IP报文的多元组过滤方法、系统、设备及存储介质与流程

ip报文的多元组过滤方法、系统、设备及存储介质
技术领域
1.本技术属于网络安全技术领域，具体地，涉及一种ip报文的多元组过滤方法、系统、设备及存储介质。


背景技术：

2.随着5g时代到来，整个网络随着移动互联网和物联网技术的快速发展，从而使得网络中的移动设备的数量大幅度增加，导致了用户终端数、流量以及ip地址都出现了大量增长。同时对市场上用于流量分流的交换设备也提出了挑战，很多客户需要对不同的访问流量提供不同的服务，对于不同的移动设备在访问中的安全性和访问控制性也需要产生出不同的定义策略。
3.在ip分流时，需要查找定义的表，按照表规则将不同的ip进行分流处理。表即本技术中的过滤表，一般包含过滤规则，也称key，还包括对应的流量处理动作action，表会占用sram/tcam资源，应该尽量减少key的长度，可节省资源,表有自己的规格，规格越大占用资源越大。目前，按查表机制的不同，将表格规则分为精确规则和掩码规则。
4.掩码规则一般用三态内容寻址存储器tcam(ternary content addressable memory)实现，因为tcam成本较高，功耗较大的缺点，一般在交换芯片上会有空间不多的tcam。精确规则一般使用sram实现。在芯片上，sram可以数倍大于tcam资源。
5.在流量识别时，一般我们通过报文的五元组信息，包括源ip、目的ip、源端口、目的端口、协议类型来识别并分流。在某些场景中，需要根据五元组中的一元或多元组合识别并分流。
6.基于上述需求，用tcam实现的掩码规则可以实现单元或任意元组合的流识别和分流，但是受限于其资源有限，尤其是当使用精确的任意元时，整体规则量提高不了，无法满足大规格规则容量需求的场景。
7.针对大规格任意元组组合的规则，会自然而然考虑用sram定义精确规则满足这一需求。然而要支持精确的五元组或任意元组组合过滤，采用tcam还是sram时，存在sram利用率极低、不支持元组之间的灵活组合规则、用tcam实现时存在大量资源浪费、sram-tcam结合方案的规则规格有限等缺点。


技术实现要素：

8.本发明提出了一种ip报文的多元组过滤方法、系统、设备及存储介质，旨在解决现有技术在使用sram/tcam过滤ip报文时，由于过滤表存在重复的过滤规则，导致sram/tcam的利用率极低的问题。
9.根据本技术实施例的第一个方面，提供了一种ip报文的多元组过滤方法，包括以下步骤：
10.根据报文流的源ip地址，通过第一过滤规则获取第一分流动作以及源ip地址映射的源ip编号；根据报文流的目的ip地址，通过第二过滤规则获取第二分流动作以及目的ip
地址映射的目的ip编号；
11.根据报文流的源ip编号以及目的ip编号，通过第三过滤规则获取第三分流动作，以及获取源ip编号与目的ip编号组合映射的第一组合编号；
12.根据报文流的第一组合编号、协议号以及源目的端口号的不同组合，通过对应的过滤规则获取对应的分流动作。
13.在本技术一些实施方式中，根据报文流的第一组合编号、协议号以及源目的端口号不同组合后，通过对应的过滤规则获取对应的分流动作，具体包括：
14.根据报文流的第一组合编号以及协议号，通过第四过滤规则获取第四分流动作，以及获取第一组合编号以及协议号组合映射的第二组合编号；
15.根据报文流的第一组合编号以及源目的端口号，通过第五过滤规则获取第五分流动作，以及获取第一组合编号以及源目的端口号组合映射的第三组合编号；
16.根据报文流的第三组合编号以及协议号，通过第六过滤规则获取第六分流动作。
17.在本技术一些实施方式中，还包括：
18.根据报文流的第二组合编号以及源目的端口号，通过第七过滤规则获取第七分流动作。
19.在本技术一些实施方式中，还包括：
20.根据优先级从高至低依次为第六/七分流动作、第五分流动作、第四分流动作、第三分流动作以及第一/二分流动作，选择一个分流动作将报文流进行过滤分流。
21.在本技术一些实施方式中，还包括：
22.设定第一分流动作的优先级高于第二分流动作，或者设定第二分流动作的优先级高于第一分流动作。
23.根据本技术实施例的第二个方面，提供了一种ip报文的多元组过滤系统，具体包括：
24.第一过滤模块：设置有第一过滤规则以及第一分流动作；用于根据报文流的源ip地址，通过第一过滤规则获取第一分流动作以及源ip地址映射的源ip编号；根据报文流的目的ip地址，通过第二过滤规则获取第二分流动作以及目的ip地址映射的目的ip编号；
25.第二过滤模块：设置有第二过滤规则以及第二分流动作；根据报文流的源ip编号以及目的ip编号，通过第三过滤规则获取第三分流动作，以及源ip编号与目的ip编号组合映射的第一组合编号；
26.组合过滤模块：根据报文流的第一组合编号、协议号以及源目的端口号不同组合后，通过对应的过滤规则获取对应的分流动作。
27.在本技术一些实施方式中，组合过滤表具体包括：
28.第四过滤模块：设置有第四过滤规则以及第四分流动作；根据报文流的第一组合编号以及协议号，通过第四过滤规则获取第四分流动作，以及第一组合编号以及协议号组合映射的第二组合编号；
29.第五过滤模块：设置有第五过滤规则以及第五分流动作；根据报文流的第一组合编号以及源目的端口号，通过第五过滤规则获取第五分流动作，以及第一组合编号以及源目的端口号组合映射的第三组合编号；
30.第六过滤模块：设置有第六过滤规则以及第六分流动作；根据报文流的第三组合
编号以及协议号，通过第六过滤规则获取第六分流动作。
31.在本技术一些实施方式中，还包括
32.第七过滤表：设置有第七过滤规则以及第七分流动作；根据报文流的第二组合编号以及源目的端口号，通过第七过滤规则获取第七分流动作。
33.根据本技术实施例的第三个方面，提供了一种ip报文的多元组过滤设备，包括：
34.存储器：用于存储可执行指令；以及
35.处理器:用于与所述存储器连接以执行所述可执行指令从而完成以上ip报文的多元组过滤方法。
36.根据本技术实施例的第四个方面，提供了一种计算机可读存储介质，其上存储有计算机程序；计算机程序被处理器执行以实现ip报文的多元组过滤方法。
37.采用本技术实施例中的ip报文的多元组过滤方法、系统、设备及存储介质，根据报文流的源ip地址，通过第一过滤规则获取第一分流动作以及源ip地址映射的源ip编号；根据报文流的目的ip地址，通过第二过滤规则获取第二分流动作以及目的ip地址映射的目的ip编号；根据报文流的源ip编号以及目的ip编号，通过第三过滤规则获取第三分流动作，以及源ip编号与目的ip编号组合映射的第一组合编号；根据报文流的第一组合编号、协议号以及源目的端口号的不同组合，通过对应的过滤规则获取对应的分流动作。本技术支持通过精确的五元组或任意元组组合过滤ip报文，提升了精准的分流；同时定义过滤表时将其中的源ip地址以及目的ip地址等映射为不同的编号id，节省了过滤规则或者过滤表格占用sram/tcam的资源，提升了资源利用率。
附图说明
38.此处所说明的附图用来提供对本技术的进一步理解，构成本技术的一部分，本技术的示意性实施例及其说明用于解释本技术，并不构成对本技术的不当限定。在附图中：
39.图1中示出了根据本技术实施例的一种ip报文的多元组过滤方法的步骤流程图；
40.图2中示出了根据本技术实施例的一种ip报文的多元组过滤方法的另一步骤流程图；
41.图3示出了根据本技术实施例的ip报文的多元组过滤方法中采用的过滤表的结构示意图；
42.图4示出了根据本技术实施例采用不同元组映射不同编号id进行ip报文过滤的流程示意图；
43.图5中示出了根据本技术实施例的ip报文的多元组过滤系统的结构示意图；
44.图6中示出了根据本技术实施例的ip报文的多元组过滤设备的结构示意图。
具体实施方式
45.在实现本技术的过程中，发明人发现在ip报文过滤分流时，若需要采用精确的五元组过滤，或任意元组组合过滤，无论tcam还是sram方案，存在以下缺点：
46.1、sram利用率极低
47.假设以ipv6举例，key的宽度最大为296bit(源ipv6 16字节，目的ipv6 16字节，源端口2字节，目的端口2字节，协议号1字节，总共37字节)，如果要实现任意元组的组合，就有
数十种组合形式，考虑到ip地址在每种组合中必须出现，至少会有六种情况，比如源ipv6和目的ipv6的组合，源ipv6和目的ipv6源端口的组合，源ipv6和目的ipv6源端口目的端口的组合，此时会先存在大量重复key在组合表中定义，sram的利用率极低。
48.2、过滤规则不支持不同元祖之间灵活组合
49.针对常用的五元组(源/目的ip，源目的ip，源目的ip-源目的端口，源目的ip-源目的端口-协议号)定义多张表，在流量查找时，多张表包含了重复的key，比如ip地址，ipv6的地址占用128b，一方面sram资源浪费较大，无法将sram利用率最大化，支持更多的规则策略；另一方面，组合方式被限定，用户如果需要非常规的元组组合，比如源ip 协议号，现有过滤规则无法支持。
50.3、用tcam实现时成本较高，且规律规则规格有限
51.纯粹用tcam实现精确任意元组过滤时，对tcam的浪费极大，而一般芯片上的tcam资源比sram资源更紧俏。在汇聚分流场景中(包括但不限于汇聚分流场景)中，对规格有数十万的需求，根据现有方案，远无法满足需求。
52.4、用sram-tcam耦合结合方案，规则规格有限
53.利用sram定义五张元组表，每张表的key为五元组中一元，命中后设置对应的元组id，利用tcam定义一张策略表，包含所有的元组id，完成动作决策。这样的优点是支持五元组灵活组合，策略表的key由元组映射为id，宽度减少，可以支持更大规格；缺点也很明显，sram和tcam资源耦合，受tcam资源限制，策略表的规格量有增大，但是针对运营商的需求，相差较远。
54.针对上述缺点，本技术主要解决了以下问题：
55.目前使用sram实现五元组过滤时，不能支持不同元组的灵活组合；
56.如果支持灵活精确五元组过滤情况时，需要定义至少6张不同元组组合的表，而这6张表中很多过滤规则是重复的，使资源浪费、导致sram的利用率极低。
57.目前使用tcam实现精确五元组过滤，浪费tcam资源且规则量并不能确保得到显著改善；
58.本技术不需要sram-tcam耦合方式，且使sram资源利用最大化，规格量不会受tcam限制，从而满足营运商对规则量的需求。
59.具体的，本技术实施例中提供了一种ip报文的多元组过滤方法、系统、设备及存储介质，根据报文流的源ip地址，通过第一过滤规则获取第一分流动作以及源ip地址映射的源ip编号；根据报文流的目的ip地址，通过第二过滤规则获取第二分流动作以及目的ip地址映射的目的ip编号；根据报文流的源ip编号以及目的ip编号，通过第三过滤规则获取第三分流动作，以及源ip编号与目的ip编号组合映射的第一组合编号；根据报文流的第一组合编号、协议号以及源目的端口号的不同组合，通过对应的过滤规则获取对应的分流动作。
60.本技术支持通过精确的五元组或任意元组组合过滤ip报文，提升了精准的分流；同时定义过滤表时将其中的源ip地址以及目的ip地址等映射为不同的编号id，节省了过滤规则或者过滤表格占用sram/tcam的资源，提升了资源利用率。
61.为了使本技术实施例中的技术方案及优点更加清楚明白，以下结合附图对本技术的示例性实施例进行进一步详细的说明，显然，所描述的实施例仅是本技术的一部分实施例，而不是所有实施例的穷举。需要说明的是，在不冲突的情况下，本技术中的实施例及实
施例中的特征可以相互组合。
62.实施例1
63.图1和图2中示出了根据本技术实施例的一种ip报文的多元组过滤方法的步骤流程图。
64.如图1、2所示，本实施例的ip报文的多元组过滤方法具体包括以下步骤：
65.s101：根据报文流的源ip地址，通过第一过滤规则获取第一分流动作以及源ip地址映射的源ip编号；根据报文流的目的ip地址，通过第二过滤规则获取第二分流动作以及目的ip地址映射的目的ip编号。
66.s102：根据报文流的源ip编号以及目的ip编号，通过第三过滤规则获取第三分流动作，以及源ip编号与目的ip编号组合映射的第一组合编号。
67.s103：根据报文流的第一组合编号、协议号以及源目的端口号的不同组合，通过对应的过滤规则获取对应的分流动作。
68.在本技术一些实施方式中，s103具体包括以下步骤：
69.s1031：根据报文流的第一组合编号以及协议号，通过第四过滤规则获取第四分流动作，以及第一组合编号以及协议号组合映射的第二组合编号。
70.s1032：根据报文流的第一组合编号以及源目的端口号，通过第五过滤规则获取第五分流动作，以及第一组合编号以及源目的端口号组合映射的第三组合编号。
71.s1033：根据报文流的第三组合编号以及协议号，通过第六过滤规则获取第六分流动作。
72.其它实施方式中，s1033还包括：根据报文流的第二组合编号以及源目的端口号，通过第七过滤规则获取第七分流动作。
73.具体的，在根据以上步骤获取到以上的分流动作时，优先级高的分流动作会覆盖优先级低的分流动作，最后，确定优先级最高的分流动作去执行，按照最后确定的分流动作将报文流进行过滤分流。
74.本实施例中，分流动作的优先级从高至低依次为：第六/七分流动作、第五分流动作、第四分流动作、第三分流动作以及第一/二分流动作。
75.其中，可具体设定：第一分流动作的优先级高于第二分流动作，或者设定第二分流动作的优先级高于第一分流动作。
76.其中，可具体设定：第六分流动作的优先级高于第七分流动作，或者设定第七分流动作的优先级高于第六分流动作。
77.为进一步说明本实施例的ip报文的多元组过滤方法，以下以具体应用场景进行说明。
78.图3示出了根据本技术实施例的ip报文的多元组过滤方法中采用的过滤表的结构示意图。
79.如图3所示，基于sram定义6张过滤表，将元组映射为对应的编号id，既可以按任意单元组过滤，将映射id关联起来也可以按任意多元组组合过滤，如表1和表2的一元组过滤，表3的二元组过滤，表4的三元组过滤，表5的四元组过滤以及表6的五元组过滤。
80.具体的，六张过滤表1-表6中，均包括过滤规则key，以及分流动作action。例如，表1过滤规则设定为过滤筛选不同的源ip地址，不同的源ip地址映射为不同的编号id，即设置
siphitid，同时不同的源ip地址对应不同的分流动作，包括单播、组播、负载以及丢弃等，进而将不同的报文分流至不同的调度口。
81.表2过滤规则设定为过滤筛选不同的目的ip地址，不同的目的ip地址映射为不同的编号id，即设置diphitid，同时不同的目的ip地址对应不同的分流动作，包括单播、组播、负载以及丢弃等，进而将不同的报文分流至不同的调度口。
82.表3过滤规则设定为通过源ip地址 目的ip地址组成的二元组，即源目的ip地址进行过滤筛选，不同的源目的ip地址映射为不同的编号id，即设置sdiphitid，同时不同的二元组对应不同的分流动作，包括单播、组播、负载以及丢弃等，进而将不同的报文分流至不同的调度口。
83.表4过滤规则设定为通过源目的ip地址 协议号proto组成的三元组进行过滤筛选，不同的源目的ip地址加协议号映射为不同的编号id，即设置proto-sdiphitid，同时不同的三元组对应不同的分流动作，包括单播、组播、负载以及丢弃等，进而将不同的报文分流至不同的调度口。
84.表5过滤规则设定为通过源目的ip地址 源目的端口组成的四元组进行过滤筛选，其中源目的端口包括源端口号和目的端口号，不同的源目的ip地址加源目的端口映射为不同的编号id，即设置sd-proto-sdiphitid，同时不同的四元组对应不同的分流动作，包括单播、组播、负载以及丢弃等，进而将不同的报文分流至不同的调度口。
85.表6过滤规则设定为通过源目的ip地址 协议号proto 源目的端口组成的五元组进行过滤筛选，此时，有两种方法：通过源目的ip地址 协议号proto的编号proto-sdiphitid结合源目的端口进行过滤筛选；通过源目的ip地址 源目的端口的编号sd-proto-sdiphitid结合协议号proto进行过滤筛选。最后，不同的五元组对应不同的分流动作，包括单播、组播、负载以及丢弃等，进而将不同的报文分流至不同的调度口。
86.本实施例中，通过映射的编号id过滤代替直接采用元组进行过滤，减小了每张表key的宽度，节省了sram资源；组合过滤时，第二次命中会将第一次命中结果覆盖掉，满足sram分流的原则，优先命中更精准的过滤规则，即优先级：5元组》4元组》3元组》2元组》1元组。
87.图4示出了根据本技术实施例采用不同元组映射不同编号id进行ip报文过滤的流程示意图。
88.结合图4举例所示，将源ip地址”1::2”映射id，sdiphitid设为1；目的ip地址”2::2”映射id：如diphitid设为2。
89.源目的ip地址二元组过滤时，通过siphitid,diphitid进行过滤筛选，而不是原始的源目的ip地址，同时将源目的ip地址映射id：如sdiphitid设为3。
90.源目的ip地址 协议号proto三元组过滤时，通过sdiphitid proto进行过滤筛选，同时将源目的ip地址 协议号proto三元组映射id：如proto_sdiphitid＝5。
91.源目的ip地址 源目的端口四元组过滤时，如源目的端口为“l4_src_port l4_dst_port”，则通过sdiphitid l4_src_port l4_dst_port进行过滤帅选，同时，将源目的ip地址 源目的端口四元组映射id：如sd_port_sdiphitid＝6。
92.源目的ip地址 协议号proto 源目的端口五元组进行过滤时，有两种方式：一通过sd_port_sdiphitid 协议号进行过滤；二通过proto_sdiphitid 源目的端口进行过滤。
93.具体实施时，首先说明如下：
94.关于sram,tcam的芯片资源大小，tcam资源相对较少，sram资源多。ipv6地址：分为源ip地址，目的ip地址，大小为296bit，总共296*2bit举例"1::2"。协议号proto:大小为8bit，举例“17”。端口号：大小为16bit，举例“2”。
95.因此，ipv6地址直接作为key太耗费资源，映射为id则可以减少资源消耗。
96.表：包含key和action，表会占用sram/tcam资源，应该尽量减少key的长度，可节省资源，表有自己的规格，规格越大占用资源越大。
97.常用的元组，主要包含的常用的组合为：5元：源目的ip，源目的端口，协议号；4元：源目的ip，源目的端口；3元：源目的ip，协议号；2元：源目的ip；1元：源ip或者目的ip。
98.如从交换机物理口进入流量，报文结构如下：
99.ethernet ipv6(src_addr源地址＝“1::2”,dst_addr目的地址＝“2::3”,proto协议号＝17) udp(sport＝“88”,dport＝“200”) data。
100.例如进行单元组过滤：源ip过滤，转发到3口。
101.表中增加过滤规则：表1-key:pkt.src_addr＝1::2,actions:forward_port 3，siphitid默认为0。
102.即流量进入后，提取报文中源ip字段，查找表1，命中规则后，执行单播转发到端口3，完成源ip过滤。
103.例如进行组合过滤，例如源目的ip 源目的端口过滤 协议号过滤，转发到4口。
104.表中增加规则如下：
105.表1-key:pkt.src_addr＝1::2,actions:forward_port 503，siphitid设置为1；
106.表2-key:pkt.dst_addr＝2::3,actions:forward_port 503，diphitid设置为1；
107.表3-key:siphitid＝1,diphitid＝1,actions＝forward_port 503，sdiphitid设置为1；
108.表5-key:sdiphitid＝1,pkt.l4_sport＝88,pkt.l4_dport＝200,actions＝forward_port 503，sd_port_sdiphitid默认为1；
109.表6-key:sd_port_sdiphitid＝1,pkt.proto＝17,actions＝forward_port 4。
110.即：在流量进入后，提取报文中五元组字段。
111.首先，查找表1，命中源ip规则，配置转发动作为非法值，设置siphitid设置为1；查找表2，命中目的ip规则，配置转发动作为非法值，设置diphitid设置为1，同时将组播，负载，丢弃相关参数置为无效。
112.然后查找表3，命中siphitid＝1，diphitid＝1规则，配置转发动作为非法值，设置sdiphitid设置为1，同时将组播，负载，丢弃相关参数置为无效。
113.查找表5，命中sdiphitid＝1，pkt.sport＝88,pkt.dport＝200规则，配置转发动作为非法值，设置sd_port_sdiphitid设置为1，同时将组播，负载，丢弃相关参数置为无效。
114.查找表6，命中sd_port_sdiphitid＝1,pkt.proto＝17，配置转发动作为4口，同时将组播，负载，丢弃相关参数置为无效。
115.若命中后一个表格的过滤规则，则后一个转发动作即分流动作的优先级高于前一个转发动作，通过进行优先级最高的后一个转发动作完成报文流量的分流转发。
116.本技术实施例的ip报文的多元组过滤方法完全采用sram资源，不受tcam资源限
制；支持五元组灵活组合；减小key的宽度，使sram利用最大化，支持大规则量。本技术经过大量实验和调优设计表明，基于p4可编程的sdn交换机上的sram利用率达到74％，片上tcam利用率达到81％，使得整体规格在原有数万级别的基础上提升了250％，不同元组组合规格提升了200％。
117.通过本技术实施例的ip报文的多元组过滤方法，根据报文流的源ip地址，通过第一过滤规则获取第一分流动作以及源ip地址映射的源ip编号；根据报文流的目的ip地址，通过第二过滤规则获取第二分流动作以及目的ip地址映射的目的ip编号；根据报文流的源ip编号以及目的ip编号，通过第三过滤规则获取第三分流动作，以及源ip编号与目的ip编号组合映射的第一组合编号；根据报文流的第一组合编号、协议号以及源目的端口号的不同组合，通过对应的过滤规则获取对应的分流动作。
118.本技术支持通过精确的五元组或任意元组组合过滤ip报文，提升了精准的分流；同时定义过滤表时将其中的源ip地址以及目的ip地址等映射为不同的编号id，节省了过滤规则或者过滤表格占用sram/tcam的资源，提升了资源利用率。
119.实施例2
120.本实施例提供了一种ip报文的多元组过滤系统，对于本实施例的ip报文的多元组过滤系统中未披露的细节，请参照其它实施例中的ip报文的多元组过滤方法的具体实施内容。
121.图5中示出了根据本技术实施例的ip报文的多元组过滤系统的结构示意图。
122.如图5所示，ip报文的多元组过滤系统具体包括：
123.第一过滤模块10：设置有第一过滤规则以及第一分流动作；用于根据报文流的源ip地址，通过第一过滤规则获取第一分流动作以及源ip地址映射的源ip编号；根据报文流的目的ip地址，通过第二过滤规则获取第二分流动作以及目的ip地址映射的目的ip编号；
124.第二过滤模块20：设置有第二过滤规则以及第二分流动作；根据报文流的源ip编号以及目的ip编号，通过第三过滤规则获取第三分流动作，以及源ip编号与目的ip编号组合映射的第一组合编号；
125.组合过滤模块30：用于根据报文流的第一组合编号、协议号以及源目的端口号不同组合后，通过对应的过滤规则获取对应的分流动作。
126.在本技术一些实施方式中，组合过滤表具体包括：
127.第四过滤表301：设置有第四过滤规则以及第四分流动作；根据报文流的第一组合编号以及协议号，通过第四过滤规则获取第四分流动作，以及第一组合编号以及协议号组合映射的第二组合编号；
128.第五过滤表302：设置有第五过滤规则以及第五分流动作；根据报文流的第一组合编号以及源目的端口号，通过第五过滤规则获取第五分流动作，以及第一组合编号以及源目的端口号组合映射的第三组合编号；
129.第六过滤表303：设置有第六过滤规则以及第六分流动作；根据报文流的第三组合编号以及协议号，通过第六过滤规则获取第六分流动作。
130.在本技术一些实施方式中，还包括
131.第七过滤表304：设置有第七过滤规则以及第七分流动作；根据报文流的第二组合编号以及源目的端口号，通过第七过滤规则获取第七分流动作。
132.通过本技术实施例的ip报文的多元组过滤系统，第一过滤模块10设置有第一过滤规则以及第一分流动作；用于根据报文流的源ip地址，通过第一过滤规则获取第一分流动作以及源ip地址映射的源ip编号；第二过滤模块20设置有第二过滤规则以及第二分流动作；根据报文流的目的ip地址，通过第二过滤规则获取第二分流动作以及目的ip地址映射的目的ip编号；根据报文流的源ip编号以及目的ip编号，通过第三过滤规则获取第三分流动作，以及源ip编号与目的ip编号组合映射的第一组合编号；组合过滤模块30用于根据报文流的第一组合编号、协议号以及源目的端口号的不同组合，通过对应的过滤规则获取对应的分流动作。
133.本技术支持通过精确的五元组或任意元组组合过滤ip报文，提升了精准的分流；同时定义过滤表时将其中的源ip地址以及目的ip地址等映射为不同的编号id，节省了过滤规则或者过滤表格占用sram/tcam的资源，提升了资源利用率。
134.实施例3
135.本实施例提供了一种ip报文的多元组过滤设备，对于本实施例的ip报文的多元组过滤设备中未披露的细节，请参照其它实施例中的ip报文的多元组过滤方法或系统具体的实施内容。
136.图6中示出了根据本技术实施例的ip报文的多元组过滤设备400的结构示意图。
137.如图6所示，多元组过滤设备400，包括：
138.存储器402：用于存储可执行指令；以及
139.处理器401:用于与存储器402连接以执行可执行指令从而完成运动矢量预测方法。
140.本领域技术人员可以理解，示意图6仅仅是多元组过滤设备400的示例，并不构成对多元组过滤设备400的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件，例如多元组过滤设备400还可以包括输入输出设备、网络接入设备、总线等。
141.所称处理器401(central processing unit，cpu)，还可以是其他通用处理器、数字信号处理器(digital signal processor，dsp)、专用集成电路(application specific integrated circuit，asic)、现场可编程门阵列(field-programmable gate array，fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器401也可以是任何常规的处理器等，处理器401是多元组过滤设备400的控制中心，利用各种接口和线路连接整个多元组过滤设备400的各个部分。
142.存储器402可用于存储计算机可读指令，处理器401通过运行或执行存储在存储器402内的计算机可读指令或模块，以及调用存储在存储器402内的数据，实现多元组过滤设备400的各种功能。存储器402可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据多元组过滤设备400使用所创建的数据等。此外，存储器402可以包括硬盘、内存、插接式硬盘，智能存储卡(smart media card，smc)，安全数字(secure digital，sd)卡，闪存卡(flash card)、至少一个磁盘存储器件、闪存器件、只读存储器(read-only memory，rom)、随机存取存储器(random access memory，ram)或其他非易失性/易失性存储器件。
143.多元组过滤设备400集成的模块如果以软件功能模块的形式实现并作为独立的产
品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机可读指令来指令相关的硬件来完成，的计算机可读指令可存储于一计算机可读存储介质中，该计算机可读指令在被处理器执行时，可实现上述各个方法实施例的步骤。
144.实施例4
145.本实施例提供了一种计算机可读存储介质，其上存储有计算机程序；计算机程序被处理器执行以实现其他实施例中的ip报文的多元组过滤方法。
146.本技术实施例中的ip报文的多元组过滤设备及计算机存储介质，根据报文流的源ip地址，通过第一过滤规则获取第一分流动作以及源ip地址映射的源ip编号；根据报文流的目的ip地址，通过第二过滤规则获取第二分流动作以及目的ip地址映射的目的ip编号；根据报文流的源ip编号以及目的ip编号，通过第三过滤规则获取第三分流动作，以及源ip编号与目的ip编号组合映射的第一组合编号；根据报文流的第一组合编号、协议号以及源目的端口号的不同组合，通过对应的过滤规则获取对应的分流动作。
147.本技术支持通过精确的五元组或任意元组组合过滤ip报文，提升了精准的分流；同时定义过滤表时将其中的源ip地址以及目的ip地址等映射为不同的编号id，节省了过滤规则或者过滤表格占用sram/tcam的资源，提升了资源利用率。
148.本领域内的技术人员应明白，本技术的实施例可提供为方法、系统、或计算机程序产品。因此，本技术可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本技术可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。
149.本技术是参照根据本技术实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
150.这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
151.这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
152.在本发明使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本发明。在本发明和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。
153.应当理解，尽管在本发明可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本发明范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在
……
时”或“当
……
时”或“响应于确定”。
154.尽管已描述了本技术的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本技术范围的所有变更和修改。
155.显然，本领域的技术人员可以对本技术进行各种改动和变型而不脱离本技术的精神和范围。这样，倘若本技术的这些修改和变型属于本技术权利要求及其等同技术的范围之内，则本技术也意图包含这些改动和变型在内。