[发明专利]一种多Slice交换芯片实现CoPP的方法及装置

说明书

本发明揭示了一种多Slice交换芯片实现CoPP的方法及装置，方法包括：在入方向CoPP上，每个Slice的入方向处理模块接收报文，通过ACL识别上送CPU并对其限速，进一步将报文发送至与CPU相连的出方向处理模块中进行集中限速；在出方向CoPP上，每个Slice的出方向处理模块接收报文，通过ACL识别上送CPU并对其限速，进一步将报文环回至对应Slice的入方向处理模块中，每个Slice的入方向处理模块将报文发送至与CPU相连的出方向处理模块中进行集中限速。本发明能够在多Slice交换芯片实现CoPP，并在每个入方向和出方向处理模块中先对协议报文进行分布式限速，再在与CPU相连出方向处理模块进行集中限速，对上送CPU的协议报文精确限速。

技术领域

本发明涉及交换机技术领域，尤其是涉及一种多Slice交换芯片实现CoPP的方法及装置。

背景技术

交换机的转发引擎具有处理性能高的优点，若通过转发引擎在转发面实现安全检测，识别出非法报文并合理的处理，对网络安全来说是最好的方案。然而转发引擎一般都是通过硬件实现，如ASIC芯片、NP芯片等，其灵活性不如纯软件，其只能够对具有固定特征、无需复杂计算和处理的非法报文进行检测，并且安全处理机制要求较为简单且流程相对固定。但转发面相对于控制面来说，其处理能力可以认为是无限的，转发面能够轻易的上送海量的报文，将控制面直接冲击过载。

为了防止转发面上送过多的报文给控制面，需要对上送管道进行限速，同时，为了不影响正常的业务运行，转发面与控制面间的管道控制机制只能保证CPU不会被攻击过载，并不感知上送的报文是否存在安全隐患。而CoPP可实现上述目的，CoPP(Control of PlaneProtect，控制平面保护)，用于对上送CPU的报文进行限速，可针对上送CPU的报文进行限制和约束，使单位时间内上送CPU报文的数量限制在一定范围之内，从而保护CPU的安全，保证CPU对业务的正常处理。

传统CoPP实现是基于单Slice(片)交换芯片的，其是基于单入方向处理模块(IPE)/出方向处理模块(EPE)的一些硬逻辑识别出协议报文，如ARP(Address ResolutionProtocol，地址解析协议)、BGP(Border Gateway Protocol，边界网关协议)、OSPF(OpenShortest Path First，开放式最短路径优先)等，并限速后上送控制面。一方面，由于通过硬逻辑识别报文，因此不能可编程化识别一些新的报文，也即硬逻辑不会做成识别所有协议报文的；另一方面，随着网络交换的高速发展，多端口数和高带宽的强烈需求推捧着多slice交换芯片的出现，因此，如何在多Slice交换芯片中实现CoPP是亟需解决的问题。

发明内容

本发明的目的在于克服现有技术的缺陷，提供一种在多Slice交换芯片中实现CoPP的方法及装置。

为实现上述目的，本发明提出如下技术方案：一种多Slice交换芯片实现CoPP的方法，包括入方向CoPP处理和出方向CoPP处理，

在入方向CoPP处理中，每个Slice的入方向处理模块通过ACL识别出协议报文上送CPU并对其进行限速处理，进一步将协议报文发送至与CPU相连的出方向处理模块中进行集中限速处理；

在出方向CoPP处理中，每个Slice的出方向处理模块通过ACL识别出协议报文上送CPU并对其进行限速处理，进一步将协议报文环回至对应Slice的入方向处理模块中，每个Slice的入方向处理模块将报文发送至与CPU相连的出方向处理模块中进行集中限速。

优选地，在入方向CoPP中，入方向处理模块通过如下步骤识别出协议报文并对协议报文进行限速处理：

入方向处理模块通过ACL识别出协议报文，并为该协议报文分配上送CPU的原因编号和CoPP计数指针；

根据CoPP计数指针对该协议报文进行计数，并对预设时间内超过预设阈值的报文丢弃。