CN112667526B

CN112667526B - 一种访问控制列表电路实现方法及其电路

Info

Publication number: CN112667526B
Application number: CN202110301152.5A
Authority: CN
Inventors: 夏磊; 项禹; 陈盈安; 卢笙
Original assignee: Xinqiyuan Nanjing Semiconductor Technology Co ltd
Current assignee: Xinqiyuan Nanjing Semiconductor Technology Co ltd
Priority date: 2021-03-22
Filing date: 2021-03-22
Publication date: 2021-06-29
Anticipated expiration: 2041-03-22
Also published as: CN112667526A

Abstract

本发明公开了一种访问控制列表电路实现方法，S1、输入的关键字通过hash算法映射得到hash关键字；S2、根据步骤S1中hash关键字在Hash RAM中检索到对应的规则条目的存储地址；S3、通过步骤S2中检索到的规则条目的存储地址在规则库存储RAM进行检索，检索后得到相对应的存储规则；S4、分组合并逻辑通过配置控制RAM中的分组合并信息对步骤S3检索的结果进行运算分组，得到多组查找结果；S5、优先级RAM根据每组查找结果和配置信息给出最高优先级的查找结果，相比现有技术，本发明不在需要访问全部规则库，降低了查找功耗；根据不同的配置信息对不同位宽的关键字进行查找，支持可配置的优先级选项。

Description

一种访问控制列表电路实现方法及其电路

技术领域

本发明涉及集成电路设计领域，具体涉及一种访问控制列表电路实现方法及其电路。

背景技术

目前的网络技术中，伴随光纤通信技术的迅猛发展，链路传输速率已不再是速率提升的主要障碍，安全网关、路由器等网络设备的分类转发速率正在成为提升网络速率的主要瓶颈。未来的通信技术中，不但是通信速率，通信的服务质量如防火墙、VPN、区分服务等机制是更受关注的发展趋势，这些必要的通信服务大都是基于访问控制列表(ACL)技术的。

ACL是Access Control List的英文缩写，中文名为访问控制列表。在路由器等网络设备中，常规的操作就是路由转发，如对于一个IP数据包，根据数据包目的IP地址和路由信息将该报转发出去。而ACL技术提供了更多的服务，通过提取数据包关键信息如OSI七层中的第3层和第4层的报头信息：源IP地址、目的IP地址、源端口号、目的端口号以及传输协议，根据预先定义好的规则，决定该数据包的下一步处理方法，如丢弃、转发、限速和重新分配优先级等。ACL中List的一个条目就是上面所述的关键信息+处理方法，大量这样的条目就是ACL规则库。对于每个到来的数据包，首先从数据包中提取需要查找的关键字信息，ACL电路会在规则库中查找该关键字信息，根据查找结果来确定该数据包的下一步处理方式，如上所述的丢弃、转发、限速和重新分配等。

目前可以使用TCAM(Ternary Content Addressable Memory,三态内容寻址存储器)来实现访问控制列表，TCAM使用硬件芯片实现数据查找的方式，可以在一个时钟周期内对规则库的所有条目进行查找并在确定的时间周期后给出查找结果，相较于软件查找，其查找速率非常快。

由于TCAM在一个时钟周期会访问所有存储的条目，其查找功耗是一个很大的缺点，并且TCAM制造成本相对一般的存储设备更加昂贵，能够存储的规则库大小有限，所以用TCAM实现ACL是相对昂贵的方案。

发明内容

为解决现有技术的不足，本发明的目的在于提供一种低功耗，支持不同位宽关键字的查找，应用灵活的访问控制列表电路实现方法及其电路。

为了实现上述目标，本发明采用如下的技术方案：

一种访问控制列表电路实现方法，其特征在于，包括以下步骤：

S1、输入的关键字通过hash算法映射得到hash关键字；

S2、根据步骤S1中hash关键字在哈希RAM中检索到对应的规则条目的存储地址的高比特位；

S3、通过步骤S2中检索到的规则条目的存储地址在规则库存储RAM进行检索，检索后得到相对应的存储规则；

S4、分组合并逻辑通过配置控制RAM中的分组合并信息对步骤S3检索的结果进行运算分组，得到多组查找结果；

S5、优先级RAM根据每组查找结果和配置信息给出最高优先级的查找结果。

作为本发明的进一步优选，所述步骤S1的具体步骤为：比特选择模块根据配置信息从查找的关键字中获取Hash关键字。

作为本发明的进一步优选，所述步骤S2的具体步骤为：S2.1、hash关键字在哈希RAM中检索到对应的规则条目的存储地址的高比特位；S2.2、关键字选择逻辑模块根据关键字和配置信息得到每个Module电路负责查找的关键字字段偏移；S2.3、逻辑运算单元将存储地址的高比特位与所得关键字字段偏移中的比特位进行逻辑拼接，得到规则的完整存储地址。

一种访问控制列表电路，其特征在于，包括若干个Module电路、若干优先级RAM、若干个分组合并逻辑模块和配置控制RAM；所述Module电路用于存储规则库，执行关键字查找并给出查找结果；所述优先级RAM用于存储规则条目的优先级，当Module电路查找出多个匹配结果时，优先级RAM根据匹配结果和配置信息给出最高优先级的查找结果；所述分组合并逻辑模块用于将查找到的结果进行分组；所述配置控制RAM用于存储查找操作需要的配置信息，通过Profile端口为每次查找从配置控制RAM中提取需要的配置信息，所述配置信息包括Module的级联信息、数据RAM的使能配置信息、分组合并的配置信息、关键字偏移配置信息、掩码配置信息和从关键字产生哈希RAM地址的规则信息。

作为本发明的进一步优选，通过级联若干个所述Module电路根据不同的配置信息，对不同位宽的关键字进行查找。

作为本发明的进一步优选，所述Module电路包括比特选择模块、哈希RAM、数据RAM和若干逻辑运算单元；所述比特选择模块根据配置信息产生哈希RAM的地址；所述哈希RAM用于存储规则库条目的存储地址；所述数据RAM用于存储规则库。

作为本发明的进一步优选，所述数据RAM由若干个BinRAM构成，所述BinRAM存储2bit位宽的规则信息，所述数据RAM存储的规则库条目位宽通过其所包含的BinRAM数确定。

本发明的有益之处在于：本发明通过Hash算法从规则条目中提取hash关键字，再以该Hash关键字确定需要查找的规则条目的存储地址，这样查找不在需要访问全部规则库，大大降低了查找功耗；同时，根据不同的配置信息可以对不同位宽的关键字进行查找，支持可配置的优先级选项，应用灵活。

附图说明

图1是本发明的查找流程示意图；

图2是本发明的电路结构示意图；

图3是Module电路的结构示意图；

图4是Module电路查找步骤流程示意图；

图5是本发明一实施例中的2bit规则与2bit关键字匹配结果示意图；

图6是本发明一实施例中的2bit规则存储结构示意图；

图7是本发明一实施例中的Hash关键字生成与规则存储地址索引示意图；

图8是本发明一实施例中的Module电路级联示意图；

图9是本发明一实施例中的配置控制RAM存储字段示意图；

图10是本发明一实施例中的关键字字段偏移和选择示意图。

具体实施方式

以下结合附图和具体实施例对本发明作具体的介绍。

实施例1，根据图2，一种访问控制列表电路包括8个Module电路、8优先级RAM、8个分组合并逻辑模块和配置控制RAM。

通过级联若干个所述Module电路根据不同的配置信息，对不同位宽的关键字进行查找。

所述Module电路包括比特选择模块、哈希RAM、数据RAM、关键字选择逻辑模块和若干逻辑运算单元；所述比特选择模块根据配置信息产生哈希RAM的地址；所述哈希RAM即图中Hash RAM，用于存储规则库条目的存储地址；所述数据RAM即图中Data RAm，用于存储规则库。

实施例2，根据图3，Module电路包括比特选择模块、哈希RAM、40个数据RAM、关键字选择逻辑模块和若干逻辑运算单元。

所述数据RAM由若干个BinRAM构成，所述BinRAM存储2bit位宽的规则信息，所述数据RAM存储的规则库条目位宽通过其所包含的BinRAM数确定。

实施例3，图5给出了2bit规则与2bit关键字的映射方式，关键字00命中规则中的00、0X、X0和XX，其中“X”表示“不关心”，也就是匹配时不考虑该位状态，所以对于关键字的查找存在多命中的情况；规则库就是规则结合关键字命中结果，该规则库会被预先下发到数据RAM的40个Bin RAM中。

实施例4，图6为BinRAM的一种存储结构；规则01存储于Bin0，ROW0中，规则0X存储于Bin3，ROW0中；需要查找某个关键字时，如关键字00，Hash算法会指示有关规则存储于Bin0中，再以关键字00为地址查找Bin0，ROW0，返回的结果为0，表明关键字未命中，同样查找关键字01时，Hash算法指示有关规则存储于Bin3中，再以关键字01为Bin的查找地址，返回查找结果为1，表示命中。

实施例4中，Module电路支持80bit位宽的关键字查找，且80bit位宽的规则库需要40个BinRAM存储，该实施例支持最多2^16条规则。

实施例5，根据图7，规则库的存储映射方式，如对于规则010X0101，Hash算法会选择规则010X0101的第0、1、5和6bit位作为Hash关键字，该规则在所述BinRAM的存储地址会和所述生成的Hash关键字一一映射，即规则的存储地址可以通过Hash关键字索引HashRAM得到，如上述Hash关键字0110，以0110为HashRAM的索引地址，该地址的关联内容为0001，再以0001为Bin RAM的地址查看相应Bin RAM的匹配结果是否命中。

S1、输入的关键字通过hash算法映射得到hash关键字，即比特选择模块根据配置信息从查找的关键字中获取Hash关键字；

S2.1、hash关键字在哈希RAM中检索到对应的规则条目的存储地址的高比特位；

S2.2、关键字选择逻辑模块根据关键字和配置信息得到每个Module电路负责查找的关键字字段偏移；

S2.3、逻辑运算单元将存储地址的高比特位与所得关键字字段偏移中的比特位进行逻辑拼接，得到规则的完整存储地址。

实施例6，根据图1-10，具体说明一个详细的查找过程：

1、访问控制列表电路将规则库数据下发至数据RAM，将配置信息下发至配置控制RAM；

2、关键字经过Hash运算后得到Hash关键字；

3、Hash关键字会作为索引地址，将规则库在Bin RAM中存储的Bin RAM地址映射到哈希RAM中；

4、哈希RAM根据Hash关键字检索哈希RAM得到规则在Bin RAM存储地址；

5、8个Module级联可以支持最大640bit关键字的查找，查找时需要给出640bit的查找关键字和Profile信号从所述配置控制RAM中提取配置信息；

6、通过Profile可以从配置控制RAM中提取查找配置信息，配置信息包括8个分组合并信号AND_CTL、8个关键字字段提取信号MOD_OFFSET、8个关键字偏移信号KEY_OFFSET、8个Module使能信号MOD_EN和8个掩码信号BM；

7、配置信息KEY_OFFSETn与MOD_OFFSETn对输入关键字执行偏移和字段选择的过程，640bit关键字可以由8个Module元素共同执行查找，针对单个Module电路，在本实施例中，配置信号KEY_OFFSET对640bit执行字段偏移，偏移量以80bit为粒度，如KEY_OFFSET为5时，关键字以80bit为粒度向高位偏移5个粒度，所余3个80bit字段中，再由字段提取信号MOD_OFFSET选取一个80bit字段送入该Module执行查找；本实例中所余3个80bit字段会由级联的三个Module执行查找，再由配置信号MOD_OFFSET确定单个Module负责查找的80bit字段；本实施例中可以由配置信号KEY_OFFSET和MOD_OFFSET将8个Module级联起来执行包括80、160、240、320、400、480、560和640bit位宽的关键字查找，字段偏移和选择过程如图10所示；

8、Module电路中的比特生成逻辑接收640bit关键字，根据相关寄存器配置信息生成Hash关键字作为哈希RAM的地址，以该Hash关键字作为索引检索哈希RAM得到相关结果，该检索结果就是规则在Bin RAM中存储地址的高7位；

9、Module电路接收的80bit key字段，每两位作为一个binRAM的低位地址部分，如本实施例中80bit key的第一位和第二位key[1:0]与上述生成的高7位结合为bin RAM[0]的查找地址，本实施例中的80bit key的key[79:78]与上述高7位结合为bin RAM[39]的查找地址；这样对于关键字的查找不在需要访问数据RAM中存储的所有内容，只需要根据配置信息提供的地址映射规则去查找生成的地址区间即可；

10、40个bin RAM的查找结果做按位与逻辑，同时配置信息中的掩码信号BM的40bit提供给每个bin RAM做掩码操作以节省功耗，本实施例中BM[0]指向bin RAM[0],当BM[0]位低电平时，binRAM[0]将不参与查找，即查找结果为不匹配；

11、8个Module电路执行上述查找操作，给出8个匹配结果；

12、级联Module电路的匹配结果需要分组合并，分组合并逻辑模块和配置信息中的分组合并配置信号执行相应逻辑运算，本实施例中,Module0、Module1和Module2级联执行240bit位宽查找，分组合并信号AND_CTL[0]＝00000111，即表示3个Module的查找结果需要按位与运算结合为240bit关键字的查找结果；

13、优先级RAM存储关键字优先级结果，当Module中有多个Bin RAM给出命中结果，Priority RAM接收该命中结果，以该命中结果为地址检索Priority RAM给出优先级最高的查找结果。

以上显示和描述了本发明的基本原理、主要特征和优点。本行业的技术人员应该了解，上述实施例不以任何形式限制本发明，凡采用等同替换或等效变换的方式所获得的技术方案，均落在本发明的保护范围内。

Claims

1.一种访问控制列表电路，实现该电路的方法，包括以下步骤：S1、输入的关键字通过hash算法映射得到hash关键字；S2、根据步骤S1中hash关键字在Hash RAM中检索到对应的规则条目的存储地址；S3、通过步骤S2中检索到的规则条目的存储地址在规则库存储RAM进行检索，检索后得到相对应的存储规则；S4、分组合并逻辑通过配置控制RAM中的分组合并信息对步骤S3检索的结果进行运算分组，得到多组查找结果；S5、优先级RAM根据每组查找结果和配置信息给出最高优先级的查找结果；其特征在于，包括若干个Module电路、若干优先级RAM、若干个分组合并逻辑模块和配置控制RAM；所述Module电路用于存储规则库，执行关键字查找并给出查找结果；所述优先级RAM用于存储规则条目的优先级，当Module电路查找出多个匹配结果时，优先级RAM根据匹配结果和配置信息给出最高优先级的查找结果；所述分组合并逻辑模块用于将查找到的结果进行分组；所述配置控制RAM用于存储查找操作需要的配置信息，通过Profile端口为每次查找从配置控制RAM中提取需要的配置信息，所述配置信息包括Module的级联信息、数据RAM的使能配置信息、分组合并的配置信息、关键字偏移配置信息、掩码配置信息和从关键字产生哈希RAM地址的规则信息。

2.根据权利要求1所述的一种访问控制列表电路，其特征在于，所述步骤S1的具体步骤为：比特选择模块根据配置信息从查找的关键字中获取Hash关键字。

3.根据权利要求1所述的一种访问控制列表电路，其特征在于，所述步骤S2的具体步骤为：S2.1、hash关键字在Hash RAM中检索到对应的规则条目的存储地址的高比特位；S2.2、关键字选择逻辑模块根据关键字和配置信息得到每个Module电路负责查找的关键字字段偏移；S2.3、逻辑运算单元将存储地址的高比特位与所得关键字字段偏移中的比特位进行逻辑拼接，得到规则的完整存储地址。

4.根据权利要求1所述的一种访问控制列表电路，其特征在于，通过级联若干个所述Module电路根据不同的配置信息，对不同位宽的关键字进行查找。

5.根据权利要求1所述的一种访问控制列表电路，其特征在于，所述Module电路包括比特选择模块、哈希RAM、数据RAM、关键字选择逻辑模块和若干逻辑运算单元；所述比特选择模块根据配置信息产生哈希RAM的地址；所述哈希RAM用于存储规则库条目的存储地址；所述数据RAM用于存储规则库。

6.根据权利要求5所述的一种访问控制列表电路，其特征在于，所述数据RAM由若干个BinRAM构成，所述BinRAM存储2bit位宽的规则信息，所述数据RAM存储的规则库条目位宽通过其所包含的BinRAM数确定。