Gbps總共達(dá)60Gbps的以太網(wǎng)多層交換機(jī)的處理器的要求不相上下，帶寬容量最高可達(dá)320Gbps，并連接到可配置的40/10GbE連接的光纖接口。
為了豐富全面的PGW應(yīng)用就緒解決方案或其他4G LTE應(yīng)用，控創(chuàng)提供了兼容的40G和10G ATCA平臺(tái)。OM9141-40G和OM9141-10G是控創(chuàng)開(kāi)放式模塊化核心平臺(tái)系列的一部分。每個(gè)ATCA 14槽集成核心平臺(tái)配備了冗余電源輸入模塊、帶熱插拔冗余風(fēng)扇的冷卻基礎(chǔ)設(shè)施，以及40/10GbE交換能力和管理軟件及平臺(tái)同步接口。
對(duì)網(wǎng)絡(luò)容量不斷增加的需求所產(chǎn)生的機(jī)會(huì)是令人興奮的。我們要迎接與這些機(jī)會(huì)一起到來(lái)的挑戰(zhàn)（比如增加的安全性）。產(chǎn)生的分組數(shù)據(jù)網(wǎng)網(wǎng)關(guān)等新的網(wǎng)絡(luò)基礎(chǔ)設(shè)施和元素，來(lái)迎接幫助它們實(shí)現(xiàn)目標(biāo)技術(shù)的挑戰(zhàn)和發(fā)展。高性能和吞吐量網(wǎng)絡(luò)處理和DPI解決方案對(duì)于眾多新型網(wǎng)絡(luò)應(yīng)用和專門(mén)處理器（比如連接 40Gbps電路板的OCTEON II）將至關(guān)重要，控創(chuàng)等公司提供的系統(tǒng)平臺(tái)是領(lǐng)軍者。