多核cpu下基于pf_ring和設備輪詢機制的高性能包捕獲技(已修改)
2025-01-16 11:19 本頁面
【正文】 承諾安全 承諾非凡 多核 CPU下基于 PF_RING和設備輪詢機制的高性能包捕獲技術研究 中心：北京分公司 部門：研發(fā)部 姓名：齊戰(zhàn)勝 1 美亞柏科 股票代碼： 300188 內容提要 ? 自我介紹 ? 技術背景 ? 理論知識 ? 解決方案 ? 參考資料 2 美亞柏科 股票代碼： 300188 1 自我介紹 ? 齊戰(zhàn)勝，研發(fā)部，北京分公司，軟件研發(fā)工程師 ? 主要做協(xié)議分析、還原。參與的項目有抽查工具、 NF7800、 NF9300、 NF9600等。 ? 為了解決 NF7800的千兆抓包問題，開始研究Linux下高性能抓包的解決方法。 3 美亞柏科 股票代碼： 300188 2 技術背景 被動數(shù)據(jù)捕獲技術在網(wǎng)絡安全領域有著極其豐富的應用。 如 IDS(入侵檢測系統(tǒng)）、防火墻以及一些部署在網(wǎng)絡出口的互聯(lián)網(wǎng)內容分析系統(tǒng)等。 隨著網(wǎng)絡帶寬的增加，網(wǎng)絡傳輸速率的提高，傳統(tǒng)的數(shù)據(jù)包捕獲技術越來越不能滿足要求。本文從 Linux/Unix平臺下的 Libpcap網(wǎng)絡數(shù)據(jù)包捕獲函數(shù)庫入手，研究 Linux/Unix平臺下高性能的數(shù)據(jù)包捕獲解決方案。 4 美亞柏科 股票代碼： 300188 3 理論知識 ? Libpcap簡介 1)Libpcap簡介 2)Libpcap工作機制 3)Libpcap抓包性能分析 ? NAPI技術簡介 1)NAPI技術簡介 2)NAPI工作機制 3)NAPI的性能分析 5 美亞柏科 股票代碼： 300188 Libpcap簡介 Libpcap簡介 Libpcap是 Unix/Linux 平臺下的網(wǎng)絡數(shù)據(jù)包捕獲的函數(shù)庫。它是一個獨立于系統(tǒng)的用戶層包捕獲 API 接口， 為底層網(wǎng)絡監(jiān)聽提供了一個可移植的框架。 應用： Sniffer、 Wireshark、 Snort、 Tcpdump等。 6 美亞柏科 股票代碼： 300188 LibPcap簡介 ? LibPcap特點 1）可從以太網(wǎng)、虛擬接口等一個或多個網(wǎng)絡接口捕獲數(shù)據(jù)包； 2）平臺無關性 。 3） 具有基于 BPF的數(shù)據(jù)包過濾特性。 完善了系統(tǒng)的數(shù)據(jù)包過濾體系。 7 美亞柏科 股票代碼： 300188 Libpcap工作機制 ? Libpcap組成 Libpcap主要由兩部分組成： 網(wǎng)絡分接頭(Network Tap) 和數(shù)據(jù)過濾器 (Packet Filter)。 網(wǎng)絡分接頭從網(wǎng)絡設備驅動程序中收集數(shù)據(jù)拷貝， 數(shù)據(jù)過濾器決定是否接受該數(shù)據(jù)包。 8 美亞柏科 股票代碼： 300188 Libpcap工作機制 ? Libpcap捕包流程 libpcap的包捕獲機制就是在數(shù)據(jù)鏈路層加一個旁路處理 。 當一個數(shù)據(jù)包到達網(wǎng)絡接口時 ， libpcap首先利用已經創(chuàng)建的 Socket從鏈路層驅動程序中獲得該數(shù)據(jù)包的拷貝 ， 再通過 Tap函數(shù)將數(shù)據(jù)包發(fā)給 BPF過濾器 。 BPF過濾器根據(jù)用戶已經定義好的過濾規(guī)則對數(shù)據(jù)包進行逐一匹配 ， 匹配成功則放入內核緩沖區(qū) (一次拷貝 )， 并傳遞給用戶緩沖區(qū) （ 又一次拷貝 ） ， 匹配失敗則直接丟棄 。 如果沒有設置過濾規(guī)則 ， 所有數(shù)據(jù)包都將放入內核緩沖區(qū) ， 并傳遞給用戶層緩沖區(qū) 。 9 美亞柏科 股票代碼： 300188 Libpcap工作機制 ? 程序框架 /* 第一步：查找可以捕獲數(shù)據(jù)包的設備 */ device = pcap_lookupdev(errbuf)； /* 第二步：創(chuàng)建捕獲句柄，準備進行捕獲 */ p = pcap_open_live(device, 8000, 1, 500, errbuf)； /* 第三步：如果用戶設置了過濾條件，則編譯和安裝過濾代碼 */ pcap_pile(p, fcode, filter_string, 0, mask)； pcap_setfilter(p, fcode)； /* 第四步：進入（死）循環(huán)，反復捕獲數(shù)據(jù)包 */ for( 。 。 ) { while((ptr = (char *)(pcap_next(p, hdr))) == NULL)。 /* 第五步：對捕獲的數(shù)據(jù)進行類型轉換，轉化成以太數(shù)據(jù)包類型 */ eth = (struct lib_ether_hdr *)ptr。 /* 第六步：對以太頭部進行分析，判斷所包含的數(shù)據(jù)包類型，做進一步的處理 */ if(ethether_type == ntohs(ETHERTYPE_IP)) ………… if(ethether_type == ntohs(ETHERTYPE_ARP)) ………… } /* 最后一步：關閉捕獲
教學課件相關推薦
鄂ICP備17016276號-1