如何將服務器轉變為網絡安全設備的方法

目前，幾乎所有企業、政府機構、非營利實體及其它各類型組織都面臨著網絡安全挑戰，隨著網絡罪犯不斷提高作案能力，這類挑戰將日益加劇。

網絡安全現狀

病毒、木馬、蠕蟲和其它惡意軟件數量的增加，分布式拒絕服務?(DDoS) 攻擊的蔓延，物聯網設備與互聯網的融合，以及數據中心線路速度的不斷增長（從 1 Gbps 增長至 10 Gbps、25 Gbps 乃至 40 Gbps），各種趨勢進一步加劇了網絡安全挑戰。

開源網絡安全軟件的缺點

?

在洶涌的數據海嘯中，我們需要使用專業的軟硬件確保網絡安全性。網絡安全呈現雙軌并進的發展態勢，其中既包括根據網絡安全需求開發的自定義軟硬件（較為昂貴），也包括開源網絡安全軟件，這些開源安全軟件包括：

Zeek（前身為 Bro）：Zeek 入侵檢測系統?(IDS) 框架是一款非常強大的網絡監控工具，可捕捉有關網絡連接的數百個元數據字段。這些元數據可為網絡流量提供無與倫比的可視性，幫助我們識別異常行為，如可疑或威脅活動。

Suricata：Suricata 是一款成熟的開源網絡威脅檢測引擎，具備實時網絡入侵檢測、內聯入侵防御?(IPS)、網絡安全監控?(NSM) 和捕捉數據包離線處理等功能。

Snort：Snort 是一款開源網絡 IPS 工具，可在 IP 網絡上執行實時流量分析和數據包記錄。該工具可實施協議分析、內容搜索/匹配，并可用于檢測各種攻擊與探頭，包括緩沖區溢出、秘密端口掃描、CGI 攻擊、服務器信息塊?(SMB) 探頭及操作系統指紋識別嘗試等。

ntop n2disk 和 nProbe Cento：ntop n2disk 和 ntop nProbe Cento 分別是網絡流量記錄器和高速流量分析探頭，支持 1/10/100 Gbps 以太網連接。

相比定制化的網絡安全系統，開源網絡安全軟件具有更低的成本，但基于 CPU 的服務器無力應對流量增長。使用開源網絡安全軟件檢測實時數據流時，每臺基于 CPU 的服務器最高可達到約 15 Gbps 的速率。但是在數據中心，網絡安全系統所產生的負載往往會遠高于這個數值。

這時候用戶往往使用多臺基于 CPU 的網絡安全服務器處理較大負載，他們通常利用負載均衡器將入站流量分為大小適當的數據流，并將這些數據流分配至各個網絡安全服務器。分別通過開源網絡安全軟件進行處理。在這種方式中，由于服務器節點增加、采購負載均衡器等原因，會推高網絡安全系統的整體成本。

英特爾 可編程加速卡加速網絡應用

?

借助一款基于 FPGA 的加速器卡，即采用英特爾 ?Arria 10 GX FPGA 的英特爾 可編程加速卡?(PAC)，Napatech 獲得了一種中間方案，從而提升了開源網絡安全應用的性能，實現了加速。

此外，采用英特爾 Arria ?10 GX FPGA 的英特爾 ?PAC 基于 FPGA 的通用型加速技術還可幫助 Napatech 加速其他網絡應用，包括：

TRex：TRex 是一款開源狀態和無狀態流量生成器，基于數據平面開發套件?(DPDK)。通過對真實流量模板的預處理和使用，TRex 可實現智能重播，生成第 4 層到第 7 層流量。

Wireshark：Wireshark 是一款廣泛使用的網絡協議分析器，可提供網絡活動的微觀視圖。Wireshark 是實際上（通常也是法定的）協議分析標準，被眾多企業、非營利機構、政府機構和教育機構廣泛使用。

英特爾 PAC 中的英特爾 ?Arria ?10 FPGA 可加速關鍵網絡安全與其它網絡應用，支持具備適當配置的服務器全速處理 40-Gbps 流量，且不會遺漏任何數據包。最新的加速統計數據如下：

Suricata – 加速?4 倍

n2disk – 加速?3 倍

TRex – 加速?4 倍

Wireshark – 加速?7 倍

面向采用英特爾 Arria 10 GX FPGA 的英特爾 可編程加速卡的 Napatech Link Capture Software 將英特爾 加速器卡轉變為 SmartNIC，對上述開源應用實施多種加速網絡安全和其他網絡功能，數據中心運營商可根據特定要求選擇所需的網絡安全應用。

編輯：黃飛

?