CN103220287A - 利用acl对报文进行业务匹配的方法 - Google Patents

Abstract

本发明涉及防火墙技术，具体公开了一种利用ACL对报文进行业务匹配的方法。该方法包括：防火墙将所有报文的IP地址进行分类，得到N类IP地址，并为N类IP地址分别配置ACL，得到N个ACL，N个ACL分别记录每类IP地址对应的报文需要执行的业务类型；当防火墙接收到报文时，根据所述报文的IP地址，在N个ACL中找到对应的ACL进行匹配，从而得到所述报文需要执行的业务类型；防火墙根据所述报文需要执行的业务类型将所述报文发送给相应的业务处理模块进行处理。采用本发明提出的技术方案，防火墙对报文进行处理时只需匹配一次ACL，就可以知道该报文需要做哪些业务了，通过这种方法可以大大加快处理报文的速度。

Description

利用ACL对报文进行业务匹配的方法

技术领域

本发明涉及防火墙技术领域，特别涉及一种利用ACL对报文进行业务匹配的方法。

背景技术

在防火墙设备上，使用最基础也是最频繁的就是ACL功能，ACL全称为Access Control List，即访问控制列表。ACL功能可以配置报文的五元组，包括源IP地址、目的IP地址、协议号、源端口号、目的端口号。ACL功能与其它功能结合形成了具体对报文执行动作的方式。例如，IPSec隧道使用ACL功能判断哪些报文需要被加密，哪些报文需要被丢弃，哪些报文需要被放行；NAT转换使用ACL功能来判断哪些报文需要被哪些IP地址转换；三层安全控制使用ACL来判断哪些报文可以被转发，哪些需要被丢弃；策略路由使用ACL来判断哪些报文基于路由查找之上直接将报文转发到指定的出接口。当以上所有功能被一起使用时，每个业务处理模块都需要配置独立的ACL，然后每个报文就会围绕着各个模块分别进行业务匹配，判断是否需要做此业务。例如，配置了以上的所有业务之后，每个报文的处理流程就变成了分别匹配三层安全控制模块、NAT转换模块、策略路由模块、IPSec隧道加密模块，此时相当于要在每个业务处理模块中都匹配私有的ACL功能，共需匹配4次。但是，从以上4个模块中可以看出一个共同点，就是都使用了ACL作为是否执行本业务的判断方法。所以，若是将ACL匹配抽取成一个独立的模块，当配置的时候将ACL匹配后的行为记录到ACL项中，那么对报文进行处理时就只需匹配一次ACL，然后就可以知道该报文需要做哪些业务了，通过这种方法可以大大加快处理报文的速度。

发明内容

（一）所要解决的技术问题

本发明的目的在于提供一种利用ACL对报文进行业务匹配的方法，以解决现有的防火墙在对接收到的报文进行业务匹配时，需要依次通过每个业务处理模块进行ACL匹配，从而导致报文处理速度减慢的问题。

（二）技术方案

为了解决上述技术问题，本发明提出了一种利用ACL对报文进行业务匹配的方法，所述方法包括以下步骤：

S1、防火墙将所有报文的IP地址进行分类，得到N类IP地址，并为所述N类IP地址分别配置ACL，从而得到N个ACL，其中，N为正整数，所述N个ACL分别记录每类IP地址对应的报文需要执行的业务类型；

S2、当所述防火墙接收到报文时，根据所述报文的IP地址，在所述N个ACL中找到对应的ACL进行匹配，从而得到所述报文需要执行的业务类型；

S3、所述防火墙根据所述报文需要执行的业务类型将所述报文发送给相应的业务处理模块进行处理。

可选的，所述IP地址包括源IP地址或目的IP地址。

可选的，步骤S1中，每类IP地址对应的报文需要执行的业务类型包括三层安全控制、NAT转换、策略路由或IPSec加密；步骤S3中，所述业务处理模块包括三层安全控制模块、NAT转换模块、策略路由模块或IPSec加密模块。

可选的，步骤S1中，当某类IP地址对应的报文需要执行的业务类型包括IPSec加密时，与之相对应的ACL指定一个固定的IPSec隧道进行加密。

（三）有益效果

本发明提出的技术方案将ACL匹配模块单独抽取出来，使其独立于各业务处理模块之上，当防火墙接收到报文时，仅需根据报文的IP地址进行一次ACL匹配，就可以知道该报文需要做哪些业务处理了。这样一方面能够将ACL匹配的次数减少为每个报文仅需一次；另一方面，根据报文实际需要执行的业务类型将报文发送给相应的业务处理模块进行处理，能够避免报文跟不必要的业务处理模块进行业务匹配。总之，本发明提出的方法可以大大加快防火墙对报文的处理速度。

附图说明

图1是本发明提出的利用ACL对报文进行业务匹配的方法的基本流程图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。

如图1所示，本发明提出的利用ACL对报文进行业务匹配的方法包括以下步骤：

S1、防火墙将所有报文的IP地址进行分类，得到N类IP地址，并为所述N类IP地址分别配置ACL，从而得到N个ACL，其中，N为正整数，所述N个ACL分别记录每类IP地址对应的报文需要执行的业务类型；

S2、当所述防火墙接收到报文时，根据所述报文的IP地址，在所述N个ACL中找到对应的ACL进行匹配，从而得到所述报文需要执行的业务类型；

S3、所述防火墙根据所述报文需要执行的业务类型将所述报文发送给相应的业务处理模块进行处理。

所述IP地址既可以是报文的源IP地址，也可以是报文的目的IP地址。

下面通过一个实施例对上述方法的实现过程进行详细说明。

在本实施例中，共将所有报文的IP地址分为4类，并对应地配置4个ACL，每类IP地址对应的报文需要执行的业务类型包括三层安全控制、NAT转换、策略路由或IPSec加密，涉及的业务处理模块包括三层安全控制模块、NAT转换模块、策略路由模块和IPSec加密模块，具体如下：

配置一个ACL1，匹配的IP地址为1.1.1.1-1.1.1.10，执行的动作是丢弃；

配置一个ACL2，匹配的IP地址为2.2.2.1-2.2.2.10，执行的动作是放行并作NAT模块转换，转换的IP地址为公网IP地址202.1.1.1；

配置一个ACL3，匹配的IP地址为3.3.3.1-3.3.3.10，执行的动作是放行，做NAT模块转换，转换的IP地址为公网IP地址202.1.1.2，并做策略路由，指定出接口为0/0/1；

配置一个ACL4，匹配的IP地址为4.4.4.1-4.4.4.10，执行的动作是放行，做NAT模块转换，转换的IP地址为公网IP地址202.1.1.3，做策略路由，指定出接口为0/0/1，并做IPSec隧道加密。

当有一个IP地址为1.1.1.1的报文通过防火墙时，根据ACL的匹配，匹配上了ACL1规则，规则内容是丢弃，则直接丢弃此报文。

当一个IP地址为4.4.4.1的报文通过防火墙时，根据ACL的匹配，匹配上了ACL4，则此报文需要依次执行NAT转换、策略路由和IPSec隧道加密处理。

当报文需要执行IPSec隧道匹配时，此时如果配置了多个IPSec隧道，由于每个IPSec隧道的ACL是独有的，所以ACL4会指定一个固定的IPSec隧道进行加密。

在上述实施例中，如果按照现有的方式，每个业务处理模块若是需要配置10条ACL，那么4个模块就需要配置40个ACL，但往往在配置中模块间的ACL配置会重复。但是，如果采用本发明提出的方法，就会使一个报文在一个整体的ACL表中匹配到ACL表项，再根据表项中所配置的动作对报文进行处理。例如，ACL4需要全部的4个模块进行处理，那么就相当于一个报文原先需要4次ACL匹配，而现在减少到1次ACL匹配，这样就大大提高了防火墙对报文的处理速度。

需要指出的是，业务处理模块的类型并不局限于上述实施例所述的4种模块，业务处理模块是根据每个防火墙的实际功能进行配置的。因此，对报文的IP地址进行分类以及配置对应的ACL时，也需要根据防火墙的具体功能以及报文的类型进行灵活设置。

以上所述仅是本发明的优选实施方式，应当指出，对于本领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和替换，这些改进和替换也应视为本发明的保护范围。

Claims (4)

1.一种利用ACL对报文进行业务匹配的方法，其特征在于，所述方法包括以下步骤：

S1、防火墙将所有报文的IP地址进行分类，得到N类IP地址，并为所述N类IP地址分别配置ACL，从而得到N个ACL，其中，N为正整数，所述N个ACL分别记录每类IP地址对应的报文需要执行的业务类型；

S2、当所述防火墙接收到报文时，根据所述报文的IP地址，在所述N个ACL中找到对应的ACL进行匹配，从而得到所述报文需要执行的业务类型；

S3、所述防火墙根据所述报文需要执行的业务类型将所述报文发送给相应的业务处理模块进行处理。

2.根据权利要求1所述的方法，其特征在于，所述IP地址包括源IP地址或目的IP地址。

3.根据权利要求1所述的方法，其特征在于，步骤S1中，每类IP地址对应的报文需要执行的业务类型包括三层安全控制、NAT转换、策略路由或IPSec加密；步骤S3中，所述业务处理模块包括三层安全控制模块、NAT转换模块、策略路由模块或IPSec加密模块。

4.根据权利要求3所述的方法，其特征在于，步骤S1中，当某类IP地址对应的报文需要执行的业务类型包括IPSec加密时，与之相对应的ACL指定一个固定的IPSec隧道进行加密。