[發明專利]IP報文的多元組過濾方法、系統、設備及存儲介質

在審

• 申請號: 202110998115.4
• 申請日: 2021-08-27
• 公開（公告）號: CN113904798A
• 公開（公告）日: 2022-01-07
• 發明（設計）人: 李天航;齊航;彭昕
• 申請（專利權）人: 長沙星融元數據技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京辰權知識產權代理有限公司 11619
• 代理人: 付婧

本申請提供了一種IP報文的多元組過濾方法、系統、設備及存儲介質，根據報文流的源IP地址，通過第一過濾規則獲取第一分流動作以及源IP地址映射的源IP編號；根據報文流的目的IP地址，通過第二過濾規則獲取第二分流動作以及目的IP地址映射的目的IP編號；根據報文流的源IP編號以及目的IP編號，通過第三過濾規則獲取第三分流動作，以及源IP編號與目的IP編號組合映射的第一組合編號；根據報文流的第一組合編號、協議號以及源目的端口號的不同組合，通過對應的過濾規則獲取對應的分流動作。本申請通過任意元組組合過濾IP報文，提升了精準的分流；同時節省了過濾規則或者過濾表格占用SRAM/TCAM的資源，提升了資源利用率。

技術領域

本申請屬于網絡安全技術領域，具體地，涉及一種IP報文的多元組過濾方法、系統、設備及存儲介質。

背景技術

隨著5G時代到來，整個網絡隨著移動互聯網和物聯網技術的快速發展，從而使得網絡中的移動設備的數量大幅度增加，導致了用戶終端數、流量以及IP地址都出現了大量增長。同時對市場上用于流量分流的交換設備也提出了挑戰，很多客戶需要對不同的訪問流量提供不同的服務，對于不同的移動設備在訪問中的安全性和訪問控制性也需要產生出不同的定義策略。

在IP分流時，需要查找定義的表，按照表規則將不同的IP進行分流處理。表即本申請中的過濾表，一般包含過濾規則，也稱key，還包括對應的流量處理動作action，表會占用SRAM/TCAM資源，應該盡量減少key的長度，可節省資源,表有自己的規格，規格越大占用資源越大。目前，按查表機制的不同，將表格規則分為精確規則和掩碼規則。

掩碼規則一般用三態內容尋址存儲器TCAM(Ternary Content AddressableMemory)實現，因為TCAM成本較高，功耗較大的缺點，一般在交換芯片上會有空間不多的TCAM。精確規則一般使用SRAM實現。在芯片上，SRAM可以數倍大于TCAM資源。

在流量識別時，一般我們通過報文的五元組信息，包括源IP、目的IP、源端口、目的端口、協議類型來識別并分流。在某些場景中，需要根據五元組中的一元或多元組合識別并分流。

基于上述需求，用TCAM實現的掩碼規則可以實現單元或任意元組合的流識別和分流，但是受限于其資源有限，尤其是當使用精確的任意元時，整體規則量提高不了，無法滿足大規格規則容量需求的場景。

針對大規格任意元組組合的規則，會自然而然考慮用SRAM定義精確規則滿足這一需求。然而要支持精確的五元組或任意元組組合過濾，采用TCAM還是SRAM時，存在SRAM利用率極低、不支持元組之間的靈活組合規則、用TCAM實現時存在大量資源浪費、SRAM-TCAM結合方案的規則規格有限等缺點。

發明內容

本發明提出了一種IP報文的多元組過濾方法、系統、設備及存儲介質，旨在解決現有技術在使用SRAM/TCAM過濾IP報文時，由于過濾表存在重復的過濾規則，導致SRAM/TCAM的利用率極低的問題。

根據本申請實施例的第一個方面，提供了一種IP報文的多元組過濾方法，包括以下步驟：

根據報文流的源IP地址，通過第一過濾規則獲取第一分流動作以及源IP地址映射的源IP編號；根據報文流的目的IP地址，通過第二過濾規則獲取第二分流動作以及目的IP地址映射的目的IP編號；

根據報文流的源IP編號以及目的IP編號，通過第三過濾規則獲取第三分流動作，以及獲取源IP編號與目的IP編號組合映射的第一組合編號；

根據報文流的第一組合編號、協議號以及源目的端口號的不同組合，通過對應的過濾規則獲取對應的分流動作。

在本申請一些實施方式中，根據報文流的第一組合編號、協議號以及源目的端口號不同組合后，通過對應的過濾規則獲取對應的分流動作，具體包括：