據(jù)思科最新公布的《視覺(jué)網(wǎng)絡(luò)指數(shù)：全球移動(dòng)數(shù)據(jù)流量預(yù)測(cè)》顯示，2014到2019年，全球移動(dòng)數(shù)據(jù)流量將增長(zhǎng)十倍，年復(fù)合增長(zhǎng)率將達(dá)到57%。這一流量的年度運(yùn)行率將從2014年的30.3艾字節(jié)增長(zhǎng)至2019年的291.8艾字節(jié)。也許，我們從思科的這份統(tǒng)計(jì)報(bào)告中得出的最令人吃驚的數(shù)據(jù)信息是，到2019年，54%的移動(dòng)鏈接將來(lái)自“智能”鏈接。而這一比例在2014年僅為26%。

歡迎來(lái)到物聯(lián)網(wǎng)(IoT)的世界。在這一物聯(lián)網(wǎng)的世界，數(shù)據(jù)信息的量、傳遞速度和數(shù)據(jù)來(lái)源均在發(fā)生著極快的變化。今天的網(wǎng)絡(luò)專業(yè)人士不僅需要利用相關(guān)的工具來(lái)保護(hù)企業(yè)網(wǎng)絡(luò)，同時(shí)還需要確保數(shù)據(jù)實(shí)時(shí)的納秒級(jí)的精度。

數(shù)據(jù)包捕獲(PCAP)是其中的一種基本工具。這是一種采用攔截?cái)?shù)據(jù)包遍歷一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)的機(jī)制，PCAP是企業(yè)部署的一種常見(jiàn)的功能，用以安全事件和網(wǎng)絡(luò)性能的監(jiān)測(cè)，識(shí)別數(shù)據(jù)泄漏，排查問(wèn)題，甚至進(jìn)行取證分析，以確定網(wǎng)絡(luò)漏洞的影響。

不過(guò)，現(xiàn)實(shí)情況則是：鑒于物聯(lián)網(wǎng)對(duì)于網(wǎng)絡(luò)需求的不斷增加，使得數(shù)據(jù)的傳輸速度不斷增加，現(xiàn)有的PCAP體系跟不上。企業(yè)用戶所使用的是商業(yè)化的網(wǎng)絡(luò)接口卡(NIC)，并正在努力滿足以10/40/100 Gbps的速率進(jìn)行精確的捕捉和回放的要求。好消息是，我們今天已經(jīng)有了一些解決方案，已經(jīng)被用來(lái)實(shí)施速度超過(guò)100 Gbps的數(shù)據(jù)包捕獲。利用網(wǎng)絡(luò)加速技術(shù)，再加上開(kāi)源的網(wǎng)絡(luò)監(jiān)控和捕獲解決方案，可以使企業(yè)用戶能夠滿足高速網(wǎng)絡(luò)的精確數(shù)據(jù)包捕獲和回放要求。

高速網(wǎng)絡(luò)的分析與安全解決方案

工程師和管理人員需要的是對(duì)于當(dāng)前網(wǎng)絡(luò)基礎(chǔ)設(shè)施中所發(fā)生狀況的實(shí)時(shí)、精確的視圖把控，而這就是有效的PCAP和分析系統(tǒng)可以提供的。同樣，精密PCAP系統(tǒng)也給企業(yè)用戶提供了創(chuàng)建具有高保真驗(yàn)證和架構(gòu)變化驗(yàn)證，故障排除和分析網(wǎng)絡(luò)事件的能力。

當(dāng)進(jìn)行高速網(wǎng)絡(luò)和安全性解決方案的研究分析時(shí)，一個(gè)重要考慮的因素是與速度和可編程邏輯準(zhǔn)確性開(kāi)源工具的結(jié)合。如下三大關(guān)鍵因素是您企業(yè)比較相關(guān)的選擇方案時(shí)值得考慮的：

高精度的時(shí)間戳：尋找能夠提供高精度的、基于硬件的時(shí)間戳(time stamping)，擁有納秒分辨率進(jìn)行每幀捕獲和發(fā)送的解決方案。基于硬件的時(shí)間戳避免了以軟件為基礎(chǔ)的解決方案固有的不可預(yù)知的延遲，并實(shí)現(xiàn)了對(duì)通信流的精確記錄。精密時(shí)間協(xié)議(PTP)的支持，還可以用于在分布式探測(cè)器網(wǎng)絡(luò)的精確同步。

在流量入口處指揮流量：在流量入口直接識(shí)別流量的技術(shù)的實(shí)現(xiàn)對(duì)于保持立即捕獲和在高轉(zhuǎn)速下的性能分析是非常重要的。這樣，用戶空間應(yīng)用程序的負(fù)載可以被最小化，管理員能夠動(dòng)態(tài)識(shí)別，并將相關(guān)的數(shù)據(jù)流直接導(dǎo)入到特定的處理器內(nèi)核，以便根據(jù)流量的類型進(jìn)行分析。

以各種速度進(jìn)行數(shù)據(jù)包捕獲和重放：如果企業(yè)的目標(biāo)是以各種速度實(shí)現(xiàn)高速的數(shù)據(jù)包捕獲和重放，包括1/10/40/100 Gbps，網(wǎng)絡(luò)加速卡(NAC)基于現(xiàn)場(chǎng)可編程門(mén)陣列(FPGA)是理想的選擇。此外，NAC允許精確的幀間間隙(IFG)控制，這在回放捕獲的流量進(jìn)行故障排除或模擬業(yè)務(wù)流時(shí)，是至關(guān)重要的。

標(biāo)準(zhǔn)的數(shù)據(jù)包捕獲(PCAP)

對(duì)于網(wǎng)絡(luò)基礎(chǔ)設(shè)施進(jìn)行數(shù)據(jù)包捕獲和分析的重要功能，企業(yè)用戶以往的歷史上是依賴于軟件工具。在這種情況下，軟件是安裝在指定的監(jiān)控主機(jī)上，配置網(wǎng)絡(luò)輪詢包，將商業(yè)化的網(wǎng)絡(luò)適配器置于混雜模式，并連接到網(wǎng)絡(luò)使用一個(gè)交換機(jī)端口分析儀(SPAN)接口。下圖1說(shuō)明了低速的PCAP使用商業(yè)化的網(wǎng)絡(luò)接口卡(NIC)和libpcap的典型結(jié)構(gòu)。

圖1：傳統(tǒng)的PCAP體系結(jié)構(gòu)

在此架構(gòu)下，每次網(wǎng)絡(luò)適配器收到以太網(wǎng)幀時(shí)，它會(huì)產(chǎn)生一個(gè)中斷請(qǐng)求，并從適配器的內(nèi)存緩沖區(qū)復(fù)制數(shù)據(jù)到內(nèi)核空間中。通常情況下，內(nèi)核空間驅(qū)動(dòng)器確定該數(shù)據(jù)包是否是用于該主機(jī)，或者丟棄數(shù)據(jù)包，或者將其傳遞給協(xié)議棧，直到它到達(dá)用戶空間被指定的應(yīng)用程序時(shí)。但是，當(dāng)為混雜模式進(jìn)行配置時(shí)，所有數(shù)據(jù)包均被捕獲到內(nèi)核緩沖區(qū)無(wú)論其目標(biāo)主機(jī)如何。一旦內(nèi)核緩沖區(qū)滿時(shí)，上下文切換被執(zhí)行以將數(shù)據(jù)傳送到由libpcap管理的用戶空間緩沖，這是一個(gè)與用戶級(jí)數(shù)據(jù)包捕獲無(wú)關(guān)的一個(gè)獨(dú)立系統(tǒng)接口，使得數(shù)據(jù)可以由用戶級(jí)應(yīng)用程序進(jìn)行訪問(wèn)。

內(nèi)核緩沖區(qū)從用戶級(jí)應(yīng)用程序中移除，并且要保持應(yīng)用程序訪問(wèn)內(nèi)核管理內(nèi)存。鑒于這種結(jié)構(gòu)，很明顯，當(dāng)一個(gè)幀被適配器接收到，而其實(shí)際上是要交付給用戶空間應(yīng)用程序進(jìn)行處理時(shí)，某些一定的時(shí)間間隔內(nèi)會(huì)失效。