據思科最新公布的《視覺網絡指數：全球移動數據流量預測》顯示，2014到2019年，全球移動數據流量將增長十倍，年復合增長率將達到57%。這一流量的年度運行率將從2014年的30.3艾字節增長至2019年的291.8艾字節。也許，我們從思科的這份統計報告中得出的最令人吃驚的數據信息是，到2019年，54%的移動鏈接將來自“智能”鏈接。而這一比例在2014年僅為26%。

歡迎來到物聯網(IoT)的世界。在這一物聯網的世界，數據信息的量、傳遞速度和數據來源均在發生著極快的變化。今天的網絡專業人士不僅需要利用相關的工具來保護企業網絡，同時還需要確保數據實時的納秒級的精度。

數據包捕獲(PCAP)是其中的一種基本工具。這是一種采用攔截數據包遍歷一個計算機網絡的機制，PCAP是企業部署的一種常見的功能，用以安全事件和網絡性能的監測，識別數據泄漏，排查問題，甚至進行取證分析，以確定網絡漏洞的影響。

不過，現實情況則是：鑒于物聯網對于網絡需求的不斷增加，使得數據的傳輸速度不斷增加，現有的PCAP體系跟不上。企業用戶所使用的是商業化的網絡接口卡(NIC)，并正在努力滿足以10/40/100 Gbps的速率進行精確的捕捉和回放的要求。好消息是，我們今天已經有了一些解決方案，已經被用來實施速度超過100 Gbps的數據包捕獲。利用網絡加速技術，再加上開源的網絡監控和捕獲解決方案，可以使企業用戶能夠滿足高速網絡的精確數據包捕獲和回放要求。

高速網絡的分析與安全解決方案

工程師和管理人員需要的是對于當前網絡基礎設施中所發生狀況的實時、精確的視圖把控，而這就是有效的PCAP和分析系統可以提供的。同樣，精密PCAP系統也給企業用戶提供了創建具有高保真驗證和架構變化驗證，故障排除和分析網絡事件的能力。

當進行高速網絡和安全性解決方案的研究分析時，一個重要考慮的因素是與速度和可編程邏輯準確性開源工具的結合。如下三大關鍵因素是您企業比較相關的選擇方案時值得考慮的：

高精度的時間戳：尋找能夠提供高精度的、基于硬件的時間戳(time stamping)，擁有納秒分辨率進行每幀捕獲和發送的解決方案。基于硬件的時間戳避免了以軟件為基礎的解決方案固有的不可預知的延遲，并實現了對通信流的精確記錄。精密時間協議(PTP)的支持，還可以用于在分布式探測器網絡的精確同步。

在流量入口處指揮流量：在流量入口直接識別流量的技術的實現對于保持立即捕獲和在高轉速下的性能分析是非常重要的。這樣，用戶空間應用程序的負載可以被最小化，管理員能夠動態識別，并將相關的數據流直接導入到特定的處理器內核，以便根據流量的類型進行分析。

以各種速度進行數據包捕獲和重放：如果企業的目標是以各種速度實現高速的數據包捕獲和重放，包括1/10/40/100 Gbps，網絡加速卡(NAC)基于現場可編程門陣列(FPGA)是理想的選擇。此外，NAC允許精確的幀間間隙(IFG)控制，這在回放捕獲的流量進行故障排除或模擬業務流時，是至關重要的。

標準的數據包捕獲(PCAP)

對于網絡基礎設施進行數據包捕獲和分析的重要功能，企業用戶以往的歷史上是依賴于軟件工具。在這種情況下，軟件是安裝在指定的監控主機上，配置網絡輪詢包，將商業化的網絡適配器置于混雜模式，并連接到網絡使用一個交換機端口分析儀(SPAN)接口。下圖1說明了低速的PCAP使用商業化的網絡接口卡(NIC)和libpcap的典型結構。

圖1：傳統的PCAP體系結構

在此架構下，每次網絡適配器收到以太網幀時，它會產生一個中斷請求，并從適配器的內存緩沖區復制數據到內核空間中。通常情況下，內核空間驅動器確定該數據包是否是用于該主機，或者丟棄數據包，或者將其傳遞給協議棧，直到它到達用戶空間被指定的應用程序時。但是，當為混雜模式進行配置時，所有數據包均被捕獲到內核緩沖區無論其目標主機如何。一旦內核緩沖區滿時，上下文切換被執行以將數據傳送到由libpcap管理的用戶空間緩沖，這是一個與用戶級數據包捕獲無關的一個獨立系統接口，使得數據可以由用戶級應用程序進行訪問。

內核緩沖區從用戶級應用程序中移除，并且要保持應用程序訪問內核管理內存。鑒于這種結構，很明顯，當一個幀被適配器接收到，而其實際上是要交付給用戶空間應用程序進行處理時，某些一定的時間間隔內會失效。

當數據傳輸速率低時，這一時間間隔并不會對PCAP的準確性產生顯著影響，但在更高的速率下，情況是復合的，CPU趨于飽和，試圖跟上傳入的數據，則會導致捕獲損失和時序問題。例如，我們可以考慮一個1 Gbps的網絡鏈接可以推動每秒150萬數據包，或一個數據包需要花費670納秒。相反，在10和100 Gbps條件下，系統處理一個數據包，分別為每67或6.7納秒。

對于傳統的架構，以這種速率捕獲數據包，而不增加時間，分類，流量識別和過濾精確度的復雜性已經很難了。在這種速率情況下，執行無損高保真的數據包捕獲，回放和實時數據流分析需要采用與PCAP不同的方法，其中一種便是將大量的數據處理從用戶空間移動到硬件，同時也消除了低效的用戶到內核空間的相互作用。

面向未來的PCAP

相反，硬件加速，使得在高速網絡實現PCAP的目標成為可能。有針對性地使用可編程邏輯加上開源的工具，允許將數據被傳遞到用戶空間應用程序之前進行準確地捕獲，并在網絡加速卡處理(NAC)。圖2說明了一款加速PCAP架構看起來的樣子。

圖2：加速PCAP體系結構

對于線速數據包分析和在線事件處理，在硬件中以1/10/40/100 Gbps的速度，高性能的NAC使用FPGA。由于其可編程特性，FPGA在其中發揮了重要的作用，非常適合于許多不同的市場。這些半導體設備是基于通過可編程互連連接的可配置邏輯塊(CLB)的矩陣。FPGA可重新編程，以滿足應用程序所需或功能的要求。通過使用基于NAC的FPGA，網絡管理員可以立即改善企業的監控，并具備了應對發生在其網絡基礎設施事件的能力。

該架構采用了線速率數據包分析，將大部分的幀處理推到硬件的捕獲設備，其可以部署在一個商業化的服務器或工作站，為更高層次的分析維護處理器周期。這種方法確保了數據處理時，相關的數據已經傳遞給了用戶的空間緩沖區，可以由應用程序訪問，已被時間戳，并適當地進行分類和篩選。

將這些設備與開源應用程序結合創建了一種強大的且具有成本效益的解決方案，可以提供多種用途。一般來說，高性能的NAC使內部開發易于伸縮規模化，高性能的網絡應用程序超過了PCAP。即使是復雜的載荷分析和網絡廣泛的相關算法可以很容易地使用有效的基于流的負載均衡機制建立在NAC。該應用程序執行更復雜的分析，更為關鍵的是，從捕獲設備的PCAP流沒有丟失數據包，框架是正確的順序。諸如協議重建，重組，事件檢測和QoS計算等任務由于PCAP性能的不足嚴重阻礙了。

另一個最佳實踐是尋找IEEE 1588，或精密時間協議(PTP)解決方案的支持。這樣做時，精確的時間同步被保持在分布式部署中，多個加速的PCAP探針被部署在整個網絡的基礎設施。這種方法允許從多個NAC的多個端口的幀合并成一個單一的時間排序的分析流。在數據捕獲中保持時間保真度的這個水平，確保了企業可以以數據被捕獲完全相同的方式進行回顧性分析網絡事件，回放數據，完成精確定時和幀間間隙控制。

關鍵是要理解和衡量績效，找出瓶頸所在，排查解決問題，并保護環境的安全性;要做到這一點，企業需要的是對于其企業網絡中所發生狀況的實時視圖，以及執行活動的回顧性分析的能力。因此，數據包捕獲和分析將繼續在企業數據管理和保護各種規模的網絡中發揮關鍵作用。

PCAP的現代數據負載

現代高速網絡對于用傳統手段來執行PCAP無疑是太快了，從而導致了大量數據包的丟棄和數據的不精確。隨著移動數據流量的大增，企業需要在10/40/100 Gbps的速度和更高傳輸速率情況下執行PCAP。這將需要捕獲的數據包的處理發生在入口點，同時確保精度進行維護，且數據包也不會丟失。企業可以創建使用可編程邏輯和開源軟件部署在COTS服務器上的面向未來的解決方案，以滿足PCAP對高速網絡的需求。

關于作者

本文作者丹尼爾·喬瑟夫·巴里是Napatech公司的副總裁兼首席宣傳官。他在IT和電信行業擁有超過20年的經驗。在2009年加入Napatech之前，丹喬曾擔任TPack公司的營銷總監，這是一家電信行業領先的運輸芯片解決方案供應商。從2001年到2005年，他曾擔任光學組件供應商NKT Integration公司(現在的Ignis Photonyx)的銷售和業務發展總監，之后又擔任過愛立信公司的產品開發、業務發展和產品管理的各種職務。丹喬于1995年從愛立信的研發部門的一個職位跳槽到Jutland Telecom(現在的TDC公司)。他擁有都柏林圣三一學院電子工程學士學位以及MBA學位。