隨著企業和運營商網絡上網絡流量的不斷增長，推動了對于帶寬和線路速率需求的增加。基于內容的深度包檢測(DPI)、安全處理等應用直接推動了網絡基礎設施的處理能力呈現指數級增長。在短短的時間內，以太網網絡基礎設施帶寬從以10Gbit/s的規模擴展到40Gbit/s到100Gbit/s。相應的，網絡通信設備為了適應高速增長的基于協議、內容、應用的可控制和可視性，必須要有相應的通信處理機制，一個新的多核、異構處理器架構是必需的。在此架構上采用通用多核X86 和網絡流處理器，支持L2 - L7的業務處理。 在此基礎上設計的架構將允許設備供應商提供高性能的、靈活和現場可編程的系統，能使服務供應商在更長的產品生命周期內創造更多的用戶收入。

以下討論了一種新的網絡流處理架構以及在新的異構多核處理架構上的應用。

1深度包檢測

深度包檢測就是在L2-L7上分析處理網絡流量并實現網絡安全、服務保證、服務質量和應用限速。相比傳統的L2－L4應用處理，DPI在基于流識別基礎上對包頭和包內容進行分析處理。許多協議都不采用標準的IP，或者采用非標準或者可協商的TCP/UDP端口來建立連接，因此傳統的L2-L4包分類機制不能實現基于應用級的識別。多數應用和協議識別特征碼都存在單個報文中，或者是跨越幾個報文，因此僅僅分析單個報文頭意義不大。

這種對內容的需求識別不僅適用于固定LAN/WAN，也涉及到越來越多的移動網絡。隨著3G和LTE帶寬（高達100Mbit/s的下載）的增長，同時融合數據、語音和視頻服務，可以預期，用戶將利用無線網絡支持所有固網業務的弱點來攻擊無線網絡的漏洞。

2 DPI及其DPI處理平臺面臨的挑戰

為了滿足DPI的網絡運營商的需求，DPI平臺必須滿足以下幾個特點：

（1）支持傳統的通用的L2–L4，包括源和目標IP地址、IP協議、源和目標的TCP/UDP端口號，差分服務代碼點（DSCP）和入口/接口/ VLAN；

（2）支持所有網絡協議層和完整的數據包有效載荷；

（3）支持靜態、動態和協商協議端口號的應用識別；

（4）能夠處理多個會話連接報文，擴展標準的TCP握手（SYN、SYN－ACK、SYN）；

（5）支持一個能夠識別通用協議的特征碼庫；

（6）能夠靈活可編程以支持網絡協議變化、演進和應用變化；

（7）支持線速的全業務分析；

（8）支持主動和被動的工作模式；

（9）基于報文和流分析，能裝支持以下處理結果的組合：

a. 主動和被動的包丟棄；

b. 流量標識；

c. 內容植入；

d. 排隊、策略、流量整形、流速率控制；

e. 報文重定向；

f.負載均衡；

g. 報文和流的計數、測量、統計分析。

傳統的網絡和通信處理器不足以應付高速率的L2-L7數據報文分析。其他處理器如多核MIPS架構，雖然有能力執行DPI，但是以性能下降為代價。這些架構要求所有的包處理發生在通用處理器中，但是缺乏集成安全模塊和高速數據平面的帶寬，同時缺少協處理包處理硬件。隨著網絡速度的增加，多核MIPS方案能在每一條流中的每一個報文實現DPI的同時還能實現性能的線性增長。另外的處理解決方案還有就是采用固定功能的網絡處理器，可以運行在高速數據的處理，但這些網絡處理器往往缺乏靈活可編程性，無法處理超越L2-L4層的業務。

3基于x86/IA+NFP網絡流處理器的異構平臺

為了達到真正實現DPI的要求，隨著對網絡I/O虛擬化，高性能流處理架構是必要的。為了使該系統具有可擴展性，一個很好的做法是使應用處理分開的L2 - L7數據平面處理。一般來說，多核處理器的重點放在應用層業務處理，而報文處理器的重點是數據平面處理。一個高級別規劃模型的異構多處理架構是必要的。這需要利用在高級別語言和使用開放源代碼的規劃工具，同時允許系統設計師定制的PPE最佳功率/性能比。這里介紹的異構處理架構是基于支持虛擬I / O的網絡流處理器和通用多核x86 CPU來實現的，其架構如圖1所示。其中圖1的左半部分描述多核心通用CPU和專用功能芯片架構，在異構模型中，解決方案是使用NFP網絡流處理器和通用多核CPU，NFP集成多個可編程報文處理器，安全處理器和優化的I/O和內存接口。