CN111343030B

CN111343030B - 报文处理方法、装置、网络设备及存储介质

Info

Publication number: CN111343030B
Application number: CN202010246336.1A
Authority: CN
Inventors: 岳炳词
Original assignee: New H3C Security Technologies Co Ltd
Current assignee: New H3C Security Technologies Co Ltd
Priority date: 2020-03-31
Filing date: 2020-03-31
Publication date: 2022-07-12
Anticipated expiration: 2040-03-31
Also published as: CN111343030A

Abstract

本申请提供了一种报文处理方法、装置、网络设备及存储介质。其中，报文处理方法应用于网络设备，网络设备设置预先设置有访问控制列表ACL，ACL的匹配项为报文特征，ACL的匹配动作包括按照第一设备列表的设备顺序按序处理报文以及第二设备列表，第二设备列表包括第一设备列表中各设备对应的备份设备。报文处理方法包括：当确定第一报文的报文特征匹配ACL的匹配项时，判断第一设备列表中各设备是否正常；若确定第一设备列表中的第一设备异常，则确定第二设备列表中第一设备对应的第二设备；替换第一设备列表的第一设备为第二设备，生成第三设备列表；依据第三设备列表的设备顺序、本地设备标识，为第一报文添加报文头，转发得到的第二报文。

Description

报文处理方法、装置、网络设备及存储介质

技术领域

本申请涉及技术领域，尤其涉及一种报文处理方法、装置、网络设备及存储介质。

背景技术

在网络大规模发展的今天，越来越多的信息资产需要进行多层次的深度安全防护，但实现深度防护目标，往往需要多个不同类型的安全系统进行协作防护，如先用攻击防范设备防护DDOS攻击、然后再使用防火墙设备进行内外网隔离防护等，因此，对网络进行一体化安全防护越来越重要。对网络进行一体化安全防护，往往需要多种类型的安全产品共同协同参与网络的防护：如网络防火墙、web防火墙、堡垒机、数据库审计、数据防泄漏设备、应用控制网关等等。如何实现这些网络安全系统不受所在地域的限制、网络部署形式的限制、实现网络防护系统的资源共享、高效作、是当前面临的一个课题。

当前实现多种安全系统进行网络的一体化安全防护，主要采用的是服务链技术。服务链技术是把网络流量按照业务逻辑所要求的既定顺序，经过这些业务节点(主要指安全设备如防火墙、负载均衡、第三方安全设备等)的一种业务处理形式，其中，按顺序经过的网络设备组成服务链。如：服务链1按顺序执行业务处理的业务节点为：D1->D2->D4,服务链2按顺序执行业务处理的业务节点为：D1->D3->D4，这里D1、D2、D3、D4为网络设备。服务链需要预先设置好，然后可以指定某一条业务流量属于某一个业务链。在指定服务链后，报文的转发不再按照路由转发，而是按照服务链设定的路径转发。相关技术中，服务链的路径转发可以按照端口链转发，如在1个服务链的成员设备上，指定该服务链端口对{P1:P2},则表示从端口P1收到的报文，从端口P2转发出去。

目前发明人发现以下问题：

当前服务链技术可靠性差，当服务链中有一个业务节点出现故障时，会导致报文直接丢弃；

此外，由于业务节点为预先配置，因此业务节点出现故障后还需要人工添加、删除、修改业务节点，恢复网络耗时较多，且人力成本较高。

发明内容

为解决上述问题，本申请提供了一种报文处理方法、装置、网络设备及存储介质。

第一方面，本申请提供一种报文处理方法，应用于网络设备，所述网络设备设置预先设置有访问控制列表ACL，所述ACL的匹配项为报文特征，所述ACL的匹配动作包括按照第一设备列表的设备顺序按序处理报文以及第二设备列表，所述第二设备列表包括第一设备列表中各设备对应的备份设备，所述方法包括：

当确定第一报文的报文特征匹配所述ACL的匹配项时，判断所述第一设备列表中各设备是否正常；

若确定所述第一设备列表中的第一设备异常，则确定所述第二设备列表中所述第一设备对应的第二设备；

替换所述第一设备列表的第一设备为所述第二设备，生成第三设备列表；

依据所述第三设备列表的设备顺序、本地设备标识，为所述第一报文添加报文头，转发得到的第二报文。

可选的，所述方法还包括：

若在第二设备列表中未查询到第一设备对应的第二设备，则删除所述第一设备列表中的第一设备，生成新的第一设备列表。

可选的，所述报文头包括所述第三设备列表对应的设备标识列表、目的IP地址、目的端口、本地设备标识，所述设备标识列表包括第三设备列表中各设备的设备标识、且各设备的设备标识按照报文的处理顺序排序；则

所述方法还包括：生成设备标识映射表，所述设备标识映射表包括所述第三设备列表中各设备的设备标识以及各设备IP地址的对应关系；则

所述转发得到的第二报文，包括：

依据所述处理顺序，在所述设备标识映射表中查询与下一设备标识对应的下一设备IP地址；

替换所述第二报文的报文头的目的IP地址为所述下一设备IP地址，转发替换目的IP地址后的报文。

可选的，报文处理方法还包括：

若确定所述第一设备列表中的所有设备均正常，则依据所述第一设备列表中的设备顺序、本地设备的标识，为所述第一报文添加报文头，转发得到的第二报文。

可选的，所述网络设备存储有设备状态表，所述设备状态表包括设备标识以及设备状态，所述设备状态用于表示设备正常还是异常；则

所述方法还包括：依据设备标识，在所述设备状态表中查询所述第一设备列表中各设备的设备状态。

第二方面，本申请提供一种报文处理方法，应用于网络设备，所述方法包括：

接收第二报文，所述第二报文的报文头包括第三设备列表的设备顺序、上一设备标识，所述上一设备标识为所述设备顺序中位于本地设备上一顺序的设备的标识；

依据所述设备顺序，当确定所述本地设备位于所述设备顺序的最后一位时，删除所述第二报文的报文头，转发得到的第一报文。

可选的，报文处理方法还包括：

当确定所述本地设备不位于所述设备顺序的最后一位时，依据所述设备顺序，确定下一顺序的下一设备；

替换所述报文头的上一设备标识为本地标识，并向下一设备转发替换后的报文。

可选的，所述报文头包括所述第三设备列表对应的设备标识列表、目的IP地址、目的端口、上一设备标识，所述设备标识列表包括第三设备列表中各设备的设备标识、且各设备的设备标识按照报文的处理顺序排序；

所述网络设备还存储设备标识映射表，所述设备标识映射表包括所述第三设备列表中各设备的设备标识以及各设备IP地址的对应关系，则

所述依据所述设备顺序，确定下一顺序的下一设备，包括：依据所述设备标识列表，确定下一设备标识；

所述替换所述报文头的上一设备标识为本地标识，并向下一设备转发替换后的报文，包括：

依据所述下一设备标识，确定与所述下一设备标识对应的下一设备IP地址；

替换所述报文头的上一设备标识为本地标识、目的IP地址为所述第一下设备IP地址，转发替换后的报文。

可选的，所述网络设备还存储设备标识映射表，所述设备标识映射表包括第三设备列表中各设备的设备标识、各设备IP地址以及设备类型的对应关系，所述设备类型包括端点设备和中间设备；则

在所述当确定所述本地设备位于所述设备顺序的最后一位时和所述删除所述第二报文的报文头之间，所述方法还包括：

依据所述本地设备标识，在所述设备标识映射表中查询所述本地设备的设备类型；

当所述本地设备的设备类型为端点设备时，删除所述第二报文的报文头；

当所述本地设备的设备类型为中间设备时，丢弃所述第二报文。

第三方面，本申请提供一种报文处理装置，应用于网络设备，所述网络设备设置预先设置有访问控制列表ACL，所述ACL的匹配项为报文特征，所述ACL的匹配动作包括按照第一设备列表的设备顺序按序处理报文以及第二设备列表，所述第二设备列表包括第一设备列表中各设备对应的备份设备，所述装置包括：

判断单元，用于当确定第一报文的报文特征匹配所述ACL的匹配项时，判断所述第一设备列表中各设备是否正常；

第一确定单元，用于若确定所述第一设备列表中的第一设备异常，则确定所述第二设备列表中所述第一设备对应的第二设备；

第一替换单元，用于替换所述第一设备列表的第一设备为所述第二设备，生成第三设备列表；

添加单元，用于依据所述第三设备列表的设备顺序、本地设备标识，为所述第一报文添加报文头；

第一转发单元，用于转发得到的第二报文。

可选的，第一确定单元还用于：

可选的，所述报文头包括所述第三设备列表对应的设备标识列表、目的IP地址、目的端口、本地设备标识，所述设备标识列表包括第三设备列表中各设备的设备标识、且各设备的设备标识按照报文的处理顺序排序，

报文处理装置还包括：生成单元，用于生成设备标识映射表，所述设备标识映射表包括所述第三设备列表中各设备的设备标识以及各设备IP地址的对应关系；

第一转发单元，具体用于：

可选的，所述第一确定单元，还用于若确定所述第一设备列表中的所有设备均正常，则依据所述第一设备列表中的设备顺序、本地设备的标识，为所述第一报文添加报文头，转发得到的第二报文。

所述报文处理装置还包括：第一查询单元，用于依据设备标识，在所述设备状态表中查询所述第一设备列表中各设备的设备状态。

第四方面，本申请提供一种报文处理装置，应用于网络设备，所述装置包括：

接收单元，用于接收第二报文，所述第二报文的报文头包括第三设备列表的设备顺序、上一设备标识，所述上一设备标识为所述设备顺序中位于本地设备上一顺序的设备的标识；

删除单元，用于依据所述设备顺序，当确定所述本地设备位于所述设备顺序的最后一位时，删除所述第二报文的报文头；

第二转发单元，用于转发得到的第一报文。

可选的，报文处理装置还包括：

第二确定单元，用于当确定所述本地设备不位于所述设备顺序的最后一位时，依据所述设备顺序，确定下一顺序的下一设备；

第二替换单元，用于替换所述报文头的上一设备标识为本地标识；

所述第二转发单元，还用于向下一设备转发替换后的报文。

所述网络设备还存储设备标识映射表，所述设备标识映射表包括所述第三设备列表中各设备的设备标识以及各设备IP地址的对应关系；则

所述第二确定单元，具体用于依据所述设备标识列表，确定下一设备标识；

所述第二替换单元，具体用于：

替换所述报文头的上一设备标识为本地标识、目的IP地址为所述第一下设备IP地址。

可选的，所述网络设备还存储设备标识映射表，所述设备标识映射表包括第三设备列表中各设备的设备标识、各设备IP地址以及设备类型的对应关系，所述设备类型包括端点设备和中间设备；则所述报文处理装置还包括：

第二查询单元，用于依据所述本地设备标识，在所述设备标识映射表中查询所述本地设备的设备类型；

当所述第二查询单元查询到所述本地设备的设备类型为端点设备时，所述删除单元用于删除所述第二报文的报文头；

当所述第二查询单元查询到所述本地设备的设备类型为中间设备时，所述第二转发单元还用于丢弃所述第二报文。

第五方面，本申请提供一种网络设备，包括处理器CPU和机器可读存储介质，所述机器可读存储介质存储有能够被所述CPU执行的机器可执行指令，所述CPU被所述机器可执行指令促使：实现第一方面任一所述的报文转发方法的步骤。

第六方面，本申请提供一种计算机可读存储介质，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现第一方面任一所述的报文转发方法的步骤。

与现有技术相比，本申请实施例提供的方法，当第一设备列表中的第一设备故障出现异常时，可将第一设备替换为第二设备列表中的备份设备(即第二设备)，从而使第二设备执行本应由第一设备执行的业务逻辑。本申请实施例通过另一种方式实现了服务链功能，同时又比现有服务链技术更加可靠，能够在有一个业务节点出现故障时，能够保证报文继续被处理，避免现有服务链技术导致的丢弃报文的现象。

附图说明

图1为本申请一实施例提供的报文处理流程示意示意图；

图2-1为本申请另一实施例提供的报文处理流程示意示意图；

图2-2为本申请又一实施例提供的报文处理流程示意示意图；

图3-1为本申请一实施例提供的可能的应用场景组网示意图；

图3-2为本申请一实施例提供的图3-1中各设备之间的交互流程图；

图4为本申请一实施例提供的报文处理装置示意图；

图5为本申请一实施例提供的报文处理装置示意图；

图6为本申请一实施例提供的网络设备示意图。

具体实施例

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施例并不代表与本申请相一致的所有实施例。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

发明人发现现有技术存在以下问题：

当前服务链技术可靠性差，当服务链中有一个业务节点出现故障时，会导致报文直接丢弃，缺少灵活的备份路径机制；

本申请实施例提供一种报文处理方法，应用于网络设备，网络设备设置预先设置有访问控制列表ACL，该ACL的匹配项为报文特征，该ACL的匹配动作包括按照第一设备列表的设备顺序按序处理报文以及第二设备列表，第二设备列表包括第一设备列表中各设备对应的备份设备。

在一个实施例中，ACL的格式如下：

MatchItem

ActionList

ActionBakList

各字段解释如下：

MacthItem，匹配项：报文特征。

例如：报文的五元组信息，具体示例如下:

DIP:value#Dport:value#SIP:value#Sport:value#Prop:value。这里，对示例解释如下：

DIP：目的IP地址；

Dport：目的端口；

SIP：源IP地址；

Sport：源端口；

Prop：报文协议；

value：表示关键字值。值可以为范围值，例如IP地址可以为网段地址。

ActionList：动作项为ACL动作列表，为本申请实施例的第一设备列表，表示依次进行报文处理的设备列表，例如：SecDev1，SecDev2……SecDevi等。

在一个示例中，按照报文的处理顺序，配置该动作列表，因此，设备列表中的设备顺序即为报文的处理顺序。例如：动作列表为：SecDev1，SecDev2……SecDevi，那么处理报文的顺序则为SecDev1→SecDev2→……→SecDevi。

应当理解，按照设备顺序，第一设备列表中的设备包括首设备、中间设备及尾设备，为便于描述，本申请实施例将设备分为两种类型：端点设备和中间设备，其中，首设备、尾设备均为端点设备。

ActionBakList：表示备份处理设备列表，为本申请实施例的第二设备列表，格式和ActionList相同，用于表示第一设备列表中各设备对应的备份设备。本列表的作用在于，当第一设备列表中某一设备异常时，可使用第二设备列表中的备份设备替换异常设备执行报文处理。

在一个示例中，第二设备列表同样按照报文的处理顺序配置设备。该备份列表中的每一设备，为第一设备列表中位于相同位置的设备的备份。以下表1为例。

表1

如表1所示，当第一设备列表的SecDev1故障时，则由第二设备列表中位于相同位置的SecDev11执行本应由SecDev1执行的业务逻辑。

请参阅图1，本申请实施例提供的报文处理方法包括101-104。

101、当确定第一报文的报文特征匹配ACL的匹配项时，判断第一设备列表中各设备是否正常。

在一个实施例中，网络设备监测第一设备列表中各设备的设备状态。设备状态用于表示设备正常还是异常。

在另一个实施例中，网络设备还会将监测到的设备状态记录到设备状态表，设备状态表包括设备标识以及设备状态。

一个示例中，设备状态表如下表2所示。

表2

ID

DevName

State

表2中各项解释如下：

ID：设备的ID号，也即设备标识。

DevName：设备名称。

State：设备状态。0：表示正常，1：表示异常。

102、若确定第一设备列表中的第一设备异常，则确定第二设备列表中第一设备对应的第二设备。

以上述表1为例，当第一设备列表的SecDev1故障时，则由第二设备列表中位于相同位置的SecDev11执行本应由SecDev1执行的业务逻辑。

103、替换第一设备列表的第一设备为第二设备，生成第三设备列表。

104、依据第三设备列表的设备顺序、本地设备标识，为第一报文添加报文头，转发得到的第二报文。

利用本申请实施例提供的方法，当第一设备列表中的第一设备故障出现异常时，可将第一设备替换为第二设备列表中的备份设备(即第二设备)，从而使第二设备执行本应由第一设备执行的业务逻辑。本申请实施例通过另一种方式实现了服务链功能，同时又比现有服务链技术更加可靠，能够在有一个业务节点出现故障时，能够保证报文继续被处理，避免现有服务链技术导致的丢弃报文的现象。

在另外某些实施例中，若在第二设备列表中未查询到第一设备对应的第二设备，则删除所述第一设备列表中的第一设备，生成新的第一设备列表。然后依据第一设备列表的设备顺序、本地设备标识，为第一报文添加报文头，转发得到的第二报文。通过此处改进，在第一设备故障出现异常、且第二设备列表中并未设置对应的备份设备的情况下，能够保证报文继续被处理，避免现有服务链技术导致的丢弃报文的现象。

在某些情况下，第一设备列表中的某些设备在第二设备列表中并未配置备份设备，若这些设备出现异常，可跳过该异常设备，由再下一个设备执行业务逻辑。如下表3所示。

表3

如表3所示，当第一设备列表的SecDev2故障时，由于第二设备列表并未设置对应的备份设备，此时跳过SecDev2，由第一设备列表中位于SecDev2下一顺序的SecDev3执行业务逻辑。

在另外的某些实施例中，若确定第一设备列表中的所有设备均正常，则依据第一设备列表中的设备顺序、本地设备的标识，为第一报文添加报文头，转发得到的第二报文。

前述图1为网络设备如何发送报文，相应的，本申请实施例还提供了接收端一侧的报文处理方法，请参阅图2-1，该报文处理方法包括201-202。

201、接收第二报文，第二报文的报文头包括第三设备列表的设备顺序、上一设备标识，上一设备标识为设备顺序中位于本地设备上一顺序的设备的标识。

报文头的描述在前文关于图1的实施例中已经说明，在此不再赘述。

202、依据设备顺序，当确定本地设备位于设备顺序的最后一位时，删除第二报文的报文头，转发得到的第一报文。

在本申请实施例中，当本地设备位于设备顺序的最后一位时，表示本地设备为设备顺序中的最后一个设备，即本地设备为最后一个处理报文的设备。当本地设备处理完报文后，表明第三设备列表中所有的设备均已对报文进行了处理，此时则删除第二报文的报文头，得到原始的第一报文。

然后再依据第一报文原本的目的地址信息(例如目的IP地址、目的端口)，转发该第一报文。

在一个实施例中，当本地设备不位于设备顺序的最后一位时，表明本地设备为中间设备，此时仍需要中间设备按照处理顺序(即设备顺序)转发报文，具体参阅图2-2。

在203、当确定本地设备不位于设备顺序的最后一位时，依据设备顺序，确定下一顺序的下一设备。

204、替换报文头的上一设备标识为本地标识，并向下一设备转发替换后的报文。

下面结合具体示例进行说明。

请参阅图3-1，图3-1示出了一个可能应用场景的组网图。

图3-1中，User1、User2为用户客户端，SecDev1、SecDev2、SecDev3、……SecDevn为对报文进行业务处理的安全设备，SecUniGW1、SecUniGW2为网关，分别为入口网关和出口网关，Server1、Server2为服务器。

具体的，User1的IP地址为192.168.1.1，User2的IP地址为192.168.1.2，Server1的IP地址为10.1.1.1，Server2的IP地址为10.2.2.2。

SecUniGW1为入口网关，IP地址为192.168.1.0，SecUniGW2为出口网关192.168.1.100。其中，SecUniGW1配置有ACL100，ACL100的匹配项为：

DIP：10.1.1.1；

Dport：10000；

SIP：192.168.1.1；

Sport：3000；

Prop：TCP。

ACL100设置的动作项为按照第一设备列表的设备顺序，依次处理报文。第一设备列表为SecUniGW1、SecDev1、SecDev2、SecDev3、SecUniGW2，设备顺序为SecUniGW1、SecDev1、SecDev2、SecDev3、SecUniGW2，则处理报文的顺序为SecUniGW1→SecDev1→SecDev2→SecDev3→SecUniGW2。

应当理解，按照设备顺序，第一设备列表中的设备包括首设备、中间设备及尾设备，为便于描述，本申请实施例将设备分为两种类型：端点设备和中间设备，其中，首设备SecUniGW1、尾设备SecUniGW2均为端点设备，SecDev1、SecDev2、SecDev3为中间设备。

ACL100还设置备份处理设备列表，即第二设备列表SecUniGW11、SecDev5、NULL、SecDev6、SecUniGW22。其中，第二设备列表中的每一设备，为第一设备列表中位于相同位置的设备的备份。即SecUniGW11为SecUniGW1的备份，SecDev5为SecDev1的备份，SecDev2备份为NULL，即SecDev2没有备份，SecDev6为SecDev3的备份，SecUniGW22为SecUniGW2的备份。

ACL100具体如下表4。

表4

此外，图3-1中涉及到的网关、安全设备均要记录设备标识映射表，包括各设备标识、设备类型、设备IP地址，如下表5所示。

表5

表5中各字段解释如下：

ID:设备ID号，即设备标识

Type：设备类型，两种类型，0：表示设备为安全网关设备

1：表示设备为安全单元设备

IP：设备的IP地址。用来标识该设备。在本申请实施例中，所有的设备应路由可达

DevName：设备名称，在本申请实施例中，设备名称应唯一。

在本申请实施例中，会在各个网关中选举一网关作为监测设备，用来检测所有安全设备的设备状态，然后将监测到的设备状态记录到设备状态表，设备状态表包括设备标识以及设备状态。在一些实施例中，还会将记录表的内容向其他网关同步。

选举的方式可以是：选择IP地址最小或最大的网关作为监测设备，选举方式还可以用现有的其他技术，本申请实施例仅作示例。下文以监测设备SecUniGW1为例进行说明。

经过检测后，SecUniGW1记录的设备状态表如下表6。

表6

表6中各项解释如下：

ID：设备的ID号，也即设备标识。

DevName：设备名称。

State：设备状态。0：表示正常，1：表示异常。

结合图3-1所示组网，图3-2示出了一种报文处理方法，下面具体解释。

300、User1发送第一报文，第一报文的五元组信息为：

DIP：10.1.1.1；

Dport：10000；

SIP：192.168.1.1；

Sport：3000；

Prop：TCP。

301、SecUniGW1接收第一报文。

302、SecUniGW1依据第一设备列表中各设备的设备标识，在设备记录表中查询各设备对应的设备状态，以确定第一设备列表中各设备是否正常。

结合表6，查询的结果是SecDev1、SecDev2异常。

303、SecUniGW1在第二设备列表中，确定第一设备列表中异常设备对应的备份设备(备份设备即第二设备)，即SecDev1对应的备份设备SecDev5、SecDev2对应的备份设备NULL。

304、SecUniGW1替换第一设备列表的异常设备为对应的备份设备，且由于SecDev2无备份设备，故删除第一设备列表中的SecDev2，最终生成的第三设备列表为SecUniGW1、SecDev5、SecDev3、SecUniGW2，则报文的处理顺序为SecUniGW1→SecDev5→SecDev3→SecUniGW2。

305、SecUniGW1依据报文头格式，构建报文头，为第一报文添加构建好的报文头，得到第二报文。报文头包括所述第三设备列表对应的设备标识列表、目的IP地址、目的端口、本地设备标识，所述设备标识列表包括第三设备列表中各设备的设备标识、且各设备的设备标识按照报文的处理顺序排序。

具体的，报文头格式如下表7所示。

表7

DIP

Dport

ID

Hlist

表7中各项解释如下：

DIP：目的IP地址，该值为报文的真实的目的IP地址；

Dport：目的端口，报文的真是目的端口；

ID：本地设备标识，即本地设备的ID值；

Hlist：依次进行处理的设备ID值序列，该ID值序列为设备标识列表，表明了第三设备列表的设备顺序。

构建好的报文头如下表8所示。

表8

306、SecUniGW1依据处理顺序，在本地存储的设备标识映射表中查询与下一设备标识对应的下一设备IP地址，即查询与设备标识7对应的IP地址为192.168.1.21，也就是下一个设备SecDev5的IP地址。

307、SecUniGW1替换第二报文的报文头的目的IP地址为下一设备IP地址192.168.1.21，向SecDev5转发替换目的IP地址后的报文。

308、SecDev5接收并解析第二报文，获得报文头。第二报文的报文头包括依次进行处理的设备ID值序列、上一设备标识(即SecUniGW1的ID值1)。

309、SecDev5依据上一设备标识，确定报文头中的设备ID值序列中本次执行业务处理的设备的设备标识为7。SecDev5与本地存储的设备标识映射表中对比，确认自身的设备标识为7，即为本次执行业务处理的设备。

若确认本设备的设备标识不为7，则丢弃接收到的报文。

310、SecDev5依据报文头中的设备ID值序列，确定SecDev5不位于设备顺序的最后一位。

311、SecDev5对第二报文进行业务处理。

312、SecDev5依据处理顺序，确定下一设备标识，并在本地存储的设备标识映射表中查询与下一设备标识对应的下一设备IP地址，即查询与设备标识4对应的IP地址为192.168.1.13，也就是下一个设备SecDev3的IP地址。

313、SecDev5替换第二报文的报文头的目的IP地址为下一设备IP地址192.168.1.13，替换ID为本地设备标识7，向SecDev3转发替换目的IP地址后的第二报文。

SecDev3为中间设备，因此SecDev3的工作过程如308’-313’,具体可对应参阅SecDev5，在此不再特别说明。

314、SecUniGW2接收SecDev3转发的第二报文。其中，第二报文的目的IP为192.168.1.100，ID为SecDev3的设备标识4。

315、SecUniGW2确认设备标识5的设备为执行设备，且自身的设备标识为5，同时设备标识5位于设备ID值序列的最后一位。

316、SecUniGW2依据自身的设备标识，在设备标识映射表中查询自身的设备类型。

若自身的设备类型为端点设备时，则执行317；

当自身的设备类型为中间设备时，则丢弃所述第二报文。

依据前述的内容可知，SecUniGW2查询到自身的设备类型为端点设备，执行317。

317、SecUniGW2删除第二报文的报文头，得到原始的第一报文。

318、SecUniGW2依据第一报文的目的地址信息(例如目的IP地址、目的端口)，转发该第一报文。

综上描述，本申请实施例提供的方案，当第一设备列表中的第一设备故障出现异常时，可将第一设备替换为第二设备列表中的备份设备(即第二设备)，从而使第二设备执行本应由第一设备执行的业务逻辑。本申请实施例通过另一种方式实现了服务链功能，同时又比现有服务链技术更加可靠，能够在有一个业务节点出现故障时，能够保证报文继续被处理，避免现有服务链技术导致的丢弃报文的现象。

进一步的，若在第二设备列表中未查询到第一设备对应的第二设备，则删除所述第一设备列表中的第一设备，生成新的第一设备列表。然后依据第一设备列表的设备顺序、本地设备标识，为第一报文添加报文头，转发得到的第二报文。通过此处改进，在第一设备故障出现异常、且第二设备列表中并未设置对应的备份设备的情况下，能够保证报文继续被处理，避免现有服务链技术导致的丢弃报文的现象。

此外，业务节点出现故障后不再需要人工添加、删除、修改业务节点，本申请实施例方案能够自动提供一种可行的服务路径，为一种智能化的方案，且降低了人力成本。

请参阅图4，本申请实施例还提供一种报文处理装置，应用于网络设备，网络设备设置预先设置有访问控制列表ACL，ACL的匹配项为报文特征，ACL的匹配动作包括按照第一设备列表的设备顺序按序处理报文以及第二设备列表，第二设备列表包括第一设备列表中各设备对应的备份设备，装置包括：

判断单元400，用于当确定第一报文的报文特征匹配ACL的匹配项时，判断第一设备列表中各设备是否正常；

第一确定单元401，用于若确定第一设备列表中的第一设备异常，则确定第二设备列表中第一设备对应的第二设备；

第一替换单元402，用于替换第一设备列表的第一设备为第二设备，生成第三设备列表；

添加单元403，用于依据第三设备列表的设备顺序、本地设备标识，为第一报文添加报文头；

第一转发单元404，用于转发得到的第二报文。

可选的，第一确定单元401还用于：

若在第二设备列表中未查询到第一设备对应的第二设备，则删除第一设备列表中的第一设备，生成新的第一设备列表。

可选的，报文头包括第三设备列表对应的设备标识列表、目的IP地址、目的端口、本地设备标识，设备标识列表包括第三设备列表中各设备的设备标识、且各设备的设备标识按照报文的处理顺序排序，

报文处理装置还包括：生成单元，用于生成设备标识映射表，设备标识映射表包括第三设备列表中各设备的设备标识以及各设备IP地址的对应关系；

第一转发单元，具体用于：

依据处理顺序，在设备标识映射表中查询与下一设备标识对应的下一设备IP地址；

替换第二报文的报文头的目的IP地址为下一设备IP地址，转发替换目的IP地址后的报文。

可选的，第一确定单元，还用于若确定第一设备列表中的所有设备均正常，则依据第一设备列表中的设备顺序、本地设备的标识，为第一报文添加报文头，转发得到的第二报文。

可选的，网络设备存储有设备状态表，设备状态表包括设备标识以及设备状态，设备状态用于表示设备正常还是异常；则

报文处理装置还包括：第一查询单元，用于依据设备标识，在设备状态表中查询第一设备列表中各设备的设备状态。

请参阅图5，本申请实施例提供一种报文处理装置，应用于网络设备，装置包括：

接收单元500，用于接收第二报文，第二报文的报文头包括第三设备列表的设备顺序、上一设备标识，上一设备标识为设备顺序中位于本地设备上一顺序的设备的标识；

删除单元501，用于依据设备顺序，当确定本地设备位于设备顺序的最后一位时，删除第二报文的报文头；

第二转发单元502，用于转发得到的第一报文。

可选的，报文处理装置还包括：

第二确定单元，用于当确定本地设备不位于设备顺序的最后一位时，依据设备顺序，确定下一顺序的下一设备；

第二替换单元，用于替换报文头的上一设备标识为本地标识；

第二转发单元，还用于向下一设备转发替换后的报文。

可选的，报文头包括第三设备列表对应的设备标识列表、目的IP地址、目的端口、上一设备标识，设备标识列表包括第三设备列表中各设备的设备标识、且各设备的设备标识按照报文的处理顺序排序；

网络设备还存储设备标识映射表，设备标识映射表包括第三设备列表中各设备的设备标识以及各设备IP地址的对应关系；则

第二确定单元，具体用于依据设备标识列表，确定下一设备标识；

第二替换单元，具体用于：

依据下一设备标识，确定与下一设备标识对应的下一设备IP地址；

替换报文头的上一设备标识为本地标识、目的IP地址为第一下设备IP地址。

可选的，网络设备还存储设备标识映射表，设备标识映射表包括第三设备列表中各设备的设备标识、各设备IP地址以及设备类型的对应关系，设备类型包括端点设备和中间设备；则报文处理装置还包括：

第二查询单元，用于依据本地设备标识，在设备标识映射表中查询本地设备的设备类型；

当第二查询单元查询到本地设备的设备类型为端点设备时，删除单元用于删除第二报文的报文头；

当第二查询单元查询到本地设备的设备类型为中间设备时，第二转发单元还用于丢弃第二报文。

上述模块/设备中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

请参阅图6，本申请实施例提供一种网络设备，包括处理器610、收发器620和机器可读存储介质630，机器可读存储介质630存储有能够被处理器610执行的机器可执行指令，处理器610被机器可执行指令促使执行本申请实施例所提供的方法的处理方法。

本申请实施例提供一种计算机可读存储介质，计算机可读存储介质内存储有计算机程序，计算机程序被处理器执行时实现第一方面任一的报文转发方法的步骤。

对于模块/设备实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的模块/设备实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims

1.一种报文处理方法，其特征在于，应用于网络设备，所述网络设备设置预先设置有访问控制列表ACL，所述ACL的匹配项为报文特征，所述ACL的匹配动作包括按照第一设备列表的设备顺序按序处理报文以及第二设备列表，所述第二设备列表包括第一设备列表中各设备对应的备份设备，所述方法包括：

依据所述第三设备列表的设备顺序、本地设备标识，为所述第一报文添加报文头，转发得到的第二报文；

其中，所述报文头包括所述第三设备列表对应的设备标识列表、目的IP地址、目的端口、本地设备标识，所述设备标识列表包括第三设备列表中各设备的设备标识、且各设备的设备标识按照报文的处理顺序排序；则

所述转发得到的第二报文，包括：

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

3.根据权利要求1所述的方法，其特征在于，还包括：

4.根据权利要求1所述的方法，其特征在于，所述网络设备存储有设备状态表，所述设备状态表包括设备标识以及设备状态，所述设备状态用于表示设备正常还是异常；则

5.一种报文处理方法，其特征在于，应用于网络设备，所述方法包括：

依据所述设备顺序，当确定所述本地设备位于所述设备顺序的最后一位时，删除所述第二报文的报文头，转发得到的第一报文；

所述方法，还包括：

替换所述报文头的上一设备标识为本地标识，并向下一设备转发替换后的报文；

其中，所述报文头包括所述第三设备列表对应的设备标识列表、目的IP地址、目的端口、上一设备标识，所述设备标识列表包括第三设备列表中各设备的设备标识、且各设备的设备标识按照报文的处理顺序排序；

替换所述报文头的上一设备标识为本地标识、目的IP地址为所述下一设备IP地址，转发替换后的报文。

6.根据权利要求5所述的方法，其特征在于，所述网络设备还存储设备标识映射表，所述设备标识映射表包括第三设备列表中各设备的设备标识、各设备IP地址以及设备类型的对应关系，所述设备类型包括端点设备和中间设备；则

7.一种报文处理装置，其特征在于，应用于网络设备，所述网络设备设置预先设置有访问控制列表ACL，所述ACL的匹配项为报文特征，所述ACL的匹配动作包括按照第一设备列表的设备顺序按序处理报文以及第二设备列表，所述第二设备列表包括第一设备列表中各设备对应的备份设备，所述装置包括：

第一转发单元，用于转发得到的第二报文；

其中，所述报文头包括所述第三设备列表对应的设备标识列表、目的IP地址、目的端口、本地设备标识，所述设备标识列表包括第三设备列表中各设备的设备标识、且各设备的设备标识按照报文的处理顺序排序；

所述装置，还包括：

生成单元，用于生成设备标识映射表，设备标识映射表包括第三设备列表中各设备的设备标识以及各设备IP地址的对应关系；

所述第一转发单元，具体用于依据所述处理顺序，在所述设备标识映射表中查询与下一设备标识对应的下一设备IP地址；替换所述第二报文的报文头的目的IP地址为所述下一设备IP地址，转发替换目的IP地址后的报文。

8.一种报文处理装置，其特征在于，应用于网络设备，所述装置包括：

第二转发单元，用于转发得到的第一报文；

所述装置，还包括：

所述第二转发单元，还用于向下一设备转发替换后的报文；

所述第二确定单元，具体用于依据设备标识列表，确定下一设备标识；

第二替换单元，具体用于依据下一设备标识，确定与下一设备标识对应的下一设备IP地址；替换报文头的上一设备标识为本地标识、目的IP地址为第一下设备IP地址。

9.一种网络设备，其特征在于，包括处理器CPU和机器可读存储介质，所述机器可读存储介质存储有能够被所述CPU执行的机器可执行指令，所述CPU被所述机器可执行指令促使：实现权利要求1-6任一所述的报文处理方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-6任一所述的报文处理方法的步骤。