[发明专利]ACL下发方法及网络设备

权利要求书

1.一种ACL下发方法，其特征在于，应用于包括转发芯片的网络设备，所述方法包括：

检测待下发至目标转发芯片的目标ACL的类型，该类型包括入方向ACL和出方向ACL；

若所述目标ACL的类型为入方向ACL，则判断所述目标ACL的匹配长度是否超过所述目标转发芯片的入过滤处理器IFP支持的最大匹配长度；

若超过该最大匹配长度，则从所述目标ACL中获取至少一个匹配字段作为第一字段组，获取与该第一字段组对应的第一预设标识，并将与该第一字段组对应的匹配动作设置为添加所述第一预设标识，形成第一ACL；

将所述第一ACL下发至所述目标转发芯片中的VLAN过滤处理器VFP；

将所述目标ACL中的原始匹配动作设置为与所述第一预设标识和所述目标ACL中的剩余匹配字段对应的匹配动作，形成第二ACL；

将所述第二ACL下发至所述IFP。

2.根据权利要求1所述的ACL下发方法，其特征在于，所述方法还包括：

所述目标转发芯片的VFP在接收到与所述第一字段组匹配的报文时，为该报文添加所述第一预设标识，并对得到的报文进行转发；

所述目标转发芯片的IFP在接收到与所述第一预设标识和所述目标ACL中的剩余匹配字段均匹配的报文时，对该报文执行所述目标ACL中的原始匹配动作。

3.根据权利要求1或2所述的ACL下发方法，其特征在于，从所述目标ACL中获取至少一个匹配字段作为第一字段组，包括：

获取所述目标ACL中的源MAC字段和目的MAC字段作为所述第一字段组；

获取所述目标ACL中的源IPv6地址作为所述第一字段组；或

获取所述目标ACL中的目的IPv6地址作为所述第一字段组。

4.根据权利要求1所述的ACL下发方法，其特征在于，所述方法还包括：

若所述目标ACL的类型为出方向ACL，则判断所述目标ACL的匹配长度是否超过所述目标转发芯片的出过滤处理器EFP支持的最大匹配长度；

若超过该最大匹配长度，则从所述目标ACL中获取至少一个匹配字段作为第二字段组，获取与该第二字段组对应的第二预设标识，并将与该第二字段组对应的匹配动作设置为添加所述第二预设标识，形成第三ACL；

将所述第三ACL下发至所述VFP或所述IFP；

将所述目标ACL中的原始匹配动作设置为与所述第二预设标识和所述目标ACL中的剩余匹配字段对应的匹配动作，形成第四ACL；

将所述第四ACL下发至所述EFP。

5.根据权利要求4所述的ACL下发方法，其特征在于，所述方法还包括：

所述目标转发芯片的VFP或IFP在接收到与所述第二字段组匹配的报文时，为该报文添加所述第二预设标识，并对得到的报文进行转发；

所述目标转发芯片的EFP在接收到与所述第二预设标识和所述目标ACL的剩余匹配字段均匹配的报文时，对该报文执行所述目标ACL中的原始匹配动作。

6.根据权利要求4或5所述的ACL下发方法，其特征在于，从所述目标ACL中获取至少一个匹配字段作为第二字段组，包括：

获取所述目标ACL中的源IPv6地址和/或目的IPv6地址作为所述第二字段组。

7.一种网络设备，其特征在于，所述网络设备包括处理器和转发芯片，所述处理器包括：

检测模块，用于检测待下发至目标转发芯片的目标ACL的类型，该类型包括入方向ACL和出方向ACL；

第一下发模块，用于当所述目标ACL的类型为入方向ACL时，判断所述目标ACL的匹配长度是否超过所述目标转发芯片的IFP支持的最大匹配长度，若是，则从所述目标ACL中获取至少一个匹配字段作为第一字段组，获取与该第一字段组对应的第一预设标识，并将与该第一字段组对应的匹配动作设置为添加所述第一预设标识，形成第一ACL；将所述第一ACL下发至所述目标转发芯片中的VFP；

第二下发模块，用于将所述目标ACL中的原始匹配动作设置为与所述第一预设标识和所述目标ACL中的剩余匹配字段对应的匹配动作，形成第二ACL；将所述第二ACL下发至所述IFP。