Cavium OCTEON网络处理器的安全性能

在通信网络日益复杂，新业务大量涌现的形势下，对网络业务流量的控制能力和网络安全也提出了更高的要求，而作为网络设备核心单元的网络服务处理器势必面临着更大的挑战。一方面，越来越多的接入用户以及越来越多样化的业务需求使得各种网络设备必须提供足够的吞吐量；另一方面，由于网络应用不断更新和变化，新业务不断涌现，这就要求服务提供商能快速地满足用户的需求，增多盈利模式，从而巩固和提高竞争力。因此，一种编程简单、针对市场需求升级容易、而且能提供强大吞吐量的新一代处理器产品及解决方案便成为市场追逐的焦点。

作为专注于在安全、智能网络领域的全面芯片解决方案的领先供应商，Cavium公司当然懂得商机的价值，不失时机地推出了OCTEON处理器系列，为网络、无线、控制和存储等应用提供高度集成化和低成本的64位计算的解决方案。依托其经验丰富的高端微处理器设计团队及嵌入式系统和应用软件团队，Cavium公司新推出的OCTEON处理器被广泛地设计进了各种网络设备，包括路由器、交换机、统一威胁管理（UTM，Unified Threat Managment）设备、应用认知（Application-aware）网关、三网合一（Triple-play）网关、无线局域网（WLAN）、3G接入和聚合设备以及网络存储设备等。其与众不同的设计理念，包括：更关注于提供杰出的应用性能；通过广泛的、根据条件的时钟控制来降低功耗；处理器核心内建硬件加速器；使用多核技术，而不是简单的提高CPU的频率；一体化的针对不同应用的专用协处理器；使用标准指令集的简单软件模型。

为了突破下一代网络、无线、控制和存储应用对特性和性价比的需求，新的SOC（System on Chip）集成了专门定制的MIPS64处理器和业界最先进的多层应用（multi-layer applications）加速和安全处理硬件，以及丰富的可配置的网络接口。由于目前已有的处理没有足够的马力来满足现在网络的需要，现在的解决方案都是使用一个吉赫兹（GHz）的处理器配上各种各样的协处理器和FPGA，最终的结果是成本很高、功耗很大。Cavium公司推出的OCTEON CN31XX和CN30XX处理器则成功地满足了下一代IPv4和IPv6网络的各种需求，它集成了广泛的从L3-L7的数据、内容和安全服务硬件加速选项，这些加速器分担了MIPS CPU的很多任务、降低了获得千兆线速所需要的CPU主频，从而降低功耗和成本。OCTEON处理器的出现使得安全的应用认知型网络成为普遍配置。

新推出的OCTEON产品家族包括：针对中小企业、企业级和控制层应用的OCTEON 31XX处理器及针对SOHO/SME和控制层应用的OCTEON 30XX处理器。OCTEON CN31XX和CN30XX处理器基于与目前已有的CN38XX和CN36XX同样的定制的cnMIPS64 CPU核。CPU核心是专门针对最好的网络和服务性能专门设计的，并且功耗非常小。cnMIPS核心是业界第一款 MIPS64第二版的实现，5级流水线、双指令超标量体系结构，成熟的预取和优化的缓存和内存延时。每个处理器有1个或者2个带有最多256KB L2缓存和丰富接口的cnMIPS核心，这些I/O接口包括千兆以太网接口、PCI/PCI-X、DDR2、SPI、UART 和扩展总线。处理器的主频从300MHz到550MHz，最大功耗的范围是从2瓦特到7瓦特，同时性能范围是从几百兆到2Gbps的吞吐量。

另外，CN31XX和 CN30XX处理器还有丰富的硬件加速选项，每个处理器有CP（通信处理器，Communication Processor）、SCP（安全通信处理器，Secure Communication Processor）和NSP（网络服务处理器，Network Services Processor，仅 CN31XX 有 NSP 版本）三个版本。CP版本包括针对包处理（Packet Processing）、TCP、队列/调度（Queuing/Scheduling）和服务质量（QoS）等硬件加速功能，SCP添加了对IPsec/SSL、SRTP和WLAN安全的加速功能，NSP版本增加了针对深度包检查（Deep Packet Inspection）和压缩/解压缩（Compression/Decompression）的加速。

具体的应用加速功能如下：

·    丰富针对IPv4和IPv6数据包的L2-L4基于硬件的包处理和缓冲区管理（Buffer Management）引擎
·    TCP硬件加速包括全面的检查、标签产生（tag-generation）、校验和（checksum）、定时器（timer）和缓冲区管理
·    队列/调度和服务质量硬件实现了针对输入包的基于diffserv、QoS/ToS、输入端口或以上组合的队列/调度，针对输出包的基于固定优先级（fixed prioritization）或加权公平队列（weighted fair queuing, WFQ）
·    安全硬件加速完全分担（full offload）针对IPsec、SSL、SRTP和WLAN 802.11i 安全的协议处理，支持所有的标准算法包括DES/3DES、AES最多支持256bit、AES-GCM、AES-XCBC、ARC4、MD5、SHA-1、SHA-2 最多支持 SHA-512、RSA 最多支持 4096bit、Diffie-Hellman和真正的硬件随机数产生器
·    压缩/解压缩硬件加速实现了GZIP、PKZIP和各种协议，以提供业界最好的几吉比特的压缩率
·    深度包检查通过8个模式匹配硬件加速引擎实现的，这些引擎可以用来针对入侵检测、反病毒和基于内容的交换、路由和过滤应用提供状态模式分析（stateful pattern analysis）。

OCTEON处理器支持LinuxÒ、MontaVistaÒ Linux和Wind RiverÒ VxWorksÒ这些标准操作系统，并且支持一个针对数据层面（data-plane）快速通道（fast-path）软件的瘦执行系统（thin executive）。Cavium Networks提供了完整的软件开发套件，包括 Linux、软件例子、GNU工具链、GDB开发环境和第三方的工具链与开发支持，使得成千上万的MIPS32、MIPS64和其他C/C++应用可以很轻松的被移植到OCTEON上。另外，Cavium Networks还提供针对IPsec、SSL和TCP协议栈的API和软件工具集，使快速面市成为可能。

OCTEON 系列网络服务处理器面向高速数据流 L4-L7 处理，通过对执行环境、内存、硬件加速器、总线结构、网络应用开发接口的综合优化，具有灵活软件体系提供硬件级处理性能的关键特性。以网络服务处理器为核心的下一代网络设备具备高性能和灵活性特点，较好地满足了未来网络和市场对网络设备的技术需求，具有巨大的发展空间，作为智能网络领域的全面芯片解决方案的领先供应商Cavium Networks必将在这一领域搏击长空，分得属于自己的一杯羹。