访问控制方法及设备技术

本申请实施例公开了一种访问控制方法及设备，该方法包括：专用集成电路ASIC芯片接收报文，解析报文得到五元组信息，并将五元组信息与ASIC芯片中的第一ACL的第一表项进行匹配，若匹配到第一表项，则按照第一表项对报文进行处理，若未匹配到第一表项，则将报文发送给CPU；CPU将五元组信息与第二ACL的第二表项进行匹配，在匹配到第二表项时，若第二表项对应的访问控制策略为丢弃，则丢弃报文，若第二表项对应的访问控制策略为转发，则将报文发送给ASIC芯片，由ASIC芯片根据五元组信息对报文进行转发。本申请实施例提高了访问控制的性能，而且也弥补了ASIC芯片单独处理时对流量的限制，实现了处理较大的流量。

Access control method and equipment

【技术实现步骤摘要】
访问控制方法及设备
本申请实施例涉及访问控制
，特别是涉及一种访问控制方法及设备。
技术介绍
访问控制主要用于对不同网络之间流量进行控制，控制放行或者阻断流量。传统的访问控制，由CPU处理转发报文，提取报文五元组信息，根据提取的信息匹配内存当中的访问控制列表(AccessControlLists，ACL)，根据匹配到的表项确定对报文是放行还是阻断。随着网络中流量越来越大，单独使用CPU处理访问控制流量，性能上已经无法满足需求。一种ASIC(ApplicationSpecificIntegratedCircuit，专用集成电路)芯片的出现提供了一种解决问题的方法，ASIC芯片可通过硬件描述语言，完成基本的流量转发功能。但是，ASIC芯片包含的资源有限，可加载的ACL表项的数量较少，仍不能满足流量较大的需求。
技术实现思路
本申请实施例提供一种访问控制方法及设备，有助于在提高性能的同时处理较大的流量。为了解决上述问题，第一方面，本申请实施例提供了一种访问控制方法，包括：专用集成电路ASIC芯片接收报文，解析所述报文得到五元组信息，并将所述五元组信息与所述ASIC芯片中的第一访问控制列表ACL的第一表项进行匹配，若匹配到第一表项，则按照所述第一表项对所述报文进行处理，若未匹配到第一表项，则将所述报文发送给CPU；所述CPU解析所述报文得到所述五元组信息，将所述五元组信息与第二ACL的第二表项进行匹配，在匹配到第二表项时，若所述第二表项对应的访问控制策略为丢弃，则丢弃所述报文，若所述第二表项对应的访问控制策略为转发，则将所述报文发送给所述ASIC芯片，由所述ASIC芯片根据所述五元组信息对所述报文进行转发。第二方面，本申请实施例提供了一种访问控制设备，包括：ASIC芯片，用于接收报文，解析所述报文得到五元组信息，并将所述五元组信息与所述ASIC芯片中的第一访问控制列表ACL的第一表项进行匹配，若匹配到第一表项，则按照所述第一表项对所述报文进行处理，若未匹配到第一表项，则将所述报文发送给CPU；CPU，用于解析所述报文得到所述五元组信息，将所述五元组信息与第二ACL的第二表项进行匹配，在匹配到第二表项时，若所述第二表项对应的访问控制策略为丢弃，则丢弃所述报文，若所述第二表项对应的访问控制策略为转发，则将所述报文发送给所述ASIC芯片；所述ASIC芯片还用于根据所述五元组信息对所述报文进行转发。本申请实施例提供的访问控制方法及设备，通过ASIC芯片接收报文，解析所述报文得到五元组信息，并将五元组信息与ASIC芯片中的第一ACL的第一表项进行匹配，若匹配到第一表项，则按照第一表项对报文进行处理，若未匹配到第一表项，则将报文发送给CPU，CPU解析所述报文得到五元组信息，将五元组信息与第二ACL的第二表项进行匹配，在匹配到第二表项时，若第二表项对应的访问控制策略为丢弃，则丢弃所述报文，若第二表项对应的访问控制策略为转发，则将所述报文发送给ASIC芯片，由ASIC芯片根据五元组信息对所述报文进行转发，实现了以ASIC芯片转发为主，CPU转发为辅的访问控制，即ASIC芯片接收到报文时首先由ASIC芯片匹配第一ACL，并在匹配到第一表项时按照第一表项对应的范围控制策略对所述报文进行处理，未匹配到第一表项时发送给CPU，由CPU进一步进行匹配确定对该报文的处理方式，保证了ASIC芯片可以自行处理一部分的流量，只有在ASIC芯片不能处理时才由CPU进一步进行处理，从而提高了访问控制的性能，而且也弥补了ASIC芯片单独处理时对流量的限制，实现了处理较大的流量。附图说明为了更清楚地说明本申请实施例的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。图1是本申请实施例一的访问控制方法的流程图；图2是本申请实施例二的访问控制方法的流程图；图3是本申请实施例中的管理员配置访问控制策略和进行访问控制的整体结构示意图；图4是本申请实施例三的访问控制设备的结构示意图。具体实施方式下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。实施例一本实施例提供的一种访问控制方法，如图1所示，该方法包括：步骤110至步骤120。步骤110，ASIC芯片接收报文，解析所述报文得到五元组信息，并将所述五元组信息与所述ASIC芯片中的第一ACL的第一表项进行匹配，若匹配到第一表项，则按照所述第一表项对所述报文进行处理，若未匹配到第一表项，则将所述报文发送给CPU。其中，所述ASIC芯片是一种可编程交换芯片，可通过硬件描述语言，完成基本的流量转发功能。所述第一ACL是所述ASIC芯片中的访问控制列表，是所述ASIC芯片对报文进行流量控制的匹配基础。五元组信息是指源IP地址、源端口、目的IP地址、目的端口和传输层协议。第一ACL中的第一表项是五元组信息对应的访问控制策略，第一ACL中的每个第一表项中的访问控制策略均不重复。ASIC芯片接收报文，解析报文IP头，得到五元组信息，根据五元组信息，与下发到ASIC芯片当中的第一ACL中的第一表项进行匹配。若匹配到第一ACL中的一个第一表项的五元组信息与接收到的报文的五元组信息相同，则将该第一表项作为匹配到的第一表项，按照该第一表项中的访问控制策略对所述报文进行处理，即若该第一表项中的访问控制策略为转发，则根据该报文的五元组信息对该报文进行转发，若该第一表项中的访问控制策略为丢弃，则将该报文丢弃。若将接收到的报文的五元组信息与第一ACL中的每个第一表项均匹配完成后，所有第一表项的五元组信息均与所述报文的五元组信息不同，则确定未匹配到第一表项，此时将所述报文发送给CPU，由CPU根据自身存储的第二ACL进行进一步匹配。步骤120，CPU解析所述报文得到所述五元组信息，将所述五元组信息与第二ACL的第二表项进行匹配，在匹配到第二表项时，若所述第二表项对应的访问控制策略为丢弃，则丢弃所述报文，若所述第二表项对应的访问控制策略为转发，则将所述报文发送给所述ASIC芯片，由所述ASIC芯片根据所述五元组信息对所述报文进行转发。其中，所述第二ACL用于存储管理员配置的访问控制策略，各个访问控制策略与五元组信息对应。所述第二ACL中不同的第二表项允许有重复的访问控制策略，即是按照管理员配置的访问控制策略直接进行存储的。第二ACL中的第二表项的数量大于第一ACL中的第一表项的数量，从而在ASIC芯片未匹配到相应的第一表项时，可以由CPU匹配第二ACL中的第二表项。CPU本文档来自技高网...

【技术保护点】
1.一种访问控制方法，其特征在于，包括：/n专用集成电路ASIC芯片接收报文，解析所述报文得到五元组信息，并将所述五元组信息与所述ASIC芯片中的第一访问控制列表ACL的第一表项进行匹配，若匹配到第一表项，则按照所述第一表项对所述报文进行处理，若未匹配到第一表项，则将所述报文发送给CPU；/n所述CPU解析所述报文得到所述五元组信息，将所述五元组信息与第二ACL的第二表项进行匹配，在匹配到第二表项时，若所述第二表项对应的访问控制策略为丢弃，则丢弃所述报文，若所述第二表项对应的访问控制策略为转发，则将所述报文发送给所述ASIC芯片，由所述ASIC芯片根据所述五元组信息对所述报文进行转发。/n

【技术特征摘要】
1.一种访问控制方法，其特征在于，包括：
专用集成电路ASIC芯片接收报文，解析所述报文得到五元组信息，并将所述五元组信息与所述ASIC芯片中的第一访问控制列表ACL的第一表项进行匹配，若匹配到第一表项，则按照所述第一表项对所述报文进行处理，若未匹配到第一表项，则将所述报文发送给CPU；
所述CPU解析所述报文得到所述五元组信息，将所述五元组信息与第二ACL的第二表项进行匹配，在匹配到第二表项时，若所述第二表项对应的访问控制策略为丢弃，则丢弃所述报文，若所述第二表项对应的访问控制策略为转发，则将所述报文发送给所述ASIC芯片，由所述ASIC芯片根据所述五元组信息对所述报文进行转发。


2.根据权利要求1所述的方法，其特征在于，还包括：
所述CPU在接收到管理员对所述第二ACL的修改操作时，将所述修改操作从所述第二ACL映射到第三ACL中，其中，所述第三ACL中的第三表项用于下发到所述ASIC芯片中，所述第一ACL是所述第三ACL的子集，所述第三ACL的表项数量与所述第二ACL的表项数量相等。


3.根据权利要求2所述的方法，其特征在于，所述修改操作为在所述第二ACL的指定位置增加一个第二表项；
所述CPU在接收到管理员对所述第二ACL的修改操作时，将所述修改操作从所述第二ACL映射到第三ACL中，包括：
所述CPU在接收到管理员在所述第二ACL的指定位置增加一个第二表项时，将增加的第二表项依次与所述第三ACL中指定位置之前的第三表项进行匹配，若存在交集，则在增加的第二表项中去除所述交集，并将去除交集之后的第二表项与所述第三ACL中的下一个第三表项进行匹配，并进行上述去除交集的处理，直至到达所述指定位置；
所述CPU将去除交集之后的第二表项插入到所述第三ACL的指定位置；
所述CPU将去除交集之后的第二表项依次与所述第三ACL中指定位置之后的第三表项进行匹配，若存在交集，则从所述第三ACL中指定位置之后的第三表项中去除交集。


4.根据权利要求2所述的方法，其特征在于，所述修改操作为在所述第二ACL的指定位置删除一个第二表项；
所述CPU在接收到管理员对所述第二ACL的修改操作时，将所述修改操作从所述第二ACL映射到第三ACL中，包括：
所述CPU在接收到管理员在所述第二ACL的指定位置删除一个第二表项时，将所述第三ACL中所述指定位置的第三表项作为删除表项，并将所述删除表项从所述第三ACL中删除；
所述CPU将所述删除表项依次与所述第二ACL中所述位置之后的第二表项进行匹配，若存在交集，则从所述删除表项中删除所述交集，并将所述交集添加到所述第三ACL中相应位置的第三表项中，将删除交集之后的删除表项与所述第二ACL中的下一个第二表项进行匹配，并进行上述去除交集的处理，直至匹配完成所述第二ACL中所述位置之后的所有第二表项。


5.根据权利要求2所述的方法，其特征在于，所述修改操作为修改所述第二ACL的指定位置的一个第二表项；
所述CPU在接收到管理员对所述第二ACL的修改操作时，将所述修改操作从所述第二ACL映射到第三ACL中，包括：
所述CPU在接收到管理员修改所述第二ACL中的指定位置的一个第二表项时，将所述第三ACL中所述指定位置的第三表项作为删除表项，并将所述删除表项从所述第三ACL中删除；
所述CPU将所述删除表项依次与所述第二ACL中所述指定位置之后的第二表项进行匹配，若存在交集，则从所述删除表项中删除所述交集，并将所述交集添加到所述第三ACL中相应位置的第三表项中，将删除交集之后的删除表项与所述第二ACL中的下一个第二表项进行匹配，并进行上述去除交集的处理，直至匹配完成所述第二ACL中所述指定位置之后的所有第二表项；
所述CPU将修改的第二表项依次与所述第三ACL中指定位置之前的第三表项进行匹配，若存在交集，则从所述修改的第二表项中去除所述交集，并将去除交集之后的第二表项与所述第三ACL中的下一个第三表项进行匹配，并进行上述去除交集的处理，直至到达所述指定位置；
所述CPU将去除交集之后的第二表项插入到所述第三ACL的指定位置；
所述CPU将去除交集之后的第二表项依次与所述第三ACL中指定位置之后的第三表项进行匹配，若存在交集，则从所述第三ACL中指定位置之后的第三表项中去除交集。


6.根据权利要求2所述的方法，其特征在于，还包括：
所述CPU每隔预设时间间隔确定所述第二ACL中的第二表项在预设时间间隔内的命中次数，若一个第二表项在预设时间间隔内的命中次数大于第一阈值，则将所述第三ACL中与该第二表项对应的第三表项下发到所述ASIC芯片的第一ACL中，并在所述第三ACL中对该第三表项标记下发标识。


7.根据权利要求2所述的方法，其特征在于，还包括：
所述CPU每隔预设时间间隔读取所述ASIC芯片中的第一ACL中的第一表项的命中次数，若一个第一表项在预设时间间隔内的命中次数小于第二阈值，则从所述第一ACL中删除该第一表项，并将第三ACL中与该第一表...

【专利技术属性】
技术研发人员：徐成华，张波，黄淮，
申请(专利权)人：北京三快在线科技有限公司，
类型：发明
国别省市：北京;11