[發(fā)明專利]基于硬件多級表的輸出流量控制方法

無效

• 申請?zhí)枺?/td>: 201110003670.5
• 申請日: 2011-01-10
• 公開（公告）號: CN102075423A
• 公開（公告）日: 2011-05-25
• 發(fā)明（設(shè)計）人: 唐勇;陳曙暉;李韜;蘇金樹;王勇軍;趙國鴻;宣蕾;陸華彪;陸華彪
• 申請（專利權(quán)）人: 中國人民解放軍國防科學技術(shù)大學
• 主分類號: H04L12/56
• 分類號: H04L12/56
• 代理公司: 國防科技大學專利服務(wù)中心 43202
• 代理人: 郭敏

技術(shù)領(lǐng)域

本發(fā)明涉及高速網(wǎng)絡(luò)流量監(jiān)控領(lǐng)域，尤其是高速網(wǎng)絡(luò)上超負載流量的控制方法。

背景技術(shù)

高速網(wǎng)絡(luò)內(nèi)容監(jiān)控系統(tǒng)一般由前端數(shù)據(jù)捕獲分流設(shè)備和后端分析系統(tǒng)組成，總體結(jié)構(gòu)如圖1所示。前端數(shù)據(jù)捕獲分流設(shè)備完成網(wǎng)絡(luò)接入、數(shù)據(jù)捕獲和分流、數(shù)據(jù)過濾和分析等功能，主要由包含硬件DPI（DPI：深度報文檢測）模塊的輸入卡、輸出卡組成。輸入卡接收網(wǎng)絡(luò)數(shù)據(jù)流，其中的硬件DPI模塊進行深度報文檢測處理(例如規(guī)則匹配)，處理后的報文從輸出卡的端口輸出至后端分析系統(tǒng)，輸出卡根據(jù)后端分析系統(tǒng)的負載能力進行負載均衡。后端分析系統(tǒng)對前端設(shè)備輸出的報文進行進一步分析，實現(xiàn)網(wǎng)絡(luò)行為審計、網(wǎng)絡(luò)內(nèi)容審計和入侵檢測。隨著骨干網(wǎng)鏈路速度的不斷提升，高速網(wǎng)絡(luò)內(nèi)容監(jiān)控系統(tǒng)面臨的主要問題是：巨大流量經(jīng)常超出后端分析系統(tǒng)的處理能力，因此前端設(shè)備需要對輸出流量進行控制，通過丟棄部分報文使流量符合后端系統(tǒng)的處理能力。由于后端分析系統(tǒng)通常基于流（TCP或UDP流，包括通信雙方一個會話中的所有報文）進行數(shù)據(jù)分析，所以要求流量控制時盡可能保持“流完整性”，即丟棄的報文集中在少量流中，而使盡可能多的流不丟棄報文，保持流完整性。因此，這就需要一種新的能夠保持流完整性的流量控制方法。

現(xiàn)有的流量控制方法主要有：?

1．出口負載均衡方法。其基本的思想是將流量盡可能平均的分配給多個出口，以減少報文的丟棄。但是考慮到各個出口所連接的后端系統(tǒng)的處理能力可能不同，實際流量大小也不同，在實現(xiàn)中很難做到平衡、靈活的分流。更為重要的是，出口負載均衡不能保證流完整性。

2．擁塞控制方法。大多數(shù)網(wǎng)絡(luò)設(shè)備都有擁塞控制機制，當報文的等待隊列已滿時，擁塞控制機制將丟棄多余的報文，但是通常這種丟棄是隨機的，不保持流的完整性。

3．QoS（Quality?of?Service，服務(wù)質(zhì)量）方法。根據(jù)應(yīng)用協(xié)議確定報文的優(yōu)先級，當網(wǎng)絡(luò)發(fā)生擁塞時，優(yōu)先級高的報文不會被丟棄，而對于低優(yōu)先級的應(yīng)用不能保持流的完整性。同時，由于優(yōu)先級只根據(jù)應(yīng)用協(xié)議確定，流量控制的靈活性差。總結(jié)以上幾種方法，其共有的最大缺陷是不保證流的完整性，難以滿足高速網(wǎng)絡(luò)內(nèi)容監(jiān)控系統(tǒng)的需要。現(xiàn)有的網(wǎng)絡(luò)設(shè)備大多采用以上方法的一種或幾種，綜合起來進行流量控制，但是對于流的完整性仍無法保證。

發(fā)明內(nèi)容

本發(fā)明要解決的技術(shù)問題是在保證流的完整性的前提下進行流量控制。

為解決上述具體技術(shù)問題，技術(shù)方案包括以下步驟：

第一步，構(gòu)建高速網(wǎng)絡(luò)內(nèi)容監(jiān)控系統(tǒng)，高速網(wǎng)絡(luò)內(nèi)容監(jiān)控系統(tǒng)由輸入卡、輸出卡、控制主機、后端分析系統(tǒng)組成。輸入卡中增加優(yōu)先級模塊，優(yōu)先級模塊與硬件DPI模塊和輸入卡的輸出端口相連，它從硬件DPI接收經(jīng)深度報文檢測處理的報文，確定報文的優(yōu)先級，然后將確定了優(yōu)先級的報文傳送給輸出卡；輸出卡與輸入卡、控制主機、后端分析系統(tǒng)相連，一個輸出卡有一個輸入端口和若干輸出端口，在輸出卡各輸出端口增加流量控制模塊，各輸出端口的流量控制模塊與輸出卡的輸入端口、控制主機和后端分析系統(tǒng)相連，流量控制模塊決定對報文發(fā)送或丟棄；控制主機與輸出卡相連，其上運行流量控制軟件，流量控制軟件統(tǒng)計流量，并根據(jù)流控策略設(shè)置丟棄標志位，從而控制流量控制模塊進行流量控制。?

優(yōu)先級模塊由控制邏輯和優(yōu)先級表組成。控制邏輯分為報文取頭邏輯和加報文頭邏輯，報文取頭邏輯接收硬件DPI模塊輸出的頭部帶有規(guī)則ID號的報文，將其頭部的規(guī)則ID號取出，并查找優(yōu)先級表，獲得規(guī)則ID與優(yōu)先級號的對應(yīng)關(guān)系，找出該規(guī)則ID對應(yīng)的優(yōu)先級號，再由加報文頭邏輯將優(yōu)先級號加在報文頭部。優(yōu)先級表的每個表項包括規(guī)則ID值和優(yōu)先級號兩個域，規(guī)則ID值是此報文匹配的規(guī)則號，優(yōu)先級號是此規(guī)則ID值對應(yīng)的優(yōu)先級，一個規(guī)則ID值對應(yīng)一個優(yōu)先級號，優(yōu)先級號越小表示優(yōu)先級越高。這兩個域的項數(shù)均為P個，P為正整數(shù)。