CN116471094A - 基于ram和tcam实现ipsg的方法、装置、电子设备及存储介质 - Google Patents

Abstract

本发明公开了一种基于RAM和TCAM实现IPSG的方法、装置、电子设备和存储介质。方法包括接收报文并解析，获得匹配信息；判断接收报文的端口是否使能IPSG功能，在端口使能了IPSG功能时利用匹配信息分别查找RAM和TCAM，进一步判断在RAM和TCAM中是否均未查找到相应绑定表项，并在RAM和TCAM中均未查找到相应绑定表项时丢弃报文。本发明能够解决IPSG规格受限于TCAM资源的问题。

Description

基于RAM和TCAM实现IPSG的方法、装置、电子设备及存储介质

技术领域

本发明是关于网络通信技术领域，特别是关于一种基于RAM和TCAM实现IPSG的方法及实现该方法的装置、电子设备和存储介质。

背景技术

随着网络规模越来越大，基于源IP的攻击也逐渐增多。一些攻击者利用欺骗的手段可获取到网络资源，取得合法使用网络资源的权限，造成被欺骗者无法访问网络，或者信息泄露。

目前，采用IPSG技术来避免基于源IP的网络攻击。这里的IPSG能够针对基于源IP的攻击提供一种防御机制，可有效的防止基于源地址欺骗的网络攻击行为。在具体实施时，IPSG功能是基于绑定表(DHCP动态和静态绑定表)对IP报文进行匹配检查。当设备在转发IP报文时，将此IP报文中的源IP、源MAC(MediaAccess Control)、接口、VLAN(VirtualLocalAreaNetwork)信息和绑定表的信息进行比较，如果信息匹配，表明是合法用户，则允许此报文正常转发，否则认为是攻击报文，并丢弃该IP报文。如下图1所示，DHCP服务器会自动提供IP地址以及其它相关的子网掩码和默认网关等信息，原本报文会从端口2回复给IP地址为B的客户端，但是攻击者伪造合法用户IP地址为B的报文，篡改了交换机上MAC表的出接口信息由端口2变成了端口1，使服务器回复的报文被发送给攻击者。

为了防止此类攻击，可以在交换机上配置IPSG功能，对进入接口的IP报文进行绑定表匹配检查，合法用户发送报文的信息和绑定表一致，允许其通过；攻击者伪造的报文信息和绑定表不一致，交换机将报文丢弃。目前，交换机学习到动态表项或是下静态绑定表时会将相应的表项下在芯片的TCAM资源里。而TCAM是一种三态内容寻址寄存器，使用TCAM可以快速进行大量并行搜索，同时可以支持掩码。然而，TCAM成本较高，芯片中的资源有限，因此IPSG规格会受到较大限制。

公开于该背景技术部分的信息仅仅旨在增加对本发明的总体背景的理解，而不应当被视为承认或以任何形式暗示该信息构成已为本领域一般技术人员所公知的现有技术。

发明内容

本发明的目的在于提供一种基于RAM和TCAM实现IPSG的方法，其能够解决IPSG规格受限于TCAM资源的问题。

本发明的目的还在于提供一种基于RAM和TCAM实现IPSG的装置，其能够解决IPSG规格受限于TCAM资源的问题。

本发明的目的还在于提供一种电子设备，其能够解决IPSG规格受限于TCAM资源的问题。

本发明的目的还在于提供一种计算机可读存储介质，其能够解决IPSG规格受限于TCAM资源的问题。

为实现上述目的，本发明的实施例提供了一种基于RAM和TCAM实现IPSG的方法，所述方法包括：

接收报文并解析，获得匹配信息；

判断接收报文的端口是否使能IPSG功能；

响应于端口使能了IPSG功能，利用所述匹配信息分别查找RAM和TCAM；

判断在RAM和TCAM中是否均未查找到相应绑定表项；

响应于在RAM和TCAM中均未查找到相应绑定表项，丢弃报文。

在本发明的一个或多个实施方式中，所述方法还包括：

响应于在RAM中查找到相应绑定表项，进一步查找转发表；

判断查找转发表中的结果是否为查找到；

响应于查找转发表的结果为查找到，则根据查找结果转发报文，或者响应于查找转发表的结果为未查找到，则丢弃报文。

在本发明的一个或多个实施方式中，所述方法还包括：

响应于在TCAM中查找到相应绑定表项，将报文上送CPU处理。

在本发明的一个或多个实施方式中，所述匹配信息至少包括源IP地址、源MAC地址和VLAN中的一种。

在本发明的一个或多个实施方式中，所述利用所述匹配信息分别查找RAM和TCAM包括：

利用所述匹配信息先查找RAM，再查找TCAM。

在本发明的一个或多个实施方式中，所述RAM中配置有匹配数据报文的RAM绑定表项，所述TCAM中配置有匹配协议报文的TCAM绑定表项。

在本发明的一个或多个实施方式中，所述RAM绑定表项或者TCAM绑定表型中的类型包括端口号与源IP地址、源MAC地址和VLAN中的至少一个组合。

本发明的实施例提供了一种基于RAM和TCAM实现IPSG的装置，所述装置包括：

接收模块，用于接收报文并解析，获得匹配信息；

第一判断模块，用于判断接收报文的端口是否使能IPSG功能；

查找模块，用于在端口使能了IPSG功能时利用所述匹配信息分别查找RAM和TCAM；

第二判断模块，用于判断在RAM和TCAM中是否均未查找到相应绑定表项；

报文处理模块，用于在RAM和TCAM中均未查找到相应绑定表项时丢弃报文。

本发明的实施例提供了一种电子设备，所述电子设备包括：

至少一个处理器；以及

至少一个存储器，所述至少一个存储器被耦合到所述至少一个处理器并且存储用于由所述至少一个处理器执行的计算机程序，所述计算机程序由所述至少一个处理器执行时，使得所述电子设备执行上述所述的方法。

本发明的实施例提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被机器执行时实现上述所述的方法。

与现有技术相比，本发明通过RAM与TCAM结合的方式，将大量的绑定表项下在资源较多的RAM里来节省成本，同时将较少的协议报文用绑定表项下在TCAM里来节省表项数目，最终实现IPSG整体优化方案，有效解决了IPSG规格受限TCAM资源的问题。

附图说明

图1是基于源IP的网络攻击示意图；

图2是根据本发明一实施方式的基于RAM和TCAM实现IPSG的方法流程图；

图3是根据本发明一实施方式的基于RAM的报文处理流程图；

图4是根据本发明一实施方式的基于TCMA的文处理流程图；

图5是根据本发明一实施方式的RAM和TCAM中绑定表项示意图；

图6是根据本发明一实施方式的基于RAM和TCAM实现IPSG的装置结构框图。

具体实施方式

下面结合附图，对本发明的具体实施方式进行详细描述，但应当理解本发明的保护范围并不受具体实施方式的限制。

除非另有其它明确表示，否则在整个说明书和权利要求书中，术语“包括”或其变换如“包含”或“包括有”等等将被理解为包括所陈述的元件或组成部分，而并未排除其它元件或其它组成部分。

如图2所示，根据本发明优选实施方式的一种基于RAM和TCAM实现IPSG的方法，能够解决IPSG规格受限于TCAM资源的问题。具体地，方法包括如下步骤：

S100，接收报文并解析，获得匹配信息；

具体地，网络通信设备(如交换机等)中的报文处理芯片在接收到报文后，通过对报文进行解析处理，可获得报文携带的一些信息。本实施例中，报文处理芯片在接收到报文后，通过对报文进行解析，获得用于后续匹配RAM绑定表和TCAM绑定表的匹配信息。这里的匹配信息至少包括源IP地址、源MAC地址、VLAN中的一种，也就是说，匹配信息至少包括源IP地址、源MAC地址、VLAN中的一种或者多种组合。

S200，判断接收报文的端口是否使能了IPSG功能；

S300，响应于端口使能了IPSG功能，利用所述匹配信息分别查找RAM和TCAM；

具体地，当从报文中获取到匹配信息后，进一步判断接收该报文的端口是否使能了IPSG功能。在具体实施时，为了避免基于源IP的网络攻击，需要针对接收报文的端口使能IPSG功能，因而，可通过相应配置文件或者相应命令，以确定或者查看该接收报文的端口是否使能了IPSG功能。

当确定接收该报文的端口使能了IPSG功能后，进一步利用匹配信息来分别查找RAM和TCAM，以获取相应的RAM绑定表和TCAM绑定表。这里的RAM绑定表存储于RAM中，该RAM绑定表中表项的类型包括端口号与源IP地址、源MAC地址和VLAN中的至少一个组合，如图5所述，表项的类型可为端口号(port)与源IP地址(IP)的组合，也可为端口号与源IP地址的组合、端口号与源MAC地址的组合、端口号与源IP地址、源MAC地址的组合等等。当确定RAM绑定表类型后，报文处理芯片不管学习到的动态表项还是配置的静态表项均按照上述类型进行存储，以供利用匹配信息进行查找。同样地，TCAM绑定表存储于TCAM中，该TCAM绑定表中表项的类型包括端口号与源IP地址、源MAC地址和VLAN中的至少一个组合，如图5所述，表项的类型可为端口号与源IP地址的组合，也可为端口号与源IP地址的组合、端口号与源MAC地址的组合、端口号与源IP地址、源MAC地址的组合等等。当确定RAM绑定表类型后，报文处理芯片不管学习到的动态表项还是配置的静态表项均按照上述类型进行存储，以供利用匹配信息进行查找。

本实施例中，RAM配置的RAM绑定表针对的是数据报文，这些数据报文通过网络通信设备转发出去的报文并没有明显特征，但是流种类会特别多，会占据很多绑定表项规格，因此使用RAM资源实现。因而对于RAM而言，其内配置有大量的RAM绑定表，以保证信任的数据流量的转发。

TCAM配置的TCAM绑定表针对的是协议报文，这些报文数量不多，且具有明显标识，通常都是需要上送给CPU进行处理的，是不希望IPSG把它丢弃掉的，如以dhcpv6为例，即图1的ipv6场景下，由于DHCP服务器和DHCP客户端之间会进行dhcpv6协议交互来分配IP地址，这是不希望被IPSG给丢弃的报文，这些报文有明显特征是fe80::开头的地址，可以利用掩码很方便地做到，因此使用TCAM资源实现。因而，对于TCAM而言，其内配置少量的TCAM绑定表，以匹配特殊的协议报文，以保证正常协议交互的进行。

由上可知，对于大量不同网段的IP地址需要下大量的绑定表项时可采用RAM配置对应的RAM绑定表，RAM比TCAM更具性价比优势。而对于一些灵活场景，如不关心某些比特位，可采用TCAM配置对应的TCAM绑定表。如对于端口号与源IP地址的类型，对于期望将A.B.C.0/24这个网段所有的IP地址都加入绑定表，RAM则需要下A.B.C.1、A.B.C.2、A.B.C.3、……A.B.C.255，而TCAM只要下一个A.B.C.0并带上一个掩码24，就能实现，由此可知，TCAM灵活性较高。当然，至于协议报文，也同样可以用RAM实现，而对于一些可以利用掩码方便实现的，优选使用灵活的TCAM。

S400，判断在RAM和TCAM中是否均未查找到相应绑定表项；

S500，响应于在RAM和TCAM中均未查找到相应绑定表项，丢弃报文。

具体地，当利用匹配信息分别查找RAM和TCAM后，进一步根据两者的查找结果来确定报文的处理，也即判断在RAM中是否查找到RAM绑定表项以及在TCAM中是否查找到TCAM绑定表项。当在RAM中未查找到RAM绑定表项，并且在TCAM中也未查找到TCAM绑定表项，此时将报文进行丢弃处理，实现了非信任报文的丢弃处理，进而可避免网络攻击。

本实施例中，报文处理芯片在入方向处理过程中会利用匹配信息先查找RAM，再查找TCAM，依据两者的查找结果确定最终报文的处理方式。在具体实施时，只有两者的查找结果均为未查找到，才对报文进行丢弃处理。当然，其他实施例中，也可利用匹配信息先查找TCAM，再查找RAM，依据两者的查找结果确定最终报文的处理方式。

进一步地，如图3所示，在查找RAM时，当在RAM中查找到相应RAM绑定表项后，查找转发表。当在转发表中查找到相应结果时，则依据查找到的转发结果进行转发处理，如通过相应出端口将报文转发出去。当在转发表中未查找到相应结果时，则对报文进行丢弃处理。

进一步地，如图4所示，在查找TCAM时，当在TCAM中查找到相应TCAM绑定表项时，将报文上送CPU进行处理。

本发明所揭示的基于RAM和TCAM实现IPSG的方法，通过RAM与TCAM结合的方式，将大量的绑定表项下在资源较多的RAM里来节省成本，同时将较少的协议报文用掩码方式下在TCAM里来节省表项数目，最终实现IPSG整体优化方案，有效解决了IPSG规格受限TCAM资源的问题。

如图6所示，本发明优选实施方式的一种基于RAM和TCAM实现IPSG的装置，可实现上述所述的基于RAM和TCAM实现IPSG的方法，能够解决IPSG规格受限于TCAM资源的问题。具体地，装置包括接收模块、第一判断模块、查找模块、第二判断模块和报文处理模块。其中，接收模块用于接收报文并解析，获得匹配信息；第一判断模块用于判断接收报文的端口是否使能了IPSG功能；查找模块用于在端口使能了IPSG功能时利用所述匹配信息分别查找RAM和TCAM；第二判断模块用于判断接收报文的端口是否使能了IPSG功能；报文处理模块用于在RAM和TCAM中均未查找到相应绑定表项时丢弃报文。

该装置中的各模块与上述方法步骤一一对应，在此不再一一赘述。

本发明一实施例所揭示的电子设备，电子设备可以包括但不限于：个人计算机、服务器计算机、工作站、桌面型计算机、膝上型计算机、笔记本计算机、移动电子设备、智能电话、平板计算机、蜂窝电话、个人数字助理(PDA)、手持装置、消息收发设备、可佩戴电子设备、消费电子设备等等。该电子设备可实现上述所述的基于RAM和TCAM实现IPSG的方法，能够解决IPSG规格受限于TCAM资源的问题。具体地，电子设备包括至少一个存储器、至少一个处理器以及计算机程序，至少一个存储器被耦合到所述至少一个处理器，其中，计算机程序存储于存储器中并可在处理器中运行，如该计算机程序为基于RAM和TCAM实现IPSG的程序等。实施时，处理器执行该计算机程序时可实现上述方法中的各个步骤，如接收报文并解析，获得匹配信息的步骤等等。

这里的计算机程序可被分割成一个或多个单元，所述一个或者多个单元被存储在所述存储器中，并由所述存储器执行，以完成本发明。其中，一个或多个单元可以是能够完成特定功能的一系列计算机程序指令段，该计算机程序指令段用于描述计算机程序在所述电子设备中的执行过程。

需要说明的是，这里的电子设备包括并不限于上述所述的存储器、处理器和计算机程序，也可包括其它，如用于输入指令的输入设备(如键盘等)、用于显示协商结果的显示屏、通信接口等等，这些部件通过总线进行相互间的通信。

本发明还揭示了一种计算机可读存储介质，该计算机可读存储介质中存储有计算机程序，该计算机程序被处理器执行时，可实现上述基于RAM和TCAM实现IPSG的方法。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、可执行文件或某些中间形式等，所述计算机可读介质可以包括能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，RandomAccess Memory)等等。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

前述对本发明的具体示例性实施方案的描述是为了说明和例证的目的。这些描述并非想将本发明限定为所公开的精确形式，并且很显然，根据上述教导，可以进行很多改变和变化。对示例性实施例进行选择和描述的目的在于解释本发明的特定原理及其实际应用，从而使得本领域的技术人员能够实现并利用本发明的各种不同的示例性实施方案以及各种不同的选择和改变。本发明的范围意在由权利要求书及其等同形式所限定。

Claims (10)

1.一种基于RAM和TCAM实现IPSG的方法，其特征在于，所述方法包括：

接收报文并解析，获得匹配信息；

判断接收报文的端口是否使能IPSG功能；

响应于端口使能了IPSG功能，利用所述匹配信息分别查找RAM和TCAM；

判断在RAM和TCAM中是否均未查找到相应绑定表项；

响应于在RAM和TCAM中均未查找到相应绑定表项，丢弃报文。

2.如权利要求1所述的方法，其特征在于，所述方法还包括：

响应于在RAM中查找到相应绑定表项，进一步查找转发表；

判断查找转发表中的结果是否为查找到；

响应于查找转发表的结果为查找到，则根据查找结果转发报文，或者响应于查找转发表的结果为未查找到，则丢弃报文。

3.如权利要求1所述的方法，其特征在于，所述方法还包括：

响应于在TCAM中查找到相应绑定表项，将报文上送CPU处理。

4.如权利要求1所述的方法，其特征在于，所述匹配信息至少包括源IP地址、源MAC地址和VLAN中的一种。

5.如权利要求1所述的方法，其特征在于，所述利用所述匹配信息分别查找RAM和TCAM包括：

利用所述匹配信息先查找RAM，再查找TCAM。

6.如权利要求1所述的方法，其特征在于，所述RAM中配置有匹配数据报文的RAM绑定表项，所述TCAM中配置有匹配协议报文的TCAM绑定表项。

7.如权利要求6所述的方法，其特征在于，所述RAM绑定表项或者TCAM绑定表型中的类型包括端口号与源IP地址、源MAC地址和VLAN中的至少一个组合。

8.一种基于RAM和TCAM实现IPSG的装置，其特征在于，所述装置包括：

接收模块，用于接收报文并解析，获得匹配信息；

第一判断模块，用于判断接收报文的端口是否使能IPSG功能；

查找模块，用于在端口使能了IPSG功能时利用所述匹配信息分别查找RAM和TCAM；

第二判断模块，用于判断在RAM和TCAM中是否均未查找到相应绑定表项；

报文处理模块，用于在RAM和TCAM中均未查找到相应绑定表项时丢弃报文。

9.一种电子设备，其特征在于，所述电子设备包括：

至少一个处理器；以及

至少一个存储器，所述至少一个存储器被耦合到所述至少一个处理器并且存储用于由所述至少一个处理器执行的计算机程序，所述计算机程序由所述至少一个处理器执行时，使得所述电子设备执行权利要求1至7任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，其上存储有计算机程序，所述计算机程序被机器执行时实现权利要求1至7任一项所述的方法。