CN102664804A - 网络设备实现网桥功能的方法及系统 - Google Patents

Abstract

本发明公开了一种网络设备实现网桥功能的方法及系统，涉及网络通信技术领域，所述方法包括：S1：当前网络设备中设有Q个网桥；S2：若当前网桥V的某个子接口V_x接收到报文时，根据所述报文的源mac地址和目的mac地址查找与所述当前网桥V对应的mac地址表，若未查找到相应的第一地址记录，则直接丢弃所述报文，结束所述方法，否则执行下一步；S3：根据所述第一地址记录判断所述目的mac地址所对应的接口类型，若接口类型为子接口，则执行报文桥内转发处理过程，若接口类型为网桥口，则执行报文桥外转发处理过程。本发明通过报文的桥内转发过程和桥外转发过程，实现了网络段间的监控，并提高了安全性。

Description

网络设备实现网桥功能的方法及系统

技术领域

本发明涉及网络通信技术领域，特别涉及一种网络设备实现网桥功能的方法及系统。

背景技术

网桥功能类似于中继器，连接两个局域网络段，但它是在数据链路层连接两个网。网间通信从网桥传送，而网路内部的通信被网桥隔离，网桥检查报文的源地址和目的地址，如果目的地址和源地址不在同一个网络段上，就把报文转发到另一个网络段上；若两个地址在同一个网络段上，则不转发，所以网桥能起到过滤报文的作用。网桥的报文过滤特性很有用，当一个网络由于负载很重而性能下降时，可以用网桥把它分成两个网络段并使得段间的通信量保持最小，例如，把分布在两层楼上的网络分成每层一个网络段，段间用网桥连接。这样配置可以最大限度地缓解网络通信繁忙的程度，提高通信效率。同时由于网桥的隔离作用，一个网络段上的故障不会影响另一个网络段，从而提高了网络的可靠性，但由于网桥的网络段的隔离特性，无法实现网络段间的监控，导致网桥的使用范围受到了限制，并且由于传统网桥的报文过滤方式较为简单，因此安全性较低。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是：如何实现网络段间的监控，并提高安全性。

(二)技术方案

为解决上述技术问题，本发明提供了一种网络设备实现网桥功能的方法，所述方法包括以下步骤：

S1：当前网络设备中设有Q个网桥，所述网络设备中的每N个物理接口配置为所述Q个网桥中1个网桥的子接口、且所述网络设备还剩余M个物理接口，每个网桥均设有1个对外的网桥口，为每个网桥内的子接口分别分配安全级别，其中，N为大于等于2的整数，Q、M为大于等于1的整数；

S2：若当前网桥V的某个子接口V_x接收到报文时，根据所述报文的源mac地址和目的mac地址查找与所述当前网桥V对应的mac地址表，若未查找到相应的第一地址记录，则直接丢弃所述报文，结束所述方法，否则执行下一步，所述当前网桥V对应的mac地址表通过所述当前网桥V内的子接口的安全级别建立；

S3：根据所述第一地址记录判断所述目的mac地址所对应的接口类型，若接口类型为子接口，则执行报文桥内转发处理过程，若接口类型为网桥口，则执行报文桥外转发处理过程。

优选地，步骤S3中所述报文桥内转发处理过程包括以下步骤：

S301：所述报文的IP五元组查找二层快速转发表，若查找到相应的连接记录，则直接将所述报文转发至与所述目的mac地址对应的子接口，否则执行下一步；

S302：比较与所述目的mac地址对应的子接口和所述子接口V_x之间的安全级别，若所述子接口V_x的安全级别较高，则执行步骤S303，否则执行步骤S304；

S303：将所述报文通过与所述目的mac地址对应的子接口进行转发，并将所述报文的IP五元组的连接记录保存至所述二层快速转发表中，结束所述方法；

S304：丢弃所述报文，结束所述方法。

优选地，步骤S302和步骤S304之间还包括以下步骤：

S3021：根据所述报文的IP五元组判断第一预设的三层访问控制列表中是否配置了准许转发所述报文的记录，若有，则执行步骤S303，否则执行步骤S304。

优选地，所述当前网络设备为每个网桥的所述网桥口和剩余的M个物理接口分别分配安全级别，步骤S3中所述报文桥外转发处理过程包括以下步骤：

S311：对所述报文进行解析，并进行二层协议头处理；

S312：根据所述报文的IP五元组查找三层快速转发表，若查找到相应的连接记录，则将所述连接记录中的出接口E₁的mac地址作为所述报文的源mac地址及所述连接记录中下一跳网关C₁的mac地址作为所述报文的目的mac地址封装至所述报文的报头中，所述出接口E₁为其它网桥口及剩余的M个物理接口中的一个，当所述出接口E₁为物理接口，则将封装后的报文通过所述出接口E₁进行转发，结束所述方法，当所述出接口E₁为网桥口，则将封装后的报文通过与所述连接记录中的子接口号对应的子接口进行转发，结束所述方法，结束所述方法，若未查找到相应的连接记录，则执行下一步；

S313：根据所述报文的目的IP地址查找路由表，以获得所述报文的出接口E₂的mac地址及下一跳网关C₂的mac地址，所述出接口E₂为其它网桥口及剩余的M个物理接口中的一个，比较所述当前网桥V的网桥口和所述出接口E₂的安全级别，若所述出接口E₂的安全级别较低，则执行步骤S314，否则执行步骤S315；

S314：若所述出接口E₂为物理接口，则将所述出接口E₂的mac地址作为所述报文的源mac地址以及所述下一跳网关C₂的mac地址作为目的mac地址封装至所述报文的报头中，将所述报文的IP五元组、所述出接口E₂的mac地址及下一跳网关C₂的mac地址之间的对应关系保存至所述三层快速转发表中，并将封装后的报文根据所述出接口E₂进行转发，结束所述方法；

若所述出接口E₂为网桥口，则将所述出接口E₂的mac地址作为所述报文的源mac地址以及所述下一跳网关C₂的mac地址作为目的mac地址封装至所述报文的报头中，查询所述出接口E₂所对应网桥的mac地址表，若未查找到相应的第二地址记录，则执行步骤S315，否则，将所述报文的IP五元组、所述出接口E₂的mac地址、所述第二地址记录中的子接口号、下一跳网关C₂的mac地址之间的对应关系保存至所述三层快速转发表中，并将封装后的报文通过与所述子接口号对应的子接口进行转发，结束所述方法；

S315：丢弃所述报文，结束所述方法。

优选地，步骤S313和步骤S315之间还包括以下步骤：

S3131：根据所述报文的IP五元组判断第二预设的三层访问控制列表中是否配置了准许转发所述报文的记录，若有，则执行步骤S314，否则执行步骤S315。

优选地，所述当前网络设备为每个网桥的所述网桥口和剩余的M个物理接口分别分配安全级别，步骤S1之后，若当前物理接口接收到报文时，所述当前物理接口为所述剩余的M个物理接口中的一个，则不执行步骤S2，直接执行以下步骤：

S4：对所述报文进行解析，并进行二层协议头处理；

S5：根据所述报文的IP五元组查找三层快速转发表，若查找到相应的连接记录，则将所述连接记录中的出接口E₃的mac地址作为所述报文的源mac地址及所述连接记录中下一跳网关C₃的mac地址作为所述报文的目的mac地址封装至所述报文的报头中，所述出接口E₃为其它网桥口及剩余的M个物理接口中的一个，当所述出接口E₃为物理接口，则将封装后的报文通过所述出接口E₃进行转发，结束所述方法，当所述出接口E₃为网桥口，则将封装后的报文通过与所述连接记录中的子接口号对应的子接口进行转发，结束所述方法，结束所述方法，若未查找到相应的连接记录，则执行下一步；

S6：根据所述报文的目的IP地址查找路由表，以获得所述报文的出接口E₄的mac地址及下一跳网关C₄的mac地址，所述出接口E₄为Q个网桥口及其它物理接口中的一个，比较所述当前物理接口和所述出接口E₄的安全级别，若所述出接口E₄的安全级别较低，则执行步骤S7，否则执行步骤S8；

S7：若所述出接口E₄为物理接口，则将所述出接口E₄的mac地址作为所述报文的源mac地址以及所述下一跳网关C₄的mac地址作为目的mac地址封装至所述报文的报头中，将所述报文的IP五元组、所述出接口E₄的mac地址及下一跳网关C₄的mac地址之间的对应关系保存至所述三层快速转发表中，并将封装后的报文根据所述出接口E₄进行转发，结束所述方法；

若所述出接口E₄为网桥口，则将所述出接口E₄的mac地址作为所述报文的源mac地址以及所述下一跳网关C₄的mac地址作为目的mac地址封装至所述报文的报头中，查询所述出接口E₄所对应网桥的mac地址表，若未查找到相应的第三地址记录，则执行步骤S8，否则，将所述报文的IP五元组、所述出接口E₄的mac地址、所述第三地址记录中的子接口号、下一跳网关C₄的mac地址之间的对应关系保存至所述三层快速转发表中，并将封装后的报文通过与所述子接口号对应的子接口进行转发，结束所述方法；

S8：丢弃所述报文，结束所述方法。

优选地，步骤S6和步骤S8之间还包括以下步骤：

S61：根据所述报文的IP五元组判断预设的三层访问控制列表中是否配置了准许转发所述报文的记录，若有，则执行步骤S7，否则执行步骤S8。

优选地，所述Q个网桥中每个网桥对应的mac地址表的建立过程包括以下步骤：

A1：当前网桥B的某个子接口B_x向当前网桥B的其它子接口和网桥口发送广播报文，并将所述子接口B_x的子接口号和对应的mac地址作为半地址记录；

A2：若其它子接口中的一个子接口回应了广播报文，则比较所述子接口B_x和回应了广播报文的子接口之间的安全级别，若所述子接口B_x的安全级别较高，则执行步骤A3，否则执行步骤A5；

若网桥口回应了广播报文，则直接执行步骤A4；

A3：将所述回应了广播报文的子接口的子接口号和对应的mac地址加入所述半地址记录中，作为地址记录保存至所述mac地址表中，执行步骤A6；

A4：将所述网桥口的mac地址加入所述半地址记录中，作为地址记录保存至所述mac地址表中，执行步骤A6；

A5：删除所述半地址记录，执行步骤A6；

A6：将所述子接口B_x换为其它子接口中的一个子接口，并返回步骤A1，直至所述当前网桥B的所有子接口均被选择过；

A7：所述当前网桥B的桥接口向所述当前网桥B的所有子接口发送广播报文，并将所述桥接口的mac地址作为半地址记录，若所述当前网桥B的所有子接口中的一个子接口回应了广播报文，将所述回应了广播报文的子接口的子接口号和对应的mac地址加入所述半地址记录中，作为地址记录保存至所述mac地址表中。

优选地，所述步骤A2和A5之间还包括以下步骤：

A21：根据所述报文的源mac地址和目的mac地址判断预设的二层访问控制列表中是否配置了准许转发所述报文的记录，若有，则执行步骤A3，否则执行步骤A5。

本发明还公开了一种网络设备实现网桥功能的系统，所述系统：

配置模块，用于当前网络设备中设有Q个网桥，所述网络设备中的每N个物理接口配置为所述Q个网桥中1个网桥的子接口、且所述网络设备还剩余M个物理接口，每个网桥均设有1个对外的网桥口，为每个网桥内的子接口分别分配安全级别，其中，N为大于等于2的整数，Q、M为大于等于1的整数；

查找模块，用于若当前网桥V的某个子接口V_x接收到报文时，根据所述报文的源mac地址和目的mac地址查找与所述当前网桥V对应的mac地址表，若未查找到相应的第一地址记录，则直接丢弃所述报文，结束所述系统，否则执行转发模块，所述当前网桥V对应的mac地址表通过所述当前网桥V内的子接口的安全级别建立；

转发模块，用于根据所述第一地址记录判断所述目的mac地址所对应的接口类型，若接口类型为子接口，则执行报文桥内转发处理过程，若接口类型为网桥口，则执行报文桥外转发处理过程。

(三)有益效果

本发明通过报文的桥内转发过程和桥外转发过程，实现了网络段间的监控，并提高了安全性。

附图说明

图1是按照本发明一种实施方式的网络设备实现网桥功能的方法的流程图；

图2是按照本发明一种实施例的网络设备实现网桥功能的方法所基于的网络设备的结构示意图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

图1是按照本发明一种实施例的网络设备实现网桥功能的方法所基于的网络设备的结构示意图；参照图1，所述实施方式的方法包括以下步骤：

S1：当前网络设备(所述网络设备可为防火墙、路由器或交换机等网络设备)中设有Q个网桥，所述网络设备中的每N个物理接口配置为所述Q个网桥中1个网桥的子接口、且所述网络设备还剩余M个物理接口，每个网桥均设有1个对外的网桥口，为每个网桥内的子接口分别分配安全级别，其中，N为大于等于2的整数，Q、M为大于等于1的整数，网桥的子接口不能配置网络之间互连的协议(InternetProtocol，IP)地址和介质访问控制层(Medium Access Control，mac)地址，而桥接口和剩余的M个物理接口可以配置IP地址和mac地址，因此，对用户而言，相当于此网络设备具有Q个桥接口和M个物理接口一共Q+M个三层接口；参照图2，本实施例以具有8个物理端口的网络设备来说明接口关系，但并不限定本发明的保护范围，网络设备中设有1个网桥，所述网络设备中的4个物理接口配置为所述网桥的子接口分别为子接口0、子接口1、子接口2及子接口3，且所述网络设备还剩余4个物理接口分别为物理接口4、物理接口5、物理接口6及物理接口7，网桥设有1个对外的网桥口，设安全级别为0～100，这样可设置子接口0的安全级别为100，子接口1的安全级别为80，子接口2的安全级别为60，子接口3的级别为0，设置安全级别时，不会设置相同的安全级别，即两个子接口之间的安全级别必然存在高低；

S2：若当前网桥V的某个子接口V_x接收到报文时，根据所述报文的源mac地址和目的mac地址查找与所述当前网桥V对应的mac地址表，若未查找到相应的第一地址记录，则直接丢弃所述报文，结束所述方法，否则执行下一步，所述当前网桥V对应的mac地址表通过所述当前网桥V内的子接口的安全级别建立；

S3：根据所述第一地址记录判断所述目的mac地址所对应的接口类型，若接口类型为子接口，则执行报文桥内转发处理过程，若接口类型为网桥口，则执行报文桥外转发处理过程。

优选地，步骤S3中所述报文桥内转发处理过程包括以下步骤：

S301：所述报文的IP五元组查找二层快速转发表(所述二层快速转发表中还可包括流控、身份验证-授权-统计等不对报文进行修改的三层业务的处理结果)，若查找到相应的连接记录，则直接将所述报文转发至与所述目的mac地址对应的子接口，否则执行下一步；

S302：比较与所述目的mac地址对应的子接口和所述子接口V_x之间的安全级别，若所述子接口V_x的安全级别较高，则执行步骤S303，否则执行步骤S304；

S303：将所述报文通过与所述目的mac地址对应的子接口进行转发，并将所述报文的IP五元组的连接记录保存至所述二层快速转发表中，结束所述方法；

S304：丢弃所述报文，结束所述方法。

桥内转发没有对二层协议头进行处理，但对转发进行了安全匹配监控，禁止低安全级别的接口随意发起三层连接，保证了高安全级别的接口安全，为便于控制桥内的访问权限，优选地，步骤S302和步骤S304之间还包括以下步骤：

S3021：根据所述报文的IP五元组判断第一预设的三层访问控制列表中是否配置了准许转发所述报文的记录，若有，则执行步骤S303，否则执行步骤S304。

优选地，所述当前网络设备为每个网桥的所述网桥口和剩余的M个物理接口分别分配安全级别，步骤S3中所述报文桥外转发处理过程(报文桥外转发的报文主要为：如传输控制协议TCP业务、用户数据包协议UDP业务及Internet控制报文协议业务等三层业务的报文)包括以下步骤：

S311：对所述报文进行解析，并进行二层协议头处理，所述二层协议头处理，即将所述报文中保存源mac地址和目的mac地址的报头删除的过程；

S312：根据所述报文的IP五元组查找三层快速转发表(所述三层快速转发表中还可包括流控、身份验证-授权-统计等不对报文进行修改的三层业务的处理结果)，若查找到相应的连接记录，则将所述连接记录中的出接口E₁的mac地址作为所述报文的源mac地址及所述连接记录中下一跳网关C₁的mac地址作为所述报文的目的mac地址封装至所述报文的报头中，所述出接口E₁为其它网桥口及剩余的M个物理接口中的一个，当所述出接口E₁为物理接口，则将封装后的报文通过所述出接口E₁进行转发，结束所述方法，当所述出接口E₁为网桥口，则将封装后的报文通过与所述连接记录中的子接口号对应的子接口进行转发，结束所述方法，结束所述方法，若未查找到相应的连接记录，则执行下一步；

S313：根据所述报文的目的IP地址查找路由表，以获得所述报文的出接口E₂的mac地址及下一跳网关C₂的mac地址，所述出接口E₂为其它网桥口及剩余的M个物理接口中的一个，比较所述当前网桥V的网桥口和所述出接口E₂的安全级别，若所述出接口E₂的安全级别较低，则执行步骤S314，否则执行步骤S315；

S314：若所述出接口E₂为物理接口，则将所述出接口E₂的mac地址作为所述报文的源mac地址以及所述下一跳网关C₂的mac地址作为目的mac地址封装至所述报文的报头中，将所述报文的IP五元组、所述出接口E₂的mac地址及下一跳网关C₂的mac地址之间的对应关系保存至所述三层快速转发表中，并将封装后的报文根据所述出接口E₂进行转发，结束所述方法；

若所述出接口E₂为网桥口，则将所述出接口E₂的mac地址作为所述报文的源mac地址以及所述下一跳网关C₂的mac地址作为目的mac地址封装至所述报文的报头中，查询所述出接口E₂所对应网桥的mac地址表，若未查找到相应的第二地址记录，则执行步骤S315，否则，将所述报文的IP五元组、所述出接口E₂的mac地址、所述第二地址记录中的子接口号、下一跳网关C₂的mac地址之间的对应关系保存至所述三层快速转发表中，并将封装后的报文通过与所述子接口号对应的子接口进行转发，结束所述方法；

S315：丢弃所述报文，结束所述方法。

为便于控制桥外的访问权限，优选地，步骤S313和步骤S315之间还包括以下步骤：

S3131：根据所述报文的IP五元组判断第二预设的三层访问控制列表中是否配置了准许转发所述报文的记录，若有，则执行步骤S314，否则执行步骤S315。

优选地，所述当前网络设备为每个网桥的所述网桥口和剩余的M个物理接口分别分配安全级别，步骤S1之后，若当前物理接口接收到报文时，所述当前物理接口为所述剩余的M个物理接口中的一个，则不执行步骤S2，直接执行以下步骤：

S4：对所述报文进行解析，并进行二层协议头处理；

S5：根据所述报文的IP五元组查找三层快速转发表，若查找到相应的连接记录，则将所述连接记录中的出接口E₃的mac地址作为所述报文的源mac地址及所述连接记录中下一跳网关C₃的mac地址作为所述报文的目的mac地址封装至所述报文的报头中，所述出接口E₃为其它网桥口及剩余的M个物理接口中的一个，当所述出接口E₃为物理接口，则将封装后的报文通过所述出接口E₃进行转发，结束所述方法，当所述出接口E₃为网桥口，则将封装后的报文通过与所述连接记录中的子接口号对应的子接口进行转发，结束所述方法，结束所述方法，若未查找到相应的连接记录，则执行下一步；

S6：根据所述报文的目的IP地址查找路由表，以获得所述报文的出接口E₄的mac地址及下一跳网关C₄的mac地址，所述出接口E₄为Q个网桥口及其它物理接口中的一个，比较所述当前物理接口和所述出接口E₄的安全级别，若所述出接口E₄的安全级别较低，则执行步骤S7，否则执行步骤S8；

S7：若所述出接口E₄为物理接口，则将所述出接口E₄的mac地址作为所述报文的源mac地址以及所述下一跳网关C₄的mac地址作为目的mac地址封装至所述报文的报头中，将所述报文的IP五元组、所述出接口E₄的mac地址及下一跳网关C₄的mac地址之间的对应关系保存至所述三层快速转发表中，并将封装后的报文根据所述出接口E₄进行转发，结束所述方法；

若所述出接口E₄为网桥口，则将所述出接口E₄的mac地址作为所述报文的源mac地址以及所述下一跳网关C₄的mac地址作为目的mac地址封装至所述报文的报头中，查询所述出接口E₄所对应网桥的mac地址表，若未查找到相应的第三地址记录，则执行步骤S8，否则，将所述报文的IP五元组、所述出接口E₄的mac地址、所述第三地址记录中的子接口号、下一跳网关C₄的mac地址之间的对应关系保存至所述三层快速转发表中，并将封装后的报文通过与所述子接口号对应的子接口进行转发，结束所述方法；

S8：丢弃所述报文，结束所述方法。

为控制物理接口(不包括被配置为子接口的物理接口)的访问权限，优选地，步骤S6和步骤S8之间还包括以下步骤：

S61：根据所述报文的IP五元组判断预设的三层访问控制列表中是否配置了准许转发所述报文的记录，若有，则执行步骤S7，否则执行步骤S8。

优选地，所述Q个网桥中每个网桥对应的mac地址表的建立过程包括以下步骤：

A1：当前网桥B的某个子接口B_x向当前网桥B的其它子接口和网桥口发送广播报文(即地址解析协议arp报文)，并将所述子接口B_x的子接口号和对应的mac地址作为半地址记录；

A2：若其它子接口中的一个子接口回应了广播报文，则比较所述子接口B_x和回应了广播报文的子接口之间的安全级别，若所述子接口B_x的安全级别较高，则执行步骤A3，否则执行步骤A5；

若网桥口回应了广播报文，则直接执行步骤A4；

A3：将所述回应了广播报文的子接口的子接口号和对应的mac地址加入所述半地址记录中，作为地址记录保存至所述mac地址表中，执行步骤A6；

A4：将所述网桥口的mac地址加入所述半地址记录中，作为地址记录保存至所述mac地址表中，执行步骤A6；

A5：删除所述半地址记录，执行步骤A6；

A6：将所述子接口B_x换为其它子接口中的一个子接口，并返回步骤A1，直至所述当前网桥B的所有子接口均被选择过；

A7：所述当前网桥B的桥接口向所述当前网桥B的所有子接口发送广播报文，并将所述桥接口的mac地址作为半地址记录，若所述当前网桥B的所有子接口中的一个子接口回应了广播报文，将所述回应了广播报文的子接口的子接口号和对应的mac地址加入所述半地址记录中，作为地址记录保存至所述mac地址表中。

在不设置二层访问控制列表时，高安全级别的接口可以向低安全级别的接口发起请求，拒绝低安全级别的接口向高安全级别的接口发起数据传输请求，为控制mac地址表的建立，优选地，所述步骤A2和A5之间还包括以下步骤：

A21：根据所述报文的源mac地址和目的mac地址判断预设的二层访问控制列表中是否配置了准许转发所述报文的记录，若有，则执行步骤A3，否则执行步骤A5。

本发明还公开了一种网络设备实现网桥功能的系统，所述系统：

配置模块，用于当前网络设备中设有Q个网桥，所述网络设备中的每N个物理接口配置为所述Q个网桥中1个网桥的子接口、且所述网络设备还剩余M个物理接口，每个网桥均设有1个对外的网桥口，为每个网桥内的子接口分别分配安全级别，并为每个网桥的网桥口和剩余的M个物理接口分别分配安全级别，其中，N为大于等于2的整数，Q、M为大于等于1的整数；

查找模块，用于若当前网桥V的某个子接口V_x接收到报文时，根据所述报文的源mac地址和目的mac地址查找与所述当前网桥V对应的mac地址表，若未查找到相应的第一地址记录，则直接丢弃所述报文，结束所述方法，否则执行转发模块；

转发模块，用于根据所述第一地址记录判断所述目的mac地址所对应的接口类型，若接口类型为子接口，则执行报文桥内转发处理过程，若接口类型为网桥口，则执行报文桥外转发处理过程。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。

Claims (10)

1.一种网络设备实现网桥功能的方法，其特征在于，所述方法包括以下步骤：

S1：当前网络设备中设有Q个网桥，所述网络设备中的每N个物理接口配置为所述Q个网桥中1个网桥的子接口、且所述网络设备还剩余M个物理接口，每个网桥均设有1个对外的网桥口，为每个网桥内的子接口分别分配安全级别，其中，N为大于等于2的整数，Q、M为大于等于1的整数；

S2：若当前网桥V的某个子接口V_x接收到报文时，根据所述报文的源mac地址和目的mac地址查找与所述当前网桥V对应的mac地址表，若未查找到相应的第一地址记录，则直接丢弃所述报文，结束所述方法，否则执行下一步，所述当前网桥V对应的mac地址表通过所述当前网桥V内的子接口的安全级别建立；

S3：根据所述第一地址记录判断所述目的mac地址所对应的接口类型，若接口类型为子接口，则执行报文桥内转发处理过程，若接口类型为网桥口，则执行报文桥外转发处理过程。

2.如权利要求1所述的方法，其特征在于，步骤S3中所述报文桥内转发处理过程包括以下步骤：

S301：所述报文的IP五元组查找二层快速转发表，若查找到相应的连接记录，则直接将所述报文转发至与所述目的mac地址对应的子接口，否则执行下一步；

S302：比较与所述目的mac地址对应的子接口和所述子接口V_x之间的安全级别，若所述子接口V_x的安全级别较高，则执行步骤S303，否则执行步骤S304；

S303：将所述报文通过与所述目的mac地址对应的子接口进行转发，并将所述报文的IP五元组的连接记录保存至所述二层快速转发表中，结束所述方法；

S304：丢弃所述报文，结束所述方法。

3.如权利要求2所述的方法，其特征在于，步骤S302和步骤S304之间还包括以下步骤：

S3021：根据所述报文的IP五元组判断第一预设的三层访问控制列表中是否配置了准许转发所述报文的记录，若有，则执行步骤S303，否则执行步骤S304。

4.如权利要求1所述的方法，其特征在于，所述当前网络设备为每个网桥的所述网桥口和剩余的M个物理接口分别分配安全级别，步骤S3中所述报文桥外转发处理过程包括以下步骤：

S311：对所述报文进行解析，并进行二层协议头处理；

S312：根据所述报文的IP五元组查找三层快速转发表，若查找到相应的连接记录，则将所述连接记录中的出接口E₁的mac地址作为所述报文的源mac地址及所述连接记录中下一跳网关C₁的mac地址作为所述报文的目的mac地址封装至所述报文的报头中，所述出接口E₁为其它网桥口及剩余的M个物理接口中的一个，当所述出接口E₁为物理接口，则将封装后的报文通过所述出接口E₁进行转发，结束所述方法，当所述出接口E₁为网桥口，则将封装后的报文通过与所述连接记录中的子接口号对应的子接口进行转发，结束所述方法，结束所述方法，若未查找到相应的连接记录，则执行下一步；

S313：根据所述报文的目的IP地址查找路由表，以获得所述报文的出接口E₂的mac地址及下一跳网关C₂的mac地址，所述出接口E₂为其它网桥口及剩余的M个物理接口中的一个，比较所述当前网桥V的网桥口和所述出接口E₂的安全级别，若所述出接口E₂的安全级别较低，则执行步骤S314，否则执行步骤S315；

S314：若所述出接口E₂为物理接口，则将所述出接口E₂的mac地址作为所述报文的源mac地址以及所述下一跳网关C₂的mac地址作为目的mac地址封装至所述报文的报头中，将所述报文的IP五元组、所述出接口E₂的mac地址及下一跳网关C₂的mac地址之间的对应关系保存至所述三层快速转发表中，并将封装后的报文根据所述出接口E₂进行转发，结束所述方法；

若所述出接口E₂为网桥口，则将所述出接口E₂的mac地址作为所述报文的源mac地址以及所述下一跳网关C₂的mac地址作为目的mac地址封装至所述报文的报头中，查询所述出接口E₂所对应网桥的mac地址表，若未查找到相应的第二地址记录，则执行步骤S315，否则，将所述报文的IP五元组、所述出接口E₂的mac地址、所述第二地址记录中的子接口号、下一跳网关C₂的mac地址之间的对应关系保存至所述三层快速转发表中，并将封装后的报文通过与所述子接口号对应的子接口进行转发，结束所述方法；

S315：丢弃所述报文，结束所述方法。

5.如权利要求4所述的方法，其特征在于，步骤S313和步骤S315之间还包括以下步骤：

S3131：根据所述报文的IP五元组判断第二预设的三层访问控制列表中是否配置了准许转发所述报文的记录，若有，则执行步骤S314，否则执行步骤S315。

6.如权利要求1所述的方法，其特征在于，所述当前网络设备为每个网桥的所述网桥口和剩余的M个物理接口分别分配安全级别，步骤S1之后，若当前物理接口接收到报文时，所述当前物理接口为所述剩余的M个物理接口中的一个，则不执行步骤S2，直接执行以下步骤：

S4：对所述报文进行解析，并进行二层协议头处理；

S5：根据所述报文的IP五元组查找三层快速转发表，若查找到相应的连接记录，则将所述连接记录中的出接口E₃的mac地址作为所述报文的源mac地址及所述连接记录中下一跳网关C₃的mac地址作为所述报文的目的mac地址封装至所述报文的报头中，所述出接口E₃为其它网桥口及剩余的M个物理接口中的一个，当所述出接口E₃为物理接口，则将封装后的报文通过所述出接口E₃进行转发，结束所述方法，当所述出接口E₃为网桥口，则将封装后的报文通过与所述连接记录中的子接口号对应的子接口进行转发，结束所述方法，结束所述方法，若未查找到相应的连接记录，则执行下一步；

S6：根据所述报文的目的IP地址查找路由表，以获得所述报文的出接口E₄的mac地址及下一跳网关C₄的mac地址，所述出接口E₄为Q个网桥口及其它物理接口中的一个，比较所述当前物理接口和所述出接口E₄的安全级别，若所述出接口E₄的安全级别较低，则执行步骤S7，否则执行步骤S8；

S7：若所述出接口E₄为物理接口，则将所述出接口E₄的mac地址作为所述报文的源mac地址以及所述下一跳网关C₄的mac地址作为目的mac地址封装至所述报文的报头中，将所述报文的IP五元组、所述出接口E₄的mac地址及下一跳网关C₄的mac地址之间的对应关系保存至所述三层快速转发表中，并将封装后的报文根据所述出接口E₄进行转发，结束所述方法；

若所述出接口E₄为网桥口，则将所述出接口E₄的mac地址作为所述报文的源mac地址以及所述下一跳网关C₄的mac地址作为目的mac地址封装至所述报文的报头中，查询所述出接口E₄所对应网桥的mac地址表，若未查找到相应的第三地址记录，则执行步骤S8，否则，将所述报文的IP五元组、所述出接口E₄的mac地址、所述第三地址记录中的子接口号、下一跳网关C₄的mac地址之间的对应关系保存至所述三层快速转发表中，并将封装后的报文通过与所述子接口号对应的子接口进行转发，结束所述方法；

S8：丢弃所述报文，结束所述方法。

7.如权利要求6所述的方法，其特征在于，步骤S6和步骤S8之间还包括以下步骤：

S61：根据所述报文的IP五元组判断预设的三层访问控制列表中是否配置了准许转发所述报文的记录，若有，则执行步骤S7，否则执行步骤S8。

8.如权利要求1～7中任一项所述的方法，其特征在于，所述Q个网桥中每个网桥对应的mac地址表的建立过程包括以下步骤：

A1：当前网桥B的某个子接口B_x向当前网桥B的其它子接口和网桥口发送广播报文，并将所述子接口B_x的子接口号和对应的mac地址作为半地址记录；

A2：若其它子接口中的一个子接口回应了广播报文，则比较所述子接口B_x和回应了广播报文的子接口之间的安全级别，若所述子接口B_x的安全级别较高，则执行步骤A3，否则执行步骤A5；

若网桥口回应了广播报文，则直接执行步骤A4；

A3：将所述回应了广播报文的子接口的子接口号和对应的mac地址加入所述半地址记录中，作为地址记录保存至所述mac地址表中，执行步骤A6；

A4：将所述网桥口的mac地址加入所述半地址记录中，作为地址记录保存至所述mac地址表中，执行步骤A6；

A5：删除所述半地址记录，执行步骤A6；

A6：将所述子接口B_x换为其它子接口中的一个子接口，并返回步骤A1，直至所述当前网桥B的所有子接口均被选择过；

A7：所述当前网桥B的桥接口向所述当前网桥B的所有子接口发送广播报文，并将所述桥接口的mac地址作为半地址记录，若所述当前网桥B的所有子接口中的一个子接口回应了广播报文，将所述回应了广播报文的子接口的子接口号和对应的mac地址加入所述半地址记录中，作为地址记录保存至所述mac地址表中。

9.如权利要求8所述的方法，其特征在于，所述步骤A2和A5之间还包括以下步骤：

A21：根据所述报文的源mac地址和目的mac地址判断预设的二层访问控制列表中是否配置了准许转发所述报文的记录，若有，则执行步骤A3，否则执行步骤A5。

10.一种网络设备实现网桥功能的系统，其特征在于，所述系统：

配置模块，用于当前网络设备中设有Q个网桥，所述网络设备中的每N个物理接口配置为所述Q个网桥中1个网桥的子接口、且所述网络设备还剩余M个物理接口，每个网桥均设有1个对外的网桥口，为每个网桥内的子接口分别分配安全级别，其中，N为大于等于2的整数，Q、M为大于等于1的整数；

查找模块，用于若当前网桥V的某个子接口V_x接收到报文时，根据所述报文的源mac地址和目的mac地址查找与所述当前网桥V对应的mac地址表，若未查找到相应的第一地址记录，则直接丢弃所述报文，结束所述系统，否则执行转发模块，所述当前网桥V对应的mac地址表通过所述当前网桥V内的子接口的安全级别建立；

转发模块，用于根据所述第一地址记录判断所述目的mac地址所对应的接口类型，若接口类型为子接口，则执行报文桥内转发处理过程，若接口类型为网桥口，则执行报文桥外转发处理过程。

Images