新聞中心
【安全科普】NUMA防火墻誕生記
一、我為啥姓“NUMA”
隨著網(wǎng)絡流量和數(shù)據(jù)包處理需求的指數(shù)增長，曾經(jīng)的我面對“高性能、高吞吐、低延遲”的要求，逐漸變得心有余而力不足。
多CPU技術(shù)應運而生，SMP（對稱多處理）和NUMA（非一致性內(nèi)存訪問）成為當下最適用的多CPU硬件架構(gòu)。
SMP的主要特征是“共享”，即所有CPU共享使用全部資源，包括內(nèi)存、總線和I/O；它的缺點是核數(shù)增加到一定程度，就會達到內(nèi)存讀取的性能瓶頸。
SMP架構(gòu)
為了解決這個問題，工程師們設(shè)計了NUMA架構(gòu)：將CPU劃分到不同組（Node），每個節(jié)點都有自己的內(nèi)存和計算資源，處理器可以更靈活地分配資源，提升整體性能和效率。
此外，NUMA架構(gòu)還可以通過增加節(jié)點數(shù)量，擴展處理器的計算和存儲能力，這讓它非常適應大規(guī)模并行處理場景。
NUMA架構(gòu)
基于NUMA架構(gòu)設(shè)計成為防火墻“升級”的優(yōu)選方案，改良處理器與本地內(nèi)存之間的訪問路徑，滿足高吞吐、低延遲的網(wǎng)絡安全應用的需求，現(xiàn)在的我已經(jīng)成為了百G防火墻隊伍中的主力軍。
二、升級后的我強在哪
1、高并發(fā)處理能力
每個處理器節(jié)點都可以獨立處理本地的連接請求和數(shù)據(jù)流量。通過負載均衡技術(shù)（如基于哈希的負載均衡），NUMA防火墻能夠?qū)⒘髁烤鶆蚍植嫉礁鱾€處理器節(jié)點，避免單點瓶頸的問題。
例如，使用接收端擴展（RSS）技術(shù)，可以將入站流量根據(jù)哈希值分配到不同的CPU核，提高并發(fā)處理能力。
2、數(shù)據(jù)包處理自動化
NUMA架構(gòu)支持高效的數(shù)據(jù)包處理流水線。每個處理器節(jié)點可以專注于流水線中的特定階段，包括：
· 數(shù)據(jù)包分類，根據(jù)預定義的規(guī)則集，分類數(shù)據(jù)包。
· 狀態(tài)跟蹤，維護連接狀態(tài)表，實現(xiàn)狀態(tài)檢測。
· 策略匹配，根據(jù)安全策略進行包過濾和策略應用。
· 深度包檢測（DPI），對數(shù)據(jù)包內(nèi)容進行深度檢測，以識別應用層攻擊。
通過流水線實現(xiàn)流程自動化，各處理器節(jié)點并行計算不同的數(shù)據(jù)包處理階段，顯著提高整體工作效率。
3、智能流量調(diào)度
智能流量調(diào)度算法可以將流量合理分配到各個處理器節(jié)點，避免多處理器間的不均衡負載。常用的調(diào)度算法包括：
· 輪詢調(diào)度（Round-Robin），簡單高效，將流量均勻分配到各處理器節(jié)點。
· 最短路徑優(yōu)先（SPF），根據(jù)路徑長度和處理器負載，動態(tài)調(diào)整流量分配。
· 連接哈希調(diào)度，根據(jù)連接的哈希值，確保同一連接的流量始終由同一處理器節(jié)點計算，提高緩存命中率。
結(jié)合實際流量特點選用調(diào)度算法，可以大幅提升NUMA防火墻的性能與效率。
三、助我升級的關(guān)鍵技術(shù)
1、高效數(shù)據(jù)包過濾
NUMA防火墻通過多核并行處理能力，實現(xiàn)高效的數(shù)據(jù)包過濾。每個處理器節(jié)點都可以獨立運行包過濾算法，包括基于規(guī)則集的包過濾、狀態(tài)檢測包過濾和應用層包過濾（Snort、Suricata等）。
2、深度包檢測（DPI）
DPI是下一代防火墻的重要功能，可以識別并防御應用層攻擊。在NUMA架構(gòu)下，每個處理器節(jié)點會進行不同的數(shù)據(jù)流處理或DPI任務，能夠完成大規(guī)模數(shù)據(jù)包流量的處理，實現(xiàn)高性能深度包檢測。
3、連接狀態(tài)維護
NUMA防火墻需要維護大量的連接狀態(tài)信息，以支持狀態(tài)檢測。可以將連接狀態(tài)表分布到各處理器節(jié)點，減少跨節(jié)點訪問的延遲；應用哈希分區(qū)技術(shù)，將連接狀態(tài)信息按哈希值分配至不同節(jié)點，提高訪問效率。
4、安全策略執(zhí)行
NUMA架構(gòu)中的安全策略執(zhí)行同樣可以分布在多個處理器節(jié)點，每個節(jié)點根據(jù)預定義的策略規(guī)則，獨立執(zhí)行安全策略，包括訪問控制、流量限制和入侵檢測功能。使用高效的規(guī)則匹配算法（Aho-Corasick算法等），還能夠顯著提高策略執(zhí)行效率。
NUMA防火墻具備多核并行處理、內(nèi)存局部優(yōu)化、智能流量調(diào)度、高效的包過濾及DPI等核心能力，為用戶提供高性能、低延遲、強擴展性的創(chuàng)新體驗。隨著網(wǎng)絡安全需求的日新月異，NUMA架構(gòu)在高性能防火墻設(shè)計中的應用也將更加廣泛和深入。
基于先進NUMA架構(gòu)，安博通推出了百G高性能防火墻系列，專為滿足大型網(wǎng)絡的復雜安全需求而設(shè)計，也可充分實現(xiàn)嚴格的信創(chuàng)場景要求。我們在防火墻創(chuàng)新的路上持續(xù)探索，為打造更高效、更智能的網(wǎng)絡安全產(chǎn)品而不懈奮斗，為用戶提供更安全、更可靠的網(wǎng)絡環(huán)境。
