CN111030884B - 一种获取接口丢包的方法及装置 - Google Patents

Abstract

本申请提供一种获取接口丢包报文的方法及装置，应用于网络安全设备，上述网络安全设备包括若干业务板；上述业务板间通过级联接口连接；上述网络安全设备中维护了上述业务板间的连接关系；上述方法包括，确定上述级联接口中是否存在丢包接口；如果上述级联接口中存在丢包接口，基于上述业务板间的连接关系确定上述丢包接口作为收包接口时对应的出接口；将上述丢包接口接收到的报文中的目的接口与上述出接口进行匹配，并将上述报文中的目的接口不匹配上述设备出接口的报文作为丢包报文进行存储。

Description

一种获取接口丢包的方法及装置

技术领域

本申请涉及计算机技术领域，尤其涉及一种获取接口丢包的方法及装置。

背景技术

目前，网络安全设备通常使用主控板加若干业务板的结构。用户可以根据需求去配置不同功能的业务板，从而降低业务部署的复杂度，降低硬件的成本。

上述结构中，主控板可以通过高速通道与业务板连接；各业务板间可以通过级联接口连接。当报文从入接口进入，并且需要被目标业务板(上述入接口不属于上述目标业务板)处理时，上述主控板可以将上述报文通过上述级联接口发送至上述目标业务板。当上述报文被上述目标业务板处理完毕后，上述主控板可以将上述处理之后的报文通过上述级联接口发送至出接口(上述出接口不属于上述目标业务板)。

但是，由于在上述报文传送过程中，上述级联接口可能出现丢包，而上述丢包报文同样需要被分析，因此，该网络安全设备中需要一种获取接口丢包报文的方法。

发明内容

有鉴于此，本申请提出一种获取接口丢包报文的方法，应用于网络安全设备，上述网络安全设备包括若干业务板；上述业务板间通过级联接口连接；上述网络安全设备中维护了上述业务板间的连接关系；上述方法包括：

确定上述级联接口中是否存在丢包接口；

如果上述级联接口中存在丢包接口，基于上述业务板间的连接关系确定上述丢包接口作为收包接口时对应的目标出接口；

将上述目标出接口与上述丢包接口接收到的报文中的目的接口分别进行匹配，并将目的接口与上述目标出接口不匹配报文作为丢包报文进行存储。

本申请还提供一种获取接口丢包报文的装置，应用于网络安全设备，上述网络安全设备包括若干业务板；上述业务板间通过级联接口连接；上述网络安全设备中维护了上述业务板间的连接关系；上述装置包括：

第一确定模块，确定上述级联接口中是否存在丢包接口；

第二确定模块，如果上述级联接口中存在丢包接口，基于上述业务板间的连接关系确定上述丢包接口作为收包接口时对应的目标出接口；

存储模块，将上述目标出接口与上述丢包接口接收到的报文中的目的接口分别进行匹配，并将目的接口与上述目标出接口不匹配报文作为丢包报文进行存储。

由以上方案可知，由于上述网络安全设备可以确定丢包接口，并基于上述业务板间的连接关系确定上述丢包接口对应的目标出接口，然后将上述丢包接口接收到的报文中的目的接口与上述目标出接口分别进行匹配，并将上述报文中的目的接口不匹配上述目标出接口的报文作为丢包报文进行存储，因此，上述网络安全设备可以自动将丢包接口丢失的报文存储起来。

附图说明

图1为本申请示出的一种网络安全设备的结构图；

图2为本申请示出的一种获取接口丢包的方法的流程图；

图3本申请示出的一种获取接口丢包报文的装置的结构图。

具体实施方式

下面将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的设备和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“上述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。还应当理解，本文中所使用的词语“如果”，取决于语境，可以被解释成为“在……时”或“当……时”或“响应于确定”。

以下结合附图对报文在网络安全设备内部传送的过程进行说明。

请参照图1，图1为本申请示出的一种网络安全设备的结构图。

如图1所示，上述主控板与各业务板通过PCIE连接，各业务板间通过级联接口连接；其中，业务板A的接口10与业务板B的接口9连接；业务板B的接口6与业务板C的接口5连接；业务板C的接口2与业务板D的接口1连接。业务板D的接口a和接口b与外部网络连接。

上述主控板可以包括主控CPU，该主控CPU可以生成ACL表项，并向各业务板下发。上述主控板可以包括存储介质，上述存储介质中可以存储上述各业务板的连接关系，上述主控CPU可以基于上述连接关系确定报文在各业务板间的传送路径。

上述业务板可以包括转发芯片。上述转发芯片可以响应于上述主控CPU下发的ACL表项在各业务板板间传送报文。上述业务板可以包括FPGA。上述FPGA用于执行具体的业务，例如，防火墙，IPS等等，在此不作限定。在此，本领域技术人员可以理解的是，以下记载的业务板实现的各种功能实际是由业务板中的各器件独立或协作完成。以下为了简化说明，将上述各功能描述为由业务板实现；例如，上述转发芯片进行报文传送描述为业务板进行报文传送；上述FPGA进行业务处理描述为业务板进行业务处理等。

假设业务板A处理防火墙业务；从上述业务板D的接口a(入接口)进入的报文需从上述接口b(出接口)转发出去。上述报文需要经过业务板A处理。

当上述报文从上述业务板D的接口a进入上述网络安全设备时，上述主控CPU可以通过与业务板D交互确定上述报文需要被传送至业务板A。然后，上述主控CPU可以基于上述各业务板间的连接关系生成若干条ACL表项，并分别下发至各业务板以完成将上述报文传送至业务板A。需要说明的是，上述主控CPU基于上述业务板间的连接关系生成ACL表项的过程可以参照相关技术领域惯用技术手段，在此不作限定。

上述主控CPU还可以通过解析上述报文以确定上述报文将从业务板D的接口b转发出去，并生成对应的ACL表项下发至各业务板以将上述报文从业务板A传送至业务板D的接口b。

但是，由于在上述报文传送过程中，上述各级联接口可能出现丢包，而上述丢包报文同样需要被分析，因此，该网络安全设备中需要一种获取接口丢包报文的方法。

基于此，本申请提出一种获取接口丢包的方法。该方法可以应用于网络安全设备。上述网络安全设备可以包括主控CPU和若干业务板；上述业务板间通过级联接口连接；上述网络安全设备中维护了上述业务板间的连接关系。该方法可以通过确定丢包接口以及该丢包接口作为收包接口对应的可能的出接口，然后将该丢包接口接收的报文中，目的接口不是上述可能的出接口的报文作为丢包报文存储，从而获取丢包报文。

请参见图2，图2为本申请示出的一种获取接口丢包的方法的流程图。该方法应用于如图2所示，上述方法包括：

S201，确定上述级联接口中是否存在丢包接口；

S202，如果上述级联接口中存在丢包接口，基于上述业务板间的连接关系确定上述丢包接口作为收包接口时对应的目标出接口；

S203，将上述目标出接口与上述丢包接口接收到的报文中的目的接口分别进行匹配，并将目的接口与上述目标出接口不匹配报文作为丢包报文进行存储。

由以上方案可知，由于上述网络安全设备可以确定丢包接口，并基于上述业务板间的连接关系确定上述丢包接口对应的目标出接口，然后将上述丢包接口接收到的报文中的目的接口与上述目标出接口分别进行匹配，并将上述报文中的目的接口不匹配上述目标出接口的报文作为丢包报文进行存储，因此，上述网络安全设备可以自动将丢包接口丢失的报文存储起来。

以下以结合具体实施例对本方案进行说明。

本实施例中的网络安全设备(以下简称设备)内部结构可以参照图1。如图1所示，上述主控板与各业务板通过PCIE连接，各业务板间通过级联接口连接；其中，业务板A的接口10与业务板B的接口9连接；业务板B的接口6与业务板C的接口5连接；业务板C的接口2与业务板D的接口1连接。业务板D的接口a和接口b与外部网络连接。

上述主控板可以包括主控CPU，该主控CPU可以生成ACL表项，并向各业务板下发。上述主控板可以包括存储介质，上述存储介质中可以存储上述各业务板的连接关系，上述主控CPU可以基于上述连接关系确定报文在各业务板间的传送路径。

上述业务板可以包括转发芯片。上述转发芯片可以响应于上述主控CPU下发的ACL表项在各业务板板间传送报文。上述业务板可以包括FPGA。上述FPGA用于执行具体的业务，例如，防火墙，IPS等等，在此不作限定。在此，本领域技术人员可以理解的是，以下记载的业务板实现的各种功能实际是由业务板中的各器件独立或协作完成。以下为了简化说明，将上述各功能描述为由业务板实现；例如，上述转发芯片进行报文传送描述为业务板进行报文传送；上述FPGA进行业务处理描述为业务板进行业务处理等。

假设业务板A处理防火墙业务；从上述业务板D的接口a(入接口)进入的报文需从上述接口b(出接口)转发出去。上述报文需要经过业务板A处理。

上述报文从业务板D的接口a进入后，需要经过各级联接口进入业务板A被处理。等到业务板A处理完毕后，将会将上述出接口b作为上述报文的目的接口打包至上述报文中，以使该报文可以从上述出接口b转发出上述网络安全设备。

上述设备可以执行S201，确定上述级联接口中是否存在丢包接口。

本步骤中，上述设备可以周期性确定上述各级联接口的状态信息，并通过上述状态信息确定级联接口是否丢包。例如，上述设备中维护了上述各级联接口的接收到的报文数量、以及该级联接口接收到的报文中被转发的数量。上述设备的主控CPU可以周期性检测级联接口接收到的报文的数量，是否大于该级联接口接收到的报文中被转发的数量；如果是，确定该级联接口为丢包接口。

在上述情形下，假设上述主控CPU检测到业务板C的接口5(级联接口)接收到的报文数量为100，接收到的报文中被转发的数量为80。由于该级联接口接收到的报文数量大于该级联即可接收到的报文中被转发的数量(100>80)，因此，上述接口5可以被确定为丢包接口。

如果上述设备在执行S201时确定上述级联接口中存在丢包接口，那么上述设备可以执行S202，基于上述业务板间的连接关系确定上述丢包接口作为收包接口时对应的目标出接口。

本步骤中，主控CPU在确定丢包接口后，可以基于上述设备中存储的各业务板间的连接关系，确定上述丢包接口接收到的报文可能被发送出去的目标出接口。

例如，主控CPU可以基于上述业务板间的连接关系确定各种可能的报文传送路径，上述传送路径包括报文传送过程中经过接口信息。上述主控CPU执行S202时，可以查询上述各条报文传送路径中的收包接口是否包含上述丢包接口；如果包含，则将该报文传送路径记录的末尾接口作为与上述丢包接口作为收包接口时对应的目标出接口。

在上述情形下，假设如图1所示的设备中，业务板B的接口5作为收包接口时的报文传送方向为从业务板A至业务板D，该方向上上述报文传送路径有两条：第一条报文传送路径为报文业务板A的接口10、业务板B的接口9、业务板B的接口6、业务板C的接口5、业务板C的接口2、业务板D的接口a；第二条报文传送路径业务板A的接口10、业务板B的接口9、业务板B的接口6、业务板C的接口5、业务板C的接口2、业务板D的接口b。

上述主控CPU执行S202后，可以确定业务板D的接口a和接口b是上述丢包接口作为收包接口时对应的目标出接口。

在确定上述出接口后，上述设备可以执行S203，将上述目标出接口与上述丢包接口接收到的报文中的目的接口分别进行匹配，并将目的接口与上述目标出接口不匹配报文作为丢包报文进行存储。

在本步骤中，上述主控CPU可以向上述丢包接口所在的业务板下发ACL列表；其中，上述ACL列表中的最后一条ACL表项的匹配项可以包括，报文进入上述业务板的级联接口为上述丢包接口，上述最后一条ACL表项的执行动作可以包括，为上述报文添加预设标识后上送至上述主控CPU；上述ACL列表

中除了上述最后一条ACL表项以外的其它ACL表项的匹配项可以为，进入上

述业务板的报文的目的接口为上述出接口。需要说明的是，由于ACL表项的执

行规则为如果匹配中排位在先的ACL表项，则可以终止继续匹配排位在后的

ACL表项，因此，当上述丢包接口接收的报文的目的接口非接口a亦非接口b时，将不会匹配中上述ACL列表中的前两条ACL表项，而是可以匹配中最后一条ACL表项，从而可以将上述丢包接口接收到的报文中的目的接口不是接口a和接口b的报文筛选出来，并且为该报文添加标识。

在一实施例中，为了方便查询正常转发的报文和丢失的报文数量，上述其它ACL表项的执行动作，可以为统计进入上述业务板的报文的数量。需要说明的是，上述其它ACL表项的执行动作在此不作限定，为了实现其他功能，ACL表项的执行动作也可以是其他。

本领域技术人员可以理解的是，基于上述将上述丢包接口接收到的报文中的目的接口不是接口a和接口b的报文筛选出来，并且为该报文添加标识的目的，本领域技术人员还可以采用其他的筛选规则与筛选方法亦是本申请要求保护的范围。例如通过黑、白名单的方式，在此不作限定。

在上述情形下，上述主控CPU可以先生成如表1所示的若干条ACL表项。如表1所示，末尾ACL表项的匹配项为报文进入上述业务板B的级联接口是否为接口5，执行动作为统计报文数量，为上述报文添加预设标识“+”，并将上述报文上送至上述CPU；第一条ACL表项的匹配项为进入上述业务板的报文的目的接口是否为接口a，执行动作为统计报文数量；第二条ACL表项的匹配项为进入上述业务板的报文的目的接口是否为接口b，执行动作为统计报文数量。

匹配项	执行动作
		目的接口，接口a	计数器A+1
目的接口，接口b	计数器B+1
		入接口，接口5	计数器C+1，标识“+”，上述主控CPU

表1

然后，上述主控CPU将上述ACL表项下发至上述丢包接口所在的业务板C。

由于ACL表项的执行规则为如果匹配中排位在先的ACL表项，则可以终止继续匹配排位在后的ACL表项，因此，当上述丢包接口接收的报文的目的接口非接口a亦非接口b时，将不会匹配中上述ACL列表中的前两条ACL表项，而是可以匹配中最后一条ACL表项，从而可以将上述丢包接口接收到的报文中的目的接口不是接口a和接口b的报文筛选出来，并且为该报文添加标识“+”。

另外，由于上述ACL表项的执行动作包括统计报文数量，因此，上述设备可以将正常转发的报文和丢失的报文数量统计起来，方便查询。

最后，上述主控CPU可以确定接收到的报文是否携带上述预设标识；

如果上述主控CPU接收到的报文携带上述预设标识，则将该报文作为丢包报文进行存储。

由以上方案可知，由于上述网络安全设备可以确定丢包接口，并基于上述业务板间的连接关系确定上述丢包接口对应的目标出接口，然后将上述丢包接口接收到的报文中的目的接口与上述目标出接口分别进行匹配，并将上述报文中的目的接口不匹配上述目标出接口的报文作为丢包报文进行存储，因此，上述网络安全设备可以自动将丢包接口丢失的报文存储起来。

在一实施例中，上述主控CPU可以确定执行S202之后确定的上述出接口的工作状态，并可以从上述工作状态为上电状态的出接口中确定上述目标出接口。

在上述步骤中，上述出接口的工作状态可能是上电状态或DOWN，本实施例将工作状态为上电状态的出接口作为目标出接口可以排除报文不可能发送到的出接口，以此减少主控CPU的工作量。

在上述情形下，表1中上述其余ACL表项的匹配项可以是进入上述业务板的报文的目的接口，是否为上述目标出接口。假设业务板D还有接口c和接口d(工作状态为DOWN)，并且经过上述步骤S202后，上述接口c和接口d也是上述丢包接口5对应的出接口。

此时，上述主控CPU经过确定上述出接口的工作状态后可以确定接口c和接口d的工作状态为DOWN，接口a和接口b的工作状态为上电状态。因此在生成ACL表项是可以仅生成匹配项为目的接口为接口a和接口b的两条表项，明显减少了ACL表项数，有效的提高了主控处理效率，也提高了设备获取丢包报文的效率。

相应于上面的方法实施例，本申请还提供一种获取接口丢包报文的装置，应用于网络安全设备。上述网络安全设备包括若干业务板；上述业务板间通过级联接口连接；上述网络安全设备中维护了上述业务板间的连接关系。请参照图3，图3本申请示出的一种获取接口丢包报文的装置的结构图。

如图3所示，上述装置300包括：

第一确定模块310，确定上述级联接口中是否存在丢包接口；

第二确定模块320，如果上述级联接口中存在丢包接口，基于上述业务板间的连接关系确定上述丢包接口作为收包接口时对应的目标出接口；

存储模块330，将上述目标出接口与上述丢包接口接收到的报文中的目的接口分别进行匹配，并将目的接口与上述目标出接口不匹配报文作为丢包报文进行存储。

在示出的一实施例中，上述网络安全设备包括主控CPU；上述主控CPU与上述业务板连接；上述装置还包括：

下发表项模块，上述主控CPU向上述丢包接口所在的业务板下发ACL列表；其中，上述ACL列表中的最后一条ACL表项的匹配项包括，报文进入上述业务板的级联接口为上述丢包接口，上述最后一条ACL表项的执行动作包括，为上述报文添加预设标识后上送至上述主控CPU；上述ACL列表中除了上述最后一条ACL表项以外的其它ACL表项的匹配项为，进入上述业务板的报文的目的接口为上述出接口。

在示出的一实施例中，上述其它ACL表项的执行动作，为统计进入上述业务板的报文的数量。

在示出的一实施例中，上述存储模块330包括：

匹配模块，上述丢包接口所在的业务板将进入该业务板的报文与上述若干ACL规则进行匹配；如果上述报文与上述末尾ACL规则匹配，则执行上述末尾ACL规则对应的执行动作，为上述报文添加预设标识后上送至上述主控CPU；

第三确定模块，上述主控CPU确定接收到的报文是否携带上述预设标识；

存储子模块，如果上述主控CPU接收到的报文携带上述预设标识，则将该报文作为丢包报文进行存储。

在示出的一实施例中，上述装置300还包括：

第四确定模块，上述主控CPU确定各出接口的工作状态，从上述工作状态为上电状态的出接口中确定上述目标出接口。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中上述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

本说明书中描述的主题及功能操作的实施例可以在以下中实现：数字电子电路、有形体现的计算机软件或固件、包括本说明书中公开的结构及其结构性等同物的计算机硬件、或者它们中的一个或多个的组合。本说明书中描述的主题的实施例可以实现为一个或多个计算机程序，即编码在有形非暂时性程序载体上以被数据处理装置执行或控制数据处理装置的操作的计算机程序指令中的一个或多个模块。可替代地或附加地，程序指令可以被编码在人工生成的传播信号上，例如机器生成的电、光或电磁信号，该信号被生成以将信息编码并传输到合适的接收机装置以由数据处理装置执行。计算机存储介质可以是机器可读存储设备、机器可读存储基板、随机或串行存取存储器设备、或它们中的一个或多个的组合。

本说明书中描述的处理及逻辑流程可以由执行一个或多个计算机程序的一个或多个可编程计算机执行，以通过根据输入数据进行操作并生成输出来执行相应的功能。上述处理及逻辑流程还可以由专用逻辑电路—例如FPGA(现场可编程门阵列)或ASIC(专用集成电路)来执行，并且装置也可以实现为专用逻辑电路。

适合用于执行计算机程序的计算机包括，例如通用和/或专用微处理器，或任何其他类型的中央处理单元。通常，中央处理单元将从只读存储器和/或随机存取存储器接收指令和数据。计算机的基本组件包括用于实施或执行指令的中央处理单元以及用于存储指令和数据的一个或多个存储器设备。通常，计算机还将包括用于存储数据的一个或多个大容量存储设备，例如磁盘、磁光盘或光盘等，或者计算机将可操作地与此大容量存储设备耦接以从其接收数据或向其传送数据，抑或两种情况兼而有之。然而，计算机不是必须具有这样的设备。此外，计算机可以嵌入在另一设备中，例如移动电话、个人数字助理(PDA)、移动音频或视频播放器、游戏操纵台、全球定位系统(GPS)接收机、或例如通用串行总线(USB)闪存驱动器的便携式存储设备，仅举几例。

适合于存储计算机程序指令和数据的计算机可读介质包括所有形式的非易失性存储器、媒介和存储器设备，例如包括半导体存储器设备(例如EPROM、EEPROM和闪存设备)、磁盘(例如内部硬盘或可移动盘)、磁光盘以及CD ROM和DVD-ROM盘。处理器和存储器可由专用逻辑电路补充或并入专用逻辑电路中。

虽然本说明书包含许多具体实施细节，但是这些不应被解释为限制任何发明的范围或所要求保护的范围，而是主要用于描述特定发明的具体实施例的特征。本说明书内在多个实施例中描述的某些特征也可以在单个实施例中被组合实施。另一方面，在单个实施例中描述的各种特征也可以在多个实施例中分开实施或以任何合适的子组合来实施。此外，虽然特征可以如上上述在某些组合中起作用并且甚至最初如此要求保护，但是来自所要求保护的组合中的一个或多个特征在一些情况下可以从该组合中去除，并且所要求保护的组合可以指向子组合或子组合的变型。

类似地，虽然在附图中以特定顺序描绘了操作，但是这不应被理解为要求这些操作以所示的特定顺序执行或顺次执行、或者要求所有例示的操作被执行，以实现期望的结果。在某些情况下，多任务和并行处理可能是有利的。此外，上述实施例中的各种系统模块和组件的分离不应被理解为在所有实施例中均需要这样的分离，并且应当理解，所描述的程序组件和系统通常可以一起集成在单个软件产品中，或者封装成多个软件产品。

由此，主题的特定实施例已被描述。其他实施例在所附权利要求书的范围以内。在某些情况下，权利要求书中记载的动作可以以不同的顺序执行并且仍实现期望的结果。此外，附图中描绘的处理并非必需所示的特定顺序或顺次顺序，以实现期望的结果。在某些实现中，多任务和并行处理可能是有利的。

以上上述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种获取接口丢包报文的方法，应用于网络安全设备，所述网络安全设备包括若干业务板；所述业务板间通过级联接口连接；所述网络安全设备中维护了所述业务板间的连接关系；其特征在于，所述方法包括：

确定所述级联接口中是否存在丢包接口；

如果所述级联接口中存在丢包接口，基于所述业务板间的连接关系确定所述丢包接口作为收包接口时对应的目标出接口；

将所述目标出接口与所述丢包接口接收到的报文中的目的接口分别进行匹配，并将目的接口与所述目标出接口不匹配报文作为丢包报文进行存储。

2.根据权利要求1所述的方法，其特征在于，所述网络安全设备包括主控CPU；所述主控CPU与所述业务板连接；

所述方法还包括：

所述主控CPU向所述丢包接口所在的业务板下发ACL列表；其中，所述ACL列表中的最后一条ACL表项的匹配项包括，报文进入所述业务板的级联接口为所述丢包接口，所述最后一条ACL表项的执行动作包括，为所述报文添加预设标识后上送至所述主控CPU；所述ACL列表中除了所述最后一条ACL表项以外的其它ACL表项的匹配项为，进入所述业务板的报文的目的接口为所述目标出接口。

3.根据权利要求2所述的方法，其特征在于，所述其它ACL表项的执行动作，为统计进入所述业务板的报文的数量。

4.根据权利要求2所述的方法，其特征在于，所述将所述目标出接口与所述丢包接口接收到的报文中的目的接口分别进行匹配，并将目的接口与所述目标出接口不匹配报文作为丢包报文进行存储，包括：

所述丢包接口所在的业务板将进入该业务板的报文与所述ACL列表中的若干ACL表项进行匹配；如果所述报文与所述最后一条ACL表项匹配，则执行所述最后一条ACL表项对应的执行动作，为所述报文添加预设标识后上送至所述主控CPU；

所述主控CPU确定接收到的报文是否携带所述预设标识；

如果所述主控CPU接收到的报文携带所述预设标识，则将该报文作为丢包报文进行存储。

5.根据权利要求2所述的方法，其特征在于，所述方法还包括：

所述主控CPU确定各出接口的工作状态，从所述工作状态为上电状态的出接口中确定所述目标出接口。

6.一种获取接口丢包报文的装置，应用于网络安全设备，所述网络安全设备包括若干业务板；所述业务板间通过级联接口连接；所述网络安全设备中维护了所述业务板间的连接关系；其特征在于，所述装置包括：

第一确定模块，确定所述级联接口中是否存在丢包接口；

第二确定模块，如果所述级联接口中存在丢包接口，基于所述业务板间的连接关系确定所述丢包接口作为收包接口时对应的目标出接口；

存储模块，将所述目标出接口与所述丢包接口接收到的报文中的目的接口分别进行匹配，并将目的接口与所述目标出接口不匹配报文作为丢包报文进行存储。

7.根据权利要求6所述的装置，其特征在于，所述网络安全设备包括主控CPU；所述主控CPU与所述业务板连接；所述装置还包括：

所述主控CPU向所述丢包接口所在的业务板下发ACL列表；其中，所述ACL列表中的最后一条ACL表项的匹配项包括，报文进入所述业务板的级联接口为所述丢包接口，所述最后一条ACL表项的执行动作包括，为所述报文添加预设标识后上送至所述主控CPU；所述ACL列表中除了所述最后一条ACL表项以外的其它ACL表项的匹配项为，进入所述业务板的报文的目的接口为所述目标出接口。

8.根据权利要求7所述的装置，其特征在于，所述其它ACL表项的执行动作，为统计进入所述业务板的报文的数量。

9.根据权利要求7所述的装置，其特征在于，所述存储模块包括：

匹配模块，所述丢包接口所在的业务板将进入该业务板的报文与所述ACL列表中的若干ACL表项进行匹配；如果所述报文与所述最后一条ACL表项匹配，则执行所述最后一条ACL表项对应的执行动作，为所述报文添加预设标识后上送至所述主控CPU；

第三确定模块，所述主控CPU确定接收到的报文是否携带所述预设标识；

存储子模块，如果所述主控CPU接收到的报文携带所述预设标识，则将该报文作为丢包报文进行存储。

10.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第四确定模块，所述主控CPU确定各出接口的工作状态，从所述工作状态为上电状态的出接口中确定所述目标出接口。

Images