CN101997871A

CN101997871A - 一种数据快速捕获与过滤转发装置

Info

Publication number: CN101997871A
Application number: CN2010102886682A
Authority: CN
Inventors: 许都; 隆克平; 孙健; 董青; 马卉慧; 王春厚
Original assignee: University of Electronic Science and Technology of China
Current assignee: University of Electronic Science and Technology of China
Priority date: 2010-09-21
Filing date: 2010-09-21
Publication date: 2011-03-30
Anticipated expiration: 2030-09-21
Also published as: CN101997871B

Abstract

本发明公开了一种数据快速捕获与过滤转发装置，数据由数据捕获内核模块进入，然后由数据过滤模块进行判断，根据数据过滤模块的判断结果，进行相应的处理：对于无需进行分析处理的数据，直接送至数据转发内核模块进行数据转发；对于需要进行分析处理的数据，通过网络数据包捕获函数包LibPcap进入数据捕获用户模块，由其将数据送入后台系统进行处理，待处理完毕后送至数据转发用户模块，由网络数据包捕获函数包LibPcap的发送函数进行数据转发。在本发明中，大多无需进行分析处理的数据避免了进入用户空间的过程，并提交至后台进行分析处理，减小了网络分析系统的开销，提升了网络分析系统的性能。

Description

一种数据快速捕获与过滤转发装置

技术领域

本发明属于网络通信技术领域，更为具体地讲，涉及一种数据快速捕获与过滤转发装置。

背景技术

数据捕获与过滤转发技术在网络性能分析系统实现、防火墙系统实现、入侵检测防御系统实现、对黑客攻击检测防御系统实现等方面中起着重要作用。数据捕获与过滤转发技术是网络管理中使用的基本技术，可用于网络测试，如校验网络设置、重构端到端的会话，如监视网络安全的连接工具及监测网络负载等。通过对捕获的数据包进行分析，可以实时了解网络的使用情况，如响应时间、丢包率、某一时段的网络负载及平均负载，发现网络运行的瓶颈以及分析网络数据包中携带的非法内容等。数据捕获和过滤转发技术是网络数据分析的前提和第一步骤。

但是，网络应用的丰富和普及也导致了网络流量的日益增长，随着网络技术的发展，网络链路的速率迅猛增长，千兆网络适配器和千兆网络交换机已经进入主流市场。传统数据捕获与过滤转发通常是借助WinPcap等函数库，对经过网络适配器的数据帧进行捕获。但是这种方式遇到了诸多瓶颈，如PCI总线吞吐量、存储容量、内存访问速度、磁盘访问速度、内存拷贝的开销、系统调用的开销、中断开销以及操作系统的任务调度机制等都对高速数据捕获产生了一定影响。所以，仅能满足中低速网络需求的传统的数据捕获与过滤转发技术不能应用到当前高速的网络中。

发明内容

本发明的目的在于克服现有技术的不足，提出一种数据快速捕获与过滤转发装置，以提高数据捕获与过滤转发的速率，以适应千兆高速网络的需求。

为实现上述发明目的，本发明数据快速捕获与过滤转发装置，其特征在于，包括：

一数据捕获内核模块，运行于Linux内核空间，其通过在接收数据网络适配器驱动程序中开启一个单独的接口，对接收数据网络适配器处理完的数据进入接管，捕获数据；

一数据过滤模块，运行于Linux内核空间，对数据捕获内核模块捕获的数据进行分类判断，将数据分为两类：一是无需进行分析处理的数据，二是需要进行分析处理的数据；对无需进行分析处理的数据提交给数据转发内核模块通过数据发送网络适配器转发，对需要进行分析处理的数据，以skb指针的形式返回接收数据网络适配器驱动程序，通过网络数据包捕获函数包LibPcap将数据向数据捕获用户模块提交；

一数据转发内核模块，运行于Linux内核空间，对数据过滤模块提交的无需进行分析处理的数据直接通过数据发送网络适配器转发；

一数据捕获用户模块，运行于Linux用户空间，用于接收数据捕获内核模块捕获并经数据过滤模块判断为需要进行分析处理的数据，然后提交至后台进行分析处理；

一数据转发用户模块，运行于Linux用户空间，对经后台处理后的捕获数据进行接收，按需求进行标识，通过网络数据包捕获函数包LibPcap提供的数据帧发送函数将数据，经数据发送网络适配器转发。

本发明的发明目的是这样实现的：

数据由数据捕获内核模块进入，然后由数据过滤模块进行判断，根据数据过滤模块的判断结果，进行相应的处理：对于无需进行分析处理的数据，直接送至数据转发内核模块进行数据转发；对于需要进行分析处理的数据，通过网络数据包捕获函数包LibPcap进入数据捕获用户模块，由其将数据送入后台系统进行处理，待处理完毕后送至数据转发用户模块，由网络数据包捕获函数包LibPcap的发送函数进行数据转发。在本发明中，大多无需进行分析处理的数据避免了进入用户空间的过程，并提交至后台进行分析处理，减小了网络分析系统的开销，提升了网络分析系统的性能。

附图说明

图1是本发明数据快速捕获与过滤转发装置一种具体实施方式原理框图；

图2是本发明的数据捕获内核模块的捕获数据流程图；

图3是本发明的数据转发内核模块的转发数据流程图；

图4是本发明的数据捕获网络适配器驱动程序修改部分的流程图。

具体实施方式

下面结合附图对本发明的具体实施方式进行描述，以便本领域的技术人员更好地理解本发明。需要特别提醒注意的是，在以下的描述中，当已知功能和设计的详细描述也许会淡化本发明的主要内容时，这些描述在这里将被忽略。

实施例

图1是本发明数据快速捕获与过滤转发装置一种具体实施方式原理框图。

在本实施例中，如图1所示，数据快速捕获与过滤转发装置包括数据捕获内核模块201、数据过滤模块202、数据转发内核模块203、数据捕获用户模块204、数据转发用户模块205。其中，数据捕获内核模块201、数据过滤模块202、数据转发内核模块203运行于Linux内核空间；数据捕获用户模块204、数据转发用户模块205运行于Linux用户空间。

数据捕获内核模块201通过在接收数据网络适配器驱动程序中开启一个单独的接口，对接收数据网络适配器处理完的数据进入接管，捕获数据；数据过滤模块202对数据捕获内核模块201捕获的数据进行分类判断，将数据分为两类：一是无需进行分析处理的数据，二是需要进行分析处理的数据；对无需进行分析处理的数据提交给数据转发内核模块203通过数据发送网络适配器转发至网络3中，对需要进行分析处理的数据，以skb指针的形式返回接收数据网络适配器驱动程序，通过网络数据包捕获函数包LibPcap将数据向数据捕获用户模块204提交；数据转发内核模块203对数据过滤模块202提交的无需进行分析处理的数据直接通过数据发送网络适配器转发至网络3中。

数据捕获用户模块204接收数据捕获内核模块201捕获并经数据过滤模块202判断为需要进行分析处理的数据，然后提交至后台1进行分析处理；数据转发用户模块205，对经后台1处理后的捕获数据进行接收，按需求进行标识，通过网络数据包捕获函数包LibPcap提供的数据帧发送函数将数据，经数据发送网络适配器转发至网络3中。

在本发明中，如图1所示，数据快速捕获与过滤转发装置运行于Linux内核空间与Linux用户空间，并通过网络数据包捕获函数包LibPcap进行数据交换，简化了本发明数据快速捕获与过滤转发装置的结构。

在本实施例中，数据网络适配器为Intel 82751网络适配器，对Intel e1000e网络适配器驱动程序分析可知，网络适配器驱动程序在将数据处理完成之后，将数据提交到系统时所执行的函数是e1000_receive_skb。则对驱动程序进行修改：在e1000_receive_skb函数之前插入数据捕获内核模块201所提供的接口函数，令数据进入数据捕获内核模块201。这样，数据捕获内核模块201通过在接收数据网络适配器驱动程序中开启一个单独的接口，对接收数据网络适配器处理完的数据进入接管，捕获数据。

数据过滤模块202运行于Linux内核空间中，其功能为对由数据捕获内核模块201进入的数据进行分类判断，数据将被分为两种类型：其一是无需进行分析处理的数据，其二是需要进行分析处理的数据。在分类后，数据过滤模块202将根据数据类型的不同进行相应的处理。例如，需要进行分析处理的数据为SIP信令，则对于一个由数据捕获内核模块201进入的数据帧，首先通过MAC帧首部的类型字段判断其是否为IP分组；若否则直接返回判断结果(本例中对于“否”的结果皆如此，不再赘述)，若是再通过IP分组首部的协议字段判断其是否为UDP报文；若是再将数据指针移动至UDP首部后的数据字段，根据关键字对SIP协议进行判断。

数据转发内核模块203的功能是对经由数据过滤模块202判断后无需进行分析处理的数据进行直接通过数据发送网络适配器转发。在本实施例中，其采用的方式为：在数据过滤模块202进行判断后，修改数据中的目的网络适配器指针，使其指向数据发送网络适配器，再调用Linux内核所提供的函数，直接将数据加入到数据发送网络适配器发送队列进行发送。

数据捕获用户模块204的功能是对经由运行于内核空间中的数据过滤模块202判断为需要处理的数据进行接收，其使用网络数据包捕获函数包LibPcap从内核空间中获取需进行处理的数据。该模块还将数据捕获网络适配器设置为混杂模式，网络数据包捕获函数包LibPcap提供的开启设备捕获句柄的函数提供了将数据捕获网络适配器设置为混杂模式的功能。若未将数据捕获网络适配器设置为混杂模式，数据捕获网络适配器将滤掉所有目的MAC地址为非本机或广播地址的数据帧。

数据转发用户模块205的功能是对经过分析处理后的数据进行发送。该模块基于网络数据包捕获函数包LibPcap完成，采用的方式为，接收到经过分析处理后的数据帧，根据附带的需求标识，调用LibPcap提供的数据帧发送函数，将数据帧经由数据发送网络适配器进行发送至网络3中。

从图1，我们可以看出大多无需进行分析处理的数据直接通过数据转发内核模块203直接转发，避免了进入用户空间的过程，并提交至后台进行分析处理，减小了网络分析系统的开销，从而提升了网络分析系统的性能。

图2是本发明的数据捕获内核模块捕获数据的流程图。

数据捕获内核模块201是本发明与原有驱动程序的接口，其捕获数据的流程为：

a1：从数据捕获网络适配器驱动程序捕获数据帧；

a2：数据到达后，首先调用is_valid_ether_addr函数对数据帧的源MAC地址进行检查，以判断其是否为有效的数据帧；该函数的功能是检查源MAC地址，以确保其不是00:00:00:00:00:00、FF:FF:FF:FF:FF:FF或多播地址，若源MAC地址为有效地址进入步骤a3，无效地址则进入步骤a5；

a3：使用skb_share_check函数对套接字缓冲区单元skb是否为共享状态进行判断；由于在程序中会对套接字缓冲区单元skb的内容进行修改，则需判断是否有其他模块共享使用该套接字缓冲区单元skb。skb_share_check函数的类型为struct sk_buff*型，返回值为一个指向套接字缓冲区单元的指针。该函数用于判断一个skb是否为共享状态，若是则对该skb进行复制，返回复制后的skb的指针，以便于对其进行修改；若不是共享状态则返回原skb的指针；

a4：数据已进入数据捕获内核模块201，数据捕获内核模块201的工作便完成了，此处需要将数据送入数据过滤模块202；

a5：数据帧的源MAC地址为无效地址，数据捕获内核模块201则执行kfree_skb函数直接将其丢弃。

图3是本发明的数据转发内核模块的转发数据流程图。

在本实施例中，如图3所示，数据转发内核模块203的功能为对经由数据过滤模块判断的无需处理的数据进行高速转发，转发流程为：

b1：对其中的目的网络适配器地址进行修改；由于经由数据过滤模块处理后的数据为套接字缓冲区单元skb，它是一个sturct sk_buff*类型的结构体指针，其中skb-＞dev的项指向网络设备，该项是一个struct net_device*类型的结构体指针，保存数据捕获网络适配器的信息。在转发时，需将该设备项修改成为数据转发网络适配器。例如，某skb-＞dev项指向数据捕获网络适配器dev1，则在此时须将skb-＞dev的值改为数据转发网络适配器dev2；

b2：对IP校验和状态进行修改，此时调用了skb_forward_csum函数，其工作是将IP校验和状态修改成为“未进行”。由于我们在数据链路层进行数据转发，故无需判断IP校验和的状态；但在进行发送时，该校验和状态应被标记为“未进行”；

b3：对所要发送的数据函数进行长度判断，若数据长度大于设备MTU(Maximum Transmission Unit，最大传输单元)则无法进行转发，进入步骤b6；当进行数据帧捕获、转发的两个网络适配器并非同类时，则可能出现此问题；若未大于MTU，则进入步骤b4；

b4：在判断无误后则将数据中skb-＞data的指针前移16个字节，指向MAC的首部。由于数据捕获内核模块在从数据捕获网络适配器获得数据时，数据捕获网络适配器提供的skb中，data项直接指向IP首部。但所有的数据都存在于skb中，数据指针可以自由前后移动。在发送时，data指针向前移动16字节指向MAC首部，进行发送。MAC首部的实际长度为14字节，此处却进行16字节的移动，其目的是进行首部对齐。

b5：将skb送入系统的发送队列进行数据发送，调用Linux内核提供的dev_queue_xmit函数。该函数对skb进行排队，最终调用网络适配器驱动程序进行数据传输。

b6：需进行丢弃处理，即执行kfree_skb函数。

为配合数据捕获内核模块201和数据过滤模块202对数据帧处理的需要，在本实施例中，对数据捕获网络适配器驱动程序进行了修改。如图4所示，由于需从数据捕获网络适配器的驱动程序获得数据帧，故需在驱动程序中插入相应的接口函数，使数据进入数据捕获内核模块201，数据捕获网络适配器驱动程序修改部分为：

c1：将数据交给数据捕获内核模块201的接口函数br_handle_frame；

c2：对其返回值进行判断，若返回值为NULL则进入步骤c3；若返回值为指向skb的指针，则进入步骤c4；

c3：继续进行数据捕获网络适配器驱动程序的流程，更新计数器；

c4：调用e1000_receive_skb函数对skb进行接收，使得网络数据包捕获函数包LibPcap能够接收到数据。

尽管上面对本发明说明性的具体实施方式进行了描述，以便于本技术领的技术人员理解本发明，但应该清楚，本发明不限于具体实施方式的范围，对本技术领域的普通技术人员来讲，只要各种变化在所附的权利要求限定和确定的本发明的精神和范围内，这些变化是显而易见的，一切利用本发明构思的发明创造均在保护之列。

Claims

1.一种数据快速捕获与过滤转发装置，其特征在于，包括：

2.根据权利要求1所述的数据快速捕获与过滤转发装置，其特征在于，所述的捕获数据流程为：

a1：从数据捕获网络适配器驱动程序捕获数据帧；

a2：数据到达后，首先调用is_valid_ether_addr函数对数据帧的源MAC地址进行检查，以判断其是否为有效的数据帧，若源MAC地址为有效地址进入步骤a3，无效地址则进入步骤a5；

a3：使用skb_share_check函数对套接字缓冲区单元skb是否为共享状态进行判断，若是则对该skb进行复制，返回复制后的skb的指针，以便于对其进行修改；若不是共享状态则返回原skb的指针；

a4：数据已进入数据捕获内核模块，数据捕获内核模块的工作便完成了，此处需要将数据送入数据过滤模块；

3.根据权利要求1所述的数据快速捕获与过滤转发装置，其特征在于，所述的转发流程为：

b1：对其中的目的网络适配器地址进行修改：由于经由数据过滤模块处理后的数据中skb-＞dev项指向的网络设备，修改成为数据转发网络适配器；

b2：对IP校验和状态进行修改：将该校验和状态标记为“未进行”；

b3：对所要发送的数据函数进行长度判断，若数据长度大于设备最大传输单元，则无法进行转发；若未大于设备最大传输单元，则进入步骤b4；

b4：在判断无误后则将数据中skb-＞data的指针前移16个字节，指向MAC的首部进行发送；

b5：将skb送入系统的发送队列进行数据发送，调用Linux内核提供的dev_queue_xmit函数。该函数对skb进行排队，最终调用网络适配器驱动程序进行数据传输；

b6：需进行丢弃处理，即执行kfree_skb函数。