线速地实时处理网络报文流是入侵检测系统、网络协议分析、网络防火墙、高性能通信系统、高性能路由器、主机路由器,以及其他网络监视系统必须满足的首要条件。当前大部分的入侵检测系统、防火墙等网络监视及防御系统都是基于运行在PC架构上的Linux平台。百兆的网络环境下,普通的网卡和Libpcap接口就足以保证运行在Linux用户空间的网络报文处理程序线速地捕获网络报文。如:tcpdump、ethereal和snort等程序。然而千兆网络时代的到来,使得在通用操作系统下远达不到线速捕获网络数据包。本文实现了一种高性能的网络数据包的捕获平台,省去了数据包在内核和用户空间传递过程中的拷贝,缓存,以及系统调用过程,从而使得网络报文的处理性能有很大提升。本人主要工作如下:1.对Linux网络协议栈进行了分析,并对传统报文捕获平台Libpcap进行了分析研究。2.深入分析了Intel千兆网卡驱动及相关的中断机制,软中断机制及内存映射机制。3.在深入分析Linux 2.6内核的基础上,实现了一种新的基于Intel千兆网卡的高性能的网络数据包捕获平台ZeroP。ZeroP由两部分组成,一部分是位于内核空间的驱动模块,另一部分是用户空间的兼容Libpcap的接口。4.搭建了CISCO测试平台,对ZeroP平台进行了性能及兼容性测试,并对测试数据进行了分析。