NP架构在VPN中的应用NP构架解析
一,什么是NP。
NP是一种CPU构架,是Network Processor的缩写,意为网络处理器。根据“国际网络处理器会议”的定义:网络处理器是一种可编程器件,它特定地应用于通信领域的各种任务,比如包处理、协议分析、路由查找、防火墙、QoS等。
网络处理器器件内部通常由若干个微码处理器和若干硬件协处理器组成,且多个微码处理器在NP内部并行处理,通过预先编制的微码来控制处理流程。对于某些复杂的标准操作,如内存操作、路由表查找算法、QoS的拥塞控制算法、流量调度算法等,则采用硬件协处理器来进一步提高处理性能,从而实现了业务灵活性和高性能的有机结合。
二,NP的性能NP
只是一种CPU体系结构,本身并不代表高性能。和RISC、CISC等CPU构架一样,结构本身,和性能无关,决定性能的,是具体的CPU型号。
目前提供NP芯片的厂家也很多,基本上都符合NPF指定的规范,就目前国内市场上应用最为广泛的是INTEL公司的IXPXXX系列芯片,包括IXP4XX、 IXP12XX、 IXP24XX 、IXP28XX等;
IXP系列NP处理器从体系结构上看基本上都一样,都是由一个RISC处理器加一个微引擎构成,RISC处理器主要用于控制微引擎的运行,所以又称为控制层面,微引擎完成对网络数据包的处理,以实现高性能,所以又称为数据层面;不同IXP系列处理器主要是RISC的型号和主频,以及微引擎的个数有所不同。IXP系列的体系架构虽然相同,但是在性能上却有天壤之别,NP系统是一个更先进的系统,但是一些低端的NP系统却就像最原始的汽车,可能连X86架构下的马车都不如。
三,目前主流的NP处理器
目前使用最广泛,在市场上出去主流地位的,是INTEL的IXP4xx处理器。
IXP4xx的市场地位主要在中低端市场,因此使用基于IXP4xx芯片做出的网络安全产品也主要定位在中低端市场中,特别需要注意的是,IXP425内嵌了一个加密引擎,支持一些公开的密码算法,如:3DES、AES、MD5、SHA1;因此大量安全产商使用基于这种芯片的板卡做出低端的VPN/FW;不过4xx系列芯片产品存在一个致命缺陷,由于不能进行微码编程,而Intel预置的微码又没有完成FW/VPN的处理,因此产商在开发FW/VPN功能的时候,实际上对IP报文的处理是通过Xscale来处理的。
另外需要特别注意的是,使用这种芯片开发出来的网络安全设备,不是每个网络接口都是快速的。IXP4XX通过ME实现的Ethernet MAC只有两个NPE A 和NPE B,一般板卡设计产商都会通过PCI Bridge扩展多个以太网口。从性能上考量,只有通过NPEA/NEPB的接口是比较快的,而通过PCIBridge扩展出来的网络接口性能相对来说就比较低了;由于IXP4XX的结构设计约束,在任何两个网络接口之间通信都必须通过Xscale进行交换(包括TCP/IP处理),,正是由于了这个限制,基于IXP4XX开发网络安全设备本质上不会比基于X86开发的网络安全设备在性能上有所提高,有的时候反而会更低.
四、NP构架的的弱点
目前NP构架的安全产品,在市场上不是主流。在市场上销售的基于NP构架的产品,绝大多数都是低端产品,绝大多数都是基于INTEL IXP4xx CPU来开发的。其目的是降低硬件成本。
使用NP构架的,目前以百元级别的低端网络设备为主流,D-link,LINKSYS的低端路由器,大量使用IXP4xx CPU,以达到降低成本的目的。NP构架的产品大量存在于千元以下的市场,而中高端的设备采用的极少。
IXP4xx处理器在完成简单的、特定的包转发任务时具有良好的性能。但是,他的主处理器是普通的Xscale核心,Xscale是面向低功耗移动设备而开发的处理器,广泛运用于手机与PDA等移动设备中。性能比同频率的X86 CPU要低很多,其注重的是低功耗低成本,而不是性能。
而且,IXP4xx只具有2个网口的加速,只有一个网口可以支持加密加速,对于另外增加模块来实现多网口的产品,由于增加的网口不具有加速性能,整机性能会下降很多。
主流NP构架的处理器(IXP4xx)最大的缺陷,是通用计算能力弱。其网络加速模块,在包转发以及部分加密算法(仅支持3DES和AES)上可以得到良好的性能,但是在处理防火墙规则、流量监控、移动用户拨号、带宽管理、等中高端路由器和安全网络设备等必备的功能上,性能严重不足,这也是绝大多数厂商仅将NP构架运用于低端产品上的主要原因。
五、NP构架的意义
对用户来说,NP构架的现实意义,是在低端产品的选择上,可以获得更好的性价比。
对于需求简单,需要一个低端的网络设备来完成简单的功能的客户,NP构架是一错的选择。.
在中高端路由器市场,以及网络安全设备市场,主流的NP处理器由于通用计算性能不足,制约了设备的性能,不能满足客户的需要。
对于VPN、防火墙、路由器产品,就目前而言,NP构架只适合在低档路由器上使用,是廉价产品的代名词。 |