CN102006285B - 一种用于网络安全设备的报文处理方法及装置 - Google Patents

Abstract

本发明公开了一种用于网络安全设备的报文处理方法，包括如下步骤：A、收到报文时，查找对应的网络安全规则对该报文进行处理；B、将处理报文产生的统计信息保存到临时统计信息存储器中；C、将所述统计信息通过PCI/PCIE接口总线发送到该网络安全设备的主CPU；D、在对报文进行IPsec VPN处理时，首先将产生的统计信息保存到所述临时统计信息存储器中，然后将该统计信息发送到主CPU。采用本发明方法由于消除了将统计信息回写到SDRAM的过程，因此能够显著提高网络安全设备的报文处理性能。本发明还相应公开了一种用于网络安全设备的报文处理装置，包括查找模块、临时统计信息存储器和发送模块。

Description

一种用于网络安全设备的报文处理方法及装置

技术领域

本发明属于网络安全技术领域，尤其涉及一种用于网络安全设备的报文处理方法及装置。

术语解释

网络安全规则：在网络安全设备中使用，根据系统管理员配置的规则生成。主要用于规定每个报文的处理方式，是允许报文通过还是应该阻断报文。

网络安全规则ID：每条网络安全规则都有自己唯一标识的编号，网络安全规则ID表示该安全规则的编号。

DDR2/DDR3SDRAM：DDR是DoubleDataRate的缩写，SDRAM是SynchronousDynamicRandomAccessMemory的缩写，中文名称是同步动态随机存储器。一种大容量、高带宽的存储器件。在计算机和网络设备上被大量使用，主要用于存储大量的数据。在网络安全设备中，一般会用来存储网络安全规则。

SSRAM：SSRAM是SynchronousStaticRandomAccessMemory的缩写，中文名称是同步静态随机存储器，是一种存储器件。访问机制很简单，具有较高的访问带宽，但容量一般不大。适合于具有较高的访问带宽要求、但容量要求不高的场合。

主CPU：CPU是CentralProcessingUnit的缩写，中文名称是中央处理器。在网络安全设备中，都存在一个CPU处理器件，用于管理整个设备的正常运行。同时，它还需要监控网络设备的运行状态、收集设备中通过的报文的各种统计信息，并用直观的方式显示出来，供设备的管理员查看。该CPU即为主CPU。

IP：IP是InternetProtocol的缩写，表示互联网协议。在互联网上，数据都是以符合互联网协议的格式进行传输，这些符合互联网协议格式的报文一般称为IP报文。

PCI/PCIE：PCI是PeripheralComponentInterconnect的缩写，中文名称是周边元件扩展接口，PCIE是PCI-Express的缩写。PCI/PCIE是在计算机和网络设备中广泛采用的、为CPU和其它器件提供高带宽传输通道的接口标准。PCIE接口是比PCI接口更新一代的接口标准，和PCI接口相比，PCIE接口具有更高的传输带宽，

DMA：DMA是DirectMemoryAccess的缩写，表示直接寄存器访问方式，是PCI/PCIE接口标准中的一种使用方式。在连续大流量数据传输时，通过这种方式可以提高PCI/PCIE总线的使用效率。

IPsecVPN：IPsecVPN是InternetProtocolSecurityVirtualPrivateNetwork的缩写，是一种IP网络上对数据进行加密和解密的协议标准。在发送IP报文时，网络安全设备可根据IPsecVPN协议对IP报文进行加密来保障IP报文的安全。在接收时，网络安全设备需要对加密报文进行解密。

SA：是SecurityAssociations的缩写。在SA中，将IPsecVPN协议中的安全协议、IP目标地址和索引号进行安全关联。网络安全设备根据SA中的信息来对IP报文进行加密和解密处理。

SADB：是SecurityAssociationsDatabase的缩写，是存储SA的数据库。

查找模块：这里特指硬件实现的网络安全设备中，专门负责查找网络安全规则表或者SADB的功能模块。

背景技术

在网络安全设备(以下有的地方也简称为“设备”)中，需要对经过的网络报文进行规则查找。根据网络安全规则，允许符合网络安全规则的报文通过，阻断不符合网络安全规则的报文。网络安全规则的条目数量有很多，一般都可达到几百万条的规模。而且每条网络安全规则的内容也很多，一般都不少于512bit。因此，这些网络安全规则一般都存放在专门的大容量存储器中，这些存储器主要是DDR2/DDR3SDRAM。在高性能的网络安全设备中，查表模块都由硬件实现，设备的性能指标主要取决于查找DDR2/DDR3SDRAM的性能。

网络安全规则表中，主要包含了两个方面的内容：报文的处理方式、符合该规则的报文统计信息。报文的处理方式，用于网络安全设备中的硬件转发模块来控制每个报文的转发方式；而每条规则中的报文统计信息，需要上报到设备中的主CPU，用于生成统计信息。对于每一个通过网络安全设备的报文来说，都需要查找网络安全规则表，读出规则表中的报文处理方式和累积的统计信息。同时，还需要根据报文信息来更新规则表的累积统计信息，然后再将更新后的统计信息回写到大容量存储器中。主CPU会定期查询网络规则表中的累积统计信息，从而得到所有的统计信息。

在网络安全设备处理报文的时候，对于每个报文来说，查找网络安全规则表的时间取决于读存储器和时间与回写存储器的时间相加的和。

经过前面的介绍可以知道，网络安全设备查找网络安全规则的时间由两部分组成：读存储器的时间、回写存储器的时间。为了提高查找性能，现有的技术都围绕着减少这两个时间来进行设计。

为了提高查找存储在大容量存储器中网络安全规则表的查找性能，主要从提高存储器的带宽和减少访问时间2个方面进行考虑。但存储器的带宽是有限度的，和存储器的结构和制造工艺密切相关。在网络安全设备上，对大容量存储器的使用方式也很独特，每个报文只能进行有限长度的访问，不能进行大量的连续访问。因此，对网络安全设备来说，存储器的带宽已经到了极限，不能再继续拓宽了。所以，现有的技术基本上都是在尽量减少对存储器的访问时间。

目前的一种较为常见的方法，是在回写累积的统计值时，不立即将累积统计值写到大容量的存储器中，而是先缓存在一个小容量、但具有较快访问速度的SSRAM存储器中。这种方案的结构如图1所示。

在这个方案中，处理一个报文时的处理流程如图2所示，回写的累积统计值暂时先存储在SSRAM中，等到SSRAM快存满的时候，再将SSRAM中保存的统计值搬移到大容量的SDRAM中，然后供主CPU来查询。这样，这个SSRAM有点像计算机中常用的cache结构。

另外，在这个方案中，还需要一个单独的模块，用来记录SSRAM中每个条目中的生存时间。对于那些生存时间较长的条目，需要将它们转移到大容量的SDRAM中，通过这种方式来提高SSRAM的使用效率。

目前，在网络安全设备中，除了根据网络安全规则来决定允许报文通过或者阻断报文外，一般还会支持IpsecVPN功能，通过对IP报文进行加密来保障报文能够在网络上安全传输。网络安全设备在对报文进行加密或解密处理时，需要查找SADB。每条SA中包含的信息有：加密/解密算法、加密/解密起始点初始值、加密/解密密钥、认证算法、滑动窗口大小，等等。为了监测网络安全设备的工作情况以及它所处理的报文流量，在SA中还保存了该SA对应的报文流量等统计信息。主CPU通过主动读取SADB表来获得每条SA中的统计信息。

在网络安全设备中，支持的SA数量越来越多。目前，一般都可支持几万条SA。而每条SA中存储的内容也比较多，所以，SADB存放在大容量的DDR2/DDR3SDRAM中。

上述现有技术方案存在如下缺陷：

1、结构复杂，加大了实现难度；

2、SSRAM的容量很小，只能保存很少的一部分安全规则所对应的统计信息。只有符合这些少数安全规则的报文，才能实现较快的处理性能，对于大多数报文来说，还是不能实现高处理性能；

3、需要增加一个SSRAM器件，增加了设备的器件成本；

4、在支持IPsecVPN功能时，对报文的处理性能降低。

发明内容

本发明要解决的技术问题是提供一种用于网络安全设备的报文处理方法及装置，相对于现有技术，能够显著提高网络安全设备的报文处理性能。

为解决上述技术问题，本发明用于网络安全设备的报文处理方法包括如下步骤：

步骤1、收到报文时，网络安全设备的查找模块通过查找网络安全规则表中对应的网络安全规则对该报文进行处理；

步骤2、所述查找模块将处理该报文产生的统计信息保存到一个临时统计信息存储器中；

步骤3、将存储在所述临时统计信息存储器中的所述统计信息发送到该网络安全设备的主CPU。

进一步地，所述保存到临时统计信息存储器中的统计信息包括：所述报文对应的网络安全规则ID，以及所述报文对应的统计信息。

进一步地，所述查找模块将所述统计信息保存到所述临时统计信息存储器时采用的方法为：在根据该报文对应的网络安全规则处理完该报文并产生了该报文对应的统计信息后，首先查看所述临时统计信息存储器中，是否已存在与该报文采用相同的网络安全规则进行处理的报文所产生的统计信息，如果已存在则将该新产生的统计信息累加到该已有的统计信息中即可，即所述临时统计信息存储器中存储的统计信息个数并不增加；如果不存在则需要将该报文产生的统计信息存入所述临时统计信息存储器中，而所述临时统计信息存储器中存储的统计信息个数增加一个。

进一步地，所述临时统计信息存储器和所述主CPU之间通过PCI/PCIE接口总线来传输所述统计信息。

更进一步地，将存储在所述临时统计信息存储器中的所述统计信息发送到所述主CPU时采用的方法为，将处理N个所述报文产生的N个所述统计信息拼接在一起，构成一个新的统计信息报文，然后将所述统计信息报文发送给主CPU，其中N为大于1的自然数。从而提高了所述临时统计信息存储器和主CPU之间的接口带宽的传输效率。

进一步地，在对报文进行IPsecVPN处理时，首先将对报文进行IPsecVPN处理时产生的统计信息保存到所述临时统计信息存储器中，然后将所述对报文进行IPsecVPN处理时产生的统计信息发送到所述主CPU。

更进一步地，将对报文进行IPsecVPN处理时产生的统计信息从所述临时统计信息存储器发送到所述主CPU，采用的方法为，待到生成了M条所述对报文进行IPsecVPN处理时产生的统计信息后，再一起发送给所述主CPU，其中M为大于1的自然数。

为解决上述技术问题，本发明用于网络安全设备的报文处理装置包括查找模块、临时统计信息存储器和发送模块；

其中，所述查找模块用于，收到报文时，通过查找网络安全规则表中对应的网络安全规则对该报文进行处理，并将处理该报文产生的统计信息保存到所述临时统计信息存储器中；

所述临时统计信息存储器用于存储所述统计信息；

所述发送模块用于将保存在所述临时统计信息存储器中的所述统计信息发送到该网络安全设备的主CPU。

进一步地，所述临时统计信息存储器和所述主CPU之间通过PCI/PCIE接口总线连接，以传递所述统计信息。

进一步地，所述查找模块还用于在对报文进行IPsecVPN处理时，将对报文进行IPsecVPN处理时产生的统计信息保存到所述临时统计信息存储器中，相应地，所述发送模块还用于，将对报文进行IPsecVPN处理时产生的统计信息从所述临时统计信息存储器发送到所述主CPU。

本发明具有如下有益效果：

1、本发明通过将统计信息从网络安全规则表中剥离出来的方法，消除了处理每个报文时对大容量存储器DDR2/DDR3SDRASM的回写操作，大大地减少了查找模块处理每个报文时所需要的时间，从而提高了网络安全设备中查找模块对报文的处理性能，而且，支持的网络安全规则的条目数量还不受到限制。

2、本发明通过将统计信息直接从临时统计信息存储器发送给主CPU的方法，来获得网络安全规则的统计信息。同时，查找模块每处理一个报文后就会生成一条统计信息，本发明中，不必立即将这条报文的统计信息发送到主CPU，而是在处理完多个报文后再将所有这些报文的统计信息拼接成一个大的统计信息报文，然后再将这个大的统计信息报文一次性地发送到主CPU。通过这种方法，能够大大提高临时统计信息存储器和主CPU之间PCI/PCIE接口的传输效率。

附图说明

图1为现有的用于网络安全设备的报文处理方法原理示意图；

图2为现有的用于网络安全设备的报文处理方法流程示意图；

图3为本发明用于网络安全设备的报文处理方法原理示意图；

图4为本发明用于网络安全设备的报文处理方法流程示意图；

图5为采用本发明方法对报文进行IPsecVPN处理时的原理示意图；

图6为本发明用于网络安全设备的报文处理装置结构示意图。

具体实施方式

下面结合附图和具体实施方式对本发明作进一步详细说明。

图3为本发明用于网络安全设备的报文处理方法原理示意图，如图所示，在本发明方法中，处理报文时产生的统计信息并不需要立即回写到大容量的SDRAM中，而是保存在一个临时统计信息存储器中，该临时统计信息存储器也可以设置在查找模块内，也可以设置在查找模块外部，然后再将统计信息从临时统计信息存储器发送到主CPU中。

图4为本发明用于网络安全设备的报文处理方法流程示意图，如图所示，本发明用于网络安全设备的报文处理方法具体包括如下步骤：

1、在收到报文时，查找模块根据报文的五元组信息(源IP地址、目的IP地址、IP协议类型、源端口号和目的端口号)计算出网络安全规则表在SDRAM中的存储地址，然后从SDRAM中读出该报文对应的网络安全规则，获得该报文的处理信息，然后根据该报文的处理信息对该报文进行处理。

2、查找模块在完成报文处理后，需要将报文的统计信息保存到临时统计信息存储器中。在临时统计信息存储器中，需存储如下信息：

(1)、该报文对应的网络安全规则ID；

(2)、该报文对应的统计信息，该统计信息包括报文长度、安全规则的状态等。

本发明实施例中，查找模块将统计信息保存到临时统计信息存储器时采用的方法为：在根据该报文对应的网络安全规则处理完该报文并产生了该报文对应的统计信息后，首先查看临时统计信息存储器中，是否已存在与该报文采用相同的网络安全规则进行处理的报文所产生的统计信息，如果已存在则将该新产生的统计信息累加到该已有的统计信息中即可，即临时统计信息存储器中存储的统计信息个数并不增加；如果不存在则需要将该报文产生的统计信息存入临时统计信息存储器中，而临时统计信息存储器中存储的统计信息个数增加一个。

3、将报文统计信息保存在临时统计信息存储器后，还需要将这些统计信息主动发送到主CPU，由主CPU来完成所有安全规则统计信息的收集和汇总，从而得到全面、完整的统计信息。

临时统计信息存储器和主CPU之间通过PCI/PCIE接口(也可以通过以太网接口传输，下文以PCI/PCIE接口为例进行说明)总线来传输统计信息，为了提高传输带宽，需要利用PCI/PCIE总线的DMA通道来传递。

由于临时统计信息存储器和主CPU之间采用PCI/PCIE总线的DMA通道来传输统计信息，而PCI/PCIE总线DMA通道比较适合连续大流量的传输，不太适合于小流量、不连续的传输方式，所以不一定每生成一条统计信息就向主CPU发送一次。为了提高临时统计信息存储器和主CPU之间PCI/PCIE总线的通信效率，可以在处理N个报文后，将这些报文产生的N条统计信息拼接在一起，构成一个统计信息报文，然后发送给主CPU，其中N为大于1的自然数。这种方式能够有效地提高查找模块和主CPU之间的接口带宽的传输效率。

在网络安全设备中，除了根据网络安全规则来决定允许报文通过或者阻断报文外，一般还会支持IPsecVPN功能，通过对IP报文进行加密来保障报文能够在网络上安全传输。

图5为采用本发明方法对报文进行IPsecVPN处理时的原理示意图，如图所示，采用本发明方法对报文进行IPsecVPN处理时，为了提高网络安全设备的IPsecVPN处理性能，将SA中报文对应的统计信息从SADB中分离出来，即SADB中只保存IPsecVPN加密/解密所需要的信息，而不保存SA统计信息。在对每个报文进行IPsecVPN处理时，查找模块从DDR2/DDR3SDRAM中读出报文的处理信息，该处理信息包括：加密/解密算法、加密/解密起始点初始值、加密/解密密钥、认证算法、滑动窗口大小等，然后根据该处理信息，对报文进行相应的处理。查找模块处理完报文后，只需要将滑动窗口信息回写到DDR2/DDR3SDRAM中，而不需要回写报文对应的统计信息。而是由查找模块将报文的统计信息保存到临时统计信息存储器中，等到生成了M条统计信息后再一起发送给主CPU，其中M为大于1的自然数。这样能够减少查找模块回写DDR2/DDR3SDRAM的时间，从而提高网络安全设备对IPsecVPN报文的处理性能。

图6为本发明用于网络安全设备的报文处理装置结构示意图，如图所示，本发明用于网络安全设备的报文处理装置包括查找模块、临时统计信息存储器和发送模块。

在收到报文时，查找模块根据报文的五元组信息(源IP地址、目的IP地址、IP协议类型、源端口号和目的端口号)计算出网络安全规则表在SDRAM中的存储地址，然后从SDRAM中读出该报文对应的网络安全规则，获得该报文的处理信息，然后根据该报文的处理信息对该报文进行处理。

查找模块在完成报文处理后，需要将报文的统计信息保存到临时统计信息存储器中。在临时统计信息存储器中，需存储如下信息：

(1)、该报文对应的网络安全规则ID；

(2)、该报文对应的统计信息，该统计信息包括报文长度、安全规则的状态等。

将报文统计信息保存在临时统计信息存储器后，发送模块将这些统计信息主动发送到主CPU，由主CPU来完成所有安全规则统计信息的收集和汇总，从而得到全面、完整的统计信息。

本发明实施例中，临时统计信息存储器和主CPU之间通过PCI/PCIE接口总线的DMA通道来传输统计信息，以提高传输带宽。

由于临时统计信息存储器和主CPU之间采用PCI/PCIE总线的DMA通道来传输统计信息，而PCI/PCIE总线DMA通道比较适合连续大流量的传输，不太适合于小流量、不连续的传输方式，所以不一定每生成一条统计信息就向主CPU发送一次。为了提高临时统计信息存储器和主CPU之间PCI/PCIE总线的通信效率，由发送模块将查找模块处理N个报文所产生的N条统计信息拼接在一起，构成一个统计信息报文，然后发送给主CPU，其中M为大于1的自然数。这种方式能够有效地提高查找模块和主CPU之间的接口带宽的传输效率。

本发明装置在对报文进行IPsecVPN处理时，将SA中报文对应的统计信息从SADB中分离出来，即SADB中只保存IPsecVPN加密/解密所需要的信息，而不保存SA统计信息。在对每个报文进行IPsecVPN处理时，查找模块从DDR2/DDR3SDRAM中读出报文的处理信息，该处理信息包括：加密/解密算法、加密/解密起始点初始值、加密/解密密钥、认证算法、滑动窗口大小等，然后根据该处理信息，对报文进行相应的处理。查找模块处理完报文后，只需要将滑动窗口信息回写到DDR2/DDR3SDRAM中，而不需要回写报文对应的统计信息。而是由查找模块将报文的统计信息保存到临时统计信息存储器中，等到生成了M条统计信息后，发送模块再一起发送给主CPU，其中M为大于1的自然数。这样能够减少查找模块回写DDR2/DDR3SDRAM的时间，从而提高网络安全设备对IPsecVPN报文的处理性能。

采用本发明上述方案，能够在不需要其它器件帮助的情况下，对所有安全规则的对应的报文进行高性能处理。同时在本发明中，在不增加网络安全设备结构复杂性的前提下，消除了很消耗时间的回写SDRAM过程，大大减少了处理每个报文所要的查表时间，从而显著地提高了查表性能。同时，本发明方案中，还不会受到SSRAM存储容量不大的影响，从而也不会限制安全规则的条目数量。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应注意的是，以上所述仅为本发明的具体实施例而已，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求记载的技术方案及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (8)

1.一种用于网络安全设备的报文处理方法，其特征在于包括如下步骤：

步骤1、收到报文时，网络安全设备的查找模块通过查找网络安全规则表中对应的网络安全规则对该报文进行处理；

步骤2、所述查找模块将处理该报文产生的统计信息保存到一个临时统计信息存储器中；

步骤3、将存储在所述临时统计信息存储器中的所述统计信息发送到该网络安全设备的主CPU；

其中，将存储在所述临时统计信息存储器中的所述统计信息发送到所述主CPU时采用的方法为：

将处理N个所述报文产生的N个所述统计信息拼接在一起，构成一个新的统计信息报文，然后将所述统计信息报文发送给所述主CPU，其中N为大于1的自然数。

2.根据权利要求1所述的用于网络安全设备的报文处理方法，其特征在于：

所述保存到临时统计信息存储器中的统计信息包括：所述报文对应的网络安全规则ID，以及所述报文对应的统计信息。

3.根据权利要求1所述的用于网络安全设备的报文处理方法，其特征在于：

所述临时统计信息存储器和所述主CPU之间通过PCI/PCIE接口总线来传输所述统计信息。

4.根据权利要求1至3中任一项所述的用于网络安全设备的报文处理方法，其特征在于：

在对报文进行IPsecVPN处理时，首先将对报文进行IPsecVPN处理时产生的统计信息保存到所述临时统计信息存储器中，然后将该统计信息发送到所述主CPU。

5.根据权利要求4所述的用于网络安全设备的报文处理方法，其特征在于，将对报文进行IPsecVPN处理时产生的统计信息从所述临时统计信息存储器发送到所述主CPU，采用的方法为：

待到生成了M条所述对报文进行IPsecVPN处理时产生的统计信息后，再一起发送给所述主CPU，其中M为大于1的自然数。

6.一种用于网络安全设备的报文处理装置，其特征在于：

包括查找模块、临时统计信息存储器和发送模块；

其中，所述查找模块用于，收到报文时，通过查找网络安全规则表中对应的网络安全规则对该报文进行处理，并将处理该报文产生的统计信息保存到所述临时统计信息存储器中；

所述临时统计信息存储器用于存储所述统计信息；

所述发送模块用于将保存在所述临时统计信息存储器中的所述统计信息发送到该网络安全设备的主CPU；

其中所述发送模块，具体用于将查找模块处理N个报文所产生的N条统计信息拼接在一起，构成一个统计信息报文，然后发送给主CPU，其中N为大于1的自然数。

7.根据权利要求6所述的用于网络安全设备的报文处理装置，其特征在于：

所述临时统计信息存储器和所述主CPU之间通过PCI/PCIE接口总线连接，以传递所述统计信息。

8.根据权利要求6或7所述的用于网络安全设备的报文处理装置，其特征在于：

所述查找模块还用于在对报文进行IPsecVPN处理时，将对报文进行IPsecVPN处理时产生的统计信息保存到所述临时统计信息存储器中；

所述发送模块还用于，将对报文进行IPsecVPN处理时产生的统计信息从所述临时统计信息存储器发送到所述主CPU。