CN104243211A - 一种数据流的镜像方法及装置 - Google Patents

Abstract

本发明提供一种数据流的镜像方法及装置，所述方法包括：将从镜像源端口输出的数据流镜像至镜像目的端口，其中镜像目的端口用于向网络监控设备发送镜像源端口输出的数据，所述网络监控设备用于监控和分析镜像源端口输出的数据；在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据与所述镜像源端口对应的访问控制列表ACL过滤规则，将所述数据流中满足所述ACL过滤规则中的通过条件的数据，通过所述镜像目的端口发送给所述网络监控设备。通过本发明的方法能够对输出方向的数据流实现基于流的镜像，以及降低网络监控设备的负担。

Description

一种数据流的镜像方法及装置

技术领域

本发明涉及通信技术领域，尤其涉及一种数据流的镜像方法及装置。

背景技术

镜像，是指网络设备上用于将经过某端口的数据流复制并传输到网络监控设备的技术，该网络监控设备主要是用来监控和分析网络上的数据流。例如对应交换机上来说，利用镜像技术我们可以把交换机上需要被监控的端口(简称镜像源端口)的数据流复制一份，通过连接了网络监控设备的端口(简称镜像目的端口)，发送给网络监控设备，在网络监控设备上，可以进行网络监控与故障排除。

镜像又分为输入镜像和输出镜像，输入镜像即把从镜像源端口输入的数据复制到镜像目的端口，发送给网络监控设备，输出镜像是把从镜像源端口输出的数据复制到镜像目的端口，发送给网络监控设备。现有技术中镜像技术可以分为基于端口的镜像和基于流的镜像：

基于端口的镜像，即从镜像源端口输入或输出的所有数据，都镜像到镜像目的端口。然而，现有网络设备的端口速率越来越大(如1G/秒、10G/秒速率)，如果把经过端口的所有数据都镜像到网络监控设备，因为数据量相当庞大，增大了网络监控设备的分析监控负担。

基于流的镜像，即将符合特定特征的数据镜像到镜像目的端口，该技术可分为匹配和镜像操作两个过程，其中，匹配为匹配数据特征，镜像操作为将符合特定特征的数据镜像至镜像目的端口。基于流的镜像需要芯片支持，然而现有的大部分芯片只能实现对输入方向的数据流实现基于流的镜像，而对输出方向的数据流无法实现镜像操作这一过程，导致输出方向基于流的镜像无法实现。使得基于流的镜像因为缺少对输出方向上的数据流的监控而降低了对网络数据监控的全面性和准确性，从而使得基于流的镜像存在网络安全隐患。若将输出方向的数据流都镜像至网络监控设备，无疑又加重网络监控设备的负担。

发明内容

本发明的目的是提供一种数据流的镜像方法及装置，以克服相关技术中无法对输出方向的数据流实现基于流的镜像技术的问题，以及网络监控设备负担中的问题。

本发明提供一种数据流的镜像方法，包括：

将从镜像源端口输出的数据流镜像至镜像目的端口，其中镜像目的端口用于向网络监控设备发送镜像源端口输出的数据，所述网络监控设备用于监控和分析镜像源端口输出的数据；

在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据与所述镜像源端口对应的ACL(Access Control List，访问控制列表)过滤规则，将所述数据流中满足所述ACL过滤规则中的通过条件的数据，通过所述镜像目的端口发送给所述网络监控设备。

本发明还提供一种数据流的镜像装置，所述装置包括：

第一镜像模块，用于将从镜像源端口输出的数据流镜像至镜像目的端口，其中镜像目的端口用于向网络监控设备发送镜像源端口输出的数据，所述网络监控设备用于监控和分析镜像源端口输出的数据；

第二镜像模块，用于在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据与所述镜像源端口对应的ACL过滤规则，将所述数据流中满足所述ACL过滤规则中的通过条件的数据，通过所述镜像目的端口发送给所述网络监控设备。

本发明至少具有以下有益效果：在输出方向的数据处理逻辑中实现了基于流的镜像，提高了基于流的镜像的网络监控处理效率；通过将输出方向上的部分数据而非全部数据发送给网络监控设备进行分析，从而降低了网络监控设备的负担，节省了网络监控设备的处理资源。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本发明。

附图说明

图1为本发明实施例中数据流的镜像方法的示例性流程图；

图2为本发明实施例中数据流的镜像方法的另一示例性流程图；

图3为本发明实施例中数据流的镜像方法的另一示例性流程图；

图4为本发明实施例中数据流的镜像装置的示意图；

图5为本发明实施例中数据流的镜像装置的另一示意图。

具体实施方式

以下结合说明书附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明，并且在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

本发明实施例适用于交换机，路由器等的网络设备，在该网络设备需要进行输出方向的流镜像，但芯片又不能直接支持的情况下尤其适用。

本发明实施例提供一种数据流的镜像方法，在本发明实施例提供的技术方案中，通过将镜像源端口的数据都镜像至镜像目的端口，在镜像目的端口向网络监控设备发送数据之前，通过ACL过滤规则进行过滤，将满足条件的数据发送给网络监控设备。从而实现了在输出方向的数据处理逻辑中实现基于流的镜像，提高了基于流的镜像的网络监控处理效率；通过将输出方向上的部分数据而非全部数据发送给网络监控设备进行分析，从而降低了网络监控设备的负担，节省了网络监控设备的处理资源。下面对本发明实施例中数据流的镜像方法进行详细说明。

实施例一

如图1所示，为本发明实施例提供的数据流的镜像方法的示例性流程图，该方法包括以下步骤：

步骤101：将从镜像源端口输出的数据流镜像至镜像目的端口，其中镜像目的端口用于向网络监控设备发送镜像源端口输出的数据，所述网络监控设备用于监控和分析镜像源端口输出的数据。

其中，在一个实施例中，通过寄存器设置镜像源端口，并由寄存器记录该镜像源端口的镜像目的端口。例如，一个端口配置一寄存器，通过向寄存器下发镜像源端口信息和镜像目的端口信息，指示寄存器设置对应的端口为镜像源端口，并设置该镜像源端口的镜像目的端口。

步骤102：在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据与所述镜像源端口对应的ACL过滤规则，将所述数据流中满足所述ACL过滤规则中的通过条件的数据，通过所述镜像目的端口发送给所述网络监控设备。

其中，通过条件用于查找数据流中允许通过和镜像的数据，该通过条件中可以记录有允许通过的数据的数据特征。

为便于在输出方向的数据处理逻辑中，实现基于流的镜像，需要对ACL过滤规则进行配置，该配置方法包括以下步骤：

步骤A1：获取所述ACL的唯一标识。

步骤A2：从与所述唯一标识对应的ACL中获取初始过滤规则。

其中，在一个实施例中，初始过滤规则可以现有技术中的ACL过滤规则，而初始过滤规则只适用于对输出方向的数据流进行基于流的镜像，为使初始过滤规则适用于输出方向的数据流，因此需要执行步骤A3做必要的转换。

步骤A3：对所述初始过滤规则进行转换，生成适用于输出的数据流的过滤规则，并将转换后的所述过滤规则作为与所述镜像源端口对应的ACL过滤规则。

其中，在一个实施例中，步骤A3中对所述初始过滤规则进行转换，生成应用于输出的数据流的过滤规则可执行为：向所述每条初始过滤规则中添加镜像目的端口信息，将所述初始过滤规则的应用方向配置为输出方向，并配置过滤条件，生成适用于输出的数据流的过滤规则。通过转换生成ACL过滤规则，以便于实现对输出方向的数据流进行基于流的镜像。

其中，在一个实施例中，每一条过滤规则都有一个优先级，在配置过滤规则时，可以按照优先级从高到低的顺序配置各条过滤规则。其中过滤规则可以配置在用于处理输出方向的数据流的芯片上，例如，对于交换机来说，该过滤规则可以配置在交换机的MAC芯片上。

便于网络监控设备能够及时的发现异常情况，并做相应操作以保护网络安全，维持网络正常运行。

其中在一个实施例中，ACL过滤规则中不仅包括通过条件，还可以包括过滤条件。例如表1为一条示例性ACL过滤规则：标记为1的过滤规则为通过条件；标记为2的过滤规则为过滤条件代表过滤掉哪些数据。其中，标记为1的过滤规则和标记为2的过滤规则配合使用，且标记为1的过滤规则优先级高于标记为2的过滤规则时，该条过滤规则执行的结果便是允许源端口IP为1.1.1.1的数据通过，而其它数据都被过滤掉。

表1 过滤规则示例

标记	示例	示例说明
			1	permit sip＝1.1.1.1	允许源端口IP为1.1.1.1的数据通过
2	deny all，outport＝3	在镜像目的端口3过滤掉所有的数据

所述ACL过滤规则中还可以包括过滤条件时，该过滤条件用于查找出数据流中需要过滤掉的数据，该过滤条件中可以记录有需要过滤掉的数据的特征。当ACL过滤规则中包括过滤条件时，步骤102可执行为以下操作：

步骤B1：在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，将所述数据流与所述ACL过滤规则进行匹配。

步骤B2：将与所述ACL过滤规则中过滤条件匹配的数据过滤掉；并将与所述ACL过滤规则中通过条件匹配的数据保留。

步骤B3：将保留的数据通过所述镜像目的端口发送给所述网络监控设备。

其中，在一个实施例中，所述ACL过滤规则中每一条过滤规则可以对应一个优先级，此时，步骤B1可以执行为：在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据优先级由高到低的顺序，将所述数据流与所述ACL过滤规则逐条进行匹配。

通过过滤掉与过滤条件匹配的数据，保留与通过条件匹配的数据，实现对输出方向上的数据流的筛选，从而实现在输出方法向进行基于流的镜像。

综上，本发明实施例在输出方向的数据处理逻辑中实现了基于流的镜像，提高了网络监控处理效率；通过将输出方向上的部分数据而非全部数据发送给网络监控设备进行分析，从而降低了网络监控设备的负担，节省了网络监控设备的处理资源。

下面通过两个简单的实施例对本发明实施例中数据流的镜像方法进行详细说明。

实施例二

以对镜像源端口输出的数据中，仅镜像IP(Internet Protocol，网络之间互联的协议)为1.1.1.1的设备A的数据给网络监控设备，由该网络监控设备分析设备A在镜像源端口的输出数据为例，对本发明实施例中数据流的镜像方法进行详细说明，该方法包括配置阶段和输出方向基于流的镜像阶段：

配置阶段，如图2所示，包括以下步骤：

步骤201：获取所述ACL的唯一标识。

步骤202：从与所述唯一标识对应的ACL中获取初始过滤规则。

其中，该初始过滤规则例如为：permit sip＝1.1.1.1(可理解为通过条件为：允许IP为1.1.1.1的数据通过)。

步骤203：向所述每条初始过滤规则中添加镜像目的端口信息，将所述初始过滤规则的应用方向配置为输出方向，并配置过滤条件，生成适用于输出的数据流的过滤规则。并将转换后的所述过滤规则作为与所述镜像源端口对应的ACL过滤规则。

其中，继续沿用步骤202下的例子，假若端口3为镜像目的端口，则转换后生成的ACL过滤规则为：

permit sip＝1.1.1.1，outport＝3

deny all，outport＝3(可以理解为过滤条件，该语句表示该过滤条件在上一条过滤规则之后执行，表示在镜像目的端口过滤掉除IP为1.1.1.1的数据之外的所有数据)。

输出方向基于流的镜像阶段，如图3所示，包括以下步骤：

步骤301：将从镜像源端口输出的数据流镜像至镜像目的端口。

步骤302：在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，将所述数据流与所述ACL过滤规则进行匹配。

步骤303：将与所述ACL过滤规则中过滤条件匹配的数据过滤掉；并将与所述ACL过滤规则中通过条件匹配的数据保留。

其中，将属于IP为1.1.1.1的数据保留，将其他数据过滤掉。

步骤304：将保留的数据通过所述镜像目的端口发送给所述网络监控设备。

至此，可以看出，在镜像目的端口实现了仅将镜像源端口的IP为1.1.1.1的数据镜像给镜像目的端口。

实施例三

假设镜像源端口连接的是IP为2.2.2.2的服务器)，而该服务器为私有服务器，仅允许IP为1.1.1.1的1个用户访问，但实际发现该服务器被其他用户非法访问时，当需要查出非法访问的特征时，则需要对源镜像端口输出的数据中，目的IP为2.2.2.2的数据进行镜像，送由网络监控设备分析时，而此时源IP为1.1.1.1的合法用户的数据无需镜像，此时，若初始过滤规则为：

deny sip＝1.1.1.1

permit dip＝2.2.2.2

则转换后生成的ACL过滤规则为(其中，从上到下的顺序为优先级从高到底的顺序)：

deny sip＝1.1.1.1，outport＝3(滤除源IP为1.1.1.1的数据)

permit dip＝2.2.2.2，outport＝3(保留目的IP为2.2.2.2的数据)

deny all，outport＝3

配置好ACL过滤规则后，在镜像目的端口将镜像源端口的数据发送给网络监控设备之前，根据ACL过滤规则实现仅将需要的用户的数据发送给网络监控设备，便于网络监控设备对该数据进行分析，查出非法访问的特征。

本发明实施例中还提供一种数据流的镜像装置，如图4所示，为本发明实施例中数据流的镜像装置的示意图，该装置包括：

第一镜像模块401，用于将从镜像源端口输出的数据流镜像至镜像目的端口，其中镜像目的端口用于向网络监控设备发送镜像源端口输出的数据，所述网络监控设备用于监控和分析镜像源端口输出的数据；

第二镜像模块402，用于在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据与所述镜像源端口对应的访问控制列表ACL过滤规则，将所述数据流中满足所述ACL过滤规则中的通过条件的数据，通过所述镜像目的端口发送给所述网络监控设备。

其中，在一个实施例中，如图5所示，所述装置还包括：

标识获取模块403，用于获取所述ACL的唯一标识；

规则获取模块404，用于从与所述唯一标识对应的ACL中获取初始过滤规则；

转换模块405，用于对所述初始过滤规则进行转换，生成适用于输出的数据流的过滤规则，并将转换后的所述过滤规则作为与所述镜像源端口对应的ACL过滤规则。

其中，在一个实施例中，所述转换模块405用于向所述每条初始过滤规则中添加镜像目的端口信息，将所述初始过滤规则的应用方向配置为输出方向，并配置过滤条件，生成适用于输出的数据流的过滤规则。

其中，在一个实施例中，如图5所示，所述第二镜像模块402包括：

匹配单元406，用于所述ACL过滤规则中还包括过滤条件时，在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，将所述数据流与所述ACL过滤规则进行匹配；

处理单元407，用于将与所述ACL过滤规则中过滤条件匹配的数据过滤掉；并将与所述ACL过滤规则中通过条件匹配的数据保留；

镜像单元408，用于将保留的数据通过所述镜像目的端口发送给所述网络监控设备。

其中，在一个实施例中，所述处理单元407用于所述ACL过滤规则中每一条过滤规则对应一个优先级时，在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据优先级由高到低的顺序，将所述数据流与所述ACL过滤规则逐条进行匹配。

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种数据流的镜像方法，其特征在于，所述方法包括：

将从镜像源端口输出的数据流镜像至镜像目的端口，其中镜像目的端口用于向网络监控设备发送镜像源端口输出的数据，所述网络监控设备用于监控和分析镜像源端口输出的数据；

在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据与所述镜像源端口对应的访问控制列表ACL过滤规则，将所述数据流中满足所述ACL过滤规则中的通过条件的数据，通过所述镜像目的端口发送给所述网络监控设备。

2.根据权利要求1所述的方法，其特征在于，所述ACL过滤规则根据以下方法进行配置：

获取所述ACL的唯一标识；

从与所述唯一标识对应的ACL中获取初始过滤规则；

对所述初始过滤规则进行转换，生成适用于输出的数据流的过滤规则，并将转换后的所述过滤规则作为与所述镜像源端口对应的ACL过滤规则。

3.根据权利要求2所述的方法，其特征在于，所述对所述初始过滤规则进行转换，生成应用于输出的数据流的过滤规则，包括：

向所述每条初始过滤规则中添加镜像目的端口信息，将所述初始过滤规则的应用方向配置为输出方向，并配置过滤条件，生成适用于输出的数据流的过滤规则。

4.根据权利要求1-3中任一所述的方法，其特征在于，所述在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据与所述镜像源端口对应的ACL过滤规则，将所述数据流中满足所述ACL过滤规则中的通过条件的数据，通过所述镜像目的端口发送给所述网络监控设备，包括：

在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，将所述数据流与所述ACL过滤规则进行匹配；

将与所述ACL过滤规则中过滤条件匹配的数据过滤掉；并将与所述ACL过滤规则中通过条件匹配的数据保留；

将保留的数据通过所述镜像目的端口发送给所述网络监控设备。

5.根据权利要求4所述的方法，其特征在于，所述ACL过滤规则中每一条过滤规则对应一个优先级，所述在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，将所述数据流与所述ACL过滤规则进行匹配，包括：

在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据优先级由高到低的顺序，将所述数据流与所述ACL过滤规则逐条进行匹配。

6.一种数据流的镜像装置，其特征在于，所述装置包括：

第一镜像模块，用于将从镜像源端口输出的数据流镜像至镜像目的端口，其中镜像目的端口用于向网络监控设备发送镜像源端口输出的数据，所述网络监控设备用于监控和分析镜像源端口输出的数据；

第二镜像模块，用于在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据与所述镜像源端口对应的访问控制列表ACL过滤规则，将所述数据流中满足所述ACL过滤规则中的通过条件的数据，通过所述镜像目的端口发送给所述网络监控设备。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

标识获取模块，用于获取所述ACL的唯一标识；

规则获取模块，用于从与所述唯一标识对应的ACL中获取初始过滤规则；

转换模块，用于对所述初始过滤规则进行转换，生成适用于输出的数据流的过滤规则，并将转换后的所述过滤规则作为与所述镜像源端口对应的ACL过滤规则。

8.根据权利要求6所述的装置，其特征在于，所述转换模块用于向所述每条初始过滤规则中添加镜像目的端口信息，将所述初始过滤规则的应用方向配置为输出方向，并配置过滤条件，生成适用于输出的数据流的过滤规则。

9.根据权利要求6-8中任一所述的装置，其特征在于，所述第二镜像模块包括：

匹配单元，用于所述ACL过滤规则中还包括过滤条件时，在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，将所述数据流与所述ACL过滤规则进行匹配；

处理单元，用于将与所述ACL过滤规则中过滤条件匹配的数据过滤掉；并将与所述ACL过滤规则中通过条件匹配的数据保留；

镜像单元，用于将保留的数据通过所述镜像目的端口发送给所述网络监控设备。

10.根据权利要求9所述的装置，其特征在于，所述处理单元用于所述ACL过滤规则中每一条过滤规则对应一个优先级时，在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据优先级由高到低的顺序，将所述数据流与所述ACL过滤规则逐条进行匹配。