CN103780435B

CN103780435B - 使用端口号掩码对数据流进行分类的方法及系统

Info

Publication number: CN103780435B
Application number: CN201410054853.3A
Authority: CN
Inventors: 刘谦
Original assignee: Maipu Communication Technology Co Ltd
Current assignee: Maipu Communication Technology Co Ltd
Priority date: 2014-02-18
Filing date: 2014-02-18
Publication date: 2017-09-26
Anticipated expiration: 2034-02-18
Also published as: CN103780435A

Abstract

本发明涉及数据流分类技术。本发明公开了一种使用端口号掩码对数据流进行分类的方法，包括步骤：A、将已知端口号范围SrcP～DstP划分成N个分段SrcP_n～DstP_n，每个分段对应一个端口号掩码，其中N为大于等于1的整数，N个分段对应N个分类；B、提取数据流中的端口号P，将P和第m个分段的端口号掩码W_m执行或操作，得到端口号Y_m；将第m个分段的端口号掩码W_m和该分段的起始端口号执行或操作，得到端口号X_m；其中m从1开始，其取值范围为1～N；C、若Y_m＝X_m，则所述数据流属于第m个端口分段范围和该段对应分类；若依次遍历N个分段均为Y_m≠X_m，则所述数据流不属于N个分类中的任何一类。本发明同时公开了使用端口号掩码对数据流进行分类的系统。本发明可提高开局或维护人员现场环境配置效率，降低维护成本。

Description

使用端口号掩码对数据流进行分类的方法及系统

技术领域

本发明涉及数据通信领域的数据流分类技术，尤其涉及一种使用端口号掩码对数据流进行分类的配置方法。

背景技术

数据通信网络中将流经某点的一组数据报文称为一个数据流。在数据通信领域要增强网络安全性、提升服务质量、实施路由策略等应用时，不可避免会涉及到数据流的分类处理。数据流分类主要是基于数据流本身包含的二层(数据链路层)、三层(网络层)或四层(传输层)信息进行过滤筛选。其中，四层信息主要是使用TCP/UDP(Transmission ControlProtocol/User Datagram Protocol)端口号并配合端口号掩码进行数据流的分类。

数据流的端口号取值范围通常为：0～65535。其中，0～1023是公认端口号，即已经公认定义或为将要公认定义的软件保留的，而1024～65535是没有公共定义的端口号，用户可以自己定义这些端口号的作用。使用端口号进行数据流分类时，端口号掩码可用于标志一个或几个端口号属于同一类型，其取值范围与端口号相同。将端口通配符掩码转换成16个比特位的二进制后，掩码位上的0表示：相应的位必须匹配；掩码位上的1表示：相应的位可以被忽略，不用检查。例如，端口通配符掩码15转换成二进制为0000000000001111，表示只比较端口号转换成二进制数后的前12位。

目前使用端口号和端口号掩码进行数据流分类的方法如下：

预先设定一个端口号P和一个端口号掩码W；

将端口号P和端口号掩码W做或运算，得到一个端口号X；

用数据流中的端口号PF和端口号掩码W做或运算，得到一个端口号Y；

若Y等于X，则该数据流属于符合条件的一类，对于该类数据流可统一执行过滤，或提供有差别的服务等。

现有的数据流分类方法需要预先设定端口号掩码和端口号，但在实际的应用场景中，往往是用户根据现场情况要求对特定的端口号范围进行数据流分类。按照上述的数据流分类方法，需预先配置相应的端口号和端口号掩码。而且在实际的应用场景中，配置一个端口号和其对应的端口号掩码通常无法覆盖已知的端口号范围，需重复设置多个，计算过程复杂，对配置结果的正确性和配置效率都会造成影响。

这种使用预先设定端口号掩码和端口号进行数据流分类的方法，在实际应用场景中无法直接使用，导致开局或维护人员现场环境配置效率低下，正确性无法保证，增加维护成本。

发明内容

针对现有技术的上述问题，本发明的目的是，提供一种使用端口号掩码对数据流进行分类的方法，利用端口分段提高掩码覆盖的端口号范围，简化设置和计算过程。

本发明解决所述技术问题，采用的技术方案是，使用端口号掩码对数据流进行分类的方法，包括如下步骤：

A、将已知端口号范围SrcP～DstP划分成N个分段，其中SrcP_n～DstP_n为N个分段中第n个分段，n≤N，每个分段对应一个端口号掩码，N为大于1的整数，N个分段对应N个分类；

B、提取数据流中的端口号P，将P和第m个分段的端口号掩码W_m执行或操作，得到端口号Y_m；将第m个分段的端口号掩码W_m和该分段的起始端口号执行或操作，得到端口号X_m；其中m从1开始，其取值范围为1～N；

C、若Y_m＝X_m，则所述数据流属于第m个端口分段范围和该段对应分类；若依次遍历N个分段均为Y_m≠X_m，则所述数据流不属于N个分类中的任何一类。

进一步的，所述N个分类执行不同的处理动作。

具体的，所述处理动作包括对数据流进行过滤或提供有差别的服务或实施路由策略。

优选的，所述端口号和端口号掩码表示为16位二进制数。

具体的，所述步骤A具体包括步骤：

A1、令StartP为所述已知端口号范围的起始端口；

A2、令W_i＝2^k-1，k为整数，从1开始，将W_i取反后和所述已知端口号范围的起始值StartP执行与操作，得到端口号SrcP_i；

A3、将W_i和所述已知端口号范围的起始值StartP执行或操作，得到端口号DstP_i；

A4、逐渐递增k，直到端口号范围SrcP_i～DstP_i超出所述已知端口号范围StartP～DstP，此时以W_i＝2^k-1-1执行步骤A2的操作得到SrcP_i，执行步骤A3的操作得到DstP_i，SrcP_i～DstP_i就是已知端口号范围SrcP～DstP内的第i个分段，且W_i＝2^k-1-1就是该分段对应的端口号掩码；

A5、设置StartP为DstP_i加1，若StartP超出已知端口号范围上限则结束步骤A；否则，令W_i+1＝2^k-1，k从1开始，继续对剩余分段StartP～DstP执行步骤A2～A4来划分第i+1个分段，直至StartP超出已知端口号范围上限DstP，结束步骤A；

其中，i为从1开始的整数。

本发明的另一个目的是，提供一种使用端口号掩码对数据流进行分类的系统，包括端口分段模块、端口提取模块、掩码运算模块和比较模块，

所述端口分段模块，用于将已知端口号范围SrcP～DstP划分成N个分段，其中SrcP_n～DstP_n为N个分段中第n个分段，n≤N，每个分段对应一个端口号掩码，N为大于1的整数，N个分段对应N个分类；

所述端口提取模块，用于提取数据流中的端口号P，将P和第m个分段的端口号掩码W_m执行或操作，得到端口号Y_m；

所述掩码运算模块，用于将第m个分段的端口号掩码W_m和该分段的起始端口号SrcP_m执行或操作，得到端口号X_m；

所述比较模块，用于比较Y_m和X_m，若Y_m＝X_m，则所述数据流属于第m个端口分段范围和该段对应分类；若依次遍历N个分段均有Y_m≠X_m，则所述数据流不属于N个分类中的任何一类，

其中，m从1开始，其取值范围为1～N。

进一步的，所述N个分类执行不同的处理动作。

优选的，所述端口号和端口号掩码表示为16位二进制数。

具体的，所述端口分段模块包括，掩码生成单元和端口号划分单元；

所述掩码生成单元，用于求取各分段掩码；

所述端口号划分单元，用于求取各个分段的起始端口号和终止端口号，具体用于：

令StartP为所述已知端口号范围SrcP～DstP起始端口；

令W_i＝2^k-1，k为整数，从1开始，将W_i取反后和所述已知端口号范围的起始值StartP执行与操作，得到端口号SrcP_i；

将W_i和端口号范围的起始值StartP执行或操作，得到端口号DstP_i；

逐渐递增k，直到端口号范围SrcP_i～DstP_i超出范围StartP～DstP，此时以W_i＝2^k ^-1-1，将W_i取反后和所述已知端口号范围的起始值StartP执行与操作，得到端口号SrcP_i，将W_i和所述已知端口号范围的起始值StartP执行或操作，得到端口号DstP_i，SrcP_i～DstP_i就是已知端口号范围SrcP～DstP内的第i个分段，且W_i＝2^k-1-1就是该分段对应的端口号掩码；

设置StartP为DstP_i加1，若StartP未超出已知端口号范围上限DstP，则结束分段划分；否则，令W_i+1＝2^k-1，k从1开始，继续对剩余分段StartP～DstP划分第i+1个分段，直至StartP超出已知端口号范围上限DstP，结束分段划分；

其中，i从1开始。

本发明的有益效果是，可直接对已知端口号范围配置合理的端口号掩码用于数据流的分类处理。具有操作简单，功能稳定的特点。可提高开局或维护人员现场环境配置效率，降低维护成本。本发明可在增强网络安全性、提升服务质量、实施路由策略等应用中进行数据流分类时使用。

附图说明

图1是使用端口号掩码对已知端口号范围进行数据流分类处理流程图；

图2是将端口号范围划分子段且每个分段配置一个端口号掩码的处理流程图；

图3是系统结构示意图。

具体实施方式

下面结合附图及具体实施方式，详细描述本发明的技术方案。

本发明所述方法的工作原理为：

数据流的端口号取值范围为：0～65535，端口号掩码的取值范围与端口号的相同，通常表示为16位二进制数字。根据端口号掩码的定义：

掩码位上的0表示：相应的位必须匹配；掩码位上的1表示：相应的位可以被忽略，不用检查。

具有如下规律：

a)若端口号掩码W须表示一段连续的端口范围，其转换后的二进制数中，从最后一个比特位开始必然有连续N个比特位均为1，转换为十进制则端口号掩码W等于2的n次幂减1，即W＝2ⁿ-1。

b)对于已知的端口号掩码W及其配对的端口号范围SrcP～DstP，均满足：SrcP＝SrcP&(～W)，DstP＝SrcP|W。其中“&”表示与操作；“～”表示取反操作；“|”表示或操作；这些操作均为对相应二进制数的操作。SrcP表示起始端口号；DstP表示终止端口号。

例如：通配符掩码W为15(对应的二进制为0000000000001111)，与其配对的端口号范围SrcP～DstP为16～31，即SrcP＝16，DstP＝31。将W取反(对应的二进制为1111111111110000)后和端口号范围的起始端口16(对应的二进制为0000000000010000)执行与操作，得到端口值为16，和已知范围的起始端口16相同。将W和起始端口16(对应的二进制为0000000000010000)执行或操作，得到端口值为31(对应的二进制为0000000000011111)，和已知范围的终止端口31相同。

因此，只要端口号掩码W从2的n次幂减1开始(n的初始值为1)，和已知端口号范围的起始值SrcP满足条件b)，就可逐渐递增n，直到找到满足条件b)的最大范围时，该范围就是已知端口范围内的一个分段。

在实际的应用场景中，配置一个端口号掩码通常无法覆盖已知的端口号范围，需对已知的端口号范围按上述方法划分成多个分段。当数据流中的端口号P和端口号掩码W执行或操作的结果，等于端口范围起始端口和端口号掩码W执行或操作的值，表示数据流中的端口号P在该端口范围内，应执行该端口范围规定的对数据流的处理动作。

实施例

假设已知端口号范围为1200～1216，即SrcP＝1200，DstP＝1216。要求对该端口范围内的数据流统一执行过滤处理，实现过程如图1和图2所示，包括步骤如下：

1)将已知端口号范围1200～1216划分成2个分段，具体步骤包括：

1.1)令W₁＝2¹-1(对应的16位二进制数为0000000000000001)，StartP为原始端口号范围起始端口SrcP＝1200；

1.2)将W₁取反(对应的16位二进制数为1111111111111110)，和StartP(对应的16位二进制数为0000010010110000)执行与操作，得到端口号SrcP₁为1200(对应的16位二进制数为0000010010110000)；

1.3)将W₁(对应的16位二进制数为0000000000000001)和StartP(对应16位二进制数为0000010010110000)执行或操作，得到端口号DstP₁为1201(对应16位二进制数为0000010010110001)，即k为1时，对应分段范围SrcP₁～DstP₁为1200～1201；

1.4)逐渐递增k，依次获得分段范围SrcP₁～DstP₁为：1200～1203(k为2时)、1200～1207(k为3时)、1200～1215(k为4时)、1184～1215(k为5时)。由于1184～1215超出已知的端口号范围1200～1216，所以令k＝k-1(即当k为4时)，W₁＝2⁴-1(对应十进制数为15)。以此W₁＝15执行步骤1.2)的操作得到SrcP₁＝1200，执行步骤1.3)的操作得到DstP₁＝1215。SrcP₁～DstP₁(1200～1215)就是已知端口号范围1200～1216内的第1个分段范围，该分段范围SrcP₁～DstP₁(1200～1215)对应的端口号掩码即为W₁＝15；

1.5)设置StartP为DstP₁加1，即StartP为1216，由于StartP未超出已知端口号范围上限1216，令W₂＝2¹-1，继续执行步骤1.2)，当执行至步骤1.3)时，发现SrcP₂～DstP₂为1216～1217，超出已知剩余端口范围1216～1216，令k＝k-1，此时W₂＝2⁰-1(对应十进制数为0)，就是已知端口号范围1200～1216内第2个分段SrcP₂～DstP₂(1216～1216)对应的端口号掩码；

1.6)设置StartP为DstP₂加1，即StartP为1217，由于StartP超出已知端口号范围上限1216，分段结束。

2)假设提取数据流中的端口号P等于1216(对应的16位二进制数为0000010011000000)，将P和第1个分段的端口号掩码W₁(即15)执行或操作，得到端口号Y₁＝1231；

3)将第1个分段1200～1215的端口号掩码W₁和该分段的起始端口号SrcP₁＝1200进行或操作，得到端口号X₁＝1215；

4)由于Y₁和X₁不相等，选择第2个分段1216～1216，继续执行步骤2)，数据流中的端口号P和第2个分段的端口号掩码W₂(即0)进行或操作，得到端口号Y₂＝1216。第2个分段1216～1216的端口号掩码W₂和该分段的起始端口号1216进行或操作，得到端口号X₂＝1216；

5)由于Y₂和X₂相等，表示该数据流属于第2个端口分段范围，可按已知端口分段范围1200～1216内的这类报文执行统一的过滤处理。

本发明使用端口号掩码对数据流进行分类的系统，结构如图3所示，包括端口分段模块、端口提取模块、掩码运算模块和比较模块。

所述端口分段模块，用于将已知端口号范围SrcP～DstP划分成N个分段SrcP_n～DstP_n，每个分段对应一个端口号掩码，其中N为大于等于1的整数，N个分段对应N个分类。所述端口分段模块包括，掩码生成模块和端口号划分模块。

所述掩码生成模块，用于求取各分段掩码；

所述端口号划分模块，用于求取各个分段的起始端口号和终止端口号。

具体为：

令W_i＝2^k-1，k为整数，从1开始，StartP为原始端口号范围起始端口SrcP；

将W_i取反后和端口号范围的起始值StartP执行与操作，得到端口号SrcP_i；

逐渐递增k，直到端口号范围SrcP_i～DstP_i超出范围StartP～DstP，此时以W_i＝2^k ^-1-1执行步骤1.2)的操作得到SrcP_i，执行步骤1.3)的操作得到DstP_i，SrcP_i～DstP_i就是已知端口号范围SrcP～DstP内的第i个分段，且W_i＝2^k-1-1就是该分段对应的端口号掩码。

设置StartP为DstP_i加1，若StartP超出已知端口号范围上限DstP则结束步骤1)；否则，令W_i+1＝2^k-1，k从1开始，继续对剩余分段StartP～DstP执行步骤1.2)～1.4)来划分第i+1个分段，直至StartP超出已知端口号范围上限DstP，结束步骤1)。

其中，i为从1开始的整数。

所述端口提取模块，用于提取数据流中的端口号P，将P和第m个分段的端口号掩码W_m执行或操作，得到端口号Y_m，m从1开始，其取值范围为1～N。

所述掩码运算模块，用于将第m个分段的端口号掩码W_m和该分段的起始端口号SrcP_m执行或操作，得到端口号X_m，m从1开始，其取值范围为1～N。

所述比较模块，用于比较Y_m和X_m，若Y_m＝X_m，则所述数据流属于第m个端口分段范围和该段对应分类；若依次遍历N个分段均有Y_m≠X_m，则所述数据流不属于N个分类中的任何一类，m从1开始，其取值范围为1～N。

所述N个分类执行不同的处理动作。

所述处理动作包括对数据流进行过滤或提供有差别的服务或实施路由策略。

所述端口号和端口号掩码表示为16位二进制数。

Claims

1.使用端口号掩码对数据流进行分类的方法，包括如下步骤：

2.根据权利要求1所述的使用端口号掩码对数据流进行分类的方法，其特征在于，所述N个分类执行不同的处理动作。

3.根据权利要求2所述的使用端口号掩码对数据流进行分类的方法，其特征在于，所述处理动作包括对数据流进行过滤或提供有差别的服务或实施路由策略。

4.根据权利要求1所述的使用端口号掩码对数据流进行分类的方法，其特征在于，所述端口号和端口号掩码表示为16位二进制数。

5.根据权利要求1所述的使用端口号掩码对数据流进行分类的方法，其特征在于，所述步骤A具体包括步骤：

A1、令StartP为所述已知端口号范围的起始端口；

其中，i为从1开始的整数。

6.使用端口号掩码对数据流进行分类的系统，包括端口分段模块、端口提取模块、掩码运算模块和比较模块，

所述端口分段模块，用于将已知端口号范围SrcP～DstP划分成N个分段，其中SrcP_n～DstP_n为N个分段中第n个分段，n≤N，每个分段对应一个端口号掩码，其中N为大于1的整数，N个分段对应N个分类；

其中，m从1开始，其取值范围为1～N。

7.根据权利要求6所述的使用端口号掩码对数据流进行分类的系统，其特征在于，所述N个分类执行不同的处理动作。

8.根据权利要求7所述的使用端口号掩码对数据流进行分类的系统，其特征在于，所述处理动作包括对数据流进行过滤或提供有差别的服务或实施路由策略。

9.根据权利要求6所述的使用端口号掩码对数据流进行分类的系统，其特征在于，所述端口号和端口号掩码表示为16位二进制数。

10.根据权利要求6所述的使用端口号掩码对数据流进行分类的系统，其特征在于，所述端口分段模块包括，掩码生成单元和端口号划分单元；

所述掩码生成单元，用于求取各分段掩码；

令StartP为所述已知端口号范围SrcP～DstP起始端口；

逐渐递增k，直到端口号范围SrcP_i～DstP_i超出范围StartP～DstP，此时以W_i＝2^k-1-1，将W_i取反后和所述已知端口号范围的起始值StartP执行与操作，得到端口号SrcP_i，将W_i和所述已知端口号范围的起始值StartP执行或操作，得到端口号DstP_i，SrcP_i～DstP_i就是已知端口号范围SrcP～DstP内的第i个分段，且W_i＝2^k-1-1就是该分段对应的端口号掩码；

设置StartP为DstP_i加1，若StartP未超出已知端口号范围上限DstP，则结束分段划分；否则，令W_i+1＝2^k-1，k从1开始，继续对剩余分段StartP～DstP划分第i+1个分段，直至StartP超出已知端口号范围上限DstP，结束分段划分；其中，i从1开始。