[發明專利]ACL規則的管理方法和設備

有效

• 申請號: 200710151804.1
• 申請日: 2007-09-18
• 公開（公告）號: CN101141304A
• 公開（公告）日: 2008-03-12
• 發明（設計）人: 劉刀桂;祁正林;李培;李芊芊
• 申請（專利權）人: 杭州華三通信技術有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06;H04L12/56
• 代理公司: 北京挺立專利事務所
• 代理人: 皋吉甫

1.一種ACL規則的管理方法，其特征在于，包括以下步驟：

將預先配置的配置集合與需要實現的應用功能進行綁定；

用戶終端接入時，獲取所述用戶終端的信息；

從所述預先配置的配置集合及其綁定的應用功能中獲取與所述用戶終端的信息匹配的ACL規則；

根據與所述用戶終端的信息匹配的ACL規則，確定需要下發的ACL規則并向連接所述用戶終端的端口發送。

2.如權利要求1所述ACL規則的管理方法，其特征在于，所述將預先配置的配置集合與需要實現的應用功能進行綁定的步驟具體為：

生成配置集合，每一配置集合包括一組ACL規則；

在設備的端口配置需要實現的應用功能；

將所述配置集合和所述需要實現的應用功能進行綁定。

3.如權利要求1所述ACL規則的管理方法，其特征在于，所述獲取用戶終端的信息的步驟具體為：

從DHCP?Snooping表項中獲取用戶終端的地址信息，所述信息包括IP、MAC、端口Port和VLAN標識中的一種或多種。

4.如權利要求3所述ACL規則的管理方法，其特征在于，所述從預先配置的配置集合中獲取與用戶終端信息匹配的ACL規則的步驟具體為：

對于所述配置集合中的每一ACL規則，判斷所述用戶終端的地址信息是否位于所述ACL規則所指定的地址范圍內；

位于所述地址范圍內時，所述ACL規則與所述用戶終端的信息匹配；否則為不匹配；

獲取與所述用戶終端信息匹配的ACL規則。

5.如權利要求3所述ACL規則的管理方法，其特征在于，所述應用功能為防IP攻擊功能時，從預先配置的應用功能中獲取的與用戶終端信息匹配的ACL規則為：

允許來自與所述DHCP?Snooping表項中用戶終端地址信息一致的地址的報文通過。

6.如權利要求1所述ACL規則的管理方法，其特征在于，所述根據與所述用戶終端信息匹配的ACL規則，確定需要下發的ACL規則并向連接所述用戶終端的端口發送的步驟具體為：

存在一個與所述用戶終端信息匹配的ACL規則時，將所述與用戶終端信息匹配的一個ACL規則向連接所述用戶終端的端口發送；

存在多個與所述用戶終端信息匹配的ACL規則時，判斷所述多個ACL規則是否沖突；所述多個ACL規則不沖突時，按照優先級由高到低的順序將所述多個與用戶終端信息匹配的ACL規則依次向與所述用戶終端連接的端口發送；所述多個ACL規則存在沖突時，按照預定的規則將所述多個與用戶終端信息匹配的ACL規則進行合并或選取處理后向與所述用戶終端連接的端口發送。

7.如權利要求1或6所述ACL規則的管理方法，其特征在于，所述確定需要下發的ACL規則并向連接所述用戶終端的端口發送時，將預先獲取到的網關設備信息，填寫到所述確定需要下發的ACL規則中的目的地址字段。

8.如權利要求7所述ACL規則的管理方法，其特征在于，所述網關設備信息的獲取方法為：

解析DHCP?Server回應給用戶終端的DHCP?ACK報文中option3字段，獲取所述網關設備地址信息；或

通過MAC強制轉發功能，獲取所述網關設備地址信息。

9.一種ACL規則的管理設備，其特征在于，包括：

用戶信息獲取模塊，用于獲取用戶終端信息并提供給ACL規則匹配模塊；

配置集合模塊，用于生成配置集合，每個配置集合包括一組ACL規則并與應用功能配置模塊中的應用功能綁定，并向所述ACL規則匹配模塊提供所述配置集合用于ACL規則的匹配；

應用功能配置模塊，用于配置特定的應用功能并與配置集合模塊中的配置集合綁定，以供所述ACL規則匹配模塊根據所述應用功能獲取與用戶終端信息匹配的ACL規則；

ACL規則匹配模塊，用于根據所述用戶信息獲取模塊獲取到的用戶信息，從預先生成的配置集合及其綁定的應用功能中獲取與所述用戶終端信息匹配的ACL規則；

ACL規則處理模塊，用于根據所述ACL規則匹配模塊獲得的與用戶終端信息相匹配的ACL規則，確定需要下發的ACL規則；

ACL規則下發模塊，用于將所述ACL規則處理模塊確定需要下發的ACL規則向與用戶終端連接的端口發送。

10.如權利要求9所述ACL規則的管理設備，其特征在于，還包括：網關信息獲取模塊，用于獲取網關設備信息，并在所述ACL規則處理模塊處理后的ACL規則中的目的地址字段添加網關設備信息。