數據包分類與檢查一步到位

數據包分類與檢查，也就是將數據包分類到不同的流中，通過檢查包頭，確定如何處理數據塊，這一步對于服務處理至關重要。傳統(tǒng)的路由器通過對照訪問控制表（ACL）檢查包頭，對數據包進行分類，從而確定數據包下一個要去的地方。然而，由于不同的服務缺少統(tǒng)一的ACL，一個數據包必須被分類和檢查多次，這無疑降低了處理效率。

今天，廠商正在將多個服務整合到一臺設備上，但是這些設備仍按照原來的多次分類的方式對數據包進行處理，使得上述的矛盾進一步突出：整合的設備每增加一個服務，處理效率就進一步下降，開銷也進一步增加。人們希望可以通過一次檢查對所有服務的數據包進行分類，來克服這些問題，實現(xiàn)一步到位的高效處理。

一次通過的數據包分類若想行之有效，數據包必須按一定順序通過一個多功能服務網關，以確保所有的服務在正確的點上得到處理。在多次分類中，服務網關首先將數據包傳送到一臺路由器上，在這臺路由器上進行第一次分類，一旦數據包離開這臺路由器，進入防火墻后，就再次進行分類。

在采用一次通過的數據包分類時，數據包首先進入防火墻，因此保護了網關中所有其他服務。在防火墻中，IPSec服務對數據包進行解密和分類——使用公共分類僅進行一次，然后給數據包加上一個標簽。標簽包含哪些服務需要處理這個數據包的說明。數據包然后傳送給服務網關中的一個過濾器，過濾器根據標簽上的信息接收或拒絕這個數據包。

離開過濾器后，數據包接受拒絕服務檢查，之后進入入侵防御/入侵檢測系統(tǒng)(IPS/IDS)。后者不僅檢查數據包的內容，查找入侵跡象，而且還提取、規(guī)范化和處理有關內容的信息，并將信息保存在一個中央內容管理信息庫中。

當數據包傳送給網絡地址轉換（NAT）服務時，這個內容信息庫尤其有用，因為NAT應用需要深層次的數據包檢查，以搜索內容，查找非法語句。只有在數據包經過分類、檢查并確認安全后，網關才將它轉發(fā)給路由器，最后進入內部網絡。

一次通過的分類和內容檢查，減少了發(fā)生錯誤的風險，將延時減少到最低程度。（美國《Network World》供本報專稿）

來源：CCW