摘要：随着互联网上应用的丰富和网络带宽的增长,带来的安全问题也与日剧增,除了传统的垃圾邮件、病毒传播、DDoS攻击外,还出现了新型的隐蔽性强的攻击方式.网络探针工具是一种部署在局域网出口处的旁路设备,能够收集当前进出网关的全部流量并进行分析,而网络探针工具中最重要的模块就是数据包的捕获.传统的Linux网络协议栈在捕获数据包时有诸多性能瓶颈,无法满足高速网络环境的要求.介绍了基于零拷贝、多核并行化等技术的多种新型的数据包捕获引擎,并基于Intel DPDK平台设计并实现了一个可扩展的数据包捕获系统,它能够利用接收端扩展(receiver-side scaling,RSS)技术实现多核并行化的数据包捕获、模块化的上层处理流程.除此之外,还讨论了更有效、更公平的将数据包分发到不同的接收队列所应使用的Hash函数.经过初步的实验验证,该系统能够实现接近线速的收包并且多个CPU核心间实现负载均衡.

摘要：为了提高通用平台网络地址转换(NAT)的性能,设计了高性能可扩展网络地址转换系统——Quick NAT.高速网络地址转换查表算法将原始规则表划分为若干子表,并采用哈希查表算法极大地提高了NAT规则的查找效率;为了充分发挥多核中央处理器(CPU)和多队列网卡的性能优势,设计了高效的并行架构,使用本地化的连接记录表和基于比较并交换原子操作的无锁NAT规则表,避免了多CPU核访问修改全局表带来的锁开销;借助轮询取代中断、越过内核等机制,全程使用指针操作数据包,实现零拷贝,进一步降低开销.实验结果表明,Quick NAT可以极大地提高NAT查表的效率和吞吐量,具有较强的多核可扩展性,能够在10 Gbit/s的网络环境下实现64 byte小包线速.

摘要：文中首先设计了信任协商的跨域访问控制模型,分析了多安全域的自动信任协商、安全域内的信息等,在属性的自动信任协商模型设计中主要阐述了信任建立过程、会话过程中的安全机制。