源地址過濾的軟硬件方法優(yōu)化.pdf

1、阻止惡意流量的過濾:訪問根據(jù)字段控制列表(ACL)可以選擇性地阻斷交通IP報頭。已經(jīng)有過濾器(ACL)路由器的今天，但這是一種稀缺資源，因為它們存儲在昂貴的三態(tài)內(nèi)容尋址存儲(TCAM)。源地址過濾是一項用于防止有害包進入內(nèi)部系統(tǒng)的重要預防機制?，F(xiàn)在多少網(wǎng)絡(luò)存儲了過濾在硬件中，比較流行的是TCAM快表，它有有限的存儲空間，更高的能量損耗和更高的價格。雖然軟件能夠容納大量的過濾器，但是這需要將多種訪問邊界路由器的機制，因此邊緣路由器承載了比

2、其它路由器更多的任務(wù)。本文提出了一種基于軟件源地址的過濾方法，在我們的機制中，每個路由器只需要檢查一個源地址里面的極就可以了，相比原來需要在入口路由器進行全方位檢查源地址不同的是:現(xiàn)我們建立新的機制讓內(nèi)外部路由器共同承擔工作。通過在路由器之間合作，實現(xiàn)了對惡意流的過濾，以防止其損害網(wǎng)絡(luò)。找到了一種合作的機制來將邊緣路由器的工作平均分布到了多臺的路由器上面，這是一種最優(yōu)化的結(jié)果。通過動態(tài)規(guī)劃來說明問題是可以求出最優(yōu)化解的。使用在BRITE

3、生成的拓撲結(jié)構(gòu)和真實的拓撲結(jié)構(gòu)上面的仿真衡量了新算法的性能。通過與128位的IP地址在入口路由器的算法比較，新算法在單獨一臺路由器上面最多只會檢查40位，大大減少了單獨一個路由器的負擔。
　　在互聯(lián)網(wǎng)上，如防火墻會使許多網(wǎng)絡(luò)服務(wù)數(shù)據(jù)包過濾和并進行流量計費。使用三元的內(nèi)容可定址記憶體(的TCAM)來進行高速分組分類已經(jīng)成為事實上的行業(yè)標準。通過比較數(shù)據(jù)包的TCAM在固定時間內(nèi)的數(shù)據(jù)包可以進行三元并行編碼的分類規(guī)則。數(shù)據(jù)包分類規(guī)則通常

4、會指定范圍的領(lǐng)域，轉(zhuǎn)換規(guī)則，但TCAM兼容的規(guī)則可能會導致爆炸式增長的規(guī)則數(shù)。但如果有大量的TCAM能力，這就不是一個問題。不幸的是TCAM的能力非常有限，更多的規(guī)則意味著更多的功耗和更多的熱量生成TCAM。更糟的是，數(shù)據(jù)包分類與不斷增長的迅速增加，部署在因特網(wǎng)上的服務(wù)的數(shù)目也隨之增加。要解決是TCAM范圍擴展，因此我們初步考慮給定一個數(shù)據(jù)包分類，我們可以產(chǎn)生另一種語義上價的數(shù)據(jù)包分類需要TCAM條目數(shù)最少。
　　在本文中，我們提