CN101159591A - 实现异种类型端口镜像的方法和系统 - Google Patents

Abstract

本发明所述的一种实现异种类型端口镜像的方法，是在现有的路由器硬件构架，通过软件实现对特殊类型端口进行监控，将E1、CE1或T1等广域网线路镜像到以太网类型接口上，并在不改变数据包内容的情况下，改变数据头的封装，将数据链路层的PPP、Frame－Relay或HDLC协议的报文头转为以太网类型的报文头，使得接在以太网接口上的PC机可以通过常见的抓包软件来分析数据包。本发明只需对路由器软件进行升级，无需增加硬件，也无需专业的分析设备，因此，节约了成本。另外，通过丰富的端口镜像软件参数设置，可实现灵活多样的监控方式。

Description

实现异种类型端口镜像的方法和系统

技术领域

本发明涉及一种实现异种类型端口镜像的方法和系统，尤其涉及数据通讯领域的端口镜像技术。

背景技术

在以太网交换机和路由器网络环境下，一般可以通过端口镜像功能实现对一个或一个以上的以太网类型的接口进行监控，从而可以网络内部的数据进行监控管理，在网络出故障的时候，可以做到很好的故障定位。

但是在目前广泛采用支持端口镜像功能的交换机或路由器来实现，通过配置交换机或路由器把一个或多个端口的数据转发到某一个端口来实现对网络的监听，这种监听目前只限于以太网类型的端口，对于广域网类型的接口目前还没有设备能够支持。而如果采用专业的广域网接口分析仪器，价格又太高。目前，几乎没有厂家的设备能够做到广域网类型到以太网类型的端口镜像。

发明内容

本发明的目的是为了克服了现有技术中对异种类型端口不能做端口镜像的缺点，解决现有技术中存在的异种类型端口镜像问题，不但实现广域网类型接口向以太网类型接口的端口镜像，而且可以构造辅助的以太网报文头，使得常见的抓包软件能够分析处理镜像后的数据包。

本发明所述的一种实现异种类型端口镜像的方法，如图1所示，包括如下步骤：

步骤S102，在路由器上通过命令来配置端口镜像，所述端口镜像配置包括会话号、源端口和目的端口参数，而所述会话号用于表示所述端口镜像的唯一标示，所述源端口用于表示所要分析的端口，所述目的端口用于表示链接分析装置的端口；

步骤S104，在路由器内部将广域网接口所收到的数据包进行解析，以构造镜像报文；

步骤S106，对于所述镜像报文，构造一个以太网报文头；以及

步骤S108，把所构造好的报文从所述镜像的目的端口发送出去，以通过接在以太网接口上的分析装置中的抓包软件进行分析。

作为本发明的一种优选方案，所述的一种实现异种类型端口镜像的方法还包括：所述会话号进一步用1-64中的一个数值来表示所述端口镜像的唯一标示。

作为本发明的另一种优选方案，所述构造镜像报文的步骤进一步包括：

如果是分片包需要重组，提取出完整有效的IP报文，从IP包头开始复制，以作为IP层的镜像报文；而对于广域网的PPP、HDLC或Frame-Relay链路层协议的协商和控制报文，则直接从链路层开始复制，以作为所述链路层的镜像报文。

作为本发明的又一种优选方案，所述的一种实现异种类型端口镜像的方法还包括：对于IP层的镜像报文，构造一个缺省的以太网报文头，或者构造一个用户指定的以太网报文头；构造以太网报文头时，对于目的mac，缺省为FF-FF-FF-FF-FF-FF以此发往该广播域中的分析装置，也可以指定目的mac地址使其能够通过交换机发往指定的分析装置；对于源mac，则按照3字节的硬件制造商的编号加上1字节的槽位号加上1字节的端口号再加上1字节的通道号/子接口号这种格式进行填写，如果是镜像所接收到的报文则硬件制造商的编号填0，如果是镜像所发送的报文则硬件制造商的编号就取自此台路由器，从而在镜像后的数据包中获取数据流的收发方向及端口信息；以及，以太网协议号填写0x0800(IPv4)。

作为本发明的进一步的优选方案，所述的一种实现异种类型端口镜像的方法还包括：对于Frame-Relay或HDLC协议的链路层的镜像报文，如果是协议的协商和控制报文，则构造以太网报文头，以太网协议号填写0xFFFF(保留)。

作为本发明的又一个优选方案，所述的一种实现异种类型端口镜像的方法还包括：对于PPP协议的链路层的镜像报文，则先构造一个PPPoE的报文头，所述报文中VERSION＝0x1，TYPE＝0x1，CODE＝0x00，SESSION ID＝0x0000，LENGTH＝此PPP报文的长度；再构造以太网报文头，把以太网协议号填写为0x8864(PPPoE)。

作为本发明的又进一步的优选方案，所述的一种实现异种类型端口镜像的方法还包括：通过ACL过滤特定的数据流，针对特定的IP流进行分析。

作为本发明的再进一步的优选方案，所述的一种实现异种类型端口镜像的方法还包括：所述分析装置包括PC机。

本发明所述的一种实现异种类型端口镜像的系统，包括含有物理接口、主控板、交换背板和转发单板的路由器，以及软件模块部分，其特征在于，所述软件模块部分通过配置广域网类型接口到以太网类型接口的端口镜像以实现广域网线路的分析，所述软件模块部分进一步包括：

OAM管理模块，用于处理由用户在所述主控板上所输入的配置命令；

支撑模块，用于维护所述端口镜像的配置信息；

转发模块，用于接收和发送数据包；

驱动模块，用于把由所述OAM管理模块所处理的且由所述支撑模块进行维护的配置同步到所述转发模块；

端口镜像模块，用于复制和发送所述数据包；以及，

ACL模块，用于流匹配所述数据包以镜像所指定的数据流。

进一步地，在本发明所述的一种实现异种类型端口镜像的系统中：所述转发模块接收来自广域网接口的数据包，并将其放入所述端口镜像模块进行端口镜像处理。

更进一步地，在本发明所述的一种实现异种类型端口镜像的系统中：所述端口镜像模块在数据链路层按照顺序找出所匹配的端口镜像会话，并按照所述驱动模块所同步到所述转发模块的、所述会话的参数配置进行端口镜像，以对所述数据包进行RX方向上的端口镜像处理；所述端口镜像模块在所述数据包进入网络层时匹配所述会话并通过所述ACL模块匹配ACL的过程以对所述数据包进行RX方向上的流镜像处理，从而使其成为带有ACL参数的端口镜像；以及，所述端口镜像模块在所述数据包在TX方向上依次通过所述网络层和数据链路层的时候，也分别相应地对该数据包进行TX方向上的流镜像处理和TX方向上的端口镜像处理。

再进一步地，在本发明所述的一种实现异种类型端口镜像的系统中：在所述广域网接口的链路层包括PPP协议、Frame-Relay协议、以及HDLC协议。

与现有技术相比，由于本发明一种实现异种类型端口镜像的系统采用了特有的广域网协议转以太网协议的方法，因此突破了端口镜像不支持广域网接口的局限性，利用现有设备达到了专业监控仪器的效果，节省了设备成本，提高了路由器自身的软件功能，从而达到了以下有益效果：

本发明所述的一种实现异种类型端口镜像的系统还包括在路由器内部，对广域网协议包进行了解析，对分片包进行了重组，与现有技术相比，本发明避免了数据包碎片出现的弊端；

进一步地，由于本发明所述的一种实现异种类型端口镜像的系统还包括在端口镜像模块，将广域网的数据链路层协议，转换为利于抓包软件分析的以太帧协议，对于网络层以上的内容不做变动，使得通过简单的手段分析复杂端口的流量成为现实；以及

更进一步地，由于本发明所述的一种实现异种类型端口镜像的系统还包括将广域网常见的PPP协议，转为PPPoE协议，使得普通的抓包软件可以分析PPP链路的协商报文及控制报文。

附图说明

图1是本发明所述的一种实现异种类型端口镜像的方法的流程图；

图2是通过端口镜像来分析广域网线路的组网示意图；

图3是实现端口镜像的相关功能模块框图；

图4是端口镜像模块实现其功能的流程图；

图5是广域网协议转换为以太网协议的流程图；

图6是构造以太网报文头的流程图；以及

图7是所构造的以太网报文头格式的示意图

具体实施方式

下面结合附图对技术方案的实施作进一步的详细描述。

本发明提出的一种实现异种类型端口镜像的方法，是基于路由器所连接的网络系统，其具体组网环境如图2所示。

R1和R2是两个网络之间的互联用路由器，通过广域网线路连接，这里广域网接口可以采用E1/CE1、T1/CT1、POS/CPOS等，广域网协议可以采用PPP、Frame-Relay、或HDLC，正常情况下，这两个网络的通信内容不为人所知，由于其间采用广域网协议通讯，故增加了监听并分析其通信内容的难度。

R2是按照本方法实现的一台路由器，硬件部分由物理接口、主控板、交换背板、转发单板构成。主控板完成配置，将配置发送到转发单板；转发单板从物理接口接收和发送报文；以及，交换背板完成报文在不同接口之间的交换。

软件模块部分由OAM管理模块、支撑模块、驱动模块、转发模块、端口镜像模块、ACL模块构成，如图3所示。OAM管理模块负责处理用户在主控板上输入的配置命令；支撑模块负责维护端口镜像的配置信息；转发模块负责数据包的接收和发送；驱动模块用于把由所述OAM管理模块所处理的且由所述支撑模块进行维护的配置同步到转发模块；端口镜像模块，负责对数据包按照要求进行复制和发送；以及，ACL模块负责对数据包进行流匹配，以用于镜像指定的数据流。

其中，端口镜像模块是实现本方法最主要的模块，它的处理流程如图4所示：数据包在接口被接受后，交给转发模块，首先进入数据链路层，此时对数据包进行RX方向上端口镜像处理。在端口镜像模块处理时，首先按照顺序找出匹配的端口镜像会话，按照该会话的参数配置进行端口镜像，如截断、改变封装、发往指定的镜像端口等；接着数据包进入网络层，这是需要处理带有ACL参数的端口镜像，其处理过程和上述端口镜像步骤相同，只是在匹配会话时多了个ACL匹配的过程；然后数据包在TX方向上依次通过网络层、数据链路层的时候，也分别对其进行端口镜像，其处理流程以上述类似。

在图2所示的组网环境下，R1和R2之间通过E1线路链接，广域网协议采用PPP协议，用R2监听它们之间的数据包，需在R2上将一个以太网接口接到一个分析设备或者一个装有抓包软件的电脑上。

然后按照下列步骤对R2路由器进行软件配置：

配置端口镜像，将E1接口镜像到以太网接口，并配置镜像包的封装方式，将PPP协议包转换为指定的以太帧格式，使得以以太帧格式为主的监控设备或软件能够进行分析。配置如下：

monitor on  //打开端口镜像

monitor encapsulation ppp-to-ethernet

monitor session 1 source cel_1/1.1destination fei 2/1

然后将PC或其它电子装置接在以太网接口上，通过Sniffer、Ethereal等软件进行抓包分析。

其中，将广域网协议转换为以太网协议的流程如图5、图6所示，转换后的报文格式如图7所示。

图5描述的是将广域网协议转换为以太网协议流程，首先对广域网协议进行解析和重组。如果网络层是IP协议，提取出完整有效的IP报文，从IP包头开始复制，构造以太网报文头，然后从镜像目的端口发送出去。如果是广域网的PPP、HDLC、或Frame-Relay等链路层协议的协商和控制报文，则直接从链路层开始复制，构造以太网报文头(其中如果是PPP协议，则先构造一个PPPoE报文头，再构造以太网报文头)，然后从镜像目的端口发送出去。

更具体地，图6描述的是构造以太网报文头的流程，构造以太网报文头时，对于目的mac，缺省为FF-FF-FF-FF-FF-FF，可以发往该广播域中的监控设备；也可以指定目的mac地址，使其可以通过交换机发往指定的监控设备。对于源mac，则按照“硬件制造商的编号(3字节)+槽位号(1字节)+端口号(1字节)+通道号/子接口号(1字节)”的方式填写，如果是镜像收到的报文，则厂家设备号硬件制造商的编号填0；如果是镜像发送的报文时，则硬件制造商的编号则取自此台路由器。从而可以从镜像后的数据包中，获取数据流的收发方向及端口信息。以太网协议号根据网络层协议填写。

图7是转换后的报文格式的示意图，对于网络层是IP协议的数据包来说，其转换后的格式如图7-A所示，由目的mac、源mac、协议号(0x0800)、IP头组成；对于PPP协议的协商报文，其转换后的格式如图7-B所示，由目的mac、源mac、协议号(0x8864)、PPPoE头、PPP报文组成。对于Frame-Relay或HDLC协议的协商报文，其转换后的格式如图7-C所示，由目的mac、源mac、协议号(0xFFFF)、Frame-Relay或HDLC报文组成。其中，A、B两种转换后的报文格式能够被常见的抓包软件所解析，从而使得通过简单方法来分析广域网线路中的数据内容并部分控制报文成为可能。

综上所述，本发明所述的一种实现异种类型端口镜像的方法，是在现有的路由器硬件构架，通过软件实现对特殊类型端口进行监控，将E1、CE1或T1等广域网线路镜像到以太网类型接口上，并在不改变数据包内容的情况下，改变数据头的封装，将数据链路层的PPP、FR、或HDLC协议的包头(或称报文头)转为以太网类型的包头，使得接在以太网接口上的PC机可以通过常见的抓包软件来分析数据包。本发明只需对路由器软件进行升级，无需增加硬件，也无需专业的分析设备，因此，节约了成本。另外，通过丰富的端口镜像软件参数设置，可实现灵活多样的监控方式。

进一步来说，实施例中以太网接口上的PC机也可以用其它的硬件的、软件的或其两者组合的分析装置来替代。总之，本发明并不限制于任何特定的硬件和软件结合。应该明白，这些具体实施中的变化对于本领域的技术人员来说是非常清楚的，并不脱离本发明精神的保护范围。

Claims (12)

1.一种实现异种类型端口镜像的方法，其特征在于，包括如下步骤：

步骤S102，在路由器上通过命令来配置端口镜像，所述端口镜像配置包括会话号、源端口和目的端口参数，而所述会话号用于表示所述端口镜像的唯一标示，所述源端口用于表示所要分析的端口，所述目的端口用于表示链接分析装置的端口；

步骤S104，在路由器内部将广域网接口所收到的数据包进行解析，以构造镜像报文；

步骤S106，对于所述镜像报文，构造一个以太网报文头；以及

步骤S108，把所构造好的报文从所述镜像的目的端口发送出去，以通过接在以太网接口上的分析装置中的抓包软件进行分析。

2.根据权利要求1所述的方法，其特征在于，所述会话号进一步用1-64中的一个数值来表示所述端口镜像的唯一标示。

3.根据权利要求1所述的方法，其特征在于，所述构造镜像报文的步骤进一步包括：

如果是分片包需要重组，提取出完整有效的IP报文，从IP包头开始复制，以作为IP层的镜像报文；而对于广域网的PPP、HDLC或Frame-Relay链路层协议的协商和控制报文，则直接从链路层开始复制，以作为所述链路层的镜像报文。

4.根据权利要求1至3中任一项所述的方法，其特征在于：

对于IP层的镜像报文，构造一个缺省的以太网报文头，或者构造一个用户指定的以太网报文头；构造以太网报文头时，对于目的mac，缺省为FF-FF-FF-FF-FF-FF以此发往该广播域中的分析装置，也可以指定目的mac地址使其能够通过交换机发往指定的分析装置；对于源mac，则按照3字节的硬件制造商的编号加上1字节的槽位号加上1字节的端口号再加上1字节的通道号/子接口号这种格式进行填写，如果是镜像所接收到的报文则硬件制造商的编号填0，如果是镜像所发送的报文则硬件制造商的编号就取自此台路由器，从而在镜像后的数据包中获取数据流的收发方向及端口信息；以及，以太网协议号填写IPv4的0x0800。

5.根据权利要求1至3中任一项所述的方法，其特征在于：

对于Frame-Relay或HDLC协议的链路层的镜像报文，如果是协议的协商和控制报文，则构造以太网报文头，以太网协议号填写保留的0xFFFF。

6.根据权利要求1至3中任一项所述的方法，其特征在于：

对于PPP协议的链路层的镜像报文，则先构造一个PPPoE的报文头，所述报文中VERSION＝0x1，TYPE＝0x1，CODE＝0x00，SESSION_ID＝0x0000，LENGTH＝此PPP报文的长度；再构造以太网报文头，把以太网协议号填写为PPPoE的0x8864。

7.根据权利要求1至3中任一项所述的方法，进一步包括：

通过ACL过滤特定的数据流，针对特定的IP流进行分析。

8.根据权利要求1所述的方法，其特征在于，所述分析装置包括PC机。

9.一种实现异种类型端口镜像的系统，包括含有物理接口、主控板、交换背板和转发单板的路由器，以及软件模块部分，其特征在于，所述软件模块部分通过配置广域网类型接口到以太网类型接口的端口镜像以实现广域网线路的分析，所述软件模块部分进一步包括：

OAM管理模块，用于处理由用户在所述主控板上所输入的配置命令；

支撑模块，用于维护所述端口镜像的配置信息；

转发模块，用于接收和发送数据包；

驱动模块，用于把由所述OAM管理模块所处理的且由所述支撑模块进行维护的配置同步到所述转发模块；

端口镜像模块，用于复制和发送所述数据包；以及，

ACL模块，用于流匹配所述数据包以镜像所指定的数据流。

10.根据权利要求9所述的系统，其特征在于，所述转发模块进一步接收来自广域网接口的数据包，并将其放入所述端口镜像模块进行端口镜像处理。

11.根据权利要求10所述的系统，其特征在于：

所述端口镜像模块在数据链路层按照顺序找出所匹配的端口镜像会话，并按照所述驱动模块所同步到所述转发模块的、所述会话的参数配置进行端口镜像，以对所述数据包进行RX方向上的端口镜像处理；所述端口镜像模块在所述数据包进入网络层时匹配所述会话并通过所述ACL模块匹配ACL的过程以对所述数据包进行RX方向上的流镜像处理，从而使其成为带有ACL参数的端口镜像；以及，所述端口镜像模块在所述数据包在TX方向上依次通过所述网络层和数据链路层的时候，也分别相应地对该数据包进行TX方向上的流镜像处理和TX方向上的端口镜像处理。

12.根据权利要求9至11中任一项所述的系统，其特征在于：

在所述广域网接口的链路层的协议包括PPP协议、Frame-Relay协议、以及HDLC协议。

Images