高性能高可靠性高扩展性分布式防火墙架构

随着网络规模不断扩大、各种应用业务日益增多，特别是政府、电信、金融、电力等关键行业的数据中心、电信网络等的数据流量巨大，技术含量不断提高，都要求有一个高可靠性、高质量和高安全性的网络来承载，支撑由此带来的网络流量、管理控制、交换传输的复杂变化对网络的新要求，并保证网络以及信息系统的安全。为了满足上述信息系统安全需求，传统的防火墙已经显的力不从心了。这就对防火墙系统的架构提出了新的挑战。

随着网络的升级和扩容，传统的盒式防火墙已经很难满足大容量、高性能、可扩展的需求和挑战。这就引入了机架式防火墙产品的设计与研发。分布式的Crossbar架构能够很好的满足高性能和灵活扩展性的挑战。

分布式Crossbar架构除了交换网板采用了Crossbar架构之外，在每个业务板上也采用了Crossbar+交换芯片的架构。在业务板上加交换芯片可以很好地解决了本地交换的问题，而在业务板交换芯片和交换网板之间的Crossbar芯片解决了把业务板的业务数据信元化从而提高了交换效率，并且使得业务板的数据类型和交换网板的信元成为两个平面，也就是说可以有非常丰富的业务板，比如可以把防火墙、IPS系统、路由器、内容交换、IPv6等等类型的业务整合到核心交换平台上。同时这个Crossbar有相应的高速接口分别连接到两个主控板或者交换网板，从而大大提高了双主控主备切换的速度。

上面的分布式Crossbar技术解决了高性能、可扩展的需求，下面的主要部件备份冗余设计解决了高可靠性的需求。如图1所示：不仅交换网板和控制模块采用双冗余设计，防火墙板、电源和接口板也采用双冗余设计。

为了配合分布式硬件架构，软件也采用分布式设计。主控板上运行主操作系统，负责整台设备的管理配置、路由学习、配置下发等。业务板操作系统负责接收下发的配置，和业务处理等功能。

1． 从接口业务板 接收的数据包重定向（保护vlan 内的包）到安全业务板上；

2． 安全业务板1收到报文；

4． 向接口业务板发送数据包；

5． 数据包从接口业务板目的端口进行发送；

如图3所示：我们把vlan1的数据定向到安全业务板一上，把vlan2的数据定向到安全业务板二上，把vlan10的数据定向到安全业务板十上。这样我们就能够获得10倍于一块安全业务板的处理性能。