一、前言

網際協議（Internet Protocol） 是互聯網進行網際互連的基礎。隨著互聯網服務的快速發展，對網絡的安全性提出了更高的要求，如何快速有效的過濾網絡中的IP數據報文是一個始終需要解決的問題。

過濾IP數據報文是為了防止未授權用戶訪問內部網資源，同時限制網內用戶非法使用外部服務。進行過濾之后，局域網內用戶只能使用特定的服務（例如e-mail），網外的用戶也只能訪問經過授權的網內資源。由于網絡帶寬的飛速增長，傳統的基于軟件的查找算法已經不能適應網絡速度的飛速發展，迫切需要采用新的硬件過濾方法，方案之一就是采用內容可尋址存儲器TCAM（Ternary Content Addressable Memory）。

TCAM利用三個數值存儲數據‘0’ 、‘1’ 、‘X’（不關心），每一個表項都包含數值比特串和掩碼比特串。TCAM能夠在一個硬件時鐘周期內完成關鍵字的精確匹配查找，只需要輸入關鍵字的內容，TCAM就會將此關鍵字與CAM中所有的表項同時進行匹配比較，最后返回匹配表項在TCAM中所對應的地址，如果存在多個匹配表項則返回地址最低的表項。目前主流的IDS（Intrusion Detection Systems），例如Snort，可以編寫相應規則來完成實時協議分析、內容查找／匹配、對網絡上的IP包登錄進行測試等功能。我們可以把類似于Snort的規則應用到TCAM中，通過制定符合特定規則的表項，來實現IP數據報的匹配。當數據報在TCAM中能夠找到相應的匹配項時，我們即認為它是合法的，否則予以攔截并送入后臺作為異常報文處理。

為了實現快速查找，設計者必須在PCB板上添加一個獨立的TCAM器件，這會增加片間延時，同時減少PCB板上的可用空間，從而降低電路板的系統性能。因此我們采用FPGA來實現TCAM，FPGA芯片采用ALTERA公司的APEX20K1500E。

二、用FPGA實現TCAM

APEX20KE系列芯片采用嵌入式系統模塊（Embedded System Blocks）實現了片內CAM，能夠提供比傳統CAM器件更高的系統性能，同時支持Ternary CAM。其中，每個ESB能夠實現32×32的CAM模塊，級聯多個ESB可以實現更寬更深的CAM。

ALTERA公司的Megafunction庫提供了altcam Megafunction，運用Quartus軟件設計工具可以十分方便對TCAM進行讀寫操作。圖1為altcam的結構圖。

CAM可以在初始化配置時預加載默認表項，也可以在系統運行時對表項進行實時更新。在大多數情況下，寫入一個數據表項需要兩個時鐘周期，當寫入“X”（不關心）比特位時，需要三個時鐘周期。

Altera CAM有三種不同的讀模式：單匹配模式、多匹配模式和快速多匹配模式，其中單匹配模式適用于CAM里沒有多個匹配項的情況。無論工作在哪種模式下，ESB都會輸出匹配數據項的編碼地址或未編碼地址。當用未編碼地址輸出時，每條信號線對應CAM模塊里的一個表項，當輸出信號線為高時，表明對應的表項和輸入數據匹配（例如，假如地址為15的表項數據匹配，則mbit［14］輸出高電平）。通常情況下，在一個時鐘周期內每個ESB最多完成16個表項的比對，因此在多匹配模式下，需要兩個時鐘周期才能完成CAM模塊里所有表項的比

對。而快速多匹配模式僅使用每個ESB的一半空間（即16個表項），因此一個時鐘周期就可以輸出匹配表項的地址，大大提高了查找速度，但同時也耗費了大量的存儲空間，限制了CAM

的總容量。圖4展示了多匹配模式下的功能仿真波形圖。

三、制定CAM表項規則

考慮到報頭里包含了報文的地址和控制信息，我們可以從報頭中提取某些域的值作為TCAM的匹配關鍵字。圖5給出了CAM表項的一種配置方案。由于規則的不同，大多數的表項都

存儲了大量的“X”（不關心）比特位，這是因為：

◆ 并不是IP數據報中所有對應域都需要同表項進行匹配。比如要攔截特定主機的IP包時，僅僅匹配源IP地址就足夠了。

◆ 有時IP地址并不是指定一個特定的主機，而是代表一個網絡或者一個包含多臺主機的子網，這意味著表項的某些比特位必須是“X”（不關心）。

在CAM中能夠找到相應的匹配項時，輸入數據報可以順利通過，否則予以攔截并作為非法報文處理。由于只需判斷CAM里是否有匹配表項，而不關心具體表項的地址，因此存在多個匹配表項并不會影響比對的結果。在圖5中，由于在CAM里找不到匹配表項，源地址為192.168.1.10的主機不能進行Telnet（23）服務。

雖然Snort給出了超過1400條配置規則，但通常并不需要同時應用所有的規則。Y. H. Cho提出了一種包含105條規則的IDS［3］，因此大小為128×128的CAM足以滿足絕大多數的需要。另外為了有效地進行比對，路由器輸入端送來的報文要暫存在SRAM當中，管理這些報文需要對報文進行有效的地址分配，以便對報文進行相應處理。

四、動態管理FPGA

為便于管理和動態更新，FPGA不僅要肩負對輸入報文進行分類、過濾、提取關鍵字、進行高速查找等工作，還必須制定專門的通信模塊負責與主控單元（實際采用MPC860）進行通信。通信模塊起到對下進行數據接收，對上進行狀態報告的橋梁作用，是主控單元同FPGA進行通信的接口，主要實現以下功能：

1、 監控系統的硬軟復位信號，從而對整個系統進行復位。

2、 向主控單元發送狀態報告。主要由主控單元請求獲得，從而能夠實時監控系統各模塊的工作狀態。

3、 將FPGA系統劃分為正常工作模式和測試模式。FPGA存在兩種工作模式，一種是正常工作模式，另一種是測試模式；在正常工作模式情況下，系統正常接收網絡中的數據報文；測試模式條件下，系統處于測試狀態，可以將內部測試信號送出以達到快速調試的目的。

4、 向主控單元提供錯誤報告。系統內部對一些關鍵部分設定監控程序，一旦有問題出現將迅速將錯誤信息傳送給主控單元，從而方便對故障的檢測。

5、 將主控單元的命令信息轉發給相應模塊，實現FPGA的動態更新。這樣可以根據實際需要動態更新TCAM的表項，改變IP報文過濾規則。

五、總結

采用基于FPGA的CAM進行IP數據報文過濾是一種理想的選擇。由于關鍵性的功能（搜索CAM）和一些非關鍵性的功能（改變CAM內容）分別在硬件和軟件中實現，因此該設計具有高度靈活性，同時比純軟件過濾有更快的處理速度，在實際中可達到800Mbit/s.

表項寬度可變的CAM能夠很好的應用Snort規則進行字符串匹配，同時可通過軟件進行動態更新。此外，CAM模塊大約只耗費了FPGA一半的存儲資源，可以根據需要在FPGA內整合相關功能邏輯電路擴充電路功能。

責任編輯：gt