CN105577399A - 一种网络设备的访问控制列表管理方法和装置 - Google Patents

Abstract

本发明公开了一种网络设备的访问控制列表管理方法，包括：根据预设的扩展标记语言XML标记语言字典，将访问控制策略以XML的数据节点的集合描述；利用所述XML的数据节点的集合，生成与访问控制列表相对应的XML文件；将所述XML文件存储为所述网络设备的配置文件。本发明还同时公开了一种网络设备的访问控制列表管理装置。

Description

一种网络设备的访问控制列表管理方法和装置

技术领域

本发明涉及网络数据传输领域，尤其涉及一种网络设备的访问控制列表(AccessControlList，ACL)管理方法和装置。

背景技术

在网络技术快速发展的今天，网络规模不断扩大，网络上对于各种功能需求也不断增加，这些功能需求的增加，势必对网络设备的实现、管理提出了更高的要求。

ACL作为路由器和交换机接口的指令列表，用来控制端口进出的数据包。这些指令列表用来告诉路由器或交换机哪些数据包可以接收、哪些数据包需要拒绝。至于数据包是被接收还是拒绝，可以由类似于源地址、目的地址、端口号等的特定指示条件来决定。这种指令列表功能强大、灵活，不但可以起到控制网络流量、流向的作用，也越来越多地作为辅助手段，用于实现网络设备内部复杂的功能。通常，将用于实现网络设备内部复杂的功能的ACL称为内部ACL，将网络设备用户配置的ACL称为用户ACL。当前，管理网络设备中ACL主要通过向网络设备输入访问控制列表系列命令，达到配置、查询、修改或删除ACL的目的，其过程繁琐、不直观、容易出错，且很难发现检查和发现操作中的错误；而一旦不慎配置错误的一条ACL规则，都可导致重要业务的异常，甚至中断。因此，迫切需要一种简单直观的ACL管理方式。

发明内容

为解决现有存在的技术问题，本发明实施例期望提供一种网络设备的访问控制列表管理方法和装置，能简单直观的配置并维护网络设备的ACL。

本发明实施例的技术方案是这样实现的：

本发明实施例提供一种网络设备的访问控制列表管理方法，该方法包括：

根据预设的扩展标记语言XML标记语言字典，将访问控制策略以XML的数据节点的集合描述；

利用所述XML的数据节点的集合，生成与访问控制列表相对应的XML文件；

将所述XML文件存储为所述网络设备的配置文件。

上述方案中，所述XML的数据节点：存在一个以上的层次。

上述方案中，所述XML的数据节点包括：

外层节点为ACL规则节点，表示该标记对中的内容为一条访问控制规则；

次外层节点被包含在外层的ACL规则节点中，分为两种：一种是数据匹配节点，用于描述数据报文信息类型；一种是动作匹配节点，用于描述针对上述类型的数据报文的动作策略；

次内层节点被包含在次外层节点中，用于具体描述访问控制规则中的数据或动作，分为两类：数据节点和动作节点，在预设的XML标记语言字典中，每一类数据报文信息对应一个标记对，每一类动作对应的一个标记/标记对；

内层节点被包含在次内层节点中，为参数节点，用于描述数据节点或动作节点涉及的具体参数，其中X是正整数变量，根据参数的排序而定。

上述方案中，将所述XML文件存储为所述网络设备的配置文件后，所述方法还包括：

根据预设的XML标记语言字典，解析所述XML文件，获取所述访问控制列表对应的设备驱动层编码。

上述方案中，在将访问控制策略以扩展标记语言XML的数据节点的集合描述之前，所述方法还包括：

解析用户输入的访问控制列表配置信息，获取所述访问控制策略。

本发明实施例还提供一种网络设备的访问控制列表管理装置，该装置包括：节点生成模块、文件生成模块和文件存储模块；其中，

节点生成模块，用于根据预设的XML标记语言字典，将访问控制策略以XML的数据节点的集合描述；

文件生成模块，用于利用所述XML的数据节点的集合，生成与访问控制列表相对应的XML文件；

文件存储模块，用于将所述XML文件存储为所述网络设备的配置文件。

上述方案中，所述XML的数据节点包括四层，所述节点生成模块包括：

外层生成单元，用于生成外层节点，所述外层节点为ACL规则节点，表示该标记对中的内容为一条访问控制规则；

次外层生成单元，用于生成次外层节点，所述次外层节点被包含在外层的ACL规则节点中，分为两种：一种是数据匹配节点，用于描述数据报文信息类型；一种是动作匹配节点，用于描述针对上述类型的数据报文的动作策略；

次内层生成单元，用于生成次内层节点，所述次内层节点被包含在次外层节点中，用于具体描述访问控制规则中的数据或动作，分为两类：数据节点和动作节点，在预设的XML标记语言字典中，每一类数据报文信息对应一个标记对，每一类动作对应的一个标记/标记对；

内层节点生成单元，用于生成内层节点，所述内层节点被包含在次内层节点中，为参数节点，用于描述数据节点或动作节点涉及的具体参数，其中X是正整数变量，根据参数的排序而定。

上述方案中，所述装置还包括：

编码获取模块，用于将所述XML文件存储为所述网络设备的配置文件后，根据预设的XML标记语言字典，解析所述XML文件，获取所述访问控制列表对应的设备驱动层编码。

上述方案中，所述装置还包括：

策略解析模块，用于解析用户输入的访问控制列表配置信息，获取所述访问控制策略。

本发明实施例所提供的网络设备的访问控制列表管理方法和装置，通过对ACL进行结构化抽象，建立描述ACL的XML标记语言字典，从而将网络设备的ACL以XML文件的形式存储，为直观、方便的管理网络设备的ACL提供了基础。

附图说明

图1为本发明实施例提供的网络设备访问控制列表管理方法的实现流程示意图；

图2为本发明实施例提供的访问控制规则对应的XML数据节点的层次结构示意图；

图3为本发明实施例中一条访问控制规则以XML数据节点描述的示例；

图4为本发明实施例提供的网络设备访问控制列表管理装置的组成结构示意图。

具体实施方式

为了更清楚地说明本发明实施例和技术方案，下面将结合附图及实施例对本发明的技术方案进行更详细的说明，显然，所描述的实施例是本发明的一部分实施例，而不是全部实施例。基于本发明的实施例，本领域普通技术人员在不付出创造性劳动性的前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明实施例中，网络设备的访问控制策略指的该设备访问控制规则的集合，其中包括网络设备的开发人员希望通过内部ACL实现的网络设备的访问控制规则和网络设备的用户希望通过用户ACL实现的网络设备的访问控制规则。

为了能够使用XML来描述ACL，需对ACL进行结构化抽象，进而对访问控制策略的访问控制规则进行结构化抽象，将ACL抽象为一种设备内普适的规则化描述结构。在此基础上，建立描述ACL的XML标记语言字典，该字典中包括所有出现在XML文件中用于描述ACL的标记。对ACL的结构化抽象和XML标记语言字典包括的具体内容在以下实施例中详细介绍。

图1为本发明实施例提供的网络设备的访问控制列表管理方法的实现流程示意图，如图1所示，该方法包括：

步骤101，根据预设的XML标记语言字典，将访问控制策略以XML的数据节点的集合描述；

具体的，根据预设的XML标记语言字典，将访问控制策略中的访问控制规则逐条以XML的数据节点进行描述，从而生成描述访问控制策略的XML数据节点集合。

进一步的，本步骤中的XML数据节点存在一个以上的层次，以更清晰更完整的描述访问控制规则。

在一个实施例中，用以描述访问控制规则的XML数据节点可分为四层，如图2所示，自外而内分别是：

外层为ACL规则节点，在预设的XML标记语言字典中，以标记对“<entry>，</entry>”标识，表示该标记对中的内容为一条访问控制规则。

次外层节点被包含在外层的ACL规则节点中，分为两种：一种是数据匹配节点，在预设的XML标记语言字典中，以标记对“<qualifier>，</qualifier>”标识，用于描述数据报文信息类型；一种是动作匹配节点，在预设的XML标记语言字典中，以标记对“<action>，</action>”标识，用于描述针对上述类型的数据报文的动作策略，其中的动作策略可以是丢弃、上送CPU等动作；标记对“<qualifier>，</qualifier>”和标记对“<action>，</action>”都出现在标记对“<entry>，</entry>”中。

次内层节点被包含在次外层节点中，用于具体描述访问控制规则中的数据或动作，分为两类：数据节点和动作节点。在预设的XML标记语言字典中，每一类数据报文信息对应一个标记对，例如：“<DstMac>，</DstMac>”用于标记目的MAC地址信息、“<EherType>，</EherType>”用于标记以太网类型信息，此类标记对所标记的节点为数据节点，为数据匹配节点的子节点，都出现在标记对“<qualifier>，</qualifier>”中，这里，一个数据匹配节点中可包括多个数据节点；每一类动作对应的一个标记/标记对，例如：丢弃动作对应<Drop/>、上送CPU动作对应“<CopyToCpu>，</CopyToCpu>”，此类标记/标记对所标记的节点为动作节点，都出现在标记对“<action>，</action>”中，一个动作匹配节点中可包含多个动作节点。

内层节点被包含在次内层节点中，为参数节点，在预设的XML标记语言字典中，以标记对“<paramX>，</paramX>”标识，用于描述数据节点或动作节点涉及的具体参数，其中X是正整数变量，根据参数的排序而定，如当X＝1时，标记对“<param1>，</param1>”用于描述第一参数的信息。通常，数据节点下都包含参数节点，而动作节点下不一定包含有参数节点，根据动作特点而定。

显然，XML数据节点可以不同于上述实施例中的四层结构，可根据访问控制规则的具体情况，增加或减少XML数据节点的层次结构。

图3为本发明实施例中一条访问控制规则以XML数据节点描述的示例，如图3所示，该数据节点中包含一个ACL规则节点，即标记对“<entry>，</entry>”标记一条访问控制规则；其中，

标记对“<qualifier>，</qualifier>”标记该规则中的匹配数据节点，在该节点下包含“DstMac”、“EtherType”两类数据报文信息；其中，

“<DstMac>，</DstMac>”用于标记数据报文中目的mac字段的信息，该目的mac字段又进一步含有“Param1”和“Param2”两个数据参数节点：“<param1>，</param1>”标记目的MAC地址的具体值，“<param2>，</param2>”标记目的MAC地址的掩码数据；

“<EherType>，</EherType>”用来标记数据报文中以太网类型字段，同样该节点也包含参数节点“Param1”和“Param2”，用来精确匹配该类型字段的相关位域；

标记对“<action>，</action>”该规则中针对符合上述类型的数据报文需要采取的动作，该动作匹配节点中包括三个动作节点：“CopyToCpu”、“CosQCpuNew”和“Drop”；其中，

“<CopyToCpu/>”用于标记将上述类型的数据报文复制一份到CPU的动作；

“<CosQCpuNew>,</CosQCpuNew>”标记对用于表示将上述类型的数据报文指定给CPU的具体队列，该动作节点下包含有一个参数节点“Param1”，用以标记具体的CPU队列号；

“<Drop/>”用于标记丢弃原来的数据报文。

因此，图3示例的访问控制规则表示：将目的MAC地址为设定值或以太网类型为设定值的数据报文只上送到CPU的指定队列中而不进行转发。

步骤102，利用所述XML的数据节点的集合，生成与所述网络设备访问控制列表相对应的XML文件；

具体的，在预设的XML标记语言字典中，以标记对“<ACL>，</ACL>”标识ACL节点，用以描述网络设备的访问控制列表(ACL)，显然，一个ACL节点可以包含n(n≥0，n为整数)个ACL规则节点，即标记对“<ACL>，</ACL>”在标记对“<entry>，</entry>”的外层。同一个ACL节点内的一个以上的ACL规则节点，按照优先级的降序从上到下排列，即优先级最高的ACL节点排在第一位，依次类推，将按照步骤101方法获取的访问控制策略所对应的XML数据节点都排列在ACL节点内后，即生成与所述网络设备访问控制列表相对应的XML文件。

步骤103，将所述XML文件存储为所述网络设备的配置文件。

具体的，将步骤102中生成的XML文件作为所述网络设备的配置文件存储，以便后续通过该XML格式的配置文件管理或执行所述网络设备访问控制列表。

采用上述实施例提供的访问控制列表管理方法，通过对ACL进行结构化抽象，建立描述ACL的XML标记语言字典，从而将网络设备的ACL以XML文件的形式存储，为直观、方便的管理网络设备的ACL提供了基础。

进一步的，在将描述ACL的XML文件存储为网络设备的配置文件后，为了使网络设备执行访问控制策略，还需要根据预设的XML标记语言字典，解析XML文件，获取访问控制列表对应的设备驱动层编码；具体包括：

步骤A，获取描述ACL的XML文件；即根据设备路径配置，读取XML配置文件。

步骤B，根据XML文件中标记信息，对照预设的XML标记语言字典，获取XML文件中的数据节点。

步骤C，分析所述数据节点，对照预设的XML标记语言字典，逐条获取访问控制规则所对应的设备驱动层编码。

具体的，在一个实施例中，经过上述步骤A和步骤B获取到如图3所示的一个ACL规则节点，该ACL规则节点包括一个数据匹配节点和一个动作匹配节点，该数据匹配节点包括数据节点“DstMac”和“EtherType”，该动作匹配节点包括动作节点“CopyTocpu”、“CosQCpuNew”和“Drop”，其中“DstMac”、“EtherType”和“CosQCpuNew”还包含有参数节点。经过对照预设的XML标记语言字典，可知：“DstMac”对应的驱动层功能编码为100，“EtherType”对应的驱动层功能编码为101，“CopyTocpu”对应的驱动层动作编码为10、“CosQCpuNew”对应的驱动层动作编码为11，“Drop”对应的驱动层动作编码为12；再通过进一步解析参数节点中的数据，如：将字符串类型转化为数值类型，获取具体的参数值，从而可获取到这条访问控制规则所对应的设备驱动层编码为：100xxxxxxxxxxxx101xxxxxxxxxxxx1011xxxxxx12。

此外，对于内部ACL，网络设备的开发人员可根据上述预设的XML标记语言字典，直接将ACL编写成XML文件，作为网络设备的配置文件存储，而对于用户ACL，需要获取用户输入的ACL。用户输入ACL通常有两种方式：一种是用户通过网络设备的命令行交互界面输入ACL配置命令；一种是用户通过网络设备的图形交互界面，通过选择菜单、输入参数和点选按钮等方式输入ACL的配置信息。经过人机交互技术的不断进步，用户还可能有许多其他方式输入ACL配置信息。无论用户以什么方式输入ACL配置信息，都可通过解析用户输入的ACL配置信息，获取访问控制策略，进而根据预设的XML标记语言字典，将ACL配置信息以XML文件进行描述和存储。因此，上述访问控制列表管理方法，在将访问控制策略以扩展标记语言XML的数据节点的集合描述之前，还可包括：

解析用户输入的ACL配置信息，获取所述访问控制策略。

图4是本发明实施例提供的网络设备的访问控制列表管理装置的组成结构示意图，如图4所示，该访问控制列表管理装置包括：节点生成模块41、文件生成模块42和文件存储模块43；其中，

节点生成模块41，用于根据预设的XML标记语言字典，将访问控制策略以XML的数据节点的集合描述；

文件生成模块42，用于利用所述XML的数据节点的集合，生成与访问控制列表相对应的XML文件；

文件存储模块43，用于将所述XML文件存储为所述网络设备的配置文件。

进一步的，上述访问控制列表管理装置中，当XML的数据节点包括四层时，节点生成模块41包括：

外层生成单元，用于生成外层节点，所述外层节点为ACL规则节点，表示该标记对中的内容为一条访问控制规则；

次外层生成单元，用于生成次外层节点，所述次外层节点被包含在外层的ACL规则节点中，分为两种：一种是数据匹配节点，用于描述数据报文信息类型；一种是动作匹配节点，用于描述针对上述类型的数据报文的动作策略；

次内层生成单元，用于生成次内层节点，所述次内层节点被包含在次外层节点中，用于具体描述访问控制规则中的数据或动作，分为两类：数据节点和动作节点，在预设的XML标记语言字典中，每一类数据报文信息对应一个标记对，每一类动作对应的一个标记/标记对；

内层节点生成单元，用于生成内层节点，所述内层节点被包含在次内层节点中，为参数节点，用于描述数据节点或动作节点涉及的具体参数，其中X是正整数变量，根据参数的排序而定。

进一步的，为了使网络设备执行访问控制列表，上述访问控制列表管理装置还包括：

编码获取模块，用于将所述XML文件存储为所述网络设备的配置文件后，根据预设的XML标记语言字典，解析所述XML文件，获取所述访问控制列表对应的设备驱动层编码。

进一步的，为获取用户配置的访问控制策略，上述访问控制列表管理装置还包括：

策略解析模块，用于解析用户输入的访问控制列表配置信息，获取所述访问控制策略。

上述各个模块及各个单元在实际应用中，均可由位于网管设备中的中央处理器(CPU)、微处理器(MPU)、数字信号处理器(DSP)、或现场可编程门阵列(FPGA)实现。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用硬件实施例、软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (9)

1.一种网络设备的访问控制列表管理方法，其特征在于，所述方法包括：

根据预设的扩展标记语言XML标记语言字典，将访问控制策略以XML的数据节点的集合描述；

利用所述XML的数据节点的集合，生成与访问控制列表相对应的XML文件；

将所述XML文件存储为所述网络设备的配置文件。

2.根据权利要求1所述的访问控制列表管理方法，其特征在于，所述XML的数据节点：存在一个以上的层次。

3.根据权利要求1或2所述的访问控制列表管理方法，其特征在于，所述XML的数据节点包括：

外层节点为ACL规则节点，表示该标记对中的内容为一条访问控制规则；

次外层节点被包含在外层的ACL规则节点中，分为两种：一种是数据匹配节点，用于描述数据报文信息类型；一种是动作匹配节点，用于描述针对上述类型的数据报文的动作策略；

次内层节点被包含在次外层节点中，用于具体描述访问控制规则中的数据或动作，分为两类：数据节点和动作节点，在预设的XML标记语言字典中，每一类数据报文信息对应一个标记对，每一类动作对应的一个标记/标记对；

内层节点被包含在次内层节点中，为参数节点，用于描述数据节点或动作节点涉及的具体参数，其中X是正整数变量，根据参数的排序而定。

4.根据权利要求1所述的访问控制列表管理方法，其特征在于，将所述XML文件存储为所述网络设备的配置文件后，所述方法还包括：

根据预设的XML标记语言字典，解析所述XML文件，获取所述访问控制列表对应的设备驱动层编码。

5.根据权利要求1所述的访问控制列表管理方法，其特征在于，在将访问控制策略以扩展标记语言XML的数据节点的集合描述之前，所述方法还包括：

解析用户输入的访问控制列表配置信息，获取所述访问控制策略。

6.一种网络设备的访问控制列表管理装置，其特征在于，所述装置包括：节点生成模块、文件生成模块和文件存储模块；其中，

节点生成模块，用于根据预设的XML标记语言字典，将访问控制策略以XML的数据节点的集合描述；

文件生成模块，用于利用所述XML的数据节点的集合，生成与访问控制列表相对应的XML文件；

文件存储模块，用于将所述XML文件存储为所述网络设备的配置文件。

7.根据权利要求6所述的访问控制列表管理装置，其特征在于，所述XML的数据节点包括四层，所述节点生成模块包括：

外层生成单元，用于生成外层节点，所述外层节点为ACL规则节点，表示该标记对中的内容为一条访问控制规则；

次外层生成单元，用于生成次外层节点，所述次外层节点被包含在外层的ACL规则节点中，分为两种：一种是数据匹配节点，用于描述数据报文信息类型；一种是动作匹配节点，用于描述针对上述类型的数据报文的动作策略；

次内层生成单元，用于生成次内层节点，所述次内层节点被包含在次外层节点中，用于具体描述访问控制规则中的数据或动作，分为两类：数据节点和动作节点，在预设的XML标记语言字典中，每一类数据报文信息对应一个标记对，每一类动作对应的一个标记/标记对；

内层节点生成单元，用于生成内层节点，所述内层节点被包含在次内层节点中，为参数节点，用于描述数据节点或动作节点涉及的具体参数，其中X是正整数变量，根据参数的排序而定。

8.根据权利要求6所述的访问控制列表管理装置，其特征在于，所述装置还包括：

编码获取模块，用于将所述XML文件存储为所述网络设备的配置文件后，根据预设的XML标记语言字典，解析所述XML文件，获取所述访问控制列表对应的设备驱动层编码。

9.根据权利要求6所述的访问控制列表管理装置，其特征在于，所述装置还包括：

策略解析模块，用于解析用户输入的访问控制列表配置信息，获取所述访问控制策略。