[发明专利]一种提高大规格ACL匹配效率的方法和装置

权利要求书

1.一种提高大规格ACL匹配效率的方法，其特征在于，包括：

根据匹配规则中设置的流表加速标志位信息，判断是否进行HASH流表加速处理；

若不进行HASH流表加速处理，则按普通ACL流程进行处理；

若进行HASH流表加速处理，检查加速匹配项标志位中包含的各个比特位，将加速匹配项标志位为0的，且对应于所述加速匹配项标志位的HASH KEY字段置为预设值；其中，每一个加速匹配项标志位对应于一个HASH KEY字段；

在进行HASH流表加速处理时，若所述匹配项的HASH KEY字段为预设值，则跳过相应的特征项的匹配，并分析下一个匹配项；若所述匹配项记录有HASH KEY值，则对数据报中相应特征项进行HASH计算，并与相应HASH KEY值进行匹配，以便完成相应数据包的ACL流程。

2.根据权利要求1所述的提高大规格ACL匹配效率的方法，其特征在于，检查加速匹配项标志位中包含的各个比特位，若加速匹配项标志位中对应端口号和/或VRF的比特位为1，则所述方法还包括：

若所有匹配规则均包含相应比特位所对应的匹配项，且数据报文中相应匹配项信息与bitmap中记录的不匹配，则返回匹配未命中结果；

若部分匹配规则包含相应比特位所对应的匹配项，且数据报文中相应匹配项信息与bitmap中记录的不匹配，相应比特位所对应匹配项的HASH KEY字段置预设值；

若数据报文中相应比特位所对应的匹配项信息在bitmap中存在，则记录相应比特位所对应匹配项的HASH KEY值。

3.根据权利要求2所述的提高大规格ACL匹配效率的方法，其特征在于，在相应的匹配规则中包含有端口号和/或VRF匹配项时，在检查加速匹配项标志位中包含的各个比特位之前，所述方法还包括：

根据匹配项中的端口号和/或VRF，将bitmap中的相应比特位置1；其中，bitmap中相应比特位在转换为十进制时，直接与所述端口号和/或VRF值相一致。

4.根据权利要求1所述的提高大规格ACL匹配效率的方法，其特征在于，检查加速匹配项标志位中包含的各个比特位，如果源目的IP地址的加速匹配项标志位的比特位为1，方法还包括：

若所有匹配规则均包含该加速匹配项，且数据报文中源目的IP地址小于IP地址区间的极小值或大于IP地址区间的极大值，则返回未命中的匹配结果；

若部分匹配规则包含该加速匹配项，且数据报文中源目的IP地址小于IP地址区间的极小值或大于IP地址区间的极大值，则加速匹配项的HASH KEY值置预设值；

若数据报文中源目的IP地址在源目的IP地址的极大值和源目的IP地址的极小值之间，则加速匹配项的HASH KEY值按照记录的最大掩码位数，进行HASH KEY值结果中摘取与最大掩码位数对应的简化处理。

5.根据权利要求4所述的提高大规格ACL匹配效率的方法，其特征在于，在相应的匹配规则中包含有源目的IP地址匹配项时，所述方法还包括：

根据ACL内各匹配规则中对应的源目的IP地址匹配项，得到对应各匹配规则的源目的IP地址的最小值和源目的IP地址的最大值；

并在所有匹配规则的源目的IP地址的最小值和源目的IP地址的最大值中取得源目的IP地址的极小值和源目的IP地址的极大值。

6.根据权利要求1所述的提高大规格ACL匹配效率的方法，其特征在于，所述流表加速标志位信息，按照如下方法进行设置：

根据ACL内所有匹配规则的匹配项信息更新流表加速标志位，如果有一条匹配规则的匹配项含有加速匹配项以外的内容，则将流表加速标志位置为无效，等待下次ACL中有匹配规则更新、匹配规则添加、匹配规则删除时更新所述流表加速标志位。

7.根据权利要求1-6任一所述的提高大规格ACL匹配效率的方法，其特征在于，所述方法还包括：

根据所述HASH KEY值记录结果，对需要进行流表处理的报文进行HASH流表查找处理，根据HASH流表的查找结果选择生成HASH流表并记录匹配结果，更新流表的时间戳，以便防止相应流表被老化。