數(shù)據(jù)包分類與檢查一步到位

數(shù)據(jù)包分類與檢查，也就是將數(shù)據(jù)包分類到不同的流中，通過檢查包頭，確定如何處理數(shù)據(jù)塊，這一步對于服務(wù)處理至關(guān)重要。傳統(tǒng)的路由器通過對照訪問控制表（ACL）檢查包頭，對數(shù)據(jù)包進(jìn)行分類，從而確定數(shù)據(jù)包下一個(gè)要去的地方。然而，由于不同的服務(wù)缺少統(tǒng)一的ACL，一個(gè)數(shù)據(jù)包必須被分類和檢查多次，這無疑降低了處理效率。

今天，廠商正在將多個(gè)服務(wù)整合到一臺(tái)設(shè)備上，但是這些設(shè)備仍按照原來的多次分類的方式對數(shù)據(jù)包進(jìn)行處理，使得上述的矛盾進(jìn)一步突出：整合的設(shè)備每增加一個(gè)服務(wù)，處理效率就進(jìn)一步下降，開銷也進(jìn)一步增加。人們希望可以通過一次檢查對所有服務(wù)的數(shù)據(jù)包進(jìn)行分類，來克服這些問題，實(shí)現(xiàn)一步到位的高效處理。

一次通過的數(shù)據(jù)包分類若想行之有效，數(shù)據(jù)包必須按一定順序通過一個(gè)多功能服務(wù)網(wǎng)關(guān)，以確保所有的服務(wù)在正確的點(diǎn)上得到處理。在多次分類中，服務(wù)網(wǎng)關(guān)首先將數(shù)據(jù)包傳送到一臺(tái)路由器上，在這臺(tái)路由器上進(jìn)行第一次分類，一旦數(shù)據(jù)包離開這臺(tái)路由器，進(jìn)入防火墻后，就再次進(jìn)行分類。

在采用一次通過的數(shù)據(jù)包分類時(shí)，數(shù)據(jù)包首先進(jìn)入防火墻，因此保護(hù)了網(wǎng)關(guān)中所有其他服務(wù)。在防火墻中，IPSec服務(wù)對數(shù)據(jù)包進(jìn)行解密和分類——使用公共分類僅進(jìn)行一次，然后給數(shù)據(jù)包加上一個(gè)標(biāo)簽。標(biāo)簽包含哪些服務(wù)需要處理這個(gè)數(shù)據(jù)包的說明。數(shù)據(jù)包然后傳送給服務(wù)網(wǎng)關(guān)中的一個(gè)過濾器，過濾器根據(jù)標(biāo)簽上的信息接收或拒絕這個(gè)數(shù)據(jù)包。

離開過濾器后，數(shù)據(jù)包接受拒絕服務(wù)檢查，之后進(jìn)入入侵防御/入侵檢測系統(tǒng)(IPS/IDS)。后者不僅檢查數(shù)據(jù)包的內(nèi)容，查找入侵跡象，而且還提取、規(guī)范化和處理有關(guān)內(nèi)容的信息，并將信息保存在一個(gè)中央內(nèi)容管理信息庫中。

當(dāng)數(shù)據(jù)包傳送給網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）服務(wù)時(shí)，這個(gè)內(nèi)容信息庫尤其有用，因?yàn)镹AT應(yīng)用需要深層次的數(shù)據(jù)包檢查，以搜索內(nèi)容，查找非法語句。只有在數(shù)據(jù)包經(jīng)過分類、檢查并確認(rèn)安全后，網(wǎng)關(guān)才將它轉(zhuǎn)發(fā)給路由器，最后進(jìn)入內(nèi)部網(wǎng)絡(luò)。

一次通過的分類和內(nèi)容檢查，減少了發(fā)生錯(cuò)誤的風(fēng)險(xiǎn)，將延時(shí)減少到最低程度。（美國《Network World》供本報(bào)專稿）

來源：CCW