Rekonfigurowany system ochrony transmisji danych typu Firewall dla sieci Ethernet o wielkich przepływnościach implementowany w układach FPGA

mgr inż. Maciej Twardy

Promotor: Prof. dr hab. inż. Kazimierz Wiatr
Dyscyplina: Telekomunikacja

Celem planowanych badań było poszukiwanie optymalnej architektury wewnętrznej oraz metod implementacji systemów bezpieczeństwa informatycznego typu Firewall, realizowanych dotychczasowo na drodze programowej, w układach logiki programowalnej FPGA. W efekcie końcowym realizacji prac projektowych powstała kompletna, w pełni funkcjonalna, sprzętowa zapora ogniowa, charakteryzująca się bardzo dużą wydajnością pracy, jak również zapewniająca wysoki poziom bezpieczeństwa procesu weryfikacji danych, adekwatny do wymagań współczesnych sieci teleinformatycznych o dużych przepływnościach.

Ponieważ jednym z głównych priorytetów projektu było uzyskanie maksymalnej wydajności funkcjonowania rozwiązania, zdecydowano się na pełną realizację sprzętową wszystkich niezbędnych bloków sprzętowych architektury Firewalla. Zaprojektowanie od początku wszystkich modułów funkcjonalnych z wykorzystaniem układów FPGA pozwoliło na optymalizację szybkości działania każdego elementu składowego zapory ogniowej, co jest niemożliwe do osiągnięcia przy zastosowaniu komercyjnych, zamkniętych modułów, tzw. IP Cores.

Opracowany sprzętowy Firewall został poddany praktycznym testom porównawczym z komercyjnymi rozwiązaniami zabezpieczającymi. Uzyskał on najlepsze wyniki spośród wszystkich badanych konfiguracji, potwierdzając teoretycznie oszacowane parametry wydajnościowe oraz ogromny potencjał wykorzystania technologii logiki reprogramowalnej FPGA w obszarze bezpieczeństwa systemów teleinformatycznych.

W efekcie przeprowadzonych badań opracowano bardzo wydajny, skalowany oraz w pełni deterministyczny sprzętowy klasyfikator pakietów, oparty na dwóch niezależnych blokach filtrujących adresy i porty sieciowe, umożliwiający przetwarzanie do 160 milionów pakietów na sekundę (maksymalna częstotliwość pracy 160,4 MHz, opóźnienie ścieżki kombinacyjnej 1,67 ns przy wykorzystaniu 2771 bloków slice i 3660 bloków LUT 4-wejściowych dostępnych w układzie Virtex 2vp30ff896-7).