2 包过滤的规则
　　包过滤是基于一系列规则对进出防火墙的数据包进行过滤。规则其实是一个“if conditions then action”的判断，一组规则构成一个规则表（如表1）。当IP数据包通过这个规则表的检查后，允许通过的IP包就转发，禁止通过的IP包就被拦截下来，其结果如表2所示 。对于一个小型的网络，其规则一般有几百个，对于一个中型的ISP服务网络，其规则一般有数千个，对于一个大型的网络其规则一般超过2万个。在进行包过滤时，最重要的就是进行规则的匹配。如何快速查找匹配规则，减少存储器容量成为包过滤算法的研究重点，参考文献[2]中详细地讨论了一些包过滤算法。

　　本文主要是讨论NP在整个过程中各部分的工作，为叙述简单将不涉及复杂的规则查找，采用线性搜索，即从上到下对规则表进行查找，在制定规则表时，优先级高的规则将被安排在表的前面。
3 基于NP的包过滤
　　IP数据包过滤处理由IXP2400中的微引擎完成。微引擎是一个个独立的MCU，有自己的寄存器、存储器，执行各自的指令序列，互不干扰，而且每个微引擎支持8个硬件线程。在数据包处理的过程中，IXP2400的8个微引擎可以采用串行流水线方式（如图2）工作，或以并行处理方式（如图3）工作。在参考文献[3]中指出并发处理比串行流水线处理的效率要高25％。

　　在串行流水线工作方式中，每一个微引擎（ME）完成的工作不同，当一个微引擎完成其工作后，将数据包交给下一个微引擎继续后续工作，所以每一个微引擎执行的代码不同。在并发处理方式中，每一个微引擎完成的任务相同，每一个微引擎所执行的代码相同。本文在安排微引擎时，包的接收采用ME0，当它处理完后将结果交给ME1～ME6，这6个微引擎并发对数据包进行规则匹配，匹配结束后将包交由ME7完成发送任务。整个包过滤处理结构既有串行方式，又有并发方式，这是因为在整个处理过程中，进行规则匹配所需的时间和运算都比接收和发送的要多，将更多的处理能力部署在这一环节，可以消除整个系统处理的瓶颈。
3.1 接收处理的实现
　　MSF（Media Switch Fabric Interface）是IXP2400连接网络的接口。它具有8 KB的RBUF（接收缓冲）和8 KB的TBUF（发送缓冲）。当外部以太网帧（Packet C）进入MSF时，MSF将数据帧分割成若干个大小为64B（或128/256 B）的mpacket，mpacket存放在RBUF中，每一个mpacket占据RBUF的一条目。当RBUF中有有效条目时，MSF将发出一个RBUF有效信号。在MSF中，有一个RX_THREAD_FREELIST数据结构，该结构登记了用于处理接收任务的空闲线程。本文将ME0中空闲线程登记在这里，并按顺序排列成接收线程链。当一个空闲线程接收到一个RBUF有效信号的触发时，便会进入忙状态，进行一次mpacket的接收循环；当循环结束后，这个线程将重新回到空闲状态，并重新链入RX_THREAD_FREELIST。各线程在接收mpacket时，以无限循环方式进行，一次循环中完成如下工作：
　　（1）检查mpacket是否SOP（Packet C进入MSF时，被分割成多个mpacket，其中第一mpacket就是SOP）或EOP（Packet C中最后一个mpacket）；
　　（2）如果是SOP，线程将在DRAM中开辟一个新Buffer，并将mpacket拷贝至其间，如果不是SOP则紧接着前面拷贝的内容进行拷贝。这样可以将一个被分割的包重新组合起来；
　　（3）如果是EOP，意味着Packet C的结束，在拷贝完此mpacket后，线程将在SRAM中的接收队列中将此Packet C的包句柄（PC）插入到队列的尾部。接收过程如图4所示。

　　每个线程一次循环只处理一个mpacket，如果一个包分成几个mpacket，则由几次这样的循环完成接收。由于每个IXP2400的微引擎都有8个硬件支持的线程，在接收包处理时，可以出现多个线程并发接收多个mpacket，这样效率当然会很高，但同样也可能打乱Packet C的重组。为避免这种情况的发生，各线程的工作次序是严格规定的。各空闲线程在RX_THREAD_FREELIST登记时，就按顺序登记，线程1在最前，线程8在最后。当第一个触发到来时，则触发线程1，线程1在处理时，若再接收到触发时，线程2接收触发，如此类推，当线程1处理完后，它跟在线程8后面，如此形成一个闭合的线程处理链。在将数据从RBUF拷贝至DRAM的过程中，线程要经过一个对线程序号敏感的微处理块，以保证多线程在拷贝过程中是按顺序进行的。
3.2 规则匹配处理的实现
　　本文所涉及的规则表中规则数目较少，搜索匹配规则的方法也相应简单，采用的是线性搜索方法。处理的流程如图5所示。

　　如前所述，采用ME1～ME6共6个微引擎同时对数据包进行包过滤，每个微引擎有8个线程，所以可用于包过滤的线程有6×8＝48个，每个线程都采用无限循环方式。当接收队列中有有效元素，便发出处理信号。在线程池中，处在等待状态的某一线程便会从SRAM中的接收队列取出头元素。接着，线程根据所取得元素中的包句柄从DRAM中将帧首部读进来，然后判断是否是一个有效的以太网帧。如果不是，则丢弃包，并返回等待状态。如果是有效帧，则从DRAM中读出IP首部，对在SRAM中的规则进行匹配。包过滤规则由XScale Core在SRAM 中建立一个规则表，并可根据实际情况对表进行增加和删除。线程从SRAM中将一条规则读进来，进行匹配运算。若匹配，则根据规则中允许/禁止进行后续工作；若允许，则将把DRAM中对应的包的句柄作为新的元素插入SRAM中的发送队列中；若禁止，则释放DRAM中对应的包空间，并返回线程的等待状态。若不匹配，则从SRAM中读入下一条规则，重复以上工作，直到最后一条；如果仍找不到匹配规则，则将接下来的工作交给XSale Core完成。
　　每个包过滤线程完成一个包的过滤，从接收队列中将包句柄一一取出，处理完后，再在发送队列中将其插入到队列的尾部。但可能因为有些包处理得快，有些包处理得慢，使原来的接收顺序因为处理速度的不同而打乱。为了使发送队列句柄的顺序保持与接收队列一致，采用了阻塞式顺序包算法（Blocking Packet-ordering Athorithm）^[4]。
3.3 发送处理的实现
　　发送任务由ME7来完成，ME7有8个线程，每个线程完成如下工作：（1）线程发现发送队列中的有效包句柄则从SRAM的发送队列中将队列头元素取下来；(2)计算每个mpacket在包中的位置，把包从DRAM中以mpacket大小拷贝到TBUF中，其中TBUF是MSF中的发送缓冲区；(3)写入TBUF的单元控制字，表明TBUF包含有效数据；(4)当MSF收到EOP标志的mpacket时，表明该包结束，此后该包将交由外部的MAC设备传输。其过程如图6所示。