CN101183988B - 一种识别报文对应的业务类型的方法及其装置 - Google Patents

Abstract

本发明涉及网络技术，公开了一种识别报文对应的业务类型的方法及其装置，其中识别报文对应的业务类型的方法包括：提取报文的网络地址和端口对；在关联表中查找包括所述网络地址和端口对的表项，所述关联表存储有网络地址和端口对与业务类型对应关系的表项；若在所述预置关联表中查找到包括所述网络地址和端口对的表项，确定所述报文对应的业务类型为该表项标示的业务类型。使用本发明实施例提供的技术方案，可以不使用五元组对报文对应的业务类型进行识别，并能够提供较好的存储特性。

Description

一种识别报文对应的业务类型的方法及其装置

技术领域

本发明涉及网络技术，具体涉及一种识别报文对应的业务类型的方法及其装置。

背景技术

如今在网络上承载的各种应用纷繁复杂，服务提供商不断推出新的业务来吸引用户，而对于运营商来说，要留住老用户并且不断发展更多的用户，就需要保证运营网络能够很好地承载各种关键业务(例如企业资源规划ERP、远程数据库访问等)，同时限制一些非关键业务(例如无监管的网络电话VOIP、点对点P2P等)无节制的占用网络资源。另一方面，网络环境面临前所未有的安全风险，各种恶意攻击和非法应用层出不穷，给运营商和网络用户造成不可估量的损失。因此，运营商需要对网络承载的各类业务进行识别，并分析与其相关的用户行为，作为业务评估和确定业务发展策略的理论基础。

现有的一种识别报文对应的业务类型的方法是基于应用层特征的，主要是通过深度报文检测来识别业务流的具体类型。为了完成业务流应用层特征识别，检测系统需要预先知道具体业务报文的特征字段，并把这些特征字段按照一定的结构进行组织，生成一个存有各种业务规则的知识库。当业务报文进入检测系统后，将和知识库中的规则进行比较，如果匹配上特定的规则就可以判定该报文的业务类型。同时，系统需要维护一个全流表，全流表中的每个表项对应着一条特定的业务流，业务流是由一系列上下文相关联的报文构成的。当某条业务流识别完成后，需要把它的五元组添加到全流表中，表示这属于已经识别的业务流，其中五元组中的五元是源网络地址、源端口、传输协议、目的网络地址和目的端口。当该业务流的后续报文到达时，不再需要到规则库中查找匹配的规则，而只需要到在全流表中找到对应的五元组就可以确定对应的业务类型。

具体过程是这样的：获取一个报文后，提取该报文的五元组，到全流表中查找是否有包括该五元组的表项，如果有，该报文对应的业务类型即该表项标示的业务类型；如果找不到包括该五元组的表项，则与规则库中的规则进行比较，如果匹配上特定的规则，则识别该报文对应的业务类型为该规则标示的业务类型，如果没有匹配上特定的规则，则识别该报文对应的业务类型为未知的业务类型。

在实现本发明的过程中，发明人发现现有的识别网络业务类型的方法至少存在如下缺点：采用五元组的方式对报文对应的业务类型进行识别，需要在全流表的表项中保存五元组的信息，因而需要占用的存储空间较多。

发明内容

本发明实施例的目的是提供一种识别报文对应的业务类型的方法及其装置，使用本发明实施方式提供的技术方案，可以不使用五元组对报文对应的业务类型进行识别。

本发明实施例的目的是通过以下技术方案实现的：

本发明实施例提供了一种识别报文对应的业务类型的方法，包括：

提取报文的网络地址和端口对；

在预置关联表中查找包括所述网络地址和端口对的表项，所述预置关联表存储有网络地址和端口对与业务类型对应关系的表项；

若在所述预置关联表中查找到包括所述网络地址和端口对的表项，确定所述报文对应的业务类型为该表项标示的业务类型；

若在所述预置关联表中查找不到包括所述网络地址和端口对的表项，提取所述报文的五元组；在预置全流表中查找包括所述五元组的表项，所述全流表存储有五元组、业务类型及业务类型状态的对应关系，所述业务类型状态为正在被识别或已经被识别；若查找到包括所述五元组的表项一，且表项一标示的业务类型已经被识别，确定所述报文对应的业务类型为所述表项一标示的业务类型。

本发明实施例提供了一种识别报文对应的业务类型的装置，包括：

地址端口提取单元，用于提取报文的网络地址和端口对；

关联表表项查找单元，用于在预置关联表中查找包括所述网络地址和端口对的表项，所述关联表存储有网络地址和端口对与业务类型的对应关系；

业务类型识别单元，用于在所述关联表表项查找单元在所述预置关联表中查找到包括所述网络地址和端口对的表项时，确定所述报文对应的业务类型为所述表项标示的业务类型；

五元组提取单元，用于在所述关联表表项查找单元在所述预置关联表中查找不到包括所述网络地址和端口对的表项时，提取所述报文的五元组；

全流表表项查找单元，用于在预置全流表中查找包括所述五元组的表项，所述全流表存储有五元组、业务类型及业务类型状态的对应关系，所述业务类型状态为正在被识别或已经被识别；

所述业务类型识别单元用于在所述全流表查找单元找到包括所述五元组的表项一，且表项一标示的业务类型状态为已经被识别时，确定所述报文对应的业务类型为所述表项一标示的业务类型。

从本发明实施例提供的以上技术方案可以看出，由于本发明实施例在得到报文后，可以仅仅根据报文的网络地址和端口对在预置的关联表中查找到报文对应的业务类型，从而可以不使用五元组对报文的业务类型进行识别；并且只需要在关联表中保存网络地址和端口对，而不需要保存五元组，比单纯的保存五元组的方式减少了每个表项需要占用的空间，能够提供较好的存储特性。

附图说明

图1为本发明实施例中识别报文对应的业务类型的方法第一实施例的流程图；

图2为本发明实施例中识别报文对应的业务类型的方法第二实施例的流程图；

图3为本发明实施例中识别报文对应的业务类型的方法第三实施例的流程图；

图4为本发明实施例中识别报文对应的业务类型的装置第一实施例的结构图；

图5为本发明实施例中识别报文对应的业务类型的装置第二实施例的结构图；

图6为本发明实施例中识别报文对应的业务类型的装置第三实施例的结构图；

图7为本发明实施例中识别报文对应的业务类型的装置第四实施例的结构图；

图8为本发明实施例中识别报文对应的业务类型的装置第五实施例的结构图；

图9为本发明实施例中识别报文对应的业务类型的装置第六实施例的结构图；

图10为本发明实施例中识别报文对应的业务类型的装置第七实施例的结构图。

具体实施方式

为使本发明的目的、技术方案、及优点更加清楚明白，以下参照附图并举实施例，对本发明进一步详细说明。

如图1所示，本发明提供的识别报文对应的业务类型的方法的第一实施例包括：

步骤101、提取报文的网络地址和端口对；

在实际情况中，很多业务属于客户端/服务端型应用，只有部分主机在提供服务，其它主机都是请求服务的客户端，而和提供某项服务主机相关的业务流都属于同一种业务类型，因此可以采用标记服务主机的方式来记录业务流；进一步，很多应用往往采用固定的端口对外提供服务，这些端口虽然未必是标准的指定端口，但在一段时间内却是固定不变的；在这段时间里，所有和该服务端口相关的业务流都属于同一业务类型，因而在判别出某台主机在特定端口提供某种类型的服务后，所有和该台主机的网络地址上特定端口相关的流都无需判别；因而需要识别报文对应的业务类型时，只需要从报文中提取相应的网络地址和端口就可以确定相应的业务类型。本发明实施例中所提到的网络地址和端口对可以是源网络地址和端口对、和/或目的网络地址和端口对；

步骤102、在预置关联表中查找包括该网络地址和端口对的表项，关联表存储有网络地址和端口对与业务类型对应关系的表项；

关联表是根据业务流识别的结果，确定提供服务主机的地址和端口，并以网络地址和端口对方式加以保存，每个表项记录着该服务主机提供的业务类型。在实际应用中，可以用网络地址和端口对的方式来标记提供服务的主机，全部已被确定的网络地址和端口对组成关联表，所有和关联表中网络地址和端口对相关的业务流都属于某种已识别的业务类型；因而在提取报文的网络地址和端口对后，就到预置关联表中查找对应的表项；其中，源网络地址和端口对和目的网络地址和端口对是一一对应的，因而只需要找到包括其中任意一个的关联表表项就可以确定报文对应的业务类型，同样，在关联表中保存网络地址和端口对时，也可以只保存他们中的任意一个；关联表中存储的是网络地址和端口对与业务类型的对应关系，从而在获取了一个网络地址与端口对后，就可以从关联表中查找与该网络地址和端口对对应的业务类型；

步骤103、若在预置关联表中查找到包括网络地址和端口对的表项，报文对应的业务类型为该表项标示的业务类型。

因为关联表中的网络地址和端口对对应的业务类型是已知的，因而当在预置关联表中找到包括网络地址和端口对(该网络地址和端口对可以是源网络地址和端口对、和/或目的网络地址和端口对)的表项后，就可以确定报文对应的业务类型即该表项标示的业务类型；

从上可知，本实施例在得到报文后，可以根据报文的网络地址和端口对在预置的关联表中查找到报文对应的业务类型，并且只需要通过关联表中保存的网络地址和端口对就可以对报文的业务类型进行识别，从而比单纯的五元组的方式大大减少了存储表项以及每个表项需要占用的空间。以Web网站为例，如果用五元组记录该网站的业务流，那么需要的表项等于该网站的并发连接数，而采用网络地址和端口的方式只需要一个表项就足够了。再以一个有N台主机参与的P2P网络为例，如果记录每一条业务流，那么全流表中的表项将达到O(N²)，而用关联表记录网络地址和端口只需要N个表项就足够了。

如图2所示，本发明提供的方法第二实施例包括步骤：

步骤201、提取报文的网络地址和端口对；

步骤202、在预置关联表中查找包括该网络地址和端口对的表项；

步骤203、若在预置关联表中查找不到包括上述网络地址和端口对的表项，提取报文的五元组；

五元组的五元是：源网络地址、源端口、传输协议、目的网络地址和目的端口；

步骤204、在预置全流表中查找包括上述五元组的表项，全流表存储有五元组、业务类型及业务类型状态的对应关系，业务类型状态为正在被识别或已经被识别；

全流表是系统保存的一个连接表，用五元组的方式记录了当前已经识别和正在识别的业务流信息，存储有五元组与业务类型状态的对应关系，业务类型状态为正在被识别或已经被识别，如果某个业务类型状态为已经被识别，还会相应的保存有确定的业务类型，如果业务类型状态为正在被识别，对应的业务类型可能为空，也可以为所有可能的业务状态；

步骤205、若在预置全流表中查找到包括上述五元组的表项一，且表项一标示的业务类型状态为已经被识别，报文对应的业务类型为表项一标示的业务类型。

当包括五元组的表项对应的业务类型状态为已经被识别时，就可以确定报文的业务类型与包括五元组的表项对应的业务类型相同，从而确定报文对应的业务类型；

从上可知，当报文对应的业务类型不能通过关联表识别时，可以进一步通过五元组从全流表中去识别，从而保证对报文对应的业务类型的有效识别；进一步，因为采用了关联表的方式记录业务流，而关联表中记录的信息不需要在全流表中保存，因而精简了全流表需要保存的内容，并且关联表只需要保存网络地址和端口的信息，不需要像全流表需要保存五元组的信息，提供了较好的存储特性。

如图3所示，本发明提供的方法的第三实施例包括步骤；

步骤301、提取报文的网络地址和端口对；

步骤302、在预置关联表中查找包括上述网络地址和端口对的表项；

步骤303、若在预置关联表中查找不到包括上述网络地址和端口对的表项，提取报文的五元组；

步骤304、判断是否能在预置全流表中查找包括到包括五元组的表项，如果否，进入步骤305；如果是，进入步骤313；

步骤305、将报文与预置模式集中的所有特征字段进行多模式匹配，得到报文包括的特征字段；

如果报文在关联表和全流表中找不到对应的匹配表项，就需要到预置模式集中进行模式匹配，从而得到报文的特征字段；多模式匹配可以采用现有的模式匹配算法，如经典多模式匹配(AC)算法、通过经典单模式(BM)算法改进的经典多模式匹配(AC_BM)算法等；模式集中包含了所有需要检测业务类型报文的特征字段；

步骤306、判断是否能在预置规则库中找到与报文包括的特征字段对应的规则，如果否，进入步骤307，如果是，进入步骤308；

规则库记录了检测报文对应的业务类型的特征规则，所有规则信息都可以由用户设定；其中规则是相关业务报文的特征描述，每条规则对应着该类型业务的一种报文类型；每种业务可以只有一条规则，也可以有多条规则。每条规则都包含多个规则域，每个规则域描述了业务的一个特征，例如报文长度、在某几个位置字节相等、在某个偏移处的特征字段等。同时，每条规则必须注明这是一条单报文还是多报文检测规则；

步骤307、该报文对应的业务类型为未知类型；结束；

如果没有对应的规则，则说明该报文对应的业务类型是未知的；

步骤308、判断对应的规则是否为单报文识别规则；如果是，进入步骤309，如果否，进入步骤310；

步骤309、报文对应的业务类型为单报文识别规则对应的业务类型；结束；

对于单报文检测规则而言，规则域描述的特征可能并不是某种应用独有的，也就是说其它应用也可能有此特征，但不可能有两种业务同时满足一条规则中的所有规则域，因此设定规则时应保证每条单报文检测规则都唯一的对应某种业务。例如：在配置识别某即时通讯文本消息的规则文件时，可以把该即时通讯消息的所有类型报文分别对应一条规则，规则中的每一个规则域都描述了该类型报文的特征字段，所有规则域结合在一起应保证涵盖该类型报文的所有特征，并且是唯一的；

步骤310、在预置全流表中新增包括该报文的五元组的全流表表项；

因为报文对应的是多报文识别规则，因而单凭一个报文是不能对报文对应的业务类型进行识别的，所以需要在全流表中增加一个表项，在后续报文到达时可以继续识别；

步骤311、从预置状态库中找到与多报文识别规则对应的业务类型，该业务类型为报文对应的可能的业务类型；

步骤312、将与多报文识别规则对应的业务类型的下一状态添加到新增全流表表项中，并标示新增全流表表项标示的业务类型状态为正在被识别；进入步骤301；

对于多报文检测来说，单凭一个报文无法判别某条流所对应的业务类型，因此该报文所对应的规则并不能唯一的标识某种类型的业务；也就是说，两种不同类型的应用有可能存在相同的规则。因此多报文检测规则有可能对应着多个应用类型，必须继续判别后续报文的应用特征才能确定业务流的具体类型；因而将多报文识别规则对应的业务类型的下一状态添加到五元组对应的表项中，使对下一报文对应的业务类型进行识别时，可以在上一报文对应的业务类型的基础上进行识别；标示新增全流表表项标示的业务类型状态为正在被识别，可以在后续报文到达匹配到新增全流表表项时，知道其对应的是多报文识别规则，从而按照多报文识别规则的方式进行处理；其中，下一状态可以是下一报文所采用的协议类型、下一报文所采用的端口等，具体根据业务类型的不同有所不同，可以预先根据业务类型设置相应的每个状态；

步骤313、判断包括五元组的表项二所标示的业务类型状态是否正在被识别；如果否，进入步骤314；如果是，进入步骤315；

步骤314、该报文对应的业务类型为表项二所标示的业务类型；结束；

步骤315、将报文与表项二记录的每个状态进行匹配，判断是否匹配成功；如果否，进入步骤316；如果是，进入步骤317；

匹配时需要与该表项中记录的每个状态都进行匹配；

步骤316、删除表项二记录的不匹配的状态；若表项二记录的状态被全部删除，该报文对应的业务类型为未知业务类型；结束；

如果匹配不成功，则说明报文不属于该状态对应的应用，同时把该状态删除，下一报文到达时将不再比较这种应用的后续状态；如果表项中的所有状态都被删除，就说明报文不属于状态库已知的业务类型，可以把该条流标记为未知；

步骤317、从预置状态库中查找五元组对应的业务类型的下一状态；

步骤318、如果查找到下一状态，将下一状态添加到表项二中；如果预置状态库中没有下一状态，报文对应的业务类型为该五元组对应的业务类型；

将下一状态添加到表项中，从而方便下一报文的匹配；当在状态库中没有下一状态时，此时报文已经满足了某种业务类型的全部状态，因而就可以确定该报文对应的业务类型为五元组对应的业务类型；

本实施例可以在全流表和关联表中都找不到报文对应的表项时，将报文与预置模式集中的所有特征字段进行多模式匹配，从而得出报文的特征字段，通过报文的特征字段在规则库中查找对应规则，从而对报文对应的业务类型进行识别，其中，如果对应规则是单报文识别规则，可以直接确定报文对应的业务类型是单报文识别规则对应的业务类型，如果对应规则是多报文识别规则，需要进一步利用后续报文进行判断；并且本实施例可以对需要多报文识别业务类型时对报文对应的业务类型进行识别；进一步，因为采用了关联表的方式记录业务流，精简了全流表需要保存的内容，从而提供了较好的存储特性。

如果确定报文对应的业务类型，需要对全流表和关联表进行更新，因而，在确定报文对应的业务类型后进一步包括：

在预置全流表中查找是否有表项包含的五元组包括该报文的网络地址和端口对，且该表项标示的业务类型与报文对应的业务类型一致；

这是因为，报文的识别过程是一个并发的过程，可能同时对多个报文进行识别，因而在确定报文对应的业务类型后，可能也有对其他报文进行识别而在全流表中增加了相应的表项，如果有，则说明该报文或该报文对应的业务类型具有通用性，因而重新在全流表中查找是否已经有对应的表项存在；

如果是，将该表项从所述预置全流表中删除，在所述预置关联表中增加包括所述报文的网络地址和端口对的关联表表项，该关联表表项标示的业务类型为所述报文对应的业务类型；如果有对应的表项存在，则说明有多个相应的网络地址和端口对标示同一业务类型，所以可以将全流表中的表项删除，在关联表中增加相应的表项，从而可以加快后续报文的匹配速度；

如果否，在所述预置全流表中新增包括所述报文的五元组的全流表表项，该新增全流表表项标示的业务类型为所述报文对应的业务类型；如果没有对应的表项存在，则说明只有一个报文对应着这种业务类型，该报文或该报文对应的业务类型没有通用性；因而在全流表中增加相应的表项，可以在再次出现相同的报文时，通过全流表确定报文对应的业务类型。

通过对全流表和关联表表项的更新，精简全流表保存的表项，全流表保存的表项少，可以加快匹配速度，进一步还提供了较好的存储特性。

同样，在通过多报文识别规则对报文对应的业务类型进行识别后，也需要对关联表和全流表进行更新，具体的更新过程如下：

在预置全流表中查找是否有不同于表项二的表项包含的五元组包括报文的网络地址和端口对，且该不同于表项二的表项标示的业务类型与表项二标示的业务类型一致；

因为通过多报文识别规则来识别报文对应的业务类型是通过表项二确定的，因而在确定报文对应的业务类型后，需要进一步查找全流表中是否有其他的表项符合上述条件；

如果是，将不同于表项二的表项和表项二从预置全流表中删除，在预置关联表中增加包括所述报文的网络地址和端口对的表项，该表项标示所述报文对应的业务类型；

如果是就说明该报文对应的业务类型是可以通过一个报文就确定的，因而可以在关联表中增加对应的网络地址和端口对，从而相应的报文再次到来时，可以不用到全流表中匹配，只需要到关联表中进行匹配就可以了，因而不仅可以加快匹配的速度，还可以减少全流表需要保存的表项，提供了较好的存储特性；

如果否，在预置全流表中增加包括所述五元组的表项，该表项标示报文对应的业务类型；

如果全流表中没有相应的表项，则可以在全流表中增加相应的表项，从而使相应的报文再次到来时，在全流表中进行匹配就可以确定报文对应的业务类型，而不需要进行多模式匹配，规则查询等步骤，因而可以加快匹配速度；

为了避免全流表的无谓扩大，其中的表项需要及时地清除和更新。对于以五元组方式记录的表项，当对应的业务流数据发送完毕后，就应该把该表项从全流表中删除。同样，以网络地址和端口对方式记录的关联表项如果在时间T内没有新的数据到达，我们就认为该服务主机已经失效，从而把该表项删除，T的具体取值要依实际网络环境而定；通过定期的对关联表和全流表中的表项进行更新或删除，可以保证全流表和关联表存储的无效表项被清除，从而减少无效表项占用的存储空间，也可以提高匹配速度，进一步，对表项进行更新，可以保证表项中的记录都是正确的，例如一个web站点原先的端口为标准端口80，经过一段时间改成了非标准端口8080，则对全流表和关联表中的表项进行更新，将相应的端口80改成端口8080，从而保证了表项中记录的数据的正确型。

下面介绍本发明实施例提供的识别报文对应的业务类型的装置400，如图4所示，识别报文对应的业务类型的装置第一实施例包括：

地址端口提取单元401，用于提取报文的网络地址和端口对；

关联表表项查找单元402，用于在预置关联表中查找包括该网络地址和端口对的表项，关联表存储有网络地址和端口对与业务类型的对应关系；

业务类型识别单元403，用于在关联表表项查找单元在预置关联表中查找到包括网络地址和端口对的表项时，确定报文对应的业务类型为该表项标示的业务类型。

从上可知，本实施例在得到报文后，可以根据报文的网络地址和端口对在预置的关联表中查找到报文对应的业务类型，并且只需要通过关联表中保存的网络地址和端口对就可以对报文的业务类型进行识别，从而比单纯的五元组的方式大大减少了存储表项以及每个表项需要占用的空间。

图5描述的是识别报文对应的业务类型的装置的第二实施例，与第一实施例相比，除了包括地址端口提取单元401、关联表表项查找单元402和业务类型识别单元403外，进一步包括：

五元组提取单元404，用于在关联表表项查找单元在预置关联表中查找不到包括网络地址和端口对的表项时，提取报文的五元组；

全流表表项查找单元405，用于在预置全流表中查找包括五元组的表项，全流表存储有五元组、业务类型及业务类型识别状态的对应关系，业务类型识别状态为正在被识别或已经被识别；

业务类型识别单元403用于在全流表查找单元在预置全流表中查找到包括五元组的表项一，且表项一标示的业务类型已经被识别时，确定报文对应的业务类型为表项一标示的业务类型；

其中地址端口提取单元401、关联表表项查找单元402的功能与第一实施例中描述的相同，在此不再赘述；

从上可知，当报文对应的业务类型不能通过关联表识别时，可以进一步根据五元组从全流表中去识别，从而保证对报文对应的业务类型的有效识别；进一步，因为采用了关联表的方式记录业务流，精简了全流表需要保存的内容，从而提供了较好的存储特性。

图6描述的是识别报文对应的业务类型的装置的第三实施例，与第二实施例相比，除了包括地址端口提取单元401、关联表表项查找单元402、业务类型识别单元403、五元组提取单元404和全流表表项查找单元405外，进一步包括：

模式匹配单元406，用于在全流表表项查找单元在预置全流表中查找不到包括五元组的表项时，将报文与预置模式集中的所有特征字段进行多模式匹配，得到报文包括的特征字段；

规则查找单元407，用于在预置规则库中查找与报文包括的特征字段对应的规则；

业务类型识别单元403用于在规则查找单元在预置规则库中查找不到与报文包括的特征字段对应的规则时，确定该报文对应的业务类型为未知类型；

其中地址端口提取单元401、关联表表项查找单元402、五元组提取单元404和全流表表项查找单元405的功能与第二实施例中描述的相同，在此不再赘述；

本实施例可以在全流表和关联表中都找不到报文对应的表项时，将报文与预置模式集中的所有特征字段进行多模式匹配，从而得出报文的特征字段，通过报文的特征字段在规则库中查找对应规则，从而对报文对应的业务类型进行识别；进一步，因为采用了关联表的方式记录业务流，精简了全流表需要保存的内容，从而提供了较好的存储特性。

图7描述的是识别报文对应的业务类型的装置的第四实施例，与第三实施例相比，除了包括地址端口提取单元401、关联表表项查找单元402、业务类型识别单元403、五元组提取单元404、全流表表项查找单元405、模式匹配单元406和规则查找单元407外，进一步包括：

报文识别规则判断单元408，用于在规则查找单元在预置规则库中查找到与报文包括的特征字段对应的规则时，对规则进行判断；

业务类型识别单元403用于在报文识别规则判断单元判断所述规则为单报文识别规则时，识确定报文对应的业务类型为单报文识别规则对应的业务类型；

其中地址端口提取单元401、关联表表项查找单元402、五元组提取单元404、全流表表项查找单元405、模式匹配单元406和规则查找单元407的功能与第三实施例中描述的相同，在此不再赘述；

本实施例可以进一步对报文识别规则进行判断，从而可以在报文识别规则为单报文识别规则时，直接确定报文对应的业务类型为单报文识别规则对应的业务类型。

图8描述的是识别报文对应的业务类型的装置的第五实施例，与第四实施例相比，除了包括地址端口提取单元401、关联表表项查找单元402、业务类型识别单元403、五元组提取单元404、全流表表项查找单元405、模式匹配单元406、规则查找单元407和报文识别规则判断单元408外，进一步包括：

全流表表项增加单元409，用于在报文识别规则判断单元判断所述规则为多报文识别规则时，在预置全流表中新增包括该报文的五元组的全流表表项；

业务类型查找单元410，用于从预置状态库中找到与多报文识别规则对应的业务类型，该业务类型为报文对应的所有可能业务类型；

因为对应的是多报文识别规则，因而当只收到部分报文时，对应的业务类型可能是多种可能的业务类型中的一种；

状态添加单元411，用于将与多报文识别规则对应的业务类型的下一状态添加到新增的全流表表项中；

其中地址端口提取单元401、关联表表项查找单元402、五元组提取单元404、全流表表项查找单元405、模式匹配单元406、规则查找单元407和报文识别规则判断单元408的功能与第四实施例中描述的相同，在此不再赘述；

本实施例在确定报文识别规则为多报文识别规则时，将当前报文对应的状态加到表项中，从而可以保证下一报文到来时，可以在在先报文的基础上(在先报文对应的状态都记录到了表项中)，因而可以对报文对应的业务类型正确识别。

图9描述的识别报文对应的业务类型的装置的第六实施例，与第二实施例相比，除了包括地址端口提取单元401、关联表表项查找单元402、业务类型识别单元403、五元组提取单元404和全流表表项查找单元405外，进一步包括：

状态匹配单元412，用于在全流表表项查找单元在预置全流表中查找包括所述五元组的表项二，且表项二标示的业务类型正在被识别时，将报文与表项二记录的每个状态进行匹配；

表项二标示的业务类型正在被识别，说明对应的是多报文识别规则；

状态添加单元413，用于在状态匹配单元匹配成功时，从预置状态库中查找所述五元组对应的业务类型的下一状态，将下一状态添加表项二；

状态删除单元414，用于在状态匹配单元匹配不成功时，从表项二中记录的状态中删除不匹配的状态；

业务类型识别单元403用于在状态添加单元不能从所述预置状态库中查找到五元组对应的业务类型的下一状态时，确定报文对应的业务类型为五元组对应的业务类型；还用于在状态删除单元将表项二记录的状态被全部删除时，判断该报文对应的业务类型为未知业务类型；

并在确定报文对应的业务类型后，将对应的全流表表项标示的业务类型更新为确定的业务类型，将业务类型状态更新为已经被识别；包括未知业务类型的情况；

其中地址端口提取单元401、关联表表项查找单元402、五元组提取单元404和全流表表项查找单元405的功能与第二实施例中描述的相同，在此不再赘述；

因为全流表中的五元组正在被识别，所以该五元组对应的是多报文识别，因而当报文满足包括该五元组的表项中的所有状态时，继续添加下一状态，反之，当不满足时，则删除不匹配的状态，使报文能够符合表项中记录的状态，从而保证对报文对应的业务类型的正确识别。

图10描述的是识别报文对应的业务类型的装置的第七实施例，与第六实施例相比，除了包括地址端口提取单元401、关联表表项查找单元402、业务类型识别单元403、五元组提取单元404、全流表表项查找单元405、状态匹配单元412、状态添加单元413和状态删除单元414外，进一步包括：

五元组判断单元415，用于在业务类型识别单元确定报文对应的业务类型时，在预置全流表中查找是否有包含有所述报文的五元组的表项包括所述报文的网络地址和端口对，且包含有所述报文的五元组的表项标示的业务类型与报文对应的业务类型一致；

全流表表项删除单元416，用于在所述五元组判断单元判断所述预置全流表有包含有所述报文的五元组的表项包括所述报文的网络地址和端口对，且包含有所述报文的五元组的表项标示的业务类型与报文对应的业务类型一致时，将包含有所述报文的五元组的表项从所述预置全流表中删除；

关联表表项增加单元417，用于在五元组判断单元判断预置全流表有包含有所述报文的五元组的表项包括所述报文的网络地址和端口对，且包含有所述报文的五元组的表项标示的业务类型与报文对应的业务类型一致时，在预置关联表中增加包括报文的网络地址和端口对的关联表表项，该关联表表项标示报文对应的业务类型；

全流表表项增加单元418，用于在五元组判断单元判断预置全流表没有包含有所述报文的五元组的表项包括所述报文的网络地址和端口对、或预置全流表有包含有所述报文的五元组的表项包括所述报文的网络地址和端口对但该表项对应的业务类型与报文对应的业务类型不一致时，在预置全流表中增加包括所述五元组的全流表表项，该全流表表项标示报文对应的业务类型；

同样，本发明还提供了识别报文对应的业务类型的装置的第八实施例，第八实施例在第四实施例的基础上进一步包括：

五元组判断单元415、全流表表项删除单元416和关联表表项增加单元417，这些单元的功能与第七实施例描述的相同，在此不再赘述。

此处没有全流表表项增加单元是因为相应的全流表表项已经在全流表中存在。

识别报文对应的业务类型的第七实施例和第八实施例可以在确定报文对应的业务类型后，将能够从全流表中精简的表项删除，对应的在关联表中增加表项，从而提供较好的存储特性；同时可以在全流表中增加对应的表项，从而保证对报文对应的业务类型的识别。

从上可知，本发明实施例在得到报文后，可以根据报文的网络地址和端口对在预置的关联表中查找到报文对应的业务类型，并且只需要通过关联表中保存的网络地址和端口对就可以对报文的业务类型进行识别，从而比单纯的五元组的方式大大减少了存储表项以及每个表项需要占用的空间；当报文对应的业务类型不能通过关联表识别时，可以进一步通过五元组从全流表中去识别，从而保证对报文对应的业务类型的有效识别；进一步，本发明实施例可以在全流表和关联表中都找不到报文对应的表项时，将报文与预置模式集中的所有特征字段进行多模式匹配，从而得出报文的特征字段，通过报文的特征字段在规则库中查找对应规则，从而对报文对应的业务类型进行识别，其中，如果对应规则是单报文识别规则，可以直接确定报文对应的业务类型是单报文识别规则对应的业务类型，如果对应规则是多报文识别规则，需要进一步利用后续报文进行判断；对关联表和全流表中的表项进行更新或删除，可以保证全流表和关联表存储的无效表项被清除，从而减少无效表项占用的存储空间，也可以提高匹配速度，并且可以保证表项中的记录都是正确的，从而保证对报文对应的业务类型的正确识别。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括如下步骤：

提取报文的网络地址和端口对；

在关联表中查找包括所述网络地址和端口对的表项，所述关联表存储有网络地址和端口对与业务类型对应关系的表项；

若在所述预置关联表中查找到包括所述网络地址和端口对的表项，确定所述报文对应的业务类型为该表项标示的业务类型。

上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上对本发明实施例所提供的一种识别报文对应的业务类型的方法及其装置进行了详细介绍，以上实施例的说明只是用于帮助理解本发明的方法及其思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (14)

1.一种识别报文对应的业务类型的方法，其特征在于，包括：

提取报文的网络地址和端口对；

在预置关联表中查找包括所述网络地址和端口对的表项，所述预置关联表存储有网络地址和端口对与业务类型对应关系的表项；

若在所述预置关联表中查找到包括所述网络地址和端口对的表项，确定所述报文对应的业务类型为该表项标示的业务类型；若在所述预置关联表中查找不到包括所述网络地址和端口对的表项，

提取所述报文的五元组；在预置全流表中查找包括所述五元组的表项，所述全流表存储有五元组、业务类型及业务类型状态的对应关系，所述业务类型状态为正在被识别或已经被识别；若查找到包括所述五元组的表项一，且表项一标示的业务类型已经被识别，确定所述报文对应的业务类型为所述表项一标示的业务类型。

2.如权利要求1所述的识别报文对应的业务类型的方法，其特征在于，若在所述预置全流表中查找不到包括所述五元组的表项，该方法进一步包括：

将所述报文与预置模式集中的所有特征字段进行多模式匹配，得到所述报文包括的特征字段；

在预置规则库中查找与所述报文包括的特征字段对应的规则；

若在所述预置规则库中查找不到与所述报文包括的特征字段对应的规则，确定该报文对应的业务类型为未知类型；

若在所述预置规则库中查找到与所述报文包括的特征字段对应的规则，且所述特征字段对应的规则为单报文识别规则，确定所述报文对应的业务类型为所述单报文识别规则对应的业务类型；

若在所述预置规则库中查找到与所述报文包括的特征字段对应的规则，且所述特征字段对应的规则为多报文识别规则，在所述预置全流表中新增包括该报文的五元组的表项；从预置状态库中找到与所述多报文识别规则对应的业务类型，所述与多报文识别规则对应的业务类型为所述报文对应的所有可能业务类型；将与所述多报文识别规则对应的业务类型的下一状态添加到所述新增表项中，并标示所述新增表项标示的业务类型正在被识别。

3.如权利要求2所述的识别报文对应的业务类型的方法，其特征在于，确定所述报文对应的业务类型后，该方法进一步包括：

在所述预置全流表中查找是否有表项包含的五元组包括所述报文的网络地址和端口对，且该表项标示的业务类型与所述报文对应的业务类型一致；

如果是，将该表项从所述预置全流表中删除，在所述预置关联表中增加包括所述报文的网络地址和端口对的关联表表项，该关联表表项标示的业务类型为所述报文对应的业务类型；

如果否，在所述预置全流表中新增包括所述报文的五元组的全流表表项，该新增全流表表项标示的业务类型为所述报文对应的业务类型。

4.如权利要求1所述的识别报文对应的业务类型的方法，其特征在于，若在所述预置全流表中查找到包括所述五元组的表项二，且表项二标示的业务类型状态为正在被识别，该方法进一步包括：

将所述报文与所述表项二记录的每个状态进行匹配；

如果匹配成功，从预置状态库中查找所述五元组对应的业务类型的下一状态，将所述下一状态添加到所述表项二中；若所述预置状态库中没有下一状态，确定所述报文对应的业务类型为所述五元组对应的业务类型，并标示所述表项二标示的业务类型为所述五元组对应的业务类型，将所述表项二的业务类型状态更新为已经被识别；

如果匹配不成功，从所述表项二记录的状态中删除不匹配的状态；若所述表项二记录的状态被全部删除，确定该报文对应的业务类型为未知业务类型，并标示所述表项二标示的业务类型为未知业务类型。

5.如权利要求4所述的识别报文对应的业务类型的方法，其特征在于，确定所述报文对应的业务类型后，该方法进一步包括：

在所述预置全流表中查找是否有不同于所述表项二的表项包含的五元组包括所述报文的网络地址和端口对，且该不同于所述表项二的表项标示的业务类型与所述表项二标示的业务类型一致；

如果是，将所述不同于所述表项二的表项和表项二从所述预置全流表中删除，在所述预置关联表中增加包括所述报文的网络地址和端口对的关联表表项，该关联表表项标示所述报文对应的业务类型为所述表项二标示的业务类型。

6.如权利要求1至3、或5任一所述的识别报文对应的业务类型的方法，其特征在于，定期对所述预置关联表中的表项进行更新和删除。

7.如权利要求1至3、或5任一所述的识别报文对应的业务类型的方法，其特征在于，定期对所述预置全流表中的表项进行更新和删除。

8.一种识别报文对应的业务类型的装置，其特征在于，包括：

地址端口提取单元，用于提取报文的网络地址和端口对；

关联表表项查找单元，用于在预置关联表中查找包括所述网络地址和端口对的表项，所述关联表存储有网络地址和端口对与业务类型的对应关系；

业务类型识别单元，用于在所述关联表表项查找单元在所述预置关联表中查找到包括所述网络地址和端口对的表项时，确定所述报文对应的业务类型为所述表项标示的业务类型；

五元组提取单元，用于在所述关联表表项查找单元在所述预置关联表中查找不到包括所述网络地址和端口对的表项时，提取所述报文的五元组；

全流表表项查找单元，用于在预置全流表中查找包括所述五元组的表项，所述全流表存储有五元组、业务类型及业务类型状态的对应关系，所述业务类型状态为正在被识别或已经被识别；

所述业务类型识别单元用于在所述全流表查找单元找到包括所述五元组的表项一，且表项一标示的业务类型状态为已经被识别时，确定所述报文对应的业务类型为所述表项一标示的业务类型。

9.如权利要求8所述的识别报文对应的业务类型的装置，其特征在于，进一步包括：

模式匹配单元，用于在所述全流表表项查找单元找不到包括所述五元组的表项时，将所述报文与预置模式集中的所有特征字段进行多模式匹配，得到所述报文包括的特征字段；

规则查找单元，用于在预置规则库中查找与所述报文包括的特征字段对应的规则；

若所述规则查找单元在所述预置规则库中查找不到与所述报文包括的特征字段对应的规则，所述业务类型识别单元确定该报文对应的业务类型为未知类型。

10.如权利要求9所述的识别报文对应的业务类型的装置，其特征在于，进一步包括：

报文识别规则判断单元，用于在所述规则查找单元在所述预置规则库中查找到与所述报文包括的特征字段对应的规则时，对所述规则进行判断；

若所述报文识别规则判断单元判断所述规则为单报文识别规则，所述业务类型识别单元确定所述报文对应的业务类型为所述单报文识别规则对应的业务类型。

11.如权利要求9或10所述的识别报文对应的业务类型的装置，其特征在于，若所述业务类型识别单元确定所述报文对应的业务类型，进一步包括：

五元组判断单元，用于在所述业务类型识别单元确定所述报文对应的业务类型时，在所述预置全流表中查找是否有表项包含的五元组包括所述报文的网络地址和端口对，且该表项标示的业务类型与所述报文对应的业务类型一致；

全流表表项删除单元，用于在所述五元组判断单元判断所述预置全流表有所述表项，且该表项标示的业务类型与报文对应的业务类型一致时，将该表项从所述预置全流表中删除；

关联表表项增加单元，用于在所述五元组判断单元判断所述预置全流表有所述表项，且该表项标示的业务类型与报文对应的业务类型一致时，在所述预置关联表中增加包括所述报文的网络地址和端口对的关联表表项，该关联表表项标示的业务类型为所述报文对应的业务类型；

全流表表项增加单元，用于在所述五元组判断单元判断所述预置全流表没有包括所述五元组的表项、或有包括所述五元组的表项但该表项标示的业务类型与报文对应的业务类型不一致时，在所述预置全流表中新增包括所述五元组的全流表表项，该新增全流表表项标示的业务类型为所述报文对应的业务类型。

12.如权利要求10所述的识别报文对应的业务类型的装置，其特征在于，若所述报文识别规则判断单元判断所述规则为多报文识别规则，进一步包括：

全流表表项增加单元，用于在所述报文识别规则判断单元判断所述规则为多报文识别规则时，在所述预置全流表中新增包括所述五元组的表项；

业务类型查找单元，用于从所述预置状态库中查找与所述多报文识别规则对应的业务类型，所述业务类型为所述报文对应的所有可能业务类型；

状态添加单元，用于将与所述多报文识别规则对应的业务类型的下一状态记录到所述新增表项中，并标示所述新增表项标示的业务类型状态为正在被识别。

13.如权利要求8所述的识别报文对应的业务类型的装置，其特征在于，进一步包括：

状态匹配单元，用于在所述全流表表项查找单元在所述预置全流表中查找到包括所述五元组的表项二，且表项二标示的业务类型状态为正在被识别时，将所述报文与表项二中记录的每个状态进行匹配；

状态添加单元，用于在所述状态匹配单元匹配成功时，从预置状态库中查找所述五元组对应的业务类型的下一状态，将所述下一状态添加到包括所述表项二中；若所述状态添加单元不能从所述预置状态库中查找到所述五元组对应的业务类型的下一状态时，所述业务类型识别单元确定所述报文对应的业务类型为所述五元组对应的业务类型，将所述表项二标示的业务类型状态更新为已经被识别；

状态删除单元，用于在所述状态匹配单元匹配不成功时，从所述表项二中记录的状态中删除不匹配的状态；若所述状态删除单元将所述表项二记录的状态全部删除，所述业务类型识别单元确定所述报文对应的业务类型为未知业务类型。

14.如权利要求13所述的识别报文对应的业务类型的装置，其特征在于，如果所述业务类型识别单元确定所述报文对应的业务类型，进一步包括：

五元组判断单元，用于在所述业务类型识别单元确定所述报文对应的业务类型时，在所述预置全流表中查找是否有不同于表项二的表项包含的五元组包括所述报文的网络地址和端口对，且该不同于表项二的表项标示的业务类型与所述表项二标示的业务类型一致；

全流表表项删除单元，用于在所述五元组判断单元判断所述预置全流表有所述不同于表项二的表项，且该不同于表项二的表项标示的业务类型与表项二标示的业务类型一致时，将所述不同于表项二的表项和表项二从所述预置全流表中删除；

关联表表项增加单元，用于在所述五元组判断单元判断所述预置全流表有所述不同于表项二的表项，且该不同于表项二的表项标示的业务类型与表项二标示的业务类型一致时，在所述预置关联表中增加包括所述报文的网络地址和端口对的关联表表项，该关联表表项标示所述报文对应的业务类型。

Images