[发明专利]一种基于VPP的快速策略匹配方法

说明书

本发明公开了一种基于VPP的快速策略匹配方法，将输入的多元组策略数据进行处理，将策略优先级和对应的策略唯一化，进行策略查找，首先通过HASH算法进行查找，若查找成功，则返回优先级，否则利用二分查找法进行查找，若查找成功，则统计N元组命中计数，产生HASH匹配表，且根据命中计数排序生成命中数量较高的M个HASH匹配表，以实现确定高速流的数据流，命中计数表根据设置的时间进行更新，最后返回优先级，当下次数据流来时，使用HASH算法进行查找。本发明将时间复杂度从O(log2N)降到O(1)，从而达到多元范围的优先级策略快速匹配，有效提高了VPP的转发效率。

技术领域

本发明属于计算机网络技术领域，具体涉及一种基于VPP的快速策略匹配方法。

背景技术

现在防火墙在多个功能，比如ACL,QOS,NAT,用户认证，黑白名单等多个功能都会用到策略匹配。同时，策略匹配是用户配置，在各个功能模块之间优先级或策略不尽相同，这样，同一条数据则需要连续多次去匹配策略。如果策略匹配功能不够快，则会影响整个系统的转发效率。常规的有优先级的策略匹配功能，都是按照从上到下的高低优先级的顺序进行策略匹配，在数量较少时不明显，当策略数量超过一定阀值时，将会导致整个数据转发过程变慢。所以需要一种更高效的策略匹配方法来满足此需求。

VPP本身是一个高效的流转发框架，不希望增加的这些匹配策略明显降低它的转发性能。众所周知，可以根据时间复杂度来度量哪个算法查找最快，O(1)即HASH算法是最快的，但我们知道，HASH不能用于范围查找。二分查找在查找方法里是一种简单快速的方法，时间复杂度为O(log2N)。其次，32位处理器一次只能处理32位，也就是4个字节的数据；而64位处理器一次就能处理64位，即8个字节的数据。IPV4地址，协议，端口等多个字段除IPV6地址外，都是通过32位整数可以表示的，通过转换，在比较时，可以将2位32位整数转换为1位64位整数，通过减少比较数次，可以进一步降低查找时间。

发明内容

本发明的目的在于提供一种基于VPP的快速策略匹配方法，旨在解决上述问题。

本发明主要通过以下技术方案实现：

一种基于VPP的快速策略匹配方法，将输入的多元组策略数据进行处理，将策略优先级和对应的策略唯一化，进行策略查找，首先通过HASH算法进行查找，若查找成功，则返回优先级，否则利用二分查找法进行查找，若查找成功，则统计N元组命中计数，产生HASH匹配表，且根据命中计数排序生成命中数量较高的M个HASH匹配表，以实现确定高速流的数据流，命中计数表根据设置的时间进行更新，最后返回优先级，当下次数据流来时，使用HASH算法进行查找。

为了更好地实现本发明，进一步地，首次查找，HASH值或统计值都没有，那么进入二分查找并进行统计，在T时间到达后，生成HASH表，之后的数据流，可进行HASH匹配，若HASH匹配失败，则是新数据流，进行二分策略匹配。

为了更好地实现本发明，进一步地，在VPP中实际生成HASH表的过程，不在转发线程中，而在主线程中，这是为了不因生成HASH表的过程影响转发，生成的HASH表有主表和备表，转发线程使用主表，当重新生成HASH表后，主线程切换标志位，转发线程切换主表、备表。

为了更好地实现本发明，进一步地，在二分查找法查找的基础上，利用64位CPU优化比较次数，通过统计数据流匹配次数，从高到低按统计次数进行排序，下次数据流来时使用HASH算法。