[发明专利]一种基于IP报文目的端口过滤策略的系统和方法

说明书

技术领域

本发明属于网络安全领域，具体涉及一种基于IP报文目的端口过滤策略的系统和方法。

背景技术

专利号CN200810106399.6(一种GPON系统中实现帧过滤的远程管理装置)公开了一种GPON系统中实现帧过滤的远程管理装置。针对现有的GPON系统只有工作在MAC桥模式下才仅能实现根据目的MAC地址过滤功能的问题而发明。本发明提出的GPON系统中实现帧过滤的远程管理装置，增设一帧过滤表数据管理实体，该管理实体内设置有MAC地址过滤表模块、IP地址过滤表模块、TCP/UDP端口过滤表模块、互联网组管理协议查询报文过滤模块、DHCP响应报文过滤模块之中的一个或几个模块，可以针对工作在各种模式下的GPON系统实现对数据帧的过滤。同时，还能够根据控制端的指令增加/删除规则条目。

专利号CN200680012308.1(一种桥接转发方法和装置)公开了一种桥接转发方法，将一个或一个以上端口和VLAN标识的组合对应一个虚拟转发实例(VSI)，完成不同VLAN之间的报文桥接转发、MAC地址学习以及源端口过滤。该方法包括以下步骤：从输入端口接收报文，获取该报文的输入虚拟局域网标识VLAN标识和目的MAC地址；确定报文的输出端口和输出VLAN标识，并根据输出端口和输出VLAN标识转发报文。本发明还公开了一种桥接转发装置，包括接收一个以上VLAN的报文的输入端口、发送报文至一个以上VLAN的输出端口和转发单元，该转发单元获取输入端口接收的报文的输入VLAN标识和目的MAC地址，确定报文的输出端口和输出VLAN标识，并将报文输出至输出端口。采用本发明的方法和装置，可以实现以太网报文在多个VLAN之间的桥接转发。

但上述技术无法检测网络数据包的源目端口以及协议，不能将某些有针对性的源目端口号过滤掉，从而无法解放CPU并提高主机的性能，也无法提高网络的安全性能。

本发明采用FPGA实现了网络协议中针对IP包负载为TCP或UDP的目的端口进行过滤的方法，可解放CPU，从而提高主机的性能。该方法主要检测网络数据包的源目端口以及协议，将某些有针对性的源目端口号，将其过滤掉，提高网络的安全性能。

发明内容

本发明克服现有技术存在的不足，采用FPGA实现了网络协议中针对IP包负载为TCP或UDP的目的端口进行过滤的方法，可解放CPU，从而提高主机的性能。该方法主要检测网络数据包的源目端口以及协议，将某些有针对性的源目端口号，将其过滤掉，提高网络的安全性能。

本发明提供了一种基于IP报文目的端口过滤策略的系统，该策略从五元组FIFO模块中读取IP报文的五元组数据提供给端口过滤模块，由端口过滤模块进行目的端口过滤，并将命中端口的控制信息存储在目的结果Fifo模块中，以供后续模块处理。

本发明提供的基于IP报文目的端口过滤策略的系统，端口过滤模块用于TCP过滤和UDP过滤两部分功能。

本发明提供的基于IP报文目的端口过滤策略的系统，端口过滤模块的TCP过滤和UDP过滤共用一个控制器。

本发明提供的基于IP报文目的端口过滤策略的系统，五元组控制FIFO，存储从原始IP报文中提取出的五元组数据。

本发明提供的基于IP报文目的端口过滤策略的系统，目的端口过滤模块的专用网卡使用查找LUT过滤索引表方式来对IP报文过滤。

本发明提供的基于IP报文目的端口过滤策略的系统，目的端口过滤模块的专用网卡芯片内部集成一个LUT过滤索引表，并利用专用芯片内部的RAM资源实现单端口RAM来存储该索引表。

本发明还提供了一种基于IP报文目的端口过滤策略的方法，该策略从五元组FIFO步骤中读取IP报文的五元组数据提供给端口过滤步骤，由端口过滤步骤进行目的端口过滤，并将命中端口的控制信息存储在目的结果Fifo步骤中，以供后续步骤处理。

本发明提供的基于IP报文目的端口过滤策略的方法，端口过滤步骤用于TCP过滤和UDP过滤两部分功能。

本发明提供的基于IP报文目的端口过滤策略的方法，端口过滤步骤的TCP过滤和UDP过滤共用一个控制器。

本发明提供的基于IP报文目的端口过滤策略的方法，五元组控制FIFO，存储从原始IP报文中提取出的五元组数据。

本发明提供的基于IP报文目的端口过滤策略的方法，目的端口过滤步骤的专用网卡使用查找LUT过滤索引表方式来对IP报文过滤。