[发明专利]安全控制方法与交换机

说明书

技术领域

本发明涉及通信技术，尤其是一种安全控制方法与交换机。 

背景技术

现有的机箱式集中转发交换机，也称为：集中式转发交换机或交换机，通常包括管理板与一个或多个线卡，另外还包括风扇、电源等关键组件。其中，管理板也称为管理引擎或主控板，是整个交换机管理与控制的汇聚点，主要用于对线卡进行各种操作，以及运行各种协议，它一旦失效，整个交换机将不可用。每个线卡上设置有一个或多个网络接口，主要用于通过网络接口与其它通信装置进行数据报文的转发。如图1所示，为机箱式集中转发交换机的一个结构示意图。 

为了避免非法报文在网络中的传输，保证网络的安全，通常情况下，在交换机中部署安全处理引擎，并根据安全处理策略，分析需要交换机转发的报文特征，对需要交换机转发的报文进行过滤处理，转发合法报文。目前，以太网交换机已经使用安全处理引擎，在如下应用中实现了安全控制：安全全局地址绑定、访问控制列表(Access Control List，以下简称：ACL)、服务质量(Quality of Server，以下简称：QoS)、全局安全网络(Global SecurityNetwork，以下简称：GSN)、动态主机配置协议(Dynamic Host ConfigureProtocol，以下简称：DHCP)地址绑定、基于802.1x协议的用户授权等。由于安全处理策略的存储容量的硬件设备比较昂贵，每个安全处理策略的存储容量都是有限的，通常只有几千条。 

现有技术中，可以将安全处理引擎部署在管理板上或者各线卡上。其中，将安全处理引擎部署在管理板上实现安全控制的方法也称为集中式安全控制 方法，将安全处理引擎部署在各线卡上实现安全控制的方法也称为分散式式安全控制方法。如图2所示，为应用分散式安全控制方法的交换机结构示意图。在分散式安全控制方法中，各线卡分别对其网络接口发送的报文进行过滤处理，将合法报文发送到管理板进行转发处理。由于需要分别在不同线卡上分别配置安全处理策略，交换机所能支持的总安全处理策略数据，等于交换机中所有线卡上安全处理策略数据的总和。在交换机不同线卡上网络接口配置的安全处理策略相同时，该安全处理策略也称为全局安全处理策略。应用分散式安全控制方法实现安全控制时，至少存在以下问题：由于需要将这些相同的安全处理策略分别配置到交换机所有线卡的安全处理引擎上，在全局安全处理策略比较多的情况下，这些安全处理策略在所有线卡上都需要占用相同多的容量，因此，每个线卡上所剩余的、能够给该线卡上网络接口的使用策略容量就变得极为有限；另外，在全局安全处理策略发生变化时，需要更新交换机中所有线卡上的安全处理策略，工作量较大，安全处理策略的可管理性较差，降低了安全控制效果。 

如图3所示，为应用集中式安全控制方法的交换机结构示意图。在集中式安全控制方法中，管理板对发送的报文进行过滤处理，丢弃非法报文，并对合法报文进行转发处理。在交换机需要对不同线卡上网络接口配置特定的安全处理策略时，该安全处理策略与网络接口相关，因此也称为接口安全处理策略。应用集中式安全控制方法实现安全控制时，至少存在以下问题：可能需要采用特定的安全处理策略对特定线卡上网络接口上接收的数据报文进行安全处理，因此，就需要为特定线卡上网络接口配置特定的安全处理策略，由于交换机中所有线卡上网络接口共用管理板上安全处理策略的存储容量，都需要占用全局资源，因此，能够分配给每个线卡上网络接口的安全处理策略的存储容量极为有限。尤其是在不同线卡上网络接口的安全处理策略相差较大时，能够分配给每个线卡上网络接口的安全处理策略的存储容量就更少，无法根据管理板上的安全处理策略，对数据报文进行有效过滤，降低了安全 控制效果。 

发明内容

本发明实施例的目的是：提供一种安全控制方法与交换机，在线卡上利用接口安全处理策略对数据报文进行第一次过滤，在管理板上利用全局安全处理策略对数据报文进行二次过滤，合理利用线卡与管理板上的安全处理策略的存储容量，并有效实现对数据报文的安全控制。 

本发明实施例提供的一种安全控制方法，包括： 

线卡上的网络接口接收数据报文； 

所述线卡上的第一安全处理引擎利用接口安全处理策略对所述数据报文进行第一次过滤； 

所述线卡在第一次过滤后输出数据报文时，将该输出的数据报文发送给管理板； 

所述管理板上的第二安全处理引擎利用全局安全处理策略对所述输出的数据报文进行第二次过滤； 

所述管理板在第二次过滤后输出合法的数据报文时，对该合法的数据报文进行转发处理；