CN101035060A - 一种三重内容可寻址存储器报文分类的统一处理方法 - Google Patents

Abstract

本发明公开了一种三重内容可寻址存储器报文分类的统一处理方法，其特征在于，包括：步骤一、生成一统一ACL策略表、一统一动作表；步骤二、存放所述统一ACL策略表于TCAM中，存放所述统一动作表于存储器中；步骤三、根据设定的格式构造搜索关键字进行报文查找、报文分类；其中所述统一ACL策略表由一组存放报文分类信息的TCAM条目构成；所述统一动作表由与每个所述TCAM条目对应的动作构成；所述TCAM条目的格式被分成：控制信息、2层信息、3层信息和4层信息。采用本发明所述方法，很好地解决了Port ACL、uRPF、RouteMap、NAT、QoS等与ACL相关业务的规则匹配问题。

Description

一种三重内容可寻址存储器报文分类的统一处理方法

技术领域

本发明涉及计算机网络技术领域，尤其涉及使用TCAM(Ternary ContentAddressable Memory，三重内容可寻址存储器)实现ACL/QoS(Access ControlList/Quality of Service，访问控制列表/服务质量)方面的TCAM报文分类统一处理的实现方法。

背景技术

现有的网络设备中，大多都需要实现ACL/QoS，现以ACL举例，传统的ACL由五元组构成，五元组包括：源IP地址、目的IP地址、源端口号、目的端口号、协议。一般实现中，IP地址使用前缀匹配，协议使用精确匹配，而端口则使用范围匹配。目前实现ACL主要有两种途径，一种是使用软件实现，最典型的是RFC(Recursive Flow Classification，递归流分类)算法；另一种是使用硬件实现，最典型的是TCAM。当然硬件实现比软件快很多，尤其是在一些高速网络中，一般都使用硬件进行加速。

请参阅图1所示，为现有技术QoS规则匹配的链表实现方式示意图。现有网络设备支持的业务也越来越多，典型的有Port ACL(端口ACL)、uRPF(Unicast Reverse Path Forwarding，单播反向路径转发)、RouteMap(策略路由)、NAT(Network Address Translation，网络地址转换)、QoS(Quality of Service，服务质量)等，这些业务都涉及到了ACL，但因为实现方面的限制，所以这里所指的ACL都是传统的五元组IPv4ACL。由于uRPF、RouteMap、NAT中的分类关键字与基本ACL完全一致，所以在实现时这些业务的规则是按ACL进行配置的。如果一个策略可以配置多个ACL，比如，RouteMap，那么在内部实现时其实是合并成一个内部的ACL，注意在合并过程中只合并是permit的规则，否则语义会不一致。当合并成一个ACL后，那么就可以按照普通的ACL进行查找。但是QoS的分类字段则很多，比如，ACL(IPv4)、IPv4 Precedence(优先级)、IPv4 DSCP(Differentiated Services Code Point，差分服务码点)、IPv6TOS(Type Of Service，服务类型)、MPLS EXP(Multi-Protocol Label SwitchingEXP，多协议标签交换服务等级)、Src MAC(Source Media Access Control，源介质访问控制地址)、802.1p等，此时就不能使用一条ACL来表示这些规则，因为传统ACL规则中不包含这些字段，所以一般都使用链表来实现，参见图1。

由于目前的ACL主要使用RFC算法来实现，所以扩展性很差，支持的字段个数也非常有限，当需要实现IPv6 ACL时，那么RFC算法是非常不现实的。另外使用链表实现QoS规则的匹配也是非常低效的，因为当规则个数较多时，访问外存的次数就会增加，执行的指令周期数就会变长，这对于核心骨干设备，比如10G网络设备来说是不堪承受的，所以需要使用另一种方法来解决这些问题。

TCAM是一种专用三重内容可寻址存储器，可以进行快速大量并行搜索。搜索的时候，存储器中所有的条目同时与搜索关键字比较，搜索结果就是匹配项的物理地址。在进行条目匹配时，条目的每个位可以是0、1、x三种状态，如果是x，那么该位不参与比较，默认是成功，否则关键字和条目的相应位进行比较，如果相同则成功，否则失败。在比较过程中，如果某位不匹配，那么该条目匹配失败；如果所有位都匹配，那么该条目匹配成功。

TCAM的特性使其很适合做报文分类，本发明就是使用TCAM来做一个统一的解决方案实现这些业务对报文分类的要求。

发明内容

本发明所要解决的技术问题在于提供一种三重内容可寻址存储器报文分类的统一处理方法，可简单、高效地实现Port ACL、uRPF、RouteMap、NAT、QoS等业务的规则匹配。

为了实现上述目的，本发明提供了一种三重内容可寻址存储器报文分类的统一处理方法，用于网络设备的ACL访问控制列表的处理，其特征在于，包括：

步骤一、生成一统一ACL策略表、一统一动作表；

步骤二、存放所述统一ACL策略表于三重内容可寻址存储器TCAM中，存放所述统一动作表于存储器中；及

步骤三、根据设定的格式构造搜索关键字进行报文查找、报文分类；

其中，所述统一ACL策略表由一组存放报文分类信息的TCAM条目构成；所述统一动作表由与每个所述TCAM条目对应的动作构成；所述TCAM条目的格式被分成：控制信息、2层信息、3层信息和4层信息。

所述的三重内容可寻址存储器报文分类的统一处理方法，其中，所述控制信息又包含字段：ACL号、类型；该类型字段又包括：2层类型、3层类型、4层类型。

所述的三重内容可寻址存储器报文分类的统一处理方法，其中，当该类型为n类型时，若该n层类型不为wildcard，则n层信息有效，且n层信息的格式由n层类型的具体值决定；若n层类型为wildcard，则n层信息也为wildcard，其中n＝1，2，3。

所述的三重内容可寻址存储器报文分类的统一处理方法，其中，所述2层信息为任意的2层头分类信息，包括：PPP、ETH、ATM、FR、HDLC中的一个或多个；所述3层信息为任意的3层头分类信息，包括：IPv4、IPv6、MPLS中的一个或多个；所述4层信息为任意的4层头分类信息，包括：TCP、UDP、ICMP中的一个或多个。

所述的三重内容可寻址存储器报文分类的统一处理方法，其中，所述2层类型、3层类型的值由用户自定义；所述4层类型的值来自IPv4头部的Protocol和IPv6头部的Next Header。

所述的三重内容可寻址存储器报文分类的统一处理方法，其中，将TCAM条目格式分成所述控制信息、2层信息、3层信息、4层信息是根据数据包的封装层次进行划分的。

所述的三重内容可寻址存储器报文分类的统一处理方法，其中，所述步骤二中，当所述动作的长度不足以容纳业务相关的动作时，则通过在所述动作里存储一索引，再通过该索引找到对应的实际动作内容。

所述的三重内容可寻址存储器报文分类的统一处理方法，其中，所述步骤二中，当所述报文分类信息达到一定数值，所述TCAM条目不足以放置所述报文分类信息时，通过所述2层信息/3层信息/4层信息各层中的报文分类信息复用同一所述TCAM条目区域的方式实现报文分类信息放置。

所述的三重内容可寻址存储器报文分类的统一处理方法，其中，还包括在所述控制信息字段中加入所述2层信息/3层信息/4层信息的格式类型的步骤。

有益效果：

采用本发明所述方法，很好地解决了Port ACL、uRPF、RouteMap、NAT、QoS等与ACL相关业务的规则匹配问题，具体优点如下：

(1)、可以克服现有QoS规则匹配的低效问题；

(2)、可以简单高效实现IPv6 ACL；

(3)、可以大大扩展ACL的分类字段个数；

(4)、可以简化ACL表的管理；

(5)、具有很强的扩张性和伸缩性；

(6)、可以统一解决与ACL相关的各种业务的规则匹配。

本发明所述方法具有较广的应用范围，主要应用在路由器、交换机、防火墙、入侵检测系统等网络设备。

以下结合附图和具体实施例对本发明进行详细描述，但不作为对本发明的限定。

附图说明

图1为现有技术QoS规则匹配的链表实现方式示意图；

图2为本发明统一TCAM报文分类的实现方法的原理图；

图3为本发明统一ACL策略表和动作表结构示意图；

图4为本发明TCAM条目参考格式示意图。

具体实施方式

下面结合附图对本发明技术方案的实施作进一步的详细描述：

请参阅图2所示，为本发明统一TCAM报文分类的实现方法的原理图。本发明使用TCAM实现，因为TCAM非常灵活，所以可以实现非常复杂的功能，而这些功能使用软件实现基本上很难或基本不可能。由于传统的ACL只是基于五元组实现的，并且只支持IPv4(Internet Protocol version 4，互联网协议第四版)，所以用于QoS时就不得不使用链表实现。因为传统的ACL只支持有限的3层IPv4信息和4层信息，不支持2层信息，同时也不支持MPLS/IPv6信息，所以使用链表这种低效的方法根本无法满足高速网络的应用需求。

结合TCAM的特性，可以将传统的ACL扩展成支持2、3、4层分类，并且每层都具有很强的扩展性和独立性，这样所有的Port ACL、uRPF ACL、RouteMap Policy(策略)、NAT Policy、QoS Policy都可以基于ACL来实现，并且还支持IPv6(Internet Protocol version 6，互联网协议第六版)、MPLS(Multi-protocol Label Switching，多协议标签交换)、ATM(AsynchronousTransfer Mode，异步传输模式)、ETH(Ethernet，以太网)分类等等，这样不仅使ACL的分类信息更加丰富，同时QoS也不需要链表了，一条TCAM查找指令就可以把结果查出来。故称之为TCAM实现ACL的统一解决方法。

目前常用的分类信息如下：

2层信息：

ETH：MAC，802.1p，VLAN ID

ATM：VPI，VCI

3层信息：

IPv4：IP Precedence，DSCP，Src IPv4，Dst IPv4，Protocol

IPv6：Flow Label，ToS，Src IPv6，Dst IPv6，Next Header

MPLS：MPLS Label，MPLS EXP

4层信息：

ICMP：Type

TCP：Flags，Src Port，Dst Port

UDP：Src Port，Dst Port

其中，VLAN ID(Virtual Local Area Network Identifier)为虚拟局域网标识符，VPI(Virtual Path Identifiers)为虚通路标识符，VCI(Virtual Channel Identifiers)为虚信道标识符，Flow Label为流标签，ICMP(Internet Control MessageProtocol)为网际控制报文协议，TCP(Transmission Control Protocol)为传输控制协议，UDP(User Datagram Protocol)为用户数据报协议，Flags为TCP头里的标志字段，Src Port为源端口，Dst Port为目的端口。

上面这些分类信息达到了20个，远多于传统ACL的5个分类信息。同时这些信息可以任意组合，而传统ACL只支持五元组的任意组合。当需要支持QoS规则时，传统的方式只能从ACL、IP Precedence(Pre)、IP DSCP、IPv6 TOS、MPLS EXP、MAC、802.1p等分类信息中选择其中一个进行规则匹配，灵活性较差。

图2中，TCAM条目格式主要分为4段：控制信息、2层信息、3层信息、4层信息。

下面说明一下控制信息，控制信息主要包含字段：ACL号(ACL_NO)、类型，类型字段又包括：2层类型(L2_TP)、3层类型(L3_TP)、4层类型(L4_TP)。如果n层类型(n＝1，2，3)不为wildcard(通配/匹配所有)，那么后面的n层信息(n＝1，2，3)有效，同时n层类型(n＝1，2，3)的具体值将决定后面的n层信息(n＝1，2，3)的格式。如果n层类型(n＝1，2，3)是wildcard(通配/匹配所有)，那么后面的n层信息(n＝1，2，3)也必须是wildcard(通配/匹配所有)。

控制信息必须包含ACL号，这是因为该ACL号指示查某个具体的ACL子表，而所有的ACL子表都存放在统一ACL表中。如果配置规则中有2层信息，则必须设置2层类型，否则该字段和2层信息字段的掩码mask必须是全0；3层类型和4层类型与2层类型相类似。需要注意的是，2层类型、3层类型的值是用户自定义的，4层类型的值来自IPv4头部的Protocol和IPv6头部的Next Header。3层类型不能来自2层头，因为不同的2层头定义的3层头类型是不同的，比如IPv4在ETH和PPP中的定义就不同，所以需要另外统一定义。

2层信息，可以是任意的2层头分类信息，包括：PPP(Point to Point Protocol，点对点协议)、ETH(Ethernet，以太网)、ATM(Asynchronous Transfer Mode，异步传输模式)、FR(Frame Relay，帧中继)、HDLC(High Data Link ControlProcedure，高级数据链路控制规程)等。

3层信息，可以是任意的3层头分类信息，包括：IPv4(Internet Protocolversion 4，互联网协议第四版)、IPv6(Internet Protocol version 6，互联网协议第六版)、MPLS(Multi-Protocol Label Switching，多协议标签交换)等。

4层信息，可以是任意的4层头分类信息，包括：TCP(Transfer ControlProtocol，传输控制协议)、UDP(User Datagram Protocol，用户数据报协议)、ICMP(Internet Control Message Protocol，网际控制报文协议)等。

所有涉及ACL的业务比如Port ACL、uRPF、RouteMap、NAT、QoS都使用一个统一的ACL策略表空间，只不过条目对应的动作不同。

此处层次并不是严格的网络分层，而是按数据包的封装层次来划分的。

下面描述具体实施例，由于本发明涉及一个TCAM实现ACL的统一解决方法，所以最关键的问题是如何使用TCAM实现上面的业务需求。该统一解决方法的核心数据结构是统一ACL策略表和统一动作表，下面进行描述。

请参阅图3所示，为本发明统一ACL策略表和动作表结构示意图。其中动作表的含义如下(只作参考，实际的可以不一样)：

Port/uRPF动作：permit/deny，表示允许/禁止报文通过。

NAT动作：nat_index，用于定位NAT地址转换表。

RouteMap动作：set_tbl_index，用于定位设置动作表，比如设置下一跳IP地址，或出接口。

Qos PQ动作：set_priority，用于设置报文所属的优先级队列。

Qos CAR动作：car_index，用于定位CAR限速需要的配置信息。

上面的PQ表示(Priority Queue)优先级队列，CAR表示(Committed AccessRate)承诺访问速率。

统一ACL策略表存放在TCAM中，统一动作表可以存放在SRAM/DRAM(Static Random Access Memory/Dynamic Random AccessMemory，静态随机存取存储器/动态随机存取存储器)中，因为ACL规则总数比较少，所以一般都存放在SRAM，这样可以大大提高处理速度。现在所有的规则不管是2层的还是IPv4、IPv6、MPLS等等都存放在统一的ACL策略表中。使用时只要按规定的格式构造好关键字进行查找就可以了，非常灵活。因为要支持2、3、4层的分类信息，所以TCAM条目的长度必须足够大，否则无法容纳这些信息，因此，在本发明中，TCAM条目的格式也是非常关键的，下文将进行详细描述。

与每个TCAM条目对应的是一个动作，这些动作构成一个统一动作表，每个动作的格式根据业务的不同而不同，为方便实现，每个动作的长度是32bit。如果32bit无法容纳业务相关的动作，那么可以在动作里存储一个index索引，通过index索引找到对应的实际动作内容，比如CAR(Committed AccessRate，承诺访问速率)动作。这里需要注意的是除了Port/uRPF动作外，其它动作里都没有permit/deny位，而传统的ACL实现里是有permit/deny位的，原因在于：传统的ACL是基于RFC算法的，它一定会查出一个结果，所以必须有该位，而TCAM不是这样的。除了基本ACL外，对于其它几个业务，只需要存储是permit的规则，所有是deny的规则都不会存入，所以如果查不到就表示是deny，因此不需要设置该位。另外，传统RFC实现ACL有一个默认的规则就是deny any any，而TCAM实现时也是不需要考虑这个问题的，可以把查不到的情况定为deny any any，所以不需要额外的deny any any规则。另外，需要注意：一条ACL规则可能扩展成多个TCAM条目，所以这些条目对应的动作都是一样的，这里的扩展主要是因为TCAM表示端口范围造成的。

请参阅图4所示，为本发明TCAM条目参考格式示意图。根据前面的叙述，TCAM条目的格式是实现的关键重点，因为分类信息达到了20个，所以如果是直接放置在TCAM条目中，那么576bit一定是不够用的，这时可以采用复用的技术。2层目前的主要协议是PPP、ETH、ATM、FR、HDLC，3层主要的协议是IPv4、IPv6、MPLS，4层主要的协议是ICMP、UDP、TCP。考虑到对于一个报文来说，它只可能属于各层中的一个协议，所以可以按层来复用，也即是，各层的分类信息可以复用同一块TCAM条目区域，但是这时必须加上控制字段来控制各层信息的格式，比如，对于3层，那么需要指明到底是IPv4，IPv6还是MPLS格式。在设置规则时，如果某层的信息有效，那么必须在控制信息里写入格式类型，查找时也要根据报文的类型写入各层的控制信息，并按一定格式设置好关键字。如果配置规则没有某层的信息，那么相应层的控制字段的掩码mask是全0，相应层信息的掩码也是全0。图4就是一个参考的TCAM条目格式，图中R表示保留，TCAM中相应掩码mask位置0。

TCAM条目格式主要分为4段：控制信息、2层信息、3层信息、4层信息。

控制信息占用64bit，其中，ACL_NO(16bit)、R(16bit)、L2_TP(8bit)、L3_TP(8bit)、L4_TP(8bit)、R(8bit)；

2层信息占用64bit，其中，PPP无内容，FR、HDLC未定义；ETH(以太网)中：Src MAC(高32bit)、Src MAC(低16bit)、802.1p(3bit)、R(bit)、VLANID(12bit)；ATM中：VPI(12bit)、VCI(16bit)、R(4bit)、R(32bit)。

3层信息占用288bit，其中，IPv4中：DSCP(6bit)、R(2bit)、IP Pre(3bit)、R(5bit)、R(16bit)、Src IP(32bit)、Dst IP(32bit)、R(192bit)；IPv6中：R(4bit)、TOS(8bit)、Flow Label(20bit)、Src IP(128bit)、Dst IP(128bit)；MPLS中：MPLSLabel(20bit)、EXP(3bit)、R(9bit)、R(256bit)。

4层信息占用64bit，其中，ICMP中：Type(8bit)、R(24bit)、R(32bit)；TCP中：Flags(8bit)、R(24bit)、Src Port(16bit)、Dst Port(16bit)；UDP中：R(32bit)、Src Port(16bit)、Dst Port(16bit)。

R占用96bit。

TCAM条目格式中的信息共占用576bit，实际使用了480bit。

使用TCAM统一ACL解决方案后，ACL表的产生规则如下：

一个ACL list-number →一个内部ACL表

NAT(全局)           →一个内部ACL表

一个RouteMap tag    →一个内部ACL表

一个PQ list-number  →一个内部ACL表

一个CAR list-number →一个内部ACL表

由于使用TCAM实现ACL，所以以前与ACL相关的业务驱动管理几乎都要改变，因为它们基本都是基于RFC算法的，而QoS则几乎要重做，但是实现的原理可以借鉴。

单独的Port ACL是非常简单的，难就难在ACL表的合并上，像NAT、RouteMap、QoS都有设置ACL作为规则的功能，这时就需要把这个ACL表里的规则加入到另一个ACL表中，并且一个基本ACL表可能加入多个业务ACL表中，这导致的问题是在删除该ACL表规则或ACL表时必须相应的从被加入的ACL表中删除，这个过程是很复杂的，当用于TCAM时更是异常复杂，因为TCAM是使用index存储条目的，同时一个ACL规则可能对应多个TCAM条目，这导致逻辑关系更加复杂。

除基本ACL表(Port/uRPT ACL)外，其它业务ACL表都是内部创建的，比如NAT ACL表，它们可以包含基本ACL表，关系如下：加入基本ACL表规则时必须把该基本ACL表内所有是permit的条目加入业务ACL表中，删除基本ACL表规则时则把基本ACL表中所有是permit的条目从业务ACL表中删除。

另外，基本ACL表可能被多个业务ACL表所包含，关系如下：对该基本ACL表的更新必须随之更新包含它的业务ACL表，比如添加/删除规则或删除基本ACL表时，必须更新其它包含该基本ACL表的业务ACL表。

本发明提供了一种简单统一高效的方法实现报文分类，成功解决TCAM实现Port ACL、uRPF、RouteMap、NAT、QoS等业务的规则匹配问题。

当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (9)

1、一种三重内容可寻址存储器报文分类的统一处理方法，用于网络设备的ACL访问控制列表的处理，其特征在于，包括：

步骤一、生成一统一ACL策略表、一统一动作表；

步骤二、存放所述统一ACL策略表于三重内容可寻址存储器TCAM中，存放所述统一动作表于存储器中；及

步骤三、根据设定的格式构造搜索关键字进行报文查找、报文分类；

其中，所述统一ACL策略表由一组存放报文分类信息的TCAM条目构成；所述统一动作表由与每个所述TCAM条目对应的动作构成；所述TCAM条目的格式被分成：控制信息、2层信息、3层信息和4层信息。

2、根据权利要求1所述的三重内容可寻址存储器报文分类的统一处理方法，其特征在于，所述控制信息又包含字段：ACL号、类型；该类型字段又包括：2层类型、3层类型、4层类型。

3、根据权利要求2所述的三重内容可寻址存储器报文分类的统一处理方法，其特征在于，当该类型为n类型时，若该n层类型不为wildcard，则n层信息有效，且n层信息的格式由n层类型的具体值决定；若n层类型为wildcard，则n层信息也为wildcard，其中n＝1，2，3。

4、根据权利要求1、2或3所述的三重内容可寻址存储器报文分类的统一处理方法，其特征在于，所述2层信息为任意的2层头分类信息，包括：PPP、ETH、ATM、FR、HDLC中的一个或多个；所述3层信息为任意的3层头分类信息，包括：IPv4、IPv6、MPLS中的一个或多个；所述4层信息为任意的4层头分类信息，包括：TCP、UDP、ICMP中的一个或多个。

5、根据权利要求2或3所述的三重内容可寻址存储器报文分类的统一处理方法，其特征在于，所述2层类型、3层类型的值由用户自定义；所述4层类型的值来自IPv4头部的Protocol和IPv6头部的Next Header。

6、根据权利要求1、2或3所述的三重内容可寻址存储器报文分类的统一处理方法，其特征在于，将TCAM条目格式分成所述控制信息、2层信息、3层信息、4层信息是根据数据包的封装层次进行划分的。

7、根据权利要求1、2或3所述的三重内容可寻址存储器报文分类的统一处理方法，其特征在于，所述步骤二中，当所述动作的长度不足以容纳业务相关的动作时，则通过在所述动作里存储一索引，再通过该索引找到对应的实际动作内容。

8、根据权利要求1、2或3所述的三重内容可寻址存储器报文分类的统一处理方法，其特征在于，所述步骤二中，当所述报文分类信息达到一定数值，所述TCAM条目不足以放置所述报文分类信息时，通过所述2层信息/3层信息/4层信息各层中的报文分类信息复用同一所述TCAM条目区域的方式实现报文分类信息放置。

9、根据权利要求8所述的三重内容可寻址存储器报文分类的统一处理方法，其特征在于，还包括在所述控制信息字段中加入所述2层信息/3层信息/4层信息的格式类型的步骤。

Images