Teraspek网络可视化交换机具备灵活的全栈可编程能力,在保留传统交换芯片高性能的同时,可实现基于软件自定义的深度报文解析和转发逻辑处理。
基于Scale-wide架构理念,Teraspek网络可视化交换机具备灵活的横向扩展能力,可实现高达Pbps级的大流量同源同宿部署。
Teraspek业界领先的智能信令解析引擎,支持对2G/3G/4G/5G移动核心网各接口的信令协议进行解析和移动混合流量的关联打标,并依据关联打标信息进行流量过滤与分流。
传统的云网络只是为云中的上层业务系统提供最简单的三层通道服务,并未涉及到任何与业务相关的处理流程。随着越来越多的业务向云计算环境的迁移,上层业务对底层承载网络也提出了更高、更灵活的需求。例如,云计算的运营者希望能够将L4SLB(Layer 4 Server Load Balancing,四层服务器负载均衡)卸载到云网络中,以避免在上层业务系统部署该功能所带来的各种弊端(如性能低、运维复杂、侵占计算资源等)。网络处理这一类业务时,往往需要对深层协议进行识别和处理。在上述例子中,网络需要识别业务流量的会话信息,而这样的会话信息存在于报文的深层协议头部。
网络设备系统一般会被划分为两个层面:控制平面和数据平面
控制平面则由以控制CPU为核心的子系统构成,负责接收来自于用户和业务的控制指令,学习网络的可达性信息,并将这些指令和信息下发到数据平面,指挥数据平面的工作;控制平面的CPU决定了其能够处理报文复杂的深层协议信息,但是其性能却远远无法做到线速。
数据平面由以交换芯片为核心的子系统构成,数据平面从控制平面接收各种控制命令和转发表项,再根据这些命令和表项接收、处理和发送业务流量;交换芯片的架构决定了数据平面的高性能,但是同时也意味着数据平面无法处理复杂的深层报文信息。
首先,该技术先基于定制化的网元自学习功能,分离出属于不同网元的完整的信令面流量和用户面流量,将同一个用户的各接口数据发下到一台设备上,保证了各接口间的关联,从而解决了运营商集中混合大数据接入监控面临的技术瓶颈。
进而对信令面信息进行解析,并将信令面解析到的关键信息打标到用户面数据的指定位置,之后可以依据打标信息进行分流过滤。打标的主要信息包括:MSISDN、IMSI、IMEI、ECGI、TAI、UE IP等字段,用户可以设置策略根据打标信息对用户数据进行分流。
网络设备所采用的交换芯片一般都在其内部集成了报文缓存,用来暂时存储当拥塞发生时来不及处理的数据报文,避免报文丢失给上层业务带来的损伤。交换芯片的报文缓存机制就是云的底层支撑网络应对突发微浪涌流量的最重要手段之一。
交换芯片的报文缓存机制:统一共享和分片式
在目前的交换芯片市场上,不同的厂商、不同的芯片一般采用两种不同的片内报文缓存机制:统一共享报文缓存架构和分片报文缓存架构。顾名思义:
在统一共享报文缓存架构中,芯片内部集成了一片大的报文缓存,而所有收发业务报文的物理接口则统一共享这一片大的报文缓存;
而在分片报文缓存架构中,若干片较小的报文缓存共同组成了芯片内部的报文缓存,相应地,所有的物理接口也被划分成了不同的组,同一组内的物理接口则共享对应的一小片报文缓存。
例如,在一个拥有32个物理接口、24MB报文缓存的交换系统中:
在MPLS、GRE、GTP等有隧道封装情况下的,要实现基于隧道内层IP五元组分流需求,一般分流设备需要通过FPGA、MIPS等硬件处理来实现,我们的SF3000/SF8000系列产品就是基于MIPS实现,基于FPGA、MIPS等方式实现的内层五元组分流方案,单台设备的处理性能通常只有几十Gbps,成本较高。
PacketFabric系列产品可以提供低成本高性能的的解决方案,该系列产品基于可编程交换芯片的支撑以及优化的软件设计,不需要FPGA、MIPS支撑,即可以识别隧道封装,并实现基于隧道内层IP五元组的分流,基于该方案,单机性能提升10倍以上,从而大幅降低用户的部署成本。
中创腾锐SpekFabric12000系列业务洞察交换机基于ACTA架构设计,支持双星(2*100G背板连接)、双双星(4*100G背板连接)配置方式,提供大容量、高可靠、高性价比的选择。
除了标准化的集电源、风扇、背板等于一体的机框,还为ATCA提供多样化的板卡。主要板块类型包括:
交换板:主要用于星型、双星、双双星等背板结构下各板卡之间的高速数据交换互连;
业务处理板:各板卡处理各自的网络计算业务。在移动互联网可视化方案下,业务处理板又进一步区分为两大类:IP信令处理板和CP信令分流板。IP板主要完成信令解析和话单输出(统一DPI格式的CDR),CP板卡则完成信令数据的关联及用户数据打标输出;
线路板:完成高速汇聚分流功能;
RTM后接口板:主要用于连接高密度网络业务接口。
中创腾锐的动态负载均衡输出容错保护机制技术实现如下,当一条负载均衡链路输出出现故障时,仅故障链路涉及的流量需要重新计算并分配到其它活跃链路上,其它活跃链路上的流量不需要进行重新分配,从而可以最大程度降低故障影响。
中创腾锐DPI技术模块提供简单灵活的特征规则描述语法,通过定义端口、特征字符串及PCRE 正则表达式描述应用协议;特征协议规则由配套编译器编译后,可以动态加载到硬件系统上,实现特征的在线无缝切换。
中创腾锐DPI应用协议规则主要特点如下:
采用MIPS多核处理器(可达48核),充分发挥了各协处理单元的加速能力,可以从容支持如报文分析、TCP处理、加解密算法、正则匹配搜索、压缩解压缩等典型网络业务分析处理功能的高性能实现。
可灵活选配MIPS或ARM多核管理CPU,实现对现有软件应用的快速适配。
采用新一代数据中心交换芯片,在1U单位空间上最多支持多达48个万兆以太网接口,典型的L2-L4层报文处理可以在交换芯片中实现480Gbps的全线速处理;而典型的L4-L7层报文,则可以进一步上交到多核处理器中进行处理。
此平台还可以支持通过40GE QSFP+接口实现多处理节点级联。
高性能硬件平台支持以静态配置模式提供在既有的1U空间内增加额外的多核处理节点,通过CPU处理节点扩充,用户可以在主板成熟软硬件系统解决方案上极其方便的增加自己的软件扩充模块,以松耦合的方式实现多个软件模块的高效集成。
从内存设计到电源设计,从网络接口交换子系统设计到CPU子系统设计,充分考虑了高端设备在现实机房中的节能要求,现网案例表明,单CPU节点满负荷典型应用的功耗仅160W,是类似其他主流CPU应用系统功耗的1/3到1/5。
基于SpekFabric系列优化设计的去重算法,可去除高达1秒滑动时间窗口范围内的重复数据包,单机去重性能高达80Gbps。
可以适应不同场景部署需要,支持自定义匹配偏移和深度,也可以忽略比对数据包包头特定标识位。
SpekFabric系列支持数据包脱敏处理,可以支持多种方式的脱敏处理,如对报文进行指定偏移位的截短处理、对指定偏移位的敏感字节进行隐去或替换,对匹配字符串进行隐去或替换,也可以直接针对关键字进行脱敏处理。
多样化的脱敏方式,满足不同应用场景部署的需要。
中创腾锐提供完善的数据报文截短方案,支持在入接口进行报文截短,也支持在出接口实现报文截短,截短后的报文长度可以设置。
为满足SSL解密监控的需要,SpekFabric3000系列设备需要能够获取到服务器端的CA数字证书,从而可以解密客户端和服务器端的通信过程,完成解密监控的需要。此场景下,SpekFabric3000系列设备为旁路监控部署,不对原有通信过程施加任何影响。
SpekFabric3000系列设备也支持串接部署模式,该模式下,SpekFabric3000系列设备利用通过一定的渠道获得合法证书,接管用户的SSL连接请求( TCP端口443 ),并与用户端和服务器端分别建立SSL连接,从而可以全面监控用户的SSL连接请求(类似于实施了SSL中间人劫持方案)。
对于解密后的业务流量,可以按照后端监控系统的实际需求进行分流或过滤以后,提交给后端,满足解密监控的需要。