CN1414757A

CN1414757A - 自动按序配置访问控制列表规则的方法及其应用

Info

Publication number: CN1414757A
Application number: CN 02117607
Authority: CN
Inventors: 王宁; 胡建元
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2002-05-08
Filing date: 2002-05-08
Publication date: 2003-04-30

Abstract

本发明涉及一种自动按序配置访问控制列表规则的方法及其应用。包括：首先用户根据需要配置人工按序配置ACL规则的方法或自动按序配置ACL规则的方法；当配置ACL规则时，用户根据所配置的方法配置ACL规则，如果为人工按序配置ACL规则的方法，则人工对ACL规则进行排序，并将各规则配置到ACL中相应的位置；如果为自动按序配置ACL规则的方法，则系统根据设定的排序原则，自动计算出ACL规则位于ACL中的顺序位置，并将ACL规则按照计算出的顺序位置配置到ACL中。本发明现有技术基础上提供了一种自动配置顺序的方法，为用户提供了一种简捷、高效的ACL规则顺序配置方法，省去了采用现有技术重新配置ACL规则顺所存在的工作量大的缺点。

Description

自动按序配置访问控制列表规则的方法及其应用

技术领域

本发明涉及一种网络访问控制技术，尤其涉及一种访问控制列表中各规则的排序方法。

背景技术

对数据包按照一定的特征信息进行区分并实现访问权限控制是网络设备应该具备的基本功能之一，访问控制列表(ACL)作为数据包的区分标准已经被广泛应用。如防火墙策略、路由策略等，路由器检查接口上每一个到来的数据包，并数据包的特征信息与该接口配置的防火墙策略或路由策略进行匹配，从而决定对该数据包做转发或者丢弃的处理，或者按路由策略指定的还是按缺省路由的指定下一跳进行转发。

ACL一般最多可包含128条相关的规则，各规则中记录着网络地址范围、端口号范围、承载的协议类型及是否允许访问等信息内容，并且各规则中所记录的地址范围或端口范围可以是包含与被包含的关系。ACL规则一般通过以下两种方式引用：一种是按数字排列顺序引用；另一种是按名字顺序引用。ACL规则按内容分有三种形式：标准的ACL规则和扩展的ACL规则以及基于接口过滤的ACL规则；标准的ACL规则仅包括源地址；扩展的ACL规则可以包括源地址、目的地址、源端口号、目的端口号等；基于接口过滤的ACL规则仅规定数据包进入时经过的接口名。

在按ACL规则的排列顺序进行数据包匹配时，只要遇到第一个相匹配的规则便立即返回，而不再继续进行下一条规则的匹配。当ACL中配置了多条具有包含和被包含关系的规则时，若用户要求应用被包含的(表示范围相对较小的)规则对数据包的访问权限进行控制，则表示范围相对较小的规则在ACL中的顺序应该排列在包含该规则的规则前面。目前是采用按照用户配置顺序的人工排序方法。

由上述现有技术可以看出ACL规则的排列顺序不同，将导致同一数据包与不同的规则相匹配，如果用户希望按照自己的要求使各个数据包分别与相应的规则相匹配，则要求ACL中不同表示范围的规则具有不同的匹配优先级，并按照匹配优先级顺序对ACL中的各规则进行排序。当用户配置ACL规则时，例如根据需要向ACL中增加新的规则，若按照现有技术中的人工配置规则顺序的方法组织ACL规则，必须在键入配置命令之前进行大量的人工计算，以确定各规则的优先级，随着规则数量的增加，其工作难度也将成倍地增加。因此，采用现有技术配置ACL规则，如向ACL中增加新的规则，对已经建立的ACL规则进行顺序再调整的工作量非常大，从而使用户向ACL中增加新的规则很不方便。

发明内容

本发明的目的是提供一种自动按序配置访问控制列表规则的方法及其应用的技术方案，使ACL规则的配置顺序调整十分方便，从而为用户配置ACL规则，尤其为用户向ACL中增加新的规则提供了极大的方便。

本发明的目的是这样实现的：一种自动按序配置访问控制列表规则的方法，包括：

(1)根据需要设定访问控制列表(ACL)规则的排序原则；

(2)根据设定的排序原则，自动计算出ACL规则位于ACL中的顺序位置；

(3)将ACL规则按照计算出的顺序位置配置到ACL中。

一种自动按序配置访问控制列表规则的方法的应用，包括：

(21)根据需要配置ACL规则的排序方法，排序方法包括人工按序配置ACL规则的方法和自动按序配置ACL规则的方法；

(22)当配置ACL规则时，查询该ACL规则的排序方法，如果是人工按序配置ACL规则的方法，则执行步骤(23)，如果是自动按序配置ACL规则的方法，则执行步骤(24)；

(23)利用人工按序配置ACL规则的方法对ACL规则进行排序，并将各规则按序配置到ACL中相应的位置；

(24)利用自动按序配置ACL规则的方法对ACL规则进行排序，并将各规则按序配置到ACL中相应的位置。

所述的自动计算出ACL规则位于ACL中的顺序位置，包括：

(31)判断ACL中是否存在表示范围包含该需要确定顺序位置规则的规则，如果存在相应的规则，执行步骤(32)，否则，执行步骤(34)；

(32)确定包含该规则的规则中表示范围最小的规则；

(33)该规则的顺序位置位于该范围最小的规则之前；

(34)该规则的顺序位置按照配置时间顺序的先后进行设置。

所述的规则的表示范围为ACL规则中记录的网络地址范围。

所述的确定包含该规则的规则中的表示范围最小的规则是根据网络地址范围的通配符实现的。

所述的规则的表示范围为ACL规则中记录的网络地址范围及端口范围。

所述的规则的表示范围为ACL规则中记录的接口范围。

所述的自动计算出ACL规则位于ACL中的顺序位置，包括：

(81)判断ACL规则中是否存在网络地址范围包含需要确定顺序位置规则的规则，如果存在，执行步骤(82)，否则，执行步骤(84)；

(82)确定包含该规则的规则中的表示范围最小的规则，执行步骤(83)；

(83)该规则的顺序位置位于该表示范围最小的规则之前，确定该规则在ACL中顺序位置过程结束；

(84)判断ACL规则中是否存在与需要确定顺序位置规则网络地址范围相同的规则，如果存在，执行步骤(85)，否则，执行步骤(86)；

(85)根据ACL规则中记录的端口范围判断是否存在包含该规则的规则，如果存在，执行步骤(82)，否则，执行步骤(86)；

(86)该规则的顺序位置按照配置时间顺序的先后进行设置，确定该规则在ACL中顺序位置过程结束。

所述的利用人工按序配置ACL规则的方法对ACL规则进行排序为：人工根据实际需要依据相应的原则确定各ACL规则在ACL中的顺序位置。

由上述技术方案可以看出，本发明可以根据用户的需要选择设置ACL规则顺序的配置方法，或者是人工配置顺序的方法，或者是自动配置顺序的方法。自动配置顺序的方法是利用地址通配符和端口号范围来确定一条ACL规则的范围，然后根据该范围的大小和用户的需要对各规则进行系统自动排序。本发明是对现有的ACL规则顺序配置方法的一个增强性补充，既保留了原有的人工配置顺序的方法，满足部分用户的需要；又提供了一种新的自动配置顺序的方法，当用户向ACL中增加新的规则，并需要按照规则表示范围的大小进行排序，重新配置ACL规则顺序时，为用户提供了一种简捷、高效的规则顺序配置方法，从而省去了采用人工配置顺序的方法重新配置ACL规则顺所存在的工作量大的缺点。

附图说明

图1为自动按配置访问控制列表规则的方法具体应用流程图。

具体实施方式

自动按序配置ACL规则的方法是利用自动配置顺序的方法对ACL规则进行排序，自动配置顺序的方法是依据“深度优先”的原则进行的，所谓“深度优先”是指表示范围最小的ACL规则在ACL中排在最前面，即存在表示范围包含关系的ACL规则在ACL中是按照表示范围的由小到大依次排列的。表示范围的大小可以通过比较网络地址范围的通配符来确定，通配符越小，则规则的表示范围就越小，比如129.102.1.10.0.0.0指定了一个网络地址：129.102.1.1，而129.102.1.10.0.255.255则指定了一个网段：129.102.1.1-129.102.255.255，这样前者在ACL规则中必需排在前面。

用户利用自动配置顺序的方法配置ACL规则，所依据的具体标准可以分为以下三种情况：

(A)对于标准ACL规则，直接比较源地址通配符，通配符相同的，则按配置时间先后顺序确定ACL规则的顺序；

(B)对于扩展ACL规则，首先比较源地址通配符，相同的再比较目的地址通配符，仍相同的则依次比较源端口号、目的端口号的范围，范围小的排在前面，如果端口号范围也相同，则按配置时间先后顺序确定ACL规则的顺序；

(C)对于基于接口过滤的ACL规则，只需配置了“any”的规则排在后面，配置了“any”的规则表示包含所有的接口，为表示范围最大的规则，其它规则可以按照配置时间先后顺序确定ACL规则的顺序。

本发明所述的自动按序配置访问控制列表规则的方法的应用，不仅保留了现有技术的ACL规则人工配置顺序的方法，又在此基础上增加了ACL规则的自动配置顺序方法，使用户无论是首次向ACL中配置ACL规则，还是后来的向ACL中增加新的ACL规则，均可以很方便地实现。具体实施方式如下所述，参见图1：

步骤1：在现有的创建ACL命令的基础之上，另外配置访问控制列表(ACL)规则的排序方法选项，排序方法包括人工按序配置ACL规则的方法和自动按序配置ACL规则的方法；

用户在配置ACL规则时首先需要指定ACL规则的排序方法，若用户未指定ACL规则的排序方法，则缺省为人工按序配置ACL规则的方法；

步骤2：当用户配置ACL规则时，首先查询用户所配置的ACL规则的排序方法，如果是人工按序配置ACL规则的方法，则执行步骤步骤3，如果是自动按序配置ACL规则的方法，则执行步骤步骤4；

步骤3：用户利用人工按序配置ACL规则的方法对ACL规则进行排序：人工根据需要依据相应的原则确定各规则在ACL中的顺序位置，并将各规则配置到ACL中相应的位置，执行步骤10；

使用人工按序配置ACL规则的方法对ACL规则进行排序时，用户可以按照配置时间顺序的先后确定ACL规则的顺序位置，也可以通过人工计算确定ACL规则的顺序位置；

步骤4：利用自动配置顺序的方法对ACL规则进行排序：判断ACL规则中是否存在网络地址范围包含需要确定顺序位置规则的规则，如果存在，执行步骤5，否则，执行步骤7；

步骤5：确定包含该规则的规则中的表示范围最小的规则，执行步骤6；

步骤6：该规则的顺序位置位于该表示范围最小的规则之前，将该规则配置到ACL中相应的位置，执行步骤10；

步骤7：判断ACL规则中是否存在与需要确定顺序位置规则网络地址范围相同的规则，如果存在，执行步骤8，否则，执行步骤9；

步骤8：根据ACL规则中记录的端口范围判断是否存在包含该规则的规则，如果存在，执行步骤5，否则，执行步骤9；

步骤9：该规则的顺序位置按照配置时间顺序的先后进行设置，将该规则配置到ACL中相应的位置，执行步骤10；

步骤10：配置ACL规则过程结束。

当所配置的ACL为标准的ACL时，则只需要根据网络地址范围确定ACL规则的顺序位置，上述实施例中的部分步骤可以省略；当所配置的ACL为基于接口过滤的ACL时，则同样需要对上述实施例中的部分步骤进行调整，在此不再详细叙述。

下面结合具体实例对本发明做进一步说明：

原先的ACL的创建命令形式如下：

access-list access-list-number(创建ACL及ACL的序号)

为了实现按子规则指定范围的不同来区别它们的匹配优先级，在上述的命令格式基础上增加一个配置ACL规则的排序方法的选项：

access-list access-list-number match-order{config|auto}，其中：

access-list-number为ACL规则的序号，1到199和1000到1999之间的数字；

Config为指定匹配该规则时由人工按序配置ACL规则；

Auto为指定匹配该规则时由系统自动配置顺序，即按“深度优先”的顺序。

对于所有的ACL规则，包括用名字和数字引用的ACL，如果用户配置时不用这一条命令指定ACL规则的排序方法，则缺省为人工按序配置ACL规则，即缺省为“Config”。而且用户一旦指定某一条ACL规则的排序方法，则不允许再更改该顺序，除非把该规则的内容全部删除，再重新指定其匹配顺序。

例如，用户配置了一条命令：

access-list 100 match-order auto

命令指明了序号为100的ACL中ACL规则的排序方法为自动配置顺序的方法，当向该条ACL中增加的规则便会根据地址范围和端口范围的大小，依次从左到右进行比较，并且按照“深度优先”原则对所增加的规则进行排序。接着用户向该条序号为100的ACL中配置下述ACL规则：

access-list 100 permit any any

access-list 100 permit 10.100.0.00.0.255.255 1.1.1.00.0.0.255

access-list 100 permit tcp 10.100.0.00.0.255.255 range 150 1.1.1.10

access-list 100 permit tcp 10.100.0.00.0.255.255 1.1.0.00.0.255.255 range150

其中：“permit”为允许，“ip”为互联网协议，“tcp”为传输控制协议，“range”表示范围。

然后，用户通过命令：show access-list 100(显示序号100的ACL规则)，显示最终的ACL中所配置的各规则的排列顺序为：

Extended IP Access List 100，4 rules(基于IP的序号100的ACL，有4条规则)

0：permit tcp 10.100.0.00.0.255.255 range 150 1.1.1.10

1：permit ip 10.100.0.00.0.255.255 1.1.1.00.0.0.255

2：permit tcp 10.100.0.00.0.255.255 1.1.0.00.0.255.255 range 150

3：permit ip any any

由上述实例可以看出，本发明所述的自动按序配置访问控制列表规则的方法及其应用，不仅实现了ACL规则的自动排序，而且还可以与现有的技术方案相结合，给用户的使用提供了极大的方便。

Claims

1、一种自动按序配置访问控制列表规则的方法，包括：

(1)根据需要设定访问控制列表(ACL)规则的排序原则；

(3)将ACL规则按照计算出的顺序位置配置到ACL中。

2、一种自动按序配置访问控制列表规则的方法的应用，包括：

3、根据权利要求1所述的自动按序配置访问控制列表规则的方法，其特征在于所述的自动计算出ACL规则位于ACL中的顺序位置，包括：

(32)确定包含该规则的规则中表示范围最小的规则；

(33)该规则的顺序位置位于该范围最小的规则之前；

(34)该规则的顺序位置按照配置时间顺序的先后进行设置。

4、根据权利要求3所述的自动按序配置访问控制列表规则的方法，其特征在于所述的规则的表示范围为ACL规则中记录的网络地址范围。

5、根据权利要求4所述的自动按序配置访问控制列表规则的方法，其特征在于：所述的确定包含该规则的规则中的表示范围最小的规则是根据网络地址范围的通配符实现的。

6、根据权利要求3所述的自动按序配置访问控制列表规则的方法，其特征在于所述的规则的表示范围为ACL规则中记录的网络地址范围及端口范围。

7、根据权利要求3所述的自动按序配置访问控制列表规则的方法，其特征在于所述的规则的表示范围为ACL规则中记录的接口范围。

8、根据权利要求6所述的自动按序配置访问控制列表规则的方法，其特征在于所述的自动计算出ACL规则位于ACL中的顺序位置，包括：

9、根据权利要求2所述的自动按序配置访问控制列表规则的方法的应用，其特征在于所述的利用人工按序配置ACL规则的方法对ACL规则进行排序为：由人工根据实际需要依据相应的原则确定各ACL规则在ACL中的顺序位置。