防火墻（firewall）是一項協(xié)助確保信息安全的設(shè)備，會依照特定的規(guī)則，允許或是限制傳輸?shù)臄?shù)據(jù)通過。防火墻可以是一臺專屬的硬件也可以是架設(shè)在一般硬件上的一套軟件。所謂防火墻指的是一個由軟件和硬件設(shè)備組合而成、在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間的界面上構(gòu)造的保護屏障。是一種獲取安全性方法的形象說法，它是一種計算機硬件和軟件的結(jié)合，使Internet與Intranet之間建立起一個安全網(wǎng)關(guān)（Security Gateway），從而保護內(nèi)部網(wǎng)免受非法用戶的侵入，防火墻主要由服務(wù)訪問規(guī)則、驗證工具、包過濾和應(yīng)用網(wǎng)關(guān)4個部分組的。

　　防火墻始終向著高性能，強大的QoS保證能力和深度防御三個方向發(fā)展。政府，金融電力等關(guān)鍵行業(yè)的數(shù)據(jù)中心、大型電信運營商的網(wǎng)絡(luò)流量巨大，業(yè)務(wù)復(fù)雜。多業(yè)務(wù)下的流量劇增不僅對帶寬提出了很高的要求，而且對防火墻多業(yè)務(wù)支持的功能和性能方面也提出了更高的要求。高端用戶常常采用高性能服務(wù)器對外提供特定的網(wǎng)絡(luò)服務(wù)。由于訪問者、時間、地點復(fù)雜，并且一些網(wǎng)站需要提供商業(yè)用途，所以對安全性的要求也很高，這就需要防火墻對數(shù)據(jù)包進行深層次的檢查，進行惡意代碼、SQL注入等多種攻擊行為的檢測，同時能夠有效防范DDOS攻擊，保障例如網(wǎng)上銀行等關(guān)鍵性應(yīng)用穩(wěn)定運行，防范各種形式的攻擊和入侵。

　　FPGA（Field-Programmable Gate Array）在現(xiàn)代數(shù)字電路設(shè)計中發(fā)揮著十分重要的作用。FPGA的身影出現(xiàn)在從設(shè)計簡單的接口電路到設(shè)計復(fù)雜的狀態(tài)機，甚至設(shè)計"System On Chip"。FPGA的體系結(jié)構(gòu)能夠保證4-10G路由和安全訪問控制的線速處理能力，包括各類多媒體業(yè)務(wù)、實時或非實時業(yè)務(wù)、連接或非連接業(yè)務(wù)等。同時，以FPGA作為處理和交換架構(gòu)的基礎(chǔ)，還可以通過FPGA良好的可編程性對數(shù)據(jù)包和協(xié)議進行深層次的檢查和過濾，而且投資規(guī)模小，開發(fā)周期短，是一種非常理想的高性能防火墻硬件平臺架構(gòu)。

　　FPGA有下面幾個方面的技術(shù)優(yōu)勢：

　　1. 縮短產(chǎn)品開發(fā)周期。產(chǎn)品上市時間是推動網(wǎng)絡(luò)處理可編程解決方案發(fā)展的主要動力之一，F(xiàn)PGA不僅可以通過縮短開發(fā)周期，還能通過縮短調(diào)試周期以加快產(chǎn)品上市時間。

　　2. 提供良好升級性能。FPGA具有較強的軟件升級功能，利用業(yè)界標準的HDL和C代碼，以及FPGA制造商提供的基于平臺和工具集方法的工具，可以很方便地實現(xiàn)軟件在各代FPGA中的無縫移植。FPGA往往有一定的預(yù)留性，比如一個常見的800萬門的FPGA芯片在實際使用約為200萬門左右，預(yù)留的部分就是為了安全設(shè)備日后升級所用。在硬件升級方面，F(xiàn)PGA可以實現(xiàn)現(xiàn)場可編程，因而能輕松升級，很好地滿足需求變化，延長了產(chǎn)品壽命，有助于網(wǎng)絡(luò)安全設(shè)備跟蹤標準和協(xié)議的持續(xù)變化。

　　3. 實現(xiàn)復(fù)雜分類查詢。例如VPN（虛擬專用網(wǎng)）和IPSec這樣的業(yè)務(wù)需要復(fù)雜查詢功能。查詢和分類可通過復(fù)雜的迭代算法實現(xiàn)，F(xiàn)PGA能在邏輯電路的狀態(tài)機內(nèi)實現(xiàn)查詢。從而縮短了查詢的周期，提升了系統(tǒng)整體的性能。

　　4. 提供高抗擾能力。FPGA的串行連接技術(shù)可以減少引腳數(shù)量、減小接頭尺寸、降低電磁干擾輻射（EMI）、提高信號完整性和更好地抵抗噪聲，從而大大提高升了系統(tǒng)的抗干擾能力，非常適用于對電磁輻射安全有特殊要求的應(yīng)用環(huán)境。

　　5. 優(yōu)化系統(tǒng)整體性能。安全設(shè)備的器件數(shù)目和期望性能之間存在一個平衡點，而將所有器件堆積在一個設(shè)備中將破壞整體性能。例如，如果能在主分組處理器件上實現(xiàn)安全處理功能，不僅能減少器件數(shù)目，還可從增加的性能中受益。FPGA的性能可以隨著規(guī)格效率方便的擴展，某些需要查詢和密集控制的應(yīng)用可通過采用協(xié)處理器/嵌入式處理器來更好地實現(xiàn)。

　　6. 與FPGA技術(shù)相比，ASIC技術(shù)將指令或計算邏輯固化到了硬件中，缺乏靈活性，不便于修改和升級；深層次包分析（L4+）增加ASIC的復(fù)雜度，不能滿足防火墻產(chǎn)品對網(wǎng)絡(luò)協(xié)議進行二到七層處理的需求；ASIC的開發(fā)周期長，設(shè)計費用昂貴且風(fēng)險較大。，采用ASIC技術(shù)的防火墻的問題在于缺乏可編程性，對新功能的實施周期長，很不靈活，使得它難以跟上當今防火墻功能的快速發(fā)展。在日益猖獗的黑客攻擊面前，特別是針對在應(yīng)用層攻擊（如Slammer、沖擊波病毒）等面前顯得無能為力。對于單臺防火墻設(shè)備，F(xiàn)PGA芯片的成本占總成本的比重很低，而且采用FPGA架構(gòu)可以通過配置和添加基本軟件來實現(xiàn)定制，從而不斷提升產(chǎn)品的性價比。

　　交換結(jié)構(gòu)是基于FPGA防火墻產(chǎn)品的關(guān)鍵部分，是解決高速報文轉(zhuǎn)發(fā)及處理的主要方式，它的性能直接決定了防火墻性能。交換架構(gòu)采用共享內(nèi)存機制，具有很高的吞吐率，而且實現(xiàn)簡單，架構(gòu)可擴展性強，可以很容易地進行視頻處理、VPN等功能擴展。

　　我們都知道，防火墻與交換路由在性能上始終存在差距，未來網(wǎng)絡(luò)性能技術(shù)會隨著用戶需求、芯片技術(shù)的發(fā)展呈幾何級發(fā)展，防火墻技術(shù)需要快速發(fā)展才能真正網(wǎng)絡(luò)發(fā)展的腳步。在選擇高端防火墻來對業(yè)務(wù)系統(tǒng)進行防護時，高性能、高穩(wěn)定性、豐富的網(wǎng)絡(luò)特性都是用戶需要考慮的因素。我們欣喜的看到不少廠商，已經(jīng)依據(jù)積累的各行業(yè)網(wǎng)絡(luò)應(yīng)用經(jīng)驗，針對用戶網(wǎng)絡(luò)的脆弱之處，不斷的將高端交換路由技術(shù)移植到防火墻上，使得防火墻技術(shù)不斷推陳出新，防火墻性能上會不斷縮短與高端交換路由的差距，使得網(wǎng)絡(luò)安全均衡發(fā)展，為用戶構(gòu)建真正的安全網(wǎng)絡(luò)。