源地址過(guò)濾的軟硬件方法優(yōu)化.pdf

1、阻止惡意流量的過(guò)濾:訪問(wèn)根據(jù)字段控制列表(ACL)可以選擇性地阻斷交通IP報(bào)頭。已經(jīng)有過(guò)濾器(ACL)路由器的今天，但這是一種稀缺資源，因?yàn)樗鼈兇鎯?chǔ)在昂貴的三態(tài)內(nèi)容尋址存儲(chǔ)(TCAM)。源地址過(guò)濾是一項(xiàng)用于防止有害包進(jìn)入內(nèi)部系統(tǒng)的重要預(yù)防機(jī)制。現(xiàn)在多少網(wǎng)絡(luò)存儲(chǔ)了過(guò)濾在硬件中，比較流行的是TCAM快表，它有有限的存儲(chǔ)空間，更高的能量損耗和更高的價(jià)格。雖然軟件能夠容納大量的過(guò)濾器，但是這需要將多種訪問(wèn)邊界路由器的機(jī)制，因此邊緣路由器承載了比

2、其它路由器更多的任務(wù)。本文提出了一種基于軟件源地址的過(guò)濾方法，在我們的機(jī)制中，每個(gè)路由器只需要檢查一個(gè)源地址里面的極就可以了，相比原來(lái)需要在入口路由器進(jìn)行全方位檢查源地址不同的是:現(xiàn)我們建立新的機(jī)制讓內(nèi)外部路由器共同承擔(dān)工作。通過(guò)在路由器之間合作，實(shí)現(xiàn)了對(duì)惡意流的過(guò)濾，以防止其損害網(wǎng)絡(luò)。找到了一種合作的機(jī)制來(lái)將邊緣路由器的工作平均分布到了多臺(tái)的路由器上面，這是一種最優(yōu)化的結(jié)果。通過(guò)動(dòng)態(tài)規(guī)劃來(lái)說(shuō)明問(wèn)題是可以求出最優(yōu)化解的。使用在BRITE

3、生成的拓?fù)浣Y(jié)構(gòu)和真實(shí)的拓?fù)浣Y(jié)構(gòu)上面的仿真衡量了新算法的性能。通過(guò)與128位的IP地址在入口路由器的算法比較，新算法在單獨(dú)一臺(tái)路由器上面最多只會(huì)檢查40位，大大減少了單獨(dú)一個(gè)路由器的負(fù)擔(dān)。
　　在互聯(lián)網(wǎng)上，如防火墻會(huì)使許多網(wǎng)絡(luò)服務(wù)數(shù)據(jù)包過(guò)濾和并進(jìn)行流量計(jì)費(fèi)。使用三元的內(nèi)容可定址記憶體(的TCAM)來(lái)進(jìn)行高速分組分類已經(jīng)成為事實(shí)上的行業(yè)標(biāo)準(zhǔn)。通過(guò)比較數(shù)據(jù)包的TCAM在固定時(shí)間內(nèi)的數(shù)據(jù)包可以進(jìn)行三元并行編碼的分類規(guī)則。數(shù)據(jù)包分類規(guī)則通常

4、會(huì)指定范圍的領(lǐng)域，轉(zhuǎn)換規(guī)則，但TCAM兼容的規(guī)則可能會(huì)導(dǎo)致爆炸式增長(zhǎng)的規(guī)則數(shù)。但如果有大量的TCAM能力，這就不是一個(gè)問(wèn)題。不幸的是TCAM的能力非常有限，更多的規(guī)則意味著更多的功耗和更多的熱量生成TCAM。更糟的是，數(shù)據(jù)包分類與不斷增長(zhǎng)的迅速增加，部署在因特網(wǎng)上的服務(wù)的數(shù)目也隨之增加。要解決是TCAM范圍擴(kuò)展，因此我們初步考慮給定一個(gè)數(shù)據(jù)包分類，我們可以產(chǎn)生另一種語(yǔ)義上價(jià)的數(shù)據(jù)包分類需要TCAM條目數(shù)最少。
　　在本文中，我們提