[发明专利]一种可扩展规则空间的实现方法

说明书

本发明公开了一种可扩展规则空间的实现方法，包括步骤：S1、报文进入pipeline 1输入端口；S2、查询规则表1后，将查询规则1命中结果携带进报文，并输出至TM处理模块；S3、TM处理模块经过内部的决策，指定转发至任一输出端口，并携带信息添加1输出至pipeline 2输入端口～pipeline N输入端口中的任一输入端口，设定为pipeline X输入端口；S4、根据步骤S2、S3的环回功能，直到报文经过所有剩余的输入端口和输出端口。本发明基于pipeline的折叠技术，实现了每个pipeline的不同编程，扩展了规则空间和提高了资源的利用效率，摆脱了芯片固化的规则优先级的限制，可以根据实际需求动态的调整规则的输出优先级。

技术领域

本发明涉及数据通讯和数据安全技术领域，尤其涉及的是一种可扩展规则空间的实现方法。

背景技术

三大运营商和国家相关安全部门需要通过对网络拓扑结构中的大量高速流量进行解析和过滤，完成流量汇聚、采集、分流、深度包检测(DPI)、深度流检测(DFI)、深度包提取(DPE)、协议与应用识别、协议还原、流控等处理。过滤处理的方法包括掩码规则，精确规则，正则表达式规则，字符串规则，以及掩码/精确和字符串组合出来的复合规则以及衍生规则等。

当前在数据通信和安全领域的前端，进行大容量流量采集过滤时，基本都是通过交换芯片进行流量的筛选，过滤和分流，而交换芯片的ACL规则是通过交换芯片内部的tcam及其他其它资源来实现的。交换芯片内部一般分为多个pipeline，每个pipeline都挂有单独的内部tcam及其它资源。目前的实现方案都是通过CPU给所有的pipeline统一进行配置，每个pipeline上所挂的tcam的配置都是相同的。

如图1和图2，为常规的交换芯片处理框架示意图以及流程图。流量从端口Ingress进来后，通过查询各自pipeline之下的tcam规则表，将规则表的命中信息标记在报文中，转发到TM模块之后，由TM模块进行输出决策，最后按照决策结果从engress进行输出。由于所有pipeline下的tcam配置的规则都是一样的，所以从归属于不同pipeline的端口进来的流量，都可以查询相同的规则集，输出相同的规则命中结果，整个芯片可以看做所有的pipeline共享tcam资源。

上述常规设计存在有两种缺陷：

1、由于所有pipeline下挂接的tcam配置的规则都是一样的，而芯片的内部tcam资源容量有限，导致掩码规则的数量很少，一般只有1000-2000条。

2、基于pipeline下tcam配置规则都是一样的，而Egress模块也不具备可编程性，导致规则的优先级是确定的，不能依据实际的需要而作出相应的改变。

因此，现有技术存在缺陷，需要改进。

发明内容

本发明所要解决的技术问题是：提供一种可扩展规则空间的实现方法，该方法采用基于P4语言的交换芯片实现了规则容量的扩展，以解决上述技术问题。

本发明的技术方案如下：一种可扩展规则空间的实现方法，包括Ingress处理模块、TM处理模块以及Egress处理模块，所述Ingress处理模块包括若干pipeline输入端口，依次设定为pipeline 1输入端口～pipeline N输入端口，所述Egress处理模块包括若干pipeline输出端口，依次设定为pipeline 1输出端口～pipeline N输出端口，输入端口和输出端口的数量一致，

其中，Ingress处理模块、TM处理模块以及Egress处理模块分别可编程；

根据上述各模块还包括如下步骤：

S1、报文进入pipeline 1输入端口；

S2、查询规则表1后，将查询规则1命中结果携带进报文，并输出至TM处理模块；