[發(fā)明專利]數(shù)據(jù)包過濾的實(shí)現(xiàn)方法和裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201710113606.X
• 申請(qǐng)日: 2017-02-28
• 公開（公告）號(hào): CN106657161B
• 公開（公告）日: 2020-10-09
• 發(fā)明（設(shè)計(jì)）人: 譚天
• 申請(qǐng)（專利權(quán)）人: 杭州迪普科技股份有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京博思佳知識(shí)產(chǎn)權(quán)代理有限公司 11415
• 代理人: 林祥

1.一種數(shù)據(jù)包過濾的實(shí)現(xiàn)方法，其特征在于，所述方法應(yīng)用于網(wǎng)絡(luò)設(shè)備，包括：

當(dāng)接收到發(fā)送給局域網(wǎng)內(nèi)部的數(shù)據(jù)包時(shí)，判斷本地是否保存有與所述數(shù)據(jù)包的目的IP地址對(duì)應(yīng)的過濾規(guī)則表；所述過濾規(guī)則表中保存有與所述目的IP地址相關(guān)的過濾規(guī)則；

如果本地保存有所述過濾規(guī)則表，則基于所述數(shù)據(jù)包的源IP地址、源端口、目的端口和傳輸層協(xié)議在所述過濾規(guī)則表中查找對(duì)應(yīng)的過濾規(guī)則；

根據(jù)查找到的過濾規(guī)則對(duì)所述數(shù)據(jù)包進(jìn)行過濾處理；

如果本地保存有所述過濾規(guī)則表，但未在所述過濾規(guī)則表中查找到對(duì)應(yīng)的過濾規(guī)則，則基于所述數(shù)據(jù)包的五元組在本地保存的原始規(guī)則集中查找對(duì)應(yīng)的過濾規(guī)則；

根據(jù)查找到的過濾規(guī)則對(duì)所述數(shù)據(jù)包進(jìn)行過濾處理，并將所述過濾規(guī)則添加到所述過濾規(guī)則表中。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

當(dāng)接收到局域網(wǎng)內(nèi)部發(fā)出的數(shù)據(jù)包時(shí)，判斷本地是否保存有與所述數(shù)據(jù)包的源IP地址對(duì)應(yīng)的過濾規(guī)則表；

如果本地保存有所述過濾規(guī)則表，則基于所述數(shù)據(jù)包的目的IP地址、源端口、目的端口和傳輸層協(xié)議在所述過濾規(guī)則表中查找對(duì)應(yīng)的過濾規(guī)則；

根據(jù)查找到的過濾規(guī)則對(duì)所述數(shù)據(jù)包進(jìn)行過濾處理。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

如果本地未保存有所述過濾規(guī)則表，則基于所述數(shù)據(jù)包的五元組在本地保存的原始規(guī)則集中查找對(duì)應(yīng)的過濾規(guī)則；

根據(jù)查找到的過濾規(guī)則對(duì)所述數(shù)據(jù)包進(jìn)行過濾處理。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述方法還包括：

檢測(cè)本地保存的過濾規(guī)則表的數(shù)量是否小于預(yù)設(shè)的第一閾值；

當(dāng)所述過濾規(guī)則表的數(shù)量小于所述第一閾值時(shí)，基于查找到的過濾規(guī)則生成對(duì)應(yīng)所述目的IP地址的過濾規(guī)則表；

當(dāng)所述過濾規(guī)則表的數(shù)量大于等于所述第一閾值時(shí)，在預(yù)設(shè)的統(tǒng)計(jì)時(shí)間內(nèi)統(tǒng)計(jì)命中所述目的IP地址的數(shù)據(jù)包的數(shù)量總和；

當(dāng)所述數(shù)量總和大于等于預(yù)設(shè)的第二閾值時(shí)，從所述過濾規(guī)則表中選擇一個(gè)過濾規(guī)則表作為無效規(guī)則表，清除所述無效規(guī)則表，并生成對(duì)應(yīng)所述目的IP地址的過濾規(guī)則表。

5.一種數(shù)據(jù)包過濾的實(shí)現(xiàn)裝置，其特征在于，所述裝置應(yīng)用于網(wǎng)絡(luò)設(shè)備，包括：

判斷單元，用于當(dāng)接收到發(fā)送給局域網(wǎng)內(nèi)部的數(shù)據(jù)包時(shí)，判斷本地是否保存有與所述數(shù)據(jù)包的目的IP地址對(duì)應(yīng)的過濾規(guī)則表；所述過濾規(guī)則表中保存有與所述目的IP地址相關(guān)的過濾規(guī)則；

查找單元，用于當(dāng)本地保存有所述過濾規(guī)則表時(shí)，基于所述數(shù)據(jù)包的源IP地址、源端口、目的端口和傳輸層協(xié)議在所述過濾規(guī)則表中查找對(duì)應(yīng)的過濾規(guī)則；

處理單元，用于根據(jù)查找到的過濾規(guī)則對(duì)所述數(shù)據(jù)包進(jìn)行過濾處理；

所述查找單元還用于當(dāng)本地保存有所述過濾規(guī)則表，但未在所述過濾規(guī)則表中查找到對(duì)應(yīng)的過濾規(guī)則時(shí)，基于所述數(shù)據(jù)包的五元組在本地保存的原始規(guī)則集中查找對(duì)應(yīng)的過濾規(guī)則；

所述處理單元還用于根據(jù)查找到的過濾規(guī)則對(duì)所述數(shù)據(jù)包進(jìn)行過濾處理，并將所述過濾規(guī)則添加到所述過濾規(guī)則表中。

6.根據(jù)權(quán)利要求5所述的裝置，其特征在于，

所述判斷單元還用于當(dāng)接收到局域網(wǎng)內(nèi)部發(fā)出的數(shù)據(jù)包時(shí)，判斷本地是否保存有與所述數(shù)據(jù)包的源IP地址對(duì)應(yīng)的過濾規(guī)則表；

所述查找單元還用于當(dāng)本地保存有所述過濾規(guī)則表時(shí)，基于所述數(shù)據(jù)包的目的IP地址、源端口、目的端口和傳輸層協(xié)議在所述過濾規(guī)則表中查找對(duì)應(yīng)的過濾規(guī)則；

所述處理單元還用于根據(jù)查找到的過濾規(guī)則對(duì)所述數(shù)據(jù)包進(jìn)行過濾處理。

7.根據(jù)權(quán)利要求5所述的裝置，其特征在于，

所述查找單元還用于當(dāng)本地未保存有所述過濾規(guī)則表時(shí)，基于所述數(shù)據(jù)包的五元組在本地保存的原始規(guī)則集中查找對(duì)應(yīng)的過濾規(guī)則；

所述處理單元還用于根據(jù)查找到的過濾規(guī)則對(duì)所述數(shù)據(jù)包進(jìn)行過濾處理。

8.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述裝置還包括：

檢測(cè)單元，用于檢測(cè)本地保存的過濾規(guī)則表的數(shù)量是否小于預(yù)設(shè)的第一閾值；

生成單元，用于當(dāng)所述過濾規(guī)則表的數(shù)量小于所述第一閾值時(shí)，基于查找到的過濾規(guī)則生成對(duì)應(yīng)所述目的IP地址的過濾規(guī)則表；

統(tǒng)計(jì)單元，用于當(dāng)所述過濾規(guī)則表的數(shù)量大于等于所述第一閾值時(shí)，在預(yù)設(shè)的統(tǒng)計(jì)時(shí)間內(nèi)統(tǒng)計(jì)命中所述目的IP地址的數(shù)據(jù)包的數(shù)量總和；

所述生成單元還用于當(dāng)所述數(shù)量總和大于等于預(yù)設(shè)的第二閾值時(shí)，從所述過濾規(guī)則表中選擇一個(gè)過濾規(guī)則表作為無效規(guī)則表，清除所述無效規(guī)則表，并生成對(duì)應(yīng)所述目的IP地址的過濾規(guī)則表。