CN111064714A - 一种基于fpga的智能网卡acl更新装置 - Google Patents

Abstract

本申请公开了一种基于FPGA的智能网卡ACL更新装置、方法及智能网卡，在FPGA内部实现ACL匹配检测，通过设置两个检测模块，在ACL更新时，每次只更新两个检测模块中一个检测模块的ACL，与此同时保持另一个检测模块的ACL不变，并利用另一个检测模块来继续处理对网络报文数据的ACL匹配检测。因此，一方面，可以保证可用的ACL规则检测处理通道始终存在，避免网络业务中断；另一方面，可以避免更新过程中由于新旧ACL同时存在所导致的网络报文数据异常处理的问题。而且，在不需要更新ACL时，通过两个检测模块并行执行对网络报文数据的ACL匹配检测，提升ACL匹配检测处理的带宽。

Description

一种基于FPGA的智能网卡ACL更新装置

技术领域

本申请涉及数字电路技术领域，特别涉及一种基于FPGA的智能网卡ACL更新装置、方法及智能网卡。

背景技术

目前软件实现的ACL功能比较成熟，软件实现较灵活，且成本较低，但是处理速度较慢，不能支持高速网络系统中的需求。

随着大数据的需求越来越大，人们开始考虑硬件实现ACL功能的方案。考虑到专用的芯片成本较高，且缺乏灵活性，所以目前典型的硬件实现方案采用FPGA实现ACL功能。FPGA实现ACL功能的方案可以利用FPGA并行计算的特点，提高ACL处理速度，支持高速系统。

在ACL模块工作的过程中，ACL规则可以进行修改，以便对安全策略进行灵活更新。现有的ACL规则更新方案，一般由ACL规则配置管理模块来负责更新ACL规则，如图1所示。其中，ACL规则更新模块负责对ACL规则组进行整理、转义和配置；ACL检测模块负责根据规则组中的各条规则对网络数据包进行ACL规则匹配检测。

但是，上述ACL规则更新方案在更新过程中需要中断对网络业务的ACL规则处理，并将当前接收的数据包丢弃。此外，在更新ACL规则过程中，新的ACL规则和旧的ACL规则会同时存在于ACL规则表中，导致组合产生的安全策略会有冲突，无法正确对网络数据包进行处理，甚至造成ACL规则业务中断。

可见，在基于FPGA实现ACL功能的方案中，如何避免ACL规则更新过程需要中断网络业务，且由于新旧ACL规则同时存在导致无法对网络数据包进行正常处理，是亟待本领域技术人员解决的问题。

发明内容

本申请的目的是提供一种基于FPGA的智能网卡ACL更新装置、方法及智能网卡，用以解决在基于FPGA实现ACL功能的传统方案中，ACL规则更新过程需要中断网络业务，且由于新旧ACL规则同时存在导致无法对网络数据包进行正常处理的问题。

为解决上述技术问题，本申请提供了一种基于FPGA的智能网卡ACL更新装置，包括：设置于FPGA上的更新管理模块、第一检测模块、第二检测模块和报文分发模块；

其中，所述更新管理模块用于在接收到规则更新命令后，控制所述报文分发模块与所述第二检测模块进行网络报文数据的交互，并根据所述更新命令对所述第一检测模块中的ACL进行更新；还用于在完成对所述第一检测模块中ACL的更新操作后，控制所述报文分发模块与所述第一检测模块进行网络报文数据的交互，并根据所述更新命令对所述第二检测模块中的ACL进行更新。

优选的，所述报文分发模块包括：输入报文分发单元和输出报文分发单元，其中所述输入报文分发单元用于将网络报文数据传输至所述第一检测模块和/或第二检测模块，所述输出报文分发单元用于接收所述第一检测模块和/或所述第二检测模块的网络报文数据。

优选的，所述更新管理模块还用于：在完成对所述第一检测模块和所述第二检测模块中ACL的更新操作后，控制所述输入报文分发单元将网络报文数据均匀地分发至所述第一检测模块和所述第二检测模块。

优选的，所述ACL包括ACL规则和ACL操作，所述第一检测模块和所述第二检测模块均用于：将接收到的网络文件数据分别与本地的各个ACL规则进行匹配，若匹配中，则对所述网络报文数据执行相应的ACL操作。

优选的，所述更新管理模块还用于：在所述第一检测模块和所述第二检测模块开始工作之前，对所述第一检测模块和所述第二检测模块中的ACL进行初始化。

优选的，还包括：更新接口模块，所述更新管理模块用于通过所述更新接口模块控制所述报文分发模块，并利用所述更新接口模块对所述第一检测模块或所述第二检测模块中的ACL进行更新。

本申请还提供了一种智能网卡，包括如上所述的基于FPGA的智能网卡ACL更新装置。

最后，本申请还提供了一种基于FPGA的智能网卡ACL更新方法，应用于设置于FPGA上的更新管理模块，包括：

在接收到规则更新命令后，控制报文分发模块与第二检测模块进行网络报文数据的交互，并根据所述更新命令对第一检测模块中的ACL进行更新；

在完成对所述第一检测模块中ACL的更新操作后，控制所述报文分发模块与所述第一检测模块进行网络报文数据的交互，并根据所述更新命令对所述第二检测模块中的ACL进行更新。

本申请所提供的一种基于FPGA的智能网卡ACL更新装置，包括：设置于FPGA上的更新管理模块、第一检测模块、第二检测模块和报文分发模块；其中，更新管理模块用于在接收到规则更新命令后，控制报文分发模块与第二检测模块进行网络报文数据的交互，并根据更新命令对第一检测模块中的ACL进行更新；还用于在完成对第一检测模块中ACL的更新操作后，控制报文分发模块与第一检测模块进行网络报文数据的交互，并根据更新命令对第二检测模块中的ACL进行更新。

可见，该装置在FPGA内部实现ACL匹配检测，通过设置两个检测模块，在ACL更新时，每次只更新两个检测模块中一个检测模块的ACL，与此同时保持另一个检测模块的ACL不变，并利用另一个检测模块来继续处理对网络报文数据的ACL匹配检测。因此，一方面，可以保证可用的ACL规则检测处理通道始终存在，避免网络业务中断；另一方面，可以避免更新过程中由于新旧ACL同时存在所导致的网络报文数据异常处理的问题。而且，在不需要更新ACL时，通过两个检测模块并行执行对网络报文数据的ACL匹配检测，提升ACL匹配检测处理的带宽。

此外，本申请还提供了一种基于FPGA的智能网卡ACL更新方法及智能网卡，其技术效果与上述装置的技术效果相对应，这里不再赘述。

附图说明

为了更清楚的说明本申请实施例或现有技术的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为现有技术中基于FPGA实现ACL的方案的ACL更新过程示意图；

图2为本申请所提供的一种基于FPGA的智能网卡ACL更新装置实施例一的结构示意图；

图3为本申请所提供的一种基于FPGA的智能网卡ACL更新装置实施例二的结构示意图；

图4为本申请所提供的一种基于FPGA的智能网卡ACL更新方法实施例的实现流程图。

具体实施方式

本申请的核心是提供一种基于FPGA的智能网卡ACL更新装置、方法及智能网卡，在ACL更新过程中，可以保证可用的ACL规则检测处理通道始终存在，避免网络业务中断，还能够避免更新过程中由于新旧ACL同时存在所导致的网络报文数据异常处理的问题。

为了使本技术领域的人员更好地理解本申请方案，下面结合附图和具体实施方式对本申请作进一步的详细说明。显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

下面对本申请提供的一种基于FPGA的智能网卡ACL更新装置实施例一进行介绍，参见图1，实施例一包括：设置于FPGA上的更新管理模块10、第一检测模块11、第二检测模块12和报文分发模块13；

其中，所述更新管理模块10用于在接收到规则更新命令后，控制所述报文分发模块13与所述第二检测模块12进行网络报文数据的交互，并根据所述更新命令对所述第一检测模块11中的ACL进行更新；还用于在完成对所述第一检测模块11中ACL的更新操作后，控制所述报文分发模块13与所述第一检测模块11进行网络报文数据的交互，并根据所述更新命令对所述第二检测模块12中的ACL进行更新。

本实施例用于对在FPGA(Field Programmable Gate Array，现场可编程门阵列)实现的智能网卡中的ACL(Access Control Lists，访问控制列表)规则执行更新操作。也就是说，本实施例中智能网卡的ACL功能在FPGA上进行实现，是一种基于硬件的ACL功能实现方案，FPGA内部设置有上述更新管理模块10、第一检测模块11、第二检测模块12和报文分发模块13，本实施例用于对智能网卡中的ACL规则进行更新。

ACL，即一般应用在路由器接口的指令列表规则，可以作为一种安全策略来控制进出子网的数据流。用户可以通过设置出站规则和入站规则，对进出子网的流量进行精确控制，通俗来说即控制路由器允许哪些网络数据出入，以及禁止哪些网络数据通过。

可以理解的是，ACL规则是ACL控制的核心，上述第一检测模块11和第二检测模块12的工作原理即对每一个网络数据包进行分析，将网络数据包的特性与ACL规则进行检查匹配，如果匹配命中，则执行与该条ACL规则对应的ACL操作。

在实际应用中，一般多条ACL规则组成为规则组，第一检测模块11和第二检测模块12在工作时需要根据一个规则组中各条ACL规则对网络数据包进行逐条规则匹配检测。

具体的，第一检测模块11和第二检测模块12负责根据规则组中的各条ACL规则对网络数据包进行ACL规则匹配检测，只要有一条ACL规则和报文匹配，就停止查找，称为命中规则，然后根据ACL规则的ACL操作进行处理，“允许”则继续转发报文，“拒绝”则丢弃报文。查找完所有ACL规则，如果没有符合条件的ACL规则，称为未命中规则，不对报文作任何处理。

在ACL规则稳定不变的工作情况下，第一检测模块11和第二检测模块12使用相同的ACL规则，对输入网络数据包进行匹配检测处理。即，在ACL规则稳定不变时，利用并行的两个ACL检测模块，来加速对网络数据包的ACL匹配检测处理，提高智能网卡的处理带宽。

在ACL规则更新时，更新管理模块10控制第一检测模块11的ACL规则组进行更新，而第二检测模块12的ACL规则组保持不变。同时，更新管理模块10还控制报文分发模块13，使报文暂时仅通过第二检测模块12进行处理，暂时忽略第一检测模块11。

待第一检测模块11的ACL规则组更新完毕后，更新管理模块10再开始控制更新第二检测模块12的ACL规则组，同时，更新管理模块10控制报文分发模块13，使报文仅通过第一检测模块11进行处理，而暂时忽略第二检测模块12。

待第二检测模块12的ACL规则组更新完毕后，更新管理模块10再控制报文分发模块13，使报文同时通过第一检测模块11和第二检测模块12来处理，切换到ACL规则稳定不变时的工作状态。

需要说明的是，上述第一检测模块11和第二检测模块12仅仅用于区别两个检测模块，二者在实际应用中可以为完全一致的，不应当理解为对先后顺序或连接关系的限定。

在更新ACL规则的过程中，每次只更新一个检测模块，并保持另一个检测模块正常工作，此时虽然带宽会有所下降，但是能保持业务数据正常运行而不至于断开。

本实施例所提供一种基于FPGA的智能网卡ACL更新装置，包括：设置于FPGA上的更新管理模块、第一检测模块、第二检测模块和报文分发模块。该装置在FPGA内部实现ACL匹配检测，通过设置两个检测模块，在ACL更新时，每次只更新两个检测模块中一个检测模块的ACL，与此同时保持另一个检测模块的ACL不变，并利用另一个检测模块来继续处理对网络报文数据的ACL匹配检测。因此，一方面，可以保证可用的ACL规则检测处理通道始终存在，避免网络业务中断；另一方面，可以避免更新过程中由于新旧ACL同时存在所导致的网络报文数据异常处理的问题。而且，在不需要更新ACL时，通过两个检测模块并行执行对网络报文数据的ACL匹配检测，提升ACL匹配检测处理的带宽。

下面开始详细介绍本申请提供的一种基于FPGA的智能网卡ACL更新装置实施例二，实施例二基于前述实施例一实现，并在实施例一的基础上进行了一定程度上的拓展。

参见图3，实施例二具体包括：设置于FPGA上的更新管理模块10、第一检测模块11、第二检测模块12、输入报文分发单元131、输出报文分发单元132、更新接口模块14。

本实施例的报文分发模块包括：输入报文分发单元131和输出报文分发单元132，其中所述输入报文分发单元131用于将网络报文数据传输至所述第一检测模块11和/或第二检测模块12，所述输出报文分发单元132用于接收所述第一检测模块11和/或所述第二检测模块12的网络报文数据。

本实施例中，更新管理模块10还用于：在完成对所述第一检测模块11和所述第二检测模块12中ACL的更新操作后，控制所述输入报文分发单元131将网络报文数据均匀地分发至所述第一检测模块11和所述第二检测模块12。

也就是说，在输入方向，输入报文分发单元131将网络数据包均衡分发到两个检测模块进行匹配检测处理；在输出方向，输出报文分发单元132从两个检测模块接收数据包合并发送到输出端口。

本实施例中，更新管理模块10还用于：在所述第一检测模块11和所述第二检测模块12开始工作之前，对所述第一检测模块11和所述第二检测模块12中的ACL进行初始化。

如图3所示，本实施例的更新管理模块10具体通过所述更新接口模块14控制输入报文分发单元131和输出报文分发单元132，并利用所述更新接口模块14对所述第一检测模块11或所述第二检测模块12中的ACL进行更新。

此外，本申请还提供了一种智能网卡，包括上文所述的基于FPGA的智能网卡ACL更新装置。

最后，本申请提供了一种基于FPGA的智能网卡ACL更新方法，如图4所示，应用于设置于FPGA上的更新管理模块，包括：

S401、在接收到规则更新命令后，控制报文分发模块与第二检测模块进行网络报文数据的交互，并根据所述更新命令对第一检测模块中的ACL进行更新；

S402、在完成对所述第一检测模块中ACL的更新操作后，控制所述报文分发模块与所述第一检测模块进行网络报文数据的交互，并根据所述更新命令对所述第二检测模块中的ACL进行更新。

其具体的实现过程可以包括：初始化第一检测模块和第二检测模块中的ACL；判断当前是否处于稳定工作状态，或者判断是否接收到ACL规则更新命令；若接收到ACL规则更新命令，则判定不处于稳定工作状态；保持第一检测模块的ACL规则组，控制报文分发模块将报文全部传输至第一检测模块，同时，更新第二检测模块的ACL规则组，控制报文分发模块不向第二检测模块传输报文；在第二检测模块的ACL规则组更新完成后，保持第二检测模块的ACL规则组，控制报文分发模块将报文全部传输至第二检测模块，同时，更新第一检测模块的ACL规则组，控制报文分发模块不向第一检测模块传输报文；第一检测模块的ACL规则组也更新完成后，判定回到稳定工作状态，并继续检测是否接收到ACL规则更新命令。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上对本申请所提供的方案进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (8)

1.一种基于FPGA的智能网卡ACL更新装置，其特征在于，包括：设置于FPGA上的更新管理模块、第一检测模块、第二检测模块和报文分发模块；

其中，所述更新管理模块用于在接收到规则更新命令后，控制所述报文分发模块与所述第二检测模块进行网络报文数据的交互，并根据所述更新命令对所述第一检测模块中的ACL进行更新；还用于在完成对所述第一检测模块中ACL的更新操作后，控制所述报文分发模块与所述第一检测模块进行网络报文数据的交互，并根据所述更新命令对所述第二检测模块中的ACL进行更新。

2.如权利要求1所述的装置，其特征在于，所述报文分发模块包括：输入报文分发单元和输出报文分发单元，其中所述输入报文分发单元用于将网络报文数据传输至所述第一检测模块和/或第二检测模块，所述输出报文分发单元用于接收所述第一检测模块和/或所述第二检测模块的网络报文数据。

3.如权利要求2所述的装置，其特征在于，所述更新管理模块还用于：在完成对所述第一检测模块和所述第二检测模块中ACL的更新操作后，控制所述输入报文分发单元将网络报文数据均匀地分发至所述第一检测模块和所述第二检测模块。

4.如权利要求1所述的装置，其特征在于，所述ACL包括ACL规则和ACL操作，所述第一检测模块和所述第二检测模块均用于：将接收到的网络文件数据分别与本地的各个ACL规则进行匹配，若匹配中，则对所述网络报文数据执行相应的ACL操作。

5.如权利要求4所述的装置，其特征在于，所述更新管理模块还用于：在所述第一检测模块和所述第二检测模块开始工作之前，对所述第一检测模块和所述第二检测模块中的ACL进行初始化。

6.如权利要求1所述的装置，其特征在于，还包括：更新接口模块，所述更新管理模块用于通过所述更新接口模块控制所述报文分发模块，并利用所述更新接口模块对所述第一检测模块或所述第二检测模块中的ACL进行更新。

7.一种智能网卡，其特征在于，包括如权利要求1-6任意一项所述的基于FPGA的智能网卡ACL更新装置。

8.一种基于FPGA的智能网卡ACL更新方法，其特征在于，应用于设置于FPGA上的更新管理模块，包括：

在接收到规则更新命令后，控制报文分发模块与第二检测模块进行网络报文数据的交互，并根据所述更新命令对第一检测模块中的ACL进行更新；

在完成对所述第一检测模块中ACL的更新操作后，控制所述报文分发模块与所述第一检测模块进行网络报文数据的交互，并根据所述更新命令对所述第二检测模块中的ACL进行更新。

Images