网络路由器核心安全技术

网络路由器是互连网的关键设备,路由器自身的安全对网络系统的安全举足轻重。作为安全网关,路由器保护内部可信子网与外部系统的通信。本支深入分析路由器及内部网络的各种安全威胁,介绍基于路由器的关键的安全技术。     

基于并行流水的转发引擎设计与性能分析

光通信技术对核心路由器报文转发能力不断提出更高的要求。10Gbps光传输技术已经使现有的各种软硬件路由查找方法成为核心路由器转发能力的瓶颈,而更高性能的光传输技术则已经突破了存储器访问速度的极限,使得基于单片存储器的路由转发方法无法应付未来日益增长的需求。在硬件存储器价格非常低的前提下,提出一种使用多个存储器并行流水查找的硬件转发实现结构。通过使用Internet上真实报文数据进行的性能模拟可以看出,随着并行度的增加,整个转发结构可以获得近似于线性的性能加速比。     

基于规则的域间路由系统异常检测

随着Internet的爆炸性增长,域间路由系统变得越来越复杂并难以控制,许多与域间路由安全相关的事件广泛引起了人们的关注。提出一个基于规则的域间路由监测框架,其中的规则可分为常规异常检测规则和特殊异常检测规则,它们能有效用于检测异常路由和可能的攻击行为,这两种规则的不同在于特殊异常检测规则是由大量路由得到的Internet模型来定义。研究了Internet层次模型与ISP商业关系模型的构造,基于这个框架实现了一个原型系统———ISP-Health,最后给出了检测能力结果。     

DSOCC：面向区分服务的拥塞控制

在区分服务(DiffServ)中使用确保转发(AssuredForwarding)进行TCP传输,存在带宽分配不公平问题。已有的工作没有综合考虑订购带宽、报文大小、RTT(RoundTripTime)对TCP性能的影响。为了解决TCP在DiffServ中的公平性问题,提出了面向区分服务的拥塞控制算法DSOCC(DiffServ OrientedCongestionControl)。通过模拟验证了该算法的有效性。