針對不同應用場景在不同時間内對交換功能(néng)的需求不一(yī)緻的特點，FAST流水(shuǐ)線支持利用FPGA現場可編程特性，動态增加和卸載流水(shuǐ)線模塊以滿足不斷變化需求的特性。 一(yī)、硬件(jiàn)流水(shuǐ)線的擴展       FAST基本流水(shuǐ)線包含通(tōng)用分組解析（GPP）、通(tōng)用關鍵字提取（GKE）、通(tōng)用匹配引擎（GME）、通(tōng)用轉發動作（GAC）和通(tōng)用輸出引擎（GOE）五個(gè)模塊。基于這五個(gè)模塊搭建的基本架構，FAST流水(shuǐ)線支持動态模塊的插入和删除，如下(xià)圖所示。       在GAC之前的流水(shuǐ)線稱為(wèi)Ingress流水(shuǐ)線，主要在輸入端口的上(shàng)下(xià)文中對分組進行轉發決策處理。由于分組元數據到(dào)達GAC模塊後，可根據GME的匹配結果查表的到(dào)分組輸出的接口号（或軟件(jiàn)UA編号），因此在GAC之後分組在輸出接口的上(shàng)下(xià)文中處理，因此GAC模塊之後的流水(shuǐ)線稱為(wèi)Egress流水(shuǐ)線。      FAST流水(shuǐ)線的功能(néng)擴展主要通(tōng)過增加以下(xià)幾類硬件(jiàn)模塊：    （1）用戶定義的解析（UDP）模塊      在GPP模塊之後增加一(yī)個(gè)或多(duō)個(gè)UDP模塊，可實現對GPP不支持的其他協議進行解析，并根據解析結果修改元數據中的協議類型字段PST。一(yī)個(gè)UDP模塊在修改完PST後，将DMID設置為(wèi)GKE，旁路(lù)掉後續的UDP，即每個(gè)分組最多(duō)支持一(yī)個(gè)UDP模塊的協議分析。    （2）UKE模塊      在GKE模塊之後增加用戶定義的關鍵字提取模塊UKE，擴展支持GKE不支持的關鍵字提取能(néng)力，UKE可以修改KEY字段。通(tōng)常如果一(yī)個(gè)UKE模塊完成KEY的提取和修改後，直接将DMID設置為(wèi)GME，旁路(lù)掉後續的UKE（如果有的話），即每個(gè)分組最多(duō)支持一(yī)個(gè)UKE模塊的處理    （3）UDA模塊      UDA模塊主要實現用戶定義的action處理。UDA模塊插在GME和GAC之間可以擴充Ingress流水(shuǐ)線的處理功能(néng)，插入在GAC和GOE之間可以擴充Egress流水(shuǐ)線的處理功能(néng)。位于GAC之前和之後的UDA模塊有兩點不同。一(yī)是UDA之前的隻能(néng)對分組的元數據進行操作，而GAC之後的UDA可以直接修改整個(gè)分組；二是GAC之前的UDA是在分組輸入的上(shàng)下(xià)文處理分組，而GAC之後的UDA是在分組輸出端口的上(shàng)下(xià)文中處理分組。    （4）UDO模塊      UDO模塊物(wù)理位置并不在FAST流水(shuǐ)線之内，而是位于FPGA OS中分組最終從(cóng)FPGA引腳輸出之前。由于UDO的位置位于分組輸出調度之後，因此UDO處理的分組在輸出時不存在任何阻塞，能(néng)夠保證分組離開(kāi)後到(dào)最終輸出到(dào)鏈路(lù)上(shàng)有一(yī)個(gè)确定的延時。因此UDO可以看(kàn)作是FAST流水(shuǐ)線在FPGA OS中的一(yī)個(gè)“飛(fēi)地”。其主要作用是獲取精确的分組輸時間戳，可以支持IEEE 1588透明時鍾的計算(suàn)或者網絡測量中精确發送時間的獲取。      FAST流水(shuǐ)線擴展模塊的設計必須遵循标準的模塊接口定義，而且擴展插入的模塊對上(shàng)下(xià)遊模塊都是透明的，即流水(shuǐ)線中原有的上(shàng)下(xià)遊模塊在都應該感知不到(dào)新模塊的插入。 二、硬件(jiàn)流水(shuǐ)線擴展的示例      通(tōng)過對FAST硬件(jiàn)流水(shuǐ)線進行擴展，可以支持在原有的交換平台中擴充支持新的協議以及新的分組處理機(jī)制。例如下(xià)圖分别介紹了通(tōng)過擴展UDP和UDA模塊支持IEEE 1588，L3轉發控制以及安全網關功能(néng)的例子。      在（a）中，由于GPP協議無法識别封裝在特定UDP端口号中傳輸的IEEE 1588的PTP協議，因此GPP處理後PST字段表示的分組類型為(wèi)ETH/IP/UDP，如果交換平台需要支持IEEE 1588的PTP協議，需要插入一(yī)個(gè)UDP模塊，對使用319和320端口的UDP分組進行解析。如果UDP目地端口号為(wèi)319，即UDP内部包含需要交換平台計算(suàn)透明時鍾的事(shì)件(jiàn)消息（sync，delay_req），這些消息可在PST中标記，UDO會(huì)根據PST的标記跟新分組的透明時鍾。如果目的端口号為(wèi)320，則其中包含不需要透明時鍾計算(suàn)的PTP通(tōng)用消息，UDP會(huì)進一(yī)步分析消息類型，将分組轉發（follow_up消息或delay_resp消息），或送特定的軟件(jiàn)UA處理（BMC協議消息）。      在（b）中，增加UDA1實現輸出組播複制功能(néng)，根據組播分組元數據中Outport攜帶的組播組信息查表獲得輸出接口集合，将分組一(yī)次複制發送到(dào)每個(gè)輸出接口，而UDA1實現綁定到(dào)特定輸出接口的ACL過濾功能(néng)，UDA3實現對輸出分組的修改，例如修改目的MAC等。因此通(tōng)過擴展Egress流水(shuǐ)線中的UDA模塊，可以使FAST流水(shuǐ)線支持三層的單播和組播轉發功能(néng)。顯然，每個(gè)新增的UDA模塊内部也包含相(xiàng)應的控制表格，這些表格會(huì)通(tōng)過相(xiàng)應的軟件(jiàn)配置。      在（c）中，可在Ingress流水(shuǐ)線中增加連接管理和複雜(zá)的流量統計功能(néng)，實現與特定輸入端口綁定的安全控制。利用連接管理功能(néng)，可以維護五元組标識的TCP/UDP/ICMP的連接狀态，實現狀态防火牆，并為(wèi)其他基于流的middlebox功能(néng)提供流的狀态信息。而利用複雜(zá)的流量統計功能(néng)可以檢測到(dào)特定輸出接口甚至是到(dào)特定服務器(qì)流量的非對稱性，用于早期的發現DDoS攻擊。而在Egress流水(shuǐ)線中增加流量過濾功能(néng)，可對具有特定屬性分組進行過濾，例如在“勒索病毒”爆發期間，可以針對該病毒的特點快速部署硬件(jiàn)過濾模塊，對傳播病毒的惡意分組進行過濾，而過了“勒索病毒”爆發期以後，該模塊可以删除以節約資源用于其他功能(néng)的實現。      上(shàng)圖中三個(gè)例子隻是對通(tōng)過模塊擴展實現功能(néng)擴展的示意。後續會(huì)更加深入的介紹基于軟硬件(jiàn)協同方式快速實現特定處理功能(néng)的方法。