CN109120532A - 一种精确控制mac表项数量的芯片实现方法 - Google Patents

Abstract

本发明揭示了一种精确控制MAC表项数量的芯片实现方法，包括：芯片对MAC表项的添加和删除，当MAC表项学习到一个条目或者系统配置添加一条MAC表项时，执行MAC表项的添加流程；当MAC表项老化或者系统配置删除一条MAC表项或者批量删除时，执行MAC表项的删除流程。本发明采用芯片来控制MAC表项数量，可以精确到一条MAC条的精度，同时由于硬件处理，可以达到无误差、及时的效果，避免了攻击误判的风险。

Description

一种精确控制MAC表项数量的芯片实现方法

技术领域

本发明涉及一种MAC安全控制技术，尤其是涉及一种精确控制MAC表项数量的芯片实现方法。

背景技术

目前对于网络二层转发的MAC(Media Access Control，媒体访问控制)表项数量的控制一般采用软件处理。但是，在MAC表的学习下，由于CPU处理缓存的限制，达不到精确控制，并随着缓存的数量和学习的快慢，误差也会相应的抖动，不能达到精确到一条MAC条的精度；同时由于软件处理，从计算数目到下发配置到芯片是否达到门限，中间有一定的延迟，这样不能达到及时安全的效果，有攻击误判的风险。

发明内容

本发明的目的在于克服现有技术的缺陷，提供一种精确控制MAC表项数量的芯片实现方法。

为实现上述目的，本发明提出如下技术方案：一种精确控制MAC表项数量的芯片实现方法，包括：芯片对MAC表项的添加和删除，当MAC表项学习到一个条目或者系统配置添加一条MAC表项时，执行所述MAC表项的添加流程；当MAC表项老化或者系统配置删除一条MAC表项或者批量删除时，执行所述MAC表项的删除流程。

优选地，所述MAC表项的添加流程包括基于端口的MAC表项数量限制增加流程、基于VLAN的MAC表项数量限制增加流程，及基于系统的MAC表项数量限制增加流程。

优选地，所述基于端口的MAC表项数量限制增加流程包括：

判断MAC表项端口的类型，所述端口的类型为普通物理端口、物理聚合端口或逻辑端口；

根据所述端口作为索引获取其对应的端口限制表项的当前运行数量runingCnt，同时获取端口限制表项配置的最大限制数量MaxCnt；

比较所述当前运行数量runingCnt和所述最大限制数量MaxCnt，若所述runingCnt+1≥MaxCnt，则设置端口限制表项的状态为达到数量门限，若所述runingCnt＜MaxCnt，则清除端口限制表项的所述达到数量门限状态。

最后将当前学习端口的端口限制表项的运行数量runingCnt加1。

优选地，若MAC条目产生了端口漂移，则将原始端口对于端口限制表项的当前运行数量runingCnt减1；再比较减1后的运行数量runingCnt与原始端口的最大限制数量MaxCnt。

优选地，所述基于VLAN的MAC表项数量限制增加流程包括：

根据VLAN作为索引获取其对应的VLAN限制表项的当前运行数量runingCnt，同时获取VLAN限制表项配置的最大限制数量MaxCnt；

比较所述当前运行数量runingCnt和所述最大限制数量MaxCnt，若所述runingCnt+1≥MaxCnt，则设置VLAN限制表项的状态为达到数量门限；

最后将当前学习VLAN的VLAN限制表项的运行数量runingCnt加1。

优选地，所述基于系统的MAC表项数量限制增加流程包括：

获取芯片的系统限制表项的当前运行数量runingCnt，同时获取系统限制表项配置的最大限制数量MaxCnt；

比较所述当前运行数量runingCnt和所述最大限制数量MaxCnt，若所述runingCnt+1≥MaxCnt，则设置系统限制表项的状态为达到数量门限；

最后将当前学习系统的系统限制表项的运行数量runingCnt加1。

优选地，所述MAC表项的删除流程包括基于端口的MAC表项数量限制减少流程、基于VLAN的MAC表项数量限制减少流程，及基于系统的MAC表项数量限制减少流程。

优选地，所述基于端口的MAC表项数量限制减少流程包括：

判断MAC表项端口的类型，所述端口的类型为普通物理端口、物理聚合端口或逻辑端口；

根据所述端口作为索引获取其对应的端口限制表项的当前运行数量runingCnt，同时获取端口限制表项配置的最大限制数量MaxCnt；

比较所述当前运行数量runingCnt和所述最大限制数量MaxCnt，若所述runingCnt-1＜MaxCnt，则设置端口限制表项的状态为数量降到了门限之下；

最后将当前学习端口的端口限制表项的运行数量runingCnt减1。

优选地，所述基于VLAN的MAC表项数量限制减少流程包括：

根据VLAN作为索引获取其对应的VLAN限制表项的当前运行数量runingCnt，同时获取VLAN限制表项配置的最大限制数量MaxCnt；

比较所述当前运行数量runingCnt和所述最大限制数量MaxCnt，若所述runingCnt-1＜MaxCnt，则设置VLAN限制表项的状态为数量降到了门限之下；

最后将当前学习VLAN的VLAN限制表项的运行数量runingCnt减1。

优选地，所述基于系统的MAC表项数量限制减少流程包括：

获取芯片的系统限制表项的当前运行数量runingCnt，同时获取系统限制表项配置的最大限制数量MaxCnt；

比较所述当前运行数量runingCnt和所述最大限制数量MaxCnt，若所述runingCnt-1＜MaxCnt，则设置系统限制表项的状态为数量降到了门限之下；

最后将当前学习系统的系统限制表项的运行数量runingCnt减1。

本发明的有益效果是：本发明采用芯片来精确控制MAC表项数量，由于芯片对MAC表项是一个一个处理的，所以可以精确到一个MAC条目的控制；同时芯片自动配置限制状态是否达到门限，可以直接影响到下一个报文，可以精确达到上层的限制(limit)效果，无误差及及时性，从而在MAC安全控制更精确和更及时，不会有限制数量不准和配置生效滞后的问题。

附图说明

图1是本发明MAC表项的添加流程的示意图；

图2是本发明基于端口的MAC表项数量限制增加流程的示意图；

图3是本发明端口漂移时的MAC表项数量限制增加流程的示意图；

图4是本发明基于VLAN的MAC表项数量限制增加流程的示意图；

图5是本发明基于系统的MAC表项数量限制增加流程的示意图；

图6是本发明MAC表项的删除流程的示意图；

图7是本发明基于端口的MAC表项数量限制删除流程的示意图；

图8是本发明基于VLAN的MAC表项数量限制删除流程的示意图；

图9是本发明基于系统的MAC表项数量限制删除流程的示意图。

具体实施方式

下面将结合本发明的附图，对本发明实施例的技术方案进行清楚、完整的描述。

本发明所揭示的一种精确控制MAC表项数量的芯片实现方法，采用芯片来控制MAC表项数量，可以精确到一条MAC条的精度，同时由于硬件处理，可以达到无误差、及时的效果，避免了攻击误判的风险。

从芯片处理角度，影响MAC表项数量的一般有如下操作：MAC表学习填加，MAC表老化删除，MAC表系统配置填加，MAC表系统配置删除，MAC表系统匹量(flush)删除。

且MAC表项数量的限制基于端口，VLAN(Virtual Local Area Network，虚拟局域网)和系统级三个层次，其中，端口级又包括物理端口，其用于普通网络口的设置；linkagg(链路聚合)口，用于物理聚合端口；逻辑端口，用于VPN(Virtual Private Network，虚拟专用网络)/Tunnel(隧道)等业务逻辑口。

由于芯片对MAC表项是一个一个处理的，因此MAC表项数量的上述操作可以简化成对一个MAC表项的添加和删除操作，每个MAC表项的添加和删除操作相同，下面具体对一个MAC表项的添加和删除操作做出描述。

本发明所揭示的一种精确控制MAC表项数量的芯片实现方法，包括：芯片对MAC表项的添加和删除，当MAC表项学习到一个条目或者系统配置添加一条MAC表项时，执行所述MAC表项的添加流程；当MAC表项老化或者系统配置删除一条MAC表项或者批量删除时，执行所述MAC表项的删除流程。

其中，由于上面所述MAC表项数量的限制基于端口，VLAN和系统级三个层次，所以如图1所示，所述MAC表项的添加流程包括基于端口的MAC表项数量限制增加流程、基于VLAN的MAC表项数量限制增加流程，及基于系统的MAC表项数量限制增加流程。

其中，MAC表项的添加流程中，首先执行端口的MAC条目限制，即首先执行基于端口的MAC表项数量限制增加流程，结合图2所示，该流程具体包括：

A1，首先，判断MAC表项端口的类型，是普通物理端口、还是linkagg端口或是逻辑端口。

A2，其次，根据该端口作为索引获取其对应的端口限制表项DsPortMaclimit[portIndex]的当前运行数量runingCnt，同时获取端口限制表项DsPortMaclimit配置的最大限制数量MaxCnt。

A3，然后，比较上述当前运行数量runingCnt和上述最大限制数量MaxCnt，若当前运行数量runingCnt+1≥最大限制数量MaxCnt，则说明该表项达到数量门限，则设置端口限制表项DsPortMaclimit的状态为达到数量门限；如果当前运行数量runingCnt＜最大限制数量MaxCnt，则把DsPortMaclimit[portIndex]的reach状态清除。

本实施例中，设置端口限制表项DsPortMaclimit的reach状态为1，即表示表项达到数量门限。此时报文若再学习，根据安全规则，假如系统设置了达到门限丢弃功能，这时报文会被限制的丢弃。由于这些过程及状态是芯片设置，所以一旦MAC表项达到门限，下个报文就会及时根据状态进行处理，解决了软件设置状态滞后的问题。

A4，最后，将当前学习端口的端口限制表项的运行数量runingCnt加1。

在上述步骤A3之前，结合图3所示，若MAC条目产生了端口漂移，即报文学习端口和之前已经存在的MAC端口不匹配，则需要把原始端口对应于端口限制表项DsPortMaclimit[OldPortIndex]的当前运行数量runingCnt减1，再比较该当前运行数量runingCnt和原始端口的MaxCnt，其中，OldPortIndex表示原始端口，是指MAC漂移前学习到的端口。

结合图4所示，所述基于VLAN的MAC表项数量限制增加流程具体包括：

B1，根据VLAN作为索引获取其对应的VLAN限制表项DsVlanMaclimit[vlanId]的当前运行数量runingCnt，同时获取VLAN限制表项DsVlanMaclimit配置的最大限制数量MaxCnt。

B2，比较上述B1中当前运行数量runingCnt和最大限制数量MaxCnt，若当前运行数量runingCnt+1≥最大限制数量MaxCnt，则说明VLAN限制表项DsVlanMaclimit达到数量门限，则设置VLAN限制表项的状态为达到数量门限。本实施例中，设置VLAN限制表项DsVlanMaclimit的reach状态为1，即表示表项达到数量门限。

B3，最后将当前学习VLAN的VLAN限制表项DsVlanMaclimit的运行数量runingCnt加1。

结合图5所示，所述基于系统的MAC表项数量限制增加流程具体包括：

C1，获取芯片内系统限制表项DsSystemMaclimit的当前运行数量runingCnt，同时获取系统限制表项配置的最大限制数量MaxCnt。

C2，比较步骤C1中的当前运行数量runingCnt和最大限制数量MaxCnt，若当前运行数量runingCnt+1≥最大限制数量MaxCnt，则说明达到数量门限，则设置端口限制表项DsSystemMaclimit的状态为达到数量门限。本实施例中，设置系统限制表项DsSystemMaclimit的reach状态为1，即表示表项达到数量门限。

C3，最后将当前学习系统的系统限制表项的运行数量runingCnt加1。

同样，如图6所示，所述MAC表项的删除流程包括基于端口的MAC表项数量限制减少流程、基于VLAN的MAC表项数量限制减少流程，及基于系统的MAC表项数量限制减少流程，三个流程同时进行。

其中，MAC表项的删除流程中，首先执行端口的MAC条目，即首先执行基于端口的MAC表项数量限制删除流程，结合图7所示，该流程具体包括：

D1，判断MAC表项端口的类型，所述端口的类型为普通物理端口、物理聚合端口或逻辑端口。

D2，根据所述端口作为索引获取其对应的端口限制表项DsPortMaclimit[portIndex]的当前运行数量runingCnt，同时获取端口限制表项DsPortMaclimit配置的最大限制数量MaxCnt。

D3，比较所述当前运行数量runingCnt和所述最大限制数量MaxCnt，若所述runingCnt-1＜MaxCnt，则说明MAC条目降到了门限之下，设置端口限制表项DsPortMaclimit[portIndex]的状态为数量降到了门限之下。本实施例中，设置端口限制表项DsPortMaclimit的reach状态为0，即表示表项降到数量门限之下。

D4，最后将当前学习端口的端口限制表项DsPortMaclimit[portIndex]的运行数量runingCnt减1。

结合图8所示，所述基于VLAN的MAC表项数量限制减少流程包括：

E1，根据VLAN作为索引获取其对应的VLAN限制表项DsVlanMaclimit[vlanId]的当前运行数量runingCnt，同时获取VLAN限制表项DsVlanMaclimit配置的最大限制数量MaxCnt。

E2，比较E1中当前运行数量runingCnt和最大限制数量MaxCnt，若所述当前运行数量runingCnt-1＜最大限制数量MaxCnt，则说明MAC条目降到了门限之下，设置VLAN限制表项DsVlanMaclimit[vlanId]的状态为数量降到了门限之下。本实施例中，设置VLAN限制表项DsVlanMaclimit的reach状态为0，即表示表项降到数量门限之下。

E3，最后将当前学习VLAN的VLAN限制表项的运行数量runingCnt减1。

结合图9所示，所述基于系统的MAC表项数量限制减少流程包括：

F1，获取芯片的系统限制表项DsSystemMaclimit的当前运行数量runingCnt，同时获取系统限制表项DsSystemMaclimit配置的最大限制数量MaxCnt。

F2，比较步骤F1中的当前运行数量runingCnt和最大限制数量MaxCnt，若当前运行数量runingCnt-1＜MaxCnt，则说明MAC条目降到了门限之下，设置系统限制表项DsSystemMaclimit的状态为数量降到了门限之下。本实施例中，设置系统限制表项DsSystemMaclimit的reach状态为0，即表示表项降到数量门限之下。

F2，最后将当前学习系统的系统限制表项的运行数量runingCnt减1。

本发明提供了一种精确实现MAC条目限制的芯片实现方法，可以精确到一个MAC条目的控制，同时芯片自动配置限制状态是否达到门限，可以直接影响到下一个报文，可以精确达到上层的limit效果，无误差、及时，从而在MAC安全控制更精确和更及时，不会有限制数量不准和配置生效滞后的问题。

本发明的技术内容及技术特征已揭示如上，然而熟悉本领域的技术人员仍可能基于本发明的教示及揭示而作种种不背离本发明精神的替换及修饰，因此，本发明保护范围应不限于实施例所揭示的内容，而应包括各种不背离本发明的替换及修饰，并为本专利申请权利要求所涵盖。

Claims (10)

1.一种精确控制MAC表项数量的芯片实现方法，其特征在于，包括：芯片对MAC表项的添加和删除，当MAC表项学习到一个条目或者系统配置添加一条MAC表项时，执行所述MAC表项的添加流程；当MAC表项老化或者系统配置删除一条MAC表项或者批量删除时，执行所述MAC表项的删除流程。

2.根据权利要求1所述的精确控制MAC表项数量的芯片实现方法，其特征在于，所述MAC表项的添加流程包括基于端口的MAC表项数量限制增加流程、基于VLAN的MAC表项数量限制增加流程，及基于系统的MAC表项数量限制增加流程。

3.根据权利要求2所述的精确控制MAC表项数量的芯片实现方法，其特征在于，所述基于端口的MAC表项数量限制增加流程包括：

判断MAC表项端口的类型，所述端口的类型为普通物理端口、物理聚合端口或逻辑端口；

根据所述端口作为索引获取其对应的端口限制表项的当前运行数量runingCnt，同时获取端口限制表项配置的最大限制数量MaxCnt；

比较所述当前运行数量runingCnt和所述最大限制数量MaxCnt，若所述runingCnt+1≥MaxCnt，则设置端口限制表项的状态为达到数量门限，若所述runingCnt＜MaxCnt，则清除端口限制表项的所述达到数量门限状态。

最后将当前学习端口的端口限制表项的运行数量runingCnt加1。

4.根据权利要求3所述的精确控制MAC表项数量的芯片实现方法，其特征在于，若MAC条目产生了端口漂移，则将原始端口对于端口限制表项的当前运行数量runingCnt减1；再比较减1后的运行数量runingCnt与原始端口的最大限制数量MaxCnt。

5.根据权利要求2所述的精确控制MAC表项数量的芯片实现方法，其特征在于，所述基于VLAN的MAC表项数量限制增加流程包括：

根据VLAN作为索引获取其对应的VLAN限制表项的当前运行数量runingCnt，同时获取VLAN限制表项配置的最大限制数量MaxCnt；

比较所述当前运行数量runingCnt和所述最大限制数量MaxCnt，若所述runingCnt+1≥MaxCnt，则设置VLAN限制表项的状态为达到数量门限；

最后将当前学习VLAN的VLAN限制表项的运行数量runingCnt加1。

6.根据权利要求2所述的精确控制MAC表项数量的芯片实现方法，其特征在于，所述基于系统的MAC表项数量限制增加流程包括：

获取芯片的系统限制表项的当前运行数量runingCnt，同时获取系统限制表项配置的最大限制数量MaxCnt；

比较所述当前运行数量runingCnt和所述最大限制数量MaxCnt，若所述runingCnt+1≥MaxCnt，则设置系统限制表项的状态为达到数量门限；

最后将当前学习系统的系统限制表项的运行数量runingCnt加1。

7.根据权利要求1所述的精确控制MAC表项数量的芯片实现方法，其特征在于，所述MAC表项的删除流程包括基于端口的MAC表项数量限制减少流程、基于VLAN的MAC表项数量限制减少流程，及基于系统的MAC表项数量限制减少流程。

8.根据权利要求7所述的精确控制MAC表项数量的芯片实现方法，其特征在于，所述基于端口的MAC表项数量限制减少流程包括：

判断MAC表项端口的类型，所述端口的类型为普通物理端口、物理聚合端口或逻辑端口；

根据所述端口作为索引获取其对应的端口限制表项的当前运行数量runingCnt，同时获取端口限制表项配置的最大限制数量MaxCnt；

比较所述当前运行数量runingCnt和所述最大限制数量MaxCnt，若所述runingCnt-1＜MaxCnt，则设置端口限制表项的状态为数量降到了门限之下；

最后将当前学习端口的端口限制表项的运行数量runingCnt减1。

9.根据权利要求7所述的精确控制MAC表项数量的芯片实现方法，其特征在于，所述基于VLAN的MAC表项数量限制减少流程包括：

根据VLAN作为索引获取其对应的VLAN限制表项的当前运行数量runingCnt，同时获取VLAN限制表项配置的最大限制数量MaxCnt；

比较所述当前运行数量runingCnt和所述最大限制数量MaxCnt，若所述runingCnt-1＜MaxCnt，则设置VLAN限制表项的状态为数量降到了门限之下；

最后将当前学习VLAN的VLAN限制表项的运行数量runingCnt减1。

10.根据权利要求7所述的精确控制MAC表项数量的芯片实现方法，其特征在于，所述基于系统的MAC表项数量限制减少流程包括：

获取芯片的系统限制表项的当前运行数量runingCnt，同时获取系统限制表项配置的最大限制数量MaxCnt；

比较所述当前运行数量runingCnt和所述最大限制数量MaxCnt，若所述runingCnt-1＜MaxCnt，则设置系统限制表项的状态为数量降到了门限之下；

最后将当前学习系统的系统限制表项的运行数量runingCnt减1。