CN100542094C - 一种网际协议报文的统计方法 - Google Patents

Abstract

本发明公开了一种网际协议报文的统计方法，关键是：在运行网际协议(IP)网络的路由设备的IP层设置功能模块；预先设置需统计的地址列表范围，当网络间报文流经所述路由设备时，判断是否使能所述功能模块，当使能所述功能模块中的地址列表统计功能时，判断当前IP报文是否在地址列表内，如果是则更新地址列表内的报文统计记录；否则更新地址列表外的报文统计记录。当使能防火墙拒绝报文统计功能时，判断当前IP报文是否为被路由设备防火墙功能拒绝的报文，如果是则更新防火墙拒绝报文的记录，该记录包括违反的ACL规则号。该方法可根据用户需要简单、方便、灵活的统计出所需的IP报文信息。

Description

一种网际协议报文的统计方法

技术领域

本发明涉及报文流量统计技术，特别是一种对流经路由设备的网际协议(IP)报文进行统计的方法。

背景技术

流量控制在通信网有着非常重要的作用，它能有效地利用通信系统的资源，同时也能保障通信系统的稳定运行，满足客户对服务质量的需求。例如：在互联网中，有时由于服务器处理过多的包会导致服务器性能降低，如果采用流量控制技术，则可以保证服务器不过载，从而保护了服务器。另外，目前互联网上的病毒肆虐造成网络的负载加大，甚至有时造成网络的瘫痪，采用流量控制可以一定程度地减少网络负载，从而保证网络的运行。

为了有效地进行网络流量控制，必须首先对流量进行统计，系统再根据这些统计信息进行相应的流量控制。当前对于流量的统计有多种实现方法，最常用的有两种：

一种是采用网络流量模块(NetFlow)来进行统计，其统计过程如下：先根据一个报文的目的IP地址、源IP地址、目的端口号、源端口号、协议号、服务类型(TOS)、输入/输出接口来判定一个数据流；接着针对这些数据流做独立的数据统计；然后将获得的这些统计信息定期向一个服务器(Server)发送，最后由Server进行后续处理。这种方法的优点是：能够提供详细的统计信息，为流量计费提供可靠的依据。但该方法也存在明显的缺点：其一，不能方便地显示统计信息；其二，因为统计信息必须定期向一个Server发送，最后由Server进行后续处理，不能完全在本地客户机完成流量统计，因而实现复杂，占用资源很多。对于一些较简单的流量统计，例如只关注一些暂时数据的流量统计或只进行大致的流量信息统计时，就会浪费太多资源。

另一种是防火墙(Firewall)统计被拒绝报文的方法，其通过防火墙自身提供的统计功能来对被防火墙拒绝的数据流进行统计，这种方法的缺点在于：只能够统计出被防火墙拒绝的报文总数，而不能够提供详细的统计信息以及被防火墙拒绝的数据流对应的访问控制列表(ACL)规则。

发明内容

有鉴于此，本发明的主要目的在于提供一种网际协议报文的统计方法，使其能根据用户需要简单、方便、灵活的统计出所需的IP报文信息。

为达到上述目的，本发明的技术方案是这样实现的：

一种网际协议报文的统计方法，关键在于：在运行网际协议(IP)网络的路由设备上，设置用于统计到达该路由设备的IP报文类型、流量情况以及该路由设备对所流经数据流处理状况的功能模块，该功能模块被设置在IP层发送报文和接收报文的位置，用于对IP层的数据包进行分类统计处理，处理完成后，立刻将数据包交给IP层继续转发；

预先设置需要统计的地址列表范围，该方法还包括以下步骤：

当网络间报文流经所述路由设备时，判断是否使能所述功能模块，如果使能，则该功能模块根据当前IP报文的地址、协议信息、对当前报文的处理状况以及预先设定的报文类别，对所需统计的报文进行分类统计，并更新每类记录中的报文统计信息；否则，结束本流程。

其中，所述的报文类别为地址列表内报文、或为地址列表外报文、或为被路由设备防火墙功能拒绝的报文、或为三者的任意组合；

所述判断是否使能所述功能模块为判断是否使能所述功能模块中的地址列表统计功能；所述对所需统计的报文进行分类统计，并更新每类记录中的报文统计信息包括：判断当前IP报文是否在地址列表内，如果是，则更新地址列表内的报文统计记录；否则，更新地址列表外的报文统计记录；

所述判断是否使能所述功能模块进一步包括判断是否使能所述功能模块中的防火墙拒绝报文统计功能；所述对所需统计的报文进行分类统计，并更新每类记录中的报文统计信息进一步包括：判断当前IP报文是否为被路由设备防火墙功能拒绝的报文，如果是，则更新防火墙拒绝报文的记录。所述防火墙拒绝报文的记录包括：防火墙拒绝报文的源地址、目的地址、包数、字节数和违反的访问控制列表(ACL)规则号。

其中，所述报文流经路由设备为当前IP报文经过路由设备的入口处，或为当前IP报文经过路由设备的出口处。

上述方案中，所述更新每类记录中的报文信息进一步包括：收到当前IP报文后，根据当前IP报文中的源IP地址、目的IP地址和协议号，判断当前报文所属类别中是否存在对应当前报文的记录，如果存在，则刷新该记录中的包数和字节数；否则，创建一个对应当前IP报文的新记录，存储当前IP报文的包数和字节数。则该方法还包括：预先为每类记录设置一个统计总数阈值，如果当前报文所属类别中不存在对应当前报文的记录，则再判断当前报文所属类别中记录的个数是否大于该类记录的统计总数阈值，如果是，则结束本流程；否则，再创建对应当前IP报文的新记录，并存储当前IP报文的包数和字节数。

该方法进一步包括：预先设置一个以上用于存储不同类别记录的哈希(HASH)表。

因此，本发明所提供的IP报文统计方法，是在连接网络的路由设备上设置IP Statistic功能模块，用于统计流经路由设备的各类报文。由于是根据当前数据流的源IP地址、目的IP地址和协议号进行分类统计，实现简单、方便；用户可以根据需要设置不同的统计类别，比如：先设定一个地址列表范围，然后可设置对该地址列表内、地址列表外的报文分别进行统计，对于用户来说使用更灵活；IP Statistic功能模块统计出的信息可在本地客户机上进行显示，比如：显示源IP地址、目的IP地址、包数、字节数和协议号，或是显示源IP地址、目的IP地址、包数、字节数和违反的ACL规则号，如此，易于实现且占用资源少。

附图说明

图1为采用IP Statistic模块的一应用实例组网示意图；

图2为本发明中IP Statistic模块在网络协议层中的位置示意图；

图3为本发明中IP Statistic模块内部的工作流程图；

图4为依照本发明在IP层的入口处或出口处调用IP Statistic的处理流程图。

具体实施方式

本发明的基本思想是：在运行IP协议的网络的路由设备上，设置用于统计到达该路由设备的IP报文类型和流量情况，以及该路由设备对流经数据流处理状况的功能模块。本发明中将该功能模块称之为IP Statistic功能模块，并在该IP Statistic功能模块中分别设置对应各类别需统计项的多个记录项，用于记录统计信息。当报文经过路由设备的出口或入口时，根据需统计项分类统计并更新对应的存储记录。这里的需统计项包括：根据流经IP报文的地址和协议信息对所需统计的报文进行分类统计；以及根据路由设备对当前IP报文的处理情况所处理报文进行分类统计，如转发或丢弃报文量等。

图1为实现本发明思想的一种应用实例的组网示意图，参见图1，本实施例中，路由设备为含有IP Statistic功能模块的一台路由器13，该路由器13连接两个以太网络：网络11和网络12，也就是说，网络11和网络12通过具有IP Statistic功能模块的路由器13连接起来。其中，路由器13的入接口15与网络11相连，路由器13的出接口14与网络12相连。网络11由计算机PC1和PC2通过以太网接口连接构成，网络12由计算机PC3和PC4通过以太网接口连接构成。

那么，基于上述组网结构，如果在路由器13的出接口14上启动IP Statistic出口统计功能，则可以根据由IP报文的源地址、目的地址和协议号组成的三元组统计出从该接口发往网络12的数据流量。如果在出接口14上配置了出防火墙，通过IP Statistic，则可统计出被路由器出防火墙拒绝的数据流量，统计信息包括被拒绝的IP报文个数、字节数及相应的ACL规则。

同样，如果在路由器13的入接口15上启动IP Statistic入口统计功能，则可统计出从网络11发往路由器13的数据流。同时，如果在该接口上配置了入防火墙，则可统计出被路由器入防火墙拒绝的报文。

图2为本发明中IP Statistic模块在网络协议层中的位置示意图，由图可见，IP Statistic功能模块24被设置在IP层22中，从位置上看，可以认为IP Statistic是IP层22提供的一个功能模块。IP层22的下层是链路层(Link Layer)23，上层是传输控制层协议/用户数据报协议层(TCP/UDP)21。IP Statistic功能模块24嵌在IP层22发送报文和接收报文的位置，其功能是对IP层22的数据包进行分类统计处理，处理完成后，立刻将数据包交给IP层22继续转发。至于IP Statistic模块功能的实现方式，由于IP Statistic是属于IP层的一个功能模块，可对其生成相应的接口函数提供给IP层调用。

下面以根据报文源IP地址、目的IP地址和协议号统计三类报文流量信息为例，结合附图对本发明再作进一步详细的说明。

本实施例中，预先在IP Statistic功能模块内设置并保存三个哈希(HASH)表，分别存放地址列表内、地址列表外和被路由器防火墙功能拒绝的数据流的统计信息。参见图3所示，IP Statistic功能模块在进行数据流量统计时，该功能模块对报文的统计具体包括以下步骤：

步骤31：待统计的报文进入IP Statistic功能模块后，该功能模块根据当前报文中的源IP地址、目的IP地址和协议号，判断对应的HASH表中是否存在相应的表项，如果存在，则进入步骤32；如果不存在，则进入步骤34。其中，HASH表中是否存在相应表项的判定标准是：将数据流根据源IP地址、目的IP地址和协议号进行划分，源IP地址、目的IP地址和协议号都相同的报文才属于同一个数据流。每个HASH表的每个表项中存放数据流的包数和字节数，每一个数据流对应一个HASH表项。

步骤32～33：对相应HASH表中的数据包数和字节数进行更新，比如：当前报文的源IP地址为173.16.13.14，目的IP地址为4.4.1.192，协议号为TCP；当前报文包括10个包，180个字节，且在IP Statistic功能模块的地址列表内HASH表中已存在该HASH表项，则将地址列表内HASH表中该表项所记录的报文包数增加10、字节数增加180，之后结束统计。

步骤34～36：先在对应的HASH表中创建相应的表项，然后再将当前报文的包数和字节数记录在新生成的表项中。比如：当前报文的源IP地址为173.16.13.14，目的IP地址为4.4.1.192，协议号为TCP；当前报文包括10个包，180个字节。该报文应该归入IP Statistic功能模块的地址列表内HASH表中，但在此HASH表中目前没有对应的HASH表项，则先在该地址列表内HASH表中生成一个新的对应当前报文的HASH表项，再将当前报文的10个包、180个字节记录在该表项中，之后结束统计。

为了控制该IP Statistic功能模块不超负荷，可预先为每个HASH表设置一个表项总数的阈值，比如：设置地址列表内HASH表的表项总数阈值为300；地址列表外HASH表的表项总数阈值为200；被防火墙拒绝HASH表的表项总数阈值为150等等。那么，在上述统计流程中的步骤34之前，需要增加一个步骤37，判断当前HASH表的表项总数是否超过预先设定的阈值，如果是，则不再创建新的表项，直接退出统计流程；否则，再进入步骤37创建新的HASH表项，然后分别进行包数和字节数的更新。

在实际应用中，用户根据自身需要，配置要统计的数据流所在的地址列表(Statistic-list)。例如，可配置Statistic-list的范围为：1.1.1.1到0.0.255.255，该范围指明了一个1.1.0.0的网段。那么，如果当前传输数据流的源IP地址或目的IP地址有一个在该网段内，则当前报文属于IP Statistic功能模块中的地址列表内HASH表；否则，当前报文属于IP Statistic功能模块中的地址列表外HASH表。

另外，如果需要配置IP Statistic的统计防火墙拒绝报文功能，则将被路由器防火墙拒绝的数据流信息统计放在防火墙HASH表中。

由于可将IP Statistic功能模块生成相应的接口函数供IP层调用，所以可根据用户需要，在路由设备的入口处或出口处调用由IP Statistic生成的接口函数，进而对流入或流出的路由设备的报文进行统计。

在路由设备的入口处或出口处进行报文统计的流程是相同的，如图4所示，具体包括以下步骤：

步骤41：在IP层入口处或出口处，判断是否使能IP Statistic功能，若不使能，即不需启动IP Statistic功能模块，则进入步骤45；否则，如果使能，即启动IP Statistic功能模块，则进入步骤42。

步骤42～44：判断当前数据流，即报文是否在地址列表内，若在地址列表内，则对当前数据流进行统计，并对地址列表内HASH表中的表项进行更新或增添，具体实现如图3所示；若不在地址列表内，则同样对当前数据流进行统计，但是对地址列表外HASH表中的表项进行更新或增添，具体实现仍如图3所示。

步骤45～47：判断是否使能IP Statistic统计防火墙拒绝报文功能，若不使能该功能，则系统退出IP Statistic功能模块；若使能该功能，则判断当前报文是否被路由器防火墙拒绝，若没有被拒绝，则系统退出IP Statistic功能模块；若被拒绝，则对被路由器防火墙拒绝的报文进行统计，然后对防火墙HASH表中的表项进行更新或增添，之后，系统退出IP Statistic功能模块。

不论在路由设备的入口处还是出口处统计数据流，完成IP Statistic统计后，统计信息可在本地客户机上进行显示，显示的内容如表一、表二所示。其中，表一为对地址列表内(Interior)数据或地址列表外(Exterior)数据统计后的显示信息的一个实例；表二为对防火墙拒绝数据(Firewall)统计后的显示信息的一个实例。

Src	Dst	Packets	Bytes	Protocol
					173.16.13.14	4.4.1.192	6	120	TCP
173.16.13.14	4.4.1.192	8	160	UDP
					10.116.13.14	4.4.1.192	1	20	79
172.16.13.14	4.4.1.192	10	508	IGRP
					100.16.13.14	1.2.1.192	39	754	TCP
173.16.13.14	10.10.1.192	210	10	TCP
					173.16.13.14	2.2.1.192	1	20	45

表一

Src

Dst

Packets

Bytes

ACL

131.1.1.1	8.2.2.2	60	100	8
					131.1.1.1	9.2.2.2	20	30	7
131.1.1.1	8.2.2.2	80	70	4
					131.2.2.3	7.3.3.3	69	178	6

表二

表一、表二中，Src代表源地址，Dst代表目的地址，Packets表示包数，Bytes表示字节数，Protocol表示协议号，如果是可识别的常用协议，则给出表示该协议的字符串；如果是不能识别的协议，则给出协议号，ACL表示违反的ACL规则号。

由上述可见，在实际应用中，如果需要知道某段时间内经过路由器到某地址段中的任何一个地址的数据流量信息，只要通过配置IP Statistic使能进行统计，则可以很清楚地统计出报文个数和字节数。如果某个黑客对路由器进行攻击，通过使能IP Statistic的统计防火墙功能，则可很清楚地统计出攻击的源IP地址、目的IP地址以及所违反的ACL规则，如此用户可以通过得到的统计信息作出相应的处理。

在上述过程中，用户需要统计何种报文信息都可以预先设置，然后根据当前报文的地址、协议等信息进行相应的统计，而且，所用的存储表也不仅限于HASH表。总之，以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (5)

1、一种网际协议报文的统计方法，其特征在于，在运行网际协议IP网络的路由设备上，设置用于统计到达该路由设备的IP报文类型、流量情况以及该路由设备对所流经数据流处理状况的功能模块，该功能模块被设置在IP层发送报文和接收报文的位置，用于对IP层的数据包进行分类统计处理，处理完成后，立刻将数据包交给IP层继续转发；

预先设置需要统计的地址列表范围，该方法还包括以下步骤：

当网络间报文流经所述路由设备时，判断是否使能所述功能模块，如果使能，则该功能模块根据当前IP报文的地址、协议信息、对当前报文的处理状况以及预先设定的报文类别，对所需统计的报文进行分类统计，并更新每类记录中的报文统计信息；否则，结束本流程；

其中，所述的报文类别为地址列表内报文、或为地址列表外报文、或为被路由设备防火墙功能拒绝的报文、或为三者的任意组合；

所述判断是否使能所述功能模块为判断是否使能所述功能模块中的地址列表统计功能；所述对所需统计的报文进行分类统计，并更新每类记录中的报文统计信息包括：判断当前IP报文是否在地址列表内，如果是，则更新地址列表内的报文统计记录；否则，更新地址列表外的报文统计记录；

所述判断是否使能所述功能模块进一步包括判断是否使能所述功能模块中的防火墙拒绝报文统计功能；所述对所需统计的报文进行分类统计，并更新每类记录中的报文统计信息进一步包括：判断当前IP报文是否为被路由设备防火墙功能拒绝的报文，如果是，则更新防火墙拒绝报文的记录；所述防火墙拒绝报文的记录包括：防火墙拒绝报文的源地址、目的地址、包数、字节数和违反的访问控制列表(ACL)规则号。

2、根据权利要求1所述的方法，其特征在于，所述更新每类记录中的报文信息进一步包括：收到当前IP报文后，根据当前IP报文中的源IP地址、目的IP地址和协议号，判断当前报文所属类别中是否存在对应当前报文的记录，如果存在，则刷新该记录中的包数和字节数；否则，创建一个对应当前IP报文的新记录，存储当前IP报文的包数和字节数。

3、根据权利要求2所述的方法，其特征在于，该方法进一步包括：预先为每类记录设置一个统计总数阈值，如果当前报文所属类别中不存在对应当前报文的记录，则再判断当前报文所属类别中记录的个数是否大于该类记录的统计总数阈值，如果是，则结束本流程；否则，再创建对应当前IP报文的新记录，并存储当前IP报文的包数和字节数。

4、根据权利要求1所述的方法，其特征在于，所述报文流经路由设备为当前IP报文经过路由设备的入口处，或为当前IP报文经过路由设备的出口处。

5、根据权利要求1所述的方法，其特征在于，该方法进一步包括：预先设置一个以上用于存储不同类别记录的哈希(HASH)表。

Images