CN102546363A - 一种报文处理方法、装置及设备 - Google Patents

Abstract

本发明适用于网络通信领域，提供了一种报文处理方法、装置及设备，所述方法包括下述步骤：当接收到输入报文时，提取所述输入报文的五元组信息；将所述输入报文的五元组信息与存储的会话表的会话表项进行匹配，并根据匹配结果更新所述会话表，所述会话表用于记录报文的五元组信息和所述会话表项的状态；根据与所述输入报文匹配的会话表项的状态，对所述输入报文进行相应处理。本发明通过将输入报文的五元组信息与包含报文五元组信息的会话表进行匹配，实现对应用协议的识别，并根据相应会话表项的状态对报文进行处理，避免了对每个应用协议内容特征码的遍历检测，节省了***资源。

Description

一种报文处理方法、装置及设备

技术领域

本发明属于网络通信领域，尤其涉及一种报文处理方法、装置及设备。

背景技术

在网络通信过程中对输入报文进行处理，需要识别该报文所采用的应用协议。随着互联网技术的高速发展，那些协议标识、端口号等特征信息位于报文固定位置的传统标准协议，例如网络层IP协议、传输层TCP/UDP协议以及应用层具有固定端口的SMTP、DNS协议，等等，在整个网络流量中所占据的比例越来越低，而新型的应用协议的种类却越来越多。相比于传统标准协议，新型的应用协议具有协议复杂、端口不固定等特点，例如，传统TCP协议的80端口一般是指HTTP协议，但目前许多应用协议也将80端口作为其通信端口；此外，目前许多HTTP站点也并非一定得通过80端口才能访问，以上问题均导致了利用传统方式进行应用协议识别的难度增大，识别的准确性降低。

提高应用协议识别准确性的关键方法就是对输入到网络通信设备的每个报文进行应用协议的内容特征码检测。在现有的协议识别技术中，当面对新型的应用协议时，由于其内容特征码位于报文中的位置以及所占的字节空间都会有所不同，因此需要对输入的每个报文都进行全报文字节空间的遍历检测，其识别过程占用了较大的***资源，很大程度地降低了网络通信设备对输入报文的处理性能，严重情况下甚至引起设备的状态异常，直到***瘫痪。

发明内容

本发明实施例的目的在于提供一种报文处理方法，旨在解决现有技术中在报文处理过程中，应用协议识别方法***资源占用率大，导致报文处理性能低的问题。

本发明实施例是这样实现的，一种报文处理方法，所述方法包括下述步骤：

当接收到输入报文时，提取所述输入报文的五元组信息；

将所述输入报文的五元组信息与存储的会话表的会话表项进行匹配，并根据匹配结果更新所述会话表，所述会话表用于记录报文的五元组信息和所述会话表项的状态；

根据与所述输入报文匹配的会话表项的状态，对所述输入报文进行相应处理。

本发明实施例的另一目的在于提供一种报文处理装置，所述装置包括：

会话表单元，用于存储会话表，所述会话表用于记录报文的五元组信息和会话表项的状态；

报文信息提取单元，用于当接收到输入报文时，提取输入报文的五元组信息；

匹配单元，用于将所述输入报文的五元组信息与存储的会话表进行匹配；

会话表更新单元，用于根据匹配的结果更新所述会话表的会话表项；

报文处理单元，用于根据匹配的所述会话表项的状态，对所述输入报文进行相应处理。

本发明实施例的另一目的在于提供一种包含上述报文处理装置的设备。

本发明实施例通过将输入报文的五元组信息与包含报文五元组信息的会话表进行匹配，实现对应用协议的识别，并根据相应会话表项的状态对报文进行处理，避免了对每个应用协议内容特征码的遍历检测，节省了***资源。

附图说明

图1是本发明实施例提供的报文处理方法的实现流程图；

图2是本发明实施例提供的会话表更新的实现流程图；

图3是本发明实施例提供的报文处理装置的结构图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明实施例通过将输入报文的五元组信息与包含报文五元组信息的会话表进行匹配，实现对应用协议的识别，并根据相应会话表项的状态对报文进行处理，避免了对每个应用协议内容特征码的遍历检测，节省了***资源。

图1示出了本发明实施例提供的报文处理方法的实现流程，详述如下：

在步骤S101中，当接收到输入报文时，提取所述输入报文的五元组信息，该五元组信息包括报文的源IP地址、宿IP地址、协议类型、源端口和宿端口。

在步骤S102中，将所述输入报文的五元组信息与存储的会话表的会话表项进行匹配，并根据匹配结果更新所述会话表，所述会话表用于记录报文的五元组信息和所述会话表项的状态。

在本发明实施例中，会话表为具有上亿条会话表项的集合空间，其中，会话表项的条数由不同网络通信设备的存储能力决定，在此不作限定。在上述会话表中，每一条会话表项均记录了一种应用协议类型的报文的五元组信息，且在其生命周期中存在四种状态：即初始状态、转发状态、丢弃状态和拆除状态，上述四种状态在一定条件下可以从一种状态迁移到另一种状态。在步骤S102中，根据匹配结果更新所述会话表的具体步骤如图2所示，在此不再赘述。

在步骤S103中，根据匹配的所述会话表项的状态，对输入报文进行相应处理。

在本发明实施例中，当一条会话表项处于转发状态时，则对匹配该条会话表项的所有报文进行转发输出；当一条会话表项处于丢弃状态时，则丢弃匹配该条会话表项的所有报文。

在本发明实施例中，根据匹配的会话表项的状态，对输入报文进行相应处理，在不需要对协议内容特征码进行检测的前提下，完成对输入报文的处理，提高了协议识别的准确性及报文处理的效率。

图2示出了本发明实施例提供的会话表更新的具体实现流程，详述如下：

在步骤S201中，判断输入报文的五元组信息与会话表是否匹配成功，若成功，则不对会话表进行更新，若失败，则执行步骤S202。

在步骤S202中，在会话表中新建一条与输入报文的五元组信息匹配的会话表项，并设置所述会话表项的状态为初始状态。

在本发明实施例中，当输入报文在会话表中查找不到与之匹配的会话表项时，则通过提取的该输入报文的五元组信息，在会话表中新建一条与该输入报文的五元组信息匹配的会话表项，并设置其处于初始状态。

在本发明实施例中，当一条会话表项处于初始状态，则表示该会话表项为新建的会话表项，此时会话表将接收到的输入报文进行缓存。

在步骤S203中，对与新建的会话表项匹配的前预设个输入报文进行应用协议识别。

在本发明实施例中，通过对与新建会话表项匹配的前预设个输入报文进行内容特征码检测，并通过对***中配置的应用协议内容特征进行比对，识别出上述输入报文所采用的应用协议。

在本发明实施例中，进行应用协议识别的输入报文数量通过预设数值N确定，其中，数值N为可配的，根据不同应用协议的识别复杂度确定，若当前需要识别的应用协议只需要通过第一个或者前几个少量的报文即能准确地进行识别，则数值N的配置值较小；反之，若当前需要识别的应用协议需要通过前几十个或者更多的报文才能够准确地进行识别，则数值N的配置值较大。作为本发明的一个实现示例，可以将N设定为5。

作为本发明的一个实施例，当通过当前配置的N值无法对输入报文进行协议识别时，可以通过更新数值N，将数值N配置为较大的数值，再次进行识别，实现应用协议识别的灵活性和可扩展性。

在步骤S204中，根据应用协议识别结果，将相应的报文处理方式反馈给会话表。

在本发明实施例中，根据步骤S203中对输入报文所采用的应用协议进行识别的结果，找出该应用协议报文所对应的处理方式，并反馈给会话表。

在步骤S205中，会话表根据反馈的报文处理方式，对相应的会话表项进行状态迁移。

此时，如果当前输入报文的处理方式为转发，则会话表在收到反馈信息后，将相应会话表项的状态由初始状态迁移到转发状态；如果当前输入报文的处理方式为丢弃，则会话表在收到反馈信息后，将相应会话表项的状态由初始状态迁移到丢弃状态。根据会话表中会话表项的状态，对匹配该条会话表项的所有报文进行相应的处理。

作为本发明的一个实施例，会话表项的状态迁移还可以通过接收迁移指令完成。通过向会话表反馈状态迁移信息，令会话表中的会话表项由转发状态迁移到丢弃状态，或者由丢弃状态迁移到转发状态。例如，当一条会话表项由丢弃状态迁移至转发状态时，则与该会话表项匹配的所有后续报文将不再进行丢弃处理，而转为转发输出；反之，当一条会话表项由转发状态迁移至丢弃状态时，则与该会话表项匹配的所有后续报文将被丢弃。

在本发明实施例中，通过只检测一条应用流中的前若干条报文，即可实现对未匹配输入报文的协议识别，避免了对应用流中每条报文均要进行内容特征码检测的繁琐步骤，很大程度地降低了协议识别的工作量，提高了报文处理效率。

作为本发明的一个实施例，当一条会话表项上匹配了拆除链接的报文时，则设置该会话表项的状态为拆除状态，在会话表中对该条会话表项进行拆除。例如，关于TCP协议的会话表项收到了TCP协议中标志位为FIN或者RST的拆除链接报文，则表示这条TCP链接的客户端或者服务端之一发起了拆除该条TCP链接的请求，此时该会话表项的状态由其他状态迁移到拆除状态，该条会话表项由会话表中拆除。

作为本发明的又一个实施例，通过配置会话表项的老化时间，当一条会话表项在该老化时间内没有任何报文与之匹配时，则在会话表中对该条会话表项进行拆除。在本发明实施例中，当一条会话表项遇到与之匹配的输入报文时，即开始对该会话表项进行计时，在设定的老化时间内，一旦该会话表项再次遇到与之匹配的输入报文时，计时结果清零且重新开始计时；若当计时结果到达设定的老化时间时仍未有输入报文与该会话表项匹配，则设置该会话表项的状态为拆除状态，在会话表中对该条会话表项进行拆除。

作为本发明的又一个实施例，当网络通信设备存储能力有限，会话表存储空间不足时，还可以通过筛选，将其中老化时间将至或者在会话表项生存期间匹配报文数量较少的会话表项进行拆除，以实现***资源空间的有效利用，优化处理性能。

在本发明实施例中，通过配置会话表项的老化时间，对在该老化时间内未有输入报文与之匹配的会话表项进行拆除，动态地维护会话表，避免大量无效会话表项的存在，实现了对***资源的有效利用。

图3示出了本发明实施例提供的报文处理装置的结构，为了便于说明，仅示出了与本实施例相关的部分。

参照图3，该报文处理装置可以应用于计算机、掌上电脑、手机等网络通信设备，可以是运行于这些网络通信设备的软件单元、硬件单元或者软硬件结合单元，其中：

会话表单元31，存储生成的包含报文五元组信息的会话表。

报文信息提取单元32，当接收到输入报文时，提取输入报文的所述五元组信息。

匹配单元33，将报文信息提取单元32中提取出的输入报文的五元组信息与会话表单元31中存储的会话表进行匹配。

会话表更新单元34，根据匹配的结果更新所述会话表的会话表项。

报文处理单元35，根据匹配的会话表项的状态，对输入报文进行相应处理，包括转发报文、丢弃报文。

其中，会话表更新单元34包括：

匹配结果判断单元341，判断所述输入报文的五元组信息与存储的所述会话表是否匹配。

会话表项建立单元342，当会话表单元31中没有会话表项与输入报文匹配时，根据输入报文的五元组信息，建立一条与输入报文匹配的会话表项。

在本发明实施例中，新建立的会话表项的状态为初始状态，此时，该报文处理装置还包括：

数值配置单元36，预设进行应用协议识别的所述输入报文数量。

协议识别单元37，对与所述会话表项匹配的前预设个所述输入报文进行应用协议识别。

处理方式反馈单元38，根据所述应用协议识别的结果，将相应的报文处理方式反馈给会话表单元31。

状态迁移单元39，根据反馈的报文处理方式，对相应的会话表项进行状态迁移。

此外，会话表更新单元34还包括：

老化时间配置单元343，通过配置会话表项的老化时间，当一条会话表项在该老化时间内没有任何报文与之匹配时，则在会话表单元31中对该条会话表项进行拆除。

会话表项拆除单元344，用于拆除处理拆除状态的会话表项。

在本发明实施例中，通过动态的包含报文五元组信息的会话表，根据其中会话表项的状态，对与之匹配的输入报文进行相应处理，同时，在未有与输入报文匹配的会话表项存在时，只需对该应用流的若干输入报文进行内容特征码检测，即可实现协议识别，降低了协议识别的处理流量，提高了协议识别的准确性，提升了报文处理的性能，并节省了***资源。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种报文处理方法，其特征在于，所述方法包括下述步骤：

当接收到输入报文时，提取所述输入报文的五元组信息；

将所述输入报文的五元组信息与存储的会话表的会话表项进行匹配，并根据匹配结果更新所述会话表，所述会话表用于记录报文的五元组信息和所述会话表项的状态；

根据与所述输入报文匹配的会话表项的状态，对所述输入报文进行相应处理。

2.如权利要求1所述的方法，其特征在于，所述会话表项的状态包括转发状态、丢弃状态、初始状态和拆除状态。

3.如权利要求1所述的方法，其特征在于，所述根据匹配结果更新所述会话表的步骤具体为：

当所述输入报文的五元组信息与所述会话表匹配成功时，不对所述会话表进行更新；

当所述输入报文的五元组信息与所述会话表匹配失败时，在所述会话表中新建一条与所述输入报文的五元组信息匹配的会话表项，并设置所述会话表项的状态为初始状态。

4.如权利要求1或2所述的方法，其特征在于，所述根据与所述输入报文匹配的会话表项的状态，对所述输入报文进行相应处理的步骤具体为：

当与所述输入报文匹配的会话表项的状态为转发状态时，转发所述输入报文；

当与所述输入报文匹配的会话表项的状态为丢弃状态时，丢弃所述输入报文。

5.如权利要求1或2所述的方法，其特征在于，所述根据与所述输入报文匹配的会话表项的状态，对与所述输入报文进行相应处理的步骤具体为：

当与所述输入报文匹配的会话表项的状态为初始状态时，对与所述会话表项匹配的前预设个所述输入报文进行应用协议识别；

根据所述应用协议识别的结果，将相应的报文处理方式反馈给所述会话表项；

根据所述报文处理方式，对所述会话表项进行状态迁移。

6.如权利要求1所述的方法，其特征在于，所述方法还包括下述步骤：

配置所述会话表项的老化时间，当在所述老化时间内没有所述输入报文与所述会话表项匹配时，设置所述会话表项的状态为拆除状态，拆除所述会话表项。

7.一种报文处理装置，其特征在于，所述装置包括：

会话表单元，用于存储会话表，所述会话表用于记录报文的五元组信息和会话表项的状态；

报文信息提取单元，用于当接收到输入报文时，提取输入报文的五元组信息；

匹配单元，用于将所述输入报文的五元组信息与存储的会话表进行匹配；

会话表更新单元，用于根据匹配的结果更新所述会话表的会话表项；

报文处理单元，用于根据匹配的所述会话表项的状态，对所述输入报文进行相应处理。

8.如权利要求7所述的装置，其特征在于，所述会话表更新单元包括：

匹配结果判断单元，用于判断所述输入报文的五元组信息与存储的所述会话表是否匹配；

会话表项建立单元，用于在所述会话表中新建一条与所述输入报文匹配的会话表项；

以及

老化时间配置单元，用于配置所述会话表项的老化时间；

会话表项拆除单元，用于拆除所述会话表项。

9.如权利要求7所述的装置，其特征在于，所述装置还包括：

数值配置单元，用于预设进行应用协议识别的所述输入报文数量；

协议识别单元，用于对所述输入报文进行应用协议识别；

处理方式反馈单元，用于根据所述应用协议识别的结果，将相应的报文处理方式反馈给所述会话表项；

状态迁移单元，用于根据所述报文处理方式，对所述会话表项进行状态迁移。

10.一种包含如权利要求7至9任一项所述的报文处理装置的设备。

Images