报文转发方法、系统、存储介质和电子设备技术方案

本公开涉及一种报文转发方法、系统、存储介质和电子设备，所述方法应用于报文转发系统，报文转发系统中包括多个转发核和与每一转发核对应的处理核，所述方法包括：转发核从网卡接收到目标报文，查询目标报文对应的会话表；在未查询到会话表的情况下，根据目标报文的五元组和转发核的局部策略表，确定局部策略表中是否存在与五元组匹配的拒绝策略；在确定局部策略表中存在与五元组匹配的拒绝策略的情况下，丢弃目标报文。由此，在接收到海量攻击报文时，转发核可以根据其局部策略表对目标报文进行匹配，可以有效避免对转发核与处理核之间的通信通道的占用，有效保证对正常流量的转发，提高报文转发的效率和稳定性。

【技术实现步骤摘要】
报文转发方法、系统、存储介质和电子设备
本公开涉及网络
，具体地，涉及一种报文转发方法、系统、存储介质和电子设备。
技术介绍
随着计算机技术的发展，越来越多的防火墙采用多核处理机制。现今对网络的安全性和健壮性的要求越来越高，对于异构平台而言，报文转发架构通常由用户态和内核态中的CPU组成，通过用户态CPU和内核态CPU进行协议完成报文转发。现有技术中，在海量的攻击到来时，该攻击则会迅速堵塞内核态CPU和用户态CPU之间的通信通道，难以保证对正常报文的转发，容易造成转发系统瘫痪。
技术实现思路
本公开的目的是提供一种高稳定性的报文转发方法、系统、存储介质及电子设备。为了实现上述目的，根据本公开的第一方面，提供一种报文转发方法，应用于报文转发系统，所述报文转发系统中包括多个转发核和与每一所述转发核对应的处理核，所述方法包括：所述转发核从网卡接收到目标报文，查询所述目标报文对应的会话表；在未查询到所述会话表的情况下，根据所述目标报文的五元组和所述转发核的局部策略表，确定所述局部策略表中是否存在与所述五元组匹配的拒绝策略，其中，所述局部策略表存储在所述转发核，所述局部策略表为根据所述处理核对应的总策略表生成的，所述局部策略表中包含多条拒绝策略，所述拒绝策略用于拒绝报文转发；在确定所述局部策略表中存在与所述五元组匹配的拒绝策略的情况下，丢弃所述目标报文。可选地，所述方法还包括：所述处理核接收策略配置指令，其中，所述策略配置指令中包含用于所述处理核对报文进行匹配的目标策略；在确定所述目标策略的类型为拒绝类型，且所述目标策略为对应于IP地址或端口的策略的情况下，向配置转发核发送所述目标策略，其中，所述配置转发核为所述多个转发核中的一者；所述配置转发核根据所述目标策略和每一所述转发核的局部策略表，确定所述目标策略是否待更新；在所述目标策略待更新的情况下，确定所述目标策略中的待更新策略，其中所述待更新策略为所述目标策略中与所述拒绝策略不重合的策略；确定所述待更新策略对应的目标转发核；在所述目标转发核与所述配置转发核不同的情况下，向所述目标转发核发送所述待更新策略；所述目标转发核基于所述待更新策略更新所述目标转发核的局部策略表。可选地，所述确定所述待更新策略对应的目标转发核，包括：获取全局策略表，其中，所述全局策略表中包含每一所述转发核的局部策略表中的任一拒绝策略；在根据所述全局策略表，确定出与所述待更新策略进行合并的拒绝策略情况下，将该拒绝策略所属的局部策略表对应的转发核确定为所述目标转发核；所述向所述目标转发核发送所述待更新策略，包括：确定所述待更新策略中进行合并的可合并策略部分，并向所述目标转发核发送所述可合并策略部分。可选地，在所述待更新策略中存在不可合并策略部分的情况下，所述确定所述待更新策略对应的目标转发核，还包括：根据每一所述转发核的局部策略表中的拒绝策略的数量，确定所述不可合并策略部分对应的目标转发核；所述向所述目标转发核发送所述待更新策略，还包括：向所述不可合并策略部分对应的目标转发核发送所述不可合并策略部分。可选地，所述配置转发核根据所述目标策略和每一所述转发核的局部策略表，确定所述目标策略是否待更新，包括：将所述目标策略与各个所述转发核的所述局部策略表中的拒绝策略进行匹配；在确定所述目标策略不属于任一所述拒绝策略的情况下，确定所述目标策略待更新。可选地，所述方法还包括：所述配置转发核根据所述待更新策略更新全局策略表，其中，所述全局策略表中包含每一所述转发核的局部策略表中的任一拒绝策略。可选地，在所述目标转发核基于所述待更新策略更新所述目标转发核的局部策略表之后，所述方法还包括：所述目标转发核根据更新后的所述局部策略表，更新所述网卡中与所述目标转发核对应的网卡队列与五元组信息的对应关系，其中，所述网卡队列与所述多个转发核一一对应。可选地，所述方法还包括：在确定所述局部策略表中不存在与所述五元组匹配的拒绝策略的情况下，将所述五元组与全局策略表进行匹配，其中，所述全局策略表中包含每一所述转发核的局部策略表中的任一拒绝策略；在确定所述全局策略表中存在与所述五元组匹配的拒绝策略的情况下，将所述目标报文丢弃；在确定所述全局策略表中不存在与所述五元组匹配的拒绝策略的情况下，向处理核转发所述目标报文。根据本公开的第二方面，提供一种报文转发系统，所述报文转发系统中包括多个转发核和与每一所述转发核对应的处理核，所述转发核包括：查询模块，用于所述转发核从网卡接收到目标报文，查询所述目标报文对应的会话表；确定模块，用于在未查询到所述会话表的情况下，根据所述目标报文的五元组和所述转发核的局部策略表，确定所述局部策略表中是否存在与所述五元组匹配的拒绝策略，其中，所述局部策略表存储在所述转发核，所述局部策略表为根据所述处理核对应的总策略表生成的，所述局部策略表中包含多条拒绝策略，所述拒绝策略用于拒绝报文转发；第一处理模块，用于在确定所述局部策略表中存在与所述五元组匹配的拒绝策略的情况下，丢弃所述目标报文。可选地，所述处理核包括：接收模块，用于所述处理核接收策略配置指令，其中，所述策略配置指令中包含用于所述处理核对报文进行匹配的目标策略；第一发送模块，用于在确定所述目标策略的类型为拒绝类型，且所述目标策略为对应于IP地址或端口的策略的情况下，向配置转发核发送所述目标策略，其中，所述配置转发核为所述多个转发核中的一者；所述转发核包括：第一确定模块，用于所述配置转发核根据所述目标策略和每一所述转发核的局部策略表，确定所述目标策略是否待更新；第二确定模块，用于在所述目标策略待更新的情况下，确定所述目标策略中的待更新策略，其中所述待更新策略为所述目标策略中与所述拒绝策略不重合的策略；第三确定模块，用于确定所述待更新策略对应的目标转发核；第二发送模块，用于在所述目标转发核与所述配置转发核不同的情况下，向所述目标转发核发送所述待更新策略；第一更新模块，用于所述目标转发核基于所述待更新策略更新所述目标转发核的局部策略表。可选地，所述第三确定模块包括：获取子模块，用于获取全局策略表，其中，所述全局策略表中包含每一所述转发核的局部策略表中的任一拒绝策略；第一确定子模块，用于在根据所述全局策略表，确定出与所述待更新策略进行合并的拒绝策略情况下，将该拒绝策略所属的局部策略表对应的转发核确定为所述目标转发核；所述第二发送模块包括：第一发送子模块，用于确定所述待更新策略中进行合并的可合并策略部分，并向所述目标转发核发送所述可合并策略部分。可选地，所述第三确定模块还包括：第二确定子模块，用于在所述待更新策略中存在不可合并策略部分的情况下，根据每一所述转发核的局部策略表中的本文档来自技高网...

【技术保护点】
1.一种报文转发方法，其特征在于，应用于报文转发系统，所述报文转发系统中包括多个转发核和与每一所述转发核对应的处理核，所述方法包括：/n所述转发核从网卡接收到目标报文，查询所述目标报文对应的会话表；/n在未查询到所述会话表的情况下，根据所述目标报文的五元组和所述转发核的局部策略表，确定所述局部策略表中是否存在与所述五元组匹配的拒绝策略，其中，所述局部策略表存储在所述转发核，所述局部策略表为根据所述处理核对应的总策略表生成的，所述局部策略表中包含多条拒绝策略，所述拒绝策略用于拒绝报文转发；/n在确定所述局部策略表中存在与所述五元组匹配的拒绝策略的情况下，丢弃所述目标报文。/n

【技术特征摘要】
1.一种报文转发方法，其特征在于，应用于报文转发系统，所述报文转发系统中包括多个转发核和与每一所述转发核对应的处理核，所述方法包括：
所述转发核从网卡接收到目标报文，查询所述目标报文对应的会话表；
在未查询到所述会话表的情况下，根据所述目标报文的五元组和所述转发核的局部策略表，确定所述局部策略表中是否存在与所述五元组匹配的拒绝策略，其中，所述局部策略表存储在所述转发核，所述局部策略表为根据所述处理核对应的总策略表生成的，所述局部策略表中包含多条拒绝策略，所述拒绝策略用于拒绝报文转发；
在确定所述局部策略表中存在与所述五元组匹配的拒绝策略的情况下，丢弃所述目标报文。


2.根据权利要求1所述的方法，其特征在于，所述方法还包括：
所述处理核接收策略配置指令，其中，所述策略配置指令中包含用于所述处理核对报文进行匹配的目标策略；
在确定所述目标策略的类型为拒绝类型，且所述目标策略为对应于IP地址或端口的策略的情况下，向配置转发核发送所述目标策略，其中，所述配置转发核为所述多个转发核中的一者；
所述配置转发核根据所述目标策略和每一所述转发核的局部策略表，确定所述目标策略是否待更新；
在所述目标策略待更新的情况下，确定所述目标策略中的待更新策略，其中所述待更新策略为所述目标策略中与所述拒绝策略不重合的策略；
确定所述待更新策略对应的目标转发核；
在所述目标转发核与所述配置转发核不同的情况下，向所述目标转发核发送所述待更新策略；
所述目标转发核基于所述待更新策略更新所述目标转发核的局部策略表。


3.根据权利要求2所述的方法，其特征在于，所述确定所述待更新策略对应的目标转发核，包括：
获取全局策略表，其中，所述全局策略表中包含每一所述转发核的局部策略表中的任一拒绝策略；
在根据所述全局策略表，确定出与所述待更新策略进行合并的拒绝策略情况下，将该拒绝策略所属的局部策略表对应的转发核确定为所述目标转发核；
所述向所述目标转发核发送所述待更新策略，包括：
确定所述待更新策略中进行合并的可合并策略部分，并向所述目标转发核发送所述可合并策略部分。


4.根据权利要求3所述的方法，其特征在于，在所述待更新策略中存在不可合并策略部分的情况下，所述确定所述待更新策略对应的目标转发核，还包括：
根据每...

【专利技术属性】
技术研发人员：刘健男，
申请(专利权)人：东软集团股份有限公司，
类型：发明
国别省市：辽宁;21