[发明专利]一种实现IEC60870‑5‑104协议低延迟处理工业防火墙的方法

说明书

技术领域

本发明属于工业防火墙深度防护技术领域，尤其涉及的是一种实现IEC60870-5-104协议低延迟处理工业防火墙的方法。

背景技术

目前工业防护墙针对IEC60870-5-104的防护，整个过程中耗费了相对大量的时间。防火墙接收IEC60870-5-104的数据包，交给防火墙系统进行处理，匹配基本的规则，进行深度防护，字段匹配。现有方案中处理IEC60870-5-104进行如下操作:

步骤一、网卡接收IEC60870-5-104数据包：网卡采用普通模式，单队列接收数据包，硬中断方式通知内核。

步骤二、：CPU单核处理网卡数据：将网卡队列的数据加载到内核进行处理。

步骤三、规则匹配：数据包经过系统规则匹配，匹配配置的上百甚至上千条规则。

步骤四、深度防护：开发自己的模块，将数据包信息拷贝到该模块中进行解析并逐字段进行规则匹配；

防护结果反馈：根据防护的结果放行或拦截IEC60870-5-104数据包，并将防护结果通知防火墙管理客户端。

现有技术存在明显缺点：防火墙网卡在接收数据包时采用单队列网卡，大量的协议数据无法时时进入到网卡进行处理，造成丢包，导致协议通信产生重传，极大增加了通信延迟。数据包进入网卡之后，采用中断的方式通知内核，随着数据包的大量到来，会产生大量的硬件中断，导致CPU响应大量中断无法正常处理数据，造成数据包一直堆积在网卡，延迟增大。进入内核要匹配大量的用户配置的规则，每一个数据包进行大量的数据匹配，延迟与规则数呈线性增长。数据包深度防护过程中单纯用字符串匹配的方式匹配IP、端口、协议字段等数据，极大增加了匹配的耗时，增大延迟。

因此，现有技术存在缺陷，需要改进。

发明内容

本发明所要解决的技术问题是针对现有技术的不足，提供一种实现IEC60870-5-104协议低延迟处理工业防火墙的方法，能够在防火墙防护IEC60870-5-104通信过程中降低其处理延迟，不会因防火墙的防护造成IEC60870-5-104通信故障。

本发明提供一种实现IEC60870-5-104协议低延迟处理工业防火墙的方法，包括以下步骤：

步骤102：在数据包到来时只触发一次硬中断，后续关闭硬中断并采用轮询方式接收处理数据包，直到没有数据包；

步骤104：为每一个队列申请一个中断号，通过SMP架构，将各个队列通过中断绑定到不同的核上，在同一时刻所有的核都可以处理网卡数据；

步骤106：根据端口是否为2404以及数据段中前两个字节是否为68H来确定是否为的IEC60870-5-104数据包；

步骤108：实现规则匹配批量处理,策略规则主要是针对上下游机器的IP地址进行防护的规则；

步骤110：将处理模块直接挂载于内核提供的HOOK点上；

步骤112：采用HASH算法，提高四元组、五元组信息的匹配速度。

所述的方法，其中，所述步骤102包括在数据包到来之前，网卡驱动采用NAPI模式并修改网卡驱动时只触发一次硬中断。

所述的方法，其中，所述步骤102还包括到达轮询最大时间或到达轮询最大数据量时重新开启硬中断。

所述的方法，其中，所述步骤104包括：采用多队列网卡，多核CPU，为每一个队列申请一个中断号。

所述的方法，其中，所述步骤106包括：应用IEC60870-5-104检测机制，根据端口是否为2404以及数据段中前两个字节是否为68H来确定是否为的IEC60870-5-104数据包。

所述的方法，其中，所述步骤108包括：将用户下发的策略规则采用IPSET工具进行优化，实现规则匹配批量处理,策略规则针对上下游机器的IP地址进行防护的规则，防护的规则包括禁止或允许某一IP地址的某一协议类型的数据流。

所述的方法，其中，所述步骤108包括：IPSET将多条防护的规则存放于一个地址集合sets。

所述的方法，其中，所述步骤110包括：采用基于Linux内核Netfilter架构的HOOK处理机制，将处理模块直接挂载于内核提供的HOOK点上。