[发明专利]一种数据流控制方法和装置

权利要求书

1.一种数据流控制方法，其特征在于，包括：

根据数据包中的五元组信息在预置的访问控制列表半加速结构中进行第一次查找，得到与所述五元组信息匹配的结点集合，所述访问控制列表半加速结构包括至少一个半加速结点，所述半加速结点存储有包含非五元组信息的访问控制信息；

根据所述数据包中的非五元组信息在所述结点集合中进行第二次查找，当所述结点集合中存在有与所述非五元组信息匹配的结点时，根据所述结点中存储的访问控制信息对所述数据包进行处理。

2.根据权利要求1所述数据流控制方法，其特征在于，所述预置的访问控制列表半加速结构是通过提取访问控制规则中的五元组信息进行递归分类创建的映射结构，并设置有表示半加速结构的标识。

3.根据权利要求2所述数据流控制方法，其特征在于，所述包含非五元组信息的访问控制信息包括：包含非五元组信息的访问控制规则、包含非五元组信息的访问控制规则的指针或包含非五元组信息的约束条件及行为信息。

4.根据权利要求1所述数据流控制方法，其特征在于，还包括：为只包含有五元组信息的访问控制规则列表预置有全加速结构，所述全加速结构是通过提取访问控制规则中的五元组信息进行递归分类创建的映射结构，在所述全加速结构的结点中存储有对应的包含五元组信息的访问控制信息。

5.根据权利要求4所述数据流控制方法，其特征在于，所述包含五元组信息的访问控制信息包括：包含五元组信息的访问控制规则、包含五元组信息的访问控制规则的指针或包含五元组信息的访问控制规则的行为信息。

6.根据权利要求4所述数据流控制方法，其特征在于，还包括：

判断为处理数据包的访问控制列表预置的加速结构是否为半加速结构，如果为半加速结构则执行所述第一次查找以及所述第二次查找并对数据包进行处理的步骤，如果不是半加速结构则通过数据包中的五元组信息在所述预置的全加速结构中进行查找，当查找到与所述数据包中的五元组信息匹配的结点时，按照所述结点中存储的对应的访问控制信息对数据包进行处理。

7.一种数据流控制装置，其特征在于，所述数据流控制装置包括：

加速结构设置模块：用于创建访问控制列表ACL加速结构并为所述ACL设置相应的加速状态标识，所述ACL加速结构是根据ACL规则中的五元组信息创建的映射结构，并将ACL规则按对应关系保存在该加速结构的结点中；

第一查找单元，用于根据数据包中的五元组信息在预置的访问控制列表半加速结构中进行第一次查找，得到与所述数据包中的五元组信息匹配的结点集合，所述访问控制列表半加速结构包括至少一个半加速结点，所述半加速结点存储有包含非五元组信息的访问控制信息；

第二查找单元，用于通过所述数据包中的非五元组信息在第一查找单元所得到的结点集合中进行第二次查找，并将查找结果送入第一数据处理单元；

第一数据处理单元，用于根据第二查找单元的查找结果对所述数据包进行处理，当第二查找单元在所述结点集合中查找到与该数据包匹配的结点时，根据所述结点中存储的访问控制信息对所述数据包进行相应处理。

8.根据权利要求7所述数据流控制装置，其特征在于，还包括加速结构设置模块，所述加速结构设置模块包括：

第一判断单元，用于判断访问控制列表中的访问控制规则中是否包含有非五元组信息，如果是则触发半加速结构创建单元；

半加速结构创建单元，用于提取访问控制规则中的五元组信息创建半加速结构，并将包含非五元组信息的访问控制信息按照对应关系存储于所述半加速结构的结点中，为所述访问控制列表设置半加速结构的标识。

9.根据权利要求8所述数据流控制装置，其特征在于，所述加速结构设置模块还包括全加速结构创建单元，所述全加速结构创建单元用于为通过第一判断单元的不包含非五元组信息的访问控制列表创建全加速结构，所述全加速结构是根据所述访问控制列表中的五元组信息创建的，所述全加速结构的结点中存储有对应的包含五元组信息的访问控制信息。