多核cpu下基于pf_ring和設(shè)備輪詢機(jī)制的高性能包捕獲技(已修改)
2025-01-16 11:19 本頁(yè)面
【正文】 承諾安全 承諾非凡 多核 CPU下基于 PF_RING和設(shè)備輪詢機(jī)制的高性能包捕獲技術(shù)研究 中心：北京分公司 部門(mén)：研發(fā)部 姓名：齊戰(zhàn)勝 1 美亞柏科 股票代碼： 300188 內(nèi)容提要 ? 自我介紹 ? 技術(shù)背景 ? 理論知識(shí) ? 解決方案 ? 參考資料 2 美亞柏科 股票代碼： 300188 1 自我介紹 ? 齊戰(zhàn)勝，研發(fā)部，北京分公司，軟件研發(fā)工程師 ? 主要做協(xié)議分析、還原。參與的項(xiàng)目有抽查工具、 NF7800、 NF9300、 NF9600等。 ? 為了解決 NF7800的千兆抓包問(wèn)題，開(kāi)始研究Linux下高性能抓包的解決方法。 3 美亞柏科 股票代碼： 300188 2 技術(shù)背景 被動(dòng)數(shù)據(jù)捕獲技術(shù)在網(wǎng)絡(luò)安全領(lǐng)域有著極其豐富的應(yīng)用。 如 IDS(入侵檢測(cè)系統(tǒng)）、防火墻以及一些部署在網(wǎng)絡(luò)出口的互聯(lián)網(wǎng)內(nèi)容分析系統(tǒng)等。 隨著網(wǎng)絡(luò)帶寬的增加，網(wǎng)絡(luò)傳輸速率的提高，傳統(tǒng)的數(shù)據(jù)包捕獲技術(shù)越來(lái)越不能滿足要求。本文從 Linux/Unix平臺(tái)下的 Libpcap網(wǎng)絡(luò)數(shù)據(jù)包捕獲函數(shù)庫(kù)入手，研究 Linux/Unix平臺(tái)下高性能的數(shù)據(jù)包捕獲解決方案。 4 美亞柏科 股票代碼： 300188 3 理論知識(shí) ? Libpcap簡(jiǎn)介 1)Libpcap簡(jiǎn)介 2)Libpcap工作機(jī)制 3)Libpcap抓包性能分析 ? NAPI技術(shù)簡(jiǎn)介 1)NAPI技術(shù)簡(jiǎn)介 2)NAPI工作機(jī)制 3)NAPI的性能分析 5 美亞柏科 股票代碼： 300188 Libpcap簡(jiǎn)介 Libpcap簡(jiǎn)介 Libpcap是 Unix/Linux 平臺(tái)下的網(wǎng)絡(luò)數(shù)據(jù)包捕獲的函數(shù)庫(kù)。它是一個(gè)獨(dú)立于系統(tǒng)的用戶層包捕獲 API 接口， 為底層網(wǎng)絡(luò)監(jiān)聽(tīng)提供了一個(gè)可移植的框架。 應(yīng)用： Sniffer、 Wireshark、 Snort、 Tcpdump等。 6 美亞柏科 股票代碼： 300188 LibPcap簡(jiǎn)介 ? LibPcap特點(diǎn) 1）可從以太網(wǎng)、虛擬接口等一個(gè)或多個(gè)網(wǎng)絡(luò)接口捕獲數(shù)據(jù)包； 2）平臺(tái)無(wú)關(guān)性 。 3） 具有基于 BPF的數(shù)據(jù)包過(guò)濾特性。 完善了系統(tǒng)的數(shù)據(jù)包過(guò)濾體系。 7 美亞柏科 股票代碼： 300188 Libpcap工作機(jī)制 ? Libpcap組成 Libpcap主要由兩部分組成： 網(wǎng)絡(luò)分接頭(Network Tap) 和數(shù)據(jù)過(guò)濾器 (Packet Filter)。 網(wǎng)絡(luò)分接頭從網(wǎng)絡(luò)設(shè)備驅(qū)動(dòng)程序中收集數(shù)據(jù)拷貝， 數(shù)據(jù)過(guò)濾器決定是否接受該數(shù)據(jù)包。 8 美亞柏科 股票代碼： 300188 Libpcap工作機(jī)制 ? Libpcap捕包流程 libpcap的包捕獲機(jī)制就是在數(shù)據(jù)鏈路層加一個(gè)旁路處理 。 當(dāng)一個(gè)數(shù)據(jù)包到達(dá)網(wǎng)絡(luò)接口時(shí) ， libpcap首先利用已經(jīng)創(chuàng)建的 Socket從鏈路層驅(qū)動(dòng)程序中獲得該數(shù)據(jù)包的拷貝 ， 再通過(guò) Tap函數(shù)將數(shù)據(jù)包發(fā)給 BPF過(guò)濾器 。 BPF過(guò)濾器根據(jù)用戶已經(jīng)定義好的過(guò)濾規(guī)則對(duì)數(shù)據(jù)包進(jìn)行逐一匹配 ， 匹配成功則放入內(nèi)核緩沖區(qū) (一次拷貝 )， 并傳遞給用戶緩沖區(qū) （ 又一次拷貝 ） ， 匹配失敗則直接丟棄 。 如果沒(méi)有設(shè)置過(guò)濾規(guī)則 ， 所有數(shù)據(jù)包都將放入內(nèi)核緩沖區(qū) ， 并傳遞給用戶層緩沖區(qū) 。 9 美亞柏科 股票代碼： 300188 Libpcap工作機(jī)制 ? 程序框架 /* 第一步：查找可以捕獲數(shù)據(jù)包的設(shè)備 */ device = pcap_lookupdev(errbuf)； /* 第二步：創(chuàng)建捕獲句柄，準(zhǔn)備進(jìn)行捕獲 */ p = pcap_open_live(device, 8000, 1, 500, errbuf)； /* 第三步：如果用戶設(shè)置了過(guò)濾條件，則編譯和安裝過(guò)濾代碼 */ pcap_pile(p, fcode, filter_string, 0, mask)； pcap_setfilter(p, fcode)； /* 第四步：進(jìn)入（死）循環(huán)，反復(fù)捕獲數(shù)據(jù)包 */ for( 。 。 ) { while((ptr = (char *)(pcap_next(p, hdr))) == NULL)。 /* 第五步：對(duì)捕獲的數(shù)據(jù)進(jìn)行類(lèi)型轉(zhuǎn)換，轉(zhuǎn)化成以太數(shù)據(jù)包類(lèi)型 */ eth = (struct lib_ether_hdr *)ptr。 /* 第六步：對(duì)以太頭部進(jìn)行分析，判斷所包含的數(shù)據(jù)包類(lèi)型，做進(jìn)一步的處理 */ if(ethether_type == ntohs(ETHERTYPE_IP)) ………… if(ethether_type == ntohs(ETHERTYPE_ARP)) ………… } /* 最后一步：關(guān)閉捕獲
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1