收集访问控制列表的方法、装置及系统转让专利
申请号 : CN201510299148.4
文献号 : CN106302351B
文献日 : 2019-10-15
发明人 : 庄顺万 , 周鹏 , 李振斌 , 阴元斌 , 许健彬
申请人 : 华为技术有限公司
摘要 :
本发明实施例提供了收集访问控制列表的方法、装置及系统，第二网络设备接收第一网络设备泛洪的第一LSA报文，所述第一LSA报文包括第一网络设备标识以及第一ACL信息，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域；向所述控制器发送扩展的第一BGP‑LS报文，所述扩展的第一BGP‑LS报文包含所述第一网络设备标识和所述第一ACL信息。以便控制器能够收集所述第一网络设备的ACL信息，并对所述第一网络设备的ACL信息进行管理。采用上述方法可以收集并管理所述IGP域中任意一个或多个网络设备的ACL信息，提供了收集和管理ACL信息的方法，简化对ACL信息的维护工作。
权利要求 :
1.一种收集访问控制列表的方法，其特征在于，所述方法包括：
第二网络设备接收第一网络设备泛洪的第一链路状态通告LSA报文，所述第一LSA报文包括第一网络设备标识以及与所述第一网络设备标识相关联的第一访问控制列表ACL信息，所述第一网络设备标识用于标识所述第一网络设备，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域；
所述第二网络设备向控制器发送扩展的第一边界网关协议链路状态BGP-LS报文，所述扩展的第一BGP-LS报文包含所述第一网络设备标识和所述第一ACL信息。
2.根据权利要求1所述的方法，其特征在于，所述方法还包括：
所述第二网络设备获取所述第二网络设备的第二ACL信息和第二网络设备标识；
相应地，所述扩展的第一BGP-LS报文还包含所述第二网络设备标识和所述第二ACL信息。
3.根据权利要求2所述的方法，其特征在于，所述方法还包括：
所述第二网络设备生成第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的所述第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备；
所述第二网络设备将所述第二LSA报文泛洪至所述第二网络设备所属的所述IGP域，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
4.根据权利要求1至3任意一项所述的方法，其特征在于，所述方法还包括：所述第二网络设备接收所述控制器发送的扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文携带目标网络设备的标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑；
当所述第一网络设备根据所述目标网络设备的标识确定所述第一ACL编辑信息的目标网络设备不是所述第二网络设备时，所述第二网络设备将第三LSA报文泛洪至所述IGP域中的所述目标网络设备，所述第三LSA报文用于向所述IGP域中的目标网络设备宣告所述目标网络设备的第一ACL编辑信息。
5.一种收集访问控制列表的方法，其特征在于，所述方法包括：
第一网络设备获取所述第一网络设备的第一访问控制列表ACL信息；
所述第一网络设备生成第一链路状态通告LSA报文，所述第一LSA报文包含第一网络设备标识和与所述第一网络设备标识相关联的所述第一ACL信息，所述第一网络设备标识用于标识所述第一网络设备；
所述第一网络设备将所述第一LSA报文泛洪至所述第一网络设备所属的内部网关协议IGP域，所述第一LSA报文用于向所述IGP域中的其他网络设备宣告所述第一网络设备的第一ACL信息。
6.根据权利要求5所述的方法，其特征在于，所述方法还包括：
所述第一网络设备接收属于所述IGP域的第二网络设备泛洪的第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
7.根据权利要求5至6任意一项所述的方法，其特征在于，所述方法还包括：所述第一网络设备接收属于所述IGP域的第二网络设备泛洪的第三LSA报文，所述第三LSA报文携带目标网络设备的标识和与所述目标网络设备的标识相关联的第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑；
当所述第一网络设备根据所述目标网络设备的标识确定所述第三LSA报文的目标网络设备为所述第一网络设备时，所述第一网络设备从所述第三LSA报文中解析获得所述第一ACL编辑信息；
所述第一网络设备根据所述第一ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑。
8.一种收集访问控制列表的方法，其特征在于，所述方法包括：
控制器接收第二网络设备发送的扩展的第一边界网关协议链路状态BGP-LS报文；
所述控制器从所述扩展的第一BGP-LS报文中解析获得第一网络设备的第一网络设备标识和第一ACL信息，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域。
9.根据权利要求8所述的方法，其特征在于，所述方法还包括：
所述控制器从所述扩展的第一BGP-LS报文中解析获得第二网络设备的第二网络设备标识和第二ACL信息。
10.根据权利要求8至9任意一项所述的方法，其特征在于，所述方法还包括：所述控制器向所述第二网络设备发送扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文包含第一目标网络设备的设备标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述第一目标网络设备的ACL信息进行编辑。
11.根据权利要求10所述的方法，其特征在于，
所述第二BGP-LS报文还包含第二ACL编辑信息，所述第二ACL编辑信息用于对第二目标网络设备的第二ACL信息进行编辑。
12.根据权利要求8或9所述的方法，其特征在于，所述方法还包括：所述控制器利用控制通道向目标网络设备发送ACL配置报文，所述ACL配置报文中携带有第三ACL编辑信息，所述第三ACL编辑信息用于对所述目标网络设备的第一ACL信息进行编辑。
13.一种收集访问控制列表的第二网络设备，其特征在于，所述第二网络设备包括：第一接收模块，用于接收第一网络设备泛洪的第一链路状态通告LSA报文，所述第一LSA报文包括第一网络设备标识以及与所述第一网络设备标识相关联的第一访问控制列表ACL信息，所述第一网络设备标识用于标识所述第一网络设备，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域；
第一发送模块，用于向控制器发送扩展的第一边界网关协议链路状态BGP-LS报文，所述扩展的第一BGP-LS报文包含所述第一网络设备标识和所述第一ACL信息。
14.根据权利要求13所述的第二网络设备，其特征在于，所述第二网络设备还包括：获取模块，用于获取所述第二网络设备的第二ACL信息和第二网络设备标识；
相应地，所述扩展的第一BGP-LS报文还包含所述第二网络设备标识和所述第二ACL信息。
15.根据权利要求14所述的第二网络设备，其特征在于，所述第二网络设备还包括：报文生成模块，用于生成第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的所述第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备；
第二发送模块，用于将所述第二LSA报文泛洪至所述第二网络设备所属的所述IGP域，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
16.根据权利要求13至15任意一项所述的第二网络设备，其特征在于，所述第二网络设备还包括：第二接收模块，用于接收所述控制器发送的扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文携带目标网络设备的标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑；
第三发送模块，用于当所述第一网络设备根据所述目标网络设备的标识确定所述第一ACL编辑信息的目标网络设备不是所述第二网络设备时，将第三LSA报文泛洪至所述IGP域中的所述目标网络设备，所述第三LSA报文用于向所述IGP域中的目标网络设备宣告所述目标网络设备的第一ACL编辑信息。
17.一种收集访问控制列表的第一网络设备，其特征在于，所述第一网络设备包括：获取模块，用于获取所述第一网络设备的第一访问控制列表ACL信息；
报文生成模块，用于生成第一链路状态通告LSA报文，所述第一LSA报文包含第一网络设备标识和与所述第一网络设备标识相关联的所述第一ACL信息，所述第一网络设备标识用于标识所述第一网络设备；
发送模块，用于将所述第一LSA报文泛洪至所述第一网络设备所属的内部网关协议IGP域，所述第一LSA报文用于向所述IGP域中的其他网络设备宣告所述第一网络设备的第一ACL信息。
18.根据权利要求17所述的第一网络设备，其特征在于，所述第一网络设备还包括：第一接收模块，用于接收属于所述IGP域的第二网络设备泛洪的第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
19.根据权利要求17至18任意一项所述的第一网络设备，其特征在于，所述第一网络设备还包括：第二接收模块，用于接收属于所述IGP域的第二网络设备泛洪的第三LSA报文，所述第三LSA报文携带目标网络设备的标识和与所述目标网络设备的标识相关联的第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑；
第一解析模块，用于当所述第一网络设备根据所述目标网络设备的标识确定所述第三LSA报文的目标网络设备为所述第一网络设备时，从所述第三LSA报文中解析获得所述第一ACL编辑信息；
第一编辑模块，用于根据所述第一ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑。
20.根据权利要求17至18任意一项所述的第一网络设备，其特征在于，所述第一网络设备还包括：第三接收模块，用于接收控制器通过控制通道下发的ACL配置报文；
第二解析模块，用于从所述ACL配置报文中解析第二ACL编辑信息；
第二编辑模块，用于根据所述第二ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑。
21.一种收集访问控制列表的控制器，其特征在于，所述控制器包括：接收模块，用于接收第二网络设备发送的扩展的第一边界网关协议链路状态BGP-LS报文；
第一解析模块，用于从所述扩展的第一BGP-LS报文中解析获得第一网络设备的第一网络设备标识和第一ACL信息，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域。
22.根据权利要求21所述的控制器，其特征在于，所述控制器还包括：第二解析模块，用于从所述扩展的第一BGP-LS报文中解析获得第二网络设备的第二网络设备标识和第二ACL信息。
23.根据权利要求21至22任意一项所述的控制器，其特征在于，所述控制器还包括：第一发送模块，用于向所述第二网络设备发送扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文包含第一目标网络设备的设备标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述第一目标网络设备的ACL信息进行编辑。
24.根据权利要求21至22任意一项所述的控制器，其特征在于，所述控制器还包括：第二发送模块，用于利用控制通道向目标网络设备发送ACL配置报文，所述ACL配置报文中携带有第三ACL编辑信息，所述第三ACL编辑信息用于对所述目标网络设备的第一ACL信息进行编辑。
25.一种收集访问控制列表的系统，其特征在于，所述系统包括：
一个权利要求13至16任意一项所述的第二网络设备，一个权利要求21至24任意一项所述的控制器。
26.根据权利要求25所述的系统，其特征在于，所述系统还包括：
一个权利要求17至20任意一项所述的第一网络设备。
说明书 :
收集访问控制列表的方法、装置及系统
技术领域
[0001] 本发明涉及通信技术领域，特别是涉及一种收集访问控制列表的方法、装置及系统。
背景技术
[0002] 随着网络规模的扩大和流量的增加，对网络安全的控制和对带宽的分配成为网络管理的重要内容。通过对数据报文进行过滤，可以有效防止非法用户对网络的访问，同时也可以控制流量，节约网络资源。
[0003] 访问控制列表(Access Control List，ACL)是设置在边界路由器和交换机接口的指令列表，用来控制应用所述ACL的端口进出的数据报文。当设备的端口接收到数据报文时，根据端口上应用的ACL信息对数据报文的特定字段进行分析，利用ACL信息允许或禁止相应的数据报文通过，从而达到控制网络流量的目标。
[0004] 目前，边界路由器上的ACL都是按照实际需要逐一由人工静态配置的，现有技术中没有对各边界路由器静态配置的ACL进行收集和管理的实现方案。
发明内容
[0005] 本发明实施例在于提供一种收集访问控制列表的方法、装置及系统，从而能够解决现有技术中没有对各边界路由器静态配置的ACL进行收集和管理的实现方案的问题。
[0006] 为此，本发明解决技术问题的技术方案是：
[0007] 本发明实施例第一方面提供了一种收集访问控制列表的方法，所述方法包括：
[0008] 第二网络设备接收第一网络设备泛洪的第一链路状态通告LSA报文，所述第一LSA报文包括第一网络设备标识以及与所述第一网络设备标识相关联的第一访问控制列表ACL信息，所述第一网络设备标识用于标识所述第一网络设备，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域；
[0009] 所述第二网络设备向所述控制器发送扩展的第一边界网关协议链路状态BGP-LS报文，所述扩展的第一BGP-LS报文包含所述第一网络设备标识和所述第一ACL信息。
[0010] 在本发明实施例第一方面第一种可能的实现方式中，
[0011] 所述扩展的第一BGP-LS报文包含本地节点描述符Local Node Descriptors字段和不透明节点属性类型长度值Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含所述第一网络设备标识，所述Opaque Node Attribute TLV字段包含所述第一网络设备的第一LSA报文。
[0012] 结合本发明实施例第一方面的第一种可能的实现方式，在第二种可能的实现方式中，
[0013] 所述Opaque Node Attribute TLV字段包含类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为上报ACL信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含所述第一LSA报文，所述第一LSA报文包含所述第一网络设备的第一ACL信息。
[0014] 在本发明实施例第一方面第三种可能的实现方式中，
[0015] 所述扩展的第一BGP-LS报文为新增的Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述第一网络设备标识，所述Flow-Spec Descriptors字段包括所述第一网络设备的第一ACL信息。
[0016] 结合本发明实施例第一方面至第一方面第三种可能的实现方式，在第四种可能的实现方式中，
[0017] 所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0018] 结合本发明实施例第一方面第四种可能的实现方式，在第五种可能的实现方式中，
[0019] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一ACL信息。
[0020] 结合本发明实施例第一方面至第一方面第五种可能的实现方式，在第六种可能的实现方式中，
[0021] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0022] 结合本发明实施例第一方面至第一方面第六种可能的实现方式，在第七种可能的实现方式中，所述方法还包括：
[0023] 所述第二网络设备获取所述第二网络设备的第二ACL信息和第二网络设备标识；
[0024] 相应地，所述扩展的第一BGP-LS报文还包含所述第二网络设备标识和所述第二ACL信息。
[0025] 结合本发明实施例第一方面至第一方面第七种可能的实现方式，在第八种可能的实现方式中，所述方法还包括：
[0026] 所述第二网络设备生成第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的所述第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备；
[0027] 所述第二网络设备将所述第二LSA报文泛洪至所述第二网络设备所属的所述IGP域，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
[0028] 结合本发明实施例第一方面第八种可能的实现方式，在第九种可能的实现方式中，
[0029] 所述第二LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第二LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第二网络设备标识，所述TLV字段携带所述第二网络设备的第二ACL信息。
[0030] 结合本发明实施例第一方面第九种可能的实现方式，在第十种可能的实现方式中，
[0031] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第二网络设备的第二ACL信息。
[0032] 结合本发明实施例第一方面第八种可能的实现方式至第一方面第十种可能的实现方式，在第十一种可能的实现方式中，
[0033] 所述第二LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0034] 结合本发明第一方面至第一方面第十一种可能的实现方式，在第十二种可能的实现方式中，所述方法还包括：
[0035] 所述第二网络设备接收所述控制器发送的扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文携带目标网络设备的标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑，所述编辑包括修改、增加、删除和重置等操作中的任意一种或多种；
[0036] 当所述第一网络设备根据所述目标网络设备的标识确定所述第一ACL编辑信息的目标网络设备不是所述第二网络设备时，所述第二网络设备将第三LSA报文泛洪至所述IGP域中的所述目标网络设备，所述第三LSA报文用于向所述IGP域中的目标网络设备宣告所述目标网络设备的第一ACL编辑信息。
[0037] 结合本发明实施例第一方面第十二种可能的实现方式，在第十三种可能的实现方式中，
[0038] 所述扩展的第二BGP-LS报文包含Local Node Descriptors字段和Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述目标网络设备的标识，所述Opaque Node Attribute TLV包含有所述目标网络设备的第一ACL编辑信息。
[0039] 结合本发明实施例第一方面第十三种可能的实现方式，在第十四种可能的实现方式中，
[0040] 所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为通告ACL编辑信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第三LSA报文，所述第三LSA报文携带有所述目标网络设备的第一ACL编辑信息。
[0041] 结合本发明实施例第一方面第十二种可能的实现方式，在第十五种可能的实现方式中，
[0042] 所述扩展的第二BGP-LS报文为新增的Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述目标网络设备的标识，所述Flow-Spec Descriptors字段包括所述目标网络设备的第一ACL编辑信息。
[0043] 结合本发明实施例第一方面第十二种可能的实现方式至第一方面第十五种可能的实现方式，在第十六种可能的实现方式中，
[0044] 所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述目标网络设备的标识，所述TLV字段携带所述目标网络设备的第一ACL编辑信息。
[0045] 结合本发明实施例第一方面第十六种可能的实现方式，在第十七种可能的实现方式中，
[0046] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述目标网络设备的第一ACL编辑信息。
[0047] 结合本发明实施例第一方面第十二种可能的实现方式至第一方面第十七种可能的实现方式，在第十八种可能的实现方式中，
[0048] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0049] 本发明实施例第二方面提供一种收集访问控制列表的方法，所述方法包括：
[0050] 第一网络设备获取所述第一网络设备的第一访问控制列表ACL信息；
[0051] 所述第一网络设备生成第一链路状态通告LSA报文，所述第一LSA报文包含第一网络设备标识和与所述第一网络设备标识相关联的所述第一ACL信息，所述第一网络设备标识用于标识所述第一网络设备；
[0052] 所述第一网络设备将所述第一LSA报文泛洪至所述第一网络设备所属的内部网关协议IGP域，所述第一LSA报文用于向所述IGP域中的其他网络设备宣告所述第一网络设备的第一ACL信息。
[0053] 在本发明实施例第二方面第一种可能的实现方式中，
[0054] 所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0055] 结合本发明实施例第二方面第一种可能的实现方式，在第二种可能的实现方式中，
[0056] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一网络设备的第一ACL信息。
[0057] 结合本发明实施例第二方面至第二方面第二种可能的实现方式，在第三种可能的实现方式中，
[0058] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0059] 结合本发明实施例第二方面至第二方面第三种可能的实现方式，在第四种可能的实现方式中，所述方法还包括：
[0060] 所述第一网络设备接收属于所述IGP域的第二网络设备泛洪的第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的所述第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
[0061] 结合本发明实施例第二方面第四种可能的实现方式，在第五种可能的实现方式中，
[0062] 所述第二LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第二LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第二网络设备标识，所述TLV字段携带所述第二网络设备的第二ACL信息。
[0063] 结合本发明实施例第二方面第五种可能的实现方式，在第六种可能的实现方式中，
[0064] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第二网络设备的第二ACL信息。
[0065] 结合本发明实施例第二方面第四种可能的实现方式至第二方面第六种可能的实现方式，在第七种可能的实现方式中，
[0066] 所述第二LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0067] 结合本发明实施例第二方面至第二方面第七种可能的实现方式，在第八种可能的实现方式中，所述方法还包括：
[0068] 所述第一网络设备接收属于所述IGP域的第二网络设备泛洪的第三LSA报文，所述第三LSA报文携带目标网络设备的标识和与所述目标网络设备的标识相关联的第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑，所述编辑包括修改、增加、删除和重置等操作中的任意一种或多种；
[0069] 当所述第一网络设备根据所述目标网络设备的标识确定所述第三LSA报文的目标网络设备为所述第一网络设备时，所述第一网络设备从所述第三LSA报文中解析获得所述第一ACL编辑信息；
[0070] 所述第一网络设备根据所述第一ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑，所述编辑包括修改、增加、删除和重置等操作中的任意一种或多种。
[0071] 结合本发明实施例第二方面第八种可能的实现方式，在第九种可能的实现方式中，
[0072] 所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述目标网络设备的标识，所述TLV字段携带所述目标网络设备的第一ACL编辑信息。
[0073] 结合本发明实施例第二方面第九种可能的实现方式，在第十种可能的实现方式中，
[0074] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述目标网络设备的第一ACL编辑信息。
[0075] 结合本发明实施例第二方面第八种可能的实现方式至第二方面第十种可能的实现方式，在第十一种可能的实现方式中，
[0076] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0077] 结合本发明实施例第二方面至第二方面第七种可能的实现方式，在第十二种可能的实现方式中，所述方法还包括：
[0078] 所述第一网络设备接收控制器通过控制通道下发的ACL配置报文；
[0079] 所述第一网络设备从所述ACL配置报文中解析第二ACL编辑信息；
[0080] 所述第一网络设备根据所述第二ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑，所述编辑包括修改、增加、删除和重置等操作中的任意一种或多种。
[0081] 本发明实施例第三方面提供一种收集访问控制列表的方法，所述方法包括：
[0082] 控制器接收第二网络设备发送的扩展的第一边界网关协议链路状态BGP-LS报文；
[0083] 所述控制器从所述扩展的第一BGP-LS报文中解析获得第一网络设备的第一网络设备标识和第一ACL信息，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域。
[0084] 在本发明实施例第三方面第一种可能的实现方式中，
[0085] 所述扩展的第一BGP-LS报文包含本地节点描述符Local Node Descriptors字段和不透明节点属性类型长度值Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述第一网络设备标识，所述Opaque Node Attribute TLV包含有所述第一网络设备的第一ACL信息。
[0086] 结合本发明实施例第三方面第一种可能的实现方式，在第二种可能的实现方式中，
[0087] 所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为上报ACL信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第一LSA报文，所述第一LSA报文携带有所述第一网络设备的第一ACL信息。
[0088] 结合本发明实施例第三方面第二种可能的实现方式，在第三种可能的实现方式中，
[0089] 所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0090] 结合本发明实施例第三方面第三种可能的实现方式，在第四种可能的实现方式中，
[0091] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一网络设备的第一ACL信息。
[0092] 结合本发明实施例第三方面至第三方面第四种可能的实现方式，在第五种可能的实现方式中，
[0093] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0094] 在本发明第三方面第六种可能的实现方式中，
[0095] 所述扩展的第一BGP-LS报文为Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述第一网络设备标识，所述Flow-Spec Descriptors字段包括所述第一网络设备的第一ACL信息。
[0096] 结合本发明实施例第三方面至第三方面第六种可能的实现方式，在第七种可能的实现方式中，所述方法还包括：
[0097] 所述控制器从所述扩展的第一BGP-LS报文中解析获得第二网络设备的第二网络设备标识和第二ACL信息。
[0098] 结合本发明实施例第三方面至第三方面第七种可能的实现方式，在第八种可能的实现方式中，所述方法还包括：
[0099] 所述控制器向所述第二网络设备发送扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文包含第一目标网络设备的设备标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述第一目标网络设备的ACL信息进行编辑，所述编辑包括修改、增加、删除和重置等操作中的任意一种或多种。
[0100] 结合本发明实施例第三方面第八种可能的实现方式，在第九种可能的实现方式中，
[0101] 所述扩展的第二BGP-LS报文包含Local Node Descriptors字段和Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述第一目标网络设备的标识，所述Opaque Node Attribute TLV包含有所述第一目标网络设备的第一ACL编辑信息。
[0102] 结合本发明实施例第三方面第九种可能的实现方式，在第十种可能的实现方式中，
[0103] 所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为通告ACL编辑信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第三LSA报文，所述第三LSA报文携带有所述第一目标网络设备的第一ACL编辑信息。
[0104] 结合本发明实施例第三方面第十种可能的实现方式，在第十一种可能的实现方式中，
[0105] 所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述第一目标网络设备的标识，所述TLV字段携带所述第一目标网络设备的第一ACL编辑信息。
[0106] 结合本发明实施例第三方面第十一种可能的实现方式，在第十二种可能的实现方式中，
[0107] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述第一目标网络设备的第一ACL编辑信息。
[0108] 结合本发明实施例第三方面第十种可能的实现方式至第三方面第十二种可能的实现方式，在第十三种可能的实现方式中，
[0109] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0110] 结合本发明实施例第三方面第八种可能的实现方式，在第十四种可能的实现方式中，
[0111] 所述扩展的第二BGP-LS报文为Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述目标网络设备的标识，所述Flow-Spec Descriptors字段包括所述目标网络设备的第一ACL编辑信息。
[0112] 结合本发明实施例第三方面第八种可能的实现方式至第三方面第十四种可能的实现方式，在第十五种可能的实现方式中，
[0113] 所述第二BGP-LS报文还包含第二ACL编辑信息，所述第二ACL编辑信息用于对所述第二目标网络设备的第二ACL信息进行编辑，所述编辑包括修改、增加、删除和重置等操作中的任意一种或多种。
[0114] 结合本发明实施例第三方面至第三方面第十五种可能的实现方式，在第十六种可能的实现方式中，所述方法还包括：
[0115] 所述控制器利用控制通道向目标网络设备发送ACL配置报文，所述ACL配置报文中携带有第三ACL编辑信息，所述第三ACL编辑信息用于对所述目标网络设备的第一ACL信息进行编辑，所述编辑包括修改、增加、删除和重置等操作中的任意一种或多种。
[0116] 本发明实施例第四方面提供了一种收集访问控制列表的第二网络设备，所述第二网络设备包括：
[0117] 第一接收模块，用于接收第一网络设备泛洪的第一链路状态通告LSA报文，所述第一LSA报文包括第一网络设备标识以及与所述第一网络设备标识相关联的第一访问控制列表ACL信息，所述第一网络设备标识用于标识所述第一网络设备，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域；
[0118] 第一发送模块，用于向所述控制器发送扩展的第一边界网关协议链路状态BGP-LS报文，所述扩展的第一BGP-LS报文包含所述第一网络设备标识和所述第一ACL信息。
[0119] 在本发明实施例第四方面第一种可能的实现方式中，
[0120] 所述扩展的第一BGP-LS报文包含本地节点描述符Local Node Descriptors字段和不透明节点属性类型长度值Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含所述第一网络设备标识，所述Opaque Node Attribute TLV字段包含所述第一网络设备的第一LSA报文。
[0121] 结合本发明实施例第四方面的第一种可能的实现方式，在第二种可能的实现方式中，
[0122] 所述Opaque Node Attribute TLV字段包含类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为上报ACL信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含所述第一LSA报文，所述第一LSA报文包含所述第一网络设备的第一ACL信息。
[0123] 在本发明实施例第四方面第三种可能的实现方式中，
[0124] 所述扩展的第一BGP-LS报文为新增的Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述第一网络设备标识，所述Flow-Spec Descriptors字段包括所述第一网络设备的第一ACL信息。
[0125] 结合本发明实施例第四方面至第一方面第三种可能的实现方式，在第四种可能的实现方式中，
[0126] 所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0127] 结合本发明实施例第四方面第四种可能的实现方式，在第五种可能的实现方式中，
[0128] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一ACL信息。
[0129] 结合本发明实施例第四方面至第四方面第五种可能的实现方式，在第六种可能的实现方式中，
[0130] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0131] 结合本发明实施例第四方面至第四方面第六种可能的实现方式，在第七种可能的实现方式中，所述第二网络设备还包括：
[0132] 获取模块，用于获取所述第二网络设备的第二ACL信息和第二网络设备标识；
[0133] 相应地，所述扩展的第一BGP-LS报文还包含所述第二网络设备标识和所述第二ACL信息。
[0134] 结合本发明实施例第四方面至第四方面第七种可能的实现方式，在第八种可能的实现方式中，所述第二网络设备还包括：
[0135] 报文生成模块，用于生成第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的所述第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备；
[0136] 第二发送模块，用于将所述第二LSA报文泛洪至所述第二网络设备所属的所述IGP域，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
[0137] 结合本发明实施例第四方面第八种可能的实现方式，在第九种可能的实现方式中，
[0138] 所述第二LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第二LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第二网络设备标识，所述TLV字段携带所述第二网络设备的第二ACL信息。
[0139] 结合本发明实施例第四方面第九种可能的实现方式，在第十种可能的实现方式中，
[0140] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第二网络设备的第二ACL信息。
[0141] 结合本发明实施例第四方面第八种可能的实现方式至第四方面第十种可能的实现方式，在第十一种可能的实现方式中，
[0142] 所述第二LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0143] 结合本发明第四方面至第四方面第十一种可能的实现方式，在第十二种可能的实现方式中，所述第二网络设备还包括：
[0144] 第二接收模块，用于接收所述控制器发送的扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文携带目标网络设备的标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑，所述编辑包括修改、增加、删除和重置等操作中的任意一种或多种；
[0145] 第三发送模块，用于当所述第一网络设备根据所述目标网络设备的标识确定所述第一ACL编辑信息的目标网络设备不是所述第二网络设备时，将第三LSA报文泛洪至所述IGP域中的所述目标网络设备，所述第三LSA报文用于向所述IGP域中的目标网络设备宣告所述目标网络设备的第一ACL编辑信息。
[0146] 结合本发明实施例第四方面第十二种可能的实现方式，在第十三种可能的实现方式中，
[0147] 所述扩展的第二BGP-LS报文包含Local Node Descriptors字段和Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述目标网络设备的标识，所述Opaque Node Attribute TLV包含有所述目标网络设备的第一ACL编辑信息。
[0148] 结合本发明实施例第四方面第十三种可能的实现方式，在第十四种可能的实现方式中，
[0149] 所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为通告ACL编辑信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第三LSA报文，所述第三LSA报文携带有所述目标网络设备的第一ACL编辑信息。
[0150] 结合本发明实施例第四方面第十二种可能的实现方式，在第十五种可能的实现方式中，
[0151] 所述扩展的第二BGP-LS报文包括Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述目标网络设备的标识，所述Flow-Spec Descriptors字段包括所述目标网络设备的第一ACL编辑信息。
[0152] 结合本发明实施例第四方面第十二种可能的实现方式至第四方面第十五种可能的实现方式，在第十六种可能的实现方式中，
[0153] 所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述目标网络设备的标识，所述TLV字段携带所述目标网络设备的第一ACL编辑信息。
[0154] 结合本发明实施例第四方面第十六种可能的实现方式，在第十七种可能的实现方式中，
[0155] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述目标网络设备的第一ACL编辑信息。
[0156] 结合本发明实施例第四方面第十二种可能的实现方式至第四方面第十七种可能的实现方式，在第十八种可能的实现方式中，
[0157] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0158] 本发明实施例第五方面提供一种收集访问控制列表的第一网络设备，所述第一网络设备包括：
[0159] 获取模块，用于获取所述第一网络设备的第一访问控制列表ACL信息；
[0160] 报文生成模块，用于生成第一链路状态通告LSA报文，所述第一LSA报文包含第一网络设备标识和与所述第一网络设备标识相关联的所述第一ACL信息，所述第一网络设备标识用于标识所述第一网络设备；
[0161] 发送模块，用于将所述第一LSA报文泛洪至所述第一网络设备所属的内部网关协议IGP域，所述第一LSA报文用于向所述IGP域中的其他网络设备宣告所述第一网络设备的第一ACL信息。
[0162] 在本发明实施例第五方面第一种可能的实现方式中，
[0163] 所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0164] 结合本发明实施例第五方面第一种可能的实现方式，在第二种可能的实现方式中，
[0165] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一网络设备的第一ACL信息。
[0166] 结合本发明实施例第五方面至第五方面第二种可能的实现方式，在第三种可能的实现方式中，
[0167] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0168] 结合本发明实施例第五方面至第五方面第三种可能的实现方式，在第四种可能的实现方式中，所述第一网络设备还包括：
[0169] 第一接收模块，用于接收属于所述IGP域的第二网络设备泛洪的第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的所述第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
[0170] 结合本发明实施例第五方面第四种可能的实现方式，在第五种可能的实现方式中，
[0171] 所述第二LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第二LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第二网络设备标识，所述TLV字段携带所述第二网络设备的第二ACL信息。
[0172] 结合本发明实施例第五方面第五种可能的实现方式，在第六种可能的实现方式中，
[0173] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第二网络设备的第二ACL信息。
[0174] 结合本发明实施例第五方面第四种可能的实现方式至第五方面第六种可能的实现方式，在第七种可能的实现方式中，
[0175] 所述第二LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0176] 结合本发明实施例第五方面至第五方面第七种可能的实现方式，在第八种可能的实现方式中，所述第一网络设备还包括：
[0177] 第二接收模块，用于接收属于所述IGP域的第二网络设备泛洪的第三LSA报文，所述第三LSA报文携带目标网络设备的标识和与所述目标网络设备的标识相关联的第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑，所述编辑包括修改、增加、删除和重置等操作中的任意一种或多种；
[0178] 第一解析模块，用于当所述第一网络设备根据所述目标网络设备的标识确定所述第三LSA报文的目标网络设备为所述第一网络设备时，从所述第三LSA报文中解析获得所述第一ACL编辑信息；
[0179] 第一编辑模块，用于根据所述第一ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑。
[0180] 结合本发明实施例第五方面第八种可能的实现方式，在第九种可能的实现方式中，
[0181] 所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述目标网络设备的标识，所述TLV字段携带所述目标网络设备的第一ACL编辑信息。
[0182] 结合本发明实施例第五方面第九种可能的实现方式，在第十种可能的实现方式中，
[0183] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述目标网络设备的第一ACL编辑信息。
[0184] 结合本发明实施例第五方面第八种可能的实现方式至第五方面第十种可能的实现方式，在第十一种可能的实现方式中，
[0185] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0186] 结合本发明实施例第五方面至第五方面第七种可能的实现方式，在第十二种可能的实现方式中，所述第一网络设备还包括：
[0187] 第三接收模块，用于接收控制器通过控制通道下发的ACL配置报文；
[0188] 第二解析模块，用于从所述ACL配置报文中解析第二ACL编辑信息；
[0189] 第二编辑模块，用于根据所述第二ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑，所述编辑包括修改、增加、删除和重置等操作中的任意一种或多种。
[0190] 本发明实施例第六方面提供一种收集访问控制列表的控制器，所述控制器包括：
[0191] 接收模块，用于接收第二网络设备发送的扩展的第一边界网关协议链路状态BGP-LS报文；
[0192] 第一解析模块，用于从所述扩展的第一BGP-LS报文中解析获得第一网络设备的第一网络设备标识和第一ACL信息，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域。
[0193] 在本发明实施例第六方面第一种可能的实现方式中，
[0194] 所述扩展的第一BGP-LS报文包含本地节点描述符Local Node Descriptors字段和不透明节点属性类型长度值Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述第一网络设备标识，所述Opaque Node Attribute TLV包含有所述第一网络设备的第一ACL信息。
[0195] 结合本发明实施例第六方面第一种可能的实现方式，在第二种可能的实现方式中，
[0196] 所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为上报ACL信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第一LSA报文，所述第一LSA报文携带有所述第一网络设备的第一ACL信息。
[0197] 结合本发明实施例第六方面第二种可能的实现方式，在第三种可能的实现方式中，
[0198] 所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0199] 结合本发明实施例第六方面第三种可能的实现方式，在第四种可能的实现方式中，
[0200] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一网络设备的第一ACL信息。
[0201] 结合本发明实施例第六方面至第六方面第四种可能的实现方式，在第五种可能的实现方式中，
[0202] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0203] 在本发明第六方面第六种可能的实现方式中，
[0204] 所述扩展的第一BGP-LS报文为Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述第一网络设备标识，所述Flow-Spec Descriptors字段包括所述第一网络设备的第一ACL信息。
[0205] 结合本发明实施例第六方面至第六方面第六种可能的实现方式，在第七种可能的实现方式中，所述控制器还包括：
[0206] 第二解析模块，用于从所述扩展的第一BGP-LS报文中解析获得第二网络设备的第二网络设备标识和第二ACL信息。
[0207] 结合本发明实施例第六方面至第六方面第七种可能的实现方式，在第八种可能的实现方式中，所述控制器还包括：
[0208] 第一发送模块，用于向所述第二网络设备发送扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文包含第一目标网络设备的设备标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述第一目标网络设备的ACL信息进行编辑，所述编辑包括修改、增加、删除和重置等操作中的任意一种或多种。
[0209] 结合本发明实施例第六方面第八种可能的实现方式，在第九种可能的实现方式中，
[0210] 所述扩展的第二BGP-LS报文包含Local Node Descriptors字段和Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述第一目标网络设备的标识，所述Opaque Node Attribute TLV包含有所述第一目标网络设备的第一ACL编辑信息。
[0211] 结合本发明实施例第六方面第九种可能的实现方式，在第十种可能的实现方式中，
[0212] 所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为通告ACL编辑信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第三LSA报文，所述第三LSA报文携带有所述第一目标网络设备的第一ACL编辑信息。
[0213] 结合本发明实施例第六方面第十种可能的实现方式，在第十一种可能的实现方式中，
[0214] 所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述第一目标网络设备的标识，所述TLV字段携带所述第一目标网络设备的第一ACL编辑信息。
[0215] 结合本发明实施例第六方面第十一种可能的实现方式，在第十二种可能的实现方式中，
[0216] 所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述第一目标网络设备的第一ACL编辑信息。
[0217] 结合本发明实施例第六方面第十种可能的实现方式至第六方面第十二种可能的实现方式，在第十三种可能的实现方式中，
[0218] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0219] 结合本发明实施例第六方面第八种可能的实现方式，在第十四种可能的实现方式中，
[0220] 所述扩展的第二BGP-LS报文为Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述目标网络设备的标识，所述Flow-Spec Descriptors字段包括所述目标网络设备的第一ACL编辑信息。
[0221] 结合本发明实施例第六方面第八种可能的实现方式至第六方面第十四种可能的实现方式，在第十五种可能的实现方式中，
[0222] 所述第二BGP-LS报文还包含第二ACL编辑信息，所述第二ACL编辑信息用于对所述第二目标网络设备的第二ACL信息进行编辑，所述编辑包括修改、增加、删除和重置等操作中的任意一种或多种。
[0223] 结合本发明实施例第六方面至第六方面第十五种可能的实现方式，在第十六种可能的实现方式中，所述控制器还包括：
[0224] 第二发送模块，用于利用控制通道向目标网络设备发送ACL配置报文，所述ACL配置报文中携带有第三ACL编辑信息，所述第三ACL编辑信息用于对所述目标网络设备的第一ACL信息进行编辑，所述编辑包括修改、增加、删除和重置等操作中的任意一种或多种。
[0225] 本发明第七方面提供一种收集访问控制列表的系统，所述系统包括：
[0226] 一个本发明实施例第四方面至第四方面第十八种可能的实现方式任意一项所述的第二网络设备，一个本发明实施例第六方面至第六方面第十六种可能的实现方式任意一项所述的控制器，以及至少一个本发明实施例第五方面至第五方面第十二种可能的实现方式任意一项所述的第一网络设备。
[0227] 通过上述技术方案可知，本发明实施例有如下有益效果：
[0228] 本发明实施例提供了收集访问控制列表的方法、装置及系统，第二网络设备接收第一网络设备泛洪的第一链路状态通告LSA报文，所述第一LSA报文包括第一网络设备标识以及与所述第一网络设备标识相关联的第一访问控制列表ACL信息，所述第一网络设备标识用于标识所述第一网络设备，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域；根据所述第一网络设备标识获取所述第一网络设备的第一网络设备标识；向所述控制器发送扩展的第一边界网关协议链路状态BGP-LS报文，所述扩展的第一BGP-LS报文包含所述第一网络设备标识和所述第一ACL信息。以便所述控制器能够收集所述第一网络设备的ACL信息，并对所述第一网络设备的ACL信息进行管理。采用上述方法可以收集到所述IGP域中任意一个或多个网络设备的ACL信息，并对网络设备的ACL信息进行管理，提供了收集和管理ACL信息的方法，简化对ACL信息的维护工作。
附图说明
[0229] 为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
[0230] 图1为本发明实施例提供的IGP管理区域网络结构示意图；
[0231] 图2为本发明实施例提供的收集访问控制列表的方法流程图；
[0232] 图3为本发明实施例提供的第一LSA报文的格式示意图；
[0233] 图4为本发明实施例提供的收集访问控制列表的方法流程图；
[0234] 图5为本发明实施例提供的扩展的第一BGP-LS报文的第一种格式示意图；
[0235] 图6为本发明实施例提供的扩展的第一BGP-LS报文的第一种格式中包含多个ACL信息的示意图；
[0236] 图7为本发明实施例提供的扩展的第一BGP-LS报文的第二种格式示意图；
[0237] 图8为本发明实施例提供的扩展的第一BGP-LS报文的第二种格式中包含多个ACL信息的示意图；
[0238] 图9为本发明实施例提供的收集访问控制列表的方法流程图；
[0239] 图10为本发明实施例提供的收集访问控制列表的第一网络设备结构示意图；
[0240] 图11为本发明实施例提供的收集访问控制列表的第二网络设备结构示意图；
[0241] 图12为本发明实施例提供的收集访问控制列表的控制器结构示意图；
[0242] 图13为本发明实施例提供的收集访问列表的系统结构示意图；
[0243] 图14为本发明实施例提供的收集访问控制列表的第一网络设备硬件结构示意图；
[0244] 图15为本发明实施例提供的收集访问控制列表的第二网络设备硬件结构示意图；
[0245] 图16为本发明实施例提供的收集访问控制列表的控制器硬件结构示意图；
[0246] 图17为本发明实施例提供的收集访问列表的系统硬件结构示意图。
具体实施方式
[0247] 本发明实施例提供了收集访问控制列表的方法、装置及系统的实现方案，以下结合说明书附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。并且在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。
[0248] 图1为内部网关协议(Internal Gateway Protocol，IGP)管理区域网络结构示意图，所述第一网络设备101是所述IGP域中的一个不与控制器103直接建立通信连接的网络设备，所述第一网络设备101与所述IGP域中其他的网络设备建立IGP连接，所述第一网络设备101将所述第一网络设备101的第一ACL信息利用所述IGP连接泛洪至所述IGP域中其他的网络设备。所述第二网络设备102是所述IGP域中与控制器103直接建立通信连接的网络设备，所述第二网络设备102与所述控制器103建立了边界网关协议链路状态(Border Gateway Protocol Link State，BGP-LS)连接，所述第二网络设备102利用所述BGP-LS连接，向所述控制器103发送所述IGP域中任意一个或多个网络设备的ACL信息。
[0249] 值得说明的是，本实施例中所述控制器与网络设备直接建立通信连接可以是指物理上直接有物理连线互连，并且逻辑上有通信连接；也可以是指物理上没有物理连线直接互连(即，控制器和网络设备之间还有其它中间设备连接，控制器和网络设备之间间接互连)，但是逻辑上有通信连接。所述逻辑上的通信连接具体可以是控制协议的通信连接。
[0250] 图2为本发明实施例提供的收集访问控制列表的方法流程图，所述方法包括：
[0251] 201：第一网络设备获取所述第一网络设备的第一访问控制列表ACL信息。
[0252] 202：所述第一网络设备生成第一链路状态通告LSA报文，所述第一LSA报文包含第一网络设备标识和与所述第一网络设备标识相关联(关联的英文翻译为：correlate)的所述第一ACL信息，所述第一网络设备标识用于标识所述第一网络设备。
[0253] 203：所述第一网络设备将所述第一LSA报文泛洪至所述第一网络设备所属的IGP域，所述第一LSA报文用于向所述IGP域中的其他网络设备宣告所述第一网络设备的第一ACL信息。
[0254] 所述第一网络设备与所述IGP域中其他网络设备建立IGP连接，所述第一网络设备利用所述IGP连接向所述IGP域内的其他网络设备泛洪第一链路状态通告(Link State Advertisement，LSA)报文，所述第一LSA报文包含所述第一网络设备标识和所述第一网络设备标识相关联的所述第一ACL信息。所述第一网络设备利用所述第一LSA报文向所述IGP域中其他的网络设备宣告所述第一网络设备的第一ACL信息。所述IGP域内其他的网络设备接收到所述第一网络设备泛洪的所述第一LSA报文，从所述第一LSA报文中解析得到所述第一网络设备的第一ACL信息。
[0255] 在具体实施例中，所述第一LSA报文包括不透明类型(Opaque Type)字段、宣告网络设备标识(Advertising Router)字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0256] 具体的，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一网络设备的第一ACL信息。
[0257] 所述IGP域中，各个网络设备之间所建立的IGP连接所采用的IGP协议包括路由信息协议(Routing Information Protocol，RIP)、开放最短路径优先协议(Open Shortest Path First，OSPF)、内部网关路由协议(Interior Gateway Routing Protocol，IGRP)、以及中间系统到中间系统协议(Intermediate system to intermediate system，ISIS)等。
[0258] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0259] 以所述第一LSA报文为扩展的OSPF Opaque LSA报文为例对LSA报文的格式进行说明，所述第一LSA报文的格式如图3所示。
[0260] LS age：表示所述第一LSA报文存在时长，以秒为单位，定义同[RFC2328标准]；
[0261] Options:可选项，定义同[RFC2328标准]；
[0262] LS type：所述第一LSA的类型号；
[0263] Opaque type：不透明类型，在本发明实施例中，扩展所述Opaque type，增加一个新的类型值。例如，OSPF ACL Opaque Read LSA(Type Code:TBD)，用于指示所述第一LSA报文用于宣告网络设备的ACL信息；
[0264] Opaque ID:不透明标识，Opaque类型和Opaque ID号共同标识所述第一LSA报头中的链路状态ID，定义同[RFC5250]；
[0265] Advertising Router：发送所述第一LSA报文的第一网络设备的标识，定义同[RFC2328]；
[0266] LS sequence number:所述第一LSA的序列号，定义同[RFC2328]；
[0267] LS checksum:除了LS age字段外，所述第一LSA的全部信息的校验和，定义同[RFC2328]；
[0268] Length:所述第一LSA的总长度，包括LSA Header，以字节为单位，定义同[RFC2328]；
[0269] TLVs:可以包含一个或多个子TLV，这些子TLV能够组合成所述第一ACL信息。
[0270] 所述第一LSA报文还可以是其他IGP协议的LSA报文，这里不再赘述。
[0271] 这里需要说明的是，上述方法中以所述IGP域中的所述第一网络设备为例进行说明。类似的，所述IGP域中任意一个网络设备都可以采用类似的方式，向所述IGP域中泛洪一个携带有该网络设备的ACL信息LSA报文，将该网络设备的ACL信息通告给所述IGP域中除了该网络设备以外的其他网络设备。
[0272] 在具体实施例中，所述方法还包括：
[0273] 所述第一网络设备接收属于所述IGP域的第二网络设备泛洪的第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的所述第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
[0274] 在上述具体实施例中，所述第二LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第二LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第二网络设备标识，所述TLV字段携带所述第二网络设备的第二ACL信息。
[0275] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第二网络设备的第二ACL信息。
[0276] 所述第二LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0277] 所述第一LSA报文和所述第二LSA报文的格式相同，所述第一LSA报文和第二LSA报文的包括不透明类型字段、宣告网络设备标识字段和TLV字段。所述第一LSA报文和所述第二LSA报文中的不透名类型字段相同，用于指示LSA报文用于宣告网络设备的ACL信息。只不过第一LSA报文与所述第二LSA报文宣告网络设备标识字段和TLV字段中所包含的具体内容不同。
[0278] 所述第一网络设备不仅可以将所述第一网络设备的第一ACL信息泛洪至所述IGP域，所述第一网络设备还可以接收所述IGP域中其他网络设备泛洪的LSA报文。所述第一网络设备接收到所述第二网络设备泛洪的第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的所述第二ACL信息。所述第一网络设备即可从所述第二LSA报文中解析得到所述第二网络设备的第二ACL信息。
[0279] 同样的，当所述IGP域中不仅包括所述第一网络设备和所述第二网络设备时，所述第一网络设备还可以接收到所述IGP域中除了所述第二网络设备以外的其他网络设备泛洪的LSA报文，以获知其他网络设备的ACL信息。
[0280] 这里需要说明的是，上述方法中以所述IGP域中的所述第一网络设备为例进行说明。类似的，所述IGP域中的任意一个网络设备都可以接收到其他网络设备泛洪的LSA报文，从而获得其他网络设备的ACL信息。一般情况下，所述IGP域中的一个网络设备中存储有所述IGP域中所有其他网络设备的ACL信息。
[0281] 在具体实施例中，所述方法还包括：
[0282] 所述第一网络设备接收属于所述IGP域的第二网络设备泛洪的第三LSA报文，所述第三LSA报文携带目标网络设备的标识和与所述目标网络设备的标识相关联的第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑；
[0283] 当所述第一网络设备根据所述目标网络设备的标识确定所述第三LSA报文的目标网络设备为所述第一网络设备时，所述第一网络设备从所述第三LSA报文中解析获得所述第一ACL编辑信息；
[0284] 所述第一网络设备根据所述第一ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑。
[0285] 所述控制器可以对所述IGP域中的网络设备的ACL信息进行编辑。以所述第一网络设备为例进行说明，当所述第一网络设备中的第一ACL信息不满足实际需求时，所述控制器根据实际需要生成第一ACL编辑信息，所述第一ACL编辑信息用于编辑所述第一网络设备中的第一ACL信息。
[0286] 由于所述第一网络设备与所述控制器并没有建立BGP-LS连接，所述第二网络设备与所述控制器建立了BGP-LS连接，所述控制器先将携带有所述第一ACL编辑信息的BGP-LS发送至所述第二网络设备，所述第二网络设备与所述第一网络设备位于同一个IGP域，所述第二网络设备再向所述IGP域中泛洪携带有所述第一ACL编辑信息的第三LSA报文。所述第三LSA报文中携带有目标网络设备的标识，即携带有第一网络设备标识。所述第一网络设备接收到所述第三LSA报文后，根据所述第三LSA报文中携带的目标网络设备的标识识别目标网络设备为所述第一网络设备，解析所述第三LSA报文获得第一ACL编辑信息，并根据第一ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑。
[0287] 在具体实施例中，所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述目标网络设备的标识，所述TLV字段携带所述目标网络设备的第一ACL编辑信息。
[0288] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述目标网络设备的第一ACL编辑信息。
[0289] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0290] 所述第三LSA报文与所述第一LSA报文的格式类似，所述第三LSA报文包含不透明类型字段，在本发明实施例中，扩展所述Opaque type，增加一个新的类型值。例如，OSPF ACL Opaque Write LSA(Type Code:TBD)，用于指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息。所述第三LSA报文的宣告网络设备标识字段携带所述目标网络设备的标识，所述TLV字段携带所述目标网络设备的第一ACL编辑信息。
[0291] 这里需要说明的是，如图1所示的IGP域网络结构，本发明实施例中以所述第二网络设备与所述控制器建立BGP-LS连接为例进行说明。实际应用中，与所述控制器建立了BGP-LS连接的还可以是其他的网络设备，所述第一网络设备接收与所述控制器建立BGP-LS连接的网络设备泛洪的第三LSA报文，从所述第三LSA报文中解析到所述第一ACL编辑信息。
[0292] 在具体实施例中，所述方法还包括：
[0293] 所述第一网络设备接收控制器通过控制通道下发的ACL配置报文；
[0294] 所述第一网络设备从所述ACL配置报文中解析第二ACL编辑信息；
[0295] 所述第一网络设备根据所述第二ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑。
[0296] 所述控制器对所述IGP域中的网络设备的ACL信息进行编辑时，所述控制器可以将生成的ACL编辑信息直接发送给所述IGP域中的网络设备。以所述第一网络设备为例进行说明，当所述第一网络设备中的第一ACL信息不满足实际需求时，所述控制器可以生成第二ACL编辑信息，所述第二ACL编辑信息用于对所述第一网络设备中的第一ACL信息进行编辑。
[0297] 这里需要说明的是，上述控制器对所述IGP域中的网络设备的ACL信息进行编辑的方法，不仅限于对所述第一网络设备的第一ACL信息进行编辑，还可以对所述IGP域中任意一个网络设备的ACL信息进行编辑。根据控制器生成的ACL编辑信息对网络设备的ACL信息进行编辑包括：对网络设备的ACL信息进行修改、增加、删除和重置等操作中的任意一种或多种。
[0298] 图4为本发明实施例提供的收集访问控制列表的方法流程图，所述方法包括：
[0299] 401：第二网络设备接收第一网络设备泛洪的第一LSA报文，所述第一LSA报文包括所述第一网络设备标识以及与所述第一网络设备标识相关联的第一ACL信息，所述第一网络设备标识用于标识所述第一网络设备，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域。
[0300] 402：所述第二网络设备向所述控制器发送扩展的第一边界网关协议链路状态BGP-LS报文，所述扩展的第一BGP-LS报文包含所述第一网络设备标识和所述第一ACL信息。
[0301] 所述第二网络设备与所述控制器建立了BGP-LS连接，所述第二网络设备与所述第一网络设备位于同一个IGP域。所述第二网络设备接收第一网络设备泛洪的第一LSA报文，从所述第一LSA报文中解析获得所述第一网络设备的第一ACL信息。
[0302] 所述第二网络设备向所述控制器发送扩展的第一BGP-LS报文，利用所述扩展的第一BGP-LS报文向所述控制器通告所述第一网络设备的第一ACL信息。在实际应用中，所述第二网络设备不仅可以接收所述第一网络设备泛洪的第一LSA报文，获知所述第一网络设备的第一ACL信息。还可以接收与所述第二网络设备属于同一个IGP域的其他网络设备泛洪的LSA报文，获知其他网络设备的ACL信息。一般情况下，所述第二网络设备中存储有所述IGP域中所有网络设备的ACL信息。所述第二网络设备向控制器发送的扩展的第一BGP-LS报文中，可以携带有所述IGP域中任意一个或多个网络设备的ACL信息。
[0303] 在具体实施例中，所述扩展的第一BGP-LS报文包含本地节点描述符Local Node Descriptors字段和不透明节点属性类型长度值Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含所述第一网络设备标识，所述Opaque Node Attribute TLV字段包含所述第一网络设备的第一LSA报文。
[0304] 其中，所述Opaque Node Attribute TLV字段包含类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为上报ACL信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含所述第一LSA报文，所述第一LSA报文包含所述第一网络设备的第一ACL信息。
[0305] 这里需要说明的是，所述Local Node Descriptors字段携带有所述第一网络设备的设备描述信息，所述第一网络设备的设备描述信息中包含所述第一网络设备标识以及其他设备信息。
[0306] 所述扩展的第一BGP-LS报文的格式如图5所示。
[0307] Protocol-ID：BGP-LS协议标识，定义同draft-ietf-idr-ls-distribution-10定义；
[0308] Identifier：拓扑标识，用于区分不同的IGP进程；缺省为0，表示当前信息对应三层拓扑(L3TOPO)；定义同draft-ietf-idr-ls-distribution-10定义；
[0309] Local Node Descriptors(variable)：网络设备的描述信息(长度可变)，所述Local Node Descriptors字段用于携带网络设备的描述信息，网络设备的描述信息中包含该网络设备标识；
[0310] Opaque Node Attribute TLV(variable)：描述ACL信息(长度可变)。
[0311] 所述扩展的第一BGP-LS报文包含一个网络设备的ACL信息时，所述扩展的第一BGP-LS报文中包含一个Local Node Descriptors和一个Opaque Node Attribute TLV,所述Local Node Descriptors包含该网络设备的标识，所述Opaque Node Attribute TLV包含携带有该网络设备的ACL信息的LSA报文。当所述扩展的第一BGP-LS报文包含多个网络设备的ACL信息时，所述扩展的第一BGP-LS报文包含由多个Local Node Descriptors和多个Opaque Node Attribute TLV所组成的多组网络设备信息。如图6所示，一个Local Node Descriptors和一个Opaque Node Attribute TLV组成一组，即一个网络设备的标识后，紧接着一个Opaque Node Attribute TLV，包含携带有该网络设备ACL信息的LSA报文。其中，Local Node Descriptors的个数和Opaque Node Attribute TLV的个数相同，都与网络设备的个数相同。
[0312] 在具体的实施例中，所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0313] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一ACL信息。
[0314] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0315] 所述第一LSA报文的格式与图2所示的收集访问控制列表的方法中图3所示的第一LSA报文的格式相同，参考图3所示的收集访问控制列表的方法中对所述第一LSA报文的描述，这里不再赘述。
[0316] 在另一个具体的实施例中，所述扩展的第一BGP-LS报文为新增的Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述第一网络设备标识，所述Flow-Spec Descriptors字段包括所述第一网络设备的第一ACL信息。
[0317] 所述Flow-Spec NLRI的格式如图7所示。
[0318] Protocol-ID：BGP-LS协议标识，定义同draft-ietf-idr-ls-distribution-10定义；
[0319] Identifier：拓扑标识，用于区分不同的IGP进程；缺省为0，表示当前信息对应三层拓扑(L3TOPO)；定义同draft-ietf-idr-ls-distribution-10定义；
[0320] Local Node Descriptors(variable)：网络设备的描述信息(长度可变)，所述Local Node Descriptors字段携带有所述网络设备的描述信息，所述网络设备的描述信息包含该网络设备的标识；
[0321] Flow-Spec Descriptors(variable)：描述ACL信息(长度可变)。
[0322] 所述扩展的第一BGP-LS报文包含一个网络设备的ACL信息时，所述扩展的第一BGP-LS报文中包含一个Local Node Descriptors和一个Flow-Spec Descriptors,所述Local Node Descriptors包含该网络设备的标识，所述Flow-Spec Descriptors包含该网络设备的ACL信息。当所述扩展的第一BGP-LS报文包含多个网络设备的ACL信息时，所述扩展的第一BGP-LS报文包含由多个Local Node Descriptors和多个Flow-Spec Descriptors所组成的多组网络设备信息。如图8所示，一个Local Node Descriptors和一个Flow-Spec Descriptors组成一组，即一个网络设备的标识后，紧接着一个Flow-Spec Descriptors，包含该网络设备ACL信息。其中，Local Node Descriptors的个数和Flow-Spec Descriptors的个数相同，都与网络设备的个数相同。
[0323] 可选的，所述方法还包括：
[0324] 所述第二网络设备获取所述第二网络设备的第二ACL信息和第二设备标识；
[0325] 所述第二网络设备获取所述第二网络设备的第二ACL信息和第二网络设备标识；
[0326] 相应地，所述扩展的第一BGP-LS报文还包含所述第二网络设备标识和所述第二ACL信息。
[0327] 可选的，所述方法还包括：
[0328] 所述第二网络设备生成第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的所述第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备；
[0329] 所述第二网络设备将所述第二LSA报文泛洪至所述第二网络设备所属的所述IGP域，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
[0330] 所述第二网络设备还可以向所述IGP域泛洪第二LSA报文，所述第二LSA报文包含所述第二网络设备标识以及与所述第二网络设备标识相关联的第二ACL信息。所述IGP域中的其他网络设备接收到所述第二LSA报文后，可以获知所述第二网络设备的第二ACL信息。
[0331] 在具体的实施例中，所述第二LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第二LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第二网络设备标识，所述TLV字段携带所述第二网络设备的第二ACL信息。
[0332] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第二网络设备的第二ACL信息。
[0333] 所述第二LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0334] 所述第一LSA报文的格式与图2所示的收集访问控制列表的方法中图3所示的第一LSA报文的格式类似，参考图3所示的收集访问控制列表的方法中对所述第一LSA报文的描述，这里不再赘述。
[0335] 在具体实施例中，所述方法还包括：
[0336] 所述第二网络设备接收所述控制器发送的扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文携带目标网络设备的标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑；
[0337] 当所述第一网络设备根据所述目标网络设备的标识确定所述第一ACL编辑信息的目标网络设备不是所述第二网络设备时，所述第二网络设备将第三LSA报文泛洪至所述IGP域中的所述目标网络设备，所述第三LSA报文用于向所述IGP域中的目标网络设备宣告所述目标网络设备的第一ACL编辑信息。
[0338] 所述第二网络设备与所述控制器建立了BGP-LS通信连接，所述第二网络设备接收所述控制器发送的扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文包含目标网络设备的标识以及所述控制器给所述目标网络设备配置的第一ACL编辑信息，所述第一编辑ACL信息用于对所述目标网络设备的ACL信息进行编辑。
[0339] 所述第二网络设备从所述扩展的第二BGP-LS报文中解析获得所述第一ACL编辑信息。所述扩展的第二BGP-LS报文至少有两种可能的结构：
[0340] 第一种可能的结构，所述扩展的第二BGP-LS报文包含Local Node Descriptors字段和Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述目标网络设备的标识，所述Opaque Node Attribute TLV包含有所述目标网络设备的第一ACL编辑信息。
[0341] 其中，所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为通告ACL编辑信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第三LSA报文，所述第三LSA报文携带有所述目标网络设备的第一ACL编辑信息。
[0342] 第二种可能的结构，所述扩展的第二BGP-LS报文为新增的Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述目标网络设备的标识，所述Flow-Spec Descriptors字段包括所述目标网络设备的第一ACL编辑信息。
[0343] 所述第二网络设备根据所述扩展的BGP-LS报文中的目标网络设备的标识识别所述第一ACL编辑信息的目标网络设备，当识别所述目标网络设备是第二网络设备时，所述第二网络设备从所述扩展的BGP-LS报文中解析得到所述第一ACL编辑信息，对所述第二网络设备的第二ACL信息进行编辑。
[0344] 当所述第二网络设备根据所述目标网络设备的标识识别所述目标网络设备不是第二网络设备时，所述第二网络设备向所述第二网络设备所属的IGP域中泛洪第三LSA报文，所述第三LSA报文携带有所述第一ACL编辑信息。所述目标网络设备接收到所述第三LSA报文后，解析获得所述第一ACL编辑信息对所述目标网络设备的ACL信息进行编辑。
[0345] 由上述两种不同的第二BGP-LS报文格式可知，当所述第二BGP-LS报文包括Opaque Node Attribute TLV字段时，所述Opaque Node Attribute TLV字段中包含所述第三LSA报文；当所述第二BGP-LS报文包含Flow-Spec Descriptors字段时，所述第二网络设备从所述第二BGP-LS的Flow-Spec Descriptors字段中解析获得所述第一ACL编辑信息，根据所述第一ACL编辑信息生成所述第三LSA报文。
[0346] 在具体的实施例中，所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述目标网络设备的标识，所述TLV字段携带所述目标网络设备的第一ACL编辑信息。
[0347] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述目标网络设备的第一ACL编辑信息。
[0348] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0349] 所述第三LSA报文中的不透明类型字段(Opaque type)，在本发明实施例中，扩展所述Opaque type，增加一个新的类型值。例如，OSPF ACL Opaque Write LSA(Type Code:TBD)，用于指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息。所述第三LSA报文的宣告网络设备标识字段携带所述目标网络设备的标识，所述TLV字段携带所述目标网络设备的第一ACL编辑信息。
[0350] 所述第一LSA报文和所述第二LSA报文中的不透明类型字段的类型值为OSPF ACL Opaque Read LSA，用于宣告网络设备的ACL信息，所述第三LSA报文中的不透明类型字段的类型值为，OSPF ACL Opaque Write LSA，用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息。
[0351] 这里需要说明的是，所述第二网络设备从所述控制器所接收的所述扩展的第二BGP-LS报文，可以包括用于编辑一个目标网络设备的所述第一ACL编辑信息，还可以包括编辑多个目标网络设备的ACL编辑信息。实现方法类似，这里不再赘述。
[0352] 图9为本发明实施例提供的收集访问控制列表的方法流程图，所述方法包括：
[0353] 901：控制器接收第二网络设备发送的扩展的第一边界网关协议链路状态BGP-LS报文。
[0354] 902：所述控制器从所述扩展的第一BGP-LS报文中解析获得第一网络设备的第一网络设备标识和第一ACL信息，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域。
[0355] 所述控制器接收所述第二网络设备发送的扩展的第一BGP-LS报文，从所述扩展的第一BGP-LS报文解析得所述第一网络设备的第一ACL信息。
[0356] 所述扩展的第一BGP-LS报文至少有两种可能的结构，包括：
[0357] 第一种可能的结构，所述扩展的第一BGP-LS报文包含本地节点描述符Local Node Descriptors字段和不透明节点属性类型长度值Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述第一网络设备标识，所述Opaque Node Attribute TLV包含有所述第一网络设备的第一ACL信息。
[0358] 其中，所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为上报ACL信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第一LSA报文，所述第一LSA报文携带有所述第一网络设备的第一ACL信息。
[0359] 所述第一BGP-LS报文第一种可能的结构与图4提供的收集访问控制列表的方法中图5所示的第一BGP-LS报文的结构相同，参考对图5所示的第一BGP-LS报文的描述，这里不再赘述。
[0360] 在具体实施例中，所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0361] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一网络设备的第一ACL信息。
[0362] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0363] 所述第一LSA报文的格式与图2所示的收集访问控制列表的方法中图3所示的第一LSA报文的格式类似，参考图3所示的收集访问控制列表的方法中对所述第一LSA报文的描述，这里不再赘述。
[0364] 第二种可能的结构，所述扩展的第一BGP-LS报文为Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述第一网络设备的第一网络设备标识，所述Flow-Spec Descriptors字段包括所述第一网络设备的第一ACL信息。
[0365] 所述第一BGP-LS报文的结构与图4提供的收集访问控制列表的方法中图7所示的第一BGP-LS报文的结构相同，参考对图7所示的第一BGP-LS报文的描述，这里不再赘述。
[0366] 可选的，所述方法还包括：
[0367] 所述控制器从所述扩展的第一BGP-LS报文中解析获得第二网络设备的第二ACL信息。
[0368] 这里需要说明的是，所述扩展的第一BGP-LS报文还可以携带有与所述第二网络设备属于同一个IGP域的任意一个或任意多个网络设备的ACL信息。即所述控制器可以从第二网络设备发送的扩展的第一BGP-LS报文中获得所述IGP域中任意一个或任意多个网络设备的ACL信息。一般情况下，所述控制器可以从所述第二网络设备发送的扩展的第一BGP-LS报文中获得所述IGP域中所有网络设备的ACL信息。控制器可以获知所有网络设备的ACL信息，并进行ACL信息的管理。
[0369] 可选的，所述方法还包括：
[0370] 所述控制器向所述第二网络设备发送扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文包含第一目标网络设备的设备标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述第一目标网络设备的ACL信息进行编辑。
[0371] 在具体的实施例中，所述扩展的第二BGP-LS报文包含Local Node Descriptors字段和Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述第一目标网络设备的标识，所述Opaque Node Attribute TLV包含有所述第一目标网络设备的第一ACL编辑信息。
[0372] 其中，所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为通告ACL编辑信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第三LSA报文，所述第三LSA报文携带有所述第一目标网络设备的第一ACL编辑信息。
[0373] 可选的，所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述第一目标网络设备的标识，所述TLV字段携带所述第一目标网络设备的第一ACL编辑信息。
[0374] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述第一目标网络设备的第一ACL编辑信息。
[0375] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0376] 在另一个具体的实施例中，所述扩展的第二BGP-LS报文为Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述目标网络设备的标识，所述Flow-Spec Descriptors字段包括所述目标网络设备的第一ACL编辑信息。
[0377] 当技术人员发现所述IGP域中的网络设备的ACL信息不能满足实际应用的需求时。所述技术人员在所述控制器配置对该网络设备ACL信息进行编辑的第一ACL编辑信息。该网络设备接收到所述第一ACL编辑信息后，利用所述第一ACL编辑信息对该网络设备的ACL信息进行编辑。
[0378] 举例说明，所述第一网络设备的第一ACL信息不能满足实际需求时，所述技术人员在所述控制器配置第一ACL编辑信息。所述控制器给所述第二网络设备发送扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文包含所述第一ACL编辑信息。所述第二网络设备接收到所述扩展的第二BGP-LS报文后，再将所述第一ACL编辑信息利用第三LSA报文泛洪至所述IGP域。所述第一网络设备接收到所述第三LSA报文后，解析获得第一ACL编辑信息，利用所述第一ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑。
[0379] 可选的，所述第二BGP-LS报文还包含第二ACL编辑信息，所述第二ACL编辑信息用于编辑所述第二网络设备的ACL信息。
[0380] 这里需要说明的是，所述控制器发送到所述第二网络设备的扩展的第二BGP-LS报文，不仅可以携带有编辑所述第一网络设备的第一ACL信息的第一ACL编辑信息，还可以携带有编辑所述IGP域中任意一个或多个网络设备的ACL信息的ACL编辑信息。例如：所述扩展的第二BGP-LS报文还可以携带有用于编辑所述第二网络设备的第二ACL信息的第二ACL编辑信息。当然，所述扩展的第二BGP-LS报文还可以携带所述IGP域中其他网络设备的ACL编辑信息，这里不再赘述。
[0381] 可选的，所述方法还包括：
[0382] 所述控制器利用控制通道向目标网络设备发送ACL配置报文，所述ACL配置报文中携带有第三ACL编辑信息，所述第三ACL编辑信息用于对所述目标网络设备的第一ACL信息进行编辑。
[0383] 所述控制器还可以利用控制通道向ACL信息不满足实际需求的网络设备直接发送ACL编辑信息，而不用通过与所述控制器建立BGP-LS连接的网络设备。
[0384] 现有技术中，一个大型网络区域存在多个边界路由器，需要在每个边界路由器中配置ACL信息，控制网络流量。动态配置ACL信息时，一个作为边界网关协议(Border Gateway Protocol，BGP)对等体的边界路由器将采样流量发送给流量分析服务器。流量分析服务器识别异常攻击流量，根据异常攻击流量创建BGP Flow Specification路由，将所述BGP Flow Specification路由发送到上述边界路由器。该边界路由器将所述BGP Flow Specification路由发送至与该边界路由器进行BGP会话的其他边界路由器。每个边界路由器接收到所述BGP Flow Specification路由后，将所述BGP Flow Specification路由转换为数据转发层的ACL信息，边界路由器在端口应用了该ACL信息后，禁止该异常攻击流量通过。
[0385] 上述动态配置ACL的方法，只能用于在边界路由器中被动配置防止异常攻击流量的ACL，对于防止非异常攻击流量的ACL信息，只能在每个边界路由器上逐一人工静态配置。
[0386] 本发明提供的收集访问控制列表的方法，位于同一个IGP管理器区域的网络设备，将携带有ACL信息的LSA报文泛洪至所述IGP域，所述IGP域中的网络设备可以获知其他网络设备的ACL信息。与控制器建立BGP-LS通信连接的网络设备，向所述控制器发送第一BGP-LS报文，所述第一BGP-LS报文中携带有所述IGP域中任意一个或多个网络设备的ACL信息。所述控制器管理所获知的网络设备的ACL信息，并对网络设备的ACL信息进行管理。并且，所述控制器还可以发送ACL编辑信息，所述ACL编辑信息用于编辑不满足实际需要的至少一个或多个网络设备的ACL信息，实现主动对网络设备的ACL信息进行编辑，简化对ACL信息的维护工作。
[0387] 图10为本发明实施例提供的收集访问控制列表的第一网络设备结构示意图，图10所示的第一网络设备是与图2所示的收集访问控制列表的方法流程图所对应的网络设备，所述第一网络设备包括：
[0388] 获取模块1001，用于获取所述第一网络设备的第一访问控制列表ACL信息。
[0389] 报文生成模块1002，用于生成第一链路状态通告LSA报文，所述第一LSA报文包含第一网络设备标识和与所述第一网络设备标识相关联的所述第一ACL信息，所述第一网络设备标识用于标识所述第一网络设备。
[0390] 发送模块1003，用于将所述第一LSA报文泛洪至所述第一网络设备所属的内部网关协议IGP域，所述第一LSA报文用于向所述IGP域中的其他网络设备宣告所述第一网络设备的第一ACL信息。
[0391] 可选的，所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0392] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一网络设备的第一ACL信息。
[0393] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0394] 可选的，所述第一网络设备还包括：
[0395] 第一接收模块，用于接收属于所述IGP域的第二网络设备泛洪的第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的所述第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
[0396] 可选的，所述第二LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第二LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第二网络设备标识，所述TLV字段携带所述第二网络设备的第二ACL信息。
[0397] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第二网络设备的第二ACL信息。
[0398] 所述第二LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0399] 可选的，所述第一网络设备还包括：
[0400] 第二接收模块，用于接收属于所述IGP域的第二网络设备泛洪的第三LSA报文，所述第三LSA报文携带目标网络设备的标识和与所述目标网络设备的标识相关联的第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑；
[0401] 第一解析模块，用于当所述第一网络设备根据所述目标网络设备的标识确定所述第三LSA报文的目标网络设备为所述第一网络设备时，从所述第三LSA报文中解析获得所述第一ACL编辑信息；
[0402] 第一编辑模块，用于所述第一网络设备根据所述第一ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑。
[0403] 可选的，所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述目标网络设备的标识，所述TLV字段携带所述目标网络设备的第一ACL编辑信息。
[0404] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述目标网络设备的第一ACL编辑信息。
[0405] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0406] 可选的，所述第一网络设备还包括：
[0407] 第三接收模块，用于接收控制器通过控制通道下发的ACL配置报文；
[0408] 第二解析模块，用于从所述ACL配置报文中解析第二ACL编辑信息；
[0409] 第二编辑模块，用于根据所述第二ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑。
[0410] 图10所示的第一网络设备是与图2所示的收集访问控制列表的方法所对应的网络设备，参考图2所示的方法的描述，这里不再赘述。
[0411] 图11为本发明实施例提供的收集访问控制列表的第二网络设备结构示意图，图11所示的第二网络设备是与图4所示的收集访问控制列表的方法流程图所对应的网络设备，所述第二网络设备包括：
[0412] 第一接收模块1101，用于接收第一网络设备泛洪的第一链路状态通告LSA报文，所述第一LSA报文包括第一网络设备标识以及与所述第一网络设备标识相关联的第一访问控制列表ACL信息，所述第一网络设备标识用于标识所述第一网络设备，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域。
[0413] 第一发送模块1102，用于向所述控制器发送扩展的第一边界网关协议链路状态BGP-LS报文，所述扩展的第一BGP-LS报文包含所述第一网络设备标识和所述第一ACL信息。
[0414] 可选的，所述扩展的第一BGP-LS报文包含本地节点描述符Local Node Descriptors字段和不透明节点属性类型长度值Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含所述第一网络设备标识，所述Opaque Node Attribute TLV字段包含所述第一网络设备的第一LSA报文。
[0415] 其中，所述Opaque Node Attribute TLV字段包含类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为上报ACL信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含所述第一LSA报文，所述第一LSA报文包含所述第一网络设备的第一ACL信息。
[0416] 可选的，所述扩展的第一BGP-LS报文为新增的Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述第一网络设备标识，所述Flow-Spec Descriptors字段包括所述第一网络设备的第一ACL信息。
[0417] 可选的，所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0418] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一ACL信息。
[0419] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0420] 可选的，所述第二网络设备还包括：
[0421] 获取模块，用于获取所述第二网络设备的第二ACL信息和第二网络设备标识；
[0422] 相应地，所述扩展的第一BGP-LS报文还包含所述第二网络设备标识和所述第二ACL信息。
[0423] 可选的，所述第二网络设备还包括：
[0424] 报文生成模块，用于生成第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的所述第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备；
[0425] 第二发送模块，用于将所述第二LSA报文泛洪至所述第二网络设备所属的所述IGP域，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
[0426] 可选的，所述第二LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第二LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第二网络设备标识，所述TLV字段携带所述第二网络设备的第二ACL信息。
[0427] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第二网络设备的第二ACL信息。
[0428] 所述第二LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0429] 可选的，所述第二网络设备还包括：
[0430] 第二接收模块，用于接收所述控制器发送的扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文携带目标网络设备的标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑；
[0431] 第三发送模块，用于当所述第一网络设备根据所述目标网络设备的标识确定所述第一ACL编辑信息的目标网络设备不是所述第二网络设备时，将第三LSA报文泛洪至所述IGP域中的所述目标网络设备，所述第三LSA报文用于向所述IGP域中的目标网络设备宣告所述目标网络设备的第一ACL编辑信息。
[0432] 可选的，所述扩展的第二BGP-LS报文包含Local Node Descriptors字段和Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述目标网络设备的标识，所述Opaque Node Attribute TLV包含有所述目标网络设备的第一ACL编辑信息。
[0433] 其中，所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为通告ACL编辑信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第三LSA报文，所述第三LSA报文携带有所述目标网络设备的第一ACL编辑信息。
[0434] 可选的，所述扩展的第二BGP-LS报文包括Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述目标网络设备的标识，所述Flow-Spec Descriptors字段包括所述目标网络设备的第一ACL编辑信息。
[0435] 可选的，所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述目标网络设备的标识，所述TLV字段携带所述目标网络设备的第一ACL编辑信息。
[0436] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述目标网络设备的第一ACL编辑信息。
[0437] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0438] 图11所示的第二网络设备是与图4所示的收集访问控制列表的方法所对应的网络设备，参考图4所示的方法的描述，这里不再赘述。
[0439] 图12为本发明实施例提供的收集访问控制列表的控制器结构示意图，图12所示的控制器是与图9所示的收集访问控制列表的方法所对应的控制器，所述控制器包括：
[0440] 接收模块1201，用于接收第二网络设备发送的扩展的第一边界网关协议链路状态BGP-LS报文。
[0441] 第一解析模块1202，用于从所述扩展的第一BGP-LS报文中解析获得第一网络设备的第一网络设备标识和第一ACL信息，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域。
[0442] 可选的，所述扩展的第一BGP-LS报文包含本地节点描述符Local Node Descriptors字段和不透明节点属性类型长度值Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述第一网络设备标识，所述Opaque Node Attribute TLV包含有所述第一网络设备的第一ACL信息。
[0443] 其中，所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为上报ACL信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第一LSA报文，所述第一LSA报文携带有所述第一网络设备的第一ACL信息。
[0444] 可选的，所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0445] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一网络设备的第一ACL信息。
[0446] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0447] 可选的，所述扩展的第一BGP-LS报文为Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述第一网络设备标识，所述Flow-Spec Descriptors字段包括所述第一网络设备的第一ACL信息。
[0448] 可选的，所述控制器还包括：
[0449] 第二解析模块，用于从所述扩展的第一BGP-LS报文中解析获得第二网络设备的第二网络设备标识和第二ACL信息。
[0450] 可选的，所述控制器还包括：
[0451] 第一发送模块，用于向所述第二网络设备发送扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文包含第一目标网络设备的设备标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述第一目标网络设备的ACL信息进行编辑。
[0452] 可选的，所述扩展的第二BGP-LS报文包含Local Node Descriptors字段和Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述第一目标网络设备的标识，所述Opaque Node Attribute TLV包含有所述第一目标网络设备的第一ACL编辑信息。
[0453] 其中，所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为通告ACL编辑信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第三LSA报文，所述第三LSA报文携带有所述第一目标网络设备的第一ACL编辑信息。
[0454] 可选的，所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述第一目标网络设备的标识，所述TLV字段携带所述第一目标网络设备的第一ACL编辑信息。
[0455] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述第一目标网络设备的第一ACL编辑信息。
[0456] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0457] 可选的，所述扩展的第二BGP-LS报文为Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述目标网络设备的标识，所述Flow-Spec Descriptors字段包括所述目标网络设备的第一ACL编辑信息。
[0458] 可选的，所述第二BGP-LS报文还包含第二ACL编辑信息，所述第二ACL编辑信息用于对所述第二目标网络设备的第二ACL信息进行编辑。
[0459] 可选的，所述控制器还包括：
[0460] 第二发送模块，用于利用控制通道向目标网络设备发送ACL配置报文，所述ACL配置报文中携带有第三ACL编辑信息，所述第三ACL编辑信息用于对所述目标网络设备的第一ACL信息进行编辑。
[0461] 图12所示的控制器是与图9所示的收集访问控制列表所对应的控制器，参考图9所示的方法的描述，这里不再赘述。
[0462] 图13为本发明实施例提供的收集访问列表的系统结构示意图，所述系统包括：
[0463] 一个图11所述的第二网络设备1301，一个图12所述的控制器1302，以及至少一个图10所述的第一网络设备1303；
[0464] 所述第二网络设备1301与所述控制器1302相连，所述至少一个第一网络设备1303与所述第二网络设备1301相连。
[0465] 图14为本发明实施例提供的收集访问控制列表的第一网络设备硬件结构示意图，所述第一网络设备包括：
[0466] 存储器1401、处理器1402和发送器1403，所述存储器1401和所述发送器1403分别与所述处理器相连。所述存储器1401用于存储程序代码。
[0467] 所述处理器1402用于读取所述存储器1401中存储的程序代码后，执行以下内容：
[0468] 获取所述第一网络设备的第一访问控制列表ACL信息；
[0469] 生成第一链路状态通告LSA报文，所述第一LSA报文包含第一网络设备标识和与所述第一网络设备标识相关联的所述第一ACL信息，所述第一网络设备标识用于标识所述第一网络设备；
[0470] 所述发送器1403，用于将所述第一LSA报文泛洪至所述第一网络设备所属的内部网关协议IGP域，所述第一LSA报文用于向所述IGP域中的其他网络设备宣告所述第一网络设备的第一ACL信息。
[0471] 可选的，所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0472] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一网络设备的第一ACL信息。
[0473] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0474] 可选的，所述第一网络设备还包括：
[0475] 接收器，用于接收属于所述IGP域的第二网络设备泛洪的第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的所述第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
[0476] 可选的，所述第二LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第二LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第二网络设备标识，所述TLV字段携带所述第二网络设备的第二ACL信息。
[0477] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第二网络设备的第二ACL信息。
[0478] 所述第二LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0479] 可选的，
[0480] 所述接收器，还用于接收属于所述IGP域的第二网络设备泛洪的第三LSA报文，所述第三LSA报文携带目标网络设备的标识和与所述目标网络设备的标识相关联的第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑；
[0481] 所述处理器1402，还用于当所述第一网络设备根据所述目标网络设备的标识确定所述第三LSA报文的目标网络设备为所述第一网络设备时，从所述第三LSA报文中解析获得所述第一ACL编辑信息；根据所述第一ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑。
[0482] 可选的，所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述目标网络设备的标识，所述TLV字段携带所述目标网络设备的第一ACL编辑信息。
[0483] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述目标网络设备的第一ACL编辑信息。
[0484] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0485] 可选的，
[0486] 所述接收器，还用于接收控制器通过控制通道下发的ACL配置报文；
[0487] 所述处理器1402，还用于从所述ACL配置报文中解析第二ACL编辑信息；根据所述第二ACL编辑信息对所述第一网络设备的第一ACL信息进行编辑。
[0488] 图14所示的第一网络设备是与图2所示的收集访问控制列表的方法所对应的网络设备，参考图2所示的方法的描述，这里不再赘述。
[0489] 图15为本发明实施例提供的收集访问控制列表的第二网络设备硬件结构示意图，所述第二网络设备包括：
[0490] 接收器1501，存储器1502，发送器1503，以及分别与所述接收器1501、所述存储器1502和所述发送器1503相连的处理器1504。
[0491] 所述接收器1501，用于接收第一网络设备泛洪的第一链路状态通告LSA报文，所述第一LSA报文包括第一网络设备标识以及与所述第一网络设备标识相关联的第一访问控制列表ACL信息，所述第一网络设备标识用于标识所述第一网络设备，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域。
[0492] 所述存储器1502，用于存储程序代码。
[0493] 所述处理器1504用于读取所述存储器1502中存储的程序代码后，根据所述第一LSA报文中的第一网络设备标识和第一ACL信息生成扩展的第一BGP-LS报文。
[0494] 所述发送器1503，用于向所述控制器发送扩展的第一边界网关协议链路状态BGP-LS报文，所述扩展的第一BGP-LS报文包含所述第一网络设备标识和所述第一ACL信息。
[0495] 可选的，所述扩展的第一BGP-LS报文包含本地节点描述符Local Node Descriptors字段和不透明节点属性类型长度值Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含所述第一网络设备标识，所述Opaque Node Attribute TLV字段包含所述第一网络设备的第一LSA报文。
[0496] 其中，所述Opaque Node Attribute TLV字段包含类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为上报ACL信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含所述第一LSA报文，所述第一LSA报文包含所述第一网络设备的第一ACL信息。
[0497] 可选的，所述扩展的第一BGP-LS报文为新增的Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述第一网络设备标识，所述Flow-Spec Descriptors字段包括所述第一网络设备的第一ACL信息。
[0498] 可选的，所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0499] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一ACL信息。
[0500] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0501] 可选的，
[0502] 所述处理器1504，还用于获取所述第二网络设备的第二ACL信息和第二网络设备标识；
[0503] 相应地，所述扩展的第一BGP-LS报文还包含所述第二网络设备标识和所述第二ACL信息。
[0504] 可选的，
[0505] 所述处理器1504，还用于生成第二LSA报文，所述第二LSA报文包含第二网络设备标识和与所述第二网络设备标识相关联的所述第二ACL信息，所述第二网络设备标识用于标识所述第二网络设备；
[0506] 所述发送器1503，还用于将所述第二LSA报文泛洪至所述第二网络设备所属的所述IGP域，所述第二LSA报文用于向所述IGP域中的其他网络设备宣告所述第二网络设备的第二ACL信息。
[0507] 可选的，所述第二LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第二LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第二网络设备标识，所述TLV字段携带所述第二网络设备的第二ACL信息。
[0508] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第二网络设备的第二ACL信息。
[0509] 所述第二LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0510] 可选的，
[0511] 所述接收器1501，还用于接收所述控制器发送的扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文携带目标网络设备的标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述目标网络设备的ACL信息进行编辑；
[0512] 所述发送器1503，还用于当所述第一网络设备根据所述目标网络设备的标识确定所述第一ACL编辑信息的目标网络设备不是所述第二网络设备时，将第三LSA报文泛洪至所述IGP域中的所述目标网络设备，所述第三LSA报文用于向所述IGP域中的目标网络设备宣告所述目标网络设备的第一ACL编辑信息。
[0513] 可选的，所述扩展的第二BGP-LS报文包含Local Node Descriptors字段和Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述目标网络设备的标识，所述Opaque Node Attribute TLV包含有所述目标网络设备的第一ACL编辑信息。
[0514] 其中，所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为通告ACL编辑信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第三LSA报文，所述第三LSA报文携带有所述目标网络设备的第一ACL编辑信息。
[0515] 可选的，所述扩展的第二BGP-LS报文包括Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述目标网络设备的标识，所述Flow-Spec Descriptors字段包括所述目标网络设备的第一ACL编辑信息。
[0516] 可选的，所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述目标网络设备的标识，所述TLV字段携带所述目标网络设备的第一ACL编辑信息。
[0517] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述目标网络设备的第一ACL编辑信息。
[0518] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0519] 图15所示的第二网络设备是与图4所示的收集访问控制列表的方法所对应的网络设备，参考图4所示的方法的描述，这里不再赘述。
[0520] 图16为本发明实施例提供的收集访问控制列表的控制器硬件结构示意图，所述控制器包括：
[0521] 接收器1601，存储器1602以及分别与所述接收器1601和所述存储器1602相连的处理器1603。
[0522] 所述接收器1601，用于接收第二网络设备发送的扩展的第一边界网关协议链路状态BGP-LS报文。
[0523] 所述存储器1602用于存储程序代码，所述处理器1603用于从所述存储器1602调用存储的程序代码执行以下内容：
[0524] 从所述扩展的第一BGP-LS报文中解析获得第一网络设备的第一网络设备标识和第一ACL信息，所述第一网络设备和所述第二网络设备属于同一个内部网关协议IGP域。
[0525] 可选的，所述扩展的第一BGP-LS报文包含本地节点描述符Local Node Descriptors字段和不透明节点属性类型长度值Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述第一网络设备标识，所述Opaque Node Attribute TLV包含有所述第一网络设备的第一ACL信息。
[0526] 其中，所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为上报ACL信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第一LSA报文，所述第一LSA报文携带有所述第一网络设备的第一ACL信息。
[0527] 可选的，所述第一LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第一LSA报文用于宣告网络设备的ACL信息的类型值，宣告网络设备标识字段携带所述第一网络设备标识，所述TLV字段携带所述第一网络设备的第一ACL信息。
[0528] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL信息，所述Length指示所述TLV字段的长度，所述Value为所述第一网络设备的第一ACL信息。
[0529] 所述第一LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0530] 可选的，所述扩展的第一BGP-LS报文为Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述第一网络设备标识，所述Flow-Spec Descriptors字段包括所述第一网络设备的第一ACL信息。
[0531] 可选的，
[0532] 所述处理器1603，还用于从所述扩展的第一BGP-LS报文中解析获得第二网络设备的第二网络设备标识和第二ACL信息。
[0533] 可选的，所述控制器还包括：
[0534] 发送器，用于向所述第二网络设备发送扩展的第二BGP-LS报文，所述扩展的第二BGP-LS报文包含第一目标网络设备的设备标识和第一ACL编辑信息，所述第一ACL编辑信息用于对所述第一目标网络设备的ACL信息进行编辑。
[0535] 可选的，所述扩展的第二BGP-LS报文包含Local Node Descriptors字段和Opaque Node Attribute TLV字段，所述Local Node Descriptors字段包含有所述第一目标网络设备的标识，所述Opaque Node Attribute TLV包含有所述第一目标网络设备的第一ACL编辑信息。
[0536] 其中，所述Opaque Node Attribute TLV字段包括类型Type、长度Length和值Value，所述Type指示所述Opaque Node Attribute TLV字段的类型为通告ACL编辑信息，所述Length指示所述Opaque Node Attribute TLV字段的长度，所述Value为Opaque node attributes，包含第三LSA报文，所述第三LSA报文携带有所述第一目标网络设备的第一ACL编辑信息。
[0537] 可选的，所述第三LSA报文包括不透明类型字段、宣告网络设备标识字段和TLV字段，所述不透明类型字段携带指示所述第三LSA报文用于宣告对目标网络设备的ACL信息进行编辑的ACL编辑信息的类型值，宣告网络设备标识字段携带所述第一目标网络设备的标识，所述TLV字段携带所述第一目标网络设备的第一ACL编辑信息。
[0538] 其中，所述TLV字段包括类型Type、长度Length和值Value，所述Type指示所述TLV字段的类型为携带ACL编辑信息，所述Length指示所述TLV字段的长度，所述Value为所述第一目标网络设备的第一ACL编辑信息。
[0539] 所述第三LSA报文为扩展的开放最短路径优先OSPF Opaque LSA报文，或者扩展的中间系统到中间系统ISIS Opaque LSA报文。
[0540] 可选的，所述扩展的第二BGP-LS报文为Flow-Spec NLRI，所述Flow-Spec NLRI包括Local Node Descriptors字段和Flow-Spec Descriptors字段，所述Local Node Descriptors字段包括所述目标网络设备的标识，所述Flow-Spec Descriptors字段包括所述目标网络设备的第一ACL编辑信息。
[0541] 可选的，所述第二BGP-LS报文还包含第二ACL编辑信息，所述第二ACL编辑信息用于对所述第二目标网络设备的第二ACL信息进行编辑。
[0542] 可选的，
[0543] 所述发送器，还用于利用控制通道向目标网络设备发送ACL配置报文，所述ACL配置报文中携带有第三ACL编辑信息，所述第三ACL编辑信息用于对所述目标网络设备的第一ACL信息进行编辑。
[0544] 图16所示的控制器是与图9所示的收集访问控制列表所对应的控制器，参考图9所示的方法的描述，这里不再赘述。
[0545] 图17为本发明实施例提供的收集访问列表的系统硬件结构示意图，所述系统包括：
[0546] 一个图15所述的第二网络设备1701，一个图16所述的控制器1702，以及至少一个图14所述的第一网络设备1703；
[0547] 所述第二网络设备1701与所述控制器1702相连，所述至少一个第一网络设备与所述第二网络设备1701相连。
[0548] 以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。