CN101674234B - Ip报文的分片重组方法和装置 - Google Patents

Abstract

本发明提供一种IP报文的分片重组方法和装置，其中，该方法包括：将接收到的属于同一IP报文的分片以及分片的控制信息存储至第一存储分区中；将与第一存储分区中存储的分片出现哈希冲突且属于另一IP报文的分片及该分片的控制信息存储至与第一存储分区对应的第二存储分区；对于第一存储分区和第二存储分区中的每一个，在其所对应的IP报文的所有分片均接收完毕的情况下，输出该存储分区中的所有分片。通过使用本发明，能够实时、快速地实现分片报文的重组，有效应对分片的攻击，避免哈希冲突，避免为CPU增加处理负担。

Description

IP报文的分片重组方法和装置

技术领域

本发明涉及通信领域，尤其涉及一种IP报文的分片重组方法和装置。

背景技术

互联网协议(Internet Protocol，简称为IP)报文分片是网络上传输IP报文的一种常用的技术手段。IP协议在传输数据包时，将数据报文分为若干分片进行传输，并在目标系统中进行重组。

报文的分片和重新组装的过程对传输层是透明的，其原因是当IP数据报进行分片之后，只有当它到达目的站时，才可进行重新组装，且它是由目的端的IP层来完成的，并且，分片之后的数据报根据需要也可以再次进行分片。

目前，网络上通常会由很多攻击者，IP分片的传输通常也会遭到攻击。一般来说，攻击者会将攻击IP包分为两个分片，第一个分片中包含包过滤设备允许的端口(例如，http(TCP 80)等端口)，在第二个分片中会采用极小的偏移量使得第二个分片能够覆盖第一个分片的一部分内容，通常攻击者会覆盖包含端口内容的部分。

在接收攻击者发送的这两个报文分片时，由于在第一个分片中包含防火墙中允许的端口，因此第一个分片将会被通过。而第二个分片中具有允许通过的第一个分片的ID，因此也被允许通过。但是当这两个分片到达目标主机进行重组之后，由于第一个分片的端口号被第二个分片的端口号覆盖，因此后续的访问将会通过第二个分片中指定的端口进行，也就是说，绕过了防火墙访问了未被授权的端口。

由于IP分片重组算法总会存在漏洞，一些恶意程序利用这些已知公开算法中的漏洞，设法避过网络安全设备，进而达到攻击主机的目的。

目前所采用的报文分片重组技术大多需要CPU的介入，当报文分片重组的工作量很大时会增加CPU的负担，降低整个系统的性能。尽管目前已经提出了一些将报文重组转移至网络处理设备进行的方案，但是这些方案往往较为复杂，不能够实时、快速地进行报文分片的重组。

针对相关技术中报文重组实时性差、重组速度慢的问题，目前尚未提出有效的解决方案。

发明内容

针对相关技术中报文重组实时性差、重组速度慢的问题，本发明的目的在于提供一种IP报文的分片重组方案，以解决上述问题中的至少之一。

为实现上述目的，根据本发明的一个方面，提供了一种IP报文的分片重组方法。

根据本发明的IP报文的分片重组方法包括：

将接收到的属于同一IP报文的分片以及分片的控制信息存储至第一存储分区中；

将与第一存储分区中存储的分片出现哈希冲突且属于另一IP报文的分片及该分片的控制信息存储至与第一存储分区对应的第二存储分区；

对于第一存储分区和第二存储分区中的每一个，在其所对应的IP报文的所有分片均接收完毕的情况下，输出该存储分区中的所有分片。

其中，在第一存储分区或第二存储分区进行分片存储的处理具体可以包括：对于接收的每个分片，根据其控制信息确定该分片在所属IP报文中的位置；根据位置将该分片存储至第一存储分区或第二存储分区中的相应位置，并将该分片的控制信息存储至第一存储分区或第二存储分区中预先划分的特定存储区的相应位置。

并且，在向第二存储分区进行存储之前，该方法还可以包括：根据分片的控制信息确定该分片与第一存储分区中存储的分片是否出现哈希冲突；在判断结果为是的情况下，判断第二存储分区中已存储的分片与该分片是否属于同一IP报文，并在判断结果为是或第二存储分区为空的情况下将该分片存储至第二存储分区中。

并且，在根据分片的控制信息确定该分片与第一存储分区和第二存储分区中存储的分片属于不同的IP报文且未出现哈希冲突的情况下，将该分片及其控制信息存储至第三存储分区，并将与该分片属于不同报文且出现哈希冲突的分片存储至与第三存储分区对应的第四存储分区。

优选地，在第一存储分区或第二存储分区进行分片存储的处理还可以包括：在第一存储分区或第二存储分区的特定存储区中更新当前存储分区所对应报文的分片存储状况、哈希冲突状况、以及当前存储分区与其他存储分区之间的哈希冲突关系。

优选地，上述控制信息可以包括：四元组信息、IP头长度、IP报文长度、和分片标识。

根据本发明的另一方面，提供了一种IP报文的分片重组装置。

根据本发明的IP报文的分片重组装置包括：

提取模块，用于从接收的分片中提取分片的控制信息；

第一存储模块，用于存储接收的分片；

第二存储模块，用于存储由提取模块提取的控制信息；

主控模块，用于将第一存储模块存储的属于同一IP报文的分片以及第二存储模块存储的相应分片的控制信息存储至第一存储分区；以及将与第一存储分区中存储的分片出现哈希冲突且属于另一IP报文的分片及该分片的控制信息存储至与第一存储分区对应的第二存储分区；以及用于在第一存储分区和/或第二存储分区所对应的IP报文的所有分片均接收完毕的情况下，通知重组输出模块输出第一存储分区和/或第二存储分区中存储的分片；

第一存储分区和第二存储分区，用于在主控模块的控制下进行存储；

重组输出模块，用于在主控模块的控制下输出第一存储分区和/或第二存储分区中的分片。

该装置还可以包括：哈希计算模块，用于对第二存储模块中分片的控制信息进行哈希计算，确定属于同一IP报文的分片，以供主控模块判断是否出现哈希冲突并控制第一存储分区和第二存储分区进行存储。

其中，在主控模块控制第一存储分区或第二存储分区进行分片存储时，对于接收的每个分片，主控模块根据其控制信息确定该分片在所属IP报文中的位置，根据位置将该分片存储至第一存储分区或第二存储分区中的相应位置，并将该分片的控制信息存储至第一存储分区或第二存储分区中预先划分的特定存储区的相应位置。

并且，在主控模块控制第一存储分区或第二存储分区进行分片存储时，主控模块还用于在第一存储分区或第二存储分区的特定存储区中更新当前存储分区所对应报文的分片存储状况、哈希冲突状况、以及当前存储分区与其他存储分区之间的哈希冲突关系。

借助本发明上述至少一个技术方案，通过以缓冲区组的方式存储待重组的IP分片，在IP报文的所有分片完全接收之后即完成了分片的重组，不仅能够实时、快速地实现分片报文的重组，还能够有效避免哈希冲突，避免为CPU增加处理负担，因此有助于不同类型数据的维护。

附图说明

图1是根据本发明方法实施例一的IP报文的分片重组方法的流程图；

图2是根据本发明方法实施例一的IP报文的分片重组方法所采用的存储分区的结构示意图；

图3是根据本发明装置实施例的IP报文的分片重组装置的框图；

图4是根据本发明装置实施例的IP报文的分片重组装置的优选结构的框图。

具体实施方式

功能概述

考虑到相关技术中报文重组实时性差、重组速度慢的问题，本发明提出以缓冲区组的方式存储待重组的分片，并在报文的所有分片完全接收之后进行分片重组，不仅能够实时、快速地实现分片报文的重组，还能够有效避免哈希冲突，避免为CPU增加处理负担。

下面将结合附图描述本发明的实施例。

方法实施例一

在本实施例中，提供了一种IP报文的分片重组方法，其中，将第一存储分区和第二存储分区作为一个缓冲区组，将第三存储分区和第四存储分区作为一个缓冲区组。

图1是根据本实施例的IP报文的分片重组方法的流程图。如图1所示，根据本实施例的IP报文的分片重组方法包括：

步骤S102，将接收到的属于同一IP报文的分片以及分片的控制信息(优选地，报文的控制信息可以至少包括：四元组信息(包括源地址、目的地址、ID、和协议))、IP头长度、IP报文长度、和分片标识)存储至第一存储分区中；

步骤S104，将与第一存储分区中存储的分片出现哈希冲突(在判断哈希冲突时，可以首先根据分片的四元组信息计算哈希值，并判断该哈希值是否与根据之前存储的分片的四元组信息得到的哈希值出现哈希冲突)且属于另一IP报文的分片及该分片的控制信息存储至与第一存储分区对应的第二存储分区；

步骤S106，对于第一存储分区和第二存储分区中的每一个，在其所对应的IP报文的所有分片均接收完毕的情况下，输出该存储分区中的所有分片，例如，假设第一存储分区接收的分片属于IP报文1，则可以认为第一存储分区对应于IP报文1，在IP报文1的所有分片都存储在第一存储分区中之后输出第一存储分区中存储的所有分片(即，在重组完成后进行重组输出)。

通过上述处理，能够以缓冲区组(即，第一存储分区、第二存储分区)的方式存储待重组的分片，在所有分片完全接收之后就相当于实现了IP分片的重组，不仅能够实时、快速地实现分片报文的重组，还能够有效避免哈希冲突，避免为CPU增加处理负担；此外，由于将分片以及相应的控制信息存储在同一存储分区中，因此有助于同时维护两种不同类型的数据，同时能够在哈希冲突链长度为2的情况下进行分片重组。

优选地，为了便于重组，在第一存储分区或第二存储分区进行分片存储时，对于接收的每个分片，可以根据其控制信息确定该分片在所属报文中的位置；之后就可以根据该确定的位置将该分片存储至第一存储分区或第二存储分区中的相应位置，并将该分片的控制信息存储至第一存储分区或第二存储分区中预先划分的特定存储区(优选地，特定存储区可以位于每个存储分区的头部)的相应位置。

例如，假设接收到一个IP分片，确定该分片在其所属的IP报文中的位置为第三个分片，且该报文中的其他分片已经存储在第一存储分区中，则根据当前已知分片的长度将该分片存储至第一存储分区中第三个分片的位置，并将该分片的控制信息存储至第一存储分区中的特定存储区里的第三个控制信息的位置，这样存储的过程就相当于重组的过程。

应当注意，在向第二存储分区进行存储之前，还需要根据分片的控制信息确定该分片与第一存储分区中存储的分片是否出现哈希冲突；在判断结果为是的情况下，判断第二存储分区中已存储的分片与该分片是否属于同一IP报文，并在判断结果为是或第二存储分区为空的情况下将该分片存储至第二存储分区中。

也就是说，如果接收到了一个分片，如果其与第一存储分区中的其他报文出现哈希冲突，则需要判断该分片是否与第二存储分区中已经存储的分片属于同一IP报文，如果该分片与第二存储分区中的分片属于同一IP报文且未与第二存储分区中的其他报文出现哈希冲突、或者此时第二存储分区为空，则可以将该分片存储至第二存储分区中第三个报文的位置，并将该分片的控制信息存储至第二存储分区中特定存储区的第三个控制信息的位置。

另外，在根据分片的控制信息确定该分片与第一存储分区和第二存储分区中存储的分片属于不同的IP报文且未出现哈希冲突的情况下，则需要将该分片及其控制信息存储至第三存储分区，并将与该分片属于不同报文且出现哈希冲突的分片存储至与第三存储分区对应的第四存储分区。

优选地，每次在第一存储分区、第二存储分区、第三存储分区、和第四存储分区进行分片存储时，还可以在第一存储分区或第二存储分区的特定存储区中更新当前存储分区所对应报文的分片存储状况、哈希冲突状况、以及当前存储分区与其他存储分区之间的哈希冲突关系。

下面将结合图2描述上述处理过程。

图2中示出了多组存储空间，例如，IPData_0(对应于上述第一存储分区)和IPData_0x(对应于上述第二存储分区)为一组空间(即，一个缓冲区组)，IPData_1(对应于上述第三存储分区)和IPData_1x(对应于上述第四存储分区)为一组空间，...，IPData_n和IPData_nx为一组空间。

基于图2所示的存储分区结构，本发明的分片重组处理过程如下：

首先，对输入的IP数据报进行是否分片的判断并提取IP协议中的四元组(源地址，目的地址，ID，协议)、IP报文长度、分片标志；将提取的控制信息(包括四元组、IP头长度、IP报文长度、分片标志)和待处理的分片报文分别缓存；利用四元组进行哈希运算，计算出当前分片应存储到存储分区(可以是片外DDR2SDRAM内存)的首地址，通过在判断出IP分片的同时将分片所需信息提取，能够有效避免处理过程中重复根据IP数据流中的相关信息进行处理的情况。

IPData_0、IPData_0x、IPData_1、IPData_1x等的每个分区都划分了特定存储区以存储分片的控制信息以及相关的描述信息，该描述信息用于描述当前分区的分片存储状况、哈希冲突状况以及与其他分区的哈希冲突之间的关系。

在存储时，如果判断当前数据为分片，首先可以将该分片存储至IPData_0，对于与IPData_0中存储的分片出现哈希冲突的分片，需要将其存储至IPData_0x(如果IPData_0x为空、或者待存储分片与IPData_0x中已经存储的分片属于同一IP报文则可以存储，并更新IPData_0x的特定存储区)；进行分片类型的判断并计算出分片在IP分组中的准确位置；预读取片外内存中自定义重组空间头部数据结构的控制信息(即，读取特定存储区中存储的相关描述信息和控制信息)；判断并解决哈希冲突；更新已处理的重组空间头部数据结构控制信息；根据已有信息判断是否完成重组；将原来缓存的分片报文数据加上更新后的控制信息存储到片外DDR2SDRAM中相应的位置的处理过程就是分片重组的过程；重组完成后，释放片外内存对应的存储空间。

方法实施例二

在方法实施例一中主要描述了出现一次哈希冲突的处理方法，即，将出现哈希冲突的分片存储至第二存储分区或第四存储分区。在实际应用当中，出现哈希冲突的次数往往会比较多，此时，可以增加每组缓冲区中存储分区的数量。

例如，可以将存储分区1、存储分区2、存储分区3三个存储分区作为一组空间，将存储分区4、存储分区5、存储分区6三个存储分区作为另一组空间。此时，可以将首先接收的分片存储至存储分区1，将之后接收到的与存储分区1中存储的分片出现哈希冲突的分片存储至存储分区2，将之后接收到的与存储分区1和存储分区2中存储的分片出现哈希冲突的分片存储至存储分区3中，如果之后继续出现与存储空间1、存储空间2、存储空间3中存储的分片出现哈希冲突的分片，则可以按照预定的规则丢弃存储空间1、存储空间2、或存储空间3中存储的分片。

对于未与存储分区1、存储分区2、存储分区3中存储的分片出现哈希冲突、且属于其他报文的分片，可以将其存储至存储分区4。类似地，将之后接收到的与存储分区4中存储的分片出现哈希冲突的分片存储至存储分区5，将之后接收到的与存储分区4和存储分区5中存储的分片出现哈希冲突的分片存储至存储分区6中。

对于接收到的属于其他报文且未出现哈希冲突的分片，则可以通过类似方式存储至其他缓冲区组中，从而能够在哈希冲突链长度为3的情况下进行分片重组。

优选地，在每次进行存储时，同样可以更新当前存储分区的特定存储区中的相关描述信息。

此外，除了之前所描述的缓冲区组中的存储分区数量为2和3的情况之外，还可以将缓冲区组中存储分区的数量设置为4或者更多，从而能够在哈希冲突链更长的情况下进行分片重组，本文不再一一赘述。

并且，在上述实施例中，所有存储分区的大小均可根据设计需要进行调整，从而应对不同大小的分片。

装置实施例

在本实施例中，提供了一种IP报文的分片重组装置，该装置可以设置在网卡侧，这样就能够避免CPU介入分片的重组，提高系统的性能。

图3是根据本实施例的IP报文的分片重组装置的框图。如图3所示，根据本实施例的IP报文的分片重组装置包括：

提取模块1，用于从接收报文队列，并从IP报文的分片中提取分片的控制信息；

第一存储模块2，连接至提取模块1，用于存储接收的分片，形成分片的队列；

第二存储模块3，连接至提取模块1，用于存储由提取模块1提取的控制信息，形成控制信息的队列；

主控模块4，用于将第一存储模块2存储的属于同一IP报文的分片以及第二存储模块3存储的相应分片的控制信息存储至第一存储分区5；以及将与第一存储分区5中存储的分片出现哈希冲突且属于另一IP报文的分片及该分片的控制信息存储至与第一存储分区5对应的第二存储分区6；以及用于在第一存储分区5和/或第二存储分区6所对应的IP报文的所有分片均接收完毕的情况下，通知重组输出模块7输出第一存储分区和/或第二存储分区中存储的分片；

第一存储分区5和第二存储分区6，其整体作为一个缓冲区组，用于在主控模块4的控制下进行存储；

重组输出模块7，用于在主控模块4的控制下输出第一存储分区5和/或第二存储分区6中的分片，输出存储的分片队列，即，输出重组后的报文。

可选地，该装置还可以包括哈希计算模块8，连接在第二存储模块3与主控模块4之间，用于对第二存储模块3中存储的分片的控制信息进行哈希计算，确定属于同一IP报文的分片，以供主控模块4判断是否出现哈希冲突并控制第一存储分区5和第二存储分区6进行存储。

在判断哈希冲突时，首先可以由哈希计算模块8根据分片的控制信息中的四元组信息计算哈希值，由主控模块判断该哈希值是否与根据之前存储的分片的四元组信息得到的哈希值出现哈希冲突。

此外，在主控模块4控制第一存储分区5或第二存储分区6进行分片存储时，对于接收的每个分片，主控模块4可以根据其控制信息确定该分片在所属IP报文中的位置，根据确定的位置将该分片存储至第一存储分区5或第二存储分区6中的相应位置，并将该分片的控制信息存储至第一存储分区5或第二存储分区6中预先划分的特定存储区的相应位置，这样，存储的过程就已经实现了报文的重组。

在主控模块4控制第一存储分区5或第二存储分区6进行分片存储时，主控模块4还可以在第一存储分区5或第二存储分区6的特定存储区中更新当前存储分区所对应报文的相关描述信息，更新的具体内容可以包括：分片存储状况、哈希冲突状况、以及当前存储分区与其他存储分区之间的哈希冲突关系。

根据本实施例的分片重组装置在进行分片存储时可以采用图2所示的存储区结构，其具体处理过程在之前已经进行了详细的描述，这里不再赘述。

类似地，图3所示的装置可以在哈希冲突链长度为2的情况下进行分片重组，如果需要处理更长的哈希链，则可以增加每个缓冲区组中存储分区的数量，并且还可以增加更多的缓冲区组，以并行重组更多的分片，具体的处理方法之前已经描述，这里不再赘述。

在实际应用当中，可以对根据本实施例的装置进行结构的改变。

图4是根据本实施例的IP报文的分片重组装置的一个具体结构实例。

如图4所示，可以将图3中第一存储分区5和第二存储分区6(或更多的缓冲区组)整体设置为图4所示的DDR2SDRAM。为了便于对重组的报文进行统计，还可以设置统计模块9，使其与主控模块4相连接。此外，还可以设置读取控制模块10，连接在主控模块4与DDR2SDRAM之间，专门用于在主控模块4的控制下读取DDR2SDRAM中存储的分片。

本实施例中所描述的上述一个或多个模块均可以通过FPGA来实现，如何进行器件编程来实现相应的功能是本领域的技术人员所公知的，本文不再详细描述。

综上所述，借助本发明上述至少一个技术方案，通过以缓冲区组的方式存储待重组的分片，在IP报文的所有分片完全接收之后即完成了分片的重组，不仅能够实时、快速地实现分片报文的重组，还能够有效避免哈希冲突，避免为CPU增加处理负担，省去了复杂的内存维护；此外，对于IP分片攻击，通过采用本发明的处理方案，能够直接将该攻击打断，并清除已分配给该攻击数据流的存储空间，有效减少了IP分片攻击对主机的影响；本发明的实现不需要额外的控制信息存储空间，并且通过将重组所需的控制信息和IP分片存储在同一内存区域的方式，能够有助于两种数据的维护。

Claims (9)

1.一种IP报文的分片重组方法，其特征在于，包括：

将接收到的属于同一IP报文的分片以及所述分片的控制信息存储至第一存储分区中；

将与所述第一存储分区中存储的分片出现哈希冲突且属于另一IP报文的分片及所述另一IP报文的分片的控制信息存储至与所述第一存储分区对应的第二存储分区；

对于所述第一存储分区和所述第二存储分区中的每一个，在其所对应的IP报文的所有分片均接收完毕的情况下，输出该存储分区中的所有分片，

所述分片的控制信息包括：四元组信息、IP头长度、IP报文长度、和分片标识。

2.根据权利要求1所述的方法，其特征在于，在所述第一存储分区或所述第二存储分区进行分片存储的处理具体包括：

对于接收的每个分片，根据其控制信息确定该分片在所属IP报文中的位置；

根据所述位置将该分片存储至所述第一存储分区或所述第二存储分区中的相应位置，并将该分片的控制信息存储至所述第一存储分区或所述第二存储分区中预先划分的每个存储分区的头部的相应位置。

3.根据权利要求2所述的方法，其特征在于，在向所述第二存储分区进行存储之前，所述方法还包括：

根据分片的控制信息确定该分片与所述第一存储分区中存储的分片是否出现哈希冲突；

在判断结果为是的情况下，判断所述第二存储分区中已存储的分片与该分片是否属于同一IP报文，并在判断结果为是或所述第二存储分区为空的情况下将该分片存储至所述第二存储分区中。

4.根据权利要求3所述的方法，其特征在于，在根据分片的控制信息确定该分片与所述第一存储分区和所述第二存储分区中存储的分片属于不同的IP报文且未出现哈希冲突的情况下，将该分片及其控制信息存储至第三存储分区，并将与该分片属于不同IP报文且出现哈希冲突的分片存储至与所述第三存储分区对应的第四存储分区。

5.根据权利要求2至4中任一项所述的方法，其特征在于，在所述第一存储分区或所述第二存储分区进行分片存储的处理还包括：

在所述第一存储分区或所述第二存储分区的每个存储分区的头部中更新当前存储分区所对应报文的分片存储状况、哈希冲突状况、以及当前存储分区与其他存储分区之间的哈希冲突关系。

6.一种IP报文的分片重组装置，其特征在于，所述装置包括：

提取模块，用于从接收的分片中提取所述分片的控制信息；

第一存储模块，用于存储接收的分片；

第二存储模块，用于存储由提取模块提取的控制信息；

主控模块，用于将所述第一存储模块存储的属于同一IP报文的分片以及所述第二存储模块存储的相应分片的控制信息存储至第一存储分区；以及将与所述第一存储分区中存储的分片出现哈希冲突且属于另一IP报文的分片及所述另一IP报文的分片的控制信息存储至与所述第一存储分区对应的第二存储分区；以及用于在所述第一存储分区和/或所述第二存储分区所对应的IP报文的所有分片均接收完毕的情况下，通知重组输出模块输出所述第一存储分区和/或所述第二存储分区中存储的分片；

所述第一存储分区和所述第二存储分区，用于在所述主控模块的控制下进行存储；

重组输出模块，用于在所述主控模块的控制下输出所述第一存储分区和/或所述第二存储分区中的分片，

所述分片的控制信息包括：四元组信息、IP头长度、IP报文长度、和分片标识。

7.根据权利要求6所述的装置，其特征在于，还包括：

哈希计算模块，用于对所述第二存储模块中分片的控制信息进行哈希计算，确定属于同一IP报文的分片，以供所述主控模块判断是否出现哈希冲突并控制所述第一存储分区和所述第二存储分区进行存储。

8.根据权利要求6所述的装置，其特征在于，在所述主控模块控制所述第一存储分区或所述第二存储分区进行分片存储时，对于接收的每个分片，所述主控模块根据其控制信息确定该分片在所属报文中的位置，根据所述位置将该分片存储至所述第一存储分区或所述第二存储分区中的相应位置，并将该分片的控制信息存储至所述第一存储分区或所述第二存储分区中预先划分的每个存储分区的头部的相应位置。

9.根据权利要求8所述的装置，其特征在于，在所述主控模块控制所述第一存储分区或所述第二存储分区进行分片存储时，所述主控模块还用于在所述第一存储分区或所述第二存储分区的每个存储分区的头部中更新当前存储分区所对应报文的分片存储状况、哈希冲突状况、以及当前存储分区与其他存储分区之间的哈希冲突关系。

Images