[发明专利]基于安全业务的包转发方法及系统

说明书

技术领域

本发明涉及安全业务技术领域，具体涉及基于安全业务的包转发方法及系统。

背景技术

随着网络的普及与发展，对网络设备的要求已经不仅仅是单纯的快速转发，还需要网络设备提供安全业务。市场的这一需求促进了安全设备的发展，并对安全设备提出以下要求：在对网络数据实施安全业务如：安全检查过滤等的情况下仍然提供比较好的转发性能。

安全设备要达到以上要求，依赖于硬件性能的提升，同时也依赖软件相关表项的组织以及相关的业务流程优化。如何组织相关的主要表项并依赖其提升处理性能，成为安全产品面临的一个命题。

图1为现有的基于安全业务的包转发流程图，如图1所示，其具体步骤如下：

步骤101：在安全设备上配置安全业务表项。

每个安全业务表项包括：五元组信息中的一个或任意组合与安全业务信息的对应关系，或者包括：转发信息与安全业务信息的对应关系，或者包括：五元组信息中的一个或任意组合、转发信息与安全业务信息的对应关系。

五元组信息即：源IP地址信息、源端口信息、协议号码、目的IP地址信息、目的出端口信息。

转发信息即：转发信息库(FIB)表项中的三层出接口信息等，地址解析协议(ARP)表项中的出端口信息等。

安全业务信息指示具体应执行何种安全业务处理，如：过滤处理等。

步骤102：安全设备接收到包，查找与该包的五元组对应的安全业务表项。

步骤103：安全设备根据查找到的安全业务表项中的安全业务信息，执行相应的安全业务处理，执行完毕，转至步骤104。

本步骤中的安全业务处理针对的是入口处的安全业务处理。

步骤104：安全设备查找与该包的目的IP地址对应的FIB表项。

步骤105：安全设备查找与FIB表项最匹配的ARP表项。

步骤106：安全设备查找与FIB表项中的三层出接口信息对应的安全业务表项。

步骤107：安全设备根据查找到的安全业务表项中的安全业务信息，执行相应的安全业务处理，执行完毕，转至步骤108。

本步骤中的安全业务处理针对的是出口处的安全业务处理。

步骤108：安全设备将查找到的ARP表项中的二层链路层头封装到包的二层头上，将该包转发出去。

从以上过程可以看出：安全设备接收到包后，首先根据包的五元组信息查找安全业务表项，并进行相应的安全业务处理，然后查找FIB表项和ARP表项，再根据查找到的FIB表项和ARP表项查找安全业务表项，并进行相应的安全业务处理，处理完毕，根据ARP表项转发包。很显然，处理流程较长，大大降低了包的转发效率。

发明内容

本发明提供基于安全业务的包转发方法及系统，以提高基于安全业务的包的转发效率。

本发明的技术方案是这样实现的：

一种基于安全业务的包转发方法，其特征在于，包括：

接收业务流的首包，获取与该首包对应的安全业务信息和ARP表项，建立首包携带的业务流包的属性信息与安全业务信息、ARP表项信息的关联关系；

接收业务流的后续包，根据后续包携带的业务流包属性信息及所述关联关系，查找到安全业务信息和ARP表项信息，根据安全业务信息对后续包执行安全业务处理，根据ARP表项信息将后续包转发出去。

所述关联关系保存在软件单元中。

所述建立关联关系包括：建立业务流包的属性信息、安全业务信息及ARP表项的索引之间的关联关系。

当接收到后续包时，所述查找包括：在所有关联关系中，查找与后续包携带的业务流包的属性信息对应的关联关系，该关联关系中的安全业务信息即为查找到的安全业务信息，根据该关联关系中的ARP表项索引查找到ARP表项。

所述接收业务流的首包之前进一步包括：在软件单元中学习FIB表项；

当接收到业务流的首包时，所述获取ARP表项包括：查找与该首包对应的FIB表项，再查找与该FIB表项最匹配的ARP表项，

且，所述建立关联关系进一步包括：为该关联关系设置指示有效的有效标志位，并建立FIB表项的索引与该关联关系的索引的对应关系，

且，当更新FIB表项时，根据该FIB表项索引在所述对应关系中查找到关联关系索引，将该关联关系索引指向的关联关系中的有效标志位设置为无效。