基于DPDK的流量动态负载均衡方法

随着互联网技术的不断发展,数据中心网络以及国家骨干网络的流量规模也在不断增长,大规模的流量以及无用的恶意流量对多核处理器的负载均衡有着很大的影响,所以对于多核处理器来说,负载均衡是一个亟待解决的问题.本文提出了一种基于DPDK平台的动态多重Hash的技术来更好地解决在多核处理器中流量分配不均衡的问题.文章中对现有的RSS等相关技术进行分析,通过采用对称RSS技术与动态负载相关技术相结合的方法,将捕获的数据包发配到不同的收包队列,实现处理器多核间的负载均衡.     

软件定义车辆网络中自适应负载均衡路由算法

城市交通车辆密度高,为解决车辆通信过程中,数据包转发时中继节点负载分配不均衡、限制车联网中吞吐量等性能问题,本文提出在基于软件定义的移动自组网络架构中引入强化路由,来自适应学习负载分配决策,根据邻居节点的带宽状态学习负载分配收益;通过强化学习构建状态-策略表,使节点在不同状态下进行带宽分配决策,最终实现SDN数据层内的车辆相互协调,寻找最优路径。仿真结果表明,该算法可实现网络负载的均衡分配。与传统的路由算法相比,当车辆数为300辆时,该算法的丢包率可低至20%以下,端到端时延低于4 s,网络能量消耗更加均衡。     

网络处理器在并行入侵检测系统中的应用研究

高速网络下实时、高效检测入侵行为是目前网络安全领域研究的热点和难点之一.文中利用网络处理器进行快速流量采集、无payload数据的预过滤和面向会话的动态负反馈负载均衡算法的分流转发,采用主机阵列分别进行带payload的数据包内容检测,研究并实现了一种基于网络处理器的并行入侵检测系统.实验测试验证了系统的有效性和可行性.     

多核处理器中任务调度与负载均衡的研究

针对多核处理器系统的特点,对任务分配及调度模型进行改进,提高各处理器相对均衡负载度,并在此基础上提出一种均衡种群遗传算法（BPGA）．算法在任务节点的高度约束条件下,达到任务节点在处理核上随机分配,而任务节点数均衡分配．采用随机生成图法进行模拟实验,与其他算法相比,BPGA算法有更小的调度长度和较少的执行时间．     

网络入侵中未知协议识别单元的设计与测试

为了提高复杂环境下的网络安全性,设计并实现了一种网络入侵中未知协议识别单元。系统通过网络入侵检测模块对网络入侵进行检测并过滤,使得未知协议识别单元的设计不受网络入侵的干扰。利用流量采集模块对网络节点的网络流量进行采集,为后续阶段提供完整的网络数据包以及充分的数据分析样本,将采集的网络数据包以指针的形式返回,发送至流量调度模块。通过流量调度模块将网络数据包的源IP地址作为调度参数,依据用户自定义调度算法将网络数据包传输至指定识别模块,实现整个网络入侵中未知协议识别单元的负载均衡。利用规则匹配模块将从流量调度模块接收到的信息和协议特征库进行匹配,从而实现未知协议的识别。软件设计过程中,对网络入侵中未知协议识别单元进行了详细分析,并给出了网络入侵中未知协议识别的程序代码。仿真实验结果验证了该系统的可行性和实用性。     

IPv6隧道代理机制研究

IPv6隧道代理机制是一种重要的IPv4/IPv6过渡技术,但存在不足和不够完善的地方.首先,它不支持NAT(网络地址翻译)用户;其次,该机制没有为实现隧道服务器负载均衡提供一种具体的调度方案.本文修改了代理服务器和隧道服务器的功能,解决了其不支持NAT用户的问题;并提出一种加权最少隧道调度算法,仿真实验表明它比通用调度算法更有效地实现了隧道服务器负载均衡.     

一种基于信号机制的能量感知地理路由算法

在实际的无线传感器网络中,由于路由空洞的存在,采用边缘转发机制的地理路由算法容易使空洞边缘的节点由于负载较重,能量快速消耗从而过早的死亡,导致空洞进一步的扩大．为了使网络负载更加均衡,延长网络生命周期,提出了一种基于能量信号机制的地理路由算法SIENGR ．SIENGR将节点的初始能量划分3个能量区间,并用能量信号来标识节点的剩余能量所处的能量区间．SIENGR算法的边缘转发机制结合节点的能量信号,利用空洞边界节点的所有平面邻居节点来轮流承担边缘转发的数据量,使产生的路由能够根据节点能耗的情况,自适应地避开空洞边缘能量较少的热区节点,均衡热区附近节点的能量消耗,防止空洞扩大．仿真结果验证了SIENGR算法在网络生命周期、网络能耗均衡、数据包到达率等指标上的性能．     

面向数据中心网络的分布式负载均衡网关架构

为满足数据中心网络在高并发量、低尾延时等性能上的需求,提出一种面向数据中心网络的分布式负载均衡网关架构。该新型网关架构主要包括资源池化汇聚算法、优先调度算法和动态负载均衡算法等3个核心算法模型。基于该架构,借助现场可编程门阵列(FPGA)实现智能网关的整体设计。通过第三方测试,基于分布式负载均衡网关架构的智能网关可针对数据包的关键信息实现灵活、可扩展的负载均衡,线速可达9.4 Gbps(不丢包),线速为10 Gbps的丢包率约5%,端口时延为2 μs。与通用的负载均衡方案(软件负载均衡与硬件负载均衡)相比,分布式负载均衡网关架构采用基于数据包优先调度的负载均衡策略和硬件存储资源智能“池化”的流量管理,保障了数据中心网络系统中百万级数据流的高效分发,提升高并发量、低时延应用的性能。在面向百万条并发情况下,网络链路响应尾延时小于60 ms。     

基于网络处理器路由转发的微码设计技术研究

针对网络技术和通信技术的飞速发展对路由器等网络核心设备的带宽和业务多样性提出了全新要求的问题,提出了一种基于网络处理器的多协议路由转发设计方案。该方案采用一款异构的网络处理器,结合IPv4、IPv6和MPLS(Muxtiprotocol Label Switch)路由转发规则,将路由转发任务合理分解到该网络处理器的四类微引擎上。实验结果证明,此实现方法能同时实现支持以上三种协议的路由转发应用,且能获得10Gbps线速级别的转发效率,满足人们对接入层面的路由转发需求。     

基于强化学习的IPv6校园网双栈流量调度方法

由于传统方法在IPv6校园网双栈流量调度应用中效果不佳,网络吞吐率比较低,文章提出基于强化学习的IPv6校园网双栈流量调度方法,利用无向图建立IPv6校园网双栈链路拓扑模型,描述双栈链路负载均衡状态,以负载均衡度最大化、双栈链路路径长度最小化为目标建立目标函数,利用强化学习网络模型对目标函数求解,将最优调度策略反馈到模型中执行,以此实现基于强化学习的IPv6校园网双栈流量调度。实验证明,在设计方法应用下IPv6校园网吞吐量达到141.02 Gbps,在IPv6校园网双栈流量调度具有良好的应用前景。     

BE12000系列IPv6核心路由器的研制

随着互联网的不断发展,IPv6核心路由器成为下一代互联网的核心技术之一,集中体现了网络互联的关键技术及其发展方向.清华大学和清华紫光比威网络技术有限公司联合开发了具有完全自主知识产权的IPv6核心路由器.该路由器基于分布式的多处理器平台,采用可扩展路由器操作系统BWOS,支持IPv6和IPv4双协议栈,实现了多种网络接口下的高速分组转发功能,并通过硬件冗余和软件状态备份技术实现了路由器系统的高可用性.该IPv6核心路由器的研制成功,为我国建立自主知识产权的下一代互联网提供了网络核心设备,为我国网络安全的建设提供了保障.     

基于IXP2400网络处理器的网络防护系统设计和实现

网络处理器是专门用来执行数据处理和转发的高速可编程处理器,随着网络的飞速发展,网络处理器在网络交换及网络通信设备中的应用必将越来越广泛。IXP2400是Intel公司新推出的第二代网络处理器产品。首先根据当今网络的发展趋势,引入了IPv6的概念,针对新协议对网络安全的需求,提出了设计IPv6 / IPv4网络防护系统的必要性;同时,在详细介绍Intel IXP2400网络处理器硬件组成和结构的基础上,阐明了在IXP2400上实现IPv6 / IPv4网络防护系统的可能性。接着分析了在网络处理器上实施安全策略的一般方法,并针对其不足提出一个改进的系统设计方案,建立系统的软硬件结构模型,并对具体实现进行了详尽阐述。最后总结评估了整个系统的特性和能够实现的功能。     

Load Balancing for Parallel Forwarding

Workload distribution is critical to the performance of network processor based parallel forwarding systems. Scheduling schemes that operate at the packet level, e.g., round-robin, cannot preserve packet-ordering within individual TCP connections. Moreover, these schemes create duplicate information in processor caches and therefore are inefficient in resource utilization. Hashing operates at the flow level and is naturally able to maintain per-connection packet ordering; besides, it does not pollute caches. A pure hash-based system, however, cannot balance processor load in the face of highly skewed flow-size distributions in the Internet; usually, adaptive methods are needed. In this paper, based on measurements of Internet traffic, we examine the sources of load imbalance in hash-based scheduling schemes. We prove that under certain Zipf-like flow-size distributions, hashing alone is not able to balance workload. We introduce a new metric to quantify the effects of adaptive load balancing on overall forwarding performance. To achieve both load balancing and efficient system resource utilization, we propose a scheduling scheme that classifies Internet flows into two categories: the aggressive and the normal, and applies different scheduling policies to the two classes of flows. Compared with most state-of-the-art parallel forwarding schemes, our work exploits flow-level Internet traffic characteristics.     

DHCPv6 Relay报文转发功能实现研究

IPv6可以解决当前地址资源匮乏问题,而动态主机配置协议能够实现IPv6地址参数配置的自动化,降低维护人员的劳动强度.基于rfc3315区分不同类型的DHCPv6报文,对13种报文类型的中继过程做出相应处理.在路由器设备上实现中继配置功能和报文转发功能,使客户端即插即用.客户端和服务器不在同一链路时,中继代理有效解决地址配置问题,使IPv6地址成功申请.     

IPv6网络协议中分段机制安全问题的研究

以开源Snort 平台为基础,探讨IPv6网络的分组分段机制,对利用IPv6分组分段来攻击网络的行为进行了研究。针对其中IPv6过小分组分段、重叠分段等问题提出了相应的应对措施,设计并实现了针对分段漏洞进行检测的入侵检测机制。通过实验表明,所设计的入侵检测机制能够检测相关异常的IPv6分段分组,对Snort支持IPv6功能进行了改进和优化。     

邻居发现协议在基于FPGA的IPv6 over AOS网关上的实现

针对IPv6协议接入空间通信网络的需求,重点讨论了邻居发现协议(NDP)在基于现场可编程门阵列(FPGA)的IPv6 over CCSDS-AOS网关上的实现。在IPv6 over CCSDS-AOS网关系统上搭建NDP协议模块,实现网关地址解析;通过状态机控制实现NDP协议模块功能。实验表明,该设计解决了IPv6 over CCSDS-AOS网关主动和被动地址解析以及邻居缓存表查找和管理问题,不需要网关对NDP进行协议转换和转发。目前已在IPv6 over CCSDS-AOS网关中应用。     

基于实时数据转发系统的资源参数优化

为了应对实际的业务应用需求,在一定程度上提高网络带宽利用率,在一般实时数据转发系统（RTDFS）的基础上．针对该类系统,提出了优化TCP链路和转发缓冲区取值的方法。主要根据转发系统的网络链路状况,以及实时数据到达转发系统的特征,利用排队论的相关理论建立相应的数学模型,并利用影响TCP传输吞吐量的主要参数,计算出系统运行服务器中最佳的转发缓冲区大小和并行的线程数量。实际系统的实现结果表明,标称带宽为2M,实时数据记录端到实时数据转发端的往返时延约为2ms。实时数据转发端到集控中心服务器的往返时延约为154ms的情况下,转发端的缓冲区无限大、多线程个数为4时,系统运行带宽利用率能达到90％以上,并且验证了该数学模型的理论计算。     

Routing with a clue

We suggest a new simple forwarding technique to speed up IP destination address lookup. The technique is a natural extension of IP, requires 5 bits in the IP header (IPv4, 7 in IPv6), and performs IP lookup nearly as fast as IP/Tag switching but with a smaller memory requirement and a much simpler protocol. The basic idea is that each router adds a "clue" to each packet, telling its downstream router where it ended the IP lookup. Since the forwarding tables of neighboring routers are similar, the clue either directly determines the best prefix match for the downstream router, or provides the downstream router with a good point to start its IP lookup. The new scheme thus prevents repeated computations and distributes the lookup process across the routers along the packet path. Each router starts the lookup computation at the point its upstream neighbor has finished. Furthermore, the new scheme is easily assimilated into heterogeneous IP networks, does not require routers coordination, and requires no setup time. Even a flow of one packet enjoys the benefits of the scheme without any additional overhead. The speedup we achieve is about 10 times faster than current standard techniques. In a sense, this paper shows that the current routers employed in the Internet are clue-less; namely, it is possible to speed up the IP lookup by an order of magnitude without any major changes to the existing protocols     

基于非重叠前缀集合的并行路由查找系统

快速的路由查找机制是高性能路由器设计的关键.最长匹配查找是路由查找的难点所在.本文提出一个并行路由查找系统.它使用一种路由表划分方法,可将路由表中的前缀划分为若干个集合,集合内前缀没有重叠.从而把路由表前缀的最长匹配查找转化为若干个集合内前缀的唯一匹配查找.基于这种方法,本文还提出一个通用的并行路由查找框架,框架适用于大多数路由查找算法.并行查找框架可简化查找算法的设计,提高查找算法的速度.使用二分查找算法,并行查找系统可以达到log₂(2N/B)的查找复杂度 (N为路由表前缀数目,B为大于4的整数).同时,并行查找系统对IPv6也具有很好的扩展性.     

Arranging multicast forwarding table in class sequence in ternary-cam for line-speed lookup

PIM-SM (Protocol Independent Multicast-Sparse Mode) is a main multicast routing protocol in the IPv6 (Internet Protocol version 6). It can use either a shared tree or a shortest path tree to deliver data packets, consequently the multicast IP lookup engine requires, in some cases, two searches to get a correct lookup result according to its multicast forwarding rule, and it may result in a new requirement of doubling the lookup speed of the lookup engine. The ordinary method to satisfy this requirement in TCAM (Ternary Content Addressable Memory) based lookup engines is to exploit parallelism among multiple TCAMs. However, traditional parallel methods always induce more resources and higher design difficulty. We propose in this paper a novel approach to solve this problem. By arranging multicast forwarding table in class sequence in TCAM and making full use of the intrinsic characteristic of the TCAM, our approach can get the right lookup result with just one search and a single TCAM, while keeping the hardware of lookup engine unchanged. Experimental results have shown that the approach make it possible to satisfy forwarding IPv6 multicast packets at the full link rate of 20 Gb/s with just one TCAM with the current TCAM chip.