WO2011032456A1 - 一种检测访问控制列表生效的方法和装置 - Google Patents

一种检测访问控制列表生效的方法和装置 Download PDF

Info

Publication number
WO2011032456A1
WO2011032456A1 PCT/CN2010/076326 CN2010076326W WO2011032456A1 WO 2011032456 A1 WO2011032456 A1 WO 2011032456A1 CN 2010076326 W CN2010076326 W CN 2010076326W WO 2011032456 A1 WO2011032456 A1 WO 2011032456A1
Authority
WO
WIPO (PCT)
Prior art keywords
counter
acl rule
acl
counting
rule
Prior art date
Application number
PCT/CN2010/076326
Other languages
English (en)
French (fr)
Inventor
高峰
李江卫
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to BR112012006123A priority Critical patent/BR112012006123A2/pt
Priority to EP10816660.4A priority patent/EP2466816B1/en
Priority to US13/395,229 priority patent/US20120174209A1/en
Publication of WO2011032456A1 publication Critical patent/WO2011032456A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/54—Store-and-forward switching systems 
    • H04L12/56—Packet switching systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0805—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability
    • H04L43/0811—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability by checking connectivity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/74—Admission control; Resource allocation measures in reaction to resource unavailability
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/02—Protocol performance
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/28—Timers or timing mechanisms used in protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation

Definitions

  • the present invention relates to a service access control control management technology, and more particularly to a method and apparatus for detecting an access control list effective. Background technique
  • the function of the Access Control List is to filter specific packets passing through the network device.
  • the ACL classifies the data packet by a series of matching conditions, which may be the source address, the destination address, and the port number of the data packet.
  • the switch detects the data packet according to the conditions specified in the ACL, thereby determining whether to forward or discard the data packet. .
  • ACLs include port ACLs, global ACLs, and VLAN-ACLs.
  • the port ACL is an ACL that configures different ACL actions for different ports on the device to implement different control on each port.
  • the global ACL provides the user with an ACL configuration mechanism that takes effect on all ports on the device.
  • the ACL of the virtual local area network (VLAN) allows the user to configure ACL action on the VLAN to implement access control on all ports in the VLAN.
  • VLAN virtual local area network
  • ACL acts as a "firewall" in network devices, whether it works properly or not, how to determine whether ACLs work properly becomes a key issue.
  • An ACL rule in a general ACL contains two important parts: the matching rule part (Qualify) and the action part (Action).
  • ⁇ 1 has some attempts, such as:
  • One way is to modify the action of the ACL rule, and let it do a port mirroring action to mirror the data stream to a certain physical port.
  • the ACL rule is valid, the ACL rule is valid. If the physical port of the mirror cannot capture such a data flow, the ACL rule is not matched, that is, the ACL rule does not take effect.
  • Another way is to try to change the action part of the ACL rule to copy the data stream matching the ACL rule to the device's own central processing unit (CPU), that is, change the action to copy to cpu, so that if the data stream can match normally
  • CPU central processing unit
  • the CPU can receive the data stream.
  • the data flow can be seen through the debugging mode of the CPU itself.
  • the ACL rule is valid. If the ACL rule is not matched, the data stream is viewed on the CPU. If it is not, it means that the ACL rule does not take effect.
  • the main purpose of the present invention is to provide a method and apparatus for detecting that an access control list is valid, and to effectively determine whether an ACL rule is valid.
  • the invention provides a method for detecting that an access control list is valid, and the method includes: starting a hook of a currently executed ACL rule according to a hooking manner, each time the action part of the ACL rule is executed;
  • the counter counts according to a preset counting manner, and stores the count value
  • the ACL rule stored in the counter that is attached to the ACL rule is read. If there is a count, the current ACL rule is valid. Otherwise, the ACL rule that is currently read does not take effect.
  • the hooking manner is: a manner in which the startup counter is used as an action in an action part of an ACL rule; or a method of starting a counter by detecting a result of an action part in an ACL rule.
  • the counting mode is: a counting method of the number of packets or a counting method of the number of bytes of the packet;
  • the counting method of the number of messages is that the counter automatically increments the value of the counter every time it is started; the counting method of the number of bytes of the message is the counter value of the counter every time it is started plus the current ACL matching the current execution. The number of bytes of the regular message.
  • the counter is applied in advance in a counter resource pool of the device itself;
  • the application is applied by a static application method or a dynamic application method;
  • the application for the static application mode is: applying a counter for each ACL rule in the device, including applying a counter for each empty ACL rule;
  • the application for the dynamic application mode is: each ACL that needs to be detected in the device.
  • Each rule applies for a counter.
  • the method further comprises clearing the counter value of the counter to zero.
  • the invention provides a device for detecting that an access control list is valid, and the device includes: a startup module, a counter, and a reading module; wherein
  • the startup module is configured to start a counter attached to the currently executed ACL rule according to the hook mode each time an action part of an ACL rule is executed;
  • a counter for counting according to a preset counting manner and storing a counting value
  • a reading module for reading a count value stored in a counter attached to the ACL rule, and if there is a counting value, determining a current reading The ACL rule takes effect. Otherwise, the current ACL rule is invalid.
  • the reading module is further configured to clear the counter value of the counter after reading the count value stored in the counter.
  • the method and the device for detecting the access control list are valid, and the counter is attached to the ACL rule according to a certain hooking manner by applying a counter in the counter resource pool of the device itself in advance;
  • the counter attached to the ACL rule is started according to the hook mode, and the counter counts according to a preset counting manner.
  • the counter value stored in the counter it is judged according to whether there is a count value.
  • the ACL rule takes effect which means that the ACL rule does not increase the network load and does not impact the security of the CPU.
  • the method of checking the count value to determine whether the ACL rule takes effect is simple and can speed up the network fault. The positioning speed.
  • FIG. 1 is a schematic flowchart of a method for detecting that an access control list is valid according to the present invention
  • FIG. 2 is a schematic structural diagram of an apparatus for implementing an effective detection of an access control list according to the present invention. detailed description
  • the basic idea of the present invention is: pre-apply a counter in the counter resource pool of the device itself, and attach the counter to the ACL rule according to a certain hooking manner; each time the action part of the ACL rule is executed, the hook is started according to the hook mode.
  • the counter is attached to the currently executed ACL rule.
  • the counter counts according to the preset counting mode. By reading the counter value stored in the counter, it is determined whether the ACL rule is valid according to whether there is a count value.
  • This method is a static application mode, which occupies the device counter resource, but is empty. When the ACL rule sets a new ACL rule, you do not need to apply for a counter again.
  • the second method is to apply for a counter for each ACL rule to be detected in the device.
  • This mode is a dynamic application mode. This mode occupies less device resources. However, when setting a new ACL rule to be detected, you need to add a new one. The ACL rule that needs to be detected performs the counter application.
  • the hooking manner is specifically: a manner in which the startup counter is used as an action in an action part of an ACL rule; or a method of starting a counter by detecting a result of an action part in an ACL rule.
  • the counting method includes a counting method of the number of packets and a counting method of the number of bytes of the packet.
  • the present invention implements a method for detecting that an access control list is valid, and applies a counter in the counter resource pool of the device itself, and attaches the counter to the ACL rule. As shown in FIG. 1, the method includes the following steps:
  • Step 101 Each time an action part of an ACL rule is executed, the counter attached to the currently executed ACL rule is started according to the hook mode, and is performed according to a preset counting manner. Count, and store the count value;
  • the hook method in which the counter is attached to an ACL rule uses the startup counter as an action in the action part of the ACL rule, each time an action part of the ACL rule is executed, in this section
  • the counter is started in the action part of the ACL rule, and the counter counts according to a preset counting manner; if the counter is attached to an ACL rule, the hook mode is used to detect the result of the action part of the ACL rule to start the counter.
  • the method detects the result of the action part of the ACL rule each time the action part of the ACL rule is executed.
  • the counter is started, the counter counts according to a preset counting manner, and the count value is performed. Store; when not detected, the counter is not started.
  • the counter automatically increments the counting value every time it is started; when the preset counting mode is the message byte number counting mode, The count value of the counter each time it is started plus the number of bytes of the message conforming to this ACL rule.
  • Step 102 Read the count value stored in the counter, and determine whether the ACL rule takes effect according to whether there is a count value;
  • the counter value stored in the counter attached to the ACL rule may be read. If there is a count value, it is determined that the ACL rule takes effect, and vice versa. The ACL rule does not take effect;
  • the present invention implements a device for detecting that an access control list is valid.
  • the device includes: a startup module 21, a counter 22, and a reading module 23;
  • the startup module 21 is configured to start, according to the hook mode, the counter 22 attached to the currently executed ACL rule each time the action part of an ACL rule is executed;
  • the counter 22 is started as the action part of the ACL rule.
  • the startup module 21 is triggered to start the counter 22 in the action part of the ACL rule; if the hook mode is used to detect the ACL rule The result of the middle action part is to start the counter 22, and each time the action part of the ACL rule is executed, the startup module 21 detects the result of the action part of the ACL rule, and when detected, starts the counter 22; When the modulo 21 block is not detected, the counter 22 is not activated;
  • the counter 22 is configured to perform counting according to a preset counting manner, and store the counting value. Specifically, when the preset counting mode is the packet counting mode, the counter 22 is activated every time the startup module 21 is started. The count value is automatically incremented by one; when the preset counting mode is the message byte count mode, the counter 22 increments each time the module is started by the startup module 21, and adds the message conforming to the currently executed ACL rule. Number of bytes
  • the reading module 23 is configured to read the count value stored in the counter 22 attached to an ACL rule. If there is a count value, it determines that the currently read ACL rule takes effect, and vice versa, determines the currently read ACL rule. Not effective;
  • the reading module 23 is further configured to clear the count value of the counter 22 after reading the count value stored in the counter 22.
  • the method of attaching the counter to the ACL rule can effectively determine whether the ACL rule takes effect, so that when the ACL rule is determined to be effective, the network load is not increased, and the CPU of the device is not impacted;
  • the method of checking the count value to determine whether the ACL rule is effective is relatively simple, and can speed up the positioning speed of the network fault.

Abstract

本发明公开了一种检测访问控制列表生效的方法，在每次执行访问控制列表（ACL）规则的动作部分时，按照挂接方式启动挂接在当前执行的ACL规则上的计数器，计数器按照预先设定的计数方式进行计数，通过读取计数器内存储的计数值， 根据是否有计数值判断这条ACL规则是否生效；本发明同时还公开了一种检测访问控制列表生效的装置，能够实现在判断ACL规则是否生效时， 既不增加网络负载， 又不冲击设备中央处理器（CPU）的安全； 此外， 利用查看计数值来判断ACL规则是否生效的方法较为简单，能够加快网络故障的定位速度。

Description

一种检测访问控制列表生效的方法和装置 技术领域
本发明涉及业务接入访问控制管理技术， 尤指一种检测访问控制列表 生效的方法和装置。 背景技术
现今网络发展速度惊人， 网络安全问题也表现的比较突出， 对于承载 着各种网络业务的网络设备（包括路由器、 交换机等）拥有一个自身安全 保护措施显得尤为重要， 访问控制列表就是一个很好的帮手。
访问控制列表（ACL, Access Control List ) 的功能是过滤通过网络设 备的特定数据包。 ACL通过一系列匹配条件对数据包进行分类， 这些条件 可以是数据包的源地址、 目的地址、 端口号， 交换机根据 ACL中指定的条 件来检测数据包， 从而决定是转发还是丟弃该数据包。
ACL包括端口 ACL、 全局 ACL、 VLAN-ACL。 端口 ACL是一种为设 备上不同端口配置不同的 ACL动作的 ACL, 实现对各个端口的不同控制； 全局 ACL给用户提供一种整个设备上所有端口都会生效的 ACL配置机制； VLAN-ACL即基于虚拟局域网 （ VLAN )的 ACL, 用户通过对 VLAN配置 ACL动作 , 从而实现对 VLAN内所有端口的访问控制。
ACL既然是在网络设备中充当 "防火墙" 角色的， 那么它是否能够正 常工作， 如何判断 ACL是否正常工作就成为了一个关键问题。
一般 ACL中的一条 ACL规则包含两个比较重要的部分： 匹配规则部 分（Qualify )和动作部分（ Action )。
例如： 我们需要配置一条 ACL规则是要在端口 A上丟弃源 IP地址是 10.1.1.1的数据包， 那么这条规则的 Qualify = 端口 A + 源 IP 10.1.1.1
Action =丟弃
当这条 ACL规则配置到端口 A上时， 正常情况满足 Qualify条件的数 据包应该就会被丟弃掉了， 但是网络设备往往不是像我们想象的这么简单， 有时这样的报文还是会被正常转发而不会丟弃， 那我们需要通过某种措施 来判断是不是 ACL规则没有生效， 还是 ACL规则虽然生效了， 但是被其 他流程影响导致了报文的转发。
这样， 判断 ACL规则是否生效就是一个必须要解决的问题。
目前 ^1了一些尝试， 例如：
一种方式是可以通过修改这条 ACL规则的 Action, 让它做一个端口镜 像动作， 把数据流镜像到某一个其他的物理端口， 这样， 如果在镜像的物 理端口能抓到这样的数据流， 那么说明这个 ACL规则是能够正常匹配的、 即 ACL规则是生效的， 如果镜像的物理端口抓不到这样的数据流， 就说明 这个 ACL规则没有被匹配到、 即 ACL规则没有生效。
另一种方式是可以尝试把 ACL规则的动作部分改为将匹配 ACL规则 的数据流拷贝到设备自身中央处理器（ CPU )、即把 Action改成 copy to cpu, 这样， 如果数据流能正常匹配 ACL规则的话， CPU就能收到该数据流， 通 过一个 CPU 自身的调试方式就可以看到该数据流， 表示 ACL规则是生效 的； 如果没有匹配 ACL规则， 那么该数据流在 CPU上是看不到的， 也就 表示 ACL规则没有生效。
这两种方式只是是早期诊断 ACL规则是否生效的方式， 这两种方式虽 然能满足要求， 但是都比较繁瑣， 第一种需要借助其他端口， 如果网络设 备的所有端口都被用完了， 这种方式就无法实施了， 而且端口镜像会增加 网络设备的负载， 在现网设备上是不建议使用的； 第二种方式更是危险， 设备的 CPU是用来处理协议报文、 维持设备状态的， 如果有大量的数据报 文被强行的抓到 CPU, 很有可能会导致整个设备都工作异常。 发明内容
有鉴于此， 本发明的主要目的在于提供一种检测访问控制列表生效的 方法和装置， 有效判断 ACL规则是否生效。
为达到上述目的， 本发明的技术方案是这样实现的：
本发明提供的一种检测访问控制列表生效的方法， 该方法包括： 在每次执行 ACL规则的动作部分时， 按照挂接方式启动挂接在当前执 行的 ACL规则上的计数器；
计数器按照预先设定的计数方式进行计数， 并存储计数值；
读取挂接在 ACL规则上的计数器内存储的计数值， 如果有计数值， 则 确定当前读取的 ACL规则生效； 反之， 则确定当前读取的 ACL规则没有 生效。
上述方案中， 所述挂接方式为： 将启动计数器作为一条 ACL规则的动 作部分中的一个动作的方式； 或者是通过检测一条 ACL规则中动作部分的 结果来启动计数器的方式。
上述方案中， 所述计数方式为： 报文个数计数方式或报文字节数计数 方式； 其中，
所述报文个数计数方式为计数器在每次被启动时计数值自动加 1 ; 所述报文字节数计数方式为计数器在每次被启动时计数值加上此次符 合当前执行的 ACL规则的报文的字节数。
上述方案中， 所述计数器预先在设备本身的计数器资源池中申请； 所 述申请釆用静态申请方式申请、 或动态申请方式申请； 其中，
上述方案中， 所述静态申请方式申请为： 为设备中的每条 ACL规则各 申请一个计数器， 包括为每条空的 ACL规则申请一个计数器；
上述方案中，所述动态申请方式申请为：为设备中需要检测的每条 ACL 规则各申请一个计数器。
上述方案中， 所述读取计数器内存储的计数值之后， 该方法进一步包 括对计数器的计数值清 0。
本发明提供的一种检测访问控制列表生效的装置， 该装置包括： 启动 模块、 计数器、 读取模块； 其中，
启动模块， 用于在每次执行一条 ACL规则的动作部分时， 按照挂接方 式， 启动挂接在当前执行的 ACL规则上的计数器；
计数器， 用于按照预先设定的计数方式进行计数， 并存储计数值； 读取模块， 用于读取挂接在 ACL规则上的计数器内存储的计数值， 如 果有计数值， 则确定当前读取的 ACL规则生效， 反之， 则确定当前读取的 ACL规则没有生效。
上述方案中， 所述读取模块进一步用于在读取计数器内存储的计数值 之后， 对计数器的计数值清 0。
本发明提供的一种检测访问控制列表生效的方法和装置， 通过预先在 设备本身的计数器资源池中申请计数器， 将计数器按照一定的挂接方式挂 接在 ACL规则上； 在每次执行 ACL规则的动作部分时， 按照挂接方式启 动挂接在这条 ACL规则上的计数器， 计数器按照预先设定的计数方式进行 计数， 通过读取计数器内存储的计数值， 根据是否有计数值判断这条 ACL 规则是否生效，从而实现在判断 ACL规则是否生效时，既不增加网络负载， 又不冲击设备 CPU的安全； 此外， 利用查看计数值来判断 ACL规则是否 生效的方法较为简单， 能够加快网络故障的定位速度。 附图说明
图 1为本发明实现检测访问控制列表生效的方法的流程示意图； 图 2为本发明实现检测访问控制列表生效的装置的结构示意图。 具体实施方式
本发明的基本思想是： 预先在设备本身的计数器资源池中申请计数器， 将计数器按照一定的挂接方式挂接在 ACL规则上； 在每次执行 ACL规则 的动作部分时，按照挂接方式启动挂接在当前执行的 ACL规则上的计数器， 计数器按照预先设定的计数方式进行计数， 通过读取计数器内存储的计数 值， 根据是否有计数值判断这条 ACL规则是否生效。
其中， 所述预先在设备本身的计数器资源池中申请计数器具体有两种 方式：
一是为设备中的每条 ACL规则各申请一个计数器， 包括为每条空的 ACL规则申请一个计数器， 此方式为静态申请方式， 这种方式会占用设备 计数器资源， 但在为某条空的 ACL规则设置新的 ACL规则时， 就不需要 再申请计数器了；
二是为设备中需要检测的每条 ACL规则各申请一个计数器， 此方式为 动态申请方式，这种方式占用设备资源较少，但在设置新的需要检测的 ACL 规则时， 需要对每条新的需要检测的 ACL规则进行计数器的申请。
所述挂接方式具体为： 将启动计数器作为一条 ACL规则的动作部分中 的一个动作的方式； 或者是通过检测一条 ACL规则中动作部分的结果等途 径来启动计数器的方式。
所述计数方式包括报文个数计数方式和报文字节数计数方式等。
下面通过附图及具体实施例对本发明再做进一步的详细说明。
本发明实现一种检测访问控制列表生效的方法， 预先在设备本身的计 数器资源池中申请计数器， 将计数器挂接在 ACL规则上， 如图 1所示， 该 方法包括以下几个步骤：
步骤 101 : 在每次执行一条 ACL规则的动作部分时， 按照挂接方式启 动挂接在当前执行的 ACL规则上的计数器， 按照预先设定的计数方式进行 计数， 并将计数值进行存储；
具体的， 如果计数器挂接在一条 ACL规则上的挂接方式釆用将启动计 数器作为 ACL规则的动作部分中的一个动作的方式， 则在每次执行一条 ACL规则的动作部分时， 在这条 ACL规则的动作部分里启动计数器， 计数 器按照预先设定的计数方式进行计数； 如果计数器挂接在一条 ACL规则上 的挂接方式釆用通过检测这条 ACL规则中动作部分的结果来启动计数器的 方式， 则在每次执行这条 ACL规则的动作部分时， 检测这条 ACL规则中 动作部分的结果， 当检测到时启动计数器， 计数器按照预先设定的计数方 式进行计数， 并将计数值进行存储； 当没有检测到时， 则不启动计数器。
本步骤中， 当预先设定的计数方式为报文个数计数方式时， 计数器在 每次被启动时计数值自动加 1 ; 当预先设定的计数方式为报文字节数计数方 式时， 计数器在每次被启动时计数值加上此次符合这条 ACL规则的报文的 字节数。
步骤 102: 读取计数器内存储的计数值， 根据是否有计数值判断这条 ACL规则是否生效；
具体的， 在需要判断一条 ACL规则是否生效时， 可以读取挂接在这条 ACL规则上的计数器内存储的计数值， 如果有计数值， 则确定这条 ACL规 则生效， 反之， 则确定这条 ACL规则没有生效；
在本步骤中， 所述读取挂接在这条 ACL规则上的计数器内存储的计数 值同时， 进一步可以对计数器清 0, 防止计数器计数超过最大值。
基于上述方法， 本发明实现一种检测访问控制列表生效的装置， 如图 2 所示， 该装置包括： 启动模块 21、 计数器 22、 读取模块 23; 其中，
启动模块 21 , 用于在每次执行一条 ACL规则的动作部分时，按照挂接 方式启动挂接在当前执行的 ACL规则上的计数器 22;
具体的， 如果挂接方式釆用将启动计数器 22作为 ACL规则的动作部 分中的一个动作的方式， 则在每次执行一条 ACL规则的动作部分时， 在这 条 ACL规则的动作部分里触发启动模块 21启动计数器 22; 如果挂接方式 釆用通过检测这条 ACL规则中动作部分的结果来启动计数器 22的方式， 则在每次执行这条 ACL规则的动作部分时， 启动模块 21检测这条 ACL规 则中动作部分的结果， 当检测到时启动计数器 22; 当启动模 21块没有检测 到时， 则不启动计数器 22;
计数器 22, 用于按照预先设定的计数方式进行计数， 并存储计数值； 具体的， 当预先设定的计数方式为报文个数计数方式时， 计数器 22在 每次被启动模块 21启动时计数值自动加 1 ; 当预先设定的计数方式为报文 字节数计数方式时， 计数器 22在每次被启动模块 21启动时计数值加上此 次符合当前执行的 ACL规则的报文的字节数；
读取模块 23， 用于读取挂接在一条 ACL规则上的计数器 22内存储的 计数值， 如果有计数值， 则确定当前读取的 ACL规则生效， 反之， 则确定 当前读取的 ACL规则没有生效；
进一步的， 所述读取模块 23还用于在读取计数器 22内存储的计数值 之后， 对计数器 22的计数值清 0。
综上所述， 通过在 ACL规则上挂接计数器的方法， 可以有效判断 ACL 规则是否生效，从而实现在判断 ACL规则是否生效时，既不增加网络负载， 又不冲击设备 CPU的安全； 此外， 利用查看计数值来判断 ACL规则是否 生效的方法较为简单， 能够加快网络故障的定位速度。
以上所述， 仅为本发明的较佳实施例而已， 并非用于限定本发明的保 护范围， 凡在本发明的精神和原则之内所作的任何修改、 等同替换和改进 等， 均应包含在本发明的保护范围之内。

Claims

权利要求书
1、 一种检测访问控制列表生效的方法， 其特征在于， 该方法包括： 在每次执行访问控制列表（ACL )规则的动作部分时， 按照挂接方式 启动挂接在当前执行的 ACL规则上的计数器；
计数器按照预先设定的计数方式进行计数， 并存储计数值；
读取挂接在 ACL规则上的计数器内存储的计数值， 如果有计数值， 则 确定当前读取的 ACL规则生效； 反之， 则确定当前读取的 ACL规则没有 生效。
2、 根据权利要求 1所述的方法， 其特征在于， 所述挂接方式为： 将启 动计数器作为一条 ACL规则的动作部分中一个动作的方式； 或者是通过检 测一条 ACL规则中动作部分的结果来启动计数器的方式。
3、 根据权利要求 1或 2所述的方法， 其特征在于， 所述计数方式为： 报文个数计数方式或报文字节数计数方式； 其中，
所述报文个数计数方式为计数器在每次被启动时计数值自动加 1 ; 所述报文字节数计数方式为计数器在每次被启动时计数值加上此次符 合当前执行的 ACL规则的报文的字节数。
4、 根据权利要求 1或 2所述的方法， 其特征在于， 所述计数器预先在 设备本身的计数器资源池中申请； 所述申请釆用静态申请方式申请、 或动 态申请方式申请； 其中，
所述静态申请方式申请为： 为设备中的每条 ACL规则各申请一个计数 器， 包括为每条空的 ACL规则申请一个计数器；
所述动态申请方式申请为： 为设备中需要检测的每条 ACL规则各申请 一个计数器。
5、 根据权利要求 4所述的方法， 其特征在于， 所述读取计数器内存储 的计数值之后， 该方法进一步包括对计数器的计数值清 0。
6、 一种检测访问控制列表生效的装置， 其特征在于， 该装置包括： 启 动模块、 计数器、 读取模块； 其中，
启动模块， 用于在每次执行一条 ACL规则的动作部分时， 按照挂接方 式， 启动挂接在当前执行的 ACL规则上的计数器；
计数器， 用于按照预先设定的计数方式进行计数， 并存储计数值； 读取模块， 用于读取挂接在 ACL规则上的计数器内存储的计数值， 如 果有计数值， 则确定当前读取的 ACL规则生效， 反之， 则确定当前读取的
ACL规则没有生效。
7、 根据权利要求 6所述的装置， 其特征在于， 所述读取模块进一步用 于在读取计数器内存储的计数值之后， 对计数器的计数值清 0。
PCT/CN2010/076326 2009-09-17 2010-08-25 一种检测访问控制列表生效的方法和装置 WO2011032456A1 (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
BR112012006123A BR112012006123A2 (pt) 2009-09-17 2010-08-25 método e dispositivo para detecção da validação da lista de controle de acesso.
EP10816660.4A EP2466816B1 (en) 2009-09-17 2010-08-25 Method and device for detecting validation of an access control list
US13/395,229 US20120174209A1 (en) 2009-09-17 2010-08-25 Method and Device for Detecting Validation of Access Control List

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2009100929619A CN101662425B (zh) 2009-09-17 2009-09-17 一种检测访问控制列表生效的方法和装置
CN200910092961.9 2009-09-17

Publications (1)

Publication Number Publication Date
WO2011032456A1 true WO2011032456A1 (zh) 2011-03-24

Family

ID=41790225

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/076326 WO2011032456A1 (zh) 2009-09-17 2010-08-25 一种检测访问控制列表生效的方法和装置

Country Status (5)

Country Link
US (1) US20120174209A1 (zh)
EP (1) EP2466816B1 (zh)
CN (1) CN101662425B (zh)
BR (1) BR112012006123A2 (zh)
WO (1) WO2011032456A1 (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101662425B (zh) * 2009-09-17 2012-07-04 中兴通讯股份有限公司 一种检测访问控制列表生效的方法和装置
CN103001828A (zh) * 2012-12-04 2013-03-27 北京星网锐捷网络技术有限公司 基于数据流的报文统计方法和装置、网络设备
CN106302306B (zh) * 2015-05-11 2020-06-05 中兴通讯股份有限公司 一种基于访问控制列表acl的流量统计方法及装置
CN107508836B (zh) * 2017-09-27 2019-11-12 杭州迪普科技股份有限公司 一种acl规则下发的方法及装置
CN113328973B (zh) * 2020-02-28 2022-09-23 华为技术有限公司 一种检测访问控制列表acl规则无效的方法和装置
CN117353960A (zh) * 2022-06-29 2024-01-05 中兴通讯股份有限公司 Acl规则处理方法、装置及存储介质
CN115529262A (zh) * 2022-09-16 2022-12-27 杭州云合智网技术有限公司 一种sai thrift中acl命中确认方法、装置、设备及介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060294297A1 (en) * 2005-06-22 2006-12-28 Pankaj Gupta Access control list processor
CN101039271A (zh) * 2007-03-20 2007-09-19 华为技术有限公司 访问控制列表规则生效的方法及装置
CN101247397A (zh) * 2008-03-07 2008-08-20 中兴通讯股份有限公司 一种镜像和访问控制列表功能生效顺序的优化方法
CN101364947A (zh) * 2008-09-08 2009-02-11 中兴通讯股份有限公司 一种访问控制列表规则匹配方法及系统
CN101662425A (zh) * 2009-09-17 2010-03-03 中兴通讯股份有限公司 一种检测访问控制列表生效的方法和装置

Family Cites Families (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6701432B1 (en) * 1999-04-01 2004-03-02 Netscreen Technologies, Inc. Firewall including local bus
US7324514B1 (en) * 2000-01-14 2008-01-29 Cisco Technology, Inc. Implementing access control lists using a balanced hash table of access control list binary comparison trees
FR2844415B1 (fr) * 2002-09-05 2005-02-11 At & T Corp Systeme pare-feu pour interconnecter deux reseaux ip geres par deux entites administratives differentes
US7292531B1 (en) * 2002-12-31 2007-11-06 Packeteer, Inc. Methods, apparatuses and systems facilitating analysis of the performance of network traffic classification configurations
CN1333546C (zh) * 2003-12-12 2007-08-22 华为技术有限公司 一种网络处理器转发故障的诊断方法
US7436770B2 (en) * 2004-01-21 2008-10-14 Alcatel Lucent Metering packet flows for limiting effects of denial of service attacks
EP1800439B1 (en) * 2004-10-05 2008-03-05 Telefonaktiebolaget LM Ericsson (publ) Arrangement and method relating to service provisioning control
CN100349445C (zh) * 2005-03-08 2007-11-14 华为技术有限公司 下一代网络中实现代理请求模式资源预留的方法和系统
CN100466600C (zh) * 2005-03-08 2009-03-04 华为技术有限公司 下一代网络中实现接入配置模式资源预留的方法
US7665128B2 (en) * 2005-04-08 2010-02-16 At&T Corp. Method and apparatus for reducing firewall rules
US7668969B1 (en) * 2005-04-27 2010-02-23 Extreme Networks, Inc. Rule structure for performing network switch functions
CN100428688C (zh) * 2005-06-09 2008-10-22 杭州华三通信技术有限公司 网络攻击的防护方法
US9407662B2 (en) * 2005-12-29 2016-08-02 Nextlabs, Inc. Analyzing activity data of an information management system
CN101079798A (zh) * 2006-05-26 2007-11-28 华为技术有限公司 网络地址转换方法及实现访问控制列表的方法
WO2008093320A1 (en) * 2007-01-31 2008-08-07 Tufin Software Technologies Ltd. System and method for auditing a security policy
US8140666B2 (en) * 2007-03-29 2012-03-20 International Business Machines Corporation Method and apparatus for network distribution and provisioning of applications across multiple domains
US20090125470A1 (en) * 2007-11-09 2009-05-14 Juniper Networks, Inc. System and Method for Managing Access Control Lists
CN101426014B (zh) * 2008-12-02 2013-04-03 中兴通讯股份有限公司 防止组播源攻击的方法及系统
GB2487466A (en) * 2009-11-06 2012-07-25 Ibm Method and system for managing security objects

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060294297A1 (en) * 2005-06-22 2006-12-28 Pankaj Gupta Access control list processor
CN101039271A (zh) * 2007-03-20 2007-09-19 华为技术有限公司 访问控制列表规则生效的方法及装置
CN101247397A (zh) * 2008-03-07 2008-08-20 中兴通讯股份有限公司 一种镜像和访问控制列表功能生效顺序的优化方法
CN101364947A (zh) * 2008-09-08 2009-02-11 中兴通讯股份有限公司 一种访问控制列表规则匹配方法及系统
CN101662425A (zh) * 2009-09-17 2010-03-03 中兴通讯股份有限公司 一种检测访问控制列表生效的方法和装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2466816A4 *

Also Published As

Publication number Publication date
CN101662425A (zh) 2010-03-03
US20120174209A1 (en) 2012-07-05
EP2466816A4 (en) 2014-03-19
BR112012006123A2 (pt) 2016-06-21
EP2466816B1 (en) 2015-05-27
EP2466816A1 (en) 2012-06-20
CN101662425B (zh) 2012-07-04

Similar Documents

Publication Publication Date Title
WO2011032456A1 (zh) 一种检测访问控制列表生效的方法和装置
US8958318B1 (en) Event-based capture of packets from a network flow
Chen et al. Slowing down internet worms
EP2950489B1 (en) Method and device for generating cnm
US9819590B2 (en) Method and apparatus for notifying network abnormality
US9929897B2 (en) Performing a protocol, such as micro bidirectional forwarding detection, on member links of an aggregated link that uses an address of the aggregated link
CN102577240B (zh) 用于采用速率限制进行病毒扼制的方法和装置
WO2011088686A1 (zh) 一种基于vpls的双归保护倒换方法及系统
US20050276228A1 (en) Self-isolating and self-healing networked devices
US10505952B2 (en) Attack detection device, attack detection method, and attack detection program
CN108353068B (zh) Sdn控制器辅助的入侵防御系统
JP6518795B2 (ja) 計算機システム及びその制御方法
JP2002073433A (ja) 侵入検知装置及び不正侵入対策管理システム及び侵入検知方法
JP2004172871A (ja) ウィルス拡散を防止する集線装置およびそのためのプログラム
WO2008080324A1 (fr) Procédé et appareil pour empêcher une attaque par messages igmp
JP2011523242A (ja) 例外パケットの動的帯域制限スローパス処理のための方法、システム、及びコンピュータ読取り可能な媒体
WO2014075485A1 (zh) 网络地址转换技术的处理方法、nat设备及bng设备
US7668969B1 (en) Rule structure for performing network switch functions
JP4694578B2 (ja) コンピュータネットワークをパケットフラッド（ｆｌｏｏｄ）から保護するための方法及びシステム
WO2019096104A1 (zh) 攻击防范
CN106357652B (zh) 一种vxlan报文防攻击的方法和装置
JP3643087B2 (ja) 通信網およびルータおよび分散型サービス拒絶攻撃検出防御方法
EP3133790B1 (en) Message sending method and apparatus
US9591025B2 (en) IP-free end-point management appliance
WO2022057647A1 (zh) 一种报文的处理方法、系统及设备

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10816660

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 13395229

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2309/CHENP/2012

Country of ref document: IN

WWE Wipo information: entry into national phase

Ref document number: 2010816660

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

REG Reference to national code

Ref country code: BR

Ref legal event code: B01A

Ref document number: 112012006123

Country of ref document: BR

ENP Entry into the national phase

Ref document number: 112012006123

Country of ref document: BR

Kind code of ref document: A2

Effective date: 20120319