[发明专利]基于多域最长匹配的流识别方法及设备

说明书

技术领域

本发明涉及分组通信技术领域，尤其涉及一种基于多域最长匹配的流识别方法及设备，可应用于分组网络接入端设备，如局域网网桥等中。

背景技术

流识别技术是指依据网络协议的定义对网络中不同业务功能的分组进行识别分类的方法。它是分组通信网络设备中一项非常重要的技术，用于实现包过滤，服务质量QoS、虚拟局域网VLAN，虚拟专网VPN，IGMP Snooping等业务。

流识别功能可以通过软件实现，也可以通过硬件实现。软件流识别一般是基于访问控制列表ACL来实现的，这种方法通过配置一系列ACL规则对数据分组头中的多个域进行匹配，确定其是否满足ACL规则，并根据满足或不满足某一类规则，决定对数据分组的处理。基于软件的流识别，可以支持大量的复杂的规则，方便地对规则列表进行添加，删除或更改，为网络管理者提供灵活的管理方法。但在需要支持的ACL规则数目变大时，表项的生成和组织会变得越来越复杂，对所能使用的规则匹配算法也提出了更高的要求。

硬件实现有多种方法，大致可分成两类，一类是采用专用的内容寻址存储器CAM器件再附加静态随机存储器SRAM的实现方法，另一类是基于普通存储器如同步动态随机存储器SDRAM的实现方法。

采用CAM器件的流识别设备中，CAM器件中一般存储有用于查找各种表的关键字，SRAM中存储有关键字附带的内容。在进行流识别查找时，由CAM给出地址，再从SRAM中的相应地址单元读出数据，该方式可以实现高度的并行流水线查表，性能可以达到很高，但由于该技术方案需要增加额外的SRAM，不仅增加了成本，而且增加了实现复杂度，不适合用于网络接入端设备中。

基于普通存储器的流识别方法将查表的关键字和关键字对应的内容组织成流识别规则表存储在普通存储器中，查表过程需要逐一对表项进行判断是否满足规则。这种方法成本较低，适合在速度要求不高的应用场合，如分组网络接入端设备中使用。但是这种方法对存储器的需求量大，性能比较低，而且这种流识别方法一般涉及的匹配域较少，并且多为精确匹配，在识别匹配域较多时，实现的复杂度也比较高。如果要实现多域流识别，就需要查找多个流识别表，在这种情况下，若不增加并行查找模块，分组处理速度将成倍减小。

发明内容

本发明目的是针对上述已有技术存在的问题，提出一种基于多域的最长匹配流识别方法及设备，以节省流识别规则表项的存储空间，提高多域流识别的处理速度，降低多域流识别设备的复杂度。

一.术语说明

字段：用于指定分组中需要进行匹配或操作的特定区域的一个连续的bit串，其由地址偏移和长度两种信息组成。

字段列表：用于存放字段的列表，其中的字段按存储顺序编号。

条款：是由字段Field、操作和值组成，其中字段通过字段编号表示，操作包括等于、大于、小于、不等于、大于等于和小于等于，值为用户设置的16位数据。

规则：包括一系列条款，条款之间为与运算逻辑关系，规则还定义了当规则满足时需要做的动作。

动作：是指需要对分组实施的处理，本发明支持的动作包括进入指定优先级队列、丢弃包、插入/删除/修改字段、复制到CPU和重定向到CPU，一个规则只对应一个动作。

规则表：是用于存放规则的列表。

二.本发明提出的一种基于最长匹配的流识别方法，包括如下步骤：

(1)用户根据组网及管理需要生成字段和规则，并把字段配置到字段列表中，把规则配置到规则表中，该字段是指用于指向分组中需要进行匹配或操作的特定区域的一个连续的bit串由地址偏移和长度两种信息组成，该规则包括一系列条款和条款满足时需要执行的动作；

(2)根据用户配置的字段列表，提取出需要进行流识别处理的分组字段的值；

(3)从规则表中的第一条规则开始，比较分组字段的值是否满足规则，若满足，记录规则中的有效条款的数目及规则对应的动作，若不满足，判断是否满足第二条规则，依次类推；

(4)根据对所有规则的判断结果确定对分组的操作：

当分组不满足规则表中的任何一条规则时，对该分组不做处理；

当分组只满足一条规则R₁，则按规则R₁规定的动作处理分组；