Akcelerace nástrojů síťové bezpečnosti pomocí DPDK infrastruktury

Abstract

V tejto práci je skúmaná problematika spracovávania a predfiltrovania vysokorýchlostných sie-ťových tokov na vrstvách 2 a 3 OSI modelu pre bezpečnostné aplikácie. Pre implementáciu proof-of-concept infraštruktúry je použitá knižnica Data Plane Development Kit (DPDK). Účelom tejto práce je navhrnúť infraštruktúru, ktorá bude riešiť problém zachovávania tokov paketov pri rozkladaní záťaže medzi jednotlivé bezpečnostné aplikácie aj vo vysokorýchlostných sieťach v rá-doch [?]100GiB s funkčnými filtrovacími pravidlami (ACL). Pomocou tejto DPDK infraštruktúry boli dosiahnuté požadované rýchlosti so zanedbateľnou drop rate paketov. Výsledky tejto práce umožňujú navrhnúť vysokorýchlostné sieťové zariadenia na vyvažovanie záťaže, ktoré budú za-chovávať toky paketov medzi jednotlivé bezpečnostné aplikácie, čím pomôžu daným aplikáciám pri korektnejšej analýze tokov paketov. V prílohe sú uvedené kompletné zdrojové kódy pre pred-filtrovaciu infraštruktúru spolu s jednoduchým generátorom sieťových tokov.This thesis explores the problem of high-speed packet flow pre-filtering and processing on OSI layers 2 and 3 for the network security applications. The Data Plane Development Kit (DPDK) framework was chosen for the implementation of the proof-of-concept infrastructure. The goal of this thesis is to design an infrastructure that will solve the problem of preserving packet flows in the load-balancing between the specific network security applications in the high-speed networks in order of [?]100GiB with the access control lists (ACL). Using the DPDK infrastructure, desired speeds were reached with negligible packet drop rates. The results of this thesis enable to further design high-speed network load-balancers that will preserve the packet flows between the network security applications, thus helping these applications to more accurately analyze packet flows. Source codes used for the prefiltering infrastructure can be found as an attachment to this thesis, together with a sample packet flow generator.