[發明專利]一種ACL規則下發的方法及裝置

有效

• 申請號: 201710891489.X
• 申請日: 2017-09-27
• 公開（公告）號: CN107508836B
• 公開（公告）日: 2019-11-12
• 發明（設計）人: 孫行鷺
• 申請（專利權）人: 杭州迪普科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 林祥

本申請提供一種ACL規則下發的方法及裝置。一種ACL規則下發的方法，該方法應用于網絡設備的交換芯片，該方法包括：接收用戶下發的針對協議報文的ACL規則；基于用戶下發的所述ACL規則的篩選條件和動作策略，查詢已存儲的ACL表，以確定所述ACL表中是否存在與用戶下發的所述ACL規則的篩選條件相同，但動作策略相沖突的沖突ACL規則；若存在所述沖突ACL規則，則判斷用戶下發的所述ACL規則的動作策略是否為丟棄；若用戶下發的所述ACL規則的動作策略為丟棄，則將用戶下發的所述ACL規則插入到所述ACL表中，用戶下發的所述ACL規則的編號小于所述沖突ACL規則的編號。本申請與現有技術相比，可防止已配置丟棄策略的協議報文上送CPU，從而減輕CPU的負荷。

技術領域

本申請涉及通信技術領域，尤其涉及一種ACL規則下發的方法及裝置。

背景技術

ACL(Access Control List，訪問控制列表)的作用是根據報文的源地址、目的地址、端口號、協議類型等篩選條件識別報文，并依據對應的動作策略對報文進行處理。

隨著網絡規模的不斷擴大，網絡設備接收和處理的協議報文逐漸增多，若大量的協議報文全部上送至網絡設備的CPU，可能會導致CPU的負荷過大。

發明內容

有鑒于此，本申請提供一種ACL規則下發的方法及裝置，以對網絡設備接收的協議報文進行處理，防止已配置丟棄策略的協議報文上送CPU，從而減輕CPU的負荷。

具體地，本申請是通過如下技術方案實現的：

一種ACL規則下發的方法，所述方法應用于網絡設備的交換芯片，包括：

接收用戶下發的針對協議報文的ACL規則；

基于用戶下發的所述ACL規則的篩選條件和動作策略，查詢已存儲的ACL表，以確定所述ACL表中是否存在與用戶下發的所述ACL規則的篩選條件相同，但動作策略相沖突的沖突ACL規則；

若存在與用戶下發的所述ACL規則的篩選條件相同，但動作策略相沖突的沖突ACL規則，則判斷用戶下發的所述ACL規則的動作策略是否為丟棄；

若用戶下發的所述ACL規則的動作策略為丟棄，則將用戶下發的所述ACL規則插入到所述ACL表中，用戶下發的所述ACL規則的編號小于所述沖突ACL規則的編號。

一種ACL規則下發的裝置，所述裝置應用于網絡設備的交換芯片，包括：

接收模塊，用于接收用戶下發的針對協議報文的ACL規則；

查詢模塊，用于基于用戶下發的所述ACL規則的篩選條件和動作策略，查詢已存儲的ACL表，以確定所述ACL表中是否存在與用戶下發的所述ACL規則的篩選條件相同，但動作策略相沖突的沖突ACL規則；

判斷模塊，用于在確定存在與用戶下發的所述ACL規則的篩選條件相同，但動作策略相沖突的沖突ACL規則后，判斷用戶下發的所述ACL規則的動作策略是否為丟棄；

插入模塊，用于在確定用戶下發的所述ACL規則的動作策略為丟棄后，將用戶下發的所述ACL規則插入到所述ACL表中，用戶下發的所述ACL規則的編號小于所述沖突ACL規則的編號。

在本申請中，交換芯片通過對用戶下發的ACL規則和已存儲的ACL表中的規則進行比對，確定存在與用戶下發的ACL規則相沖突的沖突ACL規則后，可將用戶下發的動作策略為丟棄的ACL規則插入到其沖突ACL規則之前。與現有技術相比，可確保已配置丟棄策略的協議報文與ACL表中的規則匹配時，可優先匹配動作策略為丟棄的ACL規則，避免已配置丟棄策略的協議報文上送CPU，從而可減輕CPU的負荷。

附圖說明

圖1是本申請實施例示出的一種ACL規則下發的方法流程圖；