CN108809795A - 一种局域网环境中透明分流方法和装置 - Google Patents

Abstract

本发明公开一种局域网环境中透明分流方法和装置。本方法为：将分流装置部署于局域网的网关与局域网之间；分流装置根据配置的局域网信息计算得出局域网内所有可用的局域网用户IP地址，然后主动发送一ARP地址查询报文；然后根据ARP查询响应报文中IP地址与MAC地址的映射关系，构建IP地址与MAC地址的映射关系表；然后依据映射关系表生成二层地址转换规则、依据分流地址名单生成三层流量分流规则、依据分流协议类型生成二层流量提取规则；局域网内设备的互联网访问流量，经过分流装置、网关送至互联网目标服务器；网关将目标服务器返回的响应流量经过分流装置传输至目标局域网内对应的设备。本发明能够提高网络资源使用效率。

Description

一种局域网环境中透明分流方法和装置

技术领域

本发明涉及网络流量分流、监控和优化领域，具体而言，本发明涉及一种局域网环境中透明分流的方法和装置。

背景技术

经过几十年的发展，互联网已经形成覆盖全球的通信网络基础设施。同时，随着IP网络应用环境和用户需求的不断增长，越来越多的新型网络应用逐渐兴起，促使网络规模、网络流量、用户规模、连网主机(设备)数量等持续呈指数级增长。传统的互联网在设计之初，并没有考虑如此规模化的全球应用；因此，无序的网络结构和动态的路由导致无序的网络行为和无序的网络流量，网络资源无法得到充分有效利用。如果能够在网络流量产生的开始，对网络流量进行有效的分流，将会为网络流量的有序调度和传输优化提供有力的保障，进而能够提高网络资源使用效率，提升网络服务质量，同时提高网络业务的用户满意度。

从网络流量产生的源头对网络流量进行有效的分流，通常来说，最适合的地方就是局域网。然后，现有的工作尚且少有涉及局域网的流量分流，而对于采用透明方式进行分流的工作更是少之又少。本发明专利就是针对这一场景提出的一种局域网环境中透明分流方法和装置。

发明内容

鉴于上述问题，提出了本发明以便提供一种解决上述问题的一种局域网环境中透明分流的方法和装置。

依据本发明的一个方面，提供了一种局域网环境中透明分流的装置，该装置在局域网中的部署拓扑图如图1所示。

分流装置部署于局域网网关的后端，采用网桥模式实现接入局域网中，原有局域网网络拓扑结构、节点配置无需任何改动。局域网内设备的互联网访问流量，经过分流装置后，传送到网关，并经由网关送至互联网目标服务器；互联网目标服务器返回的响应流量，从网关处传送回来，经过分流装置后，再传输至局域网设备。由于分流装置工作于网桥模式，因此，网络流量可以透明进行传输，局域网内的所有节点无感知。

分流装置的功能模块图如图2所示。

各个模块的功能描述如下：

UI管理模块：用来接收并提供用户配置的局域网信息、分流地址名单、分流协议类型等信息的编辑功能，同时检查用户配置信息的合法性；

配置管理模块：负责格式化和持久化存储UI管理模块配置的信息；

局域网MAC地址管理模块：负责周期性通过主动学习的方式获取本局域网内所有节点的IP地址与MAC地址映射信息；

规则处理模块：负责依据配置管理模块和局域网MAC地址管理模块所获取的信息，将信息转换成为***配置规则，对内核态的二层流量提取、三层流量分流、分流流量处理、二层地址转换等进行规则配置。

依据本发明的另一个方面，还提供了一种局域网环境中透明分流方法，主要包括以下步骤：

1)UI管理模块接收用户配置的局域网信息、分流协议类型、分流地址名单等信息；

2)配置管理模块将用户配置的信息进行格式化，并持久化存储；

3)局域网MAC地址管理模块依据用户输入的局域网信息，包含局域网网关IP、局域网子网掩码等信息，计算得出本局域网内所有可用的局域网用户IP地址；之后，该模块启动数据包监听线程，等待接收ARP查询响应报文；之后，该模块主动发送ARP地址查询报文，查询报文中发送者IP地址填写网关IP地址，目标者IP地址则填写局域网内可用IP集合中的某个IP地址。模块采用遍历的方式，依据局域网用户IP地址的个数，决定发送多少个ARP地址查询报文；发送完毕，模块等待5s后，停止ARP查询响应报文的监听线程，并将捕获到的ARP查询响应报文进行解析，获取报文中IP地址与MAC地址的映射关系，并构建IP地址与MAC地址的映射关系表。

由于分流装置发送的ARP查询报文的发送者地址为网关IP地址，因此，所有收到ARP查询报文的局域网设备，发送的响应报文目标地址皆为网关设备的IP地址。因此，所有响应报文都会流经分流设备，并会被分流设备捕获到。

4)规则处理模块周期性依据局域网MAC地址管理模块获取的映射表信息，生成二层地址转换规则，并配置到分流装置的***内核模块中；若发现已有配置规则和新生成的规则有冲突，则删除已有配置规则，重新配置新生成的规则；

5)规则处理模块依据配置管理模块中获取的分流地址信息，生成三层流量分流规则，并配置到***内核模块中；

6)规则处理模块依据配置管理模块中获取的分流协议类型，生成二层流量提取规则，并配置到***内核模块中。

如此，可以完成局域网环境中透明分流的整个过程。技术人员可以知道，由于装置工作于网桥模式，当流入网桥的流量被从网络协议栈的二层提取到三层后，数据报文中的二层信息(即MAC地址信息)将会丢失。而当报文经过三层分流后，未分流的流量将会被直接送至协议栈二层，经由所配置的二层地址转换功能完成原有报文源地址的恢复，从而不影响原有数据报文的正常处理和传输。

可选的，用户可以通过扩展UI管理模块、配置管理模块、规则处理模块，生成更多的分流流量处理规则，从而实现更多的分流功能，诸如本地缓存、流量过滤、流量统计等等。

与现有技术相比，本发明的积极效果为：

本发明在局域网环境中实现流量的透明分流，并支持对流量进行基于规则的操作，从而能够从网络流量产生的源头处实现流量的可控处理，将会为网络流量的有序调度和传输优化提供有力的保障，进而能够提高网络资源使用效率，提升网络服务质量，同时提高网络业务的用户满意度。

附图说明

图1为局域网分流装置部署图；

图2为装置功能模块图；其中，虚线为规则流、实线为数据流。

具体实施方式

下面将参照以上说明更详细地描述本公开的示例性实施例。虽然本实施例显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

本发明设计一种局域网中透明分流方法和装置，该方法和装置可以在局域网中实现出网流量的透明分流，可设定针对流经的流量进行按规则的分流处理，而未分流流量则透明传输。具体的，本发明的具体实施例，是基于Linux操作***下的研究开发。

首先，本发明的局域网透明分流装置启动前，需要在分流装置的Linux操作***中 内置Netfilter内核模块，并安装iptables、ebtables用户配置模块。本发明所使用Linux操 作***中的Netfilter、iptables、ebtables的概念和工作原理如下：

Netfilter是Linux 2.4.x内核引入的一个子***，它作为一个通用的、抽象的框架，可以在Linux内核态针对整个网络数据包传输流程的若干位置提供一整套hook函数管理机制，从而实现数据包过滤、连接跟踪、地址转换等操作。

iptables是工作于用户空间的一个工具组件，用于定义规则，所定义的规则可以 让内核空间的Netfilter来读取，并实现针对特定数据报文的处理。iptables使得用户能够 容易的***、修改和删除内核空间数据包处理的规则。iptables主要用于实现三层数据包 处理规则的编辑操作。

ebtables和iptables类似，都是Linux***下网络数据包过滤的配置工具。 ebtables主要用户配置数据链路层的规则，即网络二层的规则。

此外，Linux操作***需要内置bridge-utils工具，该工具可以让用户在Linux操作***中生成网桥虚拟网卡。

为了便于说明，本实施例假定局域网网关IP地址为192.168.1.1，子网掩码为255.255.255.0。用户通过UI管理模块，设定针对IP地址为192.168.1.100的主机，其访问外网80端口的流量进行本地分流。此外，假定分流装置的内部网桥网卡配置IP地址为192.168.1.2。

依据本发明的步骤所述，本实施例的具体操作如下：

1)用户通过UI管理模块，设定信息如下：

局域网信息：

网关地址：192.168.1.1

子网掩码：255.255.255.0

分流地址名单：

地址：192.168.1.100

分流协议：

协议类型：TCP

协议端口：80

2)配置管理模块接收信息，进行格式化持久存储：

[network]

network_mode＝"1"

bridge_ip＝"192.168.1.2"

bridge_mask＝"255.255.255.0"

bridge_gateway＝"192.168.1.1"

target_ip＝"192.168.1.100"

target_proto＝"tcp"

target_dport＝"80"

3)局域网MAC地址学习模块开始学习本局域网内的MAC地址与IP地址对应信息，伪代码如下：

局域网MAC地址学习模块周期性的执行以上代码(每次间隔10s)，并将解析结果保存到一个文本文件中。文本文件的内容如下：

192.168.1.3,4C:CC:6A:DC:91:60

192.168.1.4,4C:CC:6A:FE:81:34

…

192.168.1.254,D4:EE:07:3F:F9:0D

4)规则处理模块周期性依据局域网MAC地址管理模块获取的映射表信息，生成二层地址转换规则，并配置到***内核模块中。

ebtables-t nat-A POSTROUTING-p ipv4--ip-src 192.168.1.3-j snat--to- src 4C:CC:6A:DC:91:60--snat-target ACCEPT

ebtables-t nat-A POSTROUTING-p ipv4--ip-src 192.168.1.4-j snat--to- src 4C:CC:6A:FE:81:34--snat-target ACCEPT

…

ebtables-t nat-A POSTROUTING-p ipv4--ip-src 192.168.1.254-j snat--to- src D4:EE:07:3F:F9:0D--snat-target ACCEPT

若发现已有配置规则和新生成的规则有冲突，则删除已有配置规则。

ebtables-t nat-D POSTROUTING-p ipv4--ip-src 192.168.1.254-j snat--to- src D4:EE:08:23:F9:D5--snat-target ACCEPT

5)规则处理模块依据配置管理模块中获取的分流地址名单信息，生成三层流量分流规则，并配置到***内核模块中。在此实施例中，将来自192.168.1.100IP地址主机访问外网80端口的流量，采用本地分流的方式(具体而言，采用网络地址转换NAT)，引导至本地服务器进行响应。

iptables-t nat-D PREROUTING-p tcp--dport 80-s 192.168.1.100-j DNAT-- to 127.0.0.1:80

6)规则处理模块依据配置管理模块中获取的分流协议类型，生成二层流量提取规则，并配置到***内核模块中。

ebtables-t broute-A BROUTING-p ipv4--logical-in br0--ip-src 192.168.1.100-j redirect

ebtables-t broute-A BROUTING-p ipv4--logical-in br0--ip-dst 192.168.1.100-j redirect

需要强调的是，本发明示例中所使用的192.168.0.0/16网段地址，并非作为局域网环境的IP地址使用限定。本领域的技术人员可以知道，分流装置的任何部署方式具备如附图1所示的广播域中，皆为本发明所指的局域网环境中。

需要说明的是：

在此提供的算法和显示不与任何特定计算机、虚拟装置或者其它设备固有相关。各种通用装置也可以与基于在此的示教一起使用。根据上面的描述，构造这类装置所要求的的结构是显而易见的。此外，本发明也不针对任何特定的编程语言。应当明白，可以基于各种操作***并利用各种编程语言实现在此描述的本发明内容，并且上面对特定语言、***功能模块的调用所做的描述仅仅是为了披露发明的最佳实施方式。

在此处所提供的说明书中，说明了大量的具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下完成实现。在一些示例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若对本发明的这些修改和变型属于本发明权利要去及其同等技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (9)

1.一种局域网环境中透明分流方法，其步骤为：

1)将分流装置部署于局域网的网关与局域网之间；所述分流装置包括一UI管理模块，用于接收用户配置的局域网信息、分流协议类型和分流地址名单；

2)所述分流装置根据配置的局域网信息计算得出所述局域网内所有可用的局域网用户IP地址；然后针对每一可用的局域网用户IP地址主动发送一ARP地址查询报文，并等待接收ARP查询响应报文；然后对收到的ARP查询响应报文进行解析，获取ARP查询响应报文中IP地址与MAC地址的映射关系，并构建IP地址与MAC地址的映射关系表；然后依据所述映射关系表生成二层地址转换规则、依据所述分流地址名单生成三层流量分流规则、依据所述分流协议类型生成二层流量提取规则；

3)所述局域网内设备的互联网访问流量，经过所述分流装置传送到所述局域网的网关，并经由该网关送至互联网目标服务器；该网关将互联网目标服务器返回的响应流量，经过所述分流装置传输至所述目标局域网内对应的设备；其中，所述分流装置对输入的流量依次根据所述二层流量提取规则、三层流量分流规则进行分流后输出；对于三层流量分流规则未分流的流量，经所述二层地址转换规则完成原有报文源地址的恢复后输出。

2.如权利要求1所述的方法，其特征在于，所述分流转置采用网桥模式实现接入所述局域网中。

3.如权利要求1或2所述的方法，其特征在于，所述查询报文中发送者IP地址为网关IP地址，目标者IP地址为局域网内可用IP集合中的一IP地址。

4.如权利要求1或2所述的方法，其特征在于，所述分流装置还包括一配置管理模块，用于格式化和持久化存储UI管理模块配置的信息。

5.如权利要求1所述的方法，其特征在于，所述分流装置对于新生成的二层地址转换规则，若其与已有的配置规则冲突，则删除对应的已有配置规则。

6.一种局域网环境中透明分流装置，其特征在于，包括；所述分流装置包括UI管理模块、局域网MAC地址管理模块和规则处理模块；其中，

UI管理模块，用于接收用户配置的局域网信息、分流协议类型和分流地址名单；

局域网MAC地址管理模块，用于根据配置的局域网信息计算得出所述局域网内所有可用的局域网用户IP地址；然后针对每一可用的局域网用户IP地址主动发送一ARP地址查询报文，并等待接收ARP查询响应报文；然后对收到的ARP查询响应报文进行解析，获取ARP查询响应报文中IP地址与MAC地址的映射关系，并构建IP地址与MAC地址的映射关系表；

规则处理模块，用于依据所述映射关系表生成二层地址转换规则、依据所述分流地址名单生成三层流量分流规则、依据所述分流协议类型生成二层流量提取规则。

7.如权利要求6所述的分流装置，其特征在于，所述分流转置采用网桥模式实现接入所述局域网中。

8.如权利要求6所述的分流装置，其特征在于，还包括一配置管理模块，用于格式化和持久化存储UI管理模块配置的信息。

9.如权利要求6所述的分流装置，其特征在于，所述分流装置对于新生成的二层地址转换规则，若其与已有的配置规则冲突，则删除对应的已有配置规则。