CN101370016B - 一种数据流表的老化方法、装置和系统 - Google Patents

Abstract

本发明实施例公开了一种数据流表的老化方法、装置和系统，该方法包括：接收数据流的首包，根据所述数据流的首包建立数据流表，记录所述数据流表的建立时间；在以所述数据流表的建立时间为起点的预设时间内，对接收到的所述数据流的后续报文进行计数；检测所述后续报文的计数数值是否小于预设数量，如果所述计数数值小于所述预设数量，则删除所述数据流表。本发明实施例采用了基于后续报文计数的老化方法，在不影响正常业务的前提下，加速了对数据流表的老化，减少了数据流表对内存的占用。

Description

一种数据流表的老化方法、装置和系统

技术领域

本发明涉及网络技术领域，特别是涉及一种数据流表的老化方法、装置和系统。

背景技术

目前，网络上99％以上的数据流都是基于TCP(Transmission ControlProtocol，传输控制协议)或UDP(User Datagram Protocol，用户数据报协议)的。如何检测和防范数据流里面的攻击报文，是安全防火墙产品需要解决的问题。业界所有设备厂商的安全防火墙产品都是基于状态的，状态防火墙能够检测所有经过的应用数据流的交互状态，针对每个应用数据流，动态生成一个数据流表。数据流表最基本的元素包括：源地址、源端口、协议号(TCP/UDP)、目的端口和目的地址，简称五元组。

数据流表都是动态生成的，一般每条数据流的首包到达防火墙后，防火墙根据首包，建立一个数据流表。该数据流的后续报文到达防火墙后，防火墙直接查找上述数据流表，对后续报文进行转发，跳过了首包很多的流程，提高了设备的转发能力。然而，每一个数据流表都会占用一定的内存空间，如果长时间累积数据流表，内存会耗尽，网络业务就会出现中断。所以，每一个数据流表都会有一个生存周期，或者称为老化时间。防火墙通过对老化时间的控制和检测，动态地删除数据流表。

现有技术中，数据流表老化的技术方案为：防火墙设备根据数据流首包建立数据流表，记录该数据流表建立的起始时间，赋给该数据流表一个生存周期；设备老化周期内，防火墙设备会周期地检测数据流表的生存周期，每次检测会缩短数据流表的生存周期；如果该数据流的后续报文命中该数据流表，防火墙设备重新赋给该数据流表一个完整的生存周期；如果数据流表在生存周期内无后续报文经过，防火墙设备在设备老化周期内，检测到该数据流表的生存周期结束，直接删除该数据流表。防火墙设备会针对每种不同的应用业务，为生成的数据流表指定一个生存周期，该生存周期指定的基本原则为：时间长度能够满足业务检测和业务转发的需要，一般都是根据经验值进行指定。比如：普通UDP应用数据流表生存周期为2分钟，TCP应用数据流表生存周期为20分钟等等。

发明人在实现本发明的过程中，发现现有技术至少存在如下问题：

数据流表的生存周期都是根据经验值进行指定，指定的生存周期过长时，数据流表未老化，而数据流已经停止，如果数据流表大量存在，很容易达到防火墙设备的数据流表上限，导致新的数据流不能建立，影响业务的正常运行。

发明内容

本发明实施例提供一种数据流表的老化方法、装置和系统，在不影响正常业务的前提下，加速了对数据流表的老化。

为达到上述目的，本发明实施例一方面提出一种数据流表的老化方法，包括：

接收数据流的首包，根据所述数据流的首包建立数据流表，记录所述数据流表的建立时间；

在以所述数据流表的建立时间为起点的预设时间内，对接收到的所述数据流的后续报文进行计数，所述预设时间小于或等于设备的老化周期；

检测所述后续报文的计数数值是否小于预设数量，所述检测后续报文的计数数值的时间点为设备的老化周期到达的时刻，如果所述计数数值小于所述预设数量，则删除所述数据流表。

本发明实施例还提出一种网络装置，包括：

记录模块，用于接收数据流的首包，根据所述数据流的首包建立数据流表，记录所述数据流表的建立时间；

计数模块，用于在以所述数据流表的建立时间为起点的预设时间内，对接收到的所述数据流的后续报文进行计数，所述预设时间小于或等于网络装置的老化周期；

检测模块，用于检测所述计数模块得到的所述后续报文的计数数值是否 小于预设数量，所述检测后续报文的计数数值的时间点为网络装置的老化周期到达的时刻；

删除模块，用于当所述检测模块检测到所述计数数值小于所述预设数量，删除所述数据流表。

本发明实施例还提出一种网络系统，包括：

承载装置，用于承载网络中的数据流；

网络装置，用于老化数据流表，所述数据流表根据所述承载装置承载的数据流生成，所述网络装置包括：

记录模块，用于接收数据流的首包，根据所述数据流的首包建立数据流表，记录所述数据流表的建立时间；

计数模块，用于在以所述数据流表的建立时间为起点的预设时间内，对接收到的所述数据流的后续报文进行计数，所述预设时间小于或等于网络装置的老化周期；

检测模块，用于检测所述计数模块得到的所述后续报文的计数数值是否小于预设数量，所述检测后续报文的计数数值的时间点为设备的老化周期到达的时刻；

删除模块，用于当所述检测模块检测到所述计数数值小于所述预设数量时，删除所述数据流表。

本发明实施例的技术方案具有以下优点，因为采用了基于后续报文计数的老化方法，在不影响正常业务的前提下，加速了对数据流表的老化，减少了数据流表对内存的占用。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中的一种数据流表的老化方法流程图；

图2为本发明实施例中的数据流表的老化方法的一种实现方式流程图；

图3为本发明实施例中的一种网络装置结构图；

图4为本发明实施例中的另一种网络装置结构图；

图5为本发明实施例中的一种网络系统结构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，为本发明实施例中的一种数据流表的老化方法流程图，可以包括以下步骤：

步骤101，接收数据流的首包，根据数据流的首包建立数据流表，记录数据流表的建立时间。

接收到数据流的首包后，根据该数据流的首包建立数据流表，记录该数据流表的建立时间，赋给该数据流表一个生存周期。

步骤102，在以数据流表的建立时间为起点的预设时间内，对接收到的数据流的后续报文进行计数。

以数据流表的建立时间为起点的预设时间可以提前指定，也可以动态地修改。

所述预设时间可以是所述赋给该数据流表的生存周期，也可以是设备的老化周期。设备的老化周期是指设备运行后，扫描每个数据表的周期。

在接收到数据流的后续报文时，记录该后续报文的接收时间，并对接收到的后续报文进行计数。

在本发明实施例中，上述对后续报文进行计数可以为“加1”。

需要进一步指出的是，计数的方法不仅限于此，还可以包括其他的可以达到计数效果的数值变化，这样的变化同样属于本发明的保护范围。

步骤103，检测后续报文的计数数值是否小于预设数量，如果计数数值小于预设数量，则执行步骤104。

步骤104，删除根据数据流的首包建立的数据流表。

检测计数数值的时间点为设备的老化周期到达的时刻，设备的老化周期 到达后，检测后续报文的计数数值是否小于预设数量，如果计数数值小于预设数量，则删除根据数据流的首包建立的数据流表。

本发明实施例的技术方案具有以下优点，因为采用了基于后续报文计数的老化方法，在不影响正常业务的前提下，加速了对数据流表的老化，减少了数据流表对内存的占用。

如图2所示，为本发明实施例中的数据流表的老化方法的一种具体实现方式流程图，可以包括以下步骤：

步骤201，设置预设时间或预设数量。

本发明实施例在原有的基于时间的数据流表老化工作机制上，增加了基于后续报文计数的加速老化机制，即在设备的老化周期到达后，检测预设时间内接收到的后续报文的计数数值是否达到预设数量，如果达到预设数量，则继续接收后续报文；如果达不到预设数量，则删除根数据流表。

预设时间或预设数量可以预先指定，比如，可以设置预设时间为1秒，设置预设数量为3个。

以数据流表的建立时间为起点的预设时间可以提前指定，也可以动态地修改。

所述预设时间可以是所述赋给该数据流表的生存周期，也可以是设备的老化周期。设备的老化周期是指设备运行后，扫描每个数据表的周期。

步骤202，接收数据流的首包，根据数据流的首包建立数据流表，记录数据流表的建立时间。

接收到数据流的首包后，根据该数据流的首包建立数据流表，记录该数据流表的建立时间，赋给该数据流表一个生存周期。

步骤203，在以数据流表的建立时间为起点的预设时间内，对接收到的数据流的后续报文进行计数。

在接收到数据流的后续报文时，记录该后续报文的接收时间，并对接收到的后续报文进行计数。

在本发明实施例中，上述对后续报文进行计数可以为“加1”。

需要进一步指出的是，计数的方法不仅限于此，还可以包括其他的可以 达到计数效果的数值变化，这样的变化同样属于本发明的保护范围。

步骤204，如果后续报文的接收时间不在所述预设时间内，则停止对后续报文的本轮计数。

步骤205，检测后续报文的计数数值是否小于预设数量，如果计数数值小于预设数量，则执行步骤206；如果计数数值不小于预设数量，则执行步骤207。

检测计数数值的时间点为设备的老化周期到达的时刻，如果检测计数数值的时间点设置为到达预设时间的同一时刻，那么步骤204无须执行，步骤203之后接着执行步骤205；如果检测计数数值的时间点设置为到达预设时间的时刻之后，那么步骤203之后可能接着执行步骤204，因为检测计数数值的时间点滞后于到达预设时间的时刻，两个时刻之间还可能有后续报文到达，则继续接收该数据流表的后续报文，但停止对该后续报文的本轮计数。

步骤206，删除根据数据流的首包建立的数据流表。

检测计数数值的时间点，即设备的老化周期到达后，检测后续报文的计数数值是否小于预设数量，如果计数数值小于预设数量，则删除根据数据流的首包建立的数据流表。

步骤207，对后续报文的计数复位，记录后续报文的计数的复位时间。

如果计数数值不小于预设数量，则对后续报文的计数复位，记录后续报文的计数的复位时间，赋给该数据流表一个新的生存周期。

在本发明实施例中，上述对后续报文的计数复位可以为“清零”。

需要进一步指出的是，复位的方法不仅限于此，还可以包括其他的可以达到复位效果的数值变化，这样的变化同样属于本发明的保护范围。

步骤208，在以后续报文的计数的复位时间为起点的预设时间内，对接收到的数据流的后续报文进行计数。

对后续报文的计数复位后，在接收到数据流的后续报文时，记录该后续报文的接收时间，对接收到的后续报文进行计数。设备的下一个的老化周期到达后，执行步骤205，即检测后续报文的计数数值是否小于预设数量，如果计数数值小于预设数量，则删除根据数据流的首包建立的数据流表。

本发明实施例的技术方案具有以下优点，因为采用了基于后续报文计数的老化方法，在不影响正常业务的前提下，加速了对数据流表的老化，减少了数据流表对内存的占用。

如图3所示，为本发明实施例中的一种网络装置结构图，可以包括：

记录模块301，用于接收数据流的首包，根据数据流的首包建立数据流表，记录数据流表的建立时间。

本发明实施例中的网络装置接收到数据流的首包后，根据该数据流的首包建立数据流表，记录该数据流表的建立时间，赋给该数据流表一个生存周期。

计数模块302，用于在以所述数据流表的建立时间为起点的预设时间内，对接收到的所述数据流的后续报文进行计数。

本发明实施例中的网络装置在接收到数据流的后续报文时，记录该后续报文的接收时间，并对该后续报文进行计数。预设时间可以提前指定，也可以动态地修改。所述预设时间可以是所述赋给该数据流表的生存周期，也可以是所述网络装置的老化周期。网络装置的老化周期是指该网络装置运行后，扫描每个数据表的周期。

在本发明实施例中，上述对后续报文进行计数可以为“加1”。

需要进一步指出的是，计数的方法不仅限于此，还可以包括其他的可以达到计数效果的数值变化，这样的变化同样属于本发明的保护范围。

检测模块303，用于检测计数模块302得到的后续报文的计数数值是否小于预设数量。

删除模块304，用于当检测模块303检测到计数数值小于预设数量时，用于删除根据数据流的首包建立的数据流表。

检测计数数值的时间点为网络装置的老化周期到达的时刻，网络装置的老化周期到达后，本发明实施例中的网络装置检测后续报文的计数数值是否小于预设数量，如果计数数值小于预设数量，则删除根据数据流的首包建立的数据流表。

本发明实施例中的网络装置的类型可以包括防火墙或路由器等。

本发明实施例的技术方案具有以下优点，因为采用了基于后续报文计数的老化方法，在不影响正常业务的前提下，加速了对数据流表的老化，减少了数据流表对内存的占用。

如图4所示，为本发明实施例中的另一种网络装置结构图，可以包括：

设置模块401，用于设置预设时间或预设数量。

本发明实施例在原有的基于时间的数据流表老化工作机制上，增加了基于后续报文计数的加速老化机制，即在网络装置的老化周期到达后，检测预设时间内接收到的后续报文的计数数值是否达到预设数量，如果达到预设数量，则继续接收后续报文；如果达不到预设数量，则删除根数据流表。

预设时间或预设数量需要提前指定，比如，可以设置预设时间为1秒，设置预设数量为3个。

以数据流表的建立时间为起点的预设时间可以提前指定，也可以动态地修改。

所述预设时间可以是所述赋给该数据流表的生存周期，也可以是网络装置的老化周期。所述网络装置的老化周期是指该网络装置运行后，扫描每个数据表的周期。

记录模块402，用于接收数据流的首包，根据数据流的首包建立数据流表，记录数据流表的建立时间。

本发明实施例中的网络装置接收到数据流的首包后，根据该数据流的首包建立数据流表，记录该数据流表的建立时间，赋给该数据流表一个生存周期。

计数模块403，用于在以所述数据流表的建立时间为起点的预设时间内，对接收到的所述数据流的后续报文进行计数。

本发明实施例中的网络装置在接收到数据流的后续报文时，记录该后续报文的接收时间，并对该后续报文进行计数。预设时间可以提前指定，也可以动态地修改。

在本发明实施例中，上述对后续报文进行计数可以为“加1”。

需要进一步指出的是，计数的方法不仅限于此，还可以包括其他的可以 达到计数效果的数值变化，这样的变化同样属于本发明的保护范围。

计数模块403，还用于当后续报文的接收时间不在预设时间内时，停止对后续报文的本轮计数。

检测模块404，用于检测计数模块403得到的后续报文的计数数值是否小于预设数量。

删除模块405，用于当检测模块404检测到计数数值小于预设数量时，删除根据数据流的首包建立的数据流表。

检测计数数值的时间点为网络装置的老化周期到达的时刻，网络装置的老化周期到达后，本发明实施例中的网络装置检测后续报文的计数数值是否小于预设数量，如果计数数值小于预设数量，则删除根据数据流的首包建立的数据流表。

复位模块406，用于在检测模块404检测到计数数值不小于预设数量时，对后续报文的计数复位，记录后续报文的计数的复位时间。

如果计数数值不小于预设数量，则对后续报文的计数复位，记录后续报文的计数的复位时间，赋给该数据流表一个新的生存周期。

在本发明实施例中，上述对后续报文的计数复位可以为“清零”。

需要进一步指出的是，复位的方法不仅限于此，还可以包括其他的可以达到复位效果的数值变化，这样的变化同样属于本发明的保护范围。

计数模块403，还用于在以后续报文的计数的复位时间为起点的预设时间内，对接收到的数据流的后续报文进行计数。

对后续报文的计数复位后，在接收到数据流的后续报文时，记录该后续报文的接收时间，对接收到的后续报文进行计数。网络装置的下一个老化周期到达后，检测模块404检测后续报文的计数数值是否小于预设数量，如果计数数值小于预设数量，则删除根据数据流的首包建立的数据流表。

本发明实施例中的网络装置的类型可以包括防火墙、或交换机、或路由器、或其他需要进行数据流表老化的设备等。

本发明实施例的技术方案具有以下优点，因为采用了基于后续报文计数的老化方法，在不影响正常业务的前提下，加速了对数据流表的老化，减少 了数据流表对内存的占用。

如图5所示，为本发明实施例中的一种网络系统结构图，可以包括：

承载装置510，用于承载网络中的数据流。

承载装置510可以位于因特网Internet或专用网络上，承载大量的应用数据流，并根据业务需求处理上述应用数据流。

网络装置520，用于老化数据流表，该数据流表根据承载装置510承载的数据流生成。

网络装置520根据承载装置510承载的数据流的首包，生成并老化对应的数据流表，该数据流表用于转发数据流的后续报文。

网络装置520，具体可以包括：

记录模块521，用于接收数据流的首包，根据数据流的首包建立数据流表，记录数据流表的建立时间。

本发明实施例中的网络装置520接收到数据流的首包后，根据该数据流的首包建立数据流表，记录该数据流表的建立时间，赋给该数据流表一个生存周期。

计数模块522，用于在以数据流表的建立时间为起点的预设时间内，对接收到的数据流的后续报文进行计数。

本发明实施例中的网络装置520在接收到数据流的后续报文时，记录该后续报文的接收时间，并对该后续报文进行计数。预设时间可以提前指定，也可以动态地修改。所述预设时间可以是所述赋给该数据流表的生存周期，也可以是所述网络装置的老化周期。网络装置的老化周期是指该网络装置运行后，扫描每个数据表的周期。

在本发明实施例中，上述对后续报文进行计数可以为“加1”。

需要进一步指出的是，计数的方法不仅限于此，还可以包括其他的可以达到计数效果的数值变化，这样的变化同样属于本发明的保护范围。

检测模块523，用于检测计数模块522得到的后续报文的计数数值是否小于预设数量。

删除模块524，用于当检测模块523检测到计数数值小于预设数量时，删 除数据流表。

检测计数数值的时间点为网络装置的老化周期到达的时刻，网络装置的老化周期到达后，本发明实施例中的网络装置520检测后续报文的计数数值是否小于预设数量，如果计数数值小于预设数量，则删除根据数据流的首包建立的数据流表。

本发明实施例中的承载装置510的类型可以包括路由器或交换机等。

本发明实施例中的网络装置520的类型可以包括防火墙、或交换机、或路由器、或其他需要进行数据流表老化的设备等。

本发明实施例的技术方案具有以下优点，因为采用了基于后续报文计数的老化方法，在不影响正常业务的前提下，加速了对数据流表的老化，减少了数据流表对内存的占用。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台终端设备(可以是手机，个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视本发明的保护范围。

Claims (12)

1.一种数据流表的老化方法，其特征在于，包括：

接收数据流的首包，根据所述数据流的首包建立数据流表，记录所述数据流表的建立时间；

在以所述数据流表的建立时间为起点的预设时间内，对接收到的所述数据流的后续报文进行计数，所述预设时间小于或等于设备的老化周期；

检测所述后续报文的计数数值是否小于预设数量，所述检测后续报文的计数数值的时间点为设备的老化周期到达的时刻，如果所述计数数值小于所述预设数量，则删除所述数据流表。

2.如权利要求1所述数据流表的老化方法，其特征在于，所述检测后续报文的计数数值是否小于预设数量之前，还包括：

如果所述后续报文的接收时间不在所述预设时间内，则停止对所述后续报文的本轮计数。

3.如权利要求1或2所述数据流表的老化方法，其特征在于，所述检测后续报文的计数数值是否小于预设数量之后，还包括：

如果所述计数数值不小于所述预设数量，则对所述后续报文的计数数值复位，记录所述后续报文的计数数值的复位时间；

在以所述后续报文的计数数值的复位时间为起点的预设时间内，对接收到的所述数据流的后续报文进行计数；

所述检测后续报文的计数数值的时间点为设备的老化周期到达的时刻，检测所述后续报文的计数数值是否小于预设数量，如果所述计数数值小于所述预设数量，则删除根据所述数据流的首包建立的数据流表。

4.如权利要求3所述数据流表的老化方法，其特征在于，还包括：

设置所述预设时间或所述预设数量。

5.一种网络装置，其特征在于，包括：

记录模块，用于接收数据流的首包，根据所述数据流的首包建立数据流表，记录所述数据流表的建立时间；

计数模块，用于在以所述数据流表的建立时间为起点的预设时间内，对接收到的所述数据流的后续报文进行计数，所述预设时间小于或等于网络装置的老化周期；

检测模块，用于检测所述计数模块得到的所述后续报文的计数数值是否小于预设数量，所述检测后续报文的计数数值的时间点为网络装置的老化周期到达的时刻；

删除模块，用于当所述检测模块检测到所述计数数值小于所述预设数量时，删除所述数据流表。

6.如权利要求5所述网络装置，其特征在于，所述计数模块，还用于当所述后续报文的接收时间不在所述预设时间内时，停止对所述后续报文的本轮计数。

7.如权利要求5或6所述网络装置，其特征在于，还包括：

复位模块，用于在所述检测模块检测到所述计数数值不小于所述预设数量时，对所述后续报文的计数数值复位，记录所述后续报文的计数数值的复位时间。

8.如权利要求7中所述网络装置，其特征在于，所述计数模块，还用于在以所述后续报文的计数数值的复位时间为起点的预设时间内，对接收到的所述数据流的后续报文进行计数。

9.如权利要求7中所述网络装置，其特征在于，还包括：

设置模块，用于设置所述预设时间或所述预设数量。

10.如权利要求7中所述网络装置，其特征在于，所述网络装置的类型包括：

防火墙或路由器。

11.一种网络系统，其特征在于，包括：

承载装置，用于承载网络中的数据流；

网络装置，用于老化数据流表，所述数据流表根据所述承载装置承载的数据流生成，所述网络装置包括：

记录模块，用于接收数据流的首包，根据所述数据流的首包建立数据流表，记录所述数据流表的建立时间；

计数模块，用于在以所述数据流表的建立时间为起点的预设时间内，对接收到的所述数据流的后续报文进行计数，所述预设时间小于或等于网络装置的老化周期；

检测模块，用于检测所述计数模块得到的所述后续报文的计数数值是否小于预设数量，所述检测后续报文的计数数值的时间点为网络装置的老化周期到达的时刻；

删除模块，用于当所述检测模块检测到所述计数数值小于所述预设数量时，删除所述数据流表。

12.如权利要求11中所述网络系统，其特征在于，所述网络装置的类型包括：

防火墙或路由器。

Images