[發(fā)明專利]一種實現(xiàn)IEC60870?5?104協(xié)議低延遲處理工業(yè)防火墻的方法

在審

• 申請?zhí)枺?/td>: 201611233795.6
• 申請日: 2016-12-28
• 公開（公告）號: CN106789282A
• 公開（公告）日: 2017-05-31
• 發(fā)明（設計）人: 彭亮;韓濤;李龍飛;王明軍;郝慶賀
• 申請（專利權）人: 青島海天煒業(yè)過程控制技術股份有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L12/26;H04L29/06
• 代理公司: 北京天奇智新知識產權代理有限公司11340
• 代理人: 陳永寧

1.一種實現(xiàn)IEC60870-5-104協(xié)議低延遲處理工業(yè)防火墻的方法，其特征在于，包括以下步驟：

步驟102：在數(shù)據(jù)包到來時只觸發(fā)一次硬中斷，后續(xù)關閉硬中斷并采用輪詢方式接收處理數(shù)據(jù)包，直到沒有數(shù)據(jù)包；

步驟104：為每一個隊列申請一個中斷號，通過SMP架構，將各個隊列通過中斷綁定到不同的核上，在同一時刻所有的核都可以處理網卡數(shù)據(jù)；

步驟106：根據(jù)端口是否為2404以及數(shù)據(jù)段中前兩個字節(jié)是否為68H來確定是否為的IEC60870-5-104數(shù)據(jù)包；

步驟108：實現(xiàn)規(guī)則匹配批量處理,策略規(guī)則主要是針對上下游機器的IP地址進行防護的規(guī)則；

步驟110：將處理模塊直接掛載于內核提供的HOOK點上；

步驟112：采用HASH算法，提高四元組、五元組信息的匹配速度。

2.根據(jù)權利要求1所述的方法，其特征在于，所述步驟102包括在數(shù)據(jù)包到來之前，網卡驅動采用NAPI模式并修改網卡驅動時只觸發(fā)一次硬中斷。

3.根據(jù)權利要求2所述的方法，其特征在于，所述步驟102還包括到達輪詢最大時間或到達輪詢最大數(shù)據(jù)量時重新開啟硬中斷。

4.根據(jù)權利要求1所述的方法，其特征在于，所述步驟104包括：采用多隊列網卡，多核CPU，為每一個隊列申請一個中斷號。

5.根據(jù)權利要求1所述的方法，其特征在于，所述步驟106包括：應用IEC60870-5-104檢測機制，根據(jù)端口是否為2404以及數(shù)據(jù)段中前兩個字節(jié)是否為68H來確定是否為的IEC60870-5-104數(shù)據(jù)包。

6.根據(jù)權利要求1所述的方法，其特征在于，所述步驟108包括：將用戶下發(fā)的策略規(guī)則采用IPSET工具進行優(yōu)化，實現(xiàn)規(guī)則匹配批量處理,策略規(guī)則針對上下游機器的IP地址進行防護的規(guī)則，防護的規(guī)則包括禁止或允許某一IP地址的某一協(xié)議類型的數(shù)據(jù)流。

7.根據(jù)權利要求1所述的方法，其特征在于，所述步驟108包括：IPSET將多條防護的規(guī)則存放于一個地址集合sets。

8.根據(jù)權利要求1所述的方法，其特征在于，所述步驟110包括：采用基于Linux內核Netfilter架構的HOOK處理機制，將處理模塊直接掛載于內核提供的HOOK點上。