摘要：面对日益严峻的网络安全威胁,NIDS/NIPS成为实现网络安全防护的重要手段。针对现有NIDS/NIPS软件Snort和Iptables数据处理性能的不足,文章提出一种基于DPDK的虚拟化网络入侵防护系统v D-IPS。v D-IPS系统的整体架构,重点设计和实现了基于DPDK零拷贝的入侵检测模块、流量清洗模块。针对多元的攻击环境,设计并实现了模式匹配算法的选择机制。经过实验验证,v D-IPS满足入侵检测、流量清洗的功能需求,v D-IPS接收与检测报文单核比Snort提升约1.64倍,双核提升约2.62倍;v D-IPS转发报文单核比Iptables提升约1.56倍,双核提升约1.89倍,三核提升约2.21倍。与Snort和Iptables相比,v D-IPS在具有相同的入侵检测与防护能力的情况下还具有更优的性能,并且随着核数的增加,v D-IPS性能有进一步的提升。另外,v D-IPS具备模式匹配算法选择功能,对于不同的模式串规模和字符串长度,v D-IPS可以灵活选择对应最优的算法。