CN115297056A - 一种基于fpga实现的掩码匹配方法及系统 - Google Patents

Abstract

本发明公开了基于FPGA实现的掩码匹配方法，将掩码和配置关键字分别拆分为多组子掩码和多组子配置关键字，将子配置关键字和子掩码做掩码运算得到多组掩码后的子配置关键字；将掩码后的子配置关键字进行运算得到第一哈希值，将第一哈希值作为存储地址，得到存储有多组掩码后的子配置关键字的存储表；将报文中的关键字拆分为多组子关键字，将子关键字和子掩码做掩码运算得到掩码后的子关键字，将组掩码后的子关键字进行哈希运算得到多个第二哈希值；在存储表中查询得到第二哈希值所对应的存储地址，将对应的掩码后的子配置关键字与掩码后的子关键字进行比较，若一致时，判定该报文命中规则。通过该发明增加了访问控制列表的条目，能够实现降成本。

Description

一种基于FPGA实现的掩码匹配方法及系统

技术领域

本发明涉及通信技术领域，尤其涉及一种基于FPGA实现的掩码匹配方法及系统。

背景技术

数据网络通信过程中对IP报文进行交换和路由时，需要对IP某段进行匹配或者某些单bit的模糊匹配查找，通过模糊查找可以实现少量的规则数据就能够满足实际的使用需求。在路由器等网络设备中，通过设置访问控制列表（Access Control List，访问控制列表）的控制规则，对每个到来的数据包，从数据包获取相关的信息，基于访问控制列表设置的规则，确定该数据包的下一步处理方式，比如丢弃、转发等。

传统路由器一般会使用硬件TCAM（Ternary Content Addressable Memory，三态内容寻址存储器）来实现。TCAM用于实现ACL功能和路由等功能。TCAM使用硬件芯片实现数据查找的方式，可以在一个时钟周期内对规则库的所有条目进行查找并在确定的时间周期后给出查找结果。TCAM中每个bit位可以设置为0、1、x三种状态，存储为x的bit位可以屏蔽查找，实现掩码匹配功能，使其既能进行精确匹配查找，又能进行模糊匹配查找。但是TCAM制造成本昂贵，能够存储的规则库大小有限，访问控制列表的条目较少，所以用TCAM实现ACL功能是相对昂贵的方案。

发明内容

本发明的目的在于提供一种基于FPGA实现的掩码匹配方法及系统，增加了访问控制列表的条目，并能够实现降成本。

为实现上述目的，本发明提供了一种基于FPGA实现的掩码匹配方法，所述方法包括:

获取用户配置的掩码和配置关键字，按照相同的拆分格式分别将所述掩码和配置关键字拆分为多组子掩码和多组子配置关键字；

将每一组子配置关键字和对应组的子掩码做掩码运算，得到多组掩码后的子配置关键字；

将每一组掩码后的子配置关键字进行哈希运算得到多个第一哈希值，将每一个第一哈希值作为存储地址，该组掩码后的子配置关键字存储到该存储地址对应的存储空间，以得到存储有多组掩码后的子配置关键字的存储表；

获取接收到的报文中的关键字，将所述关键字拆分为多组子关键字，将每一组子关键字和对应组的子掩码做掩码运算，得到对应的掩码后的子关键字，将每一组掩码后的子关键字进行哈希运算得到多个第二哈希值；

在所述存储表中查询得到每一个第二哈希值所对应的存储地址，将该存储地址对应的掩码后的子配置关键字与掩码后的子关键字进行比较，若所有组的掩码后的子关键字与对应的掩码后的子配置关键字均一致时，判定该报文命中规则。

优选的，所述配置关键字、掩码以及关键字，均包括源IP地址、目的IP地址、源端口、目的端口、IP协议号和协议版本。

优选的，所述按照拆分格式将所述配置关键字拆分为多组子配置关键字，拆分的步骤包括：

将源IP地址按照比特位从低位到高位的顺序依次进行分组，将源IP地址中M1个bit位作为一组源IP地址，将得到的各组源IP地址依次循环放入到对应的每一组子配置关键字中；

将目的地址按照比特位从高位到低位的顺序依次进行分组，将目的地址中M1个bit位作为一组目的IP地址，将得到的各组目的IP地址依次循环放入到对应的每一组子配置关键字中；

将源端口按照比特位从低位到高位的顺序依次进行分组，将源端口中M2个bit位作为一组源端口地址，将得到的各组源端口地址依次循环放入到对应的每一组子配置关键字中；

将目的端口按照从比特位从高位到低位的顺序依次进行分组，将目的端口中M2个bit位作为一组目的端口地址，将得到的各组目的端口地址依次循环放入到对应的每一组子配置关键字中。

优选的，所述拆分的步骤包括：

设置将配置关键字拆分为4组子配置关键字；

将源IP地址的第1个8 bit值放入到第一组子配置关键字中，将源IP地址的第2个8bit值放入到第二组子配置关键字中，将源IP地址的第3个8bit值放入到第三组子配置关键字中，将源IP地址的第4个8bit值放入到第四组子配置关键字中，将源IP地址的第5个8bit值放入到第一组子配置关键字中，依次类推，直至源IP地址的所有比特值均放入到对应组的子配置关键字中。

优选的，所述拆分的步骤包括：

将目的IP地址的第16个8 bit值放入到第一组子配置关键字中，将目的IP地址的第15个8 bit值放入到第二组子配置关键字中，将目的IP地址的第14个8bit值放入到第三组子配置关键字中，将目的IP地址的第13个8bit值放入到第四组子配置关键字中，将目的IP地址的第12个8bit值放入到第一组子配置关键字中，依次类推，直至目的IP地址的所有比特值均放入到对应组的子配置关键字中。

优选的，所述拆分的步骤包括：

将源端口的第1个4 bit值放入到第一组子配置关键字中，源端口的第2个4 bit值放入到第二组子配置关键字中，源端口的第3个4 bit值放入到第三组子配置关键字中，将源端口的第4个4 bit值放入到第四组子配置关键字中；

将目的端口的第4个4 bit值放入到第一组子配置关键字中，目的端口的第3个4bit值放入到第二组子配置关键字中，目的端口的第2个4 bit值放入到第三组子配置关键字中，目的端口的第1个4 bit值放入到第四组子配置关键字中。

优选的，所述拆分的步骤包括：

将IP协议号的第1个2bit值放入到第一组子配置关键字中，IP协议号的第2个2bit值放入到第二组子配置关键字中，IP协议号的第3个2bit值放入到第三组子配置关键字中，IP协议号的第4个2bit值放入到第四组子配置关键字中；

将协议版本均放入到4组子配置关键字中。

优选的，所述方法还包括：

若不同的掩码后的子配置关键字进行哈希运算后得到相同的第一哈希值时，将该第一哈希值作为存储地址，将不同的掩码后的子配置关键字分别依次存储到该存储地址，相同的存储地址存储N个不同的掩码后的子配置关键字。

优选的，所述判断报文命中规则的步骤包括：

将报文中的关键字拆分为4组子关键字，分别将4组子关键字和对应组的子掩码做掩码运算，得到对应4组掩码后的子关键字，将4组掩码后的子关键字进行哈希运算得到4个第二哈希值；

在存储表中查找与第一个第二哈希值相同的存储地址，获取该存储地址所存储的N个掩码后的子配置关键字，第一个第二哈希值对应的子关键字分别与N个掩码后的子配置关键字与进行一一匹配，若一致，则输出第一组命中标识；

以此类推，得到第二组命中标识、第三组命中标识以及第四组命中标识，若全部输出第一组命中标识、第二组命中标识、第三组命中标识以及第四组命中标识，则判定该报文命中规则。

为实现上述目的，本发明提供了一种基于FPGA实现的掩码匹配系统，所述系统包括：

第一拆分模块，用于获取用户配置的掩码和配置关键字，按照相同的拆分格式分别将所述掩码和配置关键字拆分为多组子掩码和多组子配置关键字；

运算模块，用于将每一组子配置关键字和对应组的子掩码做掩码运算，得到多组掩码后的子配置关键字；

存储模块，用于将每一组掩码后的子配置关键字进行哈希运算得到多个第一哈希值，将每一个第一哈希值作为存储地址，该组掩码后的子配置关键字存储到该存储地址对应的存储空间，以得到存储有多组掩码后的子配置关键字的存储表；

第二拆分模块，用于获取接收到的报文中的关键字，将所述关键字拆分为多组子关键字，将每一组子关键字和对应组的子掩码做掩码运算，得到对应的掩码后的子关键字，将每一组掩码后的子关键字进行哈希运算得到多个第二哈希值；

匹配模块，用于在所述存储表中查询得到每一个第二哈希值所对应的存储地址，将该存储地址对应的掩码后的子配置关键字与掩码后的子关键字进行比较，若所有组的掩码后的子关键字与对应的掩码后的子配置关键字均一致时，判定该报文命中规则。

本发明通过FPGA实现bit级掩码匹配的技术方案，能够实现访问控制列表的条目数量增多的功能；能够替代TCAM芯片，实现了降成本，同时能够减少硬件PCB布板的空间；基于该发明中的拆分方案，能够节省FPGA资源，能够支持更多的掩码类型。

附图说明

图1是根据本发明的一个实施例中的基于FPGA实现的掩码匹配方法的示意图。

图2是根据本发明的一个实施例中的关键字拆分示意图。

图3是根据本发明的一个实施例中基于FPGA实现的掩码匹配系统的系统框图。

具体实施方式

以下将结合附图所示的具体实施方式对本发明进行详细描述，但这些实施方式并不限制本发明，本领域的普通技术人员根据这些实施方式所做出的结构、方法、或功能上的变换均包含在本发明的保护范围内。

如图1所示的本发明一实施例中，本发明提供一种基于FPGA实现的掩码匹配方法，该方法包括：

S1、获取用户配置的掩码和关键字，按照相同的拆分格式分别将掩码和配置的关键字拆分为多组子掩码和多组子配置关键字；

S2、将每一组子配置关键字和对应组的子掩码做掩码运算，得到多组掩码后的子配置关键字；

S3、将每一组掩码后的子配置关键字进行哈希运算得到多个第一哈希值，将每一个第一哈希值作为存储地址，该组掩码后的子配置关键字存储到该存储地址对应的存储空间，以得到存储有多组掩码后的子配置关键字的存储表；

S4、获取接收到的报文中的关键字，将报文中的关键字拆分为多组子关键字，将每一组子关键字和对应组的子掩码做掩码运算，得到对应的掩码后的子关键字，将每一组掩码后的子关键字进行哈希运算得到多个第二哈希值；

S5、在存储表中查询得到每一个第二哈希值所对应的存储地址，将该存储地址对应的掩码后的子配置关键字与掩码后的子关键字进行比较，若所有组的掩码后的子关键字与对应的掩码后的子配置关键字均一致时，判定该报文命中规则。

在实际的使用过程中，IP的掩码配置种类一般为2~32种。一般掩码类型都是固定的某些种类，比如基于网段设置掩码等。因此，本发明基于掩码配置种类个数，通过FPGA实现基于bit级的掩码匹配。

获取用户配置的掩码和配置关键字，按照相同的拆分格式分别将掩码和配置关键字拆分为多组子掩码和多组子配置关键字。通过软件命令获取用户配置的掩码和配置的配置关键字。用户可根据需要和资源需求，可配置多种掩码类型和多种配置关键字。配置关键字包括源IP地址、目的IP地址、源端口、目的端口、IP协议号和协议版本。掩码包括源IP地址、目的IP地址、源端口、目的端口、IP协议号和协议版本。

将获取的掩码和配置关键字，按照相同的拆分格式分别进行拆分，得到多组子掩码和多组子配置关键字。作为本发明的一种实现方式，以配置的关键字为例进行说明拆分的格式。一般情况下使用掩码的是IP地址的低段位，并且IPV4使用的比较多，因此为了支持更多的掩码类型，将源IP地址按照比特位从低位到高位的顺序依次进行分组。将源IP地址按照比特位从低位到高位的顺序依次进行分组，将源IP地址中M1个bit位作为一组源IP地址，将得到的各组源IP地址依次循环放入到对应的每一组子配置关键字中；将目的地址按照比特位从高位到低位的顺序依次进行分组，将目的地址中M1个bit位作为一组目的IP地址，将得到的各组目的IP地址依次循环放入到对应的每一组子配置关键字中。作为一种实施例，设置将配置关键字拆分为4组子配置关键字。如图2所示的子配置关键字的分组示意图，配置关键字包括源IP地址Sip[127:0]、目的IP地址Dip[127:0]、源端口Sport[15:0]、目的端口Dport[15:0]、IP协议号Pro[7:0]和协议版本Ipver，共297个bit。对源IP地址Sip[127:0]进行拆分，源IP地址Sip[127:0]共128个bit，以8bit为一组进行拆分。将源IP地址的第1个8 bit值Sip[7:0]放入到第一组子配置关键字中，将源IP地址的第2个8 bit值Sip[15:8]放入到第二组子配置关键字中，将源IP地址的第3个8bit值Sip[23: 16]放入到第三组子配置关键字中，将源IP地址的第4个8bit值Sip[31: 24]放入到第四组子配置关键字中，将源IP地址的第5个8bit值Sip[39: 32]放入到第一组子配置关键字中，依次类推，将第16个8 bit值Sip[127: 120]放入到第四组子配置关键字中，直至源IP地址的所有比特值均放入到对应组的子配置关键字中。目的IP地址Dip[127:0]共128个bit，以8bit为一组进行拆分。目的IP地址的拆分方式和源IP地址的拆分方式相反，将目的IP地址按照比特位从高位到低位的顺序依次进行分组，将目的IP地址Dip[127:0]的第16个8 bit值Dip[127:120]放入到第一组子配置关键字中，将目的IP地址的第15个8 bit值Dip[119:112]放入到第二组子配置关键字中，将目的IP地址的第14个8bit值Dip[111:104]放入到第三组子配置关键字中，将目的IP地址的第13个8bit值Dip[103:96]放入到第四组子配置关键字中，将目的IP地址的第12个8bit值Dip[95:88]放入到第一组子配置关键字中，依次类推，将第1个8 bit值Dip[7:0]放入到第四组子配置关键字中，直至目的IP地址的所有比特值均放入到对应组的子配置关键字中。将源端口按照比特位从低位到高位的顺序依次进行分组，将源端口中M2个bit值作为一组源端口地址，将得到的各组源端口地址依次循环放入到对应的每一组子配置关键字中，将目的端口按照比特位从高位到低位的顺序依次进行分组，将目的端口中M2个bit值作为一组目的端口地址，将得到的各组目的端口地址依次循环放入到对应的每一组子配置关键字中。作为一种实施例，如图2所示的子配置关键字的分组示意图，源端口Sport[15:0]共16个bit，以4bit为一组进行拆分。将源端口Sport[15:0]的第1个4 bit值Sport[3:0]放入到第一组子配置关键字中，源端口的第2个4 bit值Sport[7:4]放入到第二组子配置关键字中，源端口的第3个4 bit值Sport[11:8]放入到第三组子配置关键字中，将源端口的第4个4 bit值Sport[15:12]放入到第四组子配置关键字中。同样的，目的端口Dport[15:0]共16个bit，以4bit为一组进行拆分。将目的端口的第4个4 bit值Dport[15:12]放入到第一组子配置关键字中，目的端口的第3个4 bit值Dport[11:8]放入到第二组子配置关键字中，目的端口的第2个4 bit值放入Dport[7:4]到第三组子配置关键字中，将目的端口的第1个4 bit值Dport[3:0]放入到第四组子配置关键字中。IP协议号Pro[7:0]共8个bit，以2it为一组进行拆分。将IP协议号的第1个2bit值Pro[1:0]放入到第一组子配置关键字中，IP协议号的第2个2bit值Pro[3:2]放入到第二组子配置关键字中，IP协议号的第3个2bit值Pro[5:4]放入到第三组子配置关键字中，IP协议号的第4个2bit值Pro[7:6]放入到第四组子配置关键字中。协议版本Ipver为1个bit，将1bit的协议版本Ipver均放入到4组子配置关键字中。

掩码包括源IP地址、目的IP地址、源端口、目的端口、IP协议号和协议版本，同样的，对掩码中的源IP地址按照配置关键字的源IP地址的拆分方式分别放入到4组子掩码中，掩码中的目的IP地址按照配置关键字的目的IP地址的拆分方式分别放入到4组子掩码中，掩码中的源端口按照配置关键字的源端口的拆分方式分别放入到4组子掩码中，掩码中的目的端口按照配置关键字的目的端口的拆分方式分别放入到4组子掩码中，掩码中的IP协议号按照配置关键字的IP协议号的拆分方式分别放入到4组子掩码中，掩码中的协议版本按照配置关键字的协议版本的拆分方式分别放入到4组子掩码中。

将每一组子配置关键字和对应组的子掩码做掩码运算，得到多组掩码后的子配置关键字。以上述实施例为例，将第一组子配置关键字与第一组子掩码进行掩码运算，掩掉对应的bit即为0，得到第一组掩码后的子配置关键字，将第二组子配置关键字与第二子掩码进行掩码运算得到第二组掩码后的子配置关键字，以此类推，得到4组掩码后的子配置关键字。

将每一组掩码后的子配置关键字进行哈希运算得到多个第一哈希值，将每一个第一哈希值作为存储地址，该组掩码后的子配置关键字存储到该存储地址对应的存储空间，以得到存储有多组掩码后的子配置关键字的存储表。以上述实施例为例进行说明，对第一组掩码后的子配置关键字进行哈希运算得到第一个第一哈希值，将该哈希值作为RAM的一个存储地址，在该存储地址写入第一组掩码后的子配置关键字，以存储到RAM中，4组掩码后的子配置关键字经过哈希运算后可得到对应的4个第一哈希值，即得到4个对应的RAM存储地址，将4组掩码后的子配置关键字分别写入RAM中对应的存储地址。基于该技术方案，可支持64种掩码类型，每一个存储地址所对应的存储空间可存储64K条表项。

若不同的掩码后的子配置关键字进行哈希运算后得到相同的第一哈希值，即存储地址一样，会导致存储地址冲突。因此，作为本发明的一种实现方式，若不同的掩码后的子配置关键字进行哈希运算后得到相同的第一哈希值时，将该第一哈希值作为存储地址，将不同的掩码后的子配置关键字分别依次存储到该存储地址，相同的存储地址存储N个不同的掩码后的子配置关键字。N可设置为8，即每一个存储地址可存储8个不同的掩码后的子配置关键字，可支持防8级存储地址冲突。

获取接收到的报文中的关键字，将报文中的关键字拆分为多组子关键字，将每一组子关键字和对应的子掩码做掩码运算，得到对应的掩码后的子关键字，将每一组掩码后的子关键字进行哈希运算得到多个第二哈希值。报文中的关键字包括源IP地址、目的IP地址、源端口、目的端口、IP协议号和协议版本。基于与配置关键字相同的拆分方法，将报文中的关键字拆分为多组子关键字。

在存储表中查询得到每一个第二哈希值所对应的存储地址，将该存储地址对应的子配置关键字与子关键字进行比较，若所有的子关键字与对应的子配置关键字一致时，判定该报文命中规则。以上述实施例进行说明，将报文中的关键字拆分为4组子关键字，分别将4组子关键字和对应组的子掩码做掩码运算，得到对应4组掩码后的子关键字，得到4个第二哈希值。在存储表中查找与第一个第二哈希值相同的存储地址，获取该存储地址所存储的子配置关键字，将存储的子配置关键字与第一个第二哈希值对应的子关键字进行匹配，若一致，则输出第一组命中标识，以此类推，得到第二组命中标识、第三组命中标识以及第四组命中标识，若全部输出第一组命中标识、第二组命中标识、第三组命中标识以及第四组命中标识，则判定该报文命中规则。

上述实施例中，相同的存储地址存储N个不同的掩码后的子配置关键字，因此在判定关键字匹配时，需要对N个子配置关键字进行全部匹配。在存储表中查找与第一个第二哈希值相同的存储地址，获取该存储地址所存储的N个掩码后的子配置关键字，第一个第二哈希值对应的子关键字分别与N个掩码后的子配置关键字与进行一一匹配，若一致，则输出第一组命中标识，以此类推，得到第二组命中标识、第三组命中标识以及第四组命中标识，若全部输出第一组命中标识、第二组命中标识、第三组命中标识以及第四组命中标识，则判定该报文命中规则，后续执行报文的动作。

如图3所示的本发明一实施例中，本发明提供一种基于FPGA实现的掩码匹配系统，该系统包括：

第一拆分模块30，用于获取用户配置的掩码和配置关键字，按照相同的拆分格式分别将所述掩码和配置关键字拆分为多组子掩码和多组子配置关键字；

运算模块31，用于将每一组子配置关键字和对应组的子掩码做掩码运算，得到多组掩码后的子配置关键字；

存储模块32，用于将每一组掩码后的子配置关键字进行哈希运算得到多个第一哈希值，将每一个第一哈希值作为存储地址，该组掩码后的子配置关键字存储到该存储地址对应的存储空间，以得到存储有多组掩码后的子配置关键字的存储表；

第二拆分模块33，用于获取接收到的报文中的关键字，将所述关键字拆分为多组子关键字，将每一组子关键字和对应组的子掩码做掩码运算，得到对应的掩码后的子关键字，将每一组掩码后的子关键字进行哈希运算得到多个第二哈希值；

匹配模块34，用于在所述存储表中查询得到每一个第二哈希值所对应的存储地址，将该存储地址对应的掩码后的子配置关键字与掩码后的子关键字进行比较，若所有组的掩码后的子关键字与对应的掩码后的子配置关键字均一致时，判定该报文命中规则。

尽管为示例目的，已经公开了本发明的优选实施方式，但是本领域的普通技术人员将意识到，在不脱离由所附的权利要求书公开的本发明的范围和精神的情况下，各种改进、增加以及取代是可能的。

Claims (10)

1.一种基于FPGA实现的掩码匹配方法，其特征在于，所述方法包括：

获取用户配置的掩码和配置关键字，按照相同的拆分格式分别将所述掩码和配置关键字拆分为多组子掩码和多组子配置关键字；

将每一组子配置关键字和对应组的子掩码做掩码运算，得到多组掩码后的子配置关键字；

将每一组掩码后的子配置关键字进行哈希运算得到多个第一哈希值，将每一个第一哈希值作为存储地址，该组掩码后的子配置关键字存储到该存储地址对应的存储空间，以得到存储有多组掩码后的子配置关键字的存储表；

获取接收到的报文中的关键字，将所述关键字拆分为多组子关键字，将每一组子关键字和对应组的子掩码做掩码运算，得到对应的掩码后的子关键字，将每一组掩码后的子关键字进行哈希运算得到多个第二哈希值；

在所述存储表中查询得到每一个第二哈希值所对应的存储地址，将该存储地址对应的掩码后的子配置关键字与掩码后的子关键字进行比较，若所有组的掩码后的子关键字与对应的掩码后的子配置关键字均一致时，判定该报文命中规则。

2.如权利要求1所述的基于FPGA实现的掩码匹配方法，其特征在于，所述配置关键字、掩码以及关键字，均包括源IP地址、目的IP地址、源端口、目的端口、IP协议号和协议版本。

3.如权利要求2所述的基于FPGA实现的掩码匹配方法，其特征在于，所述按照拆分格式将所述配置关键字拆分为多组子配置关键字，拆分的步骤包括：

将源IP地址按照比特位从低位到高位的顺序依次进行分组，将源IP地址中M1个bit位作为一组源IP地址，将得到的各组源IP地址依次循环放入到对应的每一组子配置关键字中；

将目的地址按照比特位从高位到低位的顺序依次进行分组，将目的地址中M1个bit位作为一组目的IP地址，将得到的各组目的IP地址依次循环放入到对应的每一组子配置关键字中；

将源端口按照比特位从低位到高位的顺序依次进行分组，将源端口中M2个bit位作为一组源端口地址，将得到的各组源端口地址依次循环放入到对应的每一组子配置关键字中；

将目的端口按照从比特位从高位到低位的顺序依次进行分组，将目的端口中M2个bit位作为一组目的端口地址，将得到的各组目的端口地址依次循环放入到对应的每一组子配置关键字中。

4.如权利要求3所述的基于FPGA实现的掩码匹配方法，其特征在于，所述拆分的步骤包括：

设置将配置关键字拆分为4组子配置关键字；

将源IP地址的第1个8 bit值放入到第一组子配置关键字中，将源IP地址的第2个8 bit值放入到第二组子配置关键字中，将源IP地址的第3个8bit值放入到第三组子配置关键字中，将源IP地址的第4个8bit值放入到第四组子配置关键字中，将源IP地址的第5个8bit值放入到第一组子配置关键字中，依次类推，直至源IP地址的所有比特值均放入到对应组的子配置关键字中。

5.如权利要求4所述的基于FPGA实现的掩码匹配方法，其特征在于，所述拆分的步骤包括：

将目的IP地址的第16个8 bit值放入到第一组子配置关键字中，将目的IP地址的第15个8 bit值放入到第二组子配置关键字中，将目的IP地址的第14个8bit值放入到第三组子配置关键字中，将目的IP地址的第13个8bit值放入到第四组子配置关键字中，将目的IP地址的第12个8bit值放入到第一组子配置关键字中，依次类推，直至目的IP地址的所有比特值均放入到对应组的子配置关键字中。

6.如权利要求4所述的基于FPGA实现的掩码匹配方法，其特征在于，所述拆分的步骤还包括：

将源端口的第1个4 bit值放入到第一组子配置关键字中，源端口的第2个4 bit值放入到第二组子配置关键字中，源端口的第3个4 bit值放入到第三组子配置关键字中，将源端口的第4个4 bit值放入到第四组子配置关键字中；

将目的端口的第4个4 bit值放入到第一组子配置关键字中，目的端口的第3个4 bit值放入到第二组子配置关键字中，目的端口的第2个4 bit值放入到第三组子配置关键字中，目的端口的第1个4 bit值放入到第四组子配置关键字中。

7.如权利要求4所述的基于FPGA实现的掩码匹配方法，其特征在于，所述拆分的步骤还包括：

将IP协议号的第1个2bit值放入到第一组子配置关键字中，IP协议号的第2个2bit值放入到第二组子配置关键字中，IP协议号的第3个2bit值放入到第三组子配置关键字中，IP协议号的第4个2bit值放入到第四组子配置关键字中；

将协议版本均放入到4组子配置关键字中。

8.如权利要求4所述的基于FPGA实现的掩码匹配方法，其特征在于，所述方法还包括；

若不同的掩码后的子配置关键字进行哈希运算后得到相同的第一哈希值时，将该第一哈希值作为存储地址，将不同的掩码后的子配置关键字分别依次存储到该存储地址，相同的存储地址存储N个不同的掩码后的子配置关键字。

9.如权利要求8所述的基于FPGA实现的掩码匹配方法，其特征在于，所述判断报文命中规则的步骤包括：

将报文中的关键字拆分为4组子关键字，分别将4组子关键字和对应组的子掩码做掩码运算，得到对应4组掩码后的子关键字，将4组掩码后的子关键字进行哈希运算得到4个第二哈希值；

在存储表中查找与第一个第二哈希值相同的存储地址，获取该存储地址所存储的N个掩码后的子配置关键字，第一个第二哈希值对应的子关键字分别与N个掩码后的子配置关键字与进行一一匹配，若一致，则输出第一组命中标识；

以此类推，得到第二组命中标识、第三组命中标识以及第四组命中标识，若全部输出第一组命中标识、第二组命中标识、第三组命中标识以及第四组命中标识，则判定该报文命中规则。

10.一种基于FPGA实现的掩码匹配系统，其特征在于，所述系统包括：

第一拆分模块，用于获取用户配置的掩码和配置关键字，按照相同的拆分格式分别将所述掩码和配置关键字拆分为多组子掩码和多组子配置关键字；

运算模块，用于将每一组子配置关键字和对应组的子掩码做掩码运算，得到多组掩码后的子配置关键字；

存储模块，用于将每一组掩码后的子配置关键字进行哈希运算得到多个第一哈希值，将每一个第一哈希值作为存储地址，该组掩码后的子配置关键字存储到该存储地址对应的存储空间，以得到存储有多组掩码后的子配置关键字的存储表；

第二拆分模块，用于获取接收到的报文中的关键字，将所述关键字拆分为多组子关键字，将每一组子关键字和对应组的子掩码做掩码运算，得到对应的掩码后的子关键字，将每一组掩码后的子关键字进行哈希运算得到多个第二哈希值；

匹配模块，用于在所述存储表中查询得到每一个第二哈希值所对应的存储地址，将该存储地址对应的掩码后的子配置关键字与掩码后的子关键字进行比较，若所有组的掩码后的子关键字与对应的掩码后的子配置关键字均一致时，判定该报文命中规则。

Images