IPS — технология инлайн-мониторинга процессов¶
IPS (от англ. in-plane steering — управление в плоскости пакетов) — технология программно-определяемых сетей (SDN), разработанная компанией Intel для организации высокопроизводительной обработки сетевого трафика без покидания основного потока данных. Технология позволяет перенаправлять («подмешивать») выбранные потоки пакетов из аппаратного коммутационного канала (data plane) на внешние процессорные узлы для глубокой инспекции, анализа или модификации, а затем возвращать их обратно в коммутатор.
¶Принцип работы
В классических сетевых устройствах пакеты проходят через аппаратный коммутатор (ASIC), который выполняет коммутацию на скоростях в десятки и сотни гигабит в секунду. IPS позволяет программно определить правила фильтрации (например, по заголовкам TCP/IP, MAC-адресам, портам или произвольным полям пакета) и направить соответствующие пакеты на процессор сервера (host CPU), минуя или дополняя аппаратный путь.
Ключевые особенности:
- Прозрачность для приложений. Пакеты, прошедшие обработку на процессоре, возвращаются в коммутационный поток, и конечные узлы сети не замечают вмешательства.
- Программная определяемость. Правила перенаправления задаются программно и могут меняться на лету без физической перекоммутации.
- Селективность. На процессор направляются не все пакеты, а только те, которые соответствуют заданным критериям, что позволяет сохранять высокую пропускную способность основного канала.
¶Архитектура и аппаратная реализация
IPS реализуется на базе сетевых контроллеров Intel (ранее — коммутаторов серии FM6000/FM6700, а также чипов серии Broadreach и контроллеров на базе архитектуры Tofino от Barefoot Networks, приобретённой Intel в 2019 году). В аппаратной части технология опирается на механизм так называемого «inline service» — встроенного сервисного порта, через который часть трафика выводится наружу.
Основные компоненты:
| Компонент | Назначение |
|---|---|
| Коммутационный ASIC | Аппаратная коммутация пакетов на линейной скорости |
| Сервисный порт (inline port) | Физический или логический интерфейс вывода трафика на процессор |
| Программный драйвер | Управление правилами фильтрации и маршрутизацией сервисного потока |
| Процессорный узел | Глубокая инспекция, анализ зашифрованного трафика, балансировка нагрузки |
¶Область применения
IPS-технология нашла применение в нескольких категориях задач:
¶Сетевая безопасность
Системы обнаружения и предотвращения вторжений (IDS/IPS) используют технологию для перенаправления подозрительных потоков на анализаторы, выполняющие глубокую инспекцию содержимого (DPI). В отличие от традиционных inline-решений, IPS позволяет избежать «узкого места» в виде единственного процессора для всего трафика.
¶Балансировка нагрузки и L4/L7-обработка
Технология применяется для аппаратно-ускоренной балансировки нагрузки: коммутатор фильтрует трафик по правилам L4 и направляет его на пул серверов обработки.
¶Телекоммуникации
В сетях операторов связи IPS используется для реализации функций CGNAT (carrier-grade NAT), глубокой пакетной инспекции (DPI) с целью классификации трафика, а также для внедрения функций сетевой виртуализации.
¶Аналитика трафика
Для сбора метаданных и телеметрии без вмешательства в основной поток — например, при построении зондирующих систем (network probes).
¶История
Технология IPS была разработана Intel в начале 2010-х годов в рамках стратегии программно-определяемых сетей. Она стала частью экосистемы Intel Network Builders и позиционировалась как решение для построения «гибридных» сетей, сочетающих скорость аппаратной коммутации с гибкостью программной обработки. Приобретение компании Barefoot Networks в 2019 году расширило линейку поддерживаемых платформ, добавив программируемые коммутаторы на базе P4.
¶Ограничения
- Задержка (latency): пакеты, направляемые на процессорный узел, получают дополнительную задержку, связанную с передачей по сервисному порту и обработкой на CPU.
- Пропускная способность сервисного канала ограничена физическими характеристиками интерфейса вывода (обычно 10–100 Гбит/с).
- Сложность программирования: настройка правил фильтрации и интеграция с приложениями обработки требует специализированных знаний.
¶См. также
- SDN (программно-определяемые сети)
- DPI (глубокая инспекция пакетов)
- P4 (язык программирования сетевых протоколов)
- Intel Barefoot Networks
¶Источники
- Intel Corporation. Intel IPS (In-Plane Steering) Technology Overview
- Intel Network Builders. Reference Architecture Documentation
- Barefoot Networks (Intel). Tofino Programmable Switch Architecture
- IEEE Communications Surveys & Tutorials. Software-Defined Networking: A Comprehensive Survey