随着计算机的普及和网络的发展,网络带宽飞速增长,网络上的安全需求也在不断增加。目前网络带宽已经达到了千兆甚至万兆,传统的报文捕获平台已经无法满足高速网络的报文捕获需求。因而研究高流量,高负载情况下的报文捕获技术,为路由器、防火墙、入侵检测等系统提供可靠的报文捕获前端是一个重要而有意义的研究课题。导致传统报文捕获平台无法适应高速网络捕包需要的原因主要有三点:第一是内核对报文多次的数据拷贝及协议栈对报文冗余的处理。第二是频繁的产生并响应中断。第三是多次的系统调用及用户态与内核态之间的上下文切换。基于此三点,本文使用如下设计对捕包机制进行改进:一,引入零拷贝的思想,将报文从网卡直接DMA至用户空间,避免其他多余的拷贝。同时旁路协议栈,防止对报文多余的处理。二,采用内存映射技术,将内核驱动中重要的数据结构映射到用户空间,使进程在用户空间就可以直接对硬件驱动及报文收发过程进行处理,不再需要中断进行报文处理;三,使用实时内核并将其机制引入平台设计中,根据需要设计了轮询引擎,使进程在方便的访问底层的同时,可以灵活的根据负载情况进行响应和调度,提高了系统的吞吐量的同时减低了处理机的占用率。本文在x86架构上实现了新的捕包机制,并对系统性能进行了测试。结果表明,基于研究结果实现的捕包平台在捕获64byte及1500byte的报文时吞吐量分别达到了473Mbps和947Mbps,证明了与传统报文捕获平台相比,新平台性能上有了显著提高。