CN101605087B - 流量信息提取方法、设备及系统 - Google Patents

Abstract

本发明涉及一种流量信息提取方法，包括以下步骤：根据指定的RT/RD在控制平面信息表中查找对应的路由标签和业务标签，并根据路由标签和业务标签提取对应的用户VPN信息流。本发明还涉及一种流量信息提取设备，包括顺次连接的控制平面信息表存储模块、标签查找模块和信息流提取模块。本发明还涉及了一种包括流量信息提取设备的流量信息提取系统，还包括通过第一信息流转发设备或者直接与流量信息提取设备相连的分光设备。本发明根据用户指定的RD/RT信息查找到对应的路由标签和业务标签，并根据这些标签有选择的提取对应的用户VPN流量，从而实现了MPLS网络中对特定用户流量信息的提取。本发明适合在各种规模的MPLS核心网的主干路径进行部署。

Description

流量信息提取方法、设备及系统

技术领域

本发明涉及信息安全技术，尤其涉及一种路由型多协议标签交换虚拟专用网(Multi Protocol Label Switch Virtual Private Network，简称MPLS VPN)网络中的流量信息的提取系统及方法。

背景技术

在IP网络中，出于流量监管和安全信息监管的需要，可以在网络的主干路径上的中继电路接口上面，利用分光技术把流量引入IP流量分析设备，实现对IP流量的提取。然后对特定IP流量进行网络应用重构，还原通信的过程，从而实现对通信内容的监听。在IP网络中，由于IP地址是全局的，容易确定完整的IP流的信息，所以基于IP网络的信息提取和信息重构比较容易实现，技术发展也相当成熟。

在逐渐发展起来的MPLS VPN网络中，IP报文被封装在MPLS报文中。由于用户IP地址通常是私有地址，因此不同用户VPN所使用的IP地址则可能是重叠的。而且MPLS标签在路由器中是本地有效的，要在MPLS网络主干路径的中继电路中提取特定用户流量信息，技术难度很大。

目前国内外至今尚没有相应的技术方法解决MPLS流量用户流量信息的提取。目前较多的做法是在网络与网络间互联接口(NetworkNetwork Interface，简称NNI)/用户与网络间互联接口(User NetworkInterface，简称UNI)接口上进行用户流量信息的提取。因为在NNI/UNI接口上面，可以规避MPLS封装，用户流量一般只封装IP报文，采用现有IP网络的信息提取和重构技术可以很好实现IP信息的监听。但在NNI/UNI接口一般属于网络的边缘，不能实现大范围的信息提取，不利于大规模的信息监听，技术部署局限很大，通用性差。在一个大型的MPLS VPN网络中，如要实现大规模的用户信息内容的提取，在网络边缘实现显然从经济上是十分困难的。

发明内容

本发明的目的是提出一种流量信息提取方法、设备及系统，能够在MPLS VPN网络中实现特定的用户流量信息的提取。

为实现上述目的，本发明提供了一种流量信息提取方法，包括以下步骤：

根据指定的路由目标(Route-Target，简称RT)/路由区分器(Route-Distinguisher，简称RD)在预先建立并存储的控制平面信息表中查找对应的路由标签和业务标签，并根据所述路由标签和业务标签从监听到的数据流量提取对应的用户虚拟专用网信息流。

进一步的，所述控制平面信息表的建立流程可以包括以下步骤：

从监听到的标签分配协议(Label Distribution Protocol，简称LDP)报文中解析出路由IP地址与路由标签的对应关系，并汇总成包括一组或多组路由IP地址与路由标签的对应关系的外层标签信息表；

从虚拟专用网路由反射器(VPN Route Reflector，简称VRR)接收的边界网关协议(Border Gateway Protocol，简称BGP)报文中解析出包括一组或多组路由IP地址与业务标签和路由目标/路由区分器的对应关系的内层标签信息表；

根据所述外层标签信息表和内层标签信息表汇总成包括与所述路由IP地址对应的路由标签、业务标签和路由目标/路由区分器的控制平面信息表。

进一步的，所述从监听到的标签分配协议报文中解析出路由IP地址与路由标签的对应关系的操作可以具体为：

对监听到的标签分配协议报文中的通告消息进行解析，得到路由IP地址与路由标签的对应关系。

进一步的，所述从虚拟专用网路由反射器接收的边界网关协议报文中解析出包括一组或多组路由IP地址与业务标签和路由目标/路由区分器的对应关系的内层标签信息表的操作可以具体为：

在与所述虚拟专用网路由反射器建立内部边界网关协议(Internal Border Gateway Protocol，简称iBGP)连接时，对接收到的边界网关协议报文中的更新消息进行解析，获得包括一组或多组路由IP地址与业务标签和路由目标/路由区分器的对应关系的内层标签信息表。

进一步的，在根据所述路由标签和业务标签从监听到的数据流量提取对应的用户虚拟专用网信息流之后，还可以包括根据特定应用/业务进行的信息提取操作，具体包括：

根据指定的应用/业务类型对已提取的用户虚拟专用网信息流进行二次提取。

为实现上述目的，本发明还提供了一种流量信息提取设备，包括：

控制平面信息表存储模块，用于存储预先建立的控制平面信息表；

标签查找模块，与所述控制平面信息表存储模块相连，用于根据指定的路由目标/路由区分器在所述控制平面信息表中查找对应的路由标签和业务标签；

信息流提取模块，与所述标签查找模块相连，用于根据所述路由标签和业务标签从监听到的数据流量提取对应的用户虚拟专用网信息流。

进一步的，该流量信息提取设备还可以包括：

外层标签信息表建立模块，用于从监听到的标签分配协议报文中解析出路由IP地址与路由标签的对应关系，并汇总成包括一组或多组路由IP地址与路由标签的对应关系的外层标签信息表；

内层标签信息表建立模块，用于从虚拟专用网路由反射器接收的边界网关协议报文中解析出包括一组或多组路由IP地址与业务标签和路由目标/路由区分器的对应关系的内层标签信息表；

控制平面信息表建立模块，与所述控制平面信息表存储模块相连，用于根据所述外层标签信息表和内层标签信息表汇总成包括与所述路由IP地址对应的路由标签、业务标签和路由目标/路由区分器的控制平面信息表。

进一步的，该流量信息提取设备还可以包括：

二次信息流提取模块，与所述信息流提取模块相连，用于根据指定的应用/业务类型对已提取的用户虚拟专用网信息流进行二次提取。

为实现上述目的，本发明还提供了一种包括上述任一所述流量信息提取设备的流量信息提取系统，还包括：

分光设备，设于多协议标签交换虚拟专用网中P路由器之间的主干路径的中继链路上，用于监听所述中继链路中的数据流量；

所述分光设备通过第一信息流转发设备或者直接与所述流量信息提取设备相连。

进一步的，该流量信息提取系统还包括：

与虚拟专用网路由反射器连接的设备，用以建立BGP连接，获取多协议标签交换虚拟专用网中所有的VPNv4路由信息。

基于上述技术方案，本发明根据用户指定的RD/RT信息查找到对应的路由标签和业务标签，并根据这些标签有选择的提取对应的用户VPN流量，从而实现了MPLS网络中对特定用户流量信息的提取。本发明适合在各种规模的MPLS核心网的主干路径进行部署。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明流量信息提取方法的一实施例的流程示意图。

图2为本发明流量信息提取方法的另一实施例的流程示意图。

图3为本发明流量信息提取方法的再一实施例的流程示意图。

图4为本发明流量信息提取设备的一实施例的结构示意图。

图5为本发明流量信息提取设备的另一实施例的结构示意图。

图6为本发明流量信息提取设备的再一实施例的结构示意图。

图7为本发明流量信息提取系统的一实施例的拓扑示意图。

图8为本发明流量信息提取系统的另一实施例的拓扑示意图。

具体实施方式

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

本发明在下文中提供了经济有效的在MPLS VPN网络进行流量信息提取设备的部署方式，并给出了流量信息提取的设备及流程。本发明中建立控制平面信息表来为用户指定的流量信息的选择提供依据，并通过对控制平面信息表的查询来选择匹配的流量信息。

如图1所示，为本发明流量信息提取方法的一实施例的流程示意图。本实施例所涉及的流程包括以下步骤：

步骤101、根据指定的RT/RD在预先建立并存储的控制平面信息表中查找对应的路由标签和业务标签；

步骤102、根据得到的路由标签和业务标签从监听到的数据流量提取对应的用户VPN信息流。

在本实施例中，RT用于VPN路由的控制，属于一种BGP路由的扩展community；RD用于区分各个用户VPN，RD+IP就构成了一个VPNv4的路由。

在L3MPLS VPN的网络内，IP数据报文通常含有内外两层标签，内层标签标识的是所属的VPN业务标签(简称业务标签)，外层标签为路由标签，为了对业务标签和路由标签有个更清晰地说明，这里给出了从骨干网中的边缘设备(Provider Edge，简称PE)到PE的MPLS报文转发的流程：

首先，入口PE收到用户站点中直接与服务提供商相连的边缘设备(Custom Edge，简称CE)的普通IP报文后，PE根据入接口所属的VRF加入到相应的VPN转发表，查找下一跳和标签，首先插入业务标签(Lv)，通过路由迭代插入路由标签(Li)，下一跳指向P路由器，这样完成了标签的二次封装。其中Li为目的PE loopback地址所对应的MPLS路由标签，路由器本地有效；Lv为由目的PE分配，并通过MP-BGP宣告到源PE。

MPLS核心网的所有P路由器只能识别外层的路由标签，因此MPLS报文按照理由标签沿着标签交换路径(Label Switching Path，简称LSP)进行逐跳转发，一直到达终点PE前一跳的P设备，该P设备为倒数第二跳，弹出外层的路由标签，并将报文转发给终点PE。

终点PE收到该报文后，PE弹出内层的业务标签，并查找VRF路由表转发给CE路由器，从而完成了MPLS/VPN报文的基本转发。

由上述报文转发流程可见，业务标签和路由标签能够作为选择某个信息流的标识。

如图2所示，为本发明流量信息提取方法的另一实施例的流程示意图。在本实施例中着重的提供了控制平面信息表的生成过程。本实施例流程包括以下步骤：

步骤201、设置在MPLS VPN网络中的分光设备将监听到的数据流量发送到流量信息提取设备中。

步骤202、流量信息提取设备对LDP协议进行侦听，侦听方法是提取端口号为646的数据报文，对LDP协议的通告消息(Advertisement)解析后，可以得到路由IP地址(即Loopback地址)和路由标签的对应关系。

步骤203、汇总这些对应关系可以得到外层标签信息表，如下表：

IP地址	Label(Li)	备注
			PE-1 Loopback	L1
PE-2 Loopback	L2

例如：对P-1→P-2的LDP通告消息的解析，可以得到与P-1直接相连的PE设备的Loopback地址与Li之间的对应关系。对P-2→P-1的LDP通告消息的解析，可以得到与P-2直接相连的PE设备的Loopback地址与Li之间的对应关系。将这些对应关系组合就得到了上面的外层标签信息表。

步骤204、流量信息提取设备与VRR建立iBGP连接，接收所有过来的BGP协议报文。

步骤205、流量信息提取设备在对BGP协议报文中的更新消息(VPN-v4 update消息)进行解析汇总之后，可以得到内层标签信息表，参见下表示例：

RD	IP	Next-hop	RT	Label(Lv)
					RD VPN-1	Site-1	PE-1 Loopback	VPN-1	L-V1-1
RD VPN-1	Site-2	PE-2 Loopback	VPN-1	L-V1-2
					RD VPN-2	Site-1	PE-1 Loopback	VPN-2	L-V2-1
RD VPN-2	Site-2	PE-2 Loopback	VPN-2	L-V2-2

步骤206、流量信息提取设备根据上述的外层标签信息表和内层标签信息表汇总成包括与路由IP地址对应的路由标签Li、业务标签Lv和RT/RD的控制平面信息表。

步骤207、当用户指定了某个RT或者RD时，流量信息提取设备接收该RT/RD信息。

步骤208、流量信息提取设备根据步骤207中用户指定的RT/RD信息查询步骤206中生成的控制平面信息表，从中可以查到对应的路由标签Li和业务标签Lv，组成MPLS标签(Li，Lv)。

步骤209、流量信息提取设备从分光设备获取监听到的数据流量，并与MPLS标签(Li，Lv)进行匹配，不匹配的数据流量被丢弃，匹配的特定的用户VPN信息流则被提取。

在上述流程中，步骤202-203和步骤204-205之间不必须有明确的先后顺序，控制平面信息表的生成过程也并不必须与步骤207-209紧密相接。

如图3所示，为本发明流量信息提取方法的再一实施例的流程示意图。与上一实施例相比，本实施例在步骤209之后还包括了根据特定应用/业务进行的信息提取操作，其中步骤210中当用户指定了某种应用/业务时，流量信息提取设备接收该指定的应用/业务信息。在步骤209提取了信息流后，在步骤211中根据指定的应用/业务对所提取后的用户VPN信息流进行二次提取，如果用户VPN信息流与根据指定的应用/业务匹配，则提取，否则丢弃。

本实施例与上一实施例相比，提供了更细颗粒度的流的信息提取，其中特定的应用/业务可以结合TCP/IP五元组进行过滤，尤其是使用一些代表具体应用/业务的端口号进行过滤。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

如图4所示，为本发明流量信息提取设备的一实施例的结构示意图。在本设备实施例中包括以下模块：控制平面信息表存储模块1、标签查找模块2和信息流提取模块3。其中控制平面信息表存储模块1用于存储预先建立的控制平面信息表。标签查找模块2与控制平面信息表存储模块1相连，用于根据指定的RT/RD在控制平面信息表中查找对应的路由标签和业务标签。信息流提取模块3与标签查找模块2相连，用于根据路由标签和业务标签从监听到的数据流量提取对应的用户VPN信息流。

如图5所示，为本发明流量信息提取设备的另一实施例的结构示意图。与上一实施例相比，本实施例还包括外层标签信息表建立模块51、内层标签信息表建立模块52和平面信息表建立模块4。其中外层标签信息表建立模块51用于从监听到的LDP报文中解析出路由IP地址与路由标签的对应关系，并汇总成包括一组或多组路由IP地址与路由标签的对应关系的外层标签信息表。内层标签信息表建立模块52用于从VRR接收的BGP报文中解析出包括一组或多组路由IP地址与业务标签和RT/RD的对应关系的内层标签信息表。控制平面信息表建立模块4与控制平面信息表存储模块1相连，用于根据外层标签信息表和内层标签信息表汇总成包括与路由IP地址对应的路由标签、业务标签和RT/RD的控制平面信息表。

如图6所示，为本发明流量信息提取设备的再一实施例的结构示意图。与上一实施例相比，本实施例还包括二次信息流提取模块6，该模块与信息流提取模块3相连，用于根据指定的应用/业务类型对已提取的用户VPN信息流进行二次提取。

如图7所示，为本发明流量信息提取系统的一实施例的拓扑示意图。本系统实施例可以在各种MPLS VPN网络中通用，适合在各种MPLS网络规模上部署。其中分光设备9被设置在MPLS VPN网络中P路由器P-1和P-2之间的主干路径的中继链路上，用于监听中继链路中的数据流量。该分光设备9直接与流量信息提取设备8相连。

在本实施例中，流量信息提取设备6可以直接与VRR设备7连接，来建立BGP连接，以获取MPLS VPN网络中所有的VPNv4路由信息。

本实施例适合在MPLS核心网进行集中部署，尤其适合于对MPLS核心网的主干路经进行部署，从而满足全网业务的覆盖，避免在网络边缘分布大量的流量信息提取设备而导致投资巨大的问题。另外由于其集中部署的方式，在维护上比较方便，也简化信息同步的难度。

如图8所示，为本发明流量信息提取系统的另一实施例的拓扑示意图。与上一实施例相比，本实施例将流量信息提取设备8置于网络中心，作为二级系统中的较高一级，而监听到的数据流量通过作为较低一级的信息流转发设备10被转发到流量信息提取设备8进行解析、汇总和提取等处理。本实施例中可以包括与VRR设备7连接的设备11，该设备与较高一级的流量信息提取设备8相连，用于建立BGP连接，获取MPLS VPN网络中所有的VPNv4路由信息。

在本实施例中采用的二级系统级联适合于各种MPLS VPN网络，尤其适合于大型的MPLS VPN网络，由于MPLS核心网可能存在多条主干链路，因此通过转发设备就可以将监听到的信息流量转发到中心的流量信息提取设备进行集中处理。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制；尽管参照较佳实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者对部分技术特征进行等同替换；而不脱离本发明技术方案的精神，其均应涵盖在本发明请求保护的技术方案范围当中。

Claims (8)

1.一种流量信息提取方法，包括以下步骤：

根据指定的路由目标/路由区分器在预先建立并存储的控制平面信息表中查找对应的路由标签和业务标签，并根据所述路由标签和业务标签从监听到的数据流量提取对应的用户虚拟专用网信息流；

所述控制平面信息表的建立流程包括以下步骤：

从监听到的标签分配协议报文中解析出路由IP地址与路由标签的对应关系，并汇总成包括一组或多组路由IP地址与路由标签的对应关系的外层标签信息表；

从虚拟专用网路由反射器接收的边界网关协议报文中解析出包括一组或多组路由IP地址与业务标签和路由目标/路由区分器的对应关系的内层标签信息表；

根据所述外层标签信息表和内层标签信息表汇总成包括与所述路由IP地址对应的路由标签、业务标签和路由目标/路由区分器的控制平面信息表。

2.根据权利要求1所述的流量信息提取方法，其中所述从监听到的标签分配协议报文中解析出路由IP地址与路由标签的对应关系的操作具体为：

对监听到的标签分配协议报文中的通告消息进行解析，得到路由IP地址与路由标签的对应关系。

3.根据权利要求1所述的流量信息提取方法，其中所述从虚拟专用网路由反射器接收的边界网关协议报文中解析出包括一组或多组路由IP地址与业务标签和路由目标/路由区分器的对应关系的内层标签信息表的操作具体为：

在与所述虚拟专用网路由反射器建立内部边界网关协议连接时，对接收到的边界网关协议报文中的更新消息进行解析，获得包括一组或多组路由IP地址与业务标签和路由目标/路由区分器的对应关系的内层标签信息表。

4.根据权利要求1所述的流量信息提取方法，其中在根据所述路由标签和业务标签从监听到的数据流量提取对应的用户虚拟专用网信息流之后，还包括根据特定应用或业务进行的信息提取操作，具体包括：

根据指定的应用或业务类型对已提取的用户虚拟专用网信息流进行二次提取。

5.一种流量信息提取设备，包括：

控制平面信息表存储模块，用于存储预先建立的控制平面信息表；

标签查找模块，与所述控制平面信息表存储模块相连，用于根据指定的路由目标/路由区分器在所述控制平面信息表中查找对应的路由标签和业务标签；

信息流提取模块，与所述标签查找模块相连，用于根据所述路由标签和业务标签从监听到的数据流量提取对应的用户虚拟专用网信息流；

还包括：

外层标签信息表建立模块，用于从监听到的标签分配协议报文中解析出路由IP地址与路由标签的对应关系，并汇总成包括一组或多组路由IP地址与路由标签的对应关系的外层标签信息表；

内层标签信息表建立模块，用于从虚拟专用网路由反射器接收的边界网关协议报文中解析出包括一组或多组路由IP地址与业务标签和路由目标/路由区分器的对应关系的内层标签信息表；

控制平面信息表建立模块，与所述控制平面信息表存储模块相连，用于根据所述外层标签信息表和内层标签信息表汇总成包括与所述路由IP地址对应的路由标签、业务标签和路由目标/路由区分器的控制平面信息表。

6.根据权利要求5所述的流量信息提取设备，其中还包括：

二次信息流提取模块，与所述信息流提取模块相连，用于根据指定的应用或业务类型对已提取的用户虚拟专用网信息流进行二次提取。

7.一种包括权利要求5-6任一所述流量信息提取设备的流量信息提取系统，还包括：

分光设备，设于多协议标签交换虚拟专用网中P路由器之间的主干路径的中继链路上，用于监听所述中继链路中的数据流量；

所述分光设备通过第一信息流转发设备或者直接与所述流量信息提取设备相连。

8.根据权利要求7所述的流量信息提取系统，还包括：

与虚拟专用网路由反射器连接的设备，用以建立边界网关协议连接，获取多协议标签交换虚拟专用网中所有的VPNv4路由信息。

Images