基于NP芯片的ACL防攻击研究与实现

王嘉楠，吴军平

（1.武汉邮电科学研究院烽火学院，湖北武汉 430074；2.烽火通信科技股份有限公司，湖北武汉 430073）

海量设备的接入使得互联网的规模快速扩大，一方面提升了用户的体验，另一方面5G 安全也面临不小的挑战，其安全防护需要各界相互配合、共同努力，体系化、立体化地做好5G 安全防护[1]。网络规模扩大的同时还增加了大量需要上送CPU 处理的报文和针对CPU的恶意攻击报文，CPU的处理压力与日俱增,为防范各种攻击，保障网络和业务安全，迫切需要对交换机进行加固[2-3]。NP芯片可用微码编程，其高速响应的特点正适合应用于通信领域分组业务中包处理、协议分析的任务[4]。

在位于网络边缘的交换机和路由器端口上绑定ACL，将其以太帧头部信息、多协议标签交换（Multi-Protocol Label Switching，MPLS）的标记、端口号等字段作为匹配信息，根据匹配结果决定数据包是转发或丢弃，过滤接入的用户和数据报文，以此完成对数据报文安全性的校验和网络某一连接流量的限制[5-7]。

1 ACL基本原理

1.1 概述

高端路由器上执行数据包转发的是包转发引擎PFE（Packet Forwarding Engine），通常是位于上行或下行接口板的NP芯片。NP芯片不仅要实现报文接收、解析、转发、交换、封装，还要进行其他处理，其中包过滤就是一项十分关键的处理。从应用到包过滤分为3 个部分：流分类、流动作和流策略[8]。先设定ACL 匹配规则，再针对某类流量定义流动作，将流分类和流动作关联后应用到相应接口上。

1.2 ACL分类

根据不同的匹配层次和不同的匹配信息可以定义多种规则，如表1 所示[9-10]。……