[发明专利]一种基于FPGA的IP五元组匹配过滤实现方法

说明书

本发明公开了一种基于FPGA的IP五元组匹配过滤实现方法。该方法将IP五元组划分为13个字节段，每个字节段作为地址访问FPGA内部一块RAM，每块RAM写地址为用户需求的IP五元组划分的13字节段，RAM写使能为用户何时进行配置，RAM写数据为1表示将该条IP五元组规则存入RAM中；RAM读地址为实际接收的IP五元组划分的13字节段，RAM读数据为0或1表示本RAM是否有匹配的字节段。将13块RAM的输出进行与运算，含义是只有当所有RAM对应的IP五元组字节段均匹配成功，该条IP五元组流才匹配成功。本发明解决了现有技术中IP五元组匹配过滤实现方法匹配速度慢、规则存储条数少、规则匹配冲突的问题。

技术领域

本发明涉及网络数据处理，尤其涉及一种基于FPGA的IP五元组匹配过滤实现方法。

背景技术

在网络报文分类系统中，很多系统是把报文的IP五元组（协议，源IP，目的IP，源端口，目的端口）作为分类的规则。例如（tcp,192.168.1.1,121.14.88.76,

10000,80）构成的五元组含义是：一个IP地址为192.168.1.1的终端通过端口10000，利用TCP协议，和IP地址为121.14.88.76，端口为80的终端进行连接。在对网络报文进行过滤时，通过对接收的以太包进行IP五元组的比对达到匹配筛选的目的。目前大多数系统采用tcam芯片或hash表的方式实现五元组的规则匹配，tcam实现方式具有查找速度快、可对规则掩码的优点，但受限于存储空间只能匹配少量规则的五元组；而hash表可以存储大量的五元组规则，但受限于算法查找速度慢，不能满足系统实时性的要求，且有匹配冲突的问题，即不同的五元组有可能得到相同的hash值，进而使匹配变得更加困难。所以一种好的IP五元组匹配过滤实现方法在网络报文分类系统中起到了至关重要的作用。

发明内容

鉴于现在技术存在的问题，本发明提供一种基于FPGA的IP五元组匹配过滤实现方法。本发明的目的就是要解决上述技术中存在的IP五元组规则匹配速度慢、规则存储条数少、规则匹配冲突的问题。

本发明采取的技术方案是：一种基于FPGA的IP五元组匹配过滤实现方法，其特征在于，该方法将IP五元组划分为13个字节段{porttype,srcip0.srcip1.srcip2.

srcip3,dstip0.dstip1.dstip2.dstip3,srcport0.srcport1,dstport0. dstport1}，每个字节段作为地址访问FPGA内部一块BLOCK RAM；每块BLOCK RAM写地址为用户需求的IP五元组划分的13字节段，BLOCK RAM写使能为用户何时进行配置，BLOCK RAM写数据为1表示将该条IP五元组规则存入BLOCK RAM中；

BLOCK RAM读地址为实际接收的IP五元组划分的13字节段，BLOCK RAM读数据为0或1表示本BLOCK RAM是否有匹配的字节段；将13块BLOCK RAM的输出进行与运算，含义是：只有当所有BLOCK RAM对应的IP五元组字节段均匹配成功，该条IP五元组流才匹配成功。

本发明所产生的有益效果是：解决了现有技术中存在的IP五元组规则匹配速度慢、规则存储条数少、规则匹配冲突的问题。本方法在网络数据处理领域有广泛的应用价值。

附图说明

图1为本发明实现原理图。

具体实施方式

以下结合附图和实施例对本发明做进一步说明。

IP五元组（协议，源IP，目的IP，源端口，目的端口）共包含13个字节，其中协议字段为1个字节，源IP字段为4个字节，目的IP字段为4个字节，源端口字段为2个字节，目的端口字段为2个字节。

以下对图1中各变量进行说明：