[发明专利]限制会话数的方法及装置

说明书

技术领域

本发明涉及通信技术领域，尤其涉及一种限制会话(session)数的方法及装置。

背景技术

对于路由器、网络地址转换设备(Network Address Translation，NAT)以及防火墙设备，会话数是一个重要性能指标。

以NAT为例，是基于地址和端口进行转换，可以实现一个IP地址被多个用户同时共享，因而提高了地址利用率。NAT基于4层端口，通常以传输控制协议(Transfer Control Protocol，TCP)或用户数据报协议(User DatagramProtocol，UDP)的会话形式进行转换，因此，NAT可支持的会话数是NAT中的重要指标。单个用户很难把NAT的出口带宽消耗光，但确可轻易将NAT的会话资源全部消耗掉，从而导致其他用户无法上网。因此，一般NAT都对单个用户会话数量进行限制，又称NAT连接数限制。该方案可以很好地限制单个用户的NAT会话数，防止用户对NAT会话资源过度占用而致使其他用户无法上网，可增加NAT的稳定性。

然而，由于在实际操作中，用户可能会使用一些不易控制的、占用大量会话数的应用，例如：对等联网(peer-to-peer，P2P)类应用，这些应用具有高度的灵活性和智能性，能够快速不停地尝试建立新的连接，选择更多更好的连接，从而占用大量的会话资源，一旦达到用户会话数上限，该用户就不可以再使用其他网络业务了。可见，也许是由于一次意外点击P2P类应用，就丧失了使用其他应用的权利，这对于用户而言是难以接受的。

发明内容

有鉴于此，本发明提供一种方法，以便对会话数进行有效限制；与方法相对应，本发明还提供一种限制会话数的装置。

为此，本发明实施例采用如下技术方案：

一种限制会话数的方法，包括以下步骤：配置多个包括一条或多条访问控制列表的限制组，并为每个限制组设定计数器及会话数最大值，每个所述限制组用于限制一种应用的会话数；接收并解析会话建立请求，按照请求所包含信息与访问控制列表的对应关系，对所述请求进行限制组匹配；判断所述请求所匹配的限制组的计数器值是否小于或等于该限制组的会话数最大值，若是，建立会话，并增加计数器值，否则，禁止建立会话。

上述方法还包括：接收并解析会话删除请求，对所述会话删除请求进行限制组匹配；在确定与会话删除请求匹配的限制组后，按照所述会话删除请求删除会话，并减小与所述会话删除请求匹配的限制组的计数器值。

上述方法还包括：接收到会话老化通知后，对所述会话进行限制组匹配；在确定与会话老化通知匹配的限制组后，按照所述会话老化通知老化会话，并减小会话所匹配的限制组的计数器值。

所述方法针对单个用户进行会话数限制，或者，针对支持多实例的虚拟专用网进行会话数限制。

对限制组采用精度匹配方式进行匹配：所述请求能够满足多个限制组的访问控制列表的要求时，选择匹配精度最高的限制组作为最终匹配的限制组；或者：对限制组采用顺序匹配方式进行匹配：所述请求能够满足多个限制组的访问控制列表的要求时，选择顺序在前的限制组作为最终匹配的限制组。

所述访问控制列表依据IP五元组中一个或多个元素设置。

一种限制会话数的装置，包括限制组配置单元，用于配置由一条或多条访问控制列表组成的限制组，并为每个限制组设定计数器及会话数最大值，每个所述限制组用于限制一种应用的会话数；请求接收解析单元，用于接收并解析会话建立请求；匹配单元，用于对所述请求进行限制组匹配，获得匹配的限制组；判断单元，用于判断所匹配的限制组的计数器值是否小于或等于该限制组的会话数最大值，若是，发出允许建立会话指示，否则，发出禁止建立会话指示；会话执行单元，当所述判断单元指示允许建立会话时，建立会话，并通知所述限制组配置单元增加所匹配的限制组的计数器值，当所述判断单元指示禁止建立会话时，禁止建立会话。

请求接收解析单元，进一步用于接收会话删除请求；匹配单元，进一步用于对所述会话删除请求进行限制组匹配；会话执行单元，删除会话，并通知所述限制组配置单元减小所匹配的限制组的计数器值。

请求接收解析单元，进一步用于接收会话老化通知；匹配单元，进一步用于对所述老化的会话进行限制组匹配；会话执行单元，删除会话，并通知所述限制组配置单元减小所匹配的限制组的计数器值。

所述装置用于限制防火墙会话数、用于限制网络地址转换设备会话数，或者，用于限制路由器会话数。

对于上述技术方案的技术效果分析如下：