[發明專利]基于雙超時網絡報文的組流方法

有效

• 申請號: 201110428856.5
• 申請日: 2011-12-20
• 公開（公告）號: CN102437959A
• 公開（公告）日: 2012-05-02
• 發明（設計）人: 程光
• 申請（專利權）人: 東南大學
• 主分類號: H04L12/56
• 分類號: H04L12/56;H04L12/24
• 代理公司: 南京天翼專利代理有限責任公司 32112
• 代理人: 湯志武

1.一種基于雙超時網絡報文的組流方法，其特征在于：

步驟一、設置網絡流記錄，所述的網絡流記錄由源IP地址、宿IP地址、協議、源端口、宿端口、報文數、流結束標識以及最后一個報文到達時間構成，設置一個網絡流緩存用于保存網絡流記錄，設置短超時st，長超時lt，st在10毫秒到1秒之間取值，lt在1秒到64秒之間取值，設置網絡流記錄檢查周期T，檢查周期T取值大于等于1秒，設置系統運行結束時間，測量測量器的本周期開始時間CT0，進入步驟二；

步驟二、當一個報文到達測量器，測量器測量當前報文的到達時間，測量器從報文頭中提取源IP地址、宿IP地址、協議、源端口、宿端口，如果所測量報文是TCP報文，報文的TCP標識是FIN或RST，則報文結束標識設置為1，否則設置報文結束標識為0，進入步驟三；

步驟三、在網絡流緩存中查找由所測量報文的源IP地址、宿IP地址、協議、源端口和宿端口構成五元組的網絡流記錄，如果找到所述的網絡流記錄，則將所述的網絡流記錄中的報文數增加1，更新流結束標識，設置網絡流記錄中最后一個報文到達時間為當前報文的到達時間，否則在網絡流緩存中增加一條新的網絡流記錄，該新的網絡流記錄中的源IP地址、宿IP地址、協議、源端口和宿端口分別設置為所測量報文中提取的源IP地址、宿IP地址、協議、源端口和宿端口，新的網絡流記錄中的報文數設置為1，新的網絡流記錄中的流結束標識設置為報文結束標識，設置網絡流記錄中最后一個報文到達時間為所測量報文的到達時間，進入步驟四；

步驟四、測量測量器的當前時間CT₁，如果CT₁-CT₀＜T，回到步驟二測量下一個報文，否則進入步驟五；

步驟五、檢查網絡流緩存中的每條網絡流，如果所檢查網絡流的流結束標識為1，最后一個報文到達時間為t₀，CT₁-t₀＞st，則所檢查網絡流結束，將所檢查網絡流記錄輸出，否則如果所檢查網絡流的流結束標識為0，CT₁-t₀＞lt，則所檢查網絡流結束，將所檢查網絡流記錄輸出，進入步驟六；

步驟六、如果系統運行結束時間沒有到達，設置CT₀＝CT₁，回到步驟二進行下一個周期的測量，否則將網絡流緩存中所有的網絡流記錄輸出。

2.根據權利要求1所述的基于雙超時網絡報文的組流方法，其特征在于，所述的更新網絡流的結束標識方法為：如果所測量報文的結束標識為1，則設置網絡流的結束標識為1，如果所測量報文的結束標識為0，則網絡流的結束標識保持不變；

3.根據權利要求1或2所述的基于雙超時網絡報文的組流方法，其特征在于，所述網絡流緩存為：使用哈希鏈表方法或按順序直接存儲方法在內存中維護網絡流記錄。

4.根據權利要求1所述的基于雙超時網絡報文的組流方法，其特征在于，所述的網絡流記錄輸出為：將所述網絡流記錄的源IP、宿IP、協議、源端口、宿端口、報文數、最后一個報文到達時間輸出，同時將所述網絡流記錄從網絡流緩存中刪除。