針對不同應用場景在不同時間内對交換功能的需求不一(yī)緻的特點，FAST流水線支持利用FPGA現場可編程特性，動态增加和卸載流水線模塊以滿足不斷變化需求的特性。 一(yī)、硬件流水線的擴展       FAST基本流水線包含通用分(fēn)組解析（GPP）、通用關鍵字提取（GKE）、通用匹配引擎（GME）、通用轉發動作（GAC）和通用輸出引擎（GOE）五個模塊。基于這五個模塊搭建的基本架構，FAST流水線支持動态模塊的插入和删除，如下(xià)圖所示。       在GAC之前的流水線稱爲Ingress流水線，主要在輸入端口的上下(xià)文中(zhōng)對分(fēn)組進行轉發決策處理。由于分(fēn)組元數據到達GAC模塊後，可根據GME的匹配結果查表的到分(fēn)組輸出的接口号（或軟件UA編号），因此在GAC之後分(fēn)組在輸出接口的上下(xià)文中(zhōng)處理，因此GAC模塊之後的流水線稱爲Egress流水線。      FAST流水線的功能擴展主要通過增加以下(xià)幾類硬件模塊：    （1）用戶定義的解析（UDP）模塊      在GPP模塊之後增加一(yī)個或多個UDP模塊，可實現對GPP不支持的其他協議進行解析，并根據解析結果修改元數據中(zhōng)的協議類型字段PST。一(yī)個UDP模塊在修改完PST後，将DMID設置爲GKE，旁路掉後續的UDP，即每個分(fēn)組最多支持一(yī)個UDP模塊的協議分(fēn)析。    （2）UKE模塊      在GKE模塊之後增加用戶定義的關鍵字提取模塊UKE，擴展支持GKE不支持的關鍵字提取能力，UKE可以修改KEY字段。通常如果一(yī)個UKE模塊完成KEY的提取和修改後，直接将DMID設置爲GME，旁路掉後續的UKE（如果有的話(huà)），即每個分(fēn)組最多支持一(yī)個UKE模塊的處理    （3）UDA模塊      UDA模塊主要實現用戶定義的action處理。UDA模塊插在GME和GAC之間可以擴充Ingress流水線的處理功能，插入在GAC和GOE之間可以擴充Egress流水線的處理功能。位于GAC之前和之後的UDA模塊有兩點不同。一(yī)是UDA之前的隻能對分(fēn)組的元數據進行操作，而GAC之後的UDA可以直接修改整個分(fēn)組；二是GAC之前的UDA是在分(fēn)組輸入的上下(xià)文處理分(fēn)組，而GAC之後的UDA是在分(fēn)組輸出端口的上下(xià)文中(zhōng)處理分(fēn)組。    （4）UDO模塊      UDO模塊物(wù)理位置并不在FAST流水線之内，而是位于FPGA OS中(zhōng)分(fēn)組最終從FPGA引腳輸出之前。由于UDO的位置位于分(fēn)組輸出調度之後，因此UDO處理的分(fēn)組在輸出時不存在任何阻塞，能夠保證分(fēn)組離(lí)開(kāi)後到最終輸出到鏈路上有一(yī)個确定的延時。因此UDO可以看作是FAST流水線在FPGA OS中(zhōng)的一(yī)個“飛地”。其主要作用是獲取精确的分(fēn)組輸時間戳，可以支持IEEE 1588透明時鍾的計算或者網絡測量中(zhōng)精确發送時間的獲取。      FAST流水線擴展模塊的設計必須遵循标準的模塊接口定義，而且擴展插入的模塊對上下(xià)遊模塊都是透明的，即流水線中(zhōng)原有的上下(xià)遊模塊在都應該感知(zhī)不到新模塊的插入。 二、硬件流水線擴展的示例      通過對FAST硬件流水線進行擴展，可以支持在原有的交換平台中(zhōng)擴充支持新的協議以及新的分(fēn)組處理機制。例如下(xià)圖分(fēn)别介紹了通過擴展UDP和UDA模塊支持IEEE 1588，L3轉發控制以及安全網關功能的例子。      在（a）中(zhōng)，由于GPP協議無法識别封裝在特定UDP端口号中(zhōng)傳輸的IEEE 1588的PTP協議，因此GPP處理後PST字段表示的分(fēn)組類型爲ETH/IP/UDP，如果交換平台需要支持IEEE 1588的PTP協議，需要插入一(yī)個UDP模塊，對使用319和320端口的UDP分(fēn)組進行解析。如果UDP目地端口号爲319，即UDP内部包含需要交換平台計算透明時鍾的事件消息（sync，delay_req），這些消息可在PST中(zhōng)标記，UDO會根據PST的标記跟新分(fēn)組的透明時鍾。如果目的端口号爲320，則其中(zhōng)包含不需要透明時鍾計算的PTP通用消息，UDP會進一(yī)步分(fēn)析消息類型，将分(fēn)組轉發（follow_up消息或delay_resp消息），或送特定的軟件UA處理（BMC協議消息）。      在（b）中(zhōng)，增加UDA1實現輸出組播複制功能，根據組播分(fēn)組元數據中(zhōng)Outport攜帶的組播組信息查表獲得輸出接口集合，将分(fēn)組一(yī)次複制發送到每個輸出接口，而UDA1實現綁定到特定輸出接口的ACL過濾功能，UDA3實現對輸出分(fēn)組的修改，例如修改目的MAC等。因此通過擴展Egress流水線中(zhōng)的UDA模塊，可以使FAST流水線支持三層的單播和組播轉發功能。顯然，每個新增的UDA模塊内部也包含相應的控制表格，這些表格會通過相應的軟件配置。      在（c）中(zhōng)，可在Ingress流水線中(zhōng)增加連接管理和複雜(zá)的流量統計功能，實現與特定輸入端口綁定的安全控制。利用連接管理功能，可以維護五元組标識的TCP/UDP/ICMP的連接狀态，實現狀态防火(huǒ)牆，并爲其他基于流的middlebox功能提供流的狀态信息。而利用複雜(zá)的流量統計功能可以檢測到特定輸出接口甚至是到特定服務器流量的非對稱性，用于早期的發現DDoS攻擊。而在Egress流水線中(zhōng)增加流量過濾功能，可對具有特定屬性分(fēn)組進行過濾，例如在“勒索病毒”爆發期間，可以針對該病毒的特點快速部署硬件過濾模塊，對傳播病毒的惡意分(fēn)組進行過濾，而過了“勒索病毒”爆發期以後，該模塊可以删除以節約資(zī)源用于其他功能的實現。      上圖中(zhōng)三個例子隻是對通過模塊擴展實現功能擴展的示意。後續會更加深入的介紹基于軟硬件協同方式快速實現特定處理功能的方法。