Апаратне прискорення FortiASIC

Головна Огляди Апаратне прискорення FortiASIC

03.05.2018

Fortinet — світовий лідер у галузі високоефективних рішень щодо забезпечення інформаційної безпеки — у питаннях продуктивності робить ставку на операційну систему FortiOS у зв’язці з FortiASIC. Це спеціалізований набір мікросхем, процесори прискорення аналізу контенту і обробки мережевого трафіку власної розробки. Розглянемо докладно, як саме ці процесори прискорюють обробку й аналіз пакетів.

Більшість моделей FortiGate мають спеціалізоване апаратне прискорення FortiASIC (Application Specific Integrated Circuit) для обробки трафіку і зниження затримки, що розвантажує основний процесор (CPU).

Network processors (NPs) — для обробки мережевого трафіку;
Content processors (CPs) — для функцій безпеки;
System-on-a-Chip Processor (SOC3) — для спільної роботи функцій безпеки й обробки трафіку.

Network processors

Мережеві процесори NP працюють на рівні інтерфейсу для прискорення трафіку завдяки його розвантаженню від основного процесора. Сучасні моделі містять NP6 і NP6 lite. На сьогодні NP6 є останньою розробкою і можуть розвантажити такий трафік і послуги:

трафіки IPv4 та IPv6, NAT64 і NAT46;
трафік Link aggregation (LAG) (IEEE802.3ad);
TCP, UDP, ICMP і SCTP;
трафік IPsec VPN, а також шифрування і дешифрування IPsec (включно з SHA2-256 і SHA 2-512);
незашифрований трафік IPsec;
IPS на основі аномалій, розвантаження контрольної суми і фрагментації пакетів;
сесії SIT і IPv6 Tunnelling;
трафік Multicast (включно з Multicast всередині IPsec);
трафік CAPWAP;
шейпінг-трафік і формування черги за пріоритетом;
Syn-проксінг;
трафік проходить через лінк Inter-VDOM;
IPS;
Application Control;
CASI;
Flow-based antivirus;
Flow-based web filtering.

NP не підтримує розвантаження модифікованого контенту на рівні додатків. Це означає, що сесії не розвантажуються, якщо в політиці є такі функції безпеки:

proxy-based virus scanning;
proxy-based web filtering;
DNS filtering;
DLP;
Anti-Spam;
VoIP;
ICAP;
Web Application Firewall;
Proxy options.

Content processors

Контент-процесори CP працюють на системному рівні із завданнями, визначеними CPU. Нові моделі FortiGate (2000E, 2500E, 6040E) містять CP9. Також на сьогодні актуальною версією є CP8.

CP може розвантажити такі завдання:

Flow-based inspection IPS, Application Control, Cloud Access Security Inspection (CASI), Web Filtering, DLP і Antivirus;
High performance VPN bulk data engine;
IPsec and SSL/TLS protocol processor;
DES/3DES/AES in accordance with FIPS46-3/FIPS81/FIPS197;
ARC4 in compliance with RC4;
MD5/SHA-1/SHA256 with RFC1321 and FIPS180;
HMAC in accordance with RFC2104/2403/2404 and FIPS198;
Key Exchange Processor support high performance IKE and RSA computation;
Public key exponentiation engine with hardware CRT support;
Primarily checking for RSA key generation;
Handshake accelerator with automatic key material generation;
Random Number generator compliance with ANSI X9.31;
Sub public key engine (PKCE) to support up to 4096 bit operation directly;
Message authentication module offers high performance cryptographic engine for calculating SHA256/SHA1/MD5 of data up to 4G bytes (used by many applications);
PCI express Gen 2 four lanes interface;
Cascade Interface for chip expansion.

System-on-a-Chip Processor

Процесори SOC використовуються в молодших моделях категорії Entry Level (Desktop).

Метою SOC-архітектури є об’єднання декількох процесорів у одному чипі заради спрощення загальної конструкції обладнання.

SOC об’єднує в собі CP, NP, RISC-based CPU-процесори. Сьогодні актуальним є SOC версій 2 і 3.

Архітектура SOC

Offloading

Процес розвантаження сесії відбувається в кілька етапів. Перший пакет кожної нової сесії завжди надходить на CPU. Якщо NP підтримує запитувані функції безпеки, які необхідно виконати, CPU відсилає інструкцію для NP про те, що він може обробити цю сесію. Усі подальші пакети для сесії «fast path» переадресовуються в NP. Нарешті, після останнього пакета TCP «FIN» (finish) або «RST» (reset) NP повертає сесію до CPU для закриття сесії. В іншому випадку, якщо NP не підтримує запитувані функції безпеки, які потрібно обробити, усі пакети в цій сесії повинен відпрацювати CPU.

Паралельна обробка трафіку, реалізована за допомогою процесорів FortiASIC, оптимізує апаратні та програмні ресурси платформ FortiGate, забезпечуючи високу ефективність і продуктивність у сучасних мережах. Як результат — виявлення та усунення загроз безпеки досягається у разі наднизьких затримок і максимальної пропускної спроможності. За рахунок взаємодії з ОС FortiOS забезпечується комплексний захист на рівні мережі, додатків і даних у режимі реального часу. Завдяки різним варіантам поєднання CP FortiASIC і NP FortiASIC досягається оптимальний рівень захисту і співвідношення «ціна-якість» для різних споживачів. Усе це робить платформи FortiGate потужним інструментом для боротьби із загрозами безпеці, що ширяться.

Шлях пакета в розвантаженій сесії

Меню

Каталог товарів

За категоріями За Вендорами