[發(fā)明專利]一種數(shù)據(jù)包監(jiān)聽(tīng)方法、裝置和系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201210165569.4
• 申請(qǐng)日: 2012-05-24
• 公開(kāi)（公告）號(hào): CN103428044A
• 公開(kāi)（公告）日: 2013-12-04
• 發(fā)明（設(shè)計(jì)）人: 趙江
• 申請(qǐng)（專利權(quán)）人: 中國(guó)移動(dòng)通信集團(tuán)貴州有限公司
• 主分類號(hào): H04L12/26
• 分類號(hào): H04L12/26;H04L29/12;H04L12/947
• 代理公司: 北京中譽(yù)威圣知識(shí)產(chǎn)權(quán)代理有限公司 11279
• 代理人: 郭振興;張杏珍

1.一種數(shù)據(jù)包監(jiān)聽(tīng)方法，包括：

對(duì)由四層交換機(jī)路由和地址轉(zhuǎn)換的數(shù)據(jù)包進(jìn)行監(jiān)聽(tīng)；

其中，當(dāng)檢測(cè)到符合預(yù)先設(shè)定的會(huì)話特征的數(shù)據(jù)包時(shí)，抓取并根據(jù)預(yù)設(shè)的數(shù)據(jù)包鏡像策略在所述數(shù)據(jù)包的包頭中加入客戶端或者服務(wù)器端的真實(shí)IP地址信息以形成待分析數(shù)據(jù)包。

2.根據(jù)權(quán)利要求1所述的數(shù)據(jù)包監(jiān)聽(tīng)方法，其特征在于，所述鏡像策略是服務(wù)器端真實(shí)TCP/UDP端口鏡像策略；

其中，根據(jù)預(yù)設(shè)的數(shù)據(jù)包鏡像策略在所述數(shù)據(jù)包中加入客戶端或者服務(wù)器端的真實(shí)IP地址信息以形成待分析數(shù)據(jù)包，具體包括：

查詢四層交換機(jī)對(duì)數(shù)據(jù)包地址轉(zhuǎn)換后形成的數(shù)據(jù)包映射關(guān)系表，獲取所述數(shù)據(jù)包的客戶端真實(shí)IP地址/TCP端口號(hào)信息；

將所述客戶端真實(shí)IP地址/TCP端口號(hào)信息加入并替換掉所述數(shù)據(jù)包包頭中相應(yīng)的客戶端IP地址/TCP端口號(hào)信息。

3.根據(jù)權(quán)利要求1所述的數(shù)據(jù)包監(jiān)聽(tīng)方法，其特征在于，所述鏡像策略是客戶端真實(shí)TCP/UDP端口鏡像策略；

其中，根據(jù)預(yù)設(shè)的數(shù)據(jù)包鏡像策略在所述數(shù)據(jù)包中加入客戶端或者服務(wù)器端的真實(shí)IP地址信息以形成待分析數(shù)據(jù)包，具體包括：

查詢四層交換機(jī)對(duì)數(shù)據(jù)包地址轉(zhuǎn)換后形成的數(shù)據(jù)包映射關(guān)系表，獲取所述數(shù)據(jù)包的服務(wù)器端真實(shí)IP地址/TCP端口號(hào)信息；

將所述服務(wù)器端真實(shí)IP地址/TCP端口號(hào)信息加入并替換掉所述數(shù)據(jù)包包頭中相應(yīng)的服務(wù)器端IP地址/TCP端口號(hào)信息。

4.根據(jù)權(quán)利要求1~3任一所述的數(shù)據(jù)包監(jiān)聽(tīng)方法，其特征在于，所述預(yù)先設(shè)定數(shù)據(jù)包會(huì)話特征選取以下任一或者組合：

包含客戶端IP地址，或服務(wù)器端IP地址，或客戶端TCP端口號(hào)，或目的端TCP端口號(hào)的數(shù)據(jù)包；

或者，包含中斷連接指令的數(shù)據(jù)包，或包含錯(cuò)誤信息指令的數(shù)據(jù)包，或者，所有的數(shù)據(jù)包。

5.根據(jù)權(quán)利要求4所述的數(shù)據(jù)包監(jiān)聽(tīng)方法，其特征在于，還包括：將上述待分析數(shù)據(jù)包從鏡像端口中傳遞給分析儀；

從所述待分析數(shù)據(jù)包中提取出客戶端真實(shí)IP地址和服務(wù)器端真實(shí)IP地址并進(jìn)行后續(xù)分析。

6.根據(jù)權(quán)利要求1~3任一所述的數(shù)據(jù)包監(jiān)聽(tīng)方法，其特征在于，還包括：接收獲取四層交換機(jī)對(duì)數(shù)據(jù)包地址轉(zhuǎn)換形成的數(shù)據(jù)包映射關(guān)系表的請(qǐng)求；

將所述數(shù)據(jù)包映射關(guān)系表轉(zhuǎn)換成可讀文件并通過(guò)鏡像端口發(fā)送給分析儀。

7.一種數(shù)據(jù)包監(jiān)聽(tīng)裝置，包括：

參數(shù)設(shè)定單元，用于獲取預(yù)先設(shè)定的需要監(jiān)聽(tīng)的數(shù)據(jù)包會(huì)話特征和數(shù)據(jù)包鏡像策略；

會(huì)話流量監(jiān)聽(tīng)單元，用于對(duì)由四層交換機(jī)路由和地址轉(zhuǎn)換的數(shù)據(jù)包進(jìn)行監(jiān)聽(tīng)；

關(guān)系映射表存儲(chǔ)單元，用于存儲(chǔ)所述四層交換機(jī)對(duì)數(shù)據(jù)包地址轉(zhuǎn)換形成的數(shù)據(jù)包映射關(guān)系表；

數(shù)據(jù)包打包單元，用于當(dāng)檢測(cè)到符合所述預(yù)先設(shè)定的會(huì)話特征的數(shù)據(jù)包時(shí)，抓取并根據(jù)預(yù)設(shè)的鏡像策略在所述數(shù)據(jù)包的包頭中加入客戶端或者服務(wù)器端的真實(shí)IP地址信息以形成待分析數(shù)據(jù)包。

8.根據(jù)權(quán)利要求7所述的數(shù)據(jù)包監(jiān)聽(tīng)裝置，其特征在于，所述數(shù)據(jù)包鏡像策略選取客戶端真實(shí)TCP/UDP端口鏡像策略或者服務(wù)器端真實(shí)TCP/UDP端口鏡像策略。

9.根據(jù)權(quán)利要求7所述的數(shù)據(jù)包監(jiān)聽(tīng)裝置，其特征在于，所述數(shù)據(jù)包打包單元，具體包括：

數(shù)據(jù)包查詢子單元，用于當(dāng)所述數(shù)據(jù)包鏡像策略是服務(wù)器端TCP/UDP端口鏡像策略時(shí)，查詢數(shù)據(jù)包映射關(guān)系表，獲取所述數(shù)據(jù)包的客戶端真實(shí)IP地址/TCP端口號(hào)信息；

數(shù)據(jù)包打包子單元，用于將所述客戶端真實(shí)IP地址/TCP端口號(hào)端口信息加入并替換掉所述數(shù)據(jù)包包頭中相應(yīng)的客戶端IP地址/TCP端口號(hào)信息。

10.根據(jù)權(quán)利要求7所述的數(shù)據(jù)包監(jiān)聽(tīng)裝置，其特征在于，所述數(shù)據(jù)包打包單元，具體包括：

數(shù)據(jù)包查詢子單元，用于當(dāng)所述數(shù)據(jù)包鏡像策略是客戶端TCP/UDP端口鏡像策略時(shí)，查詢數(shù)據(jù)包映射關(guān)系表，獲取所述數(shù)據(jù)包的服務(wù)器端真實(shí)IP地址/TCP端口號(hào)信息；

數(shù)據(jù)包打包子單元，用于將所述服務(wù)器端真實(shí)IP地址/TCP端口號(hào)端口信息加入并替換掉所述數(shù)據(jù)包包頭中相應(yīng)的服務(wù)器端IP地址/TCP端口號(hào)信息。