[发明专利]在网络安全装置中高效地复制分组

说明书

技术领域

本文中描述的实施例在总体上涉及网络安全领域，并且具体涉及一种 用于改善网络安全装置的能力以使其以高吞吐量执行并发处理的技术。

背景技术

网络安全设备保护网络免于不想要的网络通信量。这些设备起初是单 处理器设备，但已利用了多处理器和多核处理器技术以允许对传入的分组 进行并发处理。然而，在这样的网络安全设备中已出现了瓶颈，包括为了 通过多处理器或多核进行处理而对传入的分组进行复制拷贝的高处理器成 本。对分组进行拷贝是在计算上昂贵的操作，并且让一个处理器进行分组 拷贝并将拷贝转发给若干个处理器或核的简单解决方案在高吞吐率下变得 在计算上不可行。因此，网络安全设备已经无法达到期望的吞吐量和并发 处理水平。

附图说明

图1是示出了根据现有技术的单处理器网络安全装置的一部分的方框 图。

图2是示出了根据现有技术的多核网络安全装置的一部分的方框图。

图3是示出了根据一个实施例的多核网络安全装置的一部分的方框图。

图4是示出了根据一个实施例的用于在网络安全装置中复制分组的技 术的流程图。

图5是示出了根据一个实施例的用于在网络安全装置中使用交换机来 对分组进行路由的技术的流程图。

图6是示出了根据一个实施例的网络安全装置的方框图。

具体实施方式

在下面的说明书中出于解释目的陈述了大量特定细节，以提供对本发 明的透彻理解。然而，对于本领域技术人员而言显而易见的是，可以在没 有这些具体细节的情况下实践本发明。在其它实例中，结构和设备以方框 图形式示出，是为了避免使本发明难以理解。对不带下标或后缀的数字的 引用，应被理解为是对与所引用的数字相对应的下标或后缀的所有实例的 引用。此外，在本公开中使用的语言在原则上是为可读性和教学的目的而 选择的，而不是为描绘或界定本发明主题而选择的，诉诸于权利要求为确 定这样的发明主题所必要的。在本说明书中对“一个实施例”或“一实施 例”的引用意味着，结合实施例描述的特定特征、结构或特性是包括在本 发明的至少一个实施例中的，而对“一个实施例”或“一实施例”的多个 引用不应被理解为全都必须引用同一实施例。

如在本文中所用的，术语“计算机系统”可以意指用于执行被描述为 在计算机系统上被执行的或由计算机系统执行的功能的单个计算机或一起 工作的多个计算机。尽管如在本文中描述的，在多核处理器方面，其中多 处理器功能是在单个集成电路管芯上可利用的或是在单个芯片封装中的多 个管芯上可利用的，但在这里描述的技术和系统也可以在多处理器系统中 实现，其中多个处理器中的每个分立地实现在不同的处理器封装上。出于 本公开的目的，将“核”定义为这样的处理器：其或者被实现为多核处理 器单元中的一个或者被实现为分立的处理器单元，无论是真实的还是虚拟 的。

尽管在本文中总体上所描述的在物理网络安全装置中实现，但所描述 的技术也可实现在虚拟网络安全装置中，其中多处理器技术可以是执行网 络安全功能的多处理器虚拟机或多个虚拟机。类似地，交换功能可以由物 理硬件交换机设备提供，或可以在虚拟交换机中执行。

在附图中，八核处理器被用作示例，但核(或处理器)的数量是示例 性的且只是以举例的方式，并且网络安全功能可以用具有任何期望的数量 的核的系统来实现。

如本文中所用的，术语“网络装置”可以指用于执行被描述为在网络 安全装置上被执行的或由网络安全装置执行的功能的单个网络安全装置或 一起工作的多个网络安全装置。可以使用任何期望的处理器技术或核技术。

本领域技术人员将会认识到，网络安全装置可以在计算机系统中实现， 且也可以在必要时或根据需要包括计算机系统的其它元件，例如：存储器、 输入设备例如键盘和鼠标，以及输出设备例如显示器，以及其它常见的部 件例如在部件之间的链路。存储器可以包括易失性和非易失性的存储器设 备，包括所有类型的允许存储指令的存储设备，所述指令当被执行时使得 网络安全装置执行在本文中描述的各种技术的行为。因为这些常见的设备 是本领域公知的，为清楚起见将它们从图上略去，且无需进一步描述。网 络安全装置可以作为独立设备实施，或者可以通过嵌入在另一设备中来实 施。尽管在本文中没有描述，可为网络安全装置提供用户接口或管理员接 口以允许对网络安全装置进行配置。