[发明专利]一种数据流匹配ACL的方法

说明书

技术领域

本发明涉及网络通信技术领域，特别涉及一种数据流匹配ACL的方法。

背景技术

ACL(Access Control List，访问控制列表)通常被使用在三层流过滤(是否报文被准许通过)、IPSEC隧道规则匹配(是否报文需要加密)、NAT规则匹配(是否报文需要做NAT转换)等。以NAT规则匹配为例，NAT功能判断哪些报文需要进行NAT转换是通过匹配NAT规则实现的，NAT匹配规则实际上就是使用ACL对报文进行匹配，当报文匹配上指定的ACL(此ACL就是NAT匹配规则)之后，就对此报文进行NAT转换，如果匹配不上此ACL，则报文不作NAT转换，而进行其它业务处理。在此过程中，通常流量最大的时候，是相同的一组背景流(此相同的一组背景流指的是需要做相同转换的报文)。当配置了很多个NAT转换的时候，流量就会按照NAT转换匹配的顺序一个一个的匹配每个NAT对应的NAT匹配规则，此时往往在流量最大的时候只有一个或者几个NAT会被匹配上，其他NAT匹配规则根本就没有流量，如果此时没有流量的NAT配置在了前面，那么每个报文都需要先匹配一遍这个没用的NAT匹配规则。这就会造成报文转发效率非常低。

发明内容

(一)要解决的技术问题

本发明要解决的是现有技术中，报文进行NAT转换时，所有报文需要对全部ACL进行遍历一次的匹配所造成的效率较低的问题。

(二)技术方案

为解决上述技术问题，本发明提供了一种数据流匹配ACL的方法，其特征在于，

包括以下步骤：

S1：为防火墙设备配置NAT模块，对每个NAT模块中的ACL模块分为n组，即ACL₁、ACL₂、ACL₃、……ACL_n，且默认的匹配顺序是ACL₁、ACL₂、ACL₃、……ACL_n；

S2：防火墙设备接收报文，对所述报文进行ACL匹配，若匹配成功ACL_m，m为不大于n的正整数，则将ACL_m的优先级设置为最高级，ACL模块的匹配顺序变为ACL_m、ACL₁、ACL₂……ACL_n。

所述步骤S1之前还包括将在同一时段上网的用户的IP地址设置在同一ACL模块的地址池中。

(三)有益效果

本发明的数据流匹配ACL的方法对防火墙设备中的NAT模块进行优化，按照用户需求将ACL分为若干组，报文先对全部ACL分组进行遍历，匹配成功后将匹配上的ACL组的优先级设置为最高级，其余ACL分组的匹配顺序不变，则下次报文先对最高级的ACL进行匹配，节约了匹配的时间。

具体实施方式

下面对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

本实施方式的方法包括以下步骤：

S1：为防火墙设备配置NAT模块，对每个NAT模块中的ACL模块分为n组，即ACL₁、ACL₂、ACL₃、……ACL_n，且默认的匹配顺序是ACL₁、ACL₂、ACL₃、……ACL_n；

S2：防火墙设备接收报文，对报文进行ACL匹配，若匹配成功ACL_m，m为不大于n的正整数，则将ACL_m的优先级设置为最高级，其余ACL模块的匹配顺序不变，即匹配顺序调整为ACL_m、ACL₁、ACL₂……ACL_n；防火墙设备再次接收报文，对报文进行ACL匹配，匹配顺序为ACL_m、ACL₁、ACL₂……ACL_n。

进一步地，步骤S1之前还包括将在同一时段上网的用户的IP地址设置在同一ACL模块的地址池中。