CN103152268B - 数据包处理的方法及装置 - Google Patents

Abstract

本发明公开了一种数据包处理的方法及装置，其中，该方法包括：通过内核空间中注册的第一钩子函数对数据包进行目的地址转换处理；目的地址转换处理后，通过内核空间中注册的第二钩子函数对数据包进行路由处理；在数据包路由处理之后，通过内核空间中注册的第三钩子函数对数据包进行源地址转换处理；以及获取数据包的优先级标识，并根据数据包的优先级标识控制数据包的输出顺序。数据包在内核空间中仅需通过三个钩子函数的处理，相对于现有技术有效减少了数据包通过钩子函数的数量，其次可通过数据包的优先级标识来控制数据包的输出顺序。

Description

数据包处理的方法及装置

技术领域

本发明属于计算机技术领域，尤其涉及一种数据包处理的方法及装置。

背景技术

连接跟踪（conntrack），就是跟踪并且记录连接状态。Linux（是一种自由和开放源码的类Unix操作系统）为每一个经过网络堆栈的数据包，生成一个新的连接记录项（Connectionentry），该连接记录可由ip_conntrack结构表示。此后，所有属于此连接的数据包都被唯一地分配给这个连接，并标识连接的状态。连接跟踪是防火墙模块的状态检测的基础，同时也是地址转换中实现SNAT（SourceNetworkAddressTranslation，源地址转换）和DNAT（DestinationNetworkAddressTranslation，目的地址转换）的前提。

目前应用协议（例如P2P协议、IM协议、Email协议等）控制的通常方法是基于连接状态的数据包检测。数据包从网卡进来后被分割为独立的连接，通过识别该连接属于何种应用层协议之后，再对这条连接上所有的数据包打上对应的标签（mark）。通过维护此条连接的上下行数据包以及字节计数，实现对该协议类型的流量统计。

然而，现有技术没有实现在不同的应用环境中使用不同的优先级配置进行数据包的输出，例如：在协议识别时确保数据量较大的协议的输出顺序的优先级较高，数据量小并且使用不广泛的协议的输出顺序的优先级较低。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的数据包处理的方法及装置，以实现根据数据包的优先级标识来控制数据包的输出顺序。

依据本发明的一个方面，提供了一种数据包处理的方法，通过内核空间中注册的第一钩子函数对数据包进行目的地址转换处理；目的地址转换处理后，通过内核空间中注册的第二钩子函数对数据包进行路由处理；在所述数据包路由处理之后，通过内核空间中注册的第三钩子函数对数据包进行源地址转换处理；以及获取所述数据包的优先级标识，并根据所述数据包的优先级标识控制所述数据包的输出顺序。

根据本发明的另一方面，提供了一种数据包处理的装置，目的地址转换模块，用于通过内核空间中注册的第一钩子函数对数据包进行目的地址转换处理；路由模块，用于在源地址转换处理后目的地址转换处理后，通过内核空间中注册的第二钩子函数对数据包进行路由处理；源地址转换模块，用于在所述数据包路由处理之后，通过内核空间中注册的第三钩子函数对数据包进行源地址转换处理；以及输出模块，用于获取所述数据包的优先级标识，并根据所述数据包的优先级标识控制所述数据包的输出顺序。

根据本发明的数据包处理的方法和数据包处理的装置，数据包在输出之前在内核空间中仅需通过三个钩子函数的处理，相对于现有技术中需经过五个钩子函数的处理，有效减少了数据包通过钩子函数的数量，其次可通过数据包的优先级标识来控制数据包的输出顺序，例如数据量较大的数据包的输出顺序的优先级较高，数据量小且使用不广泛的数据包的输出顺序的优先级较低，最后，本发明实施例的可扩展性较强，可根据识别数据包的需求配置协议识别模块。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了根据本发明一个实施例的数据包处理的方法100的流程图；

图2示出了根据本发明一个实施例的数据包的处理示意图；

图3示出了根据本发明一个实施例的ipNAC协议识别模块的包处理的流程示意图；

图4示出了根据本发明一个实施例的链表数据管理各模块的示意图；

图5示出了根据本发明一个实施例的协议识别模块注册的示意图；以及

图6示出了根据本发明又一个实施例数据包处理的装置600结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

本发明的实施例提出的数据包处理的方法，通过内核空间中注册的第一钩子函数对数据包进行目的地址转换处理；目的地址转换处理后，通过内核空间中注册的第二钩子函数对数据包进行路由处理；在数据包路由处理之后，通过内核空间中注册的第三钩子函数对数据包进行源地址转换处理；最后获取数据包的优先级标识，并根据数据包的优先级标识控制数据包的输出顺序。下面结合图1具体说明根据本发明一个实施例的、适于解决上述问题的数据包处理的方法100的流程图。

如图1所示，本发明的方法100的步骤始于步骤S110，在步骤S110中，通过内核空间中注册的第一钩子函数对数据包进行目的地址转换处理。

在本发明的一些实施例中，Netfilter是Linux内核中的一个通用架构，由一系列基于协议栈的钩子（Hook）函数组成，这些钩子都对应于某一具体的协议。Netfilter防火墙的内核模块为了对内核TCP/IP协议栈的不同类型的数据包能够以多种手段的控制和处理，在数据包经过协议栈的游历路线之中，可设置三个挂载点，该三个挂载点可分别命名为PREROUTING（路由前）、FORWARD和POSTROUTING（路由后），其中每个挂载点上可挂载一个钩子函数，由于本发明实施例中数据包仅经过三个钩子函数的处理，相对于现有技术中的五个钩子函数，有效减少了数据包通过的钩子函数的数量。

可选地，在第一个挂载点（PREROUTING）上挂载的第一钩子函数为NF_IP_PRE_ROUTING函数。在本发明实施例中从网卡进入系统的数据包首先到达第一挂载点，由NF_IP_PRE_ROUTING函数对进入网络层的数据包进行目的地址转换。

随后，在步骤S130中，目的地址转换处理后，通过内核空间中注册的第二钩子函数对数据包进行路由处理。

可选地，在第二挂载点（FORWARD）上挂载的第二钩子函数为NF_IP_FORWARD函数。在本发明实施例中该NF_IP_FORWARD函数可对数据包进行路由处理，使得数据包到达另外另一个接口。具体地，首先获取数据包的路由规则，然后根据路由规则，通过第二钩子函数对数据包进行路由处理。

在步骤S130之前，可选地，将用于协议识别的ip_NAC协议识别模块挂载在内核空间中的ip_conntrack连接跟踪模块上，路由规则可设置在ip_NAC协议识别模块中，例如路由规则可通过ip_table模块传递到ip_NAC协议识别模块中。

上述ip_table模块作为Linux内核防火墙netfilter的用户管理工具，用于对模块添加、移动或编辑规则。这些规则通过netfilter框架及其相关模块发生作用。ip_table模块提供了三种策略规则表：用于数据包过滤的filter表、用于网络地址转换的nat和用于数据包重构的managle表。

可选地，通过注册函数（例如ipt_dissecoR_registor）将用于识别P2P协议的P2P协议识别模块、用于识别IM协议的IM协议识别模块和/或用于识别电子邮件协议的电子邮件协议识别模块挂载到ip_NAC协议识别模块上。

随后，在步骤S150中，在数据包路由处理之后，通过内核空间中注册的第三钩子函数对数据包进行源地址转换处理。

可选地，在第三挂载点（POSTROUTING）上挂载的第三钩子函数为NF_IP_POST_ROUTING函数。在本发明实施例中该NF_IP_POST_ROUTING函数对输出且经过路由判断之后的数据包进行处理，具有源地址转换功能。

随后，在步骤S170中，获取数据包的优先级标识，并根据数据包的优先级标识控制数据包的输出顺序。

例如，数据量较大的数据包优先级较高，数据量小并且使用不广泛的数据包优先级较低，使得数据量较大的数据包的输出顺序较高，数据量小且使用不广泛的数据包的输出顺序较低。

也就是，在步骤S170中通过数据包的优先级标识对数据包进行流量控制（TrafficControl，TC），例如：通过如下过程实现流量控制。首先，在TC网络接口处绑定一个队列，并为这个队列创建多个分类，用于管理和调度待发的数据包，TC将流经网络接口的数据包放入一个队列中，对数据包进行分类，并根据过滤规则把数据包放入每个分类的分队列中。其次，TC为每个分类设置一条或多条过滤规则。当数据包进入分类后，相应的过滤规则根据数据包的优先级标识进行匹配。当数据包被匹配后就会对它执行相应的处理，决定这个数据包发送顺序。最后，TC按照不同优先级到每个队列中取出数据包，交给网络接口进行发送。TC通过控制每个分队列数据包发送的优先级，达到控制流量的目的。

需要说明的是，图1所示的方法并不限定按所示的各步骤的顺序进行，可以根据需要调整各步骤的先后顺序，另外，所述步骤也不限定于上述步骤划分，上述步骤可以进一步拆分成更多步骤也可以合并成更少步骤。

参见图2，为本发明一个实施例的数据包的处理示意图，在步骤S210中，数据包由入口INGRESS进入。随后，在步骤S230中，通过第一钩子函数（NF_IP_PRE_ROUTING）对数据包进行目的地址转换，其中ip_conntrack模块是内核自带的模块，可对ip_conntrack内核模块进行扩展和修改，ip_NAC协议识别模块挂载在ip_conntrack内核模块上，随着系统启动自动挂载。

随后，在步骤S250中，第二钩子函数（NF_IP_FORWARD）判断是否需要路由，路由规则可通过ip_table模块传递到ip_NAC协议识别模块中，ip_tables模块是防火墙的核心模块，负责维护防火墙的规则表，通过这些规则，实现防火墙的核心功能。

随后，在步骤S270中，第三钩子函数（NF_IP_POST_ROUTING）对数据包进行源地址转换处理。随后，在步骤S290中，EGRESS出口使用TC进行带宽管理，EGRESS出口根据数据包的优先级标识进行带宽控制操作。

图3示出了根据本发明一个实施例的在图2中的步骤S230中IP_NAC协议识别模块的数据包处理的流程示意图。在步骤S301中，数据包进入ip_NAC协议识别模块之前，需要判断连接跟踪表conntrack的mark字段是否设置了相应的mark值（优先级标识），其中mark值属于用户自定义，可以通过配置文件修改。如果设定，进入步骤S317。如果没有设定，进入步骤S303，在步骤S303中，根据五元组链表对数据包进行五元组分析，其中五元组包括：源IP、目的IP、源端口、目的端口和data数据。随后在步骤S305中，判断是否找到对应特征，如果是，进入到步骤S317。如果没有找到对应特征，进入到步骤S307，在步骤S307中分析数据包是TCP包还是UDP包，如果数据包是TCP包，进入步骤S311，在步骤S311中遍历TCPdissector链表对TCP包进行解析；如果数据包是UDP包，则进入步骤S309，在步骤S309中遍历UDPdissector链表对UDP包进行解析。随后进入步骤S313，在步骤S313中，判断是否能够识别协议的类型，如果不能识别，进入步骤S315，在步骤S315中，放弃分类，将连接标示为unknown类型。如果能识别，进入步骤S317，在步骤S317中，正确设定conntrack的mark字段和skb的nfmark字段，随后在步骤S319中，返回ipt_continue，继续遍历netfilter其他规则。

图4示出了根据本发明一个实施例的链表数据管理各模块的示意图，针对不同的协议模块，可通过不同的dissector（解析器）来处理，使得协议识别模块的扩展性较好。如p2p_dissector内核模块41负责处理p2p相关协议的识别，通过ipt_dissecoR_registor注册模块42挂载到ip_NAC协议识别模块43上。p2p_dissector内核模块41、IM_dissector内核模块42和Email_dissector内核模块43的处理优先顺序可以通过配置文件进行管理。

图5示出了根据本发明一个实施例的模块注册示意图，ipt_nac_cfg配置文件51导入用户自定义以及系统初始化默认的配置信息，通过ip_table模块53把配置文件信息导入到ip_NAC协议识别模块43，ip_NAC协议识别模块43根据配置导入配置信息，决定是否启动ipt_dissector_registor注册模块57。由此实现一组dissector以独立模块实现，可以动态加载和卸载，可以配置哪些协议需要被分类出来，配置分类的精确度。

下面结合图6说明根据本发明一个实施例的、适于解决上述问题的一种数据包处理的装置600。

如图6所示，数据包处理的装置包括：目的地址转换模块601、路由模块603、源地址转换模块605和输出模块607，其中

目的地址转换模块601用于通过内核空间中注册的第一钩子函数对数据包进行目的地址转换处理；

路由模块603用于在源地址转换处理后目的地址转换处理后，通过内核空间中注册的第二钩子函数对数据包进行路由处理；

源地址转换模块605用于在所述数据包路由处理之后，通过内核空间中注册的第三钩子函数对数据包进行源地址转换处理；

输出模块607用于获取所述数据包的优先级标识，并根据所述数据包的优先级标识控制所述数据包的输出顺序。

可选地，该装置600还包括：挂载模块，用于将用于协议识别的ip_NAC协议识别模块611挂载在内核空间中的ip_conntrack连接跟踪模块609上，路由规则设置在ip_NAC协议识别模块611上。

可选地，路由模块603包括：获取单元和路由单元，其中获取单元用于获取ip_NAC协议识别模块611上的路由规则；路由单元用于根据所述路由规则对数据包进行路由处理。

可选地，装置600还包括：注册模块613，用于通过注册函数将用于识别P2P协议的P2P协议识别模块、用于识别IM协议的IM协议识别模块和/或用于识别电子邮件协议的电子邮件协议识别模块挂载到ip_NAC协议识别模块611上。

根据本发明的数据包处理的方法和数据包处理的装置，数据包在内核空间中仅需通过三个钩子函数的处理，相对于现有技术有效减少了数据包通过钩子函数的数量，其次通过数据包的优先级标识来控制数据包的输出顺序，例如数据量较大的数据包优先级较高，数据量小且使用不广泛的数据包优先级较低。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书（包括伴随的权利要求、摘要和附图）中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书（包括伴随的权利要求、摘要和附图）中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器（DSP）来实现根据本发明实施例的数据包处理的装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序（例如，计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (5)

1.一种数据包处理的方法，其特征在于，包括：

通过内核空间中注册的第一钩子函数对数据包进行目的地址转换处理；

将用于协议识别的ip_NAC协议识别模块挂载在内核空间中的ip_conntrack连接跟踪模块上，路由规则设置在所述ip_NAC协议识别模块上；

通过注册函数将用于识别P2P协议的P2P协议识别模块、用于识别IM协议的IM协议识别模块和/或用于识别电子邮件协议的电子邮件协议识别模块挂载到所述ip_NAC协议识别模块上；

目的地址转换处理后，通过内核空间中注册的第二钩子函数对数据包进行路由处理；

在所述数据包路由处理之后，通过内核空间中注册的第三钩子函数对数据包进行源地址转换处理；以及

获取所述数据包的优先级标识，并根据所述数据包的优先级标识控制所述数据包的输出顺序，

其中，所述通过注册函数将用于识别P2P协议的P2P协议识别模块、用于识别IM协议的IM协议识别模块和用于识别电子邮件协议的电子邮件协议识别模块挂载到所述ip_NAC协议识别模块上的步骤包括：

获取用户自定义以及系统初始化默认的配置信息；

将所述配置信息导入到所述ip_NAC协议识别模块中；

所述ip_NAC协议识别模块根据配置信息启动所述注册函数，以将所述P2P协议识别模块、IM协议识别模块或电子邮件协议识别模块挂载到所述ip_NAC协议识别模块上。

2.根据权利要求1所述的方法，其特征在于，所述通过内核空间中注册的第二钩子函数对数据包进行路由处理的步骤包括：

获取所述ip_NAC协议识别模块上的路由规则；

所述第二钩子函数根据所述路由规则对数据包进行路由处理。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

设置所述P2P协议识别模块、IM协议识别模块和电子邮件协议识别模块的协议识别的优先级顺序。

4.一种数据包处理的装置，其特征在于，所述装置包括：

目的地址转换模块，用于通过内核空间中注册的第一钩子函数对数据包进行目的地址转换处理；

挂载模块，用于将用于协议识别的ip_NAC协议识别模块挂载在内核空间中的ip_conntrack连接跟踪模块上，路由规则设置在所述ip_NAC协议识别模块上；

注册模块，用于通过注册函数将用于识别P2P协议的P2P协议识别模块、用于识别IM协议的IM协议识别模块和/或用于识别电子邮件协议的电子邮件协议识别模块挂载到所述ip_NAC协议识别模块上；

路由模块，用于在目的地址转换处理后，通过内核空间中注册的第二钩子函数对数据包进行路由处理；

源地址转换模块，用于在所述数据包路由处理之后，通过内核空间中注册的第三钩子函数对数据包进行源地址转换处理；以及

输出模块，用于获取所述数据包的优先级标识，并根据所述数据包的优先级标识控制所述数据包的输出顺序，

其中，所述注册模块获取用户自定义以及系统初始化默认的配置信息；将所述配置信息导入到所述ip_NAC协议识别模块中；所述ip_NAC协议识别模块根据配置信息启动所述注册函数，以将所述P2P协议识别模块、IM协议识别模块或电子邮件协议识别模块挂载到所述ip_NAC协议识别模块上。

5.根据权利要求4所述的装置，其特征在于，所述路由模块包括：

获取单元，用于获取所述ip_NAC协议识别模块上的路由规则；

路由单元，用于根据所述路由规则对数据包进行路由处理。