[发明专利]访问控制方法及设备

说明书

本申请实施例公开了一种访问控制方法及设备，该方法包括：专用集成电路ASIC芯片接收报文，解析报文得到五元组信息，并将五元组信息与ASIC芯片中的第一ACL的第一表项进行匹配，若匹配到第一表项，则按照第一表项对报文进行处理，若未匹配到第一表项，则将报文发送给CPU；CPU将五元组信息与第二ACL的第二表项进行匹配，在匹配到第二表项时，若第二表项对应的访问控制策略为丢弃，则丢弃报文，若第二表项对应的访问控制策略为转发，则将报文发送给ASIC芯片，由ASIC芯片根据五元组信息对报文进行转发。本申请实施例提高了访问控制的性能，而且也弥补了ASIC芯片单独处理时对流量的限制，实现了处理较大的流量。

技术领域

本申请实施例涉及访问控制技术领域，特别是涉及一种访问控制方法及设备。

背景技术

访问控制主要用于对不同网络之间流量进行控制，控制放行或者阻断流量。

传统的访问控制，由CPU处理转发报文，提取报文五元组信息，根据提取的信息匹配内存当中的访问控制列表(Access Control Lists，ACL)，根据匹配到的表项确定对报文是放行还是阻断。

随着网络中流量越来越大，单独使用CPU处理访问控制流量，性能上已经无法满足需求。一种ASIC(Application Specific Integrated Circuit，专用集成电路)芯片的出现提供了一种解决问题的方法，ASIC芯片可通过硬件描述语言，完成基本的流量转发功能。但是，ASIC芯片包含的资源有限，可加载的ACL表项的数量较少，仍不能满足流量较大的需求。

发明内容

本申请实施例提供一种访问控制方法及设备，有助于在提高性能的同时处理较大的流量。

为了解决上述问题，第一方面，本申请实施例提供了一种访问控制方法，包括：

专用集成电路ASIC芯片接收报文，解析所述报文得到五元组信息，并将所述五元组信息与所述ASIC芯片中的第一访问控制列表ACL的第一表项进行匹配，若匹配到第一表项，则按照所述第一表项对所述报文进行处理，若未匹配到第一表项，则将所述报文发送给CPU；

所述CPU解析所述报文得到所述五元组信息，将所述五元组信息与第二ACL的第二表项进行匹配，在匹配到第二表项时，若所述第二表项对应的访问控制策略为丢弃，则丢弃所述报文，若所述第二表项对应的访问控制策略为转发，则将所述报文发送给所述ASIC芯片，由所述ASIC芯片根据所述五元组信息对所述报文进行转发。

第二方面，本申请实施例提供了一种访问控制设备，包括：

ASIC芯片，用于接收报文，解析所述报文得到五元组信息，并将所述五元组信息与所述ASIC芯片中的第一访问控制列表ACL的第一表项进行匹配，若匹配到第一表项，则按照所述第一表项对所述报文进行处理，若未匹配到第一表项，则将所述报文发送给CPU；

CPU，用于解析所述报文得到所述五元组信息，将所述五元组信息与第二ACL的第二表项进行匹配，在匹配到第二表项时，若所述第二表项对应的访问控制策略为丢弃，则丢弃所述报文，若所述第二表项对应的访问控制策略为转发，则将所述报文发送给所述ASIC芯片；

所述ASIC芯片还用于根据所述五元组信息对所述报文进行转发。