CN105791107A - 一种acl规则的配置方法、匹配方法及相关装置 - Google Patents

Abstract

本发明提供一种ACL规则的配置方法、匹配方法及相关装置，涉及通信领域。配置方法包括：为接入网设备各个出方向物理端口配置接口组ID；其中，需要配置同一条ACL规则的出方向物理接口具有同一接口组ID；在ACL规则的匹配字段中加入该ACL规则需要配置到的出方向物理端口所对应的接口组ID；将匹配字段添加完成的ACL规则导入到所述接入网设备，使得所述接入网设备在对接收到的数据包进行过滤时，能够将该数据包中的目的出方向物理端口转换为对应的接口组ID，并根据该转换的接口组ID，匹配到相应的ACL规则。本发明的方案能有较少接入网设备所保存的ACL规则总数，从而提高接入网设备处理数据包的速度。

Description

一种ACL规则的配置方法、匹配方法及相关装置

技术领域

本发明涉及通信领域，特别是一种ACL规则的配置方法、匹配方法及相关装置。

背景技术

目前，接入网设备中都会配置有ACL(AccessControlList，访问控制列表)。ACL中保存有ACL规则，用于实现数据包的过滤功能。即，ACL规则一般有两种，一种是拦截功能，用于直接将数据包进行丢弃；另一种是转发功能，允许数据包在对应的物理端口上进行收发。

具体地，接入网设备配置的每条ACL规则都会有匹配字段(可自定义设置)，交换网设备在接收到数据包后，根据数据包携带信息，与已经配置的ACL规则进行匹配，若数据包携带信息与ACL规则中的匹配字段具有匹配关系，则按照相关策略执行该ACL规则，以决定数据包时丢弃还是转发。

受目前ACL芯片的功能限制，出方向的物理端口不能共享相同的ACL规则。由于ACL的匹配字段不支持设置多个物理端口的ID，因此，假设有10条ACL规则需要同时配置在8个物理端口上，则必需为8个物理端口分别设置10条ACL规则。

由此可见，现有接入网设备所保存的ACL规则总量过多，这样一来，一是延长了ACL规则遍历时间，降低了接入网设备响应ACL规则的速度；二是占用了过多的存储空间。

发明内容

本发明要解决的技术问题是提供一种ACL规则的配置方法、匹配方法及相关装置，能够有效减小接入网设备需要配置的ACL规则总数。

为解决上述技术问题，本发明的实施例提供一种访问控制列表ACL的配置方法，包括：

为接入网设备各个出方向物理端口配置接口组ID；其中，需要配置同一条ACL规则的出方向物理接口具有同一接口组ID；

在ACL规则的匹配字段中加入该ACL规则需要配置到的出方向物理端口所对应的接口组ID；

将匹配字段添加完成的ACL规则导入到所述接入网设备，使得所述接入网设备在对接收到的数据包进行过滤时，能够将该数据包中的目的出方向物理端口转换为对应的接口组ID，并根据该转换的接口组ID，匹配到相应的ACL规则。

其中，所述配置方法还包括：

针对需要取消ACL规则的物理接口，删除该物理接口已配置的对应于需要取消的ACL规则的接口组ID。

其中，所述配置方法还包括：

针对需要添加ACL规则的物理接口，为该物理接口配置对应于需要添加的ACL规则的接口组ID。

其中，为接入网设备出方向的物理端口配置接口组ID，包括：

通过修改接入网设备的物理端口列表，为出方向物理端口配置接口组ID。

此外，本发明的另一实施例还提供一种访问控制列表ACL规则的配置装置，包括：

配置模块，用于为接入网设备各个出方向物理端口配置接口组ID；其中，需要配置同一条ACL规则的出方向物理接口具有同一接口组ID；

匹配添加模块，用于在ACL规则的匹配字段中加入该ACL规则需要配置到的出方向物理端口所对应的接口组ID；

导入模块，用于将匹配字段添加完成的ACL规则导入到所述接入网设备，使得所述接入网设备在对接收到的数据包进行过滤时，能够将该数据包中的目的出方向物理端口转换为对应的接口组ID，并根据该转换的接口组ID，匹配到相应的ACL规则。

其中，所述配置装置还包括：

规则删除模块，用于针对需要取消ACL规则的物理接口，删除该物理接口已配置的对应于需要取消的ACL规则的接口组ID。

其中，所述配置装置还包括：

规则添加模块，用于针对需要添加ACL规则的物理接口，为该物理接口配置对应于需要添加的ACL规则的接口组ID。

其中，所述配置模块具体通过修改接入网设备的物理端口列表，为出方向物理端口配置接口组ID。

此外，本发明的实施例还提供一种访问控制列表ACL规则的匹配方法，包括：

接入网设备接收数据包；

接入网设备根据所述数据包中的目标出方向物理端口，转换为一对应的接口组ID；其中，配置同一条ACL规则的出方向物理接口对应有同一接口组ID；

接入网设备根据该接口组ID，在已配置的ACL规则中进行匹配查找，确定出具有与该接口组ID相同匹配字段的ACL规则。

此外，本发明的实施例还提供一种接入网设备，包括：

接收模块，用于接收数据包；

转换模块，用于根据所述数据包中的目标出方向物理端口，转换为一接口组ID；其中，配置同一条ACL规则的出方向物理接口具有同一接口组ID；

匹配查找模块，用于根据该接口组ID，在已配置的ACL规则中进行匹配查找，确定出具有与该接口组ID相同匹配字段的ACL规则。

本发明的上述技术方案的有益效果如下：

在本实施例的方案中，对同一ACL规则下的多个物理端口引入同一接口组ID，并在ACL规则的匹配字段加入对应的接口组ID后，导入至接入网设备中，使得接入网设备能够在对接收到的数据包进行过滤时，根据数据包中的物理端口转换成接口组ID，并根据该接口组ID对已配置的所有ACL规则进行匹配查找，确定出对应的ACL规则并执行。可见，本实施例的方法使多个物理端口共享一个ACL规则，从而能够有效减小接入网设备需要配置的ACL规则总数。进一步地，由于ACL规则总数的减少，使得接入网设备在进行ACL规则的匹配查找的耗时更短，从而提高了数据包的处理速度。

附图说明

图1为本发明的ACL规则的配置方法的步骤示意图；

图2为本发明的ACL规则的匹配方法的步骤示意图；

图3为实施本发明的ACL规则的配置方法的流量示意图；

图4为现有技术进行ACL规则配置的示意图；

图5为采用本发明的ACL规则的配置方法，进行ACL规则配置的示意图；

图6为本发明的ACL规则的配置装置的结构示意图；

图7为本发明的ACL规则的匹配装置的结构示意图。

具体实施方式

为使本发明要解决的技术问题、技术方案和优点更加清楚，下面将结合附图及具体实施例进行详细描述。

如图1所示，本发明的实施例提供一种访问控制列表ACL的配置方法，包括：

步骤11，为接入网设备各个出方向物理端口配置接口组ID；其中，需要配置同一条ACL规则的出方向物理接口具有同一接口组ID；

步骤12，在ACL规则的匹配字段中加入该ACL规则需要配置到的出方向物理端口所对应的接口组ID；

步骤13，将匹配字段添加完成的ACL规则导入到所述接入网设备；

在本实施例的方法中，对同一ACL规则下的多个物理端口引入同一接口组ID，并在ACL规则的匹配字段加入对应的接口组ID后，导入至接入网设备中，使得接入网设备能够在对接收到的数据包进行过滤时，根据数据包中的物理端口转换成接口组ID，并根据该接口组ID对已配置的所有ACL规则进行匹配查找，确定出对应的ACL规则并执行。可见，本实施例的方法使多个物理端口共享一个ACL规则，从而能够有效减小接入网设备需要配置的ACL规则总数。进一步地，由于ACL规则总数的减少，使得接入网设备在进行ACL规则的匹配查找的耗时更短，从而提高了数据包的处理速度。

此外，针对需要取消ACL规则的物理接口，只需要删除该物理接口已配置的对应于需要取消的ACL规则的接口组ID。

同理，针对需要添加ACL规则的物理接口，只需要为该物理接口配置对应于需要添加的ACL规则的接口组ID。

此外，在上述步骤11中，可通过修改接入网设备的物理端口列表，为出方向物理端口配置接口组ID。

此外，本发明另一实施例中，还提供一种ACL规则的匹配方法，如图2所示，包括：

步骤21，接入网设备接收数据包；

步骤22，接入网设备根据所述数据包中的目标出方向物理端口，转换为一对应的接口组ID；其中，配置同一条ACL规则的出方向物理接口对应有同一接口组ID；

步骤23，接入网设备根据该接口组ID，在已配置的ACL规则中进行匹配查找，确定出具有与该接口组ID相同匹配字段的ACL规则。

下面以一个实现方式对本发明的ACL规则的配置方法以及匹配方法进行详细介绍：

如图3所示，首先根据网络接收策略，自定义各出方向端口所需要的ACL规则；在本实现方式中，假设出方向端口物理端口有4个，即端口1、2、3、4；ACL规则有2个，即ACL1、2。其中，ACL1设置在端口1、2、3、4上，ACL2设置在端口1、2上。

之后，进入接入设备的物理端口列表，配置物理端口1-4的属性(即接口组ID)。示例性地，配置后的物理端口列表如表一所示：

端口ID	接口组ID
		端口1	Group1、Group 2
端口2	Group 1、Group 2
		端口3	Group 1
端口4	Group 1

表一

假设将ACL1下的各端口配置的接口组ID为Group1，ACL2下的各端口配置的接口组ID为Group2，通过表一可以知道，接入设备实际保存了各端口与接口组ID的对应关系。

之后将Group1加入ACL1的匹配字段，将Group2加入ACL2的匹配字段。这里需要说明的是，现有技术中，ACL1的匹配字段可能会不止一个，本方案只是在原有匹配字段基础之上添加了接口组ID。

之后，将匹配字段添加后的ACL1和ACL2导入至接入网设备的ACL表格中，使ACL1下发到Group1(端口1-4共享此ACL1资源)，以及ACL2下发到Group2(端口1、2共享此ACL2资源)。

当然，如果生效后想删除端口4上已配置的ACL1，则可直接删掉物理端口列表中，端口4所对应的Group1属性。同理，后续如果想在端口4上添加ACL2，则可在物理端口列表中，对应端口4上添加Group2属性。

对应的，在ACL规则配置完成后，接入网设备若接收到某一数据包后，根据该数据包中的目的端口确定出对应的端口ID。假设在本实现方式中，接收网设备接收一目的端口为端口2的数据包，则将该端口2转换为对应的接口组ID：Group1和Group2，之后基于该“Group1”和“Group2”字段对本地已存储的所有ACL规则进行匹配查找，最终确定出匹配字段为Group1的ACL1，以及匹配字段为Group2的ACL2，并根据相应的处理策略执行ACL1以及ACL2的命令。当然，在实际过程中，由于ACL匹配字段可能不仅仅只有接口组ID，因此在执行匹配查找时，不一定仅仅以Group1和Group2作为匹配查找的依据。

以ACL1为例，采用原有的方法，需要对端口1-4分配一ACL1，即，端口1对应的ACL1的匹配字段包括端口1的ID，端口2的ACL1的匹配字段包括端口2的ID，……。在导入接入网设备时，需要将这4个ACL1全部进行存储，即ACL1规则保存的表项如表二所示：

ACL1	匹配字段为端口1的ID

ACL1	匹配字段为端口2的ID
		ACL1	匹配字段为端口3的ID
ACL1	匹配字段为端口4的ID

表二

而采用本实施例的方案，接入网设备只需要保存一个匹配字段包含有Group1的ACL1即可，即ACL1规则保存的表项如表三所示：

ACL1	匹配字段为Group 1

表三

通过对表二和表三进行对比可以知道：本发明的方案可以有效减小接入网设备所存储的ACL规则表项。

下面对本实施例的有益效果进行详细介绍。

在现有方案中，将一条ACL规则部署到某物理端口时，需要把物理端口作为ACL的匹配字段。以配置1024条ACL规则为例，将这些Rule(规则)部署到物理端口1～10的过程如图4所示：

下发Rule-1到物理端口1(设置匹配字段为物理端口1)；

下发Rule-1到物理端口2(设置匹配字段为物理端口2)；

下发Rule-1到物理端口9(设置匹配字段为物理端口9)；

下发Rule-1到物理端口10(设置匹配字段为物理端口10)；

下发Rule-2到物理端口1(设置匹配字段为物理端口1)；

下发Rule-2到物理端口2(设置匹配字段为物理端口2)；

下发Rule-2到物理端口9(设置匹配字段为物理端口9)；

下发Rule-2到物理端口10(设置匹配字段为物理端口10)；

……

下发Rule-1023到物理端口1(设置匹配字段为物理端口1)；

下发Rule-1023到物理端口2(设置匹配字段为物理端口2)；

下发Rule-1023到物理端口9(设置匹配字段为物理端口9)；

下发Rule-1023到物理端口10(设置匹配字段为物理端口10)；

下发Rule-1024到物理端口1(设置匹配字段为物理端口1)；

下发Rule-1024到物理端口2(设置匹配字段为物理端口2)；

下发Rule-1024到物理端口9(设置匹配字段为物理端口9)；

下发Rule-1024到物理端口10(设置匹配字段为物理端口10)。

根据上面的配置过程可知，现有的部署方案共需要1024*10个硬件表项，在端口较多的交换机设备中，需要占用大量的硬件表项资源，容易引起设备ACL硬件资源耗尽。

本发明提出一种实现ACL硬件资源共享的技术方案，在现有的芯片支持接口组配置的基础上，首先将需要部署ACL的所有物理端口加入接口组，然后将该接口组属性值作为一个匹配字段下发到ACL硬件资源，有别于传统方案中以物理端口作为匹配字段的方式，从而实现出方向ACL硬件资源共享。

在本发明方案中，同样以配置1024条ACL规则为例，将这些Rule部署到物理端口1～10，首先定义配置接口组1，然后分别将物理端口1～10加入此接口组1,最后下发芯片中，过程如图5所示：

下发Rule-1到接口组1(设置匹配字段为接口组属性值1,物理端口1～10共享此硬件资源)；

下发Rule-2到接口组1(设置匹配字段为接口组属性值1,物理端口1～10共享此硬件资源)；

……

下发Rule-1023到接口组1(设置匹配字段为接口组属性值1,物理端口1～10共享此硬件资源)；

下发Rule-1024到接口组1(设置匹配字段为接口组属性值1,物理端口1～10共享此硬件资源)。

由上面的配置过程可知，使用本方案只需要1024个硬件表项，因此本方案可以节约大量ACL硬件表项资源，进而能保证多端口部署时ACL的规格。

此外，本发明的另一实施例还提供一种ACL规则的配置装置，如图3所示，包括：

配置模块，用于为接入网设备各个出方向物理端口配置接口组ID；其中，需要配置同一条ACL规则的出方向物理接口具有同一接口组ID；

匹配添加模块，用于在ACL规则的匹配字段中加入该ACL规则需要配置到的出方向物理端口所对应的接口组ID；

导入模块，用于将匹配字段添加完成的ACL规则导入到所述接入网设备，使得所述接入网设备在对接收到的数据包进行过滤时，能够将该数据包中的目的出方向物理端口转换为对应的接口组ID，并根据该转换的接口组ID，匹配到相应的ACL规则。

其中，所述装置还包括：

规则删除模块，用于针对需要取消ACL规则的物理接口，删除该物理接口已配置的对应于需要取消的ACL规则的接口组ID。

其中，所述装置还包括：

规则添加模块，用于针对需要添加ACL规则的物理接口，为该物理接口配置对应于需要添加的ACL规则的接口组ID。

具体地，所述配置模块具体通过修改接入网设备的物理端口列表，为出方向物理端口配置接口组ID。

显然，本实施例的ACL规则的配置装置与上述ACL规则的配置方法相对应，均能够达到相同的技术效果。

此外，本发明的另一实施例还提供一种接入网设备，如图4所示，包括：

接收模块，用于接收数据包；

转换模块，用于根据所述数据包中的目标出方向物理端口，转换为一接口组ID；其中，配置同一条ACL规则的出方向物理接口具有同一接口组ID；

匹配查找模块，用于根据该接口组ID，在已配置的ACL规则中进行匹配查找，确定出具有与该接口组ID相同匹配字段的ACL规则。

显然，本实施例的接入网设备与上述ACL规则的匹配方法相对应，均能够达到相同的技术效果。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明所述原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (10)

1.一种访问控制列表ACL的配置方法，其特征在于，包括：

为接入网设备各个出方向物理端口配置接口组ID；其中，需要配置同一条ACL规则的出方向物理接口具有同一接口组ID；

在ACL规则的匹配字段中加入该ACL规则需要配置到的出方向物理端口所对应的接口组ID；

将匹配字段添加完成的ACL规则导入到所述接入网设备，使得所述接入网设备在对接收到的数据包进行过滤时，能够将该数据包中的目的出方向物理端口转换为对应的接口组ID，并根据该转换的接口组ID，匹配到相应的ACL规则。

2.根据权利要求1所述的配置方法，其特征在于，还包括：

针对需要取消ACL规则的物理接口，删除该物理接口已配置的对应于需要取消的ACL规则的接口组ID。

3.根据权利要求1所述的配置方法，其特征在于，还包括：

针对需要添加ACL规则的物理接口，为该物理接口配置对应于需要添加的ACL规则的接口组ID。

4.根据权利要求1所述的配置方法，其特征在于，

为接入网设备出方向的物理端口配置接口组ID，包括：

通过修改接入网设备的物理端口列表，为出方向物理端口配置接口组ID。

5.一种访问控制列表ACL规则的配置装置，其特征在于，包括：

配置模块，用于为接入网设备各个出方向物理端口配置接口组ID；其中，需要配置同一条ACL规则的出方向物理接口具有同一接口组ID；

匹配添加模块，用于在ACL规则的匹配字段中加入该ACL规则需要配置到的出方向物理端口所对应的接口组ID；

导入模块，用于将匹配字段添加完成的ACL规则导入到所述接入网设备，使得所述接入网设备在对接收到的数据包进行过滤时，能够将该数据包中的目的出方向物理端口转换为对应的接口组ID，并根据该转换的接口组ID，匹配到相应的ACL规则。

6.根据权利要求5所述的配置装置，其特征在于，还包括：

规则删除模块，用于针对需要取消ACL规则的物理接口，删除该物理接口已配置的对应于需要取消的ACL规则的接口组ID。

7.根据权利要求5所述的配置装置，其特征在于，还包括：

规则添加模块，用于针对需要添加ACL规则的物理接口，为该物理接口配置对应于需要添加的ACL规则的接口组ID。

8.根据权利要求5所述的配置装置，其特征在于，

所述配置模块具体通过修改接入网设备的物理端口列表，为出方向物理端口配置接口组ID。

9.一种访问控制列表ACL规则的匹配方法，其特征在于，包括：

接入网设备接收数据包；

接入网设备根据所述数据包中的目标出方向物理端口，转换为一对应的接口组ID；其中，配置同一条ACL规则的出方向物理接口对应有同一接口组ID；

接入网设备根据该接口组ID，在已配置的ACL规则中进行匹配查找，确定出具有与该接口组ID相同匹配字段的ACL规则。

10.一种接入网设备，其特征在于，包括：

接收模块，用于接收数据包；

转换模块，用于根据所述数据包中的目标出方向物理端口，转换为一接口组ID；其中，配置同一条ACL规则的出方向物理接口具有同一接口组ID；

匹配查找模块，用于根据该接口组ID，在已配置的ACL规则中进行匹配查找，确定出具有与该接口组ID相同匹配字段的ACL规则。