CN110636151B

CN110636151B - 一种报文处理方法、装置、防火墙及存储介质

Info

Publication number: CN110636151B
Application number: CN201911023219.2A
Authority: CN
Inventors: 张琦枫
Original assignee: New H3C Security Technologies Co Ltd
Current assignee: New H3C Security Technologies Co Ltd
Priority date: 2019-10-25
Filing date: 2019-10-25
Publication date: 2022-03-22
Anticipated expiration: 2039-10-25
Also published as: CN110636151A

Abstract

本申请实施例提供了一种报文处理方法、装置、防火墙及存储介质，涉及通信技术领域。本申请的方案包括：接收终端发送的应用报文，并对应用报文进行内容识别，若检测到应用报文携带预设特征，则获取预设特征对应的扩展会话类型，并将当前会话数据更新为扩展会话类型对应的数据结构，基于预存的NAT表项对应用报文的源IP地址和源端口号进行NAT转换，根据更新后的数据结构向服务器转发NAT转换后的应用报文。采用该方案，避免了终端与服务器连接失败。

Description

一种报文处理方法、装置、防火墙及存储介质

技术领域

本申请涉及通信技术领域，特别是涉及一种报文处理的方法、装置、防火墙及存储介质。

背景技术

深度报文检测(Deep Packet Inspection，DPI)和网络地址转换(NetworkAddress Translation，NAT)是下一代防火墙的关键业务，目前可以将DPI与NAT配合使用。防火墙对非知名端口协议对应的报文处理过程如下：在多通道协议的终端通过防火墙与服务器进行传输控制协议(Transmission Control Protocol，TCP)三次握手的过程中，终端向防火墙发送的报文未携带多通道协议的相关内容，所以防火墙通过DPI确定该报文属于普通的TCP对话，并将该报文的源IP地址和源端口号进行NAT转换，生成转换前的源IP地址、源端口号与转换后的源IP地址、转换后的源端口号之间的NAT表项，然后向服务器发送NAT转换后的报文。

为了避免出现协议端口仿冒的情况，在防火墙后续接收到终端发送的应用报文时，通过DPI对应用报文进行内容检测，若通过内容检测确定该应用报文对应的协议为非知名端口协议，则生成该应用报文的目的IP地址、目的端口号与协议类型之间的映射表项，并丢弃该应用报文，删除已创建的会话信息，导致NAT表项被删除。

若防火墙接收到该应用报文的重传报文，且识别到该重传报文携带的目的IP和目的端口号与上述映射表项中的目的IP和目的端口号相同，则可根据该映射表项确定该重传报文的协议类型。由于防火墙可以确定该重传报文的协议类型，所以此时对于防火墙该重传报文的协议类型是已知的，进而防火墙可继续处理该重传报文。由于该重传报文对应的NAT表项已被删除，所以防火墙对该重传报文的源IP地址和源端口号进行NAT转换后，向服务器发送该重传报文。

服务器接收到该重传报文后，将该重传报文与自身存储的五元组信息进行匹配，由于服务器存储的五元组信息基于TCP三次握手阶段接收到的报文生成，而重传报文中的源IP地址和源NAT已经再次经过NAT转换，两次NAT转换的结果不同，导致该重传报文携带的NAT转换后的源端口号与五元组信息不匹配，导致服务器无法处理该重传报文，使得终端与服务器之间连接失败。

发明内容

有鉴于此，本申请实施例提供一种报文处理方法、装置、防火墙及存储介质，以避免终端与服务器之间连接失败。具体技术方案如下：

第一方面，本申请提供一种报文处理方法，所述方法包括：

接收终端发送的应用报文；

对所述应用报文进行内容识别，若检测到所述应用报文携带预设特征，则将当前会话类型更新为所述预设特征对应的扩展会话类型，并将当前会话数据结构更新为所述扩展会话类型对应的数据结构；

基于预存的网络地址转换NAT表项对所述应用报文的源IP地址和源端口号进行NAT转换，根据更新后的数据结构向服务器转发NAT转换后的应用报文。

在一种可能的实现方式中，所述扩展会话类型数据结构包括父会话指针、关联表关系、应用层网关服务ALG指针空间、以及ALG类型；

其中，所述父会话指针指向父会话，所述父会话为基于控制报文创建的会话；

所述关联表关系属性用于表示父会话与子会话之间的关联关系，所述子会话为基于数据报文创建的会话，每个数据传输通道对应一个子会话；

所述ALG指针空间为预留的用于存储数据报文对应的ALG的指针信息的内存空间；

所述ALG类型为ALG处理的应用报文的协议类型。

在一种可能的实现方式中，所述将当前会话数据结构更新为所述扩展会话类型对应的数据结构，包括：

获取所述应用报文匹配的父会话的地址信息，将所述父会话指针的值填充为所述父会话的地址信息；

创建所述应用报文匹配的子会话指针与父会话指针之间的关联关系，将所述关联表关系的值填充为所述应用报文匹配的子会话指针与父会话指针之间的关联关系；

将所述ALG类型填充为所述预设特征表征的多通道协议的协议类型。

第二方面，本申请提供一种报文处理装置，所述装置包括：

接收模块，用于接收终端发送的应用报文；

更新模块，用于对所述应用报文进行内容识别，若检测到所述应用报文携带预设特征，则获取所述预设特征对应的扩展会话类型，并将当前会话数据结构更新为所述扩展会话类型对应的数据结构；

转换模块，用于基于预存的网络地址转换NAT表项对所述应用报文的源IP地址和源端口号进行NAT转换；

转发模块，用于根据更新后的数据结构向服务器转发NAT转换后的应用报文。

在一种可能的实现方式中，所述扩展会话类型对应的数据结构包括父会话指针、关联表关系、应用层网关服务ALG指针空间、以及ALG类型；

所述ALG类型为ALG处理的应用报文的协议类型。

在一种可能的实现方式中，所述更新模块，具体用于：

第三方面，本申请实施例提供一种防火墙，该防火墙包括：处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：实现第一方面中所述的报文处理方法。

第四方面，本申请实施例还提供了一种计算机可读存储介质，该计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现第一方面中所述的报文处理方法。

第五方面，本申请实施例还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述第一方面中所述的报文处理方法。

采用本申请实施例提供的报文处理方法，相比于现有技术，本申请实施例中防火墙接收到应用报文后，若识别到应用报文携带预设特征，不会丢弃报文并删除会话，而是获取预设特征对应的扩展会话类型，并将当前会话数据结构更新为扩展会话类型对应的数据结构。由于扩展会话类型对应的数据结构可以支持防火墙对该应用报文的处理，进而无需删除会话。由于未删除会话，所以NAT表项也未被删除，使得防火墙可基于预存的NAT表项对该应用报文进行NAT转换，并根据更新后的数据结构向服务器发送NAT转换后的应用报文。由于服务器接收到的应用报文基于预存的NAT表项转换得到，所以NAT转换后的应用报文携带的源IP地址和源端口号与服务器存储的五元组信息匹配，终端可成功与服务器建立连接。

当然，实施本申请的任一产品或方法并不一定需要同时达到以上所述的所有优点。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的一种网络架构的示意图；

图2为相关技术提供的一种报文处理方法的流程图；

图3为本申请实施例提供的一种报文处理方法的流程图；

图4为本申请实施例提供的另一种报文处理方法的流程图；

图5为本申请实施例提供的一种报文处理装置的结构示意图；

图6为本申请实施例提供的一种防火墙的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请实施例应用的***架构图如图1所示，该***中包括终端10，防火墙20以及服务器30。

其中，防火墙20具有DPI应用识别以及NAT功能，相应地，防火墙20可以包括DPI应用识别模块和NAT模块。

本申请实施例中的终端10为安装有多通道协议的客户端的终端，服务器30为能够处理多通道协议业务的服务器。

图1中示例性地示出了一个终端、一个防火墙及一个服务器，在实际应用中各设备的数量不限于此。

以下结合图2对相关技术中的报文处理流程进行描述，如图2所示，以文件传输协议(File Transfer Protocol，FTP)客户端与FTP服务器之间的交互流程为例，假设FTP客户端的IP地址为192.168.1.3、FTP服务器的IP地址为1.1.1.2，端口号为3021为例。具体包括如下流程：

S201、FTP客户端向防火墙发送TCP三次握手报文，该报文的源地址和源端口号为192.168.1.3/1111，目的地址和目的端口号为：1.1.1.2/3021。

在本申请实施例中，假设3021为非知名端口，即防火墙无法通过该端口号确定协议类型。

S202、防火墙的应用识别模块对TCP三次握手的报文进行DPI，通过该报文的目的端口号3021无法确定协议类型。

S203、防火墙的的应用识别模块向NAT模块转发TCP三次握手报文。

S204、NAT模块对TCP握手报文进行NAT转换，生成NAT转换后的TCP握手报文以及NAT表项。

其中，NAT转换后的TCP握手报文的源IP地址和源端口号被转换为20.1.1.1/2220。

NAT表项包括转换前的源IP地址和源端口号(192.168.1.3/1111)以及转换后的源IP地址和源端口号(20.1.1.1/2220)。

S205、防火墙向FTP服务器发送NAT转换后的TCP三次握手报文。

图1中省略了TCP三次握手的详细过程，客户端和服务器之间进行TCP三次握手的过程可参考相关技术中的描述，在该流程中，将客户端和服务器进行TCP三次握手过程中传输的报文简称为TCP三次握手报文。

在完成TCP三次握手之后，即可执行S206。

S206、FTP服务器建立与FTP客户端之间的TCP连接。

在本步骤中，FTP服务器维护的会话的五元组信息包括：源IP地址(20.1.1.1)、源端口号(2220)、目的地址(1.1.1.2)、目的端口号(3021)、协议类型(TCP)。

S207、FTP客户端向防火墙发送应用报文。

该应用报文的源地址和源端口号为192.168.1.3/1111，目的地址和目的端口号为：1.1.1.2/3021。

S208、防火墙的DPI应用识别模块通过对应用报文进行内容识别，确定该应用报文的目的端口为FTP端口，创建非知名端口映射表项，并删除已建立的会话信息。

其中，该非知名端口映射表项包括目的IP地址、目的端口号和非知名端口协议类型的映射关系，在本步骤中，该表项包括1.1.1.2/3021与FTP协议之间的映射关系。

S209、防火墙丢弃应用报文，且防火墙的NAT模块删除NAT表项。

S210、FTP客户端向防火墙发送重传报文。

该重传报文为上述应用报文的重传报文，所以该重传报文的源地址和源端口号仍为192.168.1.3/1111，目的地址和目的端口号仍为：1.1.1.2/3021。

S211、防火墙的DPI应用识别模块根据非知名端口映射表项确定该重传报文的协议类型。

其中，DPI应用识别模块可将重传报文的目的地址、目的端口号与非知名端口映射表项中的目的地址和目的端口号进行匹配，若匹配成功，则确定该重传报文的协议类型为非知名端口映射表项中的协议类型。

S212、防火墙的DPI应用识别模块向NAT模块转发重传报文。

S213、防火墙的NAT模块对重传报文进行NAT转换，生成NAT转换后的重传报文以及NAT表项。

由于在S209中已删除应用报文对应的NAT表项，所以本步骤中对重传报文重新进行NAT转换，此次NAT转换将重传报文的源IP地址和源端口号转换为20.1.1.1/2221。

S214、防火墙向FTP服务器发送NAT转换后的重传报文。

S215、FTP服务器将该重传报文与五元组信息进行匹配，匹配失败，FTP服务器无法处理该重传报文。

其中，重传报文的源IP地址和源端口号为20.1.1.1/2221，而上述S206中，FTP维护的会话五元组中的源IP地址和源端口号为20.1.1.1/2220，可见重传报文与五元组信息不匹配，导致FTP客户端与FTP服务器连接失败，FTP客户端会出现业务中断的情况。

为了解决上述问题，本申请实施例提供了一种报文处理方法，该方法可以应用于图1中的防火墙，如图3所示，该方法包括：

S301、接收终端发送的应用报文。

S302、对应用报文进行内容识别，若检测到应用报文携带预设特征，则获取预设特征对应的扩展会话类型，并将当前会话数据结构更新为扩展会话类型对应的数据结构。

可选地，防火墙可通过DPI对应用报文进行内容识别。预设特征用于表征多通道协议，即若检测到应用报文携带预设特征，则确定该应用报文对应的协议为多通道协议，进而获取预设特征对应的扩展会话类型。

其中，本申请实施例中预存了多种多通道协议的预设特征，这些多通道协议的预设特征均对应于扩展会话类型。例如，若检测到应用报文携带用于表征FTP协议的预设特征，或检测到应用报文携带用于表征会话初始协议(Session Initiation Protocol，SIP)的预设特征，则获取扩展会话类型。

预设特征可以为多通道协议相关的字符，或者为多通道协议的标识，或者为能够表征多通道协议的其他信息，本申请实施例对此不作限定。例如，若检测到应用报文的字段中包括“FTP”字符，则获取扩展会话类型。

在本申请实施例中，扩展会话类型与当前会话类型的主要区别为：扩展会话类型对应的数据结构包括关联表关系，关联表关系包括一个或多个关联表表项，每个关联表表项用于关联属于同一应用的不同会话。扩展会话类型对应的数据结构将在下文中详细描述。

S303、基于预存的NAT表项对应用报文的源IP地址和源端口号进行NAT转换，根据更新后的数据结构向服务器转发NAT转换后的应用报文。

其中，预存的NAT表项包括上一次对来自该终端的报文进行NAT转换时，NAT转换前的源IP地址、源端口号与NAT转换后的源IP地址与源端口号之间的对应关系。

采用本申请实施例提供的报文处理方法，相比于现有技术，本申请实施例中防火墙接收到应用报文后，若识别到应用报文携带预设特征，不会丢弃报文并删除会话，而是获取预设特征对应的扩展会话类型，并将当前会话数据结构更新为扩展会话类型对应的数据结构。由于扩展会话类型对应的数据结构可以支持防火墙对该应用报文的处理，进而无需删除会话。由于未删除会话，所以NAT表项也未被删除，使得防火墙可基于预存的NAT表项对该应用报文进行NAT转换，并根据更新后的数据结构向服务器发送NAT转换后的应用报文。由于服务器接收到的应用报文基于预存NAT表项转换得到，所以NAT转换后的应用报文携带的源IP地址和源端口号与服务器存储的五元组信息匹配，终端可成功与服务器建立连接。

在本申请的一个实施例中，对于上述S302中的检测到应用报文携带预设特征，本申请实施例具体可以通过以下方式检测应用报文携带的预设特征：

从应用报文的指定位置提取报文特征，若提取出的报文特征与预先存储的多通道协议对应的预设特征匹配，则确定应用报文携带预设特征。

其中，防火墙预先存储了各过通道协议对应的预设特征，例如预先存储了FTP协议对应的特征A、特征B和特征C，若防火墙从应用报文的指定位置提取的报文特征与特征A、特征B和特征C均匹配，则可确定该应用报文携带用于表征FTP协议的特征，即该应用报文对应的协议类型为FTP协议。

在本申请另一实施例中，上述S302中的扩展会话类型对应的数据结构包括父会话指针、关联表关系、应用层网关服务(Application Layer Gateway Service，ALG)指针空间、以及ALG类型；

其中，父会话指针指向父会话，父会话为基于控制报文创建的会话。

关联表关系属性用于表示父会话与子会话之间的关联关系，子会话为基于数据报文创建的会话，每个数据传输通道对应一个子会话。

ALG指针空间为预留的用于存储数据报文对应的ALG的指针信息的内存空间。

ALG类型为ALG处理的应用报文的协议类型。

基于上述数据结构，上述S302、将当前会话数据结构更新为扩展会话类型对应的数据结构的具体实现方式为：

获取应用报文匹配的父会话的地址信息，将父会话指针的值填充为父会话的地址信息；创建应用报文匹配的子会话指针与父会话指针之间的关联关系，将关联表关系的值填充为应用报文匹配的子会话与父会话之间的关联关系；将ALG类型填充为预设特征表征的多通道协议的协议类型。

在本步骤中，由于未涉及ALG业务，所以无需填充应用层网关服务ALG指针对应的属性数据，在后续进行ALG业务时，可以在ALG指针空间中填充ALG指针。

其中，父会话的地址信息可以为父会话的存储地址，或者为父会话的标识，即根据该父会话指针，可以查找并获取父会话。

在将当前会话数据结构更新为扩展会话类型对应的数据结构之后，后续可依据该数据结构进行终端与服务器之间的业务，例如ALG业务。

在本申请实施例中，对于多通道协议，以FTP协议为例，父会话为终端与服务器之间为传输控制报文而创建的会话，子会话为终端与服务器之间为传输FTP应用报文而创建的会话。对于FTP协议，终端与服务器之间存在一个数据传输通道，即对应一个子会话。

而对于SIP协议，终端与服务器之间可存在多个数据传输通道，每个数据传输通道对应一个子会话，即一个父会话与属于同一应用的多个子会话之间具有关联关系。

在创建子会话指针与父会话指针之间的关联关系后，该关联关系分别与父会话控制块和子会话控制块关联，进而在报文处理过程中，父会话控制块可通过自身的指针以及该关联关系查找子会话指针，同样的，子会话控制块也可通过自身的指针以及该关联关系查找父会话指针。

在本申请实施例中，扩展会话类型对应的数据结构与更新前的会话数据结构的形态及数据量大小均不相同，而更新前的会话数据结构对应于父会话的会话类型，扩展会话类型对应的数据结构中包括父会话与子会话之间的关联关系，因此本申请实施例可以采用动态变更数据结构的方式达到变换会话类型的效果，会话类型的变换使得防火墙可以继续处理多通道协议报文，无需删除会话，可以继续传输多通道协议报文，避免了两次NAT转换导致终端与服务器之间连接失败的问题。

基于图1所示的网络架构，以多通道协议为FTP协议为例对本申请实施例的报文处理方法进行介绍，如图4所示，该方法具体包括：

其中，S401至S407与上文中的S201至S207相同，可参考上文中的相关描述，此处不再赘述。

S408、防火墙的DPI应用识别模块通过内容检测确定应用报文对应的协议类型为多通道协议FTP，则获取FTP协议对应的扩展会话类型，将当前会话数据结构更新为扩展会话类型对应的数据结构。

可以理解的是，在更新扩展会话类型对应的数据结构的过程中，可填充该数据结构包括的各属性数据。

S409、防火墙的DPI应用识别模块向NAT模块转发应用报文。

S410、防火墙的NAT模块根据NAT表项对应用报文进行NAT转换。

其中，该NAT表项为上述S204中的NAT表项，即NAT表项包括转换前的源IP地址和源端口号(192.168.1.3/1111)以及转换后的源IP地址和源端口号(20.1.1.1/2220)。

本步骤中，根据该NAT表项将应用报文的源IP地址转换为20.1.1.1，源端口号转换为2220。

S411、防火墙向FTP服务器发送NAT转换后的应用报文。

本步骤中，防火墙可基于上述S408中更新后的数据结构向FTP服务器发送NAT转换后的应用报文。

S412、FTP服务器将NAT转换后的应用报文与五元组信息进行匹配，若匹配成功，则建立FTP控制连接与FTP数据连接。

该五元组信息为上述S406中的五元组信息：源IP地址(20.1.1.1)、源端口号(2220)、目的地址(1.1.1.2)、目的端口号(3021)、协议类型(TCP)。

由于NAT转换后的应用报文的源IP地址和源端口号为20.1.1.1和2220，所以可以匹配成功。

S413、FTP服务器通过防火墙向FTP客户端发送应答报文。

采用该方法，相比于图2所示的方法流程，防火墙无需创建非知名端口映射表项，可以减少内存占用，且减少了后续的表项维护工作。另外，防火墙无需丢弃应用报文和删除会话，可以继续向FTP服务器传输应用报文，使得FTP服务器及时处理应用报文，进而终端也无需重传该应用报文，可以提高终端与FTP服务器建立数据连接的效率，减低业务时延。由于防火墙的安全业务均基于会话进行，所以本申请实施例中未删除会话，可以避免因删除会话带来的安全隐患，提高了安全性。

基于相同的技术构思，本申请实施例提供一种报文处理装置，该装置应用于防火墙，如图5所示，该装置包括：接收模块501、更新模块502、转换模块503和转发模块504。

接收模块501，用于接收终端发送的应用报文；

更新模块502，用于对所述应用报文进行内容识别，若检测到所述应用报文携带预设特征，则获取所述预设特征对应的扩展会话类型，并将当前会话数据结构更新为所述扩展会话类型对应的数据结构；

转换模块503，用于基于预存的NAT表项，对所述应用报文的源IP地址和源端口号进行NAT转换；

转发模块504，用于根据更新后的数据结构向服务器转发NAT转换后的应用报文。

可选地，所述扩展会话类型对应的数据结构包括父会话指针、关联表关系、应用层网关服务ALG指针空间、以及ALG类型；

所述ALG类型为ALG处理的应用报文的协议类型。

可选地，更新模块502，具体用于：

本申请实施例还提供了一种防火墙，如图6所示，包括处理器601、通信接口602、存储器603和通信总线604，其中，处理器601，通信接口602，存储器603通过通信总线604完成相互间的通信，

存储器603，用于存放计算机程序；

处理器601，用于执行存储器603上所存放的程序时，实现上述方法实施例中由防火墙执行的步骤。

上述防火墙提到的通信总线可以是外设部件互连标准(Peripheral ComponentInterconnect，PCI)总线或扩展工业标准结构(Extended Industry StandardArchitecture，EISA)总线等。该通信总线可以分为地址总线、数据总线、控制总线等。为便于表示，图中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

通信接口用于上述防火墙与其他设备之间的通信。

存储器可以包括随机存取存储器(Random Access Memory，RAM)，也可以包括非易失性存储器(Non-Volatile Memory，NVM)，例如至少一个磁盘存储器。可选的，存储器还可以是至少一个位于远离前述处理器的存储装置。

上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital SignalProcessing，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

在本申请提供的又一实施例中，还提供了一种计算机可读存储介质，该计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述任一报文处理方法的步骤。

在本申请提供的又一实施例中，还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述实施例中任一报文处理方法。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘Solid State Disk(SSD))等。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本申请的较佳实施例而已，并非用于限定本申请的保护范围。凡在本申请的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本申请的保护范围内。

Claims

1.一种报文处理方法，其特征在于，所述方法包括：

接收终端发送的应用报文；

对所述应用报文进行内容识别，若检测到所述应用报文携带预设特征，则获取所述预设特征对应的扩展会话类型，并将当前会话数据结构更新为所述扩展会话类型对应的数据结构；所述预设特征用于表征多通道协议；

2.根据权利要求1所述的方法，其特征在于，所述扩展会话类型对应的数据结构包括父会话指针、关联表关系、应用层网关服务ALG指针空间、以及ALG类型；

所述ALG类型为ALG处理的应用报文的协议类型。

3.根据权利要求2所述的方法，其特征在于，所述将当前会话数据结构更新为所述扩展会话类型对应的数据结构，包括：

4.一种报文处理装置，其特征在于，所述装置包括：

接收模块，用于接收终端发送的应用报文；

更新模块，用于对所述应用报文进行内容识别，若检测到所述应用报文携带预设特征，则获取所述预设特征对应的扩展会话类型，并将当前会话数据结构更新为所述扩展会话类型对应的数据结构；所述预设特征用于表征多通道协议；

5.根据权利要求4所述的装置，其特征在于，所述扩展会话类型对应的数据结构包括父会话指针、关联表关系、应用层网关服务ALG指针空间、以及ALG类型；

所述ALG类型为ALG处理的应用报文的协议类型。

6.根据权利要求5所述的装置，其特征在于，所述更新模块，具体用于：

7.一种防火墙，其特征在于，包括处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：实现权利要求1-3任一所述的方法步骤。

8.一种机器可读存储介质，其特征在于，存储有机器可执行指令，在被处理器调用和执行时，所述机器可执行指令促使所述处理器：实现权利要求1-3任一所述的方法步骤。