CN101068209B - 深度报文检查系统及方法 - Google Patents

Abstract

本发明公开了一种深度报文检查系统，其中，所述系统包括：数据分流控制单元，用于根据读取到的报文中的预设定控制信息判断报文检查的起始位置，然后通过加速通道发送所述起始位置之前的报文数据，并发送所述起始位置之后的报文数据进行检查；分析单元，用于对所述起始位置之后的报文数据进行检查，当检查到需要的关键字后，控制数据分流控制单元通过加速通道发送所述关键字后面的报文数据。本发明中，通过加速通道发送所述起始位置之前的报文数据，并发送所述起始位置之后的报文数据进行检查；当检查到关键字后，通过加速通道发送关键字后面剩下的报文数据，从而大大缩短了深度报文检查的时间，达到提高深度报文检查效率的目的。

Description

深度报文检查系统及方法

技术领域

本发明涉及数据通信领域技术，尤其涉及一种深度报文检查系统及方法。

背景技术

随着互联网技术的快速发展，网络服务供应商对客户提供了越来越多的服务内容，并且将这些服务内容根据不同的应用进行区分。这就要求网络设备能够提供较复杂的报文处理能力，能够区分不同的应用，并为不同的应用提供不同级别的带宽。

目前，网络设备都是通过4层以下的报文头信息来区别不用的应用，常用的有二层MAC地址、五元组等。但是随着网络应用越来越丰富，单纯的靠4层以下的报文头信息已经不能完全的区分不同的应用，这时就需要查看4层以上甚至报文内容的关键字来区分不同的应用，这就是深度报文检查。

目前，深度报文检查可通过硬件查找的方法实现，即通过专用的集成芯片或者FPGA(Field Programmable Gate Array，现场可编程门阵列)来实现报文内容的检查。

目前，在对报文进行深度检查时，需要对整个报文都进行检查，所以检查处理的时间比较长，从而造成深度报文检查的效率比较低。

发明内容

本发明提供一种深度报文检查系统及方法，本发明通过根据报文中的预设定控制信息判断报文检查的起始位置，然后通过加速通道发送所述起始位置之前的报文数据，并发送所述起始位置之后的报文数据进行检查；当检查到关键字后，通过加速通道发送关键字后面剩下的报文数据，从而大大缩短了深度报文检查的时间，达到提高深度报文检查效率的目的。

本发明提供了一种深度检查报文系统，包括：

数据分流控制单元，用于根据读取到的报文中的预设定控制信息判断报文检查的起始位置，然后通过加速通道发送所述起始位置之前的报文数据，并发送所述起始位置之后的报文数据进行检查；

分析单元，用于对所述起始位置之后的报文数据进行检查，当检查到需要的关键字后，控制数据分流控制单元通过加速通道发送所述关键字后面的报文数据；

加速通道，用于高速传送报文数据。

所述系统还可以包括：

检查报文缓冲单元，用于接收并缓存从数据分流控制单元得到的所述起始位置之后的报文数据，并根据分析单元的请求，将所述起始位置之后的报文数据发送给分析单元；

数据输入缓冲单元，用于接收并缓存得到的报文；

数据输出缓冲单元，用于接收并缓存通过加速通道送来的报文

其中，所述检查报文缓冲单元具体包括：

数据缓冲模块，用于接收并缓存得到的所述起始位置之后的报文数据；

写指针控制模块，当有报文数据写入所述数据缓冲模块时，所述写指针控制模块用于控制写指针的状态；

读指针控制模块，当从所述数据缓冲模块读取报文数据时，所述读指针控制模块用于控制读指针的状态；

送检查数据模块，用于按拍从数据缓冲模块中读取并缓存报文数据，当读取的报文数据符合检查的长度时，将读取到的多拍数据发送给分析单元。

数据输入缓冲单元，用于接收并缓存得到的报文；

数据输出缓冲单元，用于接收并缓存通过加速通道送来的报文。

所述分析单元具体包括：

关键字查找模块，用于根据读取到的待检查报文数据查找需要的关键字，并将查找结果通知给查找结果处理模块；

查找结果处理模块，当查找成功时，所述查找结果处理模块用于发送检查成功标志，并控制数据分流控制单元发送关键字后面的报文数据，否则，发送检查回退标志。

其中，所述关键字查找模块具体包括：

疑似匹配模块，用于根据哈希运算初步判断所述待检查报文数据是否是需要查找的关键字，当疑似匹配成功时，触发精确匹配模块；

精确匹配模块，用于将所述报文数据与预设定的关键字进行逐位比较，当逐位比较相同时，确认查找成功。

当进行精确匹配时，所述系统还包括：

关键字存储单元，用于存储预设定的关键字。

本发明提供了一种深度检查报文方法，包括：

根据读取到的报文中的预设定控制信息判断报文检查的起始位置，然后通过加速通道发送所述起始位置之前的报文数据，并发送所述起始位置之后的报文数据；

对所述起始位置之后的报文数据进行检查，当检查到需要的关键字后，通过加速通道发送所述关键字后面的报文数据。

其中，所述对所述起始位置之后的报文数据进行检查，当检查到需要的关键字后，通过加速通道发送所述关键字后面的报文数据的步骤具体包括：

根据哈希运算初步判断待检查报文数据是否是需要查找的关键字，当初步判断所述待检查报文数据是需要查找的关键字后，将所述待检查报文数据与预设定的关键字进行逐位比较；

当逐位比较相同时，发送检查成功标志，并控制数据分流控制单元发送关键字后面的报文数据，否则，发送检查回退标志。

综上所述，本发明通过根据报文中的预设定控制信息判断报文检查的起始位置，然后通过加速通道发送所述起始位置之前的报文数据，并发送所述起始位置之后的报文数据进行检查；当检查到关键字后，通过加速通道发送关键字后面剩下的报文数据，从而大大缩短了深度报文检查的时间，达到提高深度报文检查效率的目的。

附图说明

图1为本发明实施例所述深度报文检查系统的结构示意图；

图2为本发明实施所述检查报文缓冲单元的结构示意图；

图3为本发明实施例所述分析单元的结构示意图；

图4为本发明实施例所述深度报文检查方法的流程示意图；

图5为本发明实施例所述分析单元查找关键字的处理流程示意图。

具体实施方式

下面结合附图对本发明实施例所述深度报文检查系统及方法作进一步的详细描述。

首先结合附图1到附图3对本发明实施例所述深度报文检查系统进行详细阐述。

如图1所示，本发明实施例所述硬件深度报文检查引擎具体包括：

输入数据缓冲单元101，用于从主处理器芯片接收待检查的报文，并将接收到的待检查报文缓存在所述输入数据缓冲单元中，等待进一步的检查；所述输入数据缓冲单元是一个标准的先入先出队列，所以先到的报文总是先被送去检查；

数据分流控制单元102，用于从输入数据缓冲单元101中读取报文，即，当101有完整的一个报文时，便触发数据分流控制单元102，数据分流控制单元102读取输入数据缓冲单元101中的报文，并根据所述报文中预设定的控制信息判断报文检查的起始位置，起始位置之前的报文数据不需进进行检查，因为起始位置之前的报文数据通常为1-7层的报文头信息等深度检查不会关注的信息，所以起始位置之前的报文数据直接通过加速通道103快速发送给输出数据缓冲单元106即可；起始位置之后的报文数据需要进行检查，这样，数据分流控制单元102只需将所述起始位置之后的报文数据送入检查报文缓冲单元等待进行深度报文检查；所述起始位置由主处理器根据报文的情况预先设定，可以位于报文开头、结尾或中间位置，如果位于报文开头，说明整个报文都需要进行检查，如果位于报文结尾，说明整个报文都不需要进行检查；

加速通道103，用于将不需要检查的报文数据直接送到输出数据缓冲单元106；在本发明实施例的具体实施过程中，加速通道可以以很高的速度将不需要检查的报文数据直接送到输出数据缓冲单元106，这样，就可以大大缩短报文检查的时间；

检查报文缓冲单元104，用于缓存待检查的报文数据，即，由于分析单元105的处理速度较慢，所以需要进行检查的报文数据送入检查报文缓冲单元104的速度要慢于加速通道103的速度；所以当数据分流控制单元102判断出报文检查的起始位置后，将所述起始位置之后，即需要进行检查的报文数据送入检查报文缓冲单元104，等待检查；

分析单元105，深度报文检查的核心部分，主要完成报文的关键字检查，给出检查的结果，同时指示数据分流控制单元102的处理流程以及控制检查报文缓冲单元104的读操作；

关键字存储单元107，用于存储预设定的关键字，这些关键字在所述关键字存储单元中的地址由关键字通过哈希运算得到，当需要精确匹配时，分析单元105根据待检查的报文数据进行哈希运算得到读取存储器的地址，然后读取该地址的关键字，与报文数据进行逐位比较。

输出数据缓冲单元106，标准的先进先出队列，接收加速通道送来的报文数据，然后将其发送回主处理器。

其中，所述检查报文缓冲单元检查报文缓冲单元104是一个先进先出队列，但是又不同于普通的先进先出队列，因为在读写控制上，检查报文缓冲单元104有自己的控制机制，具体结构如图2所示，包括：

数据缓冲单元，负责接收从数据分流控制单元102发送来的报文数据，并将所述报文数据缓存，等待分析单元105的检查；

写指针控制模块201，当有数据需要写入检查报文缓冲单元104时，则写指针控制201会将写指针加‘1’，并且写指针控制模块201还管理检查报文缓冲单元104的满状态，当检查报文缓冲单元104满了，则向数据分流控制单元102反压；

读指针控制模块202，负责管理数据缓冲单元203的读指针及空状态，即，当分析单元105允许分析数据时，从数据缓冲单元203读取一拍数据，缓存在送检查数据模块204中，由于每次送分析单元105的数据较长，所以读一拍不够，故采用送检查数据模块204将数据缓存，等长度满足时，再送分析单元105检查。当从数据缓冲单元203读取一拍数据时，则读指针加‘1’。所述读指针控制模块202不同于普通先进先出队列的一点在于：当分析单元105给出回退指示时，需要将读指针回退若干拍，具体数值由分析单元给出。由于分析单元105的处理有延时，等其指示停止读数据时，已经有多拍的数据从数据缓冲单元203中读出，而在实现中，这部分数据不能及时得到分析单元105的检查服务，所以需要指针回退，使得这部分数据在下次被检查；

送检查数据模块204，由于分析单元105的处理有延时，为了不会将总线上的数据覆盖到，所以将数据暂时缓存下来，还有就是总线的数据不足于分析单元105做一次检查的长度，所以通过缓存多拍的数据一齐送分析单元105检查。

所述分析单元负责完成关键字的检查，并返回检查结果，具体包括：关键字检查模块和检查结果处理模块，其中，关键字检查模块还可以包括：疑似匹配模块和精确匹配模块，下面具体说明。

疑似匹配模块301，根据报文数据的字节长度做相应的哈希运算，每个字节长度采用不同的一组哈希函数；判断哈希运算的输出，如果一组哈希函数的输出都为‘1’，则说明“疑似匹配”成功，表示该字节长度的报文数据有可能是需要的关键字；

精确匹配模块302，“疑似匹配”成功后，再进行逐位比较，即“精确匹配”，即，分析单元105读取关键字存储单元中预设定的关键字，将待检查报文数据与预设定的关键字进行比较，如果逐位比较完全相同，表示待检查报文数据就是要查找的关键字，并将比较结果通知给查找结果处理模块；否则，逐位比较不完全相同，表示不是要查找的关键字，并将比较结果通知给查找结果处理模块；

检查结果处理模块303，如果逐位比较完全相同，说明查找关键字成功，检查结果处理模块303输出检查成功指示，并通知数据分流控制单元102，可以将剩下的报文直接送入输出数据缓冲单元106；如果逐位比较不完全相同，没有找到需要的关键字，则输出检查回退标志，通知检查报文缓冲单元104的读指针控制202进行读指针回退操作。

下面结合附图4到5对本发明实施例所述方法进行详细说明。

本发明实施例所述方法中，数据分流控制单元102从输入数据缓冲单元101读取报文，根据报文中的预设定控制信息判断报文检查的起始位置，然后通过加速通道发送所述起始位置之前的报文数据，并发送所述起始位置之后的报文数据进行检查；当检查到关键字后，通过加速通道发送关键字后面剩下的报文数据，具体处理流程如图4所示，可以包括以下步骤：

步骤401：在系统复位之后，数据分流控制单元102处于空闲状态，等待输入数据缓冲单元101缓存至少一个报文；

步骤402：当输入数据缓冲单元缓存一个报文之后，数据分流控制单元102开始启动，状态跳转到步骤401，读取输入数据缓冲单元中存储的报文；

步骤403：根据报文中预设定的控制信息判断报文检查的起始位置，所述起始位置之前的报文数据不需要检查，所述起始位置之后的报文需要检查，执行步骤204；如果所述起始位置在报文的开头，说明整个报文都需要检查，则直接跳转到步骤405；

步骤404：将当前从输入数据缓冲单元101得到的所述起始位置之前的报文数据，即需要检查的报文数据通过加速通道103送入输出数据缓冲单元106，将所述需要检查的报文数据全部送入106之后，则跳转到步骤405；

步骤405：将需要检查的报文数据送到检查报文缓冲单元104，等待分析单元105的检查。由于检查报文缓冲单元104的深度有限，所以会出现缓冲区满的情况，这时应停止向检查报文缓冲单元104写数据，数据分流控制单元102也停止从101中读取数据，只有当检查报文缓冲单元104允许写时，数据分流控制单元102才重新从101读取数据，并写入检查报文缓冲单元104；

步骤406：分析单元105对需要进行检查的报文数据进行检查，当查找到需要的关键字后，所述分析单元105返回检查成功的标志，并执行步骤407，否则执行步骤408；

步骤407：当分析单元105返回检查成功的标志，判断这时报文数据的读取是否已经结束，如果报文数据的读取还没有结束，则执行步骤409，将所述关键字后面的报文数据通过加速通道写入输出数据缓冲单元，因为本报文的检查已经成功完成，所以剩下的这部分报文数据就不需要做检查了；如果这时读取报文已经结束，说明整个报文的检查已经结束，则执行步骤410；

步骤408：当分析单元105没有返回检查成功的标志，则处理流程继续写数据到检查报文缓冲单元104，数据检查继续进行，这时需要判断报文是不是已经检查完成了，如果报文已经结束，则执行步骤410，表示所有的数据都已经送去检查，但是没有找到需要的关键字；

步骤409：将所述关键字后面剩下的报文数据从输入数据缓冲单元101中读取出来，然后直接通过加速通道103将报文数据写入输出数据缓冲单元106。当所有的数据都从输入数据缓冲单元101读取出来之后，则执行步骤410；

步骤410：报文检查处理流程结束，等待新一个报文的到来。

下面结合附图对本发明实施例中分析单元查找关键字的处理流程进行详细说明，所述处理流程可以分两步：第一步是哈希运算，称为“疑似匹配”，第二步是逐位比较，称为“精确匹配”，具体如图5所示，可以包括以下步骤：

步骤501：判断检查数据缓冲单元104给出的报文数据指示是否有效，当报文数据有效时，开始检查，执行步骤502，否则等待有效报文数据的到来；

步骤502：检查到报文数据有效了，然后根据报文数据的字节长度做相应的哈希运算，每个字节长度采用不同的一组哈希函数；

步骤503：判断哈希运算的输出，如果一组哈希函数的输出都为‘1’，则说明“疑似匹配”成功，表示该字节长度的报文数据有可能是需要的关键字，则执行步骤504，否则“疑似匹配”不成功，该数据不是要找的关键字，则执行步骤508，结束该次查找；

步骤504：“疑似匹配”成功后，再进行逐位比较，即“精确匹配”，即，将检查报文缓冲单元104送来的待检查的报文数据跟分析单元105从关键字存储单元中读取到的预设定的关键字进行比较逐位比较；

步骤505：如果逐位比较完全相同，表示待检查的数据就是要查找的关键字，然后执行步骤506，否则如果逐位比较不完全相同，表示不是要查找的关键字，则执行步骤507；

步骤506：逐位比较完全相同，输出检查成功指示，通知数据分流控制单元102，可以将剩下的报文直接送入输出数据缓冲单元106；

步骤507：逐位比较不完全相同，还没有找到需要的关键字，则输出指针回退指示，通知检查报文缓冲单元104的读指针控制202进行读指针回退操作。

步骤508：本次查找结束，等待下一次查找。

综上所述，本发明实施例提供了一种深度报文检查系统及方法，通过根据报文中的预设定控制信息判断报文检查的起始位置，然后通过加速通道发送所述起始位置之前的报文数据，并发送所述起始位置之后的报文数据进行检查；当检查到关键字后，通过加速通道发送关键字后面剩下的报文数据，从而大大缩短了深度报文检查的时间，达到提高深度报文检查效率的目的。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (9)

1.一种深度报文检查系统，其特征在于，包括：

数据分流控制单元，用于根据读取到的报文中的预设定控制信息判断报文检查的起始位置，然后通过加速通道发送所述起始位置之前的报文数据，并发送所述起始位置之后的报文数据进行检查；

分析单元，用于对所述起始位置之后的报文数据进行检查，当检查到需要的关键字后，控制数据分流控制单元通过加速通道发送所述关键字后面的报文数据；

加速通道，用于高速传送报文数据。

2.根据权利要求1所述的系统，其特征在于，所述系统还包括：

检查报文缓冲单元，用于接收并缓存从数据分流控制单元得到的所述起始位置之后的报文数据，并根据分析单元的请求，将所述起始位置之后的报文数据发送给分析单元。

3.根据权利要求2所述系统，其特征在于，所述检查报文缓冲单元具体包括：

数据缓冲模块，用于接收并缓存得到的所述起始位置之后的报文数据；

写指针控制模块，当有报文数据写入所述数据缓冲模块时，所述写指针控制模块用于控制写指针的状态；

读指针控制模块，当从所述数据缓冲模块读取报文数据时，所述读指针控制模块用于控制读指针的状态；

送检查数据模块，用于按拍从数据缓冲模块中读取并缓存报文数据，当读取的报文数据符合检查的长度时，将读取到的多拍数据发送给分析单元。

4.根据权利要求1到3中任意一项所述的系统，其特征在于，所述系统还包括：

数据输入缓冲单元，用于接收并缓存得到的报文；

数据输出缓冲单元，用于接收并缓存通过加速通道送来的报文。

5.根据权利要求1到3中任意一项所述的系统，其特征在于，所述分析单元具体包括：

关键字查找模块，用于根据读取到的待检查报文数据查找需要的关键字，并将查找结果通知给查找结果处理模块；

查找结果处理模块，当查找成功时，所述查找结果处理模块用于发送检查成功标志，并控制数据分流控制单元发送关键字后面的报文数据，否则，发送检查回退标志。

6.根据权利要求5所述的系统，所述关键字查找模块具体包括：

疑似匹配模块，用于根据哈希运算初步判断所述报文数据是否是需要查找的关键字，当疑似匹配成功时，触发精确匹配模块；

精确匹配模块，用于将所述报文数据与预设定的关键字进行逐位比较，当逐位比较相同时，确认查找成功。

7.根据权利要求6所述的系统，其特征在于，所属系统还包括：

关键字存储单元，用于存储预设定的关键字。

8.一种深度报文检查方法，其特征在于，包括：

根据读取到的报文中的预设定控制信息判断报文检查的起始位置，然后通过加速通道发送所述起始位置之前的报文数据，并发送所述起始位置之后的报文数据；

对所述起始位置之后的报文数据进行检查，当检查到需要的关键字后，通过加速通道发送所述关键字后面的报文数据。

9.根据权利要求8所述的方法，其特征在于，所述对所述起始位置之后的报文数据进行检查，当检查到需要的关键字后，通过加速通道发送所述关键字后面的报文数据的步骤具体包括：

根据哈希运算初步判断待检查报文数据是否是需要的关键字，如果初步判断所述待检查报文数据是需要查找的关键字，则将所述待检查报文数据与预设定的关键字进行逐位比较；

当逐位比较相同时，发送检查成功标志，并控制数据分流控制单元发送关键字后面的报文数据，否则，发送检查回退标志。

Images