[发明专利]一种安全策略加速表构建方法及装置

说明书

本申请实施例提供了一种安全策略加速表构建方法及装置。方案包括：存储具有多个地址缓存表项的地址缓存表；每个地址缓存表项为不同域名的IP地址集合，每个IP地址集合用于存储M个IP地址且每个IP地址的老化时间大于M+1个域名地址切换周期；接收第一域名系统协议报文；查找到与第一域名系统协议报文携带的域名匹配的第一地址缓存表项；确定第一地址缓存表项的IP地址集合包含第一域名系统协议报文携带的IP地址，则不生成触发刷新安全策略加速表的事件；刷新第一地址缓存表项的IP地址集合中第一域名系统协议报文携带的IP地址的存储时间。应用本申请实施例提供的技术方案，能够降低内存和CPU资源的消耗，降低安全策略检查失败的概率。

技术领域

本申请涉及网络安全技术领域，特别是涉及一种安全策略加速表构建方法及装置。

背景技术

为了提高报文安全处理的效率，网络设备将用户指定网站的域名对应的IP(Internet Protocol，网络协议)地址作为Key(键)，将该IP地址对应的安全策略规则作为Value(值)，构建安全策略加速表，根据域名的IP地址计算hash值，快速找到域名的IP地址对应的域名的安全策略，避免了在策略表中根据域名的IP地址逐一匹配查找域名的安全策略。

在负载均衡组网中，多个服务器提供同一种服务，这使得一个域名对应多个IP地址，但是某个时刻每个域名只能被解析为一个IP地址。因而，域名在对应的多个IP地址之间反复切换时，每次都会产生域名变化事件。当网络设备的安全策略加速表到达刷新周期时，根据每个域名变化事件将域名的安全策略以及当前使用的IP地址写入安全策略加速表。如果网络设备的安全策略加速表刷新周期未到，每个发生地址切换的域名在当前时刻IP地址与安全策略的对应关系无法写入安全策略加速表，会导致安全策略检查失败。

另外，加速表构建过程会大量消耗内存和CPU，且持续时间长。网络设备例如网关需要访问大量域名，每个域名在多个IP地址之间切换会导致网络设备有大量的域名变化事件需要处理，在一个安全策略加速表刷新周期内完成不了全部的需要处理的域名变化事件，也会在当前时刻IP地址与安全策略的对应关系无法写入安全策略加速表，导致安全策略检查失败。

发明内容

本申请实施例的目的在于提供一种安全策略加速表构建方法及装置，以降低内存和CPU资源的消耗，降低安全策略检查失败的概率。具体技术方案如下：

第一方面，本申请实施例提供了一种安全策略加速表构建方法，所述方法包括：

存储具有多个地址缓存表项的地址缓存表；其中，每个所述地址缓存表项为不同域名的IP地址集合，每个IP地址集合用于存储M个IP地址且每个IP地址的老化时间大于M+1个域名地址切换周期，M为大于等于2的整数；

接收第一域名系统协议报文；

查找到与所述第一域名系统协议报文携带的域名匹配的第一地址缓存表项；

确定所述第一地址缓存表项的IP地址集合包含所述第一域名系统协议报文携带的IP地址，则不生成触发刷新安全策略加速表的事件；

刷新所述第一地址缓存表项的IP地址集合中所述第一域名系统协议报文携带的IP地址的存储时间。

第二方面，本申请实施例提供了一种安全策略加速表构建装置，所述装置包括：

存储单元，用于存储具有多个地址缓存表项的地址缓存表；其中，每个所述地址缓存表项为不同域名的IP地址集合，每个IP地址集合用于存储M个IP地址且每个IP地址的老化时间大于M+1个域名地址切换周期，M为大于等于2的整数；

接收单元，用于接收第一域名系统协议报文；

查找单元，用于查找到与所述第一域名系统协议报文携带的域名匹配的第一地址缓存表项；