CN101247353B - 流老化方法及网络设备 - Google Patents

Abstract

本发明公开了流老化方法及网络设备。方法包括：为每条流建立正向流表、反向流表和会话表，其中，正、反向流表包含流的标识信息和会话表索引，会话表包含正向和反向流的加速转发信息；接收正向或反向流包，根据包中的流标识信息查找正向或反向流表，根据流表中的会话表索引查找会话表，根据会话表中的加速转发信息转发包；当会话表命中超时，删除会话表及其对应的正、反向流表。本发明通过将正、反向流表与统一的会话表关联，流的老化依赖于会话表的老化，避免了由于单方向流中止引起的会话提前中止，同时节省了资源。

Description

流老化方法及网络设备

技术领域

本发明涉及流加速技术领域，具体涉及一种流老化方法及网络设备。

背景技术

随着网络的发展，网络带宽日益增大，单纯依靠通用中央处理器(CPU，Central Processing Unit)来处理网络业务的设备，在性能上无法满足高端用户的需求，因此需要借助于专用CPU，包括：网络处理器(NP，NetworkProcessor)、专用集成电路(ASIC，Application Specific Integrated Circuit)、现场可编程门阵列(FPGA，Field Programmable Gate Array)等，来提高处理能力。这种将通用的、需求较为稳定的部分工作交给专用CPU来处理，而将一些比较复杂的如：应用层网关(ALG，Application Level Gateway)处理、需求易变如：防火墙安全策略的工作交给通用CPU来处理的方法称为硬件加速。

现有的网络业务模型大致可认为是基于流进行处理的，一对网络结点间交互的数据称为一条流，由发起方发出的数据为正向流，由响应方发出的数据为反向流，流的管理信息如：转发信息、安全信息等一般称为会话信息。当某条流在规定的时间段内没有数据交互，需将此流相关的信息从系统中删除，以达到节约资源的目的。

图1为现有基于流处理的网络设备的结构示意图，如图1所示，数据流首包从接口进入，通过流加速引擎上送控制处理器建立会话；会话建立后，控制处理器将此流的正、反向流表下发到流加速引擎；当流的后续包到达时，可直接从正、反向流表中获取转发信息和安全信息，完成相关的动作实现硬件加速过程。当某个方向的流表在一定的时间内未被命中，则会触发流加速引擎上送老化消息给控制处理器，由控制处理器删除本地会话并下发正反向流表的删除命令终止此流的加速过程。

在图1所示的网络设备中，正、反向流表是分开维护的，这样，当某些应用长时间内只有单向流存在时，会使相反方向的流表被老化，导致此会话提前终止，应用被迫中断。

为避免由单向流引起的会话提前老化问题，可以将流的老化时间设置得较长一些，但这样对于大多数有稳定的双向流的业务而言，会产生较大的资源浪费。

发明内容

本发明提供一种流老化方法及网络设备，以避免由于单方向流中止引起的会话提前中止。

本发明的技术方案是这样实现的：

一种流老化方法，包括：

为每条流建立正向流表、反向流表和会话表，其中，正、反向流表包含流的标识信息和会话表索引，会话表包含正向和反向流的加速转发信息；

接收正向或反向流包，根据包中的流标识信息查找正向或反向流表，根据流表中的会话表索引查找会话表，根据会话表中的加速转发信息转发包；

当会话表命中超时，删除会话表及其对应的正、反向流表。

所述正向流表、反向流表和会话表由流控制引擎建立，且，

流控制引擎通过交换网将正向流表和反向流表分发到流分类引擎上，通过交换网将会话表被分发到流加速引擎上。

所述正、反向流表包含流的标识信息为：正、反向流表包含五元组和VLAN标识，或者为：正、反向流表包含五元组和VRF标识。

所述正向流表进一步包括：是否需要对正向流的目的IP地址进行NAT的标志、是否需要对正向流的源IP地址进行NAT的标志；

和/或，所述反向流表进一步包括：是否需要对反向流的源IP地址进行NAT的标志、是否需要对反向流的目的IP地址进行NAT的标志。

所述会话表包括：正向流出口VLAN标识、反向流出口VLAN标识、VRF标识、TCP代理标志、是否需要作慢路径转发的标志、传输层协议标志、正向流出端口号、反向流出端口号。

所述会话表命中超时通过以下方式确定：每当会话表被命中，将会话表的命中标志置“1”；同时，每隔预定老化时长将该命中标志清零，且，当要对该命中标志清零时，若发现该命中标志为“0”，则确定会话表命中超时。

所述方法进一步包括：预先设置一个不小于两倍所述预定老化时长的长老化时长，

当属于同一流的正、反向流表在所述长老化时长内未被命中时，删除该正、反向流表。

所述为每条流建立正、反向流表和会话表包括：

接收正向流首包，对正向流首包作慢路径转发处理，并建立正向流表、反向流表以及会话表，其中，会话表中仅包含正向流加速转发信息；

接收反向流首包，对反向流首包作慢路径转发处理，并将反向流加速转发信息加入到会话表中。

一种流老化网络设备，包括：流分类引擎、流加速引擎和流控制引擎，且，流分类引擎和流加速引擎之间、流分类引擎和流控制引擎之间通过交换网相连，流加速引擎和流控制引擎一一对应，其中：

流分类引擎，保存流控制引擎发来的正、反向流表；接收包，若根据包中的流标识信息查找到正向或反向流表，将包和流表中的会话表索引发送给流加速引擎；否则，将包发送给流控制引擎；根据流控制引擎发来的流表删除消息，删除正、反向流表；

流加速引擎，保存流控制引擎发来的会话表；接收包和会话表索引，若根据会话表索引查找到完整会话表，根据会话表中的加速转发信息转发包；否则，将包发送给流控制引擎；若会话表命中超时，删除会话表，向流控制引擎发送携带会话表索引的老化消息；

流控制引擎，接收包，根据包为每条流建立正、反向流表和会话表并发送出去；接收老化消息，将携带流标识信息的流表删除消息发送出去。

所述流分类引擎包括：流表存储模块、流表查找模块和老化模块，其中：

流表存储模块，存储流控制引擎发来的正向流表和反向流表，其中正、反向流表中包含流标识信息、会话表索引、流加速引擎号和流表标志；

流表查找模块，接收外部发来的包，在流表存储模块中查找与包中的流标识信息对应的正、反向流表，若查找到，将包和流表中的会话表索引、流表标志发送给流表中的流加速引擎号对应的流加速引擎；若未查找到，根据包中的流标识信息得到流加速引擎号，将包和未找到流表指示发送给流加速引擎；

老化模块，接收流控制引擎发来的携带流标识信息的流表删除消息，根据该流标识信息，删除流表存储模块中的正、反向流表。

所述流分类引擎进一步包括长老化模块，用于设置长老化时长，当属于同一流的正、反向流表在长老化时长内未被命中时，删除该正、反向流表。

所述流加速引擎包括：会话表存储模块、会话表查找模块和老化检测模块，其中：

会话表存储模块，接收并存储流控制引擎发来的会话表，其中，会话表包括：会话表索引、正向流加速转发信息和反向流加速转发信息；

会话表查找模块，接收流分类引擎发来的包和未找到流表指示，将包发送给流控制引擎；接收流分类引擎发来的包和会话表索引、流表标志，若根据会话表索引查找到完整会话表，则根据流表标志在会话表中查找加速转发信息，根据加速转发信息转发包；否则，将包发送给流控制引擎；

老化检测模块，检测到会话表命中超时，根据会话表索引删除会话表存储模块中的会话表，并向流控制引擎发送携带会话表索引的老化消息，且消息指示老化原因为会话表命中超时。

所述流控制引擎包括：表建立模块和老化控制模块，其中：

表建立模块，接收流加速引擎发来的包，对包作转发处理，若确定该包为正向流首包，建立正、反向流表和会话表，将正、反向流表发送给流分类引擎；若确定该包为反向流首包，更新会话表，将更新的会话表发送给流加速引擎；

老化控制模块，接收流加速引擎发来的携带会话表索引和老化原因的老化消息，根据会话表索引确定流标识信息，向流分类引擎发送携带流标识信息的流表删除消息。

与现有技术相比，本发明中，为每条流建立正、反向流表和会话表，其中，正、反向流表包含流的标识信息和会话表索引，会话表包含正向和反向流的加速转发信息；接收正向或反向流包，根据包中的流标识信息查找正向或反向流表，根据流表中的会话表索引查找会话表，根据会话表中的加速转发信息转发包；当会话表命中超时，删除会话表及其对应的正、反向流表。本发明通过将正、反向流表与统一的会话表关联，流的老化依赖于会话表的老化，避免了由于单方向流中止引起的会话提前中止，同时节省了资源。

附图说明

图1为现有基于流处理的网络设备所采用的模型示意图；

图2为本发明实施例提供的用户数据报协议(UDP，User DatagramProtocol)或因特网控制消息协议(ICMP，Internet Control Message Protocol)流加速转发的流程图；

图3为本发明实施例提供的传输控制协议(TCP，Transfer ControlProtocol)流加速转发的流程图；

图4为本发明实施例提供的流老化的流程图；

图5为本发明实施例提供的基于流处理的网络设备的结构图；

图6为本发明实施例提供的流分类引擎的结构示意图；

图7为本发明实施例提供的流加速引擎的结构示意图。

具体实施方式

本发明的核心思想是：根据每条流的正、反向流首包为每条流建立正向流表、反向流表和会话表，且正、反向流表和会话表相关联，其中，正向流表和反向流表中都包含流标识信息和会话表索引，会话表中包含正向流和反向流的加速转发信息；当接收到流的正向或反向流后续包时，根据包中的流标识信息查找到正向或反向流表，再根据流表中的会话表索引查找到会话表，根据会话表中的正向流或反向流加速转发信息将该后续包转发出去；当某个会话表在预定老化时长内未被命中时，则删除该会话表以及与该会话表关联的正、反向流表。

以下图2～4所示实施例分别以UDP/ICMP、TCP流为例，对本发明再作进一步详细的说明。图2～4所示实施例应用于包含流分类引擎、流加速引擎和流控制引擎的网络设备中，其中，流分类引擎通过交换网与流加速引擎、流控制引擎通信。

图2为本发明实施例提供的流加速转发的流程图，在本实施例中，设定流为UDP流或ICMP流，如图2所示，其具体步骤如下：

步骤201：接口接收到包，将该包发往流分类引擎。

步骤202：流分类引擎接收到包，在自身查找与该包中的流标识信息对应的正向流表和反向流表，判断是否查找到，若是，执行步骤206；否则，执行步骤203。

在本实施例中，对于二层流，流标识信息为五元组+虚拟局域网(VLAN，Virtual Local Area Network)号；对于三层流，流标识信息为五元组+虚拟路由和转发(VRF，Virtual Routing and Forwarding)号。

步骤203：流分类引擎对该包的五元组进行哈希(Hash)运算，根据Hash运算结果与流加速引擎号的对应关系，将该包和未查到流表指示上送流加速引擎。

五元组包括：源IP地址、目的IP地址、源端口号、目的端口号、协议号，其中，对于ICMP，源端口指type和code的组合，目的端口指ID号。

步骤204：流加速引擎接收到包和未查到流表指示，将包发送给流控制引擎。

步骤205：流控制引擎接收包，将该包与自身的会话信息匹配，未匹配上，则确定该包为正向流首包，对该正向流首包进行转发处理，保存包含该包的五元组的会话信息，建立正向流表、反向流表和会话表，将正、反向流表下发到流分类引擎，将会话表下发到流加速引擎，本流程结束。

对一条流来说，正、反向流表与同一会话表关联。

正向流表和反向流表的格式相同，可如下：

KEY字段：流标识信息，可为五元组+二层流的VLAN号，或者为五元组+三层流的VRF号

RESULT字段：流加速引擎号+会话表索引+IN NAT标志+OUT NAT标志+正/反向流标志

其中，IN NAT标志、OUT NAT标志的含义如下：

对于正向流表，IN NAT标志、OUT NAT标志分别用于指示是否需要对正向流的目的IP地址、源IP地址进行网络地址转换(NAT，NetworkAddress Translation)；对于反向流，IN NAT标志、OUT NAT标志分别用于指示是否需要对反向流的源IP地址、目的IP地址进行NAT；

正/反向流标志用于指示流表为正向流表还是反向流表。

会话表格式可如下：

KEY字段：会话表索引

RESULT字段：正向流出口VLAN号+反向流出口VLAN号+VRF号+TCP代理(Proxy)标志+慢路径标志+传输层协议标志+正向流出端口号+反向流出端口号

其中，慢路径标志用于指示是否需要对流作慢路径转发，若需要，则流不走会话表所指示的快速路径，而直接将流送往流控制引擎作慢路径转发处理；

TCP Proxy标志表示流所采用的TCP Proxy；

传输层协议标志表示流采用的传输层协议，如：TCP、UDP、ICMP等。

若流的加速转发还依赖于其它的转发表，且该其它转发表中已包含正向流出口VLAN号、反向流出口VLAN号、VRF号、正向流出端口号、反向流出端口号，则会话表中可不包含上述信息。

执行完本步骤205后，正、反向流表中的所有信息都已知，对于二层流来说，会话表中的“反向流出端口号”未知，其它信息已知，此时，可将“反向流出端口号”置为无效；对于三层流来说，会话表中的“反向流出口VLAN号+反向流出端口号”未知，其它信息已知，此时，可将“反向流出端口号”置为无效。

步骤206：流分类引擎根据流表中的流加速引擎号，将流表中的会话表索引和流标志连同包一起发送给流加速引擎。

步骤207：流加速引擎接收会话表索引、流标志和包，根据会话表索引查找到会话表，根据流标志在会话表中查找加速转发信息。

步骤208：流加速引擎判断查找到的加速转发信息是否完整，若是，执行步骤211；否则，执行步骤209。

若包为正向流包，则会话表中的正向流加速转发信息肯定是完整的；若包为反向流包，则会话表中的反向流加速转发信息可能是不完整的。若流加速引擎发现会话表中的“反向流出端口号”被置为无效，则可确定反向流的加速转发信息不完整。

步骤209：流加速引擎将该包上送流控制引擎。

步骤210：流控制引擎接收包，将该包的五元组与自身的会话信息匹配，确定该包为反向流首包，对该反向流首包作转发处理，并触发会话表更新，将更新后的会话表发送给流加速引擎，流加速引擎根据接收到的会话表更新自身的会话表，本流程结束。

流控制引擎在对反向流首包的转发处理过程中，会获得反向流表的KEY字段中的“二层流的VLAN号或三层流的VRF号”以及会话表中的“反向流出口VLAN号+反向流出端口号”。

步骤211：流加速引擎根据查找到的加速转发信息，将包转发出去。

图3为本发明实施例提供的对TCP流进行加速转发的流程图，如图3所示，其具体步骤如下：

步骤301～304与步骤201～204相同。

步骤305与步骤205的区别在于：流控制引擎不将不完整的会话表下发给流加速引擎，而是保存在自身。

步骤306与步骤206相同。

步骤307更改为：流加速引擎接收会话表索引、流标志和包，根据会话表索引查找会话表。

步骤308更改为：

步骤308-1：流加速引擎判断是否查找到会话表，若是，执行步骤308-2；否则，执行步骤309。

步骤308-2：流加速引擎根据流标志在会话表中查找加速转发信息，转至步骤311。

步骤309与步骤209相同。

步骤310与步骤210的区别在于，流控制引擎在确认TCP连接建立后，再将更新后的会话表发送给流加速引擎。

步骤311与步骤211相同。

图4为本发明实施例提供的流老化流程图，如图4所示，其具体步骤如下：

步骤401：流加速引擎检测到会话表命中超时，删除该会话表，并向流控制引擎发送携带会话表索引的老化消息，且老化消息中的老化原因为会话表命中超时。

每当会话表被命中时，即：在步骤211或311中流加速引擎接收到流分类引擎发来的会话表索引时，流加速引擎中的硬件单元会将该会话表的命中标志置为“1”，同时，流加速引擎中的硬件单元会每隔预定老化时长将命中标志清零，若在清零时发现该命中标志为“0”，则确定会话表在上次清零后一直未被命中，向流控制引擎发送老化消息。

步骤402：流控制引擎接收到老化消息，确定老化原因是会话表命中超时，则向流加速引擎发送携带会话表索引和老化原因为会话表命中超时的会话删除消息；并根据会话表索引查找到流标识信息，通过交换网向流分类引擎发送携带流标识信息的流表删除消息。

流控制引擎中保存的会话信息中包含会话表索引和流标识信息。

在实际应用中，老化原因共有三种：用户主动要求结束会话、会话正常结束、会话表命中超时。其中，用户主动要求结束会话是由用户平面通知流控制引擎的，而在会话正常结束和会话表命中超时引起老化时，都是由流加速引擎通知流控制引擎的，因此，流加速引擎需要在老化消息中注明老化原因。

步骤403：流加速引擎接收到会话删除消息，检测到消息中的老化原因为会话表命中超时，则不作处理。

由于在步骤401中会话表已被删除，因此本步骤中流加速引擎无需再执行删除动作。若会话删除消息中的老化原因为正常会话结束或用户主动要求结束会话，则流加速引擎需要根据会话表索引删除会话表。

步骤404：流分类引擎收到流表删除消息，在自身查找与消息中的流标识信息对应的正、反向流表，删除该正、反向流表。

流表删除消息是由流控制引擎通过交换网发送给流分类引擎的，由于种种原因，该消息可能传输失败。为了避免流表删除消息传输失败而导致的无效的正、反向流表迟迟不被删除的情形的发生，可以预先设置一个长老化时长，该长老化时长不小于步骤401中的两倍预定老化时长，若在该长老化时长内，某条流的正、反向流表都未被命中，则删除正、反向流表。

图5为本发明实施例提供的基于流处理的网络设备的结构示意图，如图5所示，其主要包括：流分类引擎51、流加速引擎52和流控制引擎53，其中，流分类引擎和流加速引擎之间、流分类引擎和流控制引擎之间通过交换网相连，流加速引擎和流控制引擎一一对应，各单元的具体功能如下：

如图6所示，流分类引擎51可由三个功能模块：流表存储模块511、流表查找模块512和老化模块513组成，其中：

流表存储模块511：保存流控制引擎53发来的正向流表、反向流表，其中正、反向流表包括：流标识信息、会话表索引、流加速引擎号和流表标志。

流表查找模块512：从接口接收包，根据包中的流标识信息在流表存储模块511中查找正、反向流表，若查找到，根据流表中的流加速引擎号，将包和流表中的会话表索引、流表标志发送给流加速引擎52；否则，对包中的五元组进行Hash运算，确定Hash运算结果对应的流加速引擎，将包和未找到流表指示发送给流加速引擎52。

老化模块513：接收流控制引擎53发来的携带流标识信息的流表删除消息，删除流表存储模块511中与流标识信息对应的正、反向流表。

流分类引擎51还可包括长老化模块：用于设置长老化时长，当检测到属于同一条流的正、反向流表在长老化时长内未被命中时，删除该正、反向流表。

如图7所示，流加速引擎52可由三个功能模块：会话表存储模块521、会话表查找模块522和老化检测模块523组成，其中：

会话表存储模块521：保存流控制引擎53发来的会话表，其中，会话表包括：会话表索引、正向流加速转发信息和反向流加速转发信息。

会话表查找模块522：接收流分类引擎51发来的包、会话表索引和流表标志，根据会话表索引会话表存储模块521中查找会话表，若查找到完整的会话表，则根据流表标志查找会话表中的正向或反向流加速转发信息，根据查找到的加速转发信息转发包；若未查找到会话表或查找到不完整的会话表，则将包发送给流控制引擎53。

老化检测模块523：当检测到会话表命中超时，根据会话表索引删除会话表存储模块521中的对应会话表，并向流控制引擎53发送携带会话表索引和老化原因为会话表命中超时的老化消息；接收流控制引擎53发来的会话删除消息，检测到消息中的老化原因为会话表命中超时，则不作处理。

流控制引擎53可由两个功能模块：表建立模块和老化控制模块组成，其中：

表建立模块：接收流加速引擎52发来的包，对包作转发处理，若确定包为正向流首包，则建立正、反向流表和会话表，将正、反向流表发送给流分类引擎51；若确定包为反向流首包，则更新会话表，将更新后的会话表发送给流加速引擎52。

老化控制模块：接收流加速引擎52发来的携带会话表索引和老化原因的老化消息，向流加速引擎52返回携带会话表索引和老化原因的会话删除消息，并根据会话表索引确定流标识信息，向流分类引擎51发送携带流标识信息的流表删除消息。

以上所述仅为本发明的过程及方法实施例，并不用以限制本发明，凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (13)

1.一种流老化方法，其特征在于，该方法包括：

为每条流建立正向流表、反向流表和会话表，其中，正、反向流表包含流的标识信息和会话表索引，会话表包含正向和反向流的加速转发信息；

接收正向或反向流包，根据包中的流标识信息查找正向或反向流表，根据流表中的会话表索引查找会话表，根据会话表中的加速转发信息转发包；

当会话表命中超时，删除会话表及其对应的正、反向流表。

2.如权利要求1所述的方法，其特征在于，所述正向流表、反向流表和会话表由流控制引擎建立，且，

流控制引擎通过交换网将正向流表和反向流表分发到流分类引擎上，通过交换网将会话表分发到流加速引擎上。

3.如权利要求1所述的方法，其特征在于，所述正、反向流表包含流的标识信息为：正、反向流表包含五元组和虚拟局域网VLAN标识，或者为：正、反向流表包含五元组和虚拟路由和转发VRF标识。

4.如权利要求1至3任一所述的方法，其特征在于，所述正向流表进一步包括：是否需要对正向流的目的IP地址进行网络地址转换NAT的标志、是否需要对正向流的源IP地址进行NAT的标志；

和/或，所述反向流表进一步包括：是否需要对反向流的源IP地址进行NAT的标志、是否需要对反向流的目的IP地址进行NAT的标志。

5.如权利要求1所述的方法，其特征在于，所述会话表包括：正向流出口VLAN标识、反向流出口VLAN标识、VRF标识、传输控制协议TCP代理标志、是否需要作慢路径转发的标志、传输层协议标志、正向流出端口号、反向流出端口号。

6.如权利要求1～3、5中任一所述的方法，其特征在于，所述会话表命中超时通过以下方式确定：每当会话表被命中，将会话表的命中标志置“1”；同时，每隔预定老化时长将该命中标志清零，且，当要对该命中标志清零时，若发现该命中标志为“0”，则确定会话表命中超时。

7.如权利要求6所述的方法，其特征在于，所述方法进一步包括：预先设置一个不小于两倍所述预定老化时长的长老化时长，

当属于同一流的正、反向流表在所述长老化时长内未被命中时，删除该正、反向流表。

8.如权利要求1～3、5中任一所述的方法，其特征在于，所述为每条流建立正、反向流表和会话表包括：

接收正向流首包，对正向流首包作慢路径转发处理，并建立正向流表、反向流表以及会话表，其中，会话表中仅包含正向流加速转发信息；

接收反向流首包，对反向流首包作慢路径转发处理，并将反向流加速转发信息加入到会话表中。

9.一种流老化网络设备，其特征在于，包括：流分类引擎、流加速引擎和流控制引擎，且，流分类引擎和流加速引擎之间、流分类引擎和流控制引擎之间通过交换网相连，流加速引擎和流控制引擎一一对应，其中：

流分类引擎，保存流控制引擎发来的正、反向流表；接收包，若根据包中的流标识信息查找到正向或反向流表，将包和流表中的会话表索引发送给流加速引擎；否则，将包发送给流控制引擎；根据流控制引擎发来的流表删除消息，删除正、反向流表；

流加速引擎，保存流控制引擎发来的会话表；接收包和会话表索引，若根据会话表索引查找到完整会话表，根据会话表中的加速转发信息转发包；否则，将包发送给流控制引擎；若会话表命中超时，删除会话表，向流控制引擎发送携带会话表索引的老化消息；

流控制引擎，接收包，根据包为每条流建立正、反向流表和会话表并发送出去；接收老化消息，将携带流标识信息的流表删除消息发送出去。

10.如权利要求9所述的网络设备，其特征在于，所述流分类引擎包括：流表存储模块、流表查找模块和老化模块，其中：

流表存储模块，存储流控制引擎发来的正向流表和反向流表，其中正、反向流表中包含流标识信息、会话表索引、流加速引擎号和流表标志；

流表查找模块，接收外部发来的包，在流表存储模块中查找与包中的流标识信息对应的正、反向流表，若查找到，将包和流表中的会话表索引、流表标志发送给流表中的流加速引擎号对应的流加速引擎；若未查找到，根据包中的流标识信息得到流加速引擎号，将包和未找到流表指示发送给流加速引擎；

老化模块，接收流控制引擎发来的携带流标识信息的流表删除消息，根据该流标识信息，删除流表存储模块中的正、反向流表。

11.如权利要求10所述的网络设备，其特征在于，所述流分类引擎进一步包括长老化模块，用于设置长老化时长，当属于同一流的正、反向流表在长老化时长内未被命中时，删除该正、反向流表。

12.如权利要求10所述的网络设备，其特征在于，所述流加速引擎包括：会话表存储模块、会话表查找模块和老化检测模块，其中：

会话表存储模块，接收并存储流控制引擎发来的会话表，其中，会话表包括：会话表索引、正向流加速转发信息和反向流加速转发信息；

会话表查找模块，接收流分类引擎发来的包和未找到流表指示，将包发送给流控制引擎；接收流分类引擎发来的包和会话表索引、流表标志，若根据会话表索引查找到完整会话表，则根据流表标志在会话表中查找加速转发信息，根据加速转发信息转发包；否则，将包发送给流控制引擎；

老化检测模块，检测到会话表命中超时，根据会话表索引删除会话表存储模块中的会话表，并向流控制引擎发送携带会话表索引的老化消息，且消息指示老化原因为会话表命中超时。

13.如权利要求10或12所述的网络设备，其特征在于，所述流控制引擎包括：表建立模块和老化控制模块，其中：

表建立模块，接收流加速引擎发来的包，对包作转发处理，若确定该包为正向流首包，建立正、反向流表和会话表，将正、反向流表发送给流分类引擎；若确定该包为反向流首包，更新会话表，将更新的会话表发送给流加速引擎；

老化控制模块，接收流加速引擎发来的携带会话表索引和老化原因的老化消息，根据会话表索引确定流标识信息，向流分类引擎发送携带流标识信息的流表删除消息。

Images