CN101540772A - 一种深度报文检测设备及其通信方法 - Google Patents

Abstract

本发明实施例提供一种深度报文检测设备及其通信方法。该深度报文检测设备，包括：第一接收单元，用于通过业务通信接口接收报文，所述报文包括通信报文和需要监控的业务报文；识别单元，用于在所述第一接收单元接收到的所述报文的目的IP地址为所述深度报文检测设备的IP地址时，确定所述报文为通信报文；构造单元，用于构造源IP地址为所述深度报文检测设备IP地址的通信报文；发送单元，用于通过所述业务通信接口发送所述构造单元构造的通信报文。本发明实施例实现了DPI设备与其他设备之间的通信，同时省去了现有技术中DPI设备专门设置的管理口，节约了接口资源。

Description

一种深度报文检测设备及其通信方法

技术领域

本发明涉及网络技术领域，尤其涉及一种深度报文检测设备及其通信方法。

背景技术

随着互联网技术的不断发展，为了满足用户对网络安全性、可靠性和业务服务质量的要求，DPI(Deep Packet Inspection，深度报文检测)技术，不仅能够检测普通报文所检测的源地址、目的地址、源端口、目的端口以及业务类型等，还能够感知网络应用，实现对网络应用的检测和控制，进一步为用户提供精细化的内容服务。

DPI设备包括前台***和后台***，前台***负责完成对业务报文的监控和被监控业务报文的传输，以及对被监控业务报文的流量分析和流量控制等；后台***部署在服务器上，提供***的策略配置、报表统计等功能。为了设备的管理和维护，例如便于用户终端对需要监控的业务报文的状态等查询，DPI设备和用户终端之间需要实现相互通信，此外，同一集群的不同DPI设备之间也需要互相通信。

DPI设备在网络中的部署方式主要有两种：直路部署和旁路部署。直路部署方式，就是将DPI设备串接在网络中，成为网络的一个节点，所有的数据，都必须经过DPI设备检测后才进行转发；旁路部署方式，就是采用并联的方式将DPI设备旁挂到现有网络上，由路由器或物理分光设备将所有流量分光到DPI检测设备进行检测。在直路部署方式下，如何在满足对网络不可见的要求下实现DPI设备的通信是一个技术难点。其中，网络不可见即DPI设备对网络中的普通设备来说是透明的，普通设备不会感知到DPI设备的存在。

现有技术中，在DPI设备设置有两种接口：业务口和管理口。业务口串接在网络中，需要监控的业务报文通过业务口进入前台***，经过分析处理后由另一业务口转发；管理口通过搭建与外部互联的网络，如私网或隧道，与用户终端或其它DPI设备等连接，管理口用于接收和发送DPI设备与其它设备之间交互的通信报文，以实现DPI设备的通信。

由于DPI设备主要设置于核心网络中，而在核心网络中接口数目有限，接口资源十分宝贵。因此，在实现本发明的过程中，发明人发现现有技术至少存在以下问题：通过管理口实现DPI设备的通信，造成了接口资源的浪费。

发明内容

本发明实施例提供了一种深度报文检测设备及其通信方法，能够节约接口资源。

为了解决上述技术问题，本发明实施例的技术方案如下：

本发明实施例提供了一种深度报文检测设备，包括：

第一接收单元，用于通过业务通信接口接收报文，所述报文包括通信报文和需要监控的业务报文；

识别单元，用于在所述第一接收单元接收到的所述报文的目的IP地址为所述深度报文检测设备的IP地址时，确定所述报文为通信报文；

构造单元，用于构造源IP地址为所述深度报文检测设备IP地址的通信报文；

发送单元，用于通过所述业务通信接口发送所述构造单元构造的通信报文。

本发明实施例还提供了一种深度报文检测设备的通信方法，包括：

通过业务通信接口接收和发送报文，所述报文包括通信报文和需要监控的业务报文；

如果接收到的所述报文的目的IP地址为所述深度报文检测设备的IP地址，则确定所述报文为通信报文；

构造源IP地址为所述深度报文检测设备IP地址的通信报文以响应接收到的所述通信报文，并通过所述业务通信接口发送。

本发明实施例通过采用业务通信接口来共同接收通信报文和需要监控的业务报文，并通过识别单元实现通信报文和需要监控的业务报文的识别，进而实现了对不同报文的处理，同时，克服了现有技术中，通过设置专门的管理口实现通信报文的收发所造成的接口资源浪费问题。

本发明实施例通过设置业务通信接口，省去了现有技术中的管理口，节约了接口资源。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例一种DPI设备的结构框图；

图2是本发明实施例一种DPI设备与路由器的连接示意图；

图3是本发明实施例另一种DPI设备的结构框图；

图4是本发明实施例另一种DPI设备的结构框图；

图5是本发明实施例一种DPI设备的通信方法流程图；

图6是本发明实施例一种以太网环境下DPI设备通信的方法流程图；

图7是本发明实施例一种POS环境下DPI设备通信的方法流程图。

具体实施方式

为了使本领域技术人员能进一步了解本发明的特征及技术内容，请参阅以下有关本发明的详细说明与附图，附图仅提供参考与说明，并非用来限制本发明。

下面结合附图和实施例，对本发明的技术方案进行描述。

参照图1，为本发明实施例一种DPI设备的结构框图。

该DPI设备设置有业务通信接口来代替现有技术中的业务口和管理口，使需要监控的业务报文和通信报文都经过该业务通信接口进行接收和发送，通信报文用于DPI设备与外部设备的通信。该DPI设备中包括第一接收单元101、识别单元102、构造单元103和发送单元104。

其中，第一接收单元101，用于通过业务通信接口接收报文，所述报文包括通信报文和需要监控的业务报文；识别单元102，用于在所述第一接收单元101接收到的所述报文的目的IP地址为所述DPI设备的IP地址时，确定所述报文为通信报文；构造单元103，用于构造源IP地址为所述深度报文检测设备IP地址的通信报文；发送单元104，用于通过业务通信接口发送所述构造单元103构造的通信报文。各单元的具体实现通过以下具体实施例进行说明。

如图2所示，当该DPI设备两侧与路由器D和路由器E相连时，报文由路由器D的接口DO输出，经业务通信接口进入DPI设备，经过报文处理后由业务通信接口输出，然后由接口EO输入路由器E，进行后续转发。

在第一接收单元101接收到报文后，由识别单元102对该报文进行识别，具体的，根据报文的目的IP地址进行识别，如果目的IP地址为所述DPI设备的IP地址，则确定该报文为通信报文，然后，再对该通信报文进行通信处理，该处理过程可以与现有技术中的相应过程相同。在对该接收到的通信报文进行响应时可以由构造单元103来构造源IP地址为DPI设备IP地址的通信报文，并由发送单元104将该构造的通信报文由业务通信接口发出，以进行响应。对于第一接收单元101接收到的报文和发送单元104发送的报文可以是通信报文也可以是需要监控的业务报文，此处并非限定对该两种报文同时接收或同时发送。

以上为DPI设备被动接收其它设备通信报文的情况，对于DPI设备主动向其它设备发送通信报文的情况，也是由发送单元104通过业务通信接口发送，该情况下的通信报文也可以由构造单元103来构造，可以与现有技术类似，此处不作限定。构造单元103构造通信报文的过程也可以与现有技术中的相应过程相同，其中，该构造单元103所构造的所有通信报文的源IP地址为DPI设备的IP地址以实现通信。

在本发明实施例中，通过采用业务通信接口来共同接收通信报文和需要监控的业务报文，并通过识别单元102实现通信报文和需要监控的业务报文的识别，实现了现有技术中对不同报文的处理，而且省去了现有技术中的管理口，节约了接口资源。

在本发明的另一实施例中，该设备还可以包括配置单元，用于配置所述DPI设备的IP地址。

在上述实施例中，若路由器D和路由器E的接口DO与EO属于同一网段，该情况下，配置单元所配置的DPI设备的IP地址为该同一网段的IP地址。该配置单元可以为该DPI设备配置一个、两个或多个IP地址，这些IP地址可以属于不同的网段，分别与传输报文的不同路由器所属的网段相对应，以便于报文经过与IP地址相同网段上的路由器转发，以缩短传输路径，这些不同的路由器分别与DPI设备相连。该配置单元不需要在每次收发报文时进行IP地址的配置，一般该配置好的IP地址保持不变。

在本发明的另一实施例中，该识别单元102，还用于在接收到的报文的目的IP地址不是所述DPI设备的IP地址时，确定所述报文为需要监控的业务报文。然后，由相关处理单元对该需要监控的业务报文进行测量等处理后转发。

参照图3，为本发明实施例另一种DPI设备的结构框图。

在本实施例中，DPI设备除了包括上述实施例中的第一接收单元101、识别单元102、构造单元103、发送单元104和配置单元105之外，还包括第二接收单元301和响应单元302。

其中，第二接收单元301，用于在所述第一接收单元101接收报文之前，在以太网环境下，通过所述业务通信接口接收与DPI设备相连的路由器的ARP(An Ethernet Address Resolution Protocol，以太网地址转换协议)请求；响应单元302，用于通过响应消息响应所述ARP请求，所述响应消息中包含有所述DPI设备的MAC地址。

在以太网环境下，当报文由路由器传输到该DPI设备时，如果该路由器不知道该DPI设备的MAC地址，则路由器将广播一个ARP请求，第二接收单元301接收到该ARP请求后，由响应单元302对该请求做出响应，通过响应消息告知路由器该DPI设备的MAC地址，该路由器接收到该响应消息后，即获知了DPI设备的MAC地址，进而可以将报文传输至DPI设备，然后再由DPI设备的各单元对报文进行后续处理。

路由器在接收到响应消息后一般会将该DPI设备的MAC地址信息进行存储，在后续的报文转发中就不会再发出ARP请求。

在本实施例中，通过对路由器的响应，使路由器到该DPI设备的传输路径得以建立，保证了报文的成功转发。

以上实施例是在以太网环境下进行的，在POS(Packet Over SONET/SDH，同步光纤网/同步数字上的分组)环境下则通过下述实施例实现。

POS技术是一种应用在城域网及广域网中的技术，它具有支持分组数据，如IP分组的优点。POS使用SONET(Synchronous Optical Network同步光纤网)作为物理层协议，链路层协议是PPP(Point to Point Protocol，点对点协议)协议或者HDLC(High-Level Data Link Control，高级数据链路控制)协议等，IP分组业务则运行在网络层。POS环境即被监控链路的物理层是POS。

参照图4，为本发明实施例另一种DPI设备的结构框图。

在本实施例中，DPI设备除了包括上述实施例中的第一接收单元101、识别单元102、构造单元103、发送单元104和配置单元105之外，还包括解析单元401。

该解析单元401，用于在POS环境下，对所述第一接收单元101接收的所述报文进行解析；

所述识别单元102，还用于根据解析出的报文的目的IP地址为所述DPI设备的IP地址，确定所述报文为通信报文。

在本实施例中若POS环境下采用的链路层协议为PPP协议，则第一接收单元101接收的报文是PPP报文，若链路层协议为HDLC协议，第一接收单元101接收的报文是HDLC报文。

该解析单元401对PPP报文或HDLC报文等进行解析，解析出的报文为通信报文或者需要监控的业务报文，该解析过程为公知技术，此处不再赘述。然后再由识别单元102对解析出的报文进行识别。

本发明实施例通过解析单元401实现了在POS环境下对PPP报文或HDLC报文等的解析，使得DPI设备可以对解析后的通信报文进行正确识别和通信处理，避免了由于该DPI设备对PPP报文或HDLC报文无法识别而丢弃报文所带来的通信故障。

上述各实施例中，DPI设备所接收或发送的通信报文可以由需要监控的业务报文的转发通道转发。

参照图5，为本发明实施例一种DPI设备的通信方法流程图。

该方法可以包括：

步骤501，通过业务通信接口接收和发送报文，所述报文包括通信报文和需要监控的业务报文；

本步骤中接收的报文和发送的报文可以是通信报文，也可以是需要监控的业务报文，此处并非限定对两种报文的同时接收或同时发送。

步骤502，如果接收到的报文的目的IP地址为所述DPI设备的IP地址，则确定所述报文为通信报文；

步骤503，构造源IP地址为所述DPI设备IP地址的通信报文以响应接收到的所述通信报文，并通过所述业务通信接口发送。

在本实施例中，如果是直接由DPI设备发送的通信报文，可以直接执行步骤501，由业务通信接口发送通信报文，至于该通信报文的构造可以与现有技术相同，只是该发送出DPI设备的通信报文的源IP地址为之前配置的DPI设备的IP地址，此技术为公知，此处不再赘述。

本发明实施例实现了从同一类型接口收发两种报文，即通信报文和需要监控的业务报文，进而通过对报文目的IP地址的识别，以便于分别对不同报文进行相应的后续处理，节省了接口资源。

在本发明的另一实施例中，该方法还可以包括：配置所述DPI设备的IP地址。此配置过程请参照前述装置实施例，此处不再赘述。

该实施例方法还可以包括：如果接收到的报文的目的IP地址不是所述DPI设备的IP地址，则确定所述报文为需要监控的业务报文。然后将该报文按照需要监控的业务报文进行处理和转发。

以下分别对以太网环境下和POS环境下，DPI设备接收报文的情况进行说明。

参照图6，为本发明实施例一种以太网环境下DPI设备通信的方法流程图。

本发明实施例是在以太网环境下，当转发报文的路由器知道该DPI设备的IP地址，但不知道该DPI设备的MAC地址时进行的流程，该方法在实施之前可以先配置该DPI设备的IP地址，该方法包括：

步骤601，通过所述业务通信接口接收路由器的以太网地址转换协议ARP请求；

由于该路由器不知道该DPI设备的MAC地址时，所以需要广播ARP请求，以获取该DPI设备的MAC地址，进而实现传输。

步骤602，通过响应消息响应所述ARP请求，所述响应消息中包含有所述DPI设备的MAC地址；

路由器在接收到该响应消息后，即可获知该DPI设备的MAC地址，继而将报文传输至该DPI设备。

步骤603，通过业务通信接口接收报文，所述报文包括通信报文和需要监控的业务报文；

步骤604，如果接收到的报文的目的IP地址为所述DPI设备的IP地址，则确定所述报文为通信报文；

步骤605，对所述通信报文进行处理；

该处理过程可以与现有技术中相同，此处不再赘述。

步骤606，构造源IP地址为所述DPI设备IP地址的通信报文以响应接收到的所述通信报文，并通过所述业务通信接口发送。

本方法实施例可以在以太网环境下，通过业务通信接口对ARP请求的响应，来实现报文从业务通信接口的的接收和转发，省去了现有技术中的管理口。

参照图7，为本发明实施例一种POS环境下DPI设备通信的方法流程图。

本发明实施例是在POS环境下，当路由器传输到DPI设备的报文为PPP报文时进行的流程，该方法包括：

步骤701，通过业务通信接口接收报文；在本实施例中，接收到的报文以PPP报文为例。

步骤702，对所述PPP报文进行解析，解析出的报文可能是通信报文也可能是需要监控的业务报文；

解析出该PPP报文便于进一步识别解析出的报文是通信报文还是需要监控的业务报文。

步骤703，如果解析出的报文的目的IP地址为所述DPI设备的IP地址时，确定所述报文为通信报文；

步骤704，对所述通信报文进行处理；

该处理过程可以与现有技术中相同，此处不再赘述。

步骤705，构造源IP地址为所述DPI设备IP地址的通信报文以响应接收到的所述通信报文，并通过所述业务通信接口发送。

本方法实施例实现了在POS环境下对PPP报文的解析，进而可以对解析后的报文识别及做进一步处理，避免了由于该DPI设备对PPP报文无法识别而丢弃报文所带来的通信故障。

对于通过业务通信接口接收的报文为HDLC报文的情况，与本实施例类似，具体请参见上述实施例，此处不再赘述。

以上为DPI设备接收报文的实施例，当DPI设备主动发送通信报文与其它设备进行通信时，也需要先配置该DPI设备的IP地址，然后，构造通信报文，该通信报文的源IP地址为该DPI设备的IP地址，该构造通信报文的过程可以与现有技术相同，最后，通过业务通信接口发送该构造的通信报文。发送出的通信报文可以由相应的路由器进行转发，最终到达目的地。

进一步的，如果其它设备在接收到该通信报文后，如果需要进行响应，则发送出响应的通信报文，该响应的通信报文的目的IP地址即为该DPI设备的IP地址，该响应的报文发出后，到达该DPI设备时，通过业务通信接口接收该通信报文，之后的处理过程与前述实施例相同，此处不再赘述。上述各实施例中，DPI设备所接收或发送的通信报文可以由需要监控的业务报文的转发通道转发。

在DPI设备主动发送通信报文与其它设备进行通信时，仍然采用业务通信接口来发送该通信报文，同样省去了现有技术中的管理口，节约了接口资源。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，所述方法包括以下步骤：

通过业务通信接口接收和发送报文，所述报文包括通信报文和需要监控的业务报文；

如果接收到的所述报文的目的IP地址为所述DPI设备的IP地址，则确定所述报文为通信报文；

构造源IP地址为所述DPI设备IP地址的通信报文以响应接收到的所述通信报文，并通过所述业务通信接口发送。

所述的存储介质，如：ROM/RAM、磁碟、光盘等。

以上所述的本发明实施方式，并不构成对本发明保护范围的限定。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明的权利要求保护范围之内。

Claims (9)

1、一种深度报文检测设备，其特征在于，包括：

第一接收单元，用于通过业务通信接口接收报文，所述报文包括通信报文和需要监控的业务报文；

识别单元，用于在所述第一接收单元接收到的所述报文的目的IP地址为所述深度报文检测设备的IP地址时，确定所述报文为通信报文；

构造单元，用于构造源IP地址为所述深度报文检测设备IP地址的通信报文；

发送单元，用于通过所述业务通信接口发送所述构造单元构造的通信报文。

2、根据权利要求1所述的设备，其特征在于，所述深度报文检测设备的IP地址数目为两个或多个，该IP地址分别与和所述深度报文检测设备相连的不同路由器所属的网段相对应。

3、根据权利要求1所述的设备，其特征在于，

所述识别单元，还用于在所述第一接收单元接收到的所述报文的目的IP地址不是所述深度报文检测设备的IP地址时，确定所述报文为需要监控的业务报文。

4、根据权利要求1至3中任意一项所述的设备，其特征在于，还包括：

第二接收单元，用于在所述第一接收单元接收报文之前，在以太网环境下，通过所述业务通信接口接收与所述深度报文检测设备相连的路由器的以太网地址转换协议请求；

响应单元，用于通过响应消息响应所述以太网地址转换协议请求，所述响应消息中包含有所述深度报文检测设备的MAC地址。

5、根据权利要求1至3中任意一项所述的设备，其特征在于，还包括：

解析单元，用于在同步光纤网/同步数字系列上的分组环境下，对所述第一接收单元接收的所述报文进行解析；

所述识别单元，还用于根据所述解析单元解析出的报文的目的IP地址为所述深度报文检测设备的IP地址，确定所述报文为通信报文。

6、一种深度报文检测设备的通信方法，其特征在于，包括：

通过业务通信接口接收和发送报文，所述报文包括通信报文和需要监控的业务报文；

如果接收到的所述报文的目的IP地址为所述深度报文检测设备的IP地址，则确定所述报文为通信报文；

构造源IP地址为所述深度报文检测设备IP地址的通信报文以响应接收到的所述通信报文，并通过所述业务通信接口发送。

7、根据权利要求6所述的方法，其特征在于，如果接收到的所述报文的目的IP地址不是所述深度报文检测设备的IP地址，则确定所述报文为需要监控的业务报文。

8、根据权利要求6或7所述的方法，其特征在于，在所述通过业务通信接口接收报文之前还包括：

在以太网环境下，通过所述业务通信接口接收与所述深度报文检测设备相连的路由器的以太网地址转换协议请求；

通过响应消息响应所述以太网地址转换协议请求，所述响应消息中包含有所述深度报文检测设备的MAC地址。

9、根据权利要求6或7所述的方法，其特征在于，还包括：

在同步光纤网/同步数字系列上的分组环境下，对接收的所述报文进行解析，根据所述解析出的报文的目的IP地址为所述深度报文检测设备的IP地址，确定所述报文为通信报文。

Images