[发明专利]一种提高防火墙芯片硬件加速性能的方法

摘要

本发明公开了一种提高防火墙芯片硬件加速性能的方法。该方法在防火墙芯片外部配置一个外置存储器，在该存储器中分别为连接索引表和连接表分出一块区域，并将连接索引表和连接表的基地址存放到防火墙芯片和CPU中。在CPU内存中建立连接索引表和连接表的镜像，该镜像和防火墙芯片外置存储器中的连接索引表和连接表保持同步。然后，通过防火墙芯片和CPU协同工作实现对连接索引表和连接表的访问与新建。本发明方法从根本上解决了目前硬件加速防火墙连接表项太少，并发连接数不能满足防火墙性能需求的问题。增大的连接索引表和连接表降低了连接的HASH算法冲突几率，提高了防火墙芯片处理数据包的效率。

主权项

1、一种提高防火墙芯片硬件加速性能的方法，其特征在于：首先，在防火墙芯片外部配置一个外置存储器，在该存储器中分别为连接索引表和连接表分出一块区域，并将连接索引表和连接表的基地址存放到防火墙芯片和CPU中；在CPU内存中建立连接索引表和连接表的镜像，该镜像和防火墙芯片外置存储器中的连接索引表和连接表保持同步；然后，通过下述步骤访问连接索引表和连接表：第一步，对于通过的以太网数据包，防火墙芯片从数据包中提取源IP、目的IP、源端口、目的端口、协议号5元组信息；第二步，根据数据包的5元组信息进行HASH运算；第三步，以HASH运算结果为偏移地址，加上连接索引表基地址查找防火墙芯片外置存储器中的连接索引表；如果找到的连接索引表项内容为0，则将数据包上送到CPU处理，由CPU对其进行分析和规则匹配后新建一个连接；否则，根据连接索引表项内容和连接表基地址去查找连接表；第四步，找到连接表项后，将表项的64字节读回，然后将连接表项的源IP、目的IP、源端口、目的端口、协议号与数据包的5元组相比较，如果相符则转到第六步执行，否则执行第五步；第五步，查看这个连接表项的“下一入口地址”(next_entry_addr)；如果为0，则将该数据包转送到CPU，由CPU对其进行分析和规则匹配后新建一个连接；否则根据“下一入口地址”(next_entry_addr)加上连接表基地址找到下一个连接表项，跳到第四步执行；第六步，查找到匹配的连接表项后，按照连接表标志转发数据包。