CN1897564B

CN1897564B - 基于递归流分类算法的策略路由匹配方法

Info

Publication number: CN1897564B
Application number: CN2005100827532A
Authority: CN
Inventors: 王军; 陈必多
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2005-07-11
Filing date: 2005-07-11
Publication date: 2010-04-14
Anticipated expiration: 2025-07-11
Also published as: CN1897564A

Abstract

本发明提供一种基于递归流分类算法的策略路由匹配方法，在控制层面对路由映射表中的访问控制列表规则进行聚合，构造等价类索引表以及等价类的动作属性表，在转发层面，使用所述递归流分类算法查找过程，进行策略匹配，获取匹配信息。本发明通过整合路由映射表中的所有ACL规则，使得仅需进行一次RFC算法查找，就可以定位到匹配的序列信息，避免单独匹配路由映射表中的每个序列中的每个访问控制列表，大大加快了策略匹配速度，提高了报文进行策略路由转发的性能。

Description

基于递归流分类算法的策略路由匹配方法

技术领域

本发明涉及互联网路由技术，具体地说，涉及一种在实现策略路由功能时，加快报文进行策略匹配速度的方法。

背景技术

策略路由，是网络转发设备的一项重要功能。策略路由为网络管理者提供了较传统路由协议更强的对报文的转发控制能力。

传统上，路由器用从路由协议派生出来的路由表，根据目的地址进行报文的转发。而策略路由不但能够根据目的地址而且能够根据IP报文源地址或应用信息来选择转发路径。策略路由可以在一定程度上实现流量工程，使不同服务质量的流或者不同性质的数据(语音、FTP)走不同的路径，也可以通过修改报文的ToS(Type of Service，服务类型)字段，实现QoS(Qualityof Service，服务质量)。策略路由使网络管理者能根据它提供的机制，制定一个报文采取的具体路径。在当今高性能的网络中，这种选择的自由性是很必要的。

策略路由的设置可以通过使用路由映射表(路由映射表)来完成，一个路由映射表包含多个序列(sequence)，每个序列都有一个编号，序列按编号自小到大顺序排列；每个序列又可以包含多个match(匹配)语句和set(设置)语句；match语句通过指定ACL(Access Control List，访问控制列表)号来定义该序列的匹配条件，一个ACL号对应若干条有优先级的规则的序列，规则按优先级自高到低排列，每条规则描述数据包头部的若干特征条件；set语句则指定了下一跳、出接口以及ToS值等信息，用以指明当满足该序列的匹配条件时，报文应该选择的转发路径及标记的ToS值等。

根据路由映射表对报文进行策略路由的规则如下：

报文按照路由映射表的序列顺序进行匹配，若报文匹配某个序列，则根据该序列的set动作对报文进行策略路由，否则报文继续匹配下一个序列。若报文不能匹配该路由映射表的所有序列，则不做策略路由，按普通的基于目的地址的路由转发。

所谓的报文匹配某个序列，是指报文匹配序列中的某个ACL编号中具有最高优先级的规则(所谓匹配是指报文符合该规则的描述的若干特征)，且该规则的action(动作)属性为permit(允许)。需要说明的是，一个序列可以包含多个ACL号，这些ACL是并列的，并没有先后顺序，当报文不能匹配其中某个ACL时，或者报文匹配某个ACL，但匹配的规则的action属性为deny(禁止)时，可能会匹配另一个ACL，且匹配的规则的action属性为permit，则报文匹配该序列。当序列中不包含任何ACL时，也认为报文匹配该序列。

在由软件实现的ACL匹配算法中，应用较广泛，性能较好的是RFC(递归流分类)算法。RFC算法通过对ACL规则集进行递归分类，构造多个等价类及多级索引表；报文通过对索引表的逐级匹配，可以得到所属的等价类标识(EQID)，并根据该EQID在等价类的action属性表中得到匹配的优先级最高的ACL规则的action属性。

在策略路由的报文匹配过程中使用RFC算法，可以采取如下方法：依次对每个序列中的每个ACL进行RFC算法匹配查找，当找到某一个匹配的ACL，且匹配的规则的action属性为permit后，就可以确定该报文满足该序列的匹配条件，进行下一步的set语句处理。

但是使用上述方法存在效率上的问题，即，最坏情况下需要对每个序列中的每个ACL都进行RFC算法查找，而每次RFC算法查找都要多次访问内存，效率低下。

发明内容

本发明所要解决的技术问题在于提供一种基于递归流分类算法的策略路由匹配方法，在实现策略路由时，可以加快报文进行策略匹配的速度，提升效率。

本发明提供一种基于递归流分类算法的策略路由匹配方法，包括如下步骤：

在控制层面对路由映射表中的访问控制列表规则进行聚合，、构造等价类索引表以及等价类的动作属性表；及

在转发层面，使用所述递归流分类算法查找过程，进行策略匹配，获取匹配信息。

本发明通过整合路由映射表中的所有ACL规则，使得仅需进行一次RFC算法查找，就可以定位到匹配的序列信息，避免单独匹配路由映射表中的每个序列中的每个访问控制列表，大大加快了策略匹配速度，提高了报文进行策略路由转发的性能。

附图说明

图1为本发明所述的基于递归流分类算法的策略路由匹配方法流程示意图；

图2为本发明所述的在控制层面进行预处理部分的流程示意图；

图3为本发明所述的对策略路由使用的路由映射表中的ACL规则进行整合的流程示意图；

图4为本发明所述的构造某个等价类标识对应的动作属性表项的流程示意图。

具体实施方式

如图1所示，为本发明所述的基于递归流分类算法的策略路由匹配方法流程示意图，首先在控制层面对路由映射表中的访问控制列表规则进行聚合，构造等价类索引表以及等价类的动作属性表(步骤101)；然后在转发层面，使用所述递归流分类算法查找过程，进行策略匹配，获取匹配信息(步骤102)。

其中，对步骤101，控制层面的预处理部分，可以通过以下步骤完成，参见图2，首先合并路由映射表中所有单独的访问控制列表为一整体的规则列表(步骤201)；然后使用所述递归流分类算法对所述整体规则列表进行递归分类，得到所有等价类标识及其对应的位图，并生成各级索引表(步骤202)；根据所述等价类标识及其对应的位图，构造等价类的动作属性表(步骤203)。

通过步骤201，对路由映射表中的所有ACL规则进行整合，使得一个路由映射表中的所有ACL规则合并为一个大的规则列表，并可以在规则的排列和规则的内容中包含规则在该路由映射表中所处位置的信息。

通过步骤202，利用RFC算法对新的规则列表进行递归分类，得到所有等价类标识(EQID)及其对应的位图(Class Bitmap，简称CBM)，并生成各级索引表。

通过步骤203，构造最后一级索引表，也就是等价类的action属性表，在每个等价类标识对应的CBM中选择合适的置1的比特(bit)位，将其对应的规则的action属性填入action属性表中。

如图3所示，为对策略路由使用的路由映射表中的ACL规则进行整合的方法流程图，首先生成一个空的ACL规则列表S(步骤301)；依次遍历路由映射表中的序列(步骤302、311)；再依次遍历序列中的ACL(步骤303、310)；判断序列中ACL是否为空(步骤304)？如果某个序列中没有配置匹配ACL，则需要为该序列号增加一条permit any any的默认规则(步骤305)，确保可以匹配到该序列；依次遍历ACL中的规则(步骤306、309)；修改每个ACL规则的action属性(步骤307)，使之不仅包含原来的permit/deny属性，而且包含该规则所属序列编号和ACL号的信息；将当前规则加入规则列表S中(步骤308)；所有的遍历结束后，还可以在规则列表S的最后加入一条deny any any的规则，action属性设为特殊值，以匹配那些不满足上述ACL的报文(图中未示)。

根据上述过程，将一个路由映射表中所有ACL规则序列合并为一个大的规则列表。所处序列编号小的ACL规则位于规则列表S的前面，所处序列编号大的ACL规则位于规则列表S的后面，所处序列编号相同的ACL不分顺序，每个ACL中的规则顺序保持不变。

对于调用RFC算法对新的规则列表S进行递归分类，得到多个等价类标识及其对应的CBM，生成索引表，该过程可以参见中国专利：02136647.0，一种数据包递归流分类方法。

在构造等价类action属性表时，可以与传统的RFC算法有所不同，RFC算法在最后一级索引表中选择存放的是某等价类中最先匹配的ACL规则的信息。而在本方法中，为了遵循策略路由的规则，选择匹配规则时需要综合考虑规则的permit/deny属性以及其所属的序列信息。

因此，构造某个等价类标识对应的action属性表项的具体步骤，如图4所示，首先根据等价类标识获得该等价类对应的CBM(步骤401)；然后设置CBM扫描的起始位CbmScanBit为最低位0，对应规则列表S中的第一条规则。设置上次匹配的序列号号和ACL号为无效值(步骤402)；从CBM的扫描起始位开始向高位扫描，到CBM的最高位结束，寻找第一个置1的bit位(步骤403)，即寻找第一个匹配的规则，(根据前述的构造方法，在规则列表S中最后一条规则是deny any any，必能得到置1的bit位)，将CbmScanBit设置为当前bit位位置加1；判断置1的bit位是否为CBM的最后一位(步骤404)；如果置1的bit位为CBM的最后一位，即对应第一步中最后加入的deny any any规则，则将该规则的aciton填入对应的action属性表项中(步骤405)，结束本次构造；否则，根据找到的置1的bit位的位置可以得到列表S中对应的规则，从该规则的action属性中可以得到该规则所属的序列编号(SeqNo)和ACL编号(AclNo)，以及该规则的permit/deny属性P(步骤406)；判断P是否为permit(步骤407)；如果该规则不为permit属性，而为deny属性，说明不能满足策略匹配，则将当前的序列号和ACL号记录为上次匹配的序列号(LastSeqNo)和上次匹配的ACL号(LastAclNo)(步骤408)，转执行步骤403；如果该规则为permit属性，则判断该规则的序列编号和ACL编号是否与上次匹配的序列号和ACL号相同(步骤409)；如果序列号相同且ACL号也相同，则说明当前匹配的规则与上次匹配的规则在同一个序列的同一个ACL号中，不是该ACL号匹配的第一个规则，不满足策略匹配，直接转步骤403执行；否则，如果序列号或ACL号有一个不同，则说明当前规则满足策略匹配，将该规则的action属性写入对应的action属性表项中(步骤405)，结束本次构造。

这样，报文进行策略匹配只需要进行一次RFC算法查找，就可以从所属的等价类的action属性表中获得报文匹配到的序列号，从而可以进行相应的策略映射了。

另外，为加快控制层面的构造过程，可以在对路由映射表中的ACL规则进行整合的过程中，若某个ACL规则的action属性为deny(不包括最后加入的deny any any规则)，则为其增加附加信息，在其中写入下一个ACL的起始规则的位置信息。这样，在进行CBM扫描时，若发现当前匹配规则为deny，则可以从其附加信息中取得下一次扫描的起始位置，从而加快了扫描过程。

Claims

1.一种基于递归流分类算法的策略路由匹配方法，其特征在于包括如下步骤：

在控制层面对路由映射表中的访问控制列表规则进行聚合，构造等价类索引表以及等价类的动作属性表；具体包括：合并路由映射表中所有单独的访问控制列表为一整体的规则列表；使用所述递归流分类算法对所述整体规则列表进行递归分类，得到所有等价类标识及其对应的位图，并生成各级索引表；根据所述等价类标识及其对应的位图，构造等价类的动作属性表；

其中，合并路由映射表中所有单独的访问控制列表为一整体的规则列表具体包括：生成一个空的规则列表；依次遍历路由映射表中的序列；依次遍历序列中的访问控制列表；如果某个序列中没有配置匹配访问控制列表，则为该序列编号增加一条“permit any any”的默认规则；依次遍历访问控制列表中的规则；修改每个访问控制列表规则的动作属性，使之不仅包含原来的允许/禁止属性，而且包含该规则所属序列编号和访问控制列表编号的信息；将当前规则加入所述规则列表中；所有的遍历结束后，在所述规则列表的最后加入一条“deny any any”的规则，动作属性设为特殊值；在转发层面，使用所述递归流分类算法查找过程，进行策略匹配，获取匹配信息。

2.如权利要求1所述的方法，其特征在于，所述构造等价类的动作属性表步骤，是在每个所述等价类标识对应的位图中选择置1的比特位，将其对应的规则的动作属性填入动作属性表中。

3.如权利要求2所述的方法，其特征在于，所述的选择置1的比特位步骤，是根据路由映射表的配置与对应访问控制列表规则的动作属性，选取合适的置1比特位。

4.如权利要求1所述的方法，其特征在于，所述的规则聚合步骤，包括记录规则在所述路由映射表中所处位置的信息。

5.如权利要求4所述的方法，其特征在于，所述的记录步骤中，在规则的排列和规则的内容中包含规则在该路由映射表中所处位置的信息。

6.如权利要求1所述的方法，其特征在于，所述的将当前规则加入规则列表步骤，序列编号小的访问控制列表规则位于所述规则列表的前面，序列编号大的访问控制列表规则位于所述规则列表的后面，序列编号相同的访问控制列表不分顺序，每个访问控制列表中的规则顺序保持不变。

7.如权利要求1所述的方法，其特征在于，所述的构造等价类的动作属性表步骤，包括如下步骤：

1)根据等价类标识获得该等价类对应的位图；

2)设置位图扫描的起始位为最低位0，对应所述规则列表中的第一条规则，设置上次匹配的序列编号和访问控制列表编号为无效值；

3)从位图的扫描起始位开始向高位扫描，到位图的最高位结束，寻找第一个置1的比特位，将位图扫描的起始位设置为当前比特位位置加1，如果置1的比特位为位图的最后一位，则将该规则的动作属性填入对应的动作属性表项中，结束本次构造；

4)根据找到的置1的比特位的位置可以得到所述规则列表中对应的规则，从该规则的动作属性中可以得到该规则所属的序列编号和访问控制列表编号，以及该规则的允许/禁止属性；

5)如果该规则为禁止属性，则将当前的序列编号和访问控制列表编号记录为上次匹配的序列编号和访问控制列表编号，转步骤3)；

6)如果该规则为允许属性，则判断该规则的序列编号和访问控制列表编号是否与上次匹配的序列编号和访问控制列表编号相同，如果序列编号相同且访问控制列表编号也相同，则转步骤3)，否则，将该规则的动作属性写入对应的动作属性表项中，结束本次构造。

8.如权利要求7所述的方法，其特征在于，所述的对路由映射表中的访问控制列表规则进行合并的过程中，如果某个访问控制列表规则的动作属性为禁止，则为其增加附加信息，在其中写入下一个访问控制列表的起始规则的位置信息，在进行位图扫描时，如果发现当前匹配规则为禁止，则从其附加信息中取得下一次扫描的起始位置。