引言

在進(jìn)行網(wǎng)絡(luò)應(yīng)用的硬件設(shè)計(jì)時(shí)，開發(fā)者經(jīng)常會(huì)面臨將設(shè)計(jì)思想轉(zhuǎn)化為具體的硬件電路時(shí)不得不從繪制電路圖、PCB制板，元件焊接等步驟一步步來繁瑣而漫長的過程，或者只能通過工具軟件進(jìn)行模擬仿真卻無法及時(shí)進(jìn)行實(shí)際測試的情況。另外，在計(jì)算機(jī)網(wǎng)絡(luò)通信等課程的教學(xué)過程中，也存在著學(xué)生缺乏有效的實(shí)驗(yàn)手段，難以更深入了解網(wǎng)絡(luò)設(shè)備實(shí)際的工作機(jī)理的問題。為此，我們設(shè)計(jì)開發(fā)了基于FPGA、MPC860架構(gòu)的網(wǎng)絡(luò)層應(yīng)用硬件開發(fā)平臺(tái)，較好地解決了上述問題。

通過開發(fā)平臺(tái)，開發(fā)者可以實(shí)現(xiàn)數(shù)據(jù)包的分析、處理及轉(zhuǎn)發(fā)，在開發(fā)平臺(tái)之上可實(shí)現(xiàn)的主要功能包括以下幾部分：

1. 協(xié)議識別和分類：根據(jù)數(shù)據(jù)包的協(xié)議類型、端口號、目的地址、以及其它特定于協(xié)議的信息對數(shù)據(jù)包進(jìn)行識別。

2. 拆裝和重組：數(shù)據(jù)包的拆分，處理，以及為轉(zhuǎn)發(fā)而重組。

3. 排隊(duì)和接入控制： 識別出數(shù)據(jù)包之后，將這些數(shù)據(jù)包送往相應(yīng)的隊(duì)列中以進(jìn)行下一步處理，如優(yōu)先處理，流量整形等。同時(shí)，可根據(jù)某些安全接入策略進(jìn)行數(shù)據(jù)*濾，確定是繼續(xù)轉(zhuǎn)發(fā)，還是丟棄。

另外還包括流量整形和流量工程、 QoS(Quality of Service)和CoS(Class of Service)、修正數(shù)據(jù)包、差錯(cuò)檢測等。

搭建這個(gè)硬件開發(fā)平臺(tái)后，應(yīng)用開發(fā)者只需關(guān)注于核心的硬件邏輯和算法設(shè)計(jì)，可以及時(shí)地驗(yàn)證算法，*估效果，使得設(shè)計(jì)能盡快轉(zhuǎn)化為實(shí)際的電路，將在FPGA開發(fā)環(huán)境下的功能仿真、時(shí)序仿真更進(jìn)一步至實(shí)際電路的測試，極大地方便應(yīng)用開發(fā)。

通過這個(gè)硬件平臺(tái)，學(xué)生也可方便地進(jìn)行計(jì)算機(jī)網(wǎng)絡(luò)實(shí)驗(yàn)，獲取硬件開發(fā)經(jīng)驗(yàn)，提升科研能力。

2 實(shí)現(xiàn)原理

1、網(wǎng)絡(luò)設(shè)備的基本功能是實(shí)現(xiàn)網(wǎng)絡(luò)通信業(yè)務(wù)流的控制和轉(zhuǎn)發(fā)， 處于網(wǎng)絡(luò)邊緣的設(shè)備需要將來自不同物理鏈路的各種業(yè)務(wù)流復(fù)用到統(tǒng)一的傳輸鏈路上，傳統(tǒng)的方法是在網(wǎng)絡(luò)邊緣設(shè)備上采用通用的處理器來完成協(xié)議棧處理、路由選擇以及包頭的剝離等功能。隨著傳輸線速率的增加，通用處理器無法維持和傳輸速率一樣的處理速度，于是用專用芯片完成包的處理成為一種趨勢。利用專用集成電路(ASIC)來完成特定包的處理工作，性能得到很大的改善，但是ASIC缺乏靈活性給網(wǎng)絡(luò)設(shè)備的升級和功能擴(kuò)展改進(jìn)帶來很大麻煩。隨著傳輸線速的高速增長和高層協(xié)議處理日益增加的復(fù)雜度，以及各種網(wǎng)絡(luò)應(yīng)用需求的靈活多變，高速和靈活地完成各種協(xié)議層上包處理顯得更為迫切，而FPGA技術(shù)的進(jìn)步則為這種要求提供了堅(jiān)實(shí)的物理基礎(chǔ)。FPGA和MPC860組成的系統(tǒng)架構(gòu)，則同時(shí)具有通用處理器的靈活性和ASIC的高速處理的能力。

從概念上來看，以上所有的應(yīng)用都是基于如下的處理流程：物理層把來自物理介質(zhì)的光、電信號轉(zhuǎn)換成一定格式的比特流幀，幀轉(zhuǎn)交到網(wǎng)絡(luò)處理模塊。網(wǎng)絡(luò)處理模塊通過兩條通道處理數(shù)據(jù)幀，快速通道，如數(shù)據(jù)通道或者轉(zhuǎn)發(fā)通道，實(shí)現(xiàn)線速處理轉(zhuǎn)發(fā)數(shù)據(jù)幀，這部分是由FPGA完成的；慢通道，如控制通道，完成小部分?jǐn)?shù)據(jù)幀(如控制、信令、路由幀)的處理，則可由MPC860完成。

2、在這里需要討論一下為什么選擇FPGA而不是網(wǎng)絡(luò)處理器（NPU）？

網(wǎng)絡(luò)應(yīng)用中可編程解決方案主要有兩類：NPU和FPGA，兩者都是可編程的。NPU可提供以處理器為中心(即以軟件為中心)的可編程特性，而FPGA則提供以硬件為中心的可編程特性。一般而言，以軟件為中心的方法的性能低于以硬件為中心的方法。FPGA優(yōu)于NPU還體現(xiàn)在以下幾個(gè)方面：

* 深度分組處理：與需要多個(gè)NPU進(jìn)行深層分組處理的NPU解決方案不同，F(xiàn)PGA解決方案只需一塊FPGA，這是因?yàn)镕PGA中的硬件并行處理完全可以同NPU中基于RISC的處理方法相媲美。多個(gè)NPU不僅為硬件和軟件分區(qū)帶來新挑戰(zhàn)并增加了軟件的復(fù)雜度，而且還增大了系統(tǒng)延遲和功耗。

* 軟件可升級性：NPU不具備代碼復(fù)用，因?yàn)镹PU的軟件大多是不可移植的，即這些軟件是專有的匯編代碼或因定制程度過高而喪失移植性的C代碼。相反， FPGA則具有較強(qiáng)的軟件升級功能。

* 硬件可升級性：硬件的可升級特性確保了較長的產(chǎn)品壽命，因而成為可編程解決方案的一個(gè)關(guān)鍵特性。NPU只在處理器中提供可編程特性，其類似ASIC的定制硬件并不能直接進(jìn)行編程，因此它在硬件升級上的劣勢與ASIC非常相似。FPGA顧名思義就是現(xiàn)場可編程，是對數(shù)據(jù)進(jìn)行高速并行處理的理想器件，具有極強(qiáng)的靈活性和擴(kuò)展性，可輕松升級，以很好地滿足需求變化。

3、MPC860是基于PowerPC結(jié)構(gòu)的通信控制器。它不僅是集成的微處理器，而且將很多外設(shè)的功能也集成在一起。MPC860具有功能很強(qiáng)的存儲(chǔ)控制器，可以支持各種存儲(chǔ)器，包括各種新型的DRAM和Flash，并可以實(shí)現(xiàn)與存儲(chǔ)器的無縫接口。使用嵌入式操作系統(tǒng)VxWorks和開發(fā)環(huán)境Tornado進(jìn)行開發(fā)也非常方便。

之所以使用MPC860，是為了系統(tǒng)的靈活性考慮。利用它可以完成一些較復(fù)雜的算法功能，和FPGA相配合，充分發(fā)揮各自的長處，以適應(yīng)不同的網(wǎng)絡(luò)應(yīng)用。

4、在開發(fā)平臺(tái)的設(shè)計(jì)中，考慮到了系統(tǒng)的可擴(kuò)展性和靈活性，盡管FPGA內(nèi)部已有豐富的存儲(chǔ)器資源，我們?nèi)蕴貏e為FPGA配置了片外的SRAM，并在SRAM的容量上作了較大的冗余，可完成一般情況下的數(shù)據(jù)包存貯。同時(shí)考慮到FPGA處理速度的因素，SRAM的數(shù)據(jù)總線的寬度設(shè)計(jì)為64位，這樣，由FPGA進(jìn)行SRAM讀取操作時(shí)不會(huì)產(chǎn)生阻塞現(xiàn)象。

3 具體實(shí)現(xiàn)

開發(fā)平臺(tái)由以太網(wǎng)控制器（MAC），F(xiàn)PGA，SRAM，MPC860，物理層芯片，網(wǎng)絡(luò)變壓器等元器件組成，系統(tǒng)組成如圖1所示。

圖1 系統(tǒng)組成框圖

本開發(fā)平臺(tái)的硬件功能完全在一片F(xiàn)PGA中完成。從功能需求和可持續(xù)開發(fā)的角度出發(fā)，選擇了ALTERA公司的APEX20KE1500。之所以選擇APEX20KE1500，主要是因?yàn)榇诵吞柕囊?guī)模大，邏輯門達(dá)到150萬門，51840個(gè)邏輯單元（LEs）特別是其內(nèi)部可定義的存儲(chǔ)單元大，達(dá)到了442368位，可靈活地實(shí)現(xiàn)為RAM、ROM、CAM，可以滿足緩存數(shù)據(jù)包的需求，又有利于設(shè)計(jì)復(fù)雜的存儲(chǔ)、查找、比對等功能。

MAC選取了Intel的IXF440，它是一個(gè)8口10/100Mbits以太網(wǎng)控制器，用以接收和發(fā)送以太包。LXT974是4端口快速以太網(wǎng)物理層芯片，它支持IEEE802.3協(xié)議，支持10Mbps 和100Mbps應(yīng)用，提供四個(gè)獨(dú)立的MII接口。每個(gè)端口可支持雙絞線接口和連接10/100BASE-TX 或 100BASE-FX 的PECL。在本開發(fā)平臺(tái)上，使用了兩片百兆PHY芯片LXT974，這樣共可提供8個(gè)網(wǎng)絡(luò)接入端口。

4 應(yīng)用實(shí)例

利用此開發(fā)平臺(tái)可以實(shí)現(xiàn)如8口以太網(wǎng)交換機(jī)，8口以太網(wǎng)路由器，網(wǎng)絡(luò)防火墻等，在本文中將以總裝備部課題DDoS的防御為例予以介紹。

隨著網(wǎng)絡(luò)技術(shù)的發(fā)展和Internet的普及，網(wǎng)絡(luò)安全問題也日益突出。高速廣泛連接的網(wǎng)絡(luò)給大家?guī)砹朔奖?，也為分布式拒絕服務(wù)（DDoS）攻擊創(chuàng)造了極為有利的條件。DDoS攻擊已經(jīng)成為網(wǎng)絡(luò)上廣泛傳播的問題。我們在本開發(fā)平臺(tái)的基礎(chǔ)上，通過尋求一種高效、對各種DDoS攻擊都行之有效的算法，采用軟硬件相結(jié)合的方法，實(shí)現(xiàn)了實(shí)時(shí)檢測、防御DDoS攻擊的功能。

利用該開發(fā)平臺(tái)，我們用MPC860實(shí)現(xiàn)非參數(shù)的CUSUM算法，在嵌入式實(shí)時(shí)操作系統(tǒng)VxWorks及其開發(fā)環(huán)境Tornado下對MPC860進(jìn)行開發(fā)；用FPGA實(shí)現(xiàn)硬件功能，采用AHDL語言對FPGA進(jìn)行開發(fā)，在MAX＋PLUS II和Quartus II環(huán)境下對FPGA進(jìn)行調(diào)試和仿真；

根據(jù)CUSUM算法計(jì)算出判決門限，檢測出DDoS攻擊,由硬件對攻擊包進(jìn)行實(shí)時(shí)處理，采取有效措施維護(hù)網(wǎng)絡(luò)的正常運(yùn)行，消除攻擊的危害。

完整的DDoS防御系統(tǒng)置于網(wǎng)段入口，它包括了從數(shù)據(jù)接收、數(shù)據(jù)預(yù)處理、數(shù)據(jù)采集、數(shù)據(jù)運(yùn)算和處理、實(shí)時(shí)判決到最終的數(shù)據(jù)輸出這一整套步驟。數(shù)據(jù)流程見圖2。

由FPGA完成了數(shù)據(jù)包的預(yù)處理功能，包括數(shù)據(jù)包類型的讀取；源IP地址，目的IP地址的讀取、比較；數(shù)據(jù)包協(xié)議類型的提?。籌P數(shù)據(jù)包頭的奇偶校驗(yàn)；TCP/UDP數(shù)據(jù)包端口提取，檢測等。特征值的數(shù)據(jù)采樣也由FPGA完成。MPC860根據(jù)FPGA提取的特征值進(jìn)行計(jì)算產(chǎn)生判決門限和過濾規(guī)則，由FPGA根據(jù)MPC860得出的過濾規(guī)則實(shí)現(xiàn)實(shí)時(shí)的門限判決。

由于有了本開發(fā)平臺(tái)，研究小組集中精力于HDL語言和檢測算法，在較短的時(shí)間內(nèi)完成了建模和仿真，并進(jìn)行了實(shí)際的電路運(yùn)行測試，根據(jù)測試中存在的問題及時(shí)調(diào)整了硬件邏輯和算法，最終比原計(jì)劃提前半年完成了該課題的研究。

另外，該開發(fā)平臺(tái)在網(wǎng)絡(luò)課程教學(xué)中也得到了有效的應(yīng)用。在講授交換機(jī)原理，路由協(xié)議、排隊(duì)算法等課程時(shí)，讓學(xué)生對一些簡單的算法進(jìn)行硬件仿真設(shè)計(jì)，并下載至開發(fā)平臺(tái)上進(jìn)行實(shí)驗(yàn)，加深了學(xué)生對所學(xué)知識的理解，掌握了初步的硬件設(shè)計(jì)能力和設(shè)計(jì)思想，為學(xué)生的科研能力的提高打下了較好的基礎(chǔ)。