網絡處理器技術

網絡處理器器件內部通常由若干個微碼處理器和若干硬件協(xié)處理器組成，多個微碼處理器在網絡處理器內部并行處理，通過預先編制的微碼來控制處理流程。而對于一些復雜的標準操作(如內存操作、路由表查找算法、QoS的擁塞控制算法、流量調度算法等)則采用硬件協(xié)處理器來進一步提高處理性能，從而實現(xiàn)了業(yè)務靈活性和高性能的有機結合。

網絡處理器特點

并行處理器: 采用多內核并行處理器結構。片內處理器按任務大致分為核心處理器和轉發(fā)引擎。

專用硬件協(xié)處理器: 對要求高速處理的通用功能模塊采用專用硬件實現(xiàn)以提高系統(tǒng)性能。

專用指令集: 轉發(fā)引擎通常采用專用的精簡指令集，并針對網絡協(xié)議處理特點優(yōu)化。

分級存儲器組織: NP存儲器一般包含多種不同性能的存儲結構，對數(shù)據(jù)進行分類存儲以適應不同的應用目的。

高速I/O接口: NP具有豐富的高速I/O接口，包括物理鏈路接口、交換接口、存儲器接口、PCI總線接口等。通過內部高速總線連接在一起，提供很強的硬件并行處理能力。

可擴展性: 多個NP之間還可以互連，構成網絡處理器簇，以支持更為大型高速的網絡處理。 從網絡處理器以上特點可以看出，與通用處理器相比，網絡處理器在網絡分組數(shù)據(jù)處理上具有明顯的優(yōu)勢。

網絡處理器優(yōu)點

X86

基于X86架構的防火墻，由于CPU處理能力和PCI總線速度的制約 ，在實際應用中，尤其在小包情況下，這種結構的千兆防火墻遠遠達不到千兆的轉發(fā)速度(64字節(jié)包長時，雙向轉發(fā)速率一般為百分之二十以下)，難以滿足千兆骨干網絡的應用要求。

采用NP架構的防火墻，各種算法可以通過硬件實現(xiàn) ，在實現(xiàn)復雜的擁塞管理、隊列調度、流分類和QoS功能的前提下，還可以達到極高的查找、轉發(fā)性能，實現(xiàn)“硬轉發(fā)”。

ASIC

純硬件的ASIC防火墻缺乏可編程性，這使得它缺乏靈活性從而跟不上防火墻功能的快速發(fā)展。雖然現(xiàn)代的ASIC技術提高了可編程性，但從開發(fā)難度、開發(fā)成本和開發(fā)周期方面看，仍然困難重重。

NP完全支持編程，編程模式簡單，一旦有新的技術或者需求出現(xiàn)，可以很方便地通過微碼編程進行實現(xiàn)。提供了更快的技術、功能跟進和更加靈活的擴展能力，特別是在新規(guī)格、新標準的支持上 。

網絡處理器(NP)是專門為處理數(shù)據(jù)包而設計的可編程處理器，能夠直接完成網絡數(shù)據(jù)處理的一般性任務。硬件體系結構大多采用高速的接口技術和總線規(guī)范，具有較高的I/O能力，包處理能力得到了很大提升。網絡處理器一般具有以下特點：

網絡處理器主要分類

NP芯片都是由國外廠商設計制造的，從體系結構上主要分為兩大類：

Intel

一類是以Intel 的IXP系列產品為代表，分為控制和處理(或稱數(shù)據(jù))兩個平面。如Intel公司的IXP1200，控制平面是一個ARM CORE，負責維護系統(tǒng)信息和協(xié)調處理部分工作，處理平面由多個微引擎(Micro Engine)和其他專用硬件組成，負責利用控制平面下發(fā)的微代碼和命令，直接處理網絡數(shù)據(jù)。這類產品在對數(shù)據(jù)包進行簡單過濾時性能較好，但是由于體系結構限制，尤其是微代碼的開發(fā)相對復雜，導致靈活性較差，難以滿足復雜多變的市場需求，一般適合3層(IP層)及以下網絡數(shù)據(jù)的處理。

SiByte

另一類產品以 SiByte的Mercurian系列產品為代表，它基于MIPS CPU設計，如SB1250。它一方面保持了基于通用CPU設計的靈活性，另一方面通過SOC(System On Chip)的方式消除了傳統(tǒng)CPU、總線、設備之間帶寬的瓶頸問題。這類產品靈活性較強，易于開發(fā)、升級和維護，適于構建速度可與專用ASIC相媲美的、完全可編程的網絡處理平臺。

網絡處理器芯片廠家

提供NP芯片的廠家有很多，基本上都符合NPF指定的規(guī)范。國內使用比較廣泛的則是Intel公司的 IXP xxx系列，主要包括IXP4xx、IXP12xx、IXP24xx、IXP28xx等。

IXP系列NP處理器從體系結構上看基本上都一樣，都是由一個RISC處理器加一個微引擎構成的。其中，RISC處理器主要用于控制微引擎的運行，所以又稱為控制層面;微引擎完成對網絡數(shù)據(jù)包的處理，以實現(xiàn)高性能，所以又稱為數(shù)據(jù)層面。不同IXP系列處理器的RISC型號和主頻不同，微引擎的個數(shù)也有所不同，在性能上也有很大差別。

IXP4xx　的市場定位主要在中低端市場，因此基于IXP4xx芯片做出的防火墻也主要定位在中低端市場中。這里需要特別提一下IXP425，它內嵌了一個加密引擎，支持一些公開的密碼算法，如3DES、AES、MD5、SHA1，因此，許多安全廠商會使用它生產低端的VPN或防火墻。不過，4xx系列芯片產品并不能進行微碼編程，而Intel預置的微碼又沒有完成FW/VPN的處理，使得該芯片所對應的產品對IP報文的處理要通過 533MHz的Xscale來處理的，因而在性能上并沒有什么優(yōu)勢。這可能也是一些國內廠商采取變產品不變價格的策略的原因。

IXP12xx　從12xx系列開始已經可以讓軟件開發(fā)人員根據(jù)不同的應用定制微引擎上的微碼，以實現(xiàn)不同的功能。不過由于IXP12xx其微引擎只有6個，每個微引擎上可以存儲條2k×32位的指令，所以該系列NP芯片只能用來做簡單的包轉發(fā)處理和QoS處理，如果用作較為復雜的防火墻處理則會顯得力不從心了。因此，基于該系列NP芯片的防火墻要么性能不高，要么功能簡單。

IXP24xx　從2003年開始，Intel公司推出了IXP24xx系列的網絡處理器，它在性能上有了質的變化，開發(fā)起來也要復雜得多。使用它們做出的防火墻可能在單純包轉發(fā)上到達線速。

IXP28xx　IXP28xx的NP處理器從性能上比IXP24XX的性能又增加了很大，單從芯片的性能指標上看，IXP28xx比IXP24xx更有可能做出千兆線速的網絡安全設備。不過，由于IXP2800板卡的設計要比IXP2400板卡設計要更加復雜，市場上還沒有能夠支持它得工板。

國內有不少廠商推出了低端基于INTEL IXP 425芯片的NP防火墻，面向百兆級用戶。但NP最大的優(yōu)點在于在高端，425芯片百兆上的處理能力沒有同級別X86防火墻性能高。具體可以參考 INTEL官方網站的425芯片的技術白皮書規(guī)格。而基于2400芯片的高端NP產品代表了業(yè)界的最高性能。國內最先推出的神州數(shù)碼DCFW-1800E -NP產品在千兆環(huán)境下的小包雙向吞吐率可以達到93%以上，真正的實現(xiàn)了骨干網絡的高速安全。