CN101753544A - 包过滤规则处理方法及系统、媒体网关和媒体网关控制器 - Google Patents

Abstract

本发明实施例提供一种包过滤规则处理方法及系统、媒体网关和媒体网关控制器。该方法包括接收包过接收用于指示媒体网关对包过滤规则进行操作的控制消息；根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理。本发明实施例中媒体网关根据媒体网关控制器的更新或审计指令，对包过滤规则表中的各个包过滤规则表项进行灵活地增加，修改和删除操作，还可进行审计，确保媒体网关与媒体网关控制器存储的包过滤规则一致性，保证媒体网关对流入包的安全过滤，提高数据传输质量。

Description

包过滤规则处理方法及系统、媒体网关和媒体网关控制器

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种包过滤规则处理方法及系统、媒体网关和媒体网关控制器。

背景技术

随着计算机和通信技术的快速发展，通过公共的分组网承载语音、数据、图像等多种业务成为网络发展方向。在这样的业务驱动和网络融合的趋势下，以软交换设备为核心的下一代网络(Next Generation Network；简称：NGN)应运而生。NGN在分组网中实现，采用分布式网络结构，能够有效承载语音、视频和多媒体业务，实现业务应用、业务控制和业务传送功能三者的分离。图1为现有NGN网络结构示意图，如图1所示，NGN网络主要包括媒体网关(Media Gateway；以下简称：MG)和媒体网关控制器(Media Gateway Controller；以下简称：MGC)。其中MGC用于实现呼叫状态的管理，以及对MG承载资源的控制；MG用于将媒体流类型由一种格式转换为另一种格式，例如，将电路交换网中的E1时隙中的媒体信息转换为IP网络中的实时传输协议(Realtime TransportProtocol；以下简称：RTP)媒体流，并在MGC的信令控制下实现媒体流的建立、修改、释放以及资源管理。

在实现本发明过程中，发明人发现现有技术中至少存在如下问题：在H.248.64中引入媒体网关工作在路由模式的概念后，所述媒体网关工作在路由模式是指媒体网关进行IP转发，IP转发中，媒体网关可能需要根据一定的过滤规则，对从某个接口上收到的IP报进行过滤，即转发或丢弃。现有技术中，媒体网关控制器通过在向媒体网关发送的消息中定义端点上的属性来描述接口上的包过滤条件，由于受到H.248消息在传输层允许长度的限制，单个属性描述所有防火墙包过滤条件难以进行设置和审计。

发明内容

本发明实施例提供一种包过滤规则处理方法及系统、媒体网关和媒体网关控制器，用以解决现有技术中的难以在媒体网关上设置多条包过滤规则信息的缺陷，实现媒体网关工作在路由模式下包过滤规则信息的灵活设置。

本发明实施例提供一种包过滤规则处理方法，包括：

接收用于指示媒体网关对包过滤规则进行操作的控制消息；

根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理。

本发明实施例还提供一种媒体网关，包括：

第一接收模块，用于接收用于指示媒体网关对包过滤规则进行操作的控制消息；

处理模块，用于根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理。

本发明实施例还提供一种媒体网关控制器，包括：

发送模块，用于向媒体网关发送用于指示所述媒体网关对包过滤规则进行操作的控制消息；

第二接收模块，用于接收所述媒体网关根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理返回的响应消息。

本发明实施例还提供一种包过滤规则处理系统，包括：

媒体网关控制器，用于向媒体网关发送用于指示所述媒体网关对包过滤规则进行操作的控制消息，所述控制消息包括对包过滤规则表中的包过滤规则表项的更新操作指示、删除操作指示和审计操作指示中的一个或者多个的组合；

媒体网关，用于接收所述控制消息，并根据所述控制消息对包过滤规则表中的包过滤规则表项进行相应的增加包过滤规则表项、修改包过滤规则表项、删除包过滤规则表项、审计包过滤规则表项编号和审计包过滤规则表项的操作处理。

本发明实施例提供的包过滤规则处理方法及系统、媒体网关和媒体网关控制器中，媒体网关可以根据媒体网关控制器的更新指令或审计指令，对存储的包过滤规则表中的各个包过滤规则表项灵活地进行增加、修改和删除等更新操作，也可以进行相关数据的审计处理，确保媒体网关与媒体网关控制器所存储的包过滤规则的一致性，保证媒体网关对流入包的安全过滤，提高数据传输质量。

附图说明

图1为现有NGN网络结构示意图；

图2为本发明包过滤规则处理方法实施例一流程图；

图3为本发明包过滤规则处理方法实施例二流程图；

图4为本发明媒体网关实施例结构示意图；

图5为本发明媒体网关控制器实施例结构示意图。

具体实施方式

下面结合附图和具体实施例进一步说明本发明实施例的技术方案。

NGN网络中，在H.248.64协议引入媒体网关工作在路由模式的概念后，流经媒体网关的所有流入IP包均通过一个或者多个接口，要在接口上设置多条包过滤规则信息以达到对流入包进行过滤处理，实现通信安全的目的。为了满足在媒体网关的单个接口上应用多条包过滤规则信息对流入包进行过滤，可以在媒体网关上维护接口上的包过滤规则表(filter table)，该包过滤规则表中可以包括一条或者多条包过滤规则表项，每一个包过滤规则表项都包含一个包过滤规则(也可以称为包过滤条件)信息。当然也不排除一个包过滤规则表项包含多个包过滤规则。当有IP包流入媒体网关的某个接口时，媒体网关应用该接口上的包过滤规则表中适用的包过滤规则表项中保存的包过滤规则对流入包进行过滤处理。每个包过滤规则表项有一个位置编号，也就是说每个位置编号对应一个包过滤规则表项。新创建的包过滤规则表项被分配一个空闲的位置编号，之后对该包过滤规则表项的修改、删除和审计等操作都可以以其位置编号作为索引。位置编号的功能主要是对包过滤规则表项进行编号，其值不一定体现该包过滤规则表项在包过滤规则表中的具体存储位置。包过滤规则表项中保存的包过滤规则信息也叫包过滤规则数据(FilterEntry Data)，其在媒体网关上的具体的存储格式本发明不做限定。媒体网关可以通过顺序表、链表或者哈西表等方式存储包过滤规则表，本发明也不对此作限定。媒体网关控制器上也要同步保存该包过滤规则表以便对媒体网关控制器上的包过滤规则表进行有效管理。媒体网关控制器为了对媒体网关上维护的包过滤规则表进行同步更新或需要获知媒体网关当前所存储的各条包过滤规则信息，可以向媒体网关发送对媒体网关上存储的包过滤规则信息的控制消息。这些控制消息可以下发到代表终端的接口上，表示进行的是对该接口上的包过滤规则表的操作。

媒体网关因维护有包过滤规则表，其中存储有包过滤规则信息的包过滤规则表项具体应用方式可以是如下方式：

媒体网关上维护有多个包过滤规则表，每一个包过滤规则表仅对应于一个接口，当该接口接收到数据包后，便应用整个包过滤规则表中的所有包过滤规则表项进行包过滤。

上述的各种实现方式中，均可以实现媒体网关在路由模式下进行数据包过滤转发，而且由于利用包过滤规则表项事先存储包过滤规则信息，而不是利用端点属性一次下发所有报过滤规则，不会受到最大消息长度的限制，使得媒体网关维护的包过滤规则更加灵活。

媒体网关接收用于指示媒体网关对包过滤规则进行操作的控制消息后，基于存储在媒体网关上的包过滤规则表中的包过滤规则表项，对媒体网关控制器发送的控制消息进行操作处理，例如可以是媒体网关接收到媒体网关控制器发送的增加、修改这两种更新操作指令，对其存储的包过滤规则表进行同步更新处理，或者是在接收到媒体网关控制器发送的删除操作指令后对其存储的包过滤规则表中的表项进行删除处理，或者可以是在接收到媒体网关控制器发送的审计指令后，对其存储的包过滤规则表进行审计处理等等，以下分别就上述三种情况进行详细介绍。

媒体网关控制器可以扩展一个新的接口包过滤规则包(H.248包intfilt)用于操作接口级别的防火墙包过滤规则。通过向媒体网关下发控制消息对媒体网关上存储的包过滤规则表中的所有包过滤规则表项进行操作，例如可以是指示媒体网关对包过滤规则表进行增加、修改或删除操作，还可以是指示媒体网关对存储的所有包过滤规则或者包过滤规则表项编号进行审计等等。

对于媒体网关控制器向媒体网关发送包过滤规则信息的增加修改指令(即更新指令)消息的情况，通过扩展H.248信号“amfe”用于增加或者修改包过滤规则表中的一项。该信号有如下参数：

1.表项位置指示参数“pos”：

数据类型为整数，该参数用于指示增加或者修改的包过滤规则在包过滤规则表中的位置。

如果参数“pos”的值为通配值(wildcard)，例如可以规定“0x00”表示通配值，当参数“pos”值为通配值时表示增加一个包过滤规则，由媒体网关在包过滤规则表中分配一个空闲的位置，即为增加的包过滤规则表项分配一个空闲的位置编号。

如果参数“pos”的值不为通配值，而为位置编号，则判断该位置编号在包过滤规则表中是否被占用，如果包过滤规则表中该位置为空闲，则媒体网关在包过滤规则表中增加一项包过滤规则表项，其位置编号为参数“pos”所代表的值；如果包过滤规则表中该位置已被使用，则该位置的包过滤规则表项被信号“amfe”中携带的包过滤规则内容覆盖，即应用信号“amfe”中携带的包过滤规则内容修改原有位置编号上的包过滤规则表项的内容。

2.操作指示参数“act”：

数据类型为枚举，可能值包括：

允许“Admit(0x0001)”表示符合过滤规则的包被允许通过；

拒绝“Discard(0x0002)”表示符合过滤条件的包被丢弃。

3.远端源地址参数“sam”：

数据类型为字符串。该参数用于描述本过滤规则应用到的流入(incoming)IP包的源地址或者源地址组。

4.远端源端口参数“spr”：

数据类型为整数列表。该参数用于描述该过滤规则应用到的流入(incoming)IP包的源端口，或者源端口列表。

5.远端源端口范围参数“sprr”：

数据类型为整数列表。该参数用于描述该过滤规则应用到的流入(incoming)IP包的源端口范围。在整数列表中提供源端口范围的开始值和结束值。

例如：信号“amfe”携带参数“pos＝100，act＝“Admit”，sam＝“192.168.1.120”，spr＝10000，sprr＝20000，20100”表示指示媒体网关设置一条包过滤规则表项，并要求该包过滤规则表项的位置编号是“100”，媒体网关在设置该包过滤规则表项的接口上允许以源地址为“192.168.1.120”，端口为“10000”以及”20000”到”20100”的流入包通过。如果媒体网关上没有位置编号为“100”的包过滤规则表项，则媒体网关在包过滤规则表中增加一个新的包过滤规则表项，如果媒体网关上有位置编号为“100”的包过滤规则表项，则应用信号“amfe”携带的包过滤规则覆盖已有的包过滤规则表项的内容。

要注意的是，本发明实现了针对源地址进行过滤的包过滤规则。实际上，包过滤规则的实际应用范围要广泛得多，例如，有如下类型的包过滤规则：

对目的地址和目的端口进行过滤；

任何进入内网的数据包不能将内部地址作为源地址；

任何进入内网的数据包必须将内部地址作为目的地址；

任何离开内网的数据包必须将内部地址作为源地址；

任何离开内网的数据包不能将内部地址作为目的地址；

任何进入或者离开内网的数据包不能把私有地址或者127.0.0.0/8作为源地址或者目的地址。DHCP自动配置和广播地址也要被阻塞。

通过本发明实施例提供的方法，可以增加定义属性事件和参数将各种原理的包过滤规则一一实现。

对于媒体网关控制器向媒体网关发送包过滤规则信息的删除指令消息的情况，通过扩展H.248信号“delfe”用于删除包过滤规则表中的一项或者多项，该信号有如下参数：

1.表项位置指示参数“pos”：

数据类型为字符串。该参数用于指示删除的包过滤规则在包过滤规则表中的位置。

该参数的语法为：

Position＝filtPos*(COMMA filtPos)；一个或者多个单个位置和位置范围的组合；

filtPos＝Pos/rangePos；单个位置或者位置范围；

rangePos＝Pos COLON Pos；位置范围指示范围的首位置和尾位置；

Pos＝UINT16；0表示所有的表格项，0以上的数字表示表格项内的编号。

例如：信号“delfe”携带参数“pos＝1，2，3，4，9”则表示指示媒体网关删除包过滤规则表中位置编号为“1，2，3，4，9”的这五条包过滤规则表项。

对于媒体网关控制器审计包过滤规则审计范围的情况，通过扩展H.248属性“fas”用于控制媒体网关在“AuditValue”审计应答消息中返回的过滤规则表项的范围。该属性的数据类型为整数列表。当媒体网关控制器向媒体网关审计属性“fas”的时候，将会接收媒体网关返回的位置编号列表，该编号列表包括包过滤规则表中所有包过滤规则表项对应的位置编号，即媒体网关接收到“AuditValue”审计指令后，若判断得知属性“fas”的值为空，表示要审计该属性值，则在应答消息中返回过滤规则表中所有已有的位置编号。返回值的数据类型为字符串类型。其语法和信号“delfe”的“pos”参数相同。但是不会返回0这个位置编号。

对于媒体网关控制器审计包过滤规则数据的情况，媒体网关控制器向媒体网关发送对于包过滤规则数据的审计指令消息，例如扩展H.248属性“fed”用于媒体网关控制器向媒体网关通过“AuditValue”命令审计时返回过滤规则表中符合审计条件的表项。该属性的数据类型是字符串列表。该字符串列表中的每一项用于描述一条过滤规则。和前面定义的信号“amfe”的参数对应，其语法如下：

FilterData＝Pos；过滤规则表项的位置编号；

[COMMA Sam]；源地址过滤；

[COMMA Spr]；源端口过滤；

[COMMA Act]；行为方式；

Pos＝“POS”EQUAL UINT16；

Sam＝“SAM”EQUAL DomainAddress[“/”UINT 16]

Spr＝“SPR”EQUAL sprList/sprRange

Act＝“ACT”EQUAL actValue

sprList＝portNumber*(COMMA portNumber)

sprRange＝portNumber COLON portNumber

actValue＝“Admit”/”Discard”

COMMA＝LWSP％x2C LWSP；″，″

EQUAL＝LWSP  ％x3D LWSP；″＝″

例如属性“fed”的字符串列表中的一行为：“1，SAM＝192.168.1.200，SPR＝10000，ACT＝Discard”，表示该过滤规则为丢弃源地址为“192.168.1.200”，端口为“10000”的IP包。该过滤规则表项在过滤规则表中的位置编号为“1”。为了减少消息长度，可以规定如果不携带“ACT”信息，则操作类型为其默认值“Admit”。

如果媒体网关控制器向媒体网关审计属性“fed”的值，则媒体网关在应答消息中通过“fed”返回符合审计条件的过滤规则表项。由于媒体网关的一个接口上可能存在大量的包过滤规则，而且每个包过滤规则的描述也占用了较多的字节数，所以媒体网关控制器在通过审计命令获取已有包过滤规则表项的时候有时一次不能返回全部包过滤规则表项，需要增加限制条件使返回的过滤规则项数目控制在合理范围。这也就需要在审计命令中增加审计条件，例如可以在下发的对于包过滤规则数据的审计指令消息中携带包过滤规则审计范围的位置编号指示信息，来控制媒体网关返回表项的范围。媒体网关控制器向媒体网关通过“AuditValue”命令审计属性“fed”的值。在该命令中，媒体网关控制器通过属性“fas”设置要求媒体网关在返回消息中携带的包过滤规则表项的位置编号列表即位置编号指示信息。属性“fas”在请求消息中其语法也与信号delfe的参数pos相同，可以描述一个到多个单个位置和位置范围的组合。媒体网关在应答消息中返回符合审计条件要求的表项，即包过滤规则表中与位置编号指示信息对应的包过滤规则表项。例如在媒体网关控制器向媒体网关下发“AuditValue”命令时，携带的属性“fas”的值为整数列表“1，3：9”，表示包过滤规则表中的“1，2，3，4，5，6，7，8，9”这八个表项需要媒体网关在“AuditValue”应答消息中返回给媒体网关控制器。

以上H.248包“intfilt”的扩展方案实现了对源地址和/或源端口进行的包过滤。后续的实施例中使用了该种方案的包扩展。但是，考虑到实际应用中存在各种类型的包过滤规则，所以我们还可以对前面的H.248包“intfilt”的扩展方案进行优化。优化方案如下：

定义一个接口包过滤规则的基础包。参照前面“intfilt”包的定义，该基础包中定义属性“fas”和属性“fed”，其中“fed”属性用于扩展，其值并不描述具体的包过滤规则。另外，该基础包还也定义信号“amfe”和信号“delfe”。但是，信号“amfe”只保留参数“pos”和参数“act”，信号“delfe”只保留参数“pos”。然后，对于各种类型的包过滤规则定义相应的扩展包(extension package)。例如，针对源地址和/或源端口过滤规则定义如下扩展包intsapf(Interface Source Address and Port Filtering)，包“intsapf”是包“intfilt”的扩展包。包“intsapf”中定义属性“fed”覆盖其基础包的同名属性，语法如下：

FilterData＝Pos；过滤规则表项的位置编号

[COMMA Sam]；源地址过滤

[COMMA Spr]；源端口过滤.

[COMMA Act]；对符合过滤条件的包是通过还是丢弃

Pos＝“POS”EQUAL UINT16

Status＝“E”/“D”；E-有效，D-无效

Sam＝“SAM”EQUAL Status[COLON DomainAddress[“/”UINT16]]

Spr＝“SPR”EQUAL Status[COLON prList/prRange]

prList＝portNumber*(COMMA portNumber)

prRange＝portNumber COLON portNumber

Act＝“ACT”EQUAL actType

actType＝“Admit”/“Discard”

包“intsapf”中为信号“amfe”增加如下参数：

扩展参数“saf”用于指示该过滤规则的源地址过滤条件是否有效。

扩展参数“sam”用来指示该过滤规则的源地址过滤条件

扩展参数“spf”用来指示该过滤规则的源端口过滤条件是否有效

扩展参数“spr”用来指示该过滤规则的源端口过滤条件(列表形式描述)。

扩展参数“sprr”用来指示该过滤规则的源端口过滤条件(范围方式描述)。

同理，参照H.248.43的实现，我们还可以针对目的地址和/或目的端口过滤规则定义扩展包“intdapf”(Interface Destination Address Port Filtering)。该包中重新定义属性“fed”描述目的地址和/或目的端口过滤规则。另外，为信号“amfe”增加如下参数：

扩展参数“daf”用于指示该过滤规则的目的地址过滤条件是否有效。

扩展参数“dam”用来指示该过滤规则的目的地址过滤条件

扩展参数“dpf”用来指示该过滤规则的目的端口过滤条件是否有效

扩展参数“dpr”用来指示该过滤规则的目的端口过滤条件(列表形式描述)。

扩展参数“dprr”用来指示该过滤规则的目的端口过滤条件(范围方式描述)。

针对H.248.43中的接收协议类型过滤(Incoming Protocol Filtering)以及发送协议类型过滤(Incoming Protocol Filtering)也分别定义类似的扩展包，其原理也前面的包“intsapf”和包“intdapf”的扩展相同，这里就不再赘述。

图2为本发明包过滤规则处理方法实施例一流程图，该方法介绍媒体网关根据媒体网关控制器发送的控制消息进行同步增加，修改或删除的处理流程，如图2所示，该方法包括：

步骤100，接收包括对包过滤规则表中的包过滤规则表项的更新操作指示的控制消息，所述更新操作指示包括表项位置指示参数和包过滤规则数据；

媒体网关接收媒体网关控制器发送的控制信息，所述控制信息中包括对包过滤规则表中的包过滤规则表项的更新操作指示，即控制消息中携带信号“amfe”或信号“delfe”。该更新操作指示可以是用于指示媒体网关在包过滤规则表中增加或修改一条包过滤规则表项的更新指令消息，也可以是用于指示媒体网关删除包过滤规则表中的一条或多条包过滤规则表项的更新指令消息，也可以在该指令消息中包含多个增加，修改或者删除指令。

步骤101，根据所述控制消息，对包过滤规则表中的包过滤规则表项进行更新操作处理。

媒体网关接收到媒体网关控制器发送的控制信息后，根据更新操作指示的要求对存储在媒体网关上的包过滤规则表中的包过滤规则表项进行处理，可以是在包过滤规则表中增加一条包过滤规则表项，可以是修改包过滤规则表中的一条包过滤规则表项，也可以是删除包过滤规则表中的一条或多条包过滤规则表项等等。

对于控制消息携带信号“amfe”且其中包括的表项位置指示参数为通配值的情况，具体为媒体网关接收到媒体网关控制器发送的控制消息携带信号“amfe”，所述控制消息中的更新操作指示包括表项位置指示参数和包过滤规则数据，包过滤规则数据包括操作指示参数、远端源地址参数和远端源端口参数中的一个或者多个的组合，且所述表项位置指示参数为通配值，，其中表项位置指示参数用于指示增加或者修改的包过滤规则信息在包过滤规则表中的位置；操作指示参数用于指示媒体网关对符合包过滤规则的流入包的操作行为，包括允许和丢弃两种操作指示；远端源地址参数用于描述该过滤规则适用来源于哪些源地址的流入包，远端源地址参数可以是包括单个远端源地址信息即表示该包过滤规则适用来源于某一个源地址的流入包，也可以是包括数个远端源地址信息的远端源地址组即表示该包过滤规则适用来源于多个源地址的流入包，远端源地址组可以通过IP地址掩码(Mask)的方式描述子网地址，也可以在地址中使用通配符；远端源端口参数用于描述该过滤规则适用于来源于哪些源端口的流入包，远端源端口参数可以是某一个远端源端口信息，可以是包括数个远端源端口信息的远端源端口列表，也可以是包括数个远端源端口信息的远端源端口范围的指示信息。媒体网关在接收到该控制消息后，首先对表项位置指示参数进行判断，由于所述表项位置指示参数为通配值(wildcard)，则表示媒体网关控制器指示媒体网关增加一条包过滤规则；媒体网关在包过滤规则表中增加一个包过滤规则表项，并为该包过滤规则表项分配一个空闲位置即为该包过滤规则表项分配一个位置编号，增加的包过滤规则表项中包括包过滤规则数据存储格式不在本发明中限定。媒体网关在增加一条包过滤规则后，要向媒体网关控制器返回响应消息，并在响应消息中携带为增加的包过滤规则表项所分配的位置编号，以满足媒体网关控制器与媒体网关上包过滤规则相关信息的同步。

对于控制消息携带信号“amfe”且其中包括的表项位置指示参数为位置编号值的情况，具体为媒体网关接收到媒体网关控制器发送的控制消息携带信号“amfe”，所述控制消息中的更新操作指示包括表项位置指示参数和包过滤规则数据，包过滤规则数据包括操作指示参数、远端源地址参数和远端源端口参数中的一个或者多个的组合，且所述表项位置指示参数为位置编号值，一种情况是媒体网关通过对表项位置指示参数的判断后得知表项位置指示参数值不为通配值，而是某个具体的指定值，而且包过滤规则表中不存在位置编号为位置编号值的包过滤规则表项，也就是说包过滤规则表中的指定值表示的位置编号处于空闲状态，则媒体网关在包过滤规则表中增加一个位置编号为位置编号值包过滤规则表项，该表项中保存了包过滤规则数据。另一种情况是通过对表项位置指示参数进行判断后得知表项位置指示参数值不为通配值，而是某个具体的指定值，而且包过滤规则表中存在位置编号为位置编号值的包过滤规则表项，则用控制消息中携带的包过滤规则数据对包过滤规则表中所述位置编号对应的已有包过滤规则表项进行替换，更新所述位置编号的包过滤规则表项。

对于控制消息携带信号“delfe”的情况，控制消息包括对包过滤规则表中的包过滤规则表项的删除操作，在删除指令消息中携带表项位置指示参数，该表项位置指示参数可以是一个位置编号或多个位置编号，当媒体网关接收到该控制消息后，便在包过滤规则表中删除与表项位置指示参数所标识的位置编号对应的包过滤规则表项。从而这些表项位置编号重新处于空闲状态。

本实施例提供的媒体网关包过滤规则信息的处理方法中，媒体网关可以根据媒体网关控制器发送的包括各种操作指示的更新消息，对存储的包过滤规则表中的各个包过滤规则表项灵活地进行增加、修改和删除，使得媒体网关与媒体网关控制器所存储的包过滤规则是同步的，保证媒体网关对流入包的安全过滤，提高数据传输质量。

图3为本发明包过滤规则处理方法实施例二流程图，该方法介绍媒体网关根据媒体网关控制器发送的审计指令消息进行审计的处理流程，如图3所示，该方法包括：

步骤200，接收控制消息，所述控制消息审计操作指示；

媒体网关接收媒体网关控制器发送的包括审计操作指示的控制消息，该审计操作指示可以是指示对包过滤规则表中的包过滤规则表项的位置编号进行审计，也可以是用于指示媒体网关对指定位置编号或者全部位置编号所对应的包过滤规则表项的内容(Filter Entry Data)进行审计等。

步骤201，根据所述控制消息，对存储在包过滤规则表中的包过滤规则表项进行审计处理。

媒体网关在接收到媒体网关发送的审计指令消息后，根据审计指令消息的指示要求进行数据审计，并向媒体网关控制器返回审计结果信息。媒体网关控制器审计包过滤规则审计范围属性的情况，媒体网关控制器下发审计值(AuditValue)命令，对属性“fas”进行审计。媒体网关接收到该审计命令后，在应答消息中返回包括所有包过滤规则表项对应的位置编号的编号列表。

媒体网关控制器审计包过滤规则数据属性的情况，媒体网关控制器下发审计值(AuditValue)命令，对属性“fed”进行审计。媒体网关接收到该审计命令后，在应答消息中返回所有包过滤规则表项中保存的包过滤规则数据(FilterEntry Data)；包过滤规则表可能有很多条记录，由于H.248消息的长度限制，可能在同一个应答消息中无法返回所有的包过滤规则数据，则媒体网关控制器可以通过其他属性或者参数，例如属性“fas”携带需要媒体网关返回包过滤规则表项内容的单个位置编号或者多个位置编号，例如属性“fas”的值为“1，3：9”表示位置编号为1以及位置编号3到9。媒体网关可以根据属性“fas”指定的范围返回这八条包过滤规则表项中保存的包过滤规则内容数据。

本实施例提供的包过滤规则处理方法中，媒体网关可以根据媒体网关控制器的审计指令消息，对指定的数据进行审计，使得媒体网关控制器能够及时掌握媒体网关存储的包过滤规则情况，对于需要更新的及时进行更新处理，使得媒体网关与媒体网关控制器所存储的包过滤规则是同步的，保证媒体网关对流入包的安全过滤，提高数据传输质量。

同一个H.248消息中可以携带一个或者多个上述的对包过滤规则表的更新操作指示、删除操作指示和审计操作指示，即本发明实施例提供了信号和属性对包过滤规则表中的包过滤规则项进行更新(包括增加和修改)，删除和审计操作，单个H.248消息可以携带一个这样的操作命令，也可以携带多个相同或者不同的这样的操作命令。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

图4为本发明媒体网关实施例结构示意图，如图4所示，该媒体网关包括第一接收模块11和处理模块12，其中第一接收模块11用于接收用于指示媒体网关对包过滤规则进行操作的控制消息；处理模块12用于根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理。具体地，第一接收模块11接收到媒体网关控制器发送的控制消息后，所述控制消息包括对包过滤规则表中的包过滤规则表项的更新操作指示、删除操作指示和审计操作指示中的一个或者多个的组合，处理模块12根据控制消息中操作指示的要求，对包过滤规则表中的所有包过滤规则表项进行更新或审计操作处理，其中更新包括增加包过滤规则表项、修改包过滤规则表项和删除包过滤规则表项，审计包括审计包过滤规则表项编号和审计包过滤规则表项内容，对控制消息进行响应处理，还可以按照规定向媒体网关控制器返回响应结果。

媒体网关为了达到同步更新包括过滤规则和进行相关数据审计的目的，处理模块12可以包括：

第一处理子模块121用于当接收的所述控制消息包括对包过滤规则表中的包过滤规则表项的更新操作指示，所述更新操作指示包括表项位置指示参数和包过滤规则数据，且所述表项位置指示参数为通配值时，在所述包过滤规则表中增加一个包过滤规则表项，并为所述包过滤规则表项分配位置编号，所述包过滤规则表项中包括所述包过滤规则数据；

第二处理子模块122用于当接收的所述控制消息包括对包过滤规则表中的包过滤规则表项的更新操作指示，所述更新操作指示包括表项位置指示参数和包过滤规则数据，所述表项位置指示参数的值为位置编号值，且所述包过滤规则表中不存在位置编号为所述位置编号值的包过滤规则表项时，在所述包过滤规则表中增加一个位置编号为所述位置编号值、且包括所述包过滤规则数据的过滤规则表项；

第三处理子模块123用于当接收的所述控制消息包括对包过滤规则表中的包过滤规则表项的更新操作指示，所述更新操作指示包括表项位置指示参数和包过滤规则数据，所述表项位置指示参数的值为位置编号值，且所述包过滤规则表中存在位置编号为所述位置编号值的包过滤规则表项时，应用所述包过滤规则数据，对所述包过滤规则表中所述位置编号值对应的包过滤规则表项进行替换；

第四处理子模块124用于当接收的所述控制消息包括对包过滤规则表中的包过滤规则表项的删除操作，所述删除操作指示包括表项位置指示参数，所述表项位置指示参数包括至少一个位置编号时，删除所述包过滤规则表中与所述位置编号对应的包过滤规则表项；

第五处理子模块125用于当接收的所述控制消息包括对包过滤规则表中的包过滤规则表项编号的审计操作指示时，在应答消息中返回编号列表，所述编号列表包括所述包过滤规则表中所有包过滤规则表项的位置编号；

第六处理子模块126用于接收的所述控制消息包括对包过滤规则表中的包过滤规则表项的审计操作指示，还包括位置编号指示信息，所述位置编号指示信息包括至少一个位置编号时，在应答消息中返回所述包过滤规则表中与所述位置编号对应位置上的包过滤规则表项。

在本实施例提供的媒体网关中可以在本地存储包过滤规则表，例如在内存中维护该包过滤规则表，也可以在网络的其它位置上存储该包过滤规则表，本实施例提供的媒体网关中可以包括用于存储包过滤规则表的存储模块13。处理模块12的所有子模块均可以对存储模块13中的包过滤规则表项进行操作处理，例如第一处理子模块121在存储模块13中的包过滤规则表中增加一个包过滤规则表项等等。

本实施例提供的媒体网关可以在维护包括所有包括过滤规则的包过滤规则表的基础上，根据媒体网关控制器的指示对存储的包过滤规则表中的包过滤规则表项进行同步更新，还可以根据媒体网关控制器的要求对包过滤规则表进行审计，使得媒体网关与媒体网关控制器存储的包过滤规则一致，保证媒体网关对流入包的安全过滤，提高了数据传输质量。

图5为本发明媒体网关控制器实施例结构示意图，如图5所示，该媒体网关控制器包括发送模块21和第二接收模块22，其中发送模块21用于向媒体网关发送用于指示所述媒体网关对包过滤规则进行操作的控制消息；第二接收模块22用于接收所述媒体网关根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理返回的响应消息。具体地，当媒体网关控制器需要指示媒体网关同步包过滤规则或指示媒体网关进行数据审计时，可以向媒体网关发送控制消息，并在其中携带对包过滤规则表中的包过滤规则表项的更新操作指示、删除操作指示和审计操作指示中的一个或者多个的组合，媒体网关接收到该控制消息后，基于存储在包过滤规则表中的包过滤规则表项进行响应处理，并向媒体网关控制器返回响应结果，第二接收模块22接收媒体网关返回的控制消息的响应消息。

媒体网关控制器为了使得媒体网关进行包括过滤规则的同步更新和进行相关数据审计，发送模块21可以包括：第一发送子模块211用于向媒体网关发送对包括包过滤规则表中的包过滤规则表项的更新操作指示的控制消息，所述更新操作指示包括表项位置指示参数和包过滤规则数据，所述表项位置指示参数为通配值；第二发送子模块212用于向媒体网关发送包括对包过滤规则表中的包过滤规则表项的更新操作指示的控制消息，所述更新操作指示包括表项位置指示参数和包过滤规则数据，所述表项位置指示参数的值为位置编号值；第三发送子模块213用于向媒体网关发送包括对包过滤规则表中的包过滤规则表项的删除操作的控制消息，所述删除操作指示包括表项位置指示参数，所述表项位置指示参数包括至少一个位置编号；第四发送子模块214用于向媒体网关发送包括对包过滤规则表中的包过滤规则表项编号的审计操作指示的控制消息；第五发送子模块215用于向媒体网关发送包括对包过滤规则表中的包过滤规则表项的审计操作指示和位置编号指示信息的控制消息，所述位置编号指示信息包括至少一个位置编号。发送模块21通过在发送给媒体网关的控制消息中携带不同组合的操作指示达到同步媒体网关进行包过滤规则和及时了解存储情况的目的。

本实施例提供的媒体网关控制器中的第二接收模块22还可以包括：第一接收子模块221、第二接收子模块222和第三接收子模块223，其中第一接收子模块221用于接收媒体网关根据第一发送子模块211发送的控制消息返回的包过滤规则表项的位置信息；第二接收子模块222用于接收媒体网关根据第四发送子模块214发送的控制消息返回的包过滤规则表中的所有包过滤规则表项的位置编号；第三接收子模块223用于接收媒体网关根据第五发送子模块215发送的控制消息返回的包过滤规则表中与所述位置编号对应的包过滤规则表项。

本实施例提供的媒体网关控制器可以根据实际需求指示媒体网关对存储的包过滤规则表中的包过滤规则表项进行同步更新，还可以指示媒体网关对包过滤规则表进行审计，使得媒体网关与媒体网关控制器存储的包过滤规则一致，保证媒体网关对流入包的安全过滤，提高了数据传输质量。

本发明实施例还提供一种媒体网关包过滤规则信息处理系统，包括媒体网关控制器和媒体网关，其中媒体网关控制器用于向媒体网关发送用于指示所述媒体网关对包过滤规则进行操作的控制消息，所述控制消息包括对包过滤规则表中的包过滤规则表项的更新操作指示、删除操作指示和审计操作指示中的一个或者多个的组合；媒体网关用于接收所述控制消息，并根据所述控制消息对包过滤规则表中的包过滤规则表项进行相应的增加包过滤规则表项、修改包过滤规则表项、删除包过滤规则表项、审计包过滤规则表项编号和审计包过滤规则表项的操作处理。该系统中涉及的媒体网关控制器和媒体网关可以采用上述各实施例提供的媒体网关控制器和媒体网关，此处不再赘述。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (15)

1.一种包过滤规则处理方法，其特征在于，包括：

接收用于指示媒体网关对包过滤规则进行操作的控制消息；

根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理。

2.根据权利要求1所述的包过滤规则处理方法，其特征在于，所述控制消息包括对包过滤规则表中的包过滤规则表项的更新操作指示、删除操作指示和审计操作指示中的一个或者多个的组合。

3.根据权利要求2所述的包过滤规则处理方法，其特征在于，所述控制消息包括对包过滤规则表中的包过滤规则表项的更新操作指示，所述更新操作指示包括表项位置指示参数和包过滤规则数据，则所述根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理包括：

若所述表项位置指示参数为通配值，则在所述包过滤规则表中分配空闲的位置编号，所述位置编号的包过滤规则表项用于存储所述包过滤规则数据。

4.根据权利要求3所述的包过滤规则处理方法，其特征在于，该方法还包括返回包括所述位置编号的响应消息。

5.根据权利要求2所述的包过滤规则处理方法，其特征在于，所述控制消息包括对包过滤规则表中的包过滤规则表项的更新操作指示，所述更新操作指示包括表项位置指示参数和包过滤规则数据，所述表项位置指示参数的值为位置编号值，则所述根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理包括：

若所述包过滤规则表中不存在位置编号为所述位置编号值的包过滤规则表项，则在所述包过滤规则表中增加一个位置编号为所述位置编号值、且包括所述包过滤规则数据的过滤规则表项；

若所述包过滤规则表中存在位置编号为所述位置编号值的包过滤规则表项，则应用所述包过滤规则数据，对所述包过滤规则表中所述位置编号值对应的包过滤规则表项进行替换。

6.根据权利要求2所述的包过滤规则处理方法，其特征在于所述根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理包括：

接收的所述控制消息包括对包过滤规则表中的包过滤规则表项的删除操作，所述删除操作指示包括表项位置指示参数，所述表项位置指示参数包括至少一个位置编号；

删除所述包过滤规则表中与所述位置编号对应的包过滤规则表项。

7.根据权利要求2所述的包过滤规则处理方法，其特征在于所述根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理包括：

接收的所述控制消息包括对包过滤规则表中的包过滤规则表项编号的审计操作指示，在应答消息中返回编号列表，所述编号列表包括所述包过滤规则表中所有包过滤规则表项的位置编号。

8.根据权利要求2所述的包过滤规则处理方法，其特征在于所述根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理包括：

接收的所述控制消息包括对包过滤规则表中的包过滤规则表项的审计操作指示，还包括位置编号指示信息，所述位置编号指示信息包括至少一个位置编号；

在应答消息中返回所述包过滤规则表中与所述位置编号对应位置上的包过滤规则表项的内容。

9.一种媒体网关，其特征在于，包括：

第一接收模块，用于接收用于指示媒体网关对包过滤规则进行操作的控制消息；

处理模块，用于根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理。

10.根据权利要求9所述的媒体网关，其特征在于所述处理模块包括：

第一处理子模块，用于当接收的所述控制消息包括对包过滤规则表中的包过滤规则表项的更新操作指示，所述更新操作指示包括表项位置指示参数和包过滤规则数据，且所述表项位置指示参数为通配值时，在所述包过滤规则表中增加一个包过滤规则表项，并为所述包过滤规则表项分配位置编号，所述包过滤规则表项中包括所述包过滤规则数据；

第二处理子模块，用于当接收的所述控制消息包括对包过滤规则表中的包过滤规则表项的更新操作指示，所述更新操作指示包括表项位置指示参数和包过滤规则数据，所述表项位置指示参数的值为位置编号值，且所述包过滤规则表中不存在位置编号为所述位置编号值的包过滤规则表项时，在所述包过滤规则表中增加一个位置编号为所述位置编号值、且包括所述包过滤规则数据的过滤规则表项；

第三处理子模块，用于当接收的所述控制消息包括对包过滤规则表中的包过滤规则表项的更新操作指示，所述更新操作指示包括表项位置指示参数和包过滤规则数据，所述表项位置指示参数的值为位置编号值，且所述包过滤规则表中存在位置编号为所述位置编号值的包过滤规则表项时，应用所述包过滤规则数据，对所述包过滤规则表中所述位置编号值对应的包过滤规则表项进行替换；

第四处理子模块，用于当接收的所述控制消息包括对包过滤规则表中的包过滤规则表项的删除操作，所述删除操作指示包括表项位置指示参数，所述表项位置指示参数包括至少一个位置编号时，删除所述包过滤规则表中与所述位置编号对应的包过滤规则表项；

第五处理子模块，用于当接收的所述控制消息包括对包过滤规则表中的包过滤规则表项编号的审计操作指示时，在应答消息中返回编号列表，所述编号列表包括所述包过滤规则表中所有包过滤规则表项的位置编号；

第六处理子模块，用于接收的所述控制消息包括对包过滤规则表中的包过滤规则表项的审计操作指示，还包括位置编号指示信息，所述位置编号指示信息包括至少一个位置编号时，在应答消息中返回所述包过滤规则表中与所述位置编号对应位置上的包过滤规则表项。

11.根据权利要求9或10所述的媒体网关，其特征在于还包括：

存储模块，用于存储所述包过滤规则表。

12.一种媒体网关控制器，其特征在于，包括：

发送模块，用于向媒体网关发送用于指示所述媒体网关对包过滤规则进行操作的控制消息；

第二接收模块，用于接收所述媒体网关根据所述控制消息对包过滤规则表中的包过滤规则表项进行操作处理返回的响应消息。

13.根据权利要求12所述的媒体网关控制器，其特征在于，所述发送模块包括：

第一发送子模块，用于向媒体网关发送对包括包过滤规则表中的包过滤规则表项的更新操作指示的控制消息，所述更新操作指示包括表项位置指示参数和包过滤规则数据，所述表项位置指示参数为通配值；

第二发送子模块，用于向媒体网关发送包括对包过滤规则表中的包过滤规则表项的更新操作指示的控制消息，所述更新操作指示包括表项位置指示参数和包过滤规则数据，所述表项位置指示参数的值为位置编号值；

第三发送子模块，用于向媒体网关发送包括对包过滤规则表中的包过滤规则表项的删除操作的控制消息，所述删除操作指示包括表项位置指示参数，所述表项位置指示参数包括至少一个位置编号；

第四发送子模块，用于向媒体网关发送包括对包过滤规则表中的包过滤规则表项编号的审计操作指示的控制消息；

第五发送子模块，用于向媒体网关发送包括对包过滤规则表中的包过滤规则表项的审计操作指示和位置编号指示信息的控制消息，所述位置编号指示信息包括至少一个位置编号。

14.根据权利要求13所述的媒体网关控制器，其特征在于，所述第二接收模块包括：

第一接收子模块，用于接收所述媒体网关根据所述第一发送子模块发送的控制消息返回的包过滤规则表项的位置信息；

第二接收子模块，用于接收所述媒体网关根据所述第四发送子模块发送的控制消息返回的包过滤规则表中的所有包过滤规则表项的位置编号；

第三接收子模块，用于接收所述媒体网关根据所述第五发送子模块发送的控制消息返回的包过滤规则表中与所述位置编号对应的包过滤规则表项。

15.一种包过滤规则处理系统，其特征在于，包括：

媒体网关控制器，用于向媒体网关发送用于指示所述媒体网关对包过滤规则进行操作的控制消息，所述控制消息包括对包过滤规则表中的包过滤规则表项的更新操作指示、删除操作指示和审计操作指示中的一个或者多个的组合；

媒体网关，用于接收所述控制消息，并根据所述控制消息对包过滤规则表中的包过滤规则表项进行相应的增加包过滤规则表项、修改包过滤规则表项、删除包过滤规则表项、审计包过滤规则表项编号和审计包过滤规则表项的操作处理。

Images