[發(fā)明專利]一種基于FPGA的網(wǎng)絡(luò)安全加速卡及加速方法

在審

• 申請(qǐng)?zhí)枺?/td>: 202010414091.9
• 申請(qǐng)日: 2020-05-15
• 公開(kāi)（公告）號(hào): CN111597142A
• 公開(kāi)（公告）日: 2020-08-28
• 發(fā)明（設(shè)計(jì)）人: 不公告發(fā)明人
• 申請(qǐng)（專利權(quán)）人: 北京光潤(rùn)通科技發(fā)展有限公司
• 主分類號(hào): G06F15/78
• 分類號(hào): G06F15/78;G06F13/28;G06F13/42
• 代理公司: 北京愛(ài)普納杰專利代理事務(wù)所(特殊普通合伙) 11419
• 代理人: 王玉松;劉燕

1.一種基于FPGA的網(wǎng)絡(luò)安全加速方法，其特征在于，包括如下步驟：

S1：接收處理器通過(guò)寫入PCIe BAR寄存器的方式寫入的首包的五元組信息、對(duì)應(yīng)的Hash值以及轉(zhuǎn)發(fā)規(guī)則，將并將五元組信息、對(duì)應(yīng)的Hash值以及轉(zhuǎn)發(fā)規(guī)則按照Hash值對(duì)應(yīng)的地址寫入到DDR內(nèi)存中，所述轉(zhuǎn)發(fā)規(guī)則包括安全策略、路由信息和處理策略；

S2：接收數(shù)據(jù)包，通過(guò)FIFO緩存所述數(shù)據(jù)包并提取所述數(shù)據(jù)包的五元組信息；

S3：將數(shù)據(jù)包的五元組信息進(jìn)行Hash哈希運(yùn)算得到五元組的Hash值；

S4：通過(guò)得到的Hash值作為地址訪問(wèn)對(duì)應(yīng)的DDR內(nèi)存，順序讀取哈希鏈表，比對(duì)存儲(chǔ)在DDR內(nèi)存中的五元組信息與接收到的是否相同，如果相同，則比對(duì)成功，在DDR內(nèi)存中提取所述Hash值對(duì)應(yīng)的轉(zhuǎn)發(fā)規(guī)則轉(zhuǎn)發(fā)通過(guò)FIFO緩存的數(shù)據(jù)包，如果不同，則讀取哈希鏈表中所述Hash值的下一個(gè)記錄，直到比對(duì)成功，如果所有的都不相同，則DDR內(nèi)存中沒(méi)有所述數(shù)據(jù)包對(duì)應(yīng)的轉(zhuǎn)發(fā)規(guī)則，將數(shù)據(jù)包作為新建五元組流的首包通過(guò)DMA的方式經(jīng)過(guò)PCIe總線下傳到主機(jī)的處理器。

2.根據(jù)權(quán)利要求1所述的基于FPGA的網(wǎng)絡(luò)安全加速方法，其特征在于，步驟S1中對(duì)應(yīng)的Hash值為處理器接收到首包后，獲取路由信息、協(xié)議狀態(tài)跟蹤信息，并提取首包的五元組信息并對(duì)五元組信息進(jìn)行Hash哈希運(yùn)算得到的五元組的Hash值，形成加速卡可以直接處理的連接轉(zhuǎn)發(fā)表項(xiàng)。

3.根據(jù)權(quán)利要求1所述的基于FPGA的網(wǎng)絡(luò)安全加速方法，其特征在于，步驟S2包括如下步驟：

S21：接收數(shù)據(jù)包，并判斷接收到的數(shù)據(jù)包是IP包還是ARP包，若是IP包，則進(jìn)行步驟S22，若是ARP包，則進(jìn)行步驟S23；

S22：通過(guò)FIFO緩存所述數(shù)據(jù)包并提取所述數(shù)據(jù)包的五元組信息；

S23：解析出數(shù)據(jù)包內(nèi)的IP地址和MAC地址，根據(jù)IP地址和MAC地址更新ARP表并將所述數(shù)據(jù)包傳遞給處理器。

4.根據(jù)權(quán)利要求3所述的基于FPGA的網(wǎng)絡(luò)安全加速方法，其特征在于，步驟S4中，在比對(duì)成功后，在ARP表中搜索相應(yīng)數(shù)據(jù)包的目標(biāo)MAC地址，并相應(yīng)的MAC地址封裝進(jìn)通過(guò)FIFO緩存的數(shù)據(jù)包中，根據(jù)轉(zhuǎn)發(fā)規(guī)則進(jìn)行轉(zhuǎn)發(fā)。

5.根據(jù)權(quán)利要求3所述的基于FPGA的網(wǎng)絡(luò)安全加速方法，其特征在于，步驟S22包括如下步驟：

S221：根據(jù)數(shù)據(jù)包的大小在加速表中搜尋相應(yīng)的FPGAID，并判斷加速表中是否有相應(yīng)的FPGAID，若有，則進(jìn)行步驟S222，若沒(méi)有，則進(jìn)行步驟S223；

S222：根據(jù)FPGAID將數(shù)據(jù)包發(fā)送至相應(yīng)的FPGA，相應(yīng)的FPGA通過(guò)FIFO緩存所述數(shù)據(jù)包并提取所述數(shù)據(jù)包的五元組信息；

S223：判斷加速卡中是否有未分配ID的FPGA，若有，則進(jìn)行步驟S224，若沒(méi)有，則進(jìn)行步驟S225；

S224：分配ID給相應(yīng)的FPGA，并根據(jù)數(shù)據(jù)包的大小生成數(shù)據(jù)范圍值與新的FPGAID相關(guān)聯(lián)存儲(chǔ)到加速表中，并更新加速表，同時(shí)，進(jìn)行步驟S221；

S225：對(duì)數(shù)據(jù)包進(jìn)行分片處理，并將分片后的每個(gè)數(shù)據(jù)包分別進(jìn)行步驟S221。