[发明专利]一种访问控制列表规则的配置方法及装置

说明书

技术领域

本发明涉及通讯业务访问控制管理领域，特别是一种访问控制列表(ACL， Access Control List)规则的配置方法及装置。

背景技术

在网络技术快速发展的今天，网络的安全问题也备受关注，对于承载着各 种网络业务的网络设备来说，如路由器、交换机等，拥有一个自身安全保护措 施显得尤为重要，ACL就是常用的安全技术之一。

ACL的功能是，用来过滤进出网络设备端口的数据包。ACL由很多条ACL 规则组成，将数据包中相应字段的地址与ACL规则进行匹配，ACL规则可以 是数据包的源地址、目的地址、源端口号、目的端口号等信息，从而达到访问 控制的目的。

现有技术中，基于ACL的匹配是精确匹配方式，即将一个地址值配置为一 条ACL规则，并将数据包中相应的地址与一条ACL规则进行匹配，如果二者 匹配一致，则转发该数据包，否则丢弃。例如：在一台交换机的某个端口要将 虚拟局域网(vlan，virtual local area network)地址字段vlan100-vlan1000全部 修改成vlan2000，即依据ACL将通过该端口的100至1000之间的地址全部修 改成2000，要实现对上述901个地址字段的修改，则在精确匹配方式下，针对 每个vlan地址配置一条ACL规则，这样就需要相应地配置901条ACL规则。

基于以上描述可见，在精确匹配方式下，通常需要很多条ACL规则，从而 占用了很多的硬件资源，也使得每条ACL规则的利用率比较低。

发明内容

有鉴于此，本发明的主要目的在于提供一种ACL规则的配置方法及装置， 从而达到减少ACL规则的使用数量、提高ACL规则的利用率、节省硬件资源 的目的。

为达到上述目的，本发明的技术方案是这样实现的：

本发明提供了一种ACL规则的配置方法，该方法包括：

确定需要匹配的一段地址的中心地址，以中心地址为中心，分别向需要匹 配的该段地址的两端分段，所分成的每一个地址段的大小是能够分得的最大的 2ⁿ，其中n为在对应地址段范围内得到最大地址的值，取非负整数；所分成的 每一个地址段用最长前缀匹配算法中的一对关键字prefix和mask的值表示，将 每一对关键字对应地配置为每一条ACL规则；基于最长前缀匹配方式依据配置 的ACL规则对经过的数据包的地址进行处理。

本发明还提供了一种ACL规则的配置装置，该装置包括：地址划分模块、 配置模块、匹配模块；其中，

所述地址划分模块包括：中心地址确定模块和分段模块；其中，

中心地址确定模块，用于确定需要匹配的一段地址的中心地址；

分段模块，用于以中心地址为中心，分别向需要匹配的该段地址的两端分 段，所分成的每一个地址段的大小是能够分得的最大的2ⁿ，其中n为在对应地 址段范围内得到最大地址的值，取非负整数；所分成的每一个地址段用最长前 缀匹配算法中的一对关键字prefix和mask的值表示；

配置模块用于将每一对关键字对应地配置为每一条ACL规则；

匹配模块，用于基于最长前缀匹配方式依据配置的ACL规则对经过的数据 包的地址进行处理。

本发明所提供的一种ACL规则的配置方法及装置，以最长前缀匹配算法为 基础，将数据包中需要匹配的一段地址，以2^n为单元分成尽可能大的若干个 地址段，使所分成的每一个地址段由一对关键字prefix和mask的值表示，并将 每一对关键字prefix和mask的值配置为每一条ACL规则，依据所配置的ACL 规则即可对经过的数据包的地址进行处理，避免了精确匹配方式下，一个地址 与一条ACL规则匹配的情况，从而大大减少了ACL规则的使用数量，提高了 ACL规则的利用率，节省了硬件资源。

附图说明

图1为本发明中ACL规则的配置方法流程图；

图2为本发明中ACL规则的配置装置结构图。

具体实施方式