CN108848093B - 路由计算单元和网络节点设备 - Google Patents

Abstract

本发明提供一种路由计算单元和网络节点设备。该路由计算单元包括：多核处理器，以及分别与所述多核处理器连接的输入接口和输出接口；所述输入接口用于接收协议控制数据；所述多核处理器用于通过运行多套预设异构协议栈软件对所述协议控制数据进行计算处理得到多个计算结果，根据所述多个计算结果确定路由数据；所述输出接口用于输出所述路由数据。该网络节点设备包括至少一个上述的路由计算单元。本发明可以有效防御针对路由计算单元的攻击，防御方式可靠、实用，从而提高了网络节点设备的安全性。

Description

路由计算单元和网络节点设备

技术领域

本发明涉及互联网技术领域，尤其涉及路由计算单元和网络节点设备。

背景技术

网络转发节点设备、网络链路及网络终端节点构成了整个信息网络；其中，网络转发节点设备负责接收网络报文、计算路由以及按照路由表转发网络报文。网络转发节点的安全对整个信息网络的安全有重要价值，而作为节点转发报文依据的路由安全，则是网络节点安全的关键。

当前，路由节点存在的安全隐患不容忽视，恶意后门植入、***设计与实现中的漏洞、使用开源代码无意识带入的陷门难以避免；攻击者一般通过路由跟踪、端口扫描获取路由节点信息，再针对协议缺陷或特定漏洞实施攻击。而网络节点路由的安全防护手段更多的侧重于对路由器的正确配置和使用、及时查看分析日志、及时给***打补丁堵漏洞，缺乏有效的防御技术与手段。路由器的路由转发功能和其在网络中的关键位置决定了它成为攻击者实施攻击的一个重要切入点。一旦路由器被攻击者控制，将会对整个网络产生极大的安全威胁。

目前，现有的针对未知漏洞和后门的主动防御技术，通常通过异构网络模型解决网络的生存性难题，或者采用图论的方法研究路由器厂商的多样性对提升网络弹性的作用；另外，还可以通过通信服务端点的地址或端口的主动改变来实现主动防御。

现有的针对未知漏洞和后门的主动防御技术，存在两个主要问题：

从增加网络弹性来解决防御问题的技术，往往通过增加网络节点的方式来替换受攻击节点，从网络整体来说提升了生存性，但难以保证网络节点本身的安全。一旦第二轮或更多轮攻击将剩余的网络节点也攻破，网络则会立即瘫痪，可靠性较差。

移动目标防御技术通过在软件局部增加动态性来防御未知漏洞和后门，该技术中的动态性明显增加了***运行开销。同时，动态性的增加需要对原有软件进行较大幅度的修改，从设计（修改）到调试，部署成本较高，实用性较差。

发明内容

为解决现有技术中存在的上述问题，本发明提供一种路由计算单元和网络节点设备，以有效防御针对路由计算单元的攻击，防御方式可靠、实用，从而提高网络节点设备的安全性。

第一方面，本发明提供一种路由计算单元，包括：多核处理器，以及分别与所述多核处理器连接的输入接口和输出接口；

所述输入接口用于接收协议控制数据；

所述多核处理器用于通过运行多套异构协议栈软件对所述协议控制数据进行计算处理得到多个计算结果，根据所述多个计算结果确定路由数据；

所述输出接口用于输出所述路由数据。

进一步地，多核处理器集成有多个计算核心，每个计算核心至多运行一套异构协议栈软件。

进一步地，每套所述异构协议栈软件由至少一个所述计算核心运行。

进一步地，所述多核处理器还用于：通过运行输出控制软件根据所述多个计算结果确定路由数据，驱动所述输出接口输出所述路由数据。

进一步地，所述多核处理器具体用于：将相同的计算结果归为一类，对所有的计算结果进行分类； 统计每个类型中计算结果的数量，将所述数量最多的计算结果确定为所述路由数据。

进一步地，所述多核处理器具体还用于：通过运行输入控制软件驱动所述输入接口获取所述协议控制数据，将所述协议控制数据分发至多套异构协议栈软件。

进一步地，所述多核处理器还用于：

分别检测每套异构协议栈软件对应的计算结果是否与所述路由数据相同；

若计算结果与所述路由数据相同，则与所述计算结果对应的异构协议栈软件为正常状态；若计算结果与所述路由数据不同，则与所述计算结果对应的异构协议栈软件为异常状态；

将异常状态的异构协议栈软件重置至初始状态；

根据正常状态的异构协议栈软件的运行状态，对异常状态的异构协议栈软件进行同步处理。

进一步地，所述输入接口和所述输出接口设置在同一接口控制器上，或者，所述输入接口和所述输出接口分别设置在各自的接口控制器上。

第二方面，本发明提供一种网络节点设备，包括：如上所述的任一路由计算单元。

进一步地，所述网络节点设备还包括路由器和/或交换机。

本发明的有益效果：

本发明提供的路由计算单元和网络节点设备，该路由计算单元包括多核处理器，以及分别与多核处理器连接的输入接口和输出接口；该多核处理器内集成有多个计算核心，并运行有多套异构协议栈软件；每个计算核心最多运行其中一套异构协议栈软件；输入接口接收到协议控制数据后，由多核处理器通过多套异构协议栈软件对协议控制数据进行计算处理，并择优输出路由数据。由于协议栈软件漏洞或后门的攻击难以同时对两个以上的异构协议栈软件有效，因此，该路由计算单元通过多核处理器运行多套异构协议栈软件，计算生成的路由数据择优输出，可以有效防御针对路由计算单元的攻击，防御方式可靠、实用，从而提高了网络节点设备的安全性。并且，多核处理器还可以实时检测每套异构协议栈软件的运行状态，当计算结果与路由数据不同时，及时纠正该异构协议栈软件的运行状态，提高路由计算的可靠性。

附图说明

图1为本发明实施例提供的路由计算单元的结构示意图；

图2为本发明又一实施例提供的路由计算单元的结构示意图；

图3为本发明再一实施例提供的路由计算单元的结构示意图；

图4为本发明实施例提供的多核处理器检测协议栈软件状态的流程示意图；

图5为本发明实施例提供的路由计算单元进行路由计算的工作流程图；

图6为本发明实施例提供的网络节点设备的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明实施例提供的路由计算单元的结构示意图。如图1所示，该路由计算单元1包括：多核处理器10，以及分别与所述多核处理器10连接的输入接口11和输出接口12；

所述输入接口11用于接收协议控制数据；

所述多核处理器10用于通过运行多套异构协议栈软件对所述协议控制数据进行计算处理得到多个计算结果，根据所述多个计算结果确定路由数据；

所述输出接口12用于输出所述路由数据。

具体地，异构协议栈软件通常是指针对同一协议，由不同的开发组或开发人员开发的协议栈软件；多套异构协议栈软件分别对协议控制数据进行计算处理，得到与异构协议栈软件数量相匹配的计算结果，即每套异构协议栈软件均计算得到一个计算结果，所以多核处理器10通过运行多套异构协议栈软件则会得到多个计算结果，然后通过对所述多个计算结果按照预设筛选规则，对多个计算结果进行比对筛选，从中挑选出最优的计算结果，作为路由数据。

由于协议栈软件漏洞或后门的攻击难以同时对两个以上的异构协议栈软件有效，因此，本发明实施例提供的路由计算单元，通过多核处理器运行多套异构协议栈软件，路由数据择优输出，可以有效防御针对路由计算单元的攻击，防御方式可靠、实用，从而提高了网络节点设备的安全性。并且通过使用多核处理器搭建路由计算单元，一方面可以充分利用相对过剩的计算资源，另一方面降低了***的软硬件成本，更有利于推广和部署。

在上述实施例的基础上，所述多核处理器集成有多个计算核心；相应地，每个计算核心至多运行一套预设异构协议栈软件。

例如，多核处理器具有四个计算核心，即核心1、核心2、核心3和核心4；且多核处理器共运行有三套异构协议栈软件，即软件A、软件B和软件C；此时，核心1、核心2和核心3分别负责运行一套异构协议栈软件，即将软件A、软件B和软件C随机分配至上述的核心1、核心2和核心3；此时核心4为空闲状态，或执行其他的任务，例如，数据的输入输出。即，每个计算核心最多运行其中一套协议栈软件，这种冗余的数据处理方式可以避免一个计算核心运行多套协议栈软件造成的运算效率低，或运算相互干扰等问题。

图2为本发明又一实施例提供的路由计算单元的结构示意图。该路由计算单元中，包括多核处理器以及设置在接口控制器上的输入接口和输出接口，输入接口和输出接口分别通过接口控制器与多核处理器电连接。可以理解的是，对本领域技术人员而言，所述输入接口和所述输出接口应理解为硬件设备（即接口控制器）的逻辑功能。以多核处理器集成有四个计算核心（分别包括核心1、核心2、核心3和核心4），且多核处理器运行有三套异构协议栈软件（包括协议栈软件A、协议栈软件B和协议栈软件C）为例进行说明。

其中，核心1用于运行协议栈软件A，核心2用于运行协议栈软件B，核心3用于运行协议栈软件C，核心4用于运行输入控制软件和输出控制软件。

在上述各实施例的基础上，所述预设输入控制软件还包括：每套所述异构协议栈软件由至少一个所述计算核心运行。

例如，多核处理器具有八个计算核心，且多核处理器共运行有三套异构协议栈软件；此时，可以每两个核心运行一套异构协议栈软件；剩余两个核心为空闲状态，或执行其他的任务。

各个协议栈软件由独立的核心运行，相对于一个核心运行多套协议栈软件，可避免核心运算资源在多个协议栈软件间分配带来的效率低下问题，各协议栈软件独享核心运算资源也能够带来更好的安全性。

图3为本发明再一实施例提供的路由计算单元的结构示意图。如图3所示，该路由计算单元中，以多核处理器集成有八个计算核心（分别包括核心1、核心2、…，核心7和核心8），且多核处理器运行有三套异构协议栈软件（包括协议栈软件A、协议栈软件B和协议栈软件C）为例进行说明。

其中，核心1和核心2用于运行协议栈软件A，核心3和核心4用于运行协议栈软件B，核心5和核心6用于运行协议栈软件C，核心7用于运行输入控制软件，核心8用于运行输出控制软件。

在上述各实施例的基础上，所述多核处理器还用于：通过运行输出控制软件根据所述多个计算结果确定路由数据，驱动所述输出接口输出所述路由数据。

具体地，输出控制软件具体作用为按照预设筛选规则，对多个计算结果进行比对筛选，从中挑选出最优的计算结果，作为路由数据，并通过输出接口控制器输出。

在上述各实施例的基础上，所述多核处理器具体用于：将相同的计算结果归为一类，对所有的计算结果进行分类；统计每个类型中计算结果的数量，将所述数量最多的计算结果确定为所述路由数据。

例如，协议控制数据Di经输入接口传输至多核处理器，若多核处理器运行有三套异构协议栈软件，所述三套异构协议栈软件分别根据协议控制数据Di计算路由数据，并分别得到计算结果DAO、DBO、DCO；

异构协议栈软件A生成的计算结果为DAO，异构协议栈软件B生成的计算结果为DBO，异构协议栈软件C生成的计算结果为DCO；其中，DAO 和DBO相同，此时DAO 和DBO属于同一类型，分为第一类计算结果；DCO与DAO 和DBO均不相同，此时DCO被单独分为一类，分为第二类计算结果。由于第一类计算结果中计算结果的数量最多，则把DAO 和DBO中任意一个作为路由数据，并通过输出接口输出。

需要说明的是，如果DAO、DBO和DCO均相同，则任选其中一个作为路由数据输出；如果DAO、DBO和DCO三者之间两两不同，则任选一路作为路由数据输出。

在上述各实施例的基础上，所述多核处理器还用于：通过运行输入控制软件驱动所述输入接口获取所述协议控制数据，将所述协议控制数据分发至多套异构协议栈软件。

例如，协议控制数据Di经PCIe接口控制器传输至多核处理器，由输入控制软件复制所述协议控制数据并分发至多套所述协议栈软件。

例如，多核处理器中共运行三套异构的协议栈软件，分别为协议栈软件A、协议栈软件B和协议栈软件C；其中，协议栈软件A的计算结果为M，协议栈软件B的计算结果为M，而协议栈软件C的计算结果为M’，由于计算结果为M数量较多，则将计算结果为M作为路由数据进行输出。

通常，如果多套异构协议栈软件输出的计算结果被分类为两类或多类，由于将每个类型中计算结果的数量最多的计算结果作为路由数据输出，其数量较少的类型中的计算结果通常与路由数据不同；此时，可以根据各协议栈软件输出的计算结果与路由数据是否相同，来检测协议栈软件的状态是否正常。

图4为本发明实施例提供的多核处理器检测协议栈软件状态的流程示意图，如图4所示，该方法包括：

S401、分别检测每套异构协议栈软件对应的计算结果是否与所述路由数据相同；

S402、若计算结果与所述路由数据相同，则与所述计算结果对应的异构协议栈软件为正常状态；

S403、若计算结果与所述路由数据不同，则与所述计算结果对应的异构协议栈软件为异常状态；

S404、将异常状态的异构协议栈软件重置至初始状态；

S405、根据正常状态的异构协议栈软件的运行状态，对异常状态的异构协议栈软件进行同步处理。

具体地，本发明实施例中，多核处理器可以实时检测每套异构协议栈软件的运行状态，当计算结果与路由数据不同时，及时纠正该异构协议栈软件的运行状态，提高路由计算的可靠性。

在上述各实施例的基础上，所述输入接口和所述输出接口设置在同一接口控制器上，或者，所述输入接口和所述输出接口分别设置在各自的接口控制器上。

具体地，参见图2和图3所示的路由计算单元，所述输入接口和所述输出接口所在的接口控制器可以是同一个接口控制器，也可以是两个独立的接口控制器。上述输入接口和输出接口的接口标准可以不同，也可以相互匹配；该接口标准包括PCIe（peripheralcomponent interconnect express，高速外设部件互连标准）接口或以太网接口，当然，也可以为其他接口标准。例如，当接口标准为PCIe时，输入接口和输出接口均可以通过PCIe接口控制器实现；当然，该PCIe接口控制器的数量可以为一个，兼做输入接口和输出接口；也可以为两个，分别用于输入接口和输出接口。

图5为本发明实施例提供的路由计算单元进行路由计算的工作流程图。 本实施例中以运行三套异构协议栈软件作为示例，如图5所示：

S501、将多核处理器的计算核心编号为1、2、3、4、…，将异构协议栈软件编号为A，B，C；

S502、将多核处理器的1个或更多个核心A1分配给异构协议栈软件A；

S503、将多核处理器的1个或更多个核心B1分配给异构协议栈软件B；

S504、将多核处理器的1个或更多个核心C1分配给异构协议栈软件C；

S505、将多核处理器的1个或更多个核心D1分配给输入控制软件和输出控制软件；

S506、协议控制数据经输入接口及输入控制软件，分发至三个异构协议栈软件A、B、C；

S507、三个异构协议栈软件A、B、C根据输入的协议控制数据各自计算出路由数据；

S508、输出控制软件根据三个异构协议栈软件的输出数据进行择多判决，得到的结果作为最终的路由数据，通过输出接口输出。

上述步骤S502至S505中，分配给异构协议栈软件A、B、C的计算核心必须由各自的异构协议栈软件专用，每个计算核心只能运行一套异构协议栈软件，分配给异构协议栈软件的计算核心不可以再分配给输入控制软件和输出控制软件。

上述步骤S508中，对三路数据进行择多判决的步骤如下：

（1）如果三路数据均一致，则任选一路作为输出；

（2）如果三路数据中有两路一致，则在一致的两路中任选一路作为输出；

（3）如果三路数据各自不相同，则任选一路作为输出。

上述异构协议栈软件的数量通常至少为三套，还可以多于三套，例如，五套；计算结果的数量与异构协议栈软件的数量相对应；同时，依然采用上述分类的方式，并计算每个类型中计算结果的数量，将数量最多的计算结果作为路由数据输出。

图6为本发明实施例提供的网络节点设备的结构示意图；如图6所示，该网络节点设备6包括至少一个如上所述任一实施例中的路由计算单元61。该图中以包含三个路由计算单元61作为示例。

具体地，该网络节点设备还可以包括路由器或者交换机，或者同时包括路由器和交换机。

本发明实施例所提供的一种路由计算单元和网络节点设备的计算机程序产品，包括存储了程序代码的计算机可读存储介质，所述程序代码包括的指令可用于执行前面方法实施例中所述的方法，具体实现可参见方法实施例，在此不再赘述。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (8)

1.一种路由计算单元，其特征在于，包括：多核处理器，以及分别与所述多核处理器连接的输入接口和输出接口；

所述输入接口用于接收协议控制数据；

所述多核处理器用于通过运行多套异构协议栈软件对所述协议控制数据进行计算处理得到多个计算结果，根据所述多个计算结果确定路由数据；所述多核处理器集成有多个计算核心，每个计算核心至多运行一套异构协议栈软件，每套所述异构协议栈软件由至少一个所述计算核心运行；所述异构协议栈软件是指针对同一协议，由不同的开发组或开发人员开发的协议栈软件；

所述输出接口用于输出所述路由数据。

2.根据权利要求1所述的路由计算单元，其特征在于，所述多核处理器还用于：

通过运行输出控制软件根据所述多个计算结果确定路由数据，驱动所述输出接口输出所述路由数据。

3.根据权利要求2所述的路由计算单元，其特征在于，所述多核处理器具体用于：

将相同的计算结果归为一类，对所有的计算结果进行分类；

统计每个类型中计算结果的数量，将所述数量最多的计算结果确定为所述路由数据。

4.根据权利要求1所述的路由计算单元，其特征在于，所述多核处理器还用于：

通过运行输入控制软件驱动所述输入接口获取所述协议控制数据，将所述协议控制数据分发至多套异构协议栈软件。

5.根据权利要求3所述的路由计算单元，其特征在于，所述多核处理器还用于：

分别检测每套异构协议栈软件对应的计算结果是否与所述路由数据相同；

若计算结果与所述路由数据相同，则与所述计算结果对应的异构协议栈软件为正常状态；

若计算结果与所述路由数据不同，则与所述计算结果对应的异构协议栈软件为异常状态；

将异常状态的异构协议栈软件重置至初始状态；

根据正常状态的异构协议栈软件的运行状态，对异常状态的异构协议栈软件进行同步处理。

6.根据权利要求1所述的路由计算单元，其特征在于，所述输入接口和所述输出接口设置在同一接口控制器上，或者，所述输入接口和所述输出接口分别设置在各自的接口控制器上。

7.一种网络节点设备，其特征在于，包括至少一个如权利要求1-6任一所述的路由计算单元。

8.根据权利要求7所述的网络节点设备，其特征在于，还包括路由器和/或交换机。

Images