CN101668002A - 具有数据包过滤的网络接口卡及其过滤方法 - Google Patents

Abstract

一种具有数据包过滤的网络接口卡及其过滤方法，其实现软硬件方式的数据包过滤。网络接口卡包括：连接端口、第一过滤模块、第二过滤模块与储存单元。连接端口用以接收来自于网际网络的数据包数据；第一过滤模块连接于连接端口，第一过滤模块根据内容可寻址存储器表用以检验数据包数据，此一检测过程通过网络接口卡的韧体进行检测；第二过滤模块连接于第一过滤模块，第二过滤模块执行数据包内容检验程序用以检验数据包数据的内容，通过软件/韧体分别对数据包数据进行检测，借以提高网络接口卡的工作效率。

Description

具有数据包过滤的网络接口卡及其过滤方法

技术领域

一种网络设备，特别有关于一种具有网络接口卡及其过滤方法。

背景技术

最近几年，越来越多的复杂病毒、蠕虫、拒绝服务攻击以及黑客的恶意入侵已经给商业单位数造成十亿美元的损失。鉴于应用程序的攻击行为、传统方法的反应特性和对不断演变攻击的无能为力，诸如防火墙和网络入侵检测系统这样的传统安全方法已经不足以防范这些行为。如今的需求是即时阻截攻击和入侵以保护价值重大的公司资产。

因此为避免上述攻击，所以提出了入侵防护系统(Intrusion ProtectionSystem，简称IPS)。IPS基于流经网络数据包流量的状态分析来检测入侵。IPS系统是主动的在线设备，能丢弃攻击数据数据包，或者在数据数据包到达主机前断开连接。

实现IPS的具体实现方式，主要有下列两种方法：1.利用硬件实现与2.利用软件实现。硬件的实现方式在主流的商业产品中比较常见，而软件实现方式在免费的开源系统中比较常见。这两种方式都有各自的优势和不足。硬件的实现方式其优势是它的性能，由于所有的逻辑处理全部交由专用的硬件来完成，因此其性能通常比较出色。由于采用专用的硬件架构，所以硬件系统的扩展性与灵活性不足，且规则定义的扩展性弱。换句话说，硬件系统的规则定义会因为复杂度而导致扩充不易，使得升级维护的成本比较高。而软件实现方式则与硬件实现方式的优缺点相反。

发明内容

鉴于以上的问题，本发明的主要目的在于提供一种具有数据包过滤的网络接口卡，其同时实现软硬件的数据包过滤。

为达上述目的，本发明所公开的具有数据包过滤的网络接口卡包括有：连接端口、第一过滤模块、第二过滤模块、储存单元与运算单元。连接端口用以接收来自于网际网络的数据包数据；第一过滤模块电性连接于连接端口，第一过滤模块根据内容可寻址存储器(CAM)表用以检验数据包数据，此一检测过程通过网络接口卡的硬件进行检测；第二过滤模块电性连接于第一过滤模块，第二过滤模块执行数据包内容检验程序用以检验数据包数据的内容，第二过滤模块通过软件/韧体的方式对数据包数据进行检测；储存单元电性连接于连接端口，储存单元用以存放内容可寻址存储器表与第二过滤模块；运算单元电性连接于连接端口与储存单元，运算单元用以执行数据包内容检验程序。

从本发明的另一观点，本发明提出一种数据包的过滤方法，其过滤在一网络接口卡所接收的数据包。

为实现上述目的，本发明公开的数据包的过滤方法包括以下步骤：建立十字链表，用以判断数据包数据是否需通过第一过滤模块；接收多笔数据包数据；进行第一过滤模块，其根据内容可寻址存储器表用以检测所接收的数据包数据；进行第二过滤模块，将通过第一过滤模块的数据包数据进行数据包内容检验程序；执行数据包处理程序并执行相应的数据包过滤政策，包括丢弃未通过上述过滤模块的数据包数据、接受或是转发通过上述过滤模块的数据包数据。

本发明提供了一种在网络接口卡上同时的实现硬件过滤与软件过滤的数据包过滤。在网络接口卡接收到数据包数据后会根据匹配条件对数据包信息进行解析，将其分类成硬件过滤处理或软件过滤处理。本发明所提出的网络接口卡可以通过软件过滤条件的设定来新增或调整现有不足的缺陷，亦可以同时兼顾利用硬件检测的执行速度。

下面结合附图和具体实施例对本发明进行详细描述，但不作为对本发明的限定。

附图说明

图1为本发明的系统架构示意图；

图2为内容可寻址存储器表及其项次的示意图；

图3为本发明的运作流程示意图。

其中，附图标记

100    网络接口卡

110    连接端口

120    第一过滤模块

130    第二过滤模块

140    运算单元

150    储存单元

151    内容可寻址存储器表

152    十字链表

具体实施方式

为了更进一步说明本发明特征及技术内容，请参阅以下有关本发明的详细说明与附图，然而所附附图仅提供参考与说明用，并非用来对本发明加以限制。

请参考图1所示，其为本发明的系统架构示意图。本发明所述的网络接口卡100可设置于计算机装置中，亦可实现于其他网络设备，且本发明中所述及的网络接口卡100为NetXen网络接口卡。在网络接口卡100中包括有：连接端口110、第一过滤模块120、第二过滤模块130、运算单元140与储存单元150。连接端口110用以接收来自于网际网络的数据包数据。在本发明中连接端口110的数量并非仅局限一个。若为多个连接端口110时，可以设定其中之一为接收来自外部网络的通信端口，将其余的设定为发送至内部网络的通信连接端口用以发送已处理过的数据数据包至其他计算机装置。

储存单元150电性连接于连接端口110，储存单元150用以存放内容可寻址存储器(CAM)表151与十字链表152。内容可寻址存储器表151中包括有多笔记录项次，记录项次由96bits长度的键值(key)和128bits长度的负载数据(payload)，请参考图2所示，其为内容可寻址存储器表及其项次的示意图。

十字链表152用以判断数据包数据是否需通过第一过滤模块120处理。十字链表可看成将有向图的邻接表和逆邻接表结合起来得到的一种链表。在十字链表中，对应有向图每个弧有一个结点，对应于每个结点也有一个结点。这些结点的结构如下：

tailvex

headvex

hlink

tlink

info

表1.弧结点的结构示意图

data

firstin

firstout

表2.顶点结点的结构示意图

在弧结点中有五个域：其中尾域(tailvex)和头域(headvex)分别指示弧尾和弧头这两个顶点在图中的位置，链域hlink指向弧头相同的下一条弧，而链域tlink指向弧尾相同的下一条弧，info域指向该弧的相关信息。弧头相同的弧在同一链表上，弧尾相同的弧也在同一链表上。它们的头结点即为顶点结点，它由三个域组成：其中data域存储和顶点相关的信息，如顶点的名称等；firstin和firstout为两个链域，分别指向以该顶点为弧头或弧尾的第一个弧结点。

为方便说明本发明的检测方式，在此列举一数据结构作为说明：

struct itc_ips_rule

{

  struct list_head mainChain；

  struct list_head accelerateChain；

  void*rule；

  struct protocolMask ruleMask；

  int ruleProperty；

  int validity；

  struct itc_ips_rule_count count；

  unsigned int target；

}；

其中各栏位的含义如下所述：mainChain：用于维护此规则节点在横向的主规则链中的十字链表152索引。accelerateChain：用于维护此规则节点在纵向的加速规则链中的十字链表152的索引。Rule：当此规则是一条由软件来负责过滤匹配的规则时，它指向实际的规则数据；当此规则是一条由硬件来负责过滤匹配的规则时，则此栏位没有含义。ruleMask：此栏位明确了本条规则的协定掩码。ruleProperty：此栏位明确了规则的属性，硬件过滤或软件过滤。Validity：此栏位仅对由硬件加速的规则有效，其明确指出在硬件过滤匹配中此规则是否被命中，这个栏位的地址将被写进相应硬件规则的内容可寻址存储器表151的记录项次的负载数据中。它实现了软硬件之间的关联。Count：此栏位用来进行规则命中情况的统计。Target：此栏位明确了当规则被命中后应进行的相关操作。

第一过滤模块120电性连接于连接端口110，第一过滤模块120根据内容可寻址存储器表151用以检验数据包数据，此一检测过程通过网络接口卡100的硬件进行检测。值得注意的是，本发明中的第二过滤模块130由软件方式进行。第二过滤模块130被存放于储存单元150中。第二过滤模块130执行数据包内容检验程序用以检验数据包数据的内容。第二过滤模块130可以通过软件的方式对数据包数据进行检测，亦可以通过软件的方式用以新增/修改第二过滤模块130中的过滤条件。运算单元140电性连接于连接端口110与储存单元150，运算单元140用以执行数据包内容检验程序。

请参考图3所示，其为本发明的运作流程示意图。本发明的运作流程包括以下步骤：在网络接口卡中建立十字链表(步骤S310)，其用以建立所接收的数据包数据由相应的过滤模块所检测。

网络接口卡开始接收多笔数据包数据(步骤S320)。判断是否有内容可寻址存储器的适用情形，以决定是否执行硬件过滤(步骤S330)。第一过滤模块与第二过滤模块的过滤顺序是由十字链表的索引所决定。换句话说，十字链表中的节点是所有的规则(第一过滤模块和第二过滤模块)的统一索引。根据十字链表对接收的数据包数据进行检测(步骤S340)。

第一过滤模块120对所接收的数据包执行硬件过滤。但是硬件过滤不一定会命中。当第一过滤模块120在过滤时命中时，第一过滤模块120则会从内容可寻址存储器表151的记录项次中返回相应的规则(意即在十字链表152中的关联validity的地址)。当第一过滤模块120返回关联validity的地址的时候，则证明硬件内容可寻址存储器表过滤有命中。接着，对关联validity的地址内容重新设置位元(用来在后续的软件过滤中进行查看是否硬件过滤已经命中)。若没有返回关联validity的地址，则证明硬件内容可寻址存储器表151过滤没有命中，直接进入后续的处理。

接着，将符合其条件的数据包数据交由第一过滤模块进行过滤(步骤S350)。其中，在步骤S350中更包括下列步骤：根据数据包数据查找出相应的内容可寻址存储器表的记录项次(步骤S351)。接着，利用上述所查找出的内容可寻址存储器的记录项次与编码掩码判断数据包数据是否匹配(步骤S352)。

对处理过步骤S340、步骤S350、步骤S351与步骤S352的数据包数据，再对其交由第二过滤模块进行过滤(步骤S360)，其将数据包数据进行数据包内容检验程序。在第二过滤模块130进行软件过滤的阶段中，第二过滤模块130将会按照链表的索引逐条的检索规则。当第二过滤模块130有数据包符合软件规则的时候，则第二过滤模块130运行相应的程序来进行过滤检测。反之，当第二过滤模块130有数据包符合硬件规则时，则第二过滤模块130检测该数据包的validity是否置位。若置位则说明在硬件过滤时已经命中，则第二过滤模块130根据本条规则的target进行相应的转发，接收或丢弃处理。

执行数据包处理程序(步骤S370)，并执行相应的数据包过滤政策，包括丢弃未通过上述过滤模块的数据包数据、接受或是转发通过上述过滤模块的数据包数据。最后，将已过滤后的数据包数据转送到相应的计算机装置(步骤S380)。

本发明提供了一种在网络接口卡100上同时的实现硬件过滤与软件过滤的数据包过滤。在网络接口卡100接收到数据包数据后会根据匹配条件对数据包信息进行解析，将其分类成硬件过滤处理或软件过滤处理。本发明所提出的网络接口卡100可以通过软件过滤条件的设定来新增或调整现有不足的缺陷，亦可以同时兼顾利用硬件检测的执行速度。

当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (9)

1.一种具有数据包过滤的网络接口卡，其同时实现软硬件的数据包过滤，其特征在于，该网络接口卡中包括有：

一连接端口，其用以接收来自于网际网络的一数据包数据；

一第一过滤模块，电性连接于该连接端口，该第一过滤模块根据一内容可寻址存储器用以检验该数据包数据；

一第二过滤模块，接于该第一过滤模块及该连接端口，该第二过滤模块执行一数据包内容检验程序，用以检验该数据包数据的内容，并执行相应的数据包过滤政策；以及

一储存单元，电性连接于该连接端口，该储存单元用以存放该内容可寻址存储器与该第二过滤模块。

2.根据权利要求1所述的具有数据包过滤的网络接口卡，其特征在于，该网络接口卡为NetXen网络接口卡。

3.根据权利要求1所述的具有数据包过滤的网络接口卡，其特征在于，还包括一运算单元，电性连接于该连接端口与该储存单元，该运算单元用以执行该数据包内容检验程序。

4.根据权利要求1所述的具有数据包过滤的网络接口卡，其特征在于，该内容可寻址存储器中包括有多笔记录项次，该记录项次由96bits长度的键值和128bits长度的负载数据。

5.根据权利要求1所述的具有数据包过滤的网络接口卡，其特征在于，该储存单元还包括有一十字链表，其用以判断该数据包数据是否需通过该第一过滤模块。

6.一种数据包的过滤方法，其用以过滤一网络接口卡所接收的数据包，，其特征在于，该过滤方法包括以下步骤：

接收多笔数据包数据；

判断是否有内容可寻址存储器的适用情形，以决定是否执行硬件过滤；

交由一第一过滤模块进行过滤，其根据一内容可寻址存储器用以检测所接收的所述数据包数据；

交由一第二过滤模块进行过滤，将通过该第一过滤模块的所述数据包数据进行一数据包内容检验程序；以及

执行一数据包处理程序，并执行相应的数据包过滤政策。

7.根据权利要求6所述的数据包的过滤方法，其特征在于，执行该第一过滤模块前还包括以下步骤：建立一十字链表，其用以判断该数据包数据是否需通过该第一过滤模块。

8.根据权利要求6所述的数据包的过滤方法，其特征在于，执行该第一过滤模块时还包括以下步骤：

根据数据包数据查找出相应的该内容可寻址存储器的记录项次；以及

利用上述所查找出的该内容可寻址存储器的记录项次与一编码掩码判断该数据包数据是否匹配。

9.根据权利要求6所述的数据包的过滤方法，其特征在于，执行该数据包处理程序时还包括以下步骤：根据数据包过滤结果，决定用以丢弃未通过上述过滤模块的所述数据包数据、接受或是转发通过上述该过滤模块的数据包数据。

Images