CN103117877A - 一种基于迭代式ttl-ipid数据包分类的网络拓扑自动生成装置 - Google Patents

Abstract

一种基于迭代式TTL-IPID数据包分类的网络拓扑自动生成装置，提供了一种网络拓扑发现方法和装置。方法包括：第一步，搜集数据包和SNMP进行统计，如能迅速得到拓扑，则不计算IP-ID；第二步，计算并判断是否接入下一层网络，如需接入则继续绘制精细拓扑，反之则不接入并绘制下层简要拓扑，从而让成果与代价比例最大化。装置包括：第一拓扑发现模块，主要功能是拓扑探测及设备辨别；第二拓扑信息显示模块，主要功能是图形化拓扑；第三数据存储模块，完成数据库建立及操作。本发明提出了一套高效的基于“发现价值”判断的迭代机制，对发现下层拓扑的价值和代价进行评估，并判断是否继续迭代，在大型网络拓扑绘制中能发挥良好效果。

Description

一种基于迭代式TTL-IPID数据包分类的网络拓扑自动生成装置

技术领域

公司大规模内网，最小生成树算法，迭代式价值分类算法。

背景技术

近年来，随着计算机网络技术的日新月异和蒸蒸日上，网络拓扑也日益复杂化、多样化，这对管罗管理员的技术要求也越来越高，绘制拓扑也越来越难。而对于一个大中型网络来说，网络拓扑的绘制是必须的，试想，如果某天某个网络点出现故障，如何才能迅速定位故障可能区域，如何才能用最少的人力物力以最精准有效的手段排除故障，这都依赖于一个精准的网络拓扑结构图。

目前的市面上的网络拓扑发现机制有以下几种：

1.基于简单网络（SNMP）管理协议的拓扑发现机制。这类机制好处在于，通过读取MIB表可以直接获取某个路由下的所有机器，但是，这类机制需要拥有SNMP管理密码，而且并不是所有路由器都开放了161端口（协议端口），现实中时常遇到不开放161端口（协议端口）的路由器。

2.链路层拓扑发现 (LLTD)，此类机制通过使用 LLTD 协议，在运行Windows的计算机上，利用网络映射来显示一个包含网络上的计算机和设备以及它们的连接方式的图形视图。 但是，这个协议必须先将 LLTD 响应程序安装在运行Windows的计算机上，才能检测到该程序并将其显示在网络映射中。默认的Windows主机并没有安装这个协议。

3.IPID拓扑发现机制。这类发现机制可以根据IP包中的序列号来计算出有多少台计算机。其缺点在于，IPID一共只有65535个，而一个包就占用一个序列，在大型网络中，这样的序列非常容易重复。

4.其他探测方法。例如根据登陆的QQ数量等。

发明内容

“基于迭代式TTL-IPID数据包分类的网络拓扑自动生成装置”是四川大学信息安全研究所结合多年深入分析研究网络自动拓扑发现算法的基础上自主研发完成的一款网络设备自动发现工具，可以向网络管理员提供当前网络拓扑结构。该产品致力于解决计算机网络作为信息社会的基础设施已应用到社会各领域，网络规模不断加大，复杂性不断增加，网络的异构性也越来越高的问题。该产品可以广泛适用于政府、金融、企业、教育、能源、工商等各个行业。通过部署便携式网络拓扑自动探测仪产品，可以帮助客户实现拓扑自动发现，可以帮助网络管理员提高服务质量和效率，为网络性能管理和故障检测提供了基础。

本专利提出了一套高效的基于“发现价值”判断的迭代机制。该机制对继续发现下层拓扑的价值和代价进行评估，从而判断是否有继续迭代的价值，在大型网络拓扑绘制中能发挥良好效果。通过该机制，大型网络拓扑的绘制将会更加侧重于重点区域，从而节约了拓扑发现与绘制的时间和成本。另外，该机制还支持拓扑节点权重判断，并为管理员提供友好的绘制界面。

在本机制中，最核心的迭代规则分为两级：第一级先通过搜集数据包和可访问的SNMP信息对装置所在网络进行初步统计，如能迅速得到拓扑，则不必进行IP-ID的繁琐计算；第二部，通过计算所得到的结果，进行自定义判断是否有将装置接入下一层交换网络的必要，如有必要则接入下一层并继续绘制精细拓扑，如果没有必要则不接入并绘制下一层的简要拓扑，从而达到让取得成果与时间代价比例最大化的目的。同时，在装置中会存储所有拓扑信息，方便用户通过浏览器查看，操作十分便捷。该装置在一般情况下只需要点击“绘制”按钮即可达到将当前已经得到的所有拓扑情况绘制出来的目的，方便快捷。

通过理论分析和实验证明，使用该装置，网络拓扑绘制的精确性、网络拓扑绘制的效率、对所在网络的影响，可用性等方面相较于其他同类产品都有着优异的表现。

附图说明

图1是基本网络拓扑结构；

图2是基于迭代式TTL-IPID数据包分类的网络拓扑自动生成装置的系统架构；

图3是基于迭代式TTL-IPID数据包分类的网络拓扑自动发现的具体流程。

具体实施方式

本发明所要解决的技术问题是提供一种对大型网络拓扑结构（附图1）的发现方法，并配置简易服务器，能在客户端进行形象的绘图描述。以下结合附图说明及具体操作流程对本发明做进一步地详细描述。

一、系统架构

该基于迭代式TTL-IPID数据包分类的网络拓扑自动生成装置的系统架构如附图2所示。系统主要分成拓扑发现模块，拓扑信息显示模块和数据存储模块。以下是对系统中各部分的详细说明。

（1）拓扑发现模块主要功能

拓扑发现模块主要功能是探测网络中的拓扑结构，以及接入设备的辨别。拓扑发现模块主要是通过SNMP协议获取网络中的路由表信息并进行分析，或通过IP数据包中的TTL值以及IPID值来进行分析，找出网络的拓扑结构，并大概探测出下一层接入的主机数量，判断是否有必要接入下一层继续探测的必要。

（2）拓扑信息显示模块主要功能

拓扑信息显示模块主要功能是把拓扑发现模块分析得出的拓扑结构以图形化的方式显示给用户。在显示过程中，用户可以对系统进行一些操作，如开始网络拓扑探测、停止探测并进行拓扑绘制、查询以往的网络拓扑信息等。该模块是基于Django框架进行编写的，可扩展性极强，利于后期维护，而且界面简洁、操作方便。

（3）数据存储模块主要功能

数据存储模块是以mysql为基础，完成数据库的建立以及对数据库的操作，主要包括拓扑信息数据的插入、查询、删除等功能。可以用面向对象的方式来访问数据库，通过友好的Web界面来操作数据库，而不需要使用复杂的SQL语句就可以完成对数据的操作。

二、拓扑发现的主要步骤

基于迭代式TTL-IPID数据包分类的网络拓扑自动发现的具体流程图如附图3所示,包括如下主要步骤。

首先将该网络拓扑自动生成装置接入要探测的顶层网络，如有授权对路由器进行SNMP协议访问，则通过 SNMP 协议来读取网络设备 MIB 库中与网络拓扑发现相关的信息，然后对这些信息进行处理，从而发现网络路由器的连接拓扑结构。

该网络拓扑自动生成装置的拓扑发现算法使用到的 MIB 库信息的IP 组所包含的内容，即网络设备使用 IP 协议的相关信息，利用此信息来实现拓扑发现。在IP组所包含的对象中，主要对IpAddrTable，IpRouteTable 和 IpForwarding进行分析来实现网络拓扑发现。

IpForwarding 表示该网络设备是否具有 IP 数据包的转发能力，它的值只能取 1 或者是 2，取值为 1 代表该网络设备具有转发 IP 数据包的能力，取值为 2 则代表没有转发 IP数据包的能力。

IpAddrTable 是一个表对象，其中的内容是网络设备上所有端口的 IP 地址相关信息，它包含了网络设备上所有端口的 IP 地址、IP 地址所对应的子网掩码以及端口的端口号。

IpRouteTable 也是一个表对象，它包含了网络设备的路由表中所有的信息。其中的 IpRouteType 表示了路由信息的类型。如果IpRouteType 的值为2，说明这是一条无效的路由信息在拓扑发现中应该忽略；如果IpRouteType 的值为3，说明该路由项中的目的网络地址 IpRouteDestr 与路由器直接连接，由此可以判断出与本路由器直接连接的所有路由器的IP地址以及与本路由器直接连接的子网的网络地址。如果 IpRouteType 的值为4，说明该路由项中的目的网络地址IpRouteDestr 不与路由器直接连接，由此可以判断该路由项中的 IpRouteNextHop 地址为与本路由器连接的下一跳路由器接口的 IP 地址。由此我们就可以判断出网络中路由器与路由器之间的连接关系。

如果没有权限访问路由的SNMP协议，则该网络拓扑自动生成装置会主动去获取网络流量中IP协议包中的的TTL值，以及数据包中的IPID值来进行对网络拓扑发现的探测。

该方法探测技术主要是：   

1、检查从下级IP出来的IP包的IP-ID是否是连续的，如果不是连续的，则判定下级使用了NAT。

2、检查从下级IP出来的IP包的TTL值是否是32、64、128这几个值，如果不是，刚判定下级使用了NAT。

3、检查从下级IP出来的http请求包中是否包含有proxy的字段，如果有，则下级用了http代理。

然后使用TTL构建出第一层的主机和第二层以下的内网。其中，TTL为标准少1的，即127,63,31，处于第一层内网，TTL少2的处于第二层内网，以此类推。当然第二层以下的已经无法再划分为不同子网。将不同TTL的进行分组，然后根据连续的IP-ID即算为同一台。由此可以大致计算出一个网络中的主机数量，各级相加得到一个统计总数，然后根据总数判断是否有下一级接入该装备探测的必要，如果有必要，则继续接入下一层进行拓扑发现探测，如果没有必要，则通过最小生成树算法在客户端进行拓扑绘制。

三、客户端访问流程

该网络拓扑自动生成装置在网络中的拓扑探测是由客户端主动控制的，用户可以控制开始探测、停止探测、绘制拓扑、添加节点、删除拓扑等操作选项。以下对本发明所涉及到的客户端访问的关键流程进行阐述。

首先如果用户选择了开始探测，则该装置的拓扑发现模块会按照前面的步骤对网络进行拓扑探测，并等待停止信号，若一直处于运行状态，则会实时的提供最新的网络节点信息。

当用户选择停止探测后，该装置不在进行主动探测，此时用户可以选择绘制拓扑，则客户端Web界面会自动生成一个网络拓扑结构图，并提供修改、删除、保存等功能。用户可以对自动生成的网络拓扑结构图进行任意的修改，如添加网络节点、删除未知设备等。最后用户可以选择保存此次拓扑图信息，则该装置会调用数据存储模块对拓扑图信息进行存储，以便用户下次可以直接调用数据库中的数据对先前的拓扑信息进行重现，方便用户对不同时期网络拓扑结构的比较分析。

Claims (9)

1.一种迭代式TTL-IPID数据包分类的网络拓扑自动发现方法，其特征在于高效的基于“发现价值”判断的迭代机制，该机制包括：

对继续发现下层拓扑的价值和代价进行评估，从而判断是否有继续迭代的价值，通过该机制，大型网络拓扑的绘制将会更加侧重于重点区域，从而节约了拓扑发现与绘制的时间和成本，另外，该机制还支持拓扑节点权重判断，并为管理员提供友好的绘制界面。

2.按照权利要求1所述的方法，其特征在于，在该机制中，最核心的迭代规则分为两级：

第一级先通过搜集数据包和可访问的SNMP信息对装置所在网络进行初步统计，如能迅速得到拓扑，则不必进行IP-ID的繁琐计算；

第二部，通过计算所得到的结果，进行自定义判断是否有将装置接入下一层交换网络的必要，如有必要则接入下一层并继续绘制精细拓扑，如果没有必要则不接入并绘制下一层的简要拓扑，从而达到让取得成果与时间代价比例最大化的目的；

同时，在装置中会存储所有拓扑信息，方便用户通过浏览器查看，操作十分便捷，该装置在一般情况下只需要点击“绘制”按钮即可达到将当前已经得到的所有拓扑情况绘制出来的目的，方便快捷。

3.按照权利要求1或2所述的方法，其特征在于，还包括：

如有授权对路由器进行SNMP协议访问，则通过SNMP协议来读取网络设备MIB库中与网络拓扑发现相关的信息，然后对这些信息进行处理，从而发现网络路由器的连接拓扑结构；

如果没有权限访问路由的SNMP协议，则该网络拓扑自动生成装置会主动去获取网络流量中IP协议包中的的TTL值，以及数据包中的IP-ID值来进行对网络拓扑发现的探测。

4.按照权利要求3所述的方法，其特征在于，还包括：

该网络拓扑自动生成装置的拓扑发现算法使用到的MIB库信息的IP组所包含的内容，即网络设备使用IP协议的相关信息，利用此信息来实现拓扑发现，在IP组所包含的对象中，主要对IpAddrTable，IpRouteTable 和 IpForwarding进行分析来实现网络拓扑发现。

5.按照权利要求3所述的方法，其特征在于，基于数据包中的IP-ID值来进行拓扑探测的主要技术包括：  

检查从下级IP出来的IP包的IP-ID是否是连续的，如果不是连续的，则判定下级使用了NAT；

检查从下级IP出来的IP包的TTL值是否是32、64、128这几个值，如果不是，刚判定下级使用了NAT；

检查从下级IP出来的http请求包中是否包含有proxy的字段，如果有，则下级用了http代理。

6.按照权利要求5所述的方法，其特征在于，根据TTL以及IP-ID分析多层内网的方法包括：

使用TTL构建出第一层的主机和第二层以下的内网，其中，TTL为标准少1的，即127,63,31，处于第一层内网，TTL少2的处于第二层内网，以此类推，当然第二层以下的已经无法再划分为不同子网，将不同TTL的进行分组，然后根据连续的IP-ID即算为同一台，由此可以大致计算出一个网络中的主机数量，各级相加得到一个统计总数，然后根据总数判断是否有下一级接入该装备探测的必要，如果有必要，则继续接入下一层进行拓扑发现探测，如果没有必要，则通过最小生成树算法在客户端进行拓扑绘制。

7.按照权利要求3所述的方法，其特征在于，还包括：

基于迭代式TTL-IPID数据包分类的网络拓扑自动发现的具体流程图，以及所述服务器根据探测出来的信息绘制的详细网络拓扑图。

8.按照权利要求1或2所述的方法，其特征在于，还涉及一层拓扑信息显示系统，所述方法包括：

该网络拓扑自动生成装置在网络中的拓扑探测是由客户端主动控制的，用户可以控制开始探测、停止探测、绘制拓扑、添加节点、删除拓扑等操作选项。

9.按照权利要求8所述的方法，其特征在于，涉及所述拓扑信息显示系统包含多个模块，所述方法包括：

根据拓扑信息显示模块以及数据存储模块，基于Django框架，分析拓扑发现模块特出的拓扑结构，以图形化方式显示出详细的网络拓扑结构图。

Images