基于NPC-8205硬件平臺的IPv4/IPv6安全網關原理及應用分析

作者：時間：2012-01-18 來源：網絡

加入技術交流群
- 掃碼加入
  和技術大咖面對面交流
  海量資料庫查詢

圖1-5 NAT_PT的總體結構圖

報文翻譯

報文翻譯部分是NAT_PT的最基礎部分。它負責進行IPv4和IPv6報文之間的翻譯。具體的實現主要針對TCP、UDP和ICMP三種不同類型的報文進行翻譯。由于TCP自己的特性，在地址映射的時間上，還有TCP建立連接的時候，對動態地址池的操作都和UDP、ICMP有所區別。

DNS應用層網關

DNS應用層網關部分是為了支持DNS的IPv6擴展功能的。它主要對針對目的端口/源端口=53的DNS_UDP報文進行翻譯的。DNS應用層網關的主要功能是支持外部的IPv4主機對IPv6域內服務器的訪問。這樣，當外部的DNSv4的查詢報文通過路由器的時候，將被翻譯后送到IPv6域內的IPv6 DNS服務器。同樣IPv6域內的IPv6 DNS服務器的DNSv6回復報文，也將被翻譯后返回給原IPv4主機。

FTP應用層網關

由于FTP的IPv6擴展功能和現有的IPv4FTP命令不相同，不完全兼容，所以需要對FTP的命令作翻譯。同時的由于TCP報文的負荷長度有所變動，所以還需要對一個FTP的連接的所有TCP數據報的順序號進行修正。FTP應用層網關部分主要對針對目的端口/源端口=21的FTP_TCP報文進行翻譯。

3 IPv4/IPv6安全網關解決方案

根據IPv4/IPv6安全網關的原理和市場需求，從性能，可擴展性以及高可靠性的角度出發，推薦采用研祥（EVOC）的網絡系統平臺 NPC-8205作為解決方案的硬件平臺，在此可靠的平臺上實現IPv4/IPv6安全網關。

NPC-8205是一款基于Intlel新一代服務器JasperForest平臺的高端網絡應用系統產品。采取的服務器平臺，北橋集成在CPU里面，大大提高了CPU對內存和外設的訪問速度。全模塊化的網絡設計，可靈活選擇光電組合，并在千兆，萬兆之間靈活切換。主板支持兩顆CPU，支持12個DIMM內存槽，6個SATA接口。支持CF卡，板載PCI擴展槽和兩個PCI-E擴展槽。整機支持三個全模塊的網絡擴展，支持兩個2.5寸抽拉硬盤位，支持液晶屏顯示，板載2千兆電口，1個串口，2個USB，前面板可擴展兩個PCI –E設備，支持冗余電源。

采用JASPER FOREAST平臺具有以下優點：

（1）支持超線程：第三代超線程技術。

（2）支持虛擬化設備輸入/輸出 (VT-d)：在之前以虛擬化CPU為主的基礎上增加設備輸入/輸出的虛擬化，能有效提高虛擬機的性能和效率。

（3）內核加速模式(Turbo Mode)：內核運行動態加速。可以根據需要開啟、關閉以及加速單個內核的運行。這樣動態的調整可以提高系統和CPU整體的能效比率。

（4）Cache的設計：采用三級全內含式Cache設計，L1的設計和Core 微架構一樣；L2采用超低延遲的設計，每個內核256KB；L3采用共享式設計，被片上所有內核共享。

（5）集成了內存控制器(IMC)：從芯片組上移到CPU片上，支持多通道DDR3內存，內存讀取的延遲大幅度減少，內存帶寬大幅提升，最多可達三倍。

（6）QPI：“快速通道互聯”，取代前端總線(FSB)的一種點到點連接技術，20位寬的QPI連接其帶寬可達驚人的每秒25.6GB，遠非FSB可比。QPI最初能夠發放異彩的是支持多個處理器的服務器平臺，QPI可以用于多處理器之間的互聯。

自由切換的光電口模塊設計

不打開箱蓋，直接在前面板操作，就可以在光口模塊和電口模塊間任意更換。可以靈活的搭配出光口不同數量。電口不同數量。光口模塊和電口模塊混合同時使用。