，，，

(南瑞集團(tuán)有限公司(國網(wǎng)電力科學(xué)研究院有限公司)，南京 211100)

引 言

圖1 數(shù)據(jù)分流萬兆加密裝置整體設(shè)計(jì)框圖

目前主流縱向加密認(rèn)證裝置最高帶寬密文數(shù)據(jù)吞吐率大約為1000 Mb/s。為了進(jìn)一步提高數(shù)據(jù)加解密速率與安全性，滿足現(xiàn)場業(yè)務(wù)需求，高性能萬兆縱向加密認(rèn)證裝置應(yīng)運(yùn)而生。

在兩個(gè)不同局域網(wǎng)之間交換數(shù)據(jù)最常用的安全策略是使用縱向加密認(rèn)證裝置，即身份認(rèn)證與數(shù)據(jù)加解密方式進(jìn)行業(yè)務(wù)交互。傳統(tǒng)縱向加密認(rèn)證裝置根據(jù)網(wǎng)絡(luò)帶寬與數(shù)據(jù)傳輸吞吐率要求，分為百兆型、千兆型縱向加密認(rèn)證裝置，其基本結(jié)構(gòu)都由一個(gè)帶有雙網(wǎng)口的控制主板和一個(gè)數(shù)據(jù)加解密模塊組成。

為了克服現(xiàn)有電力專用縱向加密認(rèn)證裝置加解密速率不足以及應(yīng)用局限性，研究了一款內(nèi)容分發(fā)式加密裝置，利用萬兆以太網(wǎng)在線數(shù)據(jù)多通道分發(fā)處理機(jī)制創(chuàng)建多條數(shù)據(jù)傳輸鏈路，增強(qiáng)并發(fā)處理能力，同時(shí)通過多個(gè)加密單元并行運(yùn)算，用以提高數(shù)據(jù)加解密速率，為新型萬兆型加密認(rèn)證裝置設(shè)計(jì)提供理論依據(jù)。

1 原理與設(shè)計(jì)

數(shù)據(jù)分流萬兆加密裝置整體設(shè)計(jì)框圖如圖1所示。該系統(tǒng)中包括兩臺(tái)分發(fā)式網(wǎng)絡(luò)裝置、加密裝置、加密裝置核心處理單元。工作原理如下：①加密裝置核心處理單元初始化萬兆以太網(wǎng)數(shù)據(jù)傳輸環(huán)境；②依據(jù)規(guī)則，兩端分發(fā)式網(wǎng)絡(luò)裝置分別對(duì)網(wǎng)絡(luò)報(bào)文進(jìn)行報(bào)文過濾、負(fù)載均衡算法處理；③將網(wǎng)絡(luò)數(shù)據(jù)包按負(fù)載均衡算法分發(fā)至某個(gè)加密裝置，選擇規(guī)則配置的算法進(jìn)行數(shù)據(jù)加密；④對(duì)端分發(fā)式網(wǎng)絡(luò)裝置獲取加密數(shù)據(jù)，網(wǎng)絡(luò)協(xié)議重新構(gòu)建萬兆速率網(wǎng)絡(luò)報(bào)文數(shù)據(jù)，轉(zhuǎn)發(fā)至萬兆以太網(wǎng)。

2 系統(tǒng)平臺(tái)開發(fā)

2.1 分發(fā)式網(wǎng)絡(luò)裝置設(shè)計(jì)

系統(tǒng)中兩側(cè)分發(fā)式網(wǎng)絡(luò)裝置采用的硬件平臺(tái)基于T4240，操作系統(tǒng)為Linux，T4240是飛思卡爾(現(xiàn)被NXP收購)公司的QorIQ T系列多核處理器。運(yùn)行在24個(gè)主頻為1.8 GHz的虛擬內(nèi)核上,每顆處理器具備3通道72位(8位 ECC)DDR3內(nèi)存，內(nèi)存總?cè)萘繛?2 GB，每通道使用9片x8數(shù)據(jù)位寬顆粒，數(shù)據(jù)速率支持1866 MT/s。每顆處理器板載8 MB BOOT_NOR FLASH和8 GB APPLICATION_NAND FLASH，擁有8個(gè)千兆口和3個(gè)萬兆口有線以太網(wǎng)接口。

分發(fā)式網(wǎng)絡(luò)裝置采用先進(jìn)的數(shù)據(jù)通道加速架構(gòu)(DPAA)，DPAA提供了一種硬件數(shù)據(jù)加速平臺(tái)，實(shí)現(xiàn)了用戶態(tài)下數(shù)據(jù)包的零拷貝，減少了協(xié)議棧的響應(yīng)時(shí)間，加快了數(shù)據(jù)包的處理時(shí)間。DPAA分流功能從內(nèi)核選擇任務(wù)，允許這些內(nèi)核執(zhí)行更有價(jià)值的任務(wù)或以更低的頻率、成本和功率實(shí)現(xiàn)應(yīng)用性能目標(biāo)。DPAA包括：幀管理器(Frame Manager)，負(fù)責(zé)在以太網(wǎng)端口上實(shí)施警管、分類和日程安排；隊(duì)列管理器(Queue Manager)，執(zhí)行排隊(duì)、擁塞控制、工作量分配和分組排序；緩沖管理器(Buffer Manager)，將數(shù)據(jù)包分配給緩沖器，以最大限度減少內(nèi)存消耗；安全塊(Security Block)，用來實(shí)施加密算法；模式匹配搜索引擎(Pattern Matching Engine)，用來搜索數(shù)據(jù)包里的文本字符串，進(jìn)行統(tǒng)一的威脅管理。

2.2 加密裝置和加密裝置核心處理單元設(shè)計(jì)

圖2 加密裝置結(jié)構(gòu)

加密裝置和加密裝置核心處理單元的硬件系統(tǒng)基于RISC體系結(jié)構(gòu)的嵌入式微處理器(PowerPC 8241)，嵌入式主板集成三個(gè)以太網(wǎng)接口，分別是內(nèi)網(wǎng)口、外網(wǎng)口、心跳接口。配置串口用于對(duì)加密認(rèn)證網(wǎng)關(guān)進(jìn)行監(jiān)控管理；電力專用密碼卡單元(內(nèi)嵌電力專用密碼算法和RSA公私密鑰算法)對(duì)網(wǎng)絡(luò)通信數(shù)據(jù)進(jìn)行加密與認(rèn)證；雙機(jī)接口支持加密認(rèn)證網(wǎng)關(guān)的雙機(jī)熱備和鏈路冗余備份，避免丟失重要數(shù)據(jù)；硬件看門狗時(shí)刻監(jiān)控系統(tǒng)狀態(tài)，保證加密認(rèn)證網(wǎng)關(guān)穩(wěn)定、可靠運(yùn)行。加密裝置和加密裝置核心處理單元共有10臺(tái)形成陳列模式，所有裝置內(nèi)網(wǎng)口和外網(wǎng)口設(shè)置相同的IP地址，裝置采用靜態(tài)ARP地址綁定。9臺(tái)加密裝置的ARP地址學(xué)習(xí)、密鑰交互和日志報(bào)警由加密裝置核心單元同步來完成(見圖2)。

2.3 系統(tǒng)邏輯設(shè)計(jì)

萬兆加密裝置測試結(jié)構(gòu)圖如圖3所示。

圖3 萬兆加密裝置測試結(jié)構(gòu)圖

2.3.1 網(wǎng)絡(luò)初始化流程

分發(fā)式網(wǎng)絡(luò)裝置收到報(bào)文(經(jīng)過報(bào)文解析后)，如果是ARP請(qǐng)求幀，則傳送至加密裝置核心處理單元。加密裝置核心處理單元接收到ARP請(qǐng)求并且檢查是否與自己的IP地址匹配，如果加密裝置核心處理單元發(fā)現(xiàn)請(qǐng)求的IP地址與自身的IP地址不匹配，它將丟棄ARP請(qǐng)求。初始化流程如下：

① 加密裝置核心處理單元確定ARP請(qǐng)求中的IP地址與自己的IP地址匹配，則將ARP請(qǐng)求的IP地址和MAC地址映射添加到本地ARP緩存中。

② 加密裝置核心處理單元將包含其MAC地址的ARP回復(fù)消息直接發(fā)送回萬兆以太網(wǎng)數(shù)據(jù)收發(fā)處理模塊1，模塊1再將ARP回復(fù)消息發(fā)至ARP的主機(jī)上。

③ 加密裝置核心處理單元通過心跳線將狀態(tài)同步包分別廣播至加密裝置1～9設(shè)備上，這些設(shè)備接收狀態(tài)同步包，進(jìn)行報(bào)文檢查，如果報(bào)文正確，則將MAC地址映射添加到本地ARP緩存中，并且通過命令arp-s 123.123.123.111 XX:XX:XX:XX:XX:XX寫成靜態(tài)ARP，網(wǎng)絡(luò)地址解析過程已成功完成。

2.3.2 通信工作過程

分發(fā)式網(wǎng)絡(luò)裝置收到報(bào)文(經(jīng)過報(bào)文解析后)，如果是密鑰同步報(bào)文，則傳送至加密裝置核心處理單元。如果此時(shí)加密裝置核心處理單元還沒有完成密鑰同步工作，則將報(bào)文丟棄。通信工作過程如下：

① 加密裝置核心處理單元投入使用前，須首先進(jìn)行設(shè)備的初始化操作，包括安裝調(diào)度證書服務(wù)系統(tǒng)根證書、裝置管理系統(tǒng)的設(shè)備證書、本裝置的主備操作員證書、與本裝置通信節(jié)點(diǎn)的設(shè)備證書以及本裝置的設(shè)備私鑰。會(huì)話密鑰協(xié)商采用簡化的IKE密鑰協(xié)商協(xié)議：設(shè)通信雙方為加密裝置核心處理單元1(發(fā)起方)和加密裝置核心處理單元2(應(yīng)答方)，會(huì)話密鑰協(xié)商在IP報(bào)文層面進(jìn)行，其中IP地址為雙方裝置的IP地址，協(xié)商過程的形象描述如下：

加密裝置核心處理單元1 加密裝置核心處理單元2

Request，SN, ECert2(r1), ESkey1(H(r1))，

——————————————→

Response, SN+1, ECert1(r2), ESkey2(H(r2))，

←——————————————

Acknowledge，SN+2, H(r1⊕r2)

——————————————→

在密鑰協(xié)商報(bào)文的設(shè)計(jì)中，添加隨機(jī)序列號(hào)，防止抗重放攻擊。同時(shí)對(duì)協(xié)商報(bào)文采用數(shù)字簽名和公鑰加密，防止通信抗抵賴。若雙方都已經(jīng)驗(yàn)證對(duì)方身份，并持有會(huì)話密鑰DK=r1⊕r2；，則進(jìn)入通信加密階段；若協(xié)商失敗，加密認(rèn)證網(wǎng)關(guān)給出協(xié)商失敗報(bào)警信息，通知對(duì)端裝置并重新發(fā)起協(xié)商。加解密工作模式采用隧道模式，通信密鑰為對(duì)稱密鑰，用于加密認(rèn)證網(wǎng)關(guān)之間的通信加密，128位分組寬度在建立連接時(shí)動(dòng)態(tài)協(xié)商產(chǎn)生，拆除連接時(shí)失效。

② 通過分發(fā)式網(wǎng)絡(luò)裝置將10G口的IP數(shù)據(jù)包進(jìn)行分流至加密裝置1～9和加密裝置核心處理單元，并且分發(fā)式裝置進(jìn)行負(fù)載均衡算法。

③ 分發(fā)式網(wǎng)絡(luò)裝置實(shí)時(shí)地根據(jù)網(wǎng)絡(luò)流量和加密裝置節(jié)點(diǎn)的連接、負(fù)載狀況以及響應(yīng)時(shí)間等綜合信息將數(shù)據(jù)包重新導(dǎo)向負(fù)載較輕加密裝置節(jié)點(diǎn)上。

④ 依據(jù)規(guī)則配置，兩端萬兆以太網(wǎng)數(shù)據(jù)收發(fā)處理模塊分別對(duì)原始網(wǎng)絡(luò)報(bào)文進(jìn)行過濾、分揀處理，加密裝置1～9設(shè)備將數(shù)據(jù)包經(jīng)規(guī)則加密后送至分發(fā)式網(wǎng)絡(luò)裝置，數(shù)據(jù)集中至10G口轉(zhuǎn)發(fā)出去。

⑤ 萬兆加密裝置B中分發(fā)式網(wǎng)絡(luò)裝置收到報(bào)文(經(jīng)過報(bào)文解析后)，進(jìn)行負(fù)載均衡算法后發(fā)送至加密裝置和加密裝置核心處理單元。通過密鑰解密后，由分發(fā)式網(wǎng)絡(luò)裝置集中發(fā)送至網(wǎng)絡(luò)測試儀2口。

2.3.3 加密裝置和加密裝置核心處理單元同步過程

加密裝置和加密裝置核心處理單元同步過程如下：

① 加密裝置與加密裝置核心處理單元進(jìn)行心跳交互，監(jiān)測自身的工作狀態(tài)，將報(bào)警信息上報(bào)加密裝置核心處理單元。

② 加密裝置診斷自身工作狀態(tài)，實(shí)現(xiàn)容錯(cuò)處理、主動(dòng)復(fù)位等功能。

③ 信息交互：加密裝置核心處理單元每隔一定的周期將本機(jī)ARP緩存表和密鑰信息發(fā)送至加密裝置，加密裝置收到同步信息后將心跳確認(rèn)包發(fā)送至加密裝置核心處理單元。如果在一定周期內(nèi)沒有收到心跳確認(rèn)包，加密裝置核心處理單元將通知分發(fā)式網(wǎng)絡(luò)裝置，分發(fā)式網(wǎng)絡(luò)裝置收到加密裝置核心處理單元報(bào)文，認(rèn)為這臺(tái)加密裝置離線，不再發(fā)送數(shù)據(jù)至此加密裝置，直到加密裝置核心處理單元再次發(fā)送此加密裝置上線報(bào)文。

3 實(shí)驗(yàn)測試

通過實(shí)驗(yàn)仿真測試基于DPAA技術(shù)數(shù)據(jù)分流萬兆加密裝置，本裝置支持兩種數(shù)據(jù)傳輸方式：明文傳輸和密文傳輸，明文傳輸模式是指數(shù)據(jù)從一側(cè)系統(tǒng)傳輸?shù)郊用苎b置上，加密裝置不進(jìn)行任何處理，直接通過隧道傳輸?shù)搅硪粋?cè)的系統(tǒng)。密文傳輸是指首先對(duì)報(bào)文進(jìn)行加解密處理，再通過分發(fā)式網(wǎng)絡(luò)裝置傳輸?shù)搅硪粋?cè)系統(tǒng)。

明文傳輸數(shù)據(jù)時(shí)，分發(fā)式網(wǎng)絡(luò)裝置將數(shù)據(jù)分流至各個(gè)加密裝置，通過負(fù)載均衡算法保證各加密裝置節(jié)點(diǎn)負(fù)載大致相同。在密文傳輸模式時(shí)，分發(fā)式網(wǎng)絡(luò)裝置將密鑰同步報(bào)文發(fā)送至加密裝置核心處理單元，再通過其同步至各臺(tái)加密裝置，隧道建立好后，數(shù)據(jù)通信時(shí)，通過分發(fā)式網(wǎng)絡(luò)裝置利用負(fù)載均衡算法將數(shù)據(jù)包發(fā)送至各臺(tái)加密裝置。經(jīng)過測試，兩種方案的明文傳輸速度為9.5 Gbps，在密文傳輸時(shí)，采用本方案的傳輸速度為8 Gbps，應(yīng)用本設(shè)計(jì)的分流萬兆加密裝置在密文傳輸模式時(shí)，數(shù)據(jù)傳輸速度明顯提高，且能節(jié)省硬件資源，提高CPU的資源利用率。

結(jié) 語