一种用于命名数据网络的灵活的基于名称的数据包过滤引擎和系统

《IEEE Transactions on Networking》：A Flexible Name-Based Packet Filtering Engine and System for Named Data Networking

基于NDN的包过滤系统设计与实现采用内核模块与用户空间协同机制，通过14个钩子点处理Interest/Data包，构建规则引擎和Netlink通信接口，实验显示50条规则处理时延约1.6μs。

　　

摘要：

数据包过滤是一种基本技术，它是网络管理和安全性的基础构建块。尽管IP数据包过滤已经相当成熟，但在命名数据网络（NDN）的背景下，数据包过滤的设计和优势尚未得到深入探讨。相比之下，NDN是一种以信息为中心的网络范式，它使用内容名称而非IP地址，支持两种类型的数据包而不仅仅是IP数据包，并且采用有状态的数据平面而非无状态的数据平面。NDN的数据包过滤有许多需要仔细考虑的设计选择，同时也面临着系统层面的挑战。在本文中，我们首次提出了一种基于名称的数据包过滤的完整解决方案，该方案包括一个位于操作系统内核中的灵活过滤引擎以及一个用于用户的基于规则的数据包过滤系统。我们介绍了三个关键组件：ihooks、ifilters和itables。具体来说，ihooks包含了十四个精心设计的钩点，用于对NDN的Interest数据和数据包进行内联处理；ifilters是一个基于规则的过滤引擎，通过匹配操作配置四元组规则；itables通过Netlink套接字在内核和用户空间之间管理规则配置，为用户提供统一的接口。我们的设计遵循了现代操作系统中的数据包处理理念，并已在Linux中得到全面实现。实验结果表明，该系统在规则处理方面表现出色（例如，在四个不同的表中应用50条规则时，平均处理时间约为1.6微秒）。我们的工作为NDN提供了一种实用的全规模数据包过滤解决方案，满足了网络流量控制、内容安全和访问管理的需求。

引言

命名数据网络（NDN）作为互联网的一种特定设计，近十年来一直被视为未来互联网的潜在范式。直到2024年，iStack [1]——第一个集成到操作系统（OS）中的完整NDN协议栈——才被提供并实现，以支持大规模部署和多样化应用。与用于TCP/IP流量管理和安全通信的IP数据包过滤器[2]类似，NDN堆栈同样需要一个先进的数据包过滤系统来实现流量监控、网络工程[3]、[4]、入侵检测和差异化服务[5]、[6]。该系统应根据用户定义的标准检查每个网络数据包，以决定是允许还是拒绝其通过。