網(wǎng)絡(luò)網(wǎng)專電防火墻面臨OC-48乃至OC-192線速轉(zhuǎn)發(fā)的挑戰(zhàn)，以及數(shù)據(jù)流深層次語義理解的挑戰(zhàn)。因此，超高性能硬件防火墻受到人們的普遍重視。聯(lián)想網(wǎng)御Super V-II采用多顆網(wǎng)絡(luò)處理器協(xié)同工作的體系結(jié)構(gòu)，可以將防火墻的處理性能提高到10Gbps以上。
多NP協(xié)同工作體制
目前國內(nèi)的NP防火墻多采用單NP架構(gòu)，這種模式無法突破單NP芯片自身的性能極限。以目前在業(yè)界比較流行的NP芯片為例，IBM 4GS3的交換能力也只有4Gbps。
網(wǎng)御Super V-II采用多NP結(jié)構(gòu)模型，主控板CPU負(fù)責(zé)控制層面的操作，業(yè)務(wù)板的NP負(fù)責(zé)數(shù)據(jù)層面操作，NP之間通過交換矩陣進(jìn)行高速通信，各業(yè)務(wù)板上的CPU仍然使用傳統(tǒng)的方式進(jìn)行通信，用戶可以根據(jù)需要選擇一塊或者多塊業(yè)務(wù)板模塊，在這種結(jié)構(gòu)模式下，防火墻的處理能力可以容易地達(dá)到4G、8G、12G甚至更高。測試表明，在兩塊NP處理板并行工作時(shí)，64字節(jié)小數(shù)據(jù)包訪問控制能力可達(dá)7Gbps，512字節(jié)以上數(shù)據(jù)包處理能力可達(dá)萬兆級(jí)。
千兆線速VPN
聯(lián)想網(wǎng)御針對高端VPN市場，推出了基于ASIC的全新的In-Line的體系架構(gòu)，在In-line體系架構(gòu)下將安全處理模塊串接在數(shù)據(jù)通路上。在Super V-II硬件架構(gòu)中，采用了完整實(shí)現(xiàn)IPSec協(xié)議的ASIC芯片，在芯片中基于硬件對IPSec協(xié)議的SA、SP查找算法進(jìn)行了優(yōu)化，實(shí)現(xiàn)了表項(xiàng)的快速定位。同時(shí)采用高速加解密引擎，使傳統(tǒng)IPSec協(xié)議實(shí)現(xiàn)中最耗資源的模塊性能有了極大的提高。在系統(tǒng)設(shè)計(jì)上，采用可插拔高速接口將ASIC安全芯片與系統(tǒng)處理器NP串接，使VPN模塊和NP之間既可以達(dá)到千兆線速，又可以按模塊化結(jié)構(gòu)靈活配置。
在實(shí)際的系統(tǒng)測試中，64字節(jié)小包，處理能力為600Kpps，1280大包達(dá)到線速。這一性能指標(biāo)使Super V-II完全有能力對骨干網(wǎng)上關(guān)鍵敏感流量的保護(hù)提供強(qiáng)有力支撐，很好地滿足了電信企業(yè)中VPN線路租賃業(yè)務(wù)、超大型跨國公司搭建全球業(yè)務(wù)網(wǎng)絡(luò)等高端用戶需求。
抗DDoS攻擊能力
Super-V II防火墻采用多NP技術(shù)、32×N個(gè)線程并行處理，將數(shù)據(jù)處理和抗DDoS攻擊能力提高了一個(gè)數(shù)量級(jí)。在整合目前已有的抗DDoS攻擊手段的基礎(chǔ)上，采用了全新的攻擊行為模式匹配算法、基于NP上專用硬件協(xié)處理器的動(dòng)態(tài)指紋校驗(yàn)、硬件流量分配機(jī)制，能夠在將攻擊流量拒之門外的同時(shí)，使真正的訪問流量可以正常通過。
Super-V II防火墻攻擊行為模式匹配算法改變了以往僅根據(jù)單個(gè)數(shù)據(jù)包或單個(gè)連接判斷攻擊流量的方式，在對數(shù)據(jù)包進(jìn)行全面的分類和統(tǒng)計(jì)后，能夠準(zhǔn)確地識(shí)別出攻擊流量。這種校驗(yàn)使用了NP上的專用硬件協(xié)處理器，對防火墻的資源占用極少，探測速度和準(zhǔn)確性都能達(dá)到很高的水準(zhǔn)。硬件流量分配可以在訪問流量超過一定閾值后，按照預(yù)設(shè)的比例將流量分配到不同的服務(wù)器上，從而保護(hù)服務(wù)器免受過大流量的沖擊，提升服務(wù)質(zhì)量和穩(wěn)定性。
通過多NP技術(shù)以及多重防御檢測機(jī)制的應(yīng)用，Super-V-II防火墻能夠有效地抵擋SYN Flood、UDP Flood、ICMP Flood和Stream Flood等大流量DDoS的攻擊。