網(wǎng)絡(luò)分流器｜10Ｇ網(wǎng)絡(luò)分流器：傳統(tǒng)產(chǎn)品與新的挑戰(zhàn)

10G網(wǎng)絡(luò)分流器：傳統(tǒng)產(chǎn)品與新的挑戰(zhàn)
網(wǎng)絡(luò)分流器（Network Distributor）是一種網(wǎng)絡(luò)流量過濾采集設(shè)備，工作在第三、四層，專門用于互聯(lián)網(wǎng)流量分析領(lǐng)域，是一種為降低后端分析而進(jìn)行流量過濾、衰減、交換和分流的設(shè)備。目前已有的戎騰網(wǎng)絡(luò)分流器包括千兆、10G（POS、WAN、LAN）、40G（POS、LAN）、100G以太網(wǎng)、PON（EPON、GPON）、WIFI、3G和LTE等。

網(wǎng)絡(luò)分流器有時候又稱為流量采集器（Traffic Collector）或者網(wǎng)絡(luò)探針（Network Probe）。
1．引言｜網(wǎng)絡(luò)分流器
10G骨干鏈路從2003年開始在運(yùn)營商部署應(yīng)用，到現(xiàn)在已經(jīng)有十多年了。10G鏈路又分為10G LAN（以太網(wǎng)）、10G POS和10G WAN。十年以前，在這類鏈路上執(zhí)行網(wǎng)絡(luò)監(jiān)控、信令分析、大數(shù)據(jù)分析、IDC防護(hù)和內(nèi)容審計對各個廠商而言都是比較大的挑戰(zhàn)，這主要是因?yàn)椋?br/>（1）當(dāng)時，10G骨干鏈路技術(shù)只掌握在路由器廠商手中，而路由器廠商相對比較強(qiáng)勢。分流器需要大容量規(guī)則、分組分流、特征模式、DNS規(guī)則、兩級表過濾、輸出QoS、動態(tài)IP監(jiān)控等特殊功能，要求硬件生產(chǎn)廠家必須深入創(chuàng)新，開發(fā)新的產(chǎn)品。但是路由器廠商認(rèn)為這是一個小眾市場，不愿意投入人員來研發(fā)，而是使用路由器（或者是經(jīng)過局部修改的路由器線卡）充當(dāng)分流器，而流量分析領(lǐng)域的廠商不具備議價和協(xié)商的能力。
（2）分析領(lǐng)域廠商本身對業(yè)務(wù)和加速能力缺乏完整理解，分析領(lǐng)域廠商擅長于從普通以太網(wǎng)網(wǎng)卡捕獲報文，然后用軟件方式進(jìn)行流重組和協(xié)議分析，其所有的技術(shù)沉淀都在X86平臺上。這類解決方案需要大量的服務(wù)器以集群方式堆積來形成完整的10G鏈路分析系統(tǒng)，性能通常不會很高。
（3）以前的服務(wù)器的處理能力有限，因?yàn)楹吮容^少，內(nèi)存訪問的延遲無法隱藏，即使經(jīng)過反復(fù)的優(yōu)化，也無法達(dá)到Gbps以上的處理性能。當(dāng)前的形勢已經(jīng)完全不一樣，分流器領(lǐng)域競爭激烈，形成了戎騰網(wǎng)絡(luò)且分析領(lǐng)域廠商經(jīng)過十年的積累已經(jīng)對業(yè)務(wù)有了較好的沉淀，敢于提出自己的需求，也深刻了解了計算負(fù)載如何在硬件和軟件之間分配。另外，服務(wù)器的流量處理能力也從300-400Mbps提高了2Gbps左右。因此，10G分流器當(dāng)前面臨著要增加新的功能、增加密度并進(jìn)一步降低成本的問題。
2．挑戰(zhàn)｜戎騰網(wǎng)絡(luò)分流器
估計目前在全國范圍三大運(yùn)營商中，骨干鏈路和骨干鏈路邊緣的10G光纖（包括10G LAN、10G WAN和10G POS）達(dá)到了萬條左右的規(guī)模。在如此多的鏈路上部署審計和信令分析系統(tǒng)，面臨一些新的挑戰(zhàn)：
（1）如何保護(hù)用戶投資并擴(kuò)展單機(jī)箱對不同鏈路的支持能力：運(yùn)營商的網(wǎng)絡(luò)是逐步建設(shè)起來的，這決定了在一個城市，鏈路種類比較多，包括2.5G、10G、40G和100G等多種。即使在10G鏈路上，又分為10G以太網(wǎng)LAN、10G以太網(wǎng)WAN和10G POS等形態(tài)。很多時候，分析廠商可能直到上線才知道鏈路層的協(xié)議類型。
（2）如何增加產(chǎn)品的密度：由于鏈路多、種類復(fù)雜，設(shè)備的密度最好比較高，體系比較小，功耗比較低。
（3）精細(xì)分流能力：能夠在流一級基于DPI（深度報文檢測）過濾掉絕大部分的流量，這樣才能有效降低后端分析服務(wù)器的負(fù)載。
（4）性價比：十年以前，分流器占到整體解決方案成本的50%，目前雖然降到了20%左右，但是成本仍然是廠家重要的考慮因素。
3．解決方案
傳統(tǒng)10G分流器一般只有簡單的協(xié)議轉(zhuǎn)換、萬條級的多元組過濾、分組分流等功能，隨著技術(shù)的發(fā)展，支持串規(guī)則、流管理、DNS規(guī)則、千萬條以上多元組規(guī)則等應(yīng)用需求被挖掘出來，需要硬件廠商具備更強(qiáng)的研發(fā)實(shí)力和技術(shù)沉淀。新型分流設(shè)備一般采用圖1所示的處理流程。
圖1 新型10G分流設(shè)備處理流程
在整個處理流程中，數(shù)據(jù)提取針對不同的鏈路執(zhí)行不同的功能，如普通以太網(wǎng)采用PHY芯片完成此功能，而POS和WAN則需要Framer。多元組過濾和內(nèi)容過濾有軟件和硬件兩種處理方式。其中內(nèi)容過濾的處理能力十分關(guān)鍵，在2.5G/s POS鏈路上最大報文吞吐率為6Mpacket/s，每一個報文的最短處理時間為167ns。10G/s POS鏈路的最大報文吞吐率為26Mpacket/s，每一個報文的最短處理時間為37ns。當(dāng)前，在高速關(guān)鍵字匹配方面，有FPGA+SRAM、TCAM以及純軟件幾種方式，分別有其相應(yīng)的優(yōu)缺點(diǎn)。使用TCAM（Ternary Content Addressable Memory）進(jìn)行關(guān)鍵字過濾具有速度快、規(guī)則動態(tài)性好等特點(diǎn)，但是由于TCAM是基于最先匹配的，即只能報告最先匹配的地址。而內(nèi)容審計和應(yīng)用行為分析是基于多匹配的，即同一個報文可能匹配多個關(guān)鍵字，且TCAM具有長度受限的特點(diǎn)。TCAM用于解決內(nèi)容模式多匹配，要解決長規(guī)則和規(guī)則存儲順序兩個問題。鏈接共享多匹配（Linking Shared Multi-Match，LSMM）是一種較好的解決方案。其基本思想是：TCAM每個表項(xiàng)由前段號和段內(nèi)容組成。若TCAM中存儲有n個表項(xiàng)，則需要在每個表項(xiàng)中擴(kuò)展位用于存儲前段規(guī)則的地址（前鏈域）。每次進(jìn)行匹配前，將要匹配的內(nèi)容前面加上前鏈域，送入TCAM器件進(jìn)行匹配。命中規(guī)則的前綴段時，需要將其記錄到存儲器中，稱之為部分命中表，記錄命中的報文位置和段索引。通過TCAM良序的規(guī)則分配方法，將規(guī)則長度任意的規(guī)則集分配存儲到TCAM中之后，則對任何匹配規(guī)則集中多個規(guī)則的報文，不會遺漏任何一次匹配。大規(guī)模流管理是另一項(xiàng)關(guān)鍵技術(shù)，好的散列方式，并在DDR的多個通道和Bank之間并行訪問存儲器，可以提高部分性能。另外，可以通過智能流表分配、無鎖定超時、多通道虛擬隊列等配套技術(shù)來提高流管理的性能。綜合考慮設(shè)備的密度、體積、功耗和成本，戎騰網(wǎng)絡(luò)的10G分流器（包括PET160A、PET160B、PET320A和PET320B）通過多元組過濾、流管理和DNS規(guī)則對報文進(jìn)行過濾，能夠執(zhí)行更精細(xì)的流量分類。PET設(shè)備采用模塊化結(jié)構(gòu)，可以擴(kuò)展子卡來增加對接口的支持能力。獨(dú)有的多鏈路協(xié)議封裝（MPE）使得數(shù)據(jù)提取模塊組件化，可以在1U機(jī)箱內(nèi)支持32個網(wǎng)口，每個網(wǎng)口可以是千兆以太網(wǎng)、2.5G POS、10G LAN、10G POS、10G WAN、40G以太網(wǎng)等不同類型，且每個接口的輸入和輸出可以完全不同，用戶可以自由配置，除40G以太網(wǎng)需要配置不同的子卡之外，其他接口都可以采用一種子卡（只需要進(jìn)行軟件配置）。圖2 PET160

圖3 PET320
這讓用戶的選擇余地更多，如果只有1-2對鏈路，可以使用PET160配置一塊子卡。如果鏈路比較多，可以選擇PET320滿配。超過PET320鏈路容量時，可以使用PET設(shè)備串接。如圖4所示，3臺PET320B可以實(shí)現(xiàn)92個接口流量的輸入，最大容量達(dá)到920Gbps。如果繼續(xù)擴(kuò)展，可以增加更多的輸入接口，且其輸入鏈路類型可以各不相同。這顯著地增加了系統(tǒng)的可擴(kuò)展性，保護(hù)了用戶的投資。
圖4 PET320串接部署

4．網(wǎng)絡(luò)分流器｜結(jié)論
在高速網(wǎng)絡(luò)環(huán)境下，隨著主干網(wǎng)絡(luò)帶寬和流量的急劇增加，復(fù)雜網(wǎng)絡(luò)應(yīng)用的層出不窮，傳統(tǒng)網(wǎng)絡(luò)IDS、內(nèi)容審計系統(tǒng)、信令分析系統(tǒng)在數(shù)據(jù)捕獲和數(shù)據(jù)處理方面面臨很大的挑戰(zhàn)。10G分流器是一個復(fù)雜的系統(tǒng)，設(shè)計和實(shí)現(xiàn)這樣的系統(tǒng)需要綜合考慮成本、體積、功耗、密度，以及所需要的精細(xì)分流功能｜戎騰網(wǎng)絡(luò)分流器