CN104244217A - 实现用户数据实时同步的方法和系统 - Google Patents

Abstract

本发明公开了实现用户数据实时同步的方法和系统。AAA服务器接收用户的认证信息；在认证成功后，AAA服务器通过信令接口向CGN设备发送该用户的私有IPv4地址或公有IPv6地址、以及源TCP/UDP端口；CGN设备形成映射表，该映射表包括用户私有IPv4地址或者公有IPv6地址、源TCP/UDP端口、经CGN设备映射后的公有IPv4地址、以及映射后的TCP/UDP端口，并向AAA服务器返回该映射表；AAA服务器向DPI设备发送用户帐号与公有IPv4地址的对应关系。本发明实现了用户数据的实时同步。

Description

实现用户数据实时同步的方法和系统

技术领域

本发明属于IP（互联网协议）领域，尤其涉及实现用户数据实时同步的方法和系统。

背景技术

在公有IPv4（互联网协议版本4）地址逐渐耗尽的情况下，运营商只能通过给用户分配私有IPv4地址，或者IPv6（互联网协议版本6）地址来完成用户的网络接入。

考虑到目前绝大部分的互联网内容还都是基于IPv4，在给用户分配这样的地址后，运营商还需要考虑如何通过部署NAT（NetworkAddress Translation，网络地址转换）设备来实现私有IPv4地址或者IPv6地址到公有IPv4地址的转换。

一般情况下，运营商会把CGN（Carrier Grade NAT，电信级网络地址转换）设备集中部署在城域网出口。为了对网络流量进行深入的分析和控制，运营商还会在城域网出口集中部署DPI（Deep PacketInspection，深度包检测）设备。DPI设备可根据用户帐号以及用户上线时AAA（认证、授权和计费）服务器发给DPI设备的帐号与IP地址的对应关系，提前下发针对该用户的流量分析和控制策略。

在集中式CGN设备引入之前，AAA服务器分配给用户的源地址，与DPI设备看到的数据流源地址是一一对应的，这样就可以实现DPI设备分析、控制策略与用户上下线过程的实时同步；而在引入集中式CGN设备后，AAA服务器下发给用户的是私有IPv4地址，或者是IPv6地址，但DPI设备看到的是经CGN设备转换后的公有IPv4地址，如何将用户帐号与经CGN设备转换后的公有IPv4地址对应起来就成了一个必须要解决的问题。

目前针对该问题的解决方案，是在CGN设备收到用户发起的数据流，创建相应的NAT映射表项后，由CGN设备向一个Syslog Server进行映射表上报，之后再由Syslog Server向DPI设备上报，这样DPI设备就可以根据用户帐号、用户私有IPv4地址或用户IPv6地址、CGN映射后地址间的对应关系进行正确的策略执行。

上述方案中映射表的建立是由用户数据流触发，无法实现用户数据实时同步。所有这一切都会影响后续流量分析和控制效果的准确性。即，会造成DPI设备所下发的用户分析与控制策略执行的滞后；另外，对应映射表的删除只能由CGN设备的老化时间决定，也会造成对应策略撤销的滞后。

发明内容

鉴于以上，本发明提出实现用户数据实时同步的方法和系统。

根据本发明一方面，提出实现用户数据实时同步的系统，包括：

认证、授权和计费（AAA）服务器，配置于接收用户的认证信息，包括用户账号和密码，并在认证成功后，通过信令接口向部署在城域网出口的电信级网络地址转换（CGN）设备发送该用户的私有互联网协议版本4（IPv4）地址或公有互联网协议版本6（IPv6）地址、以及源传输控制协议（TCP）/用户数据报协议（UDP）端口；接收CGN设备发送的映射表，并向深度包检测（DPI）设备发送用户帐号与公有IPv4地址的对应关系；

CGN设备，配置于形成映射表，该映射表包括用户私有IPv4地址或者公有IPv6地址、源TCP/UDP端口、经CGN设备映射后的公有IPv4地址、以及映射后的TCP/UDP端口，并向AAA服务器返回该映射表；

DPI设备，配置于接收并保存AAA服务器发送的用户帐号与公有IPv4地址的对应关系。

在本发明的一实施例中，所述实现用户数据实时同步的系统，包括：DPI设备下发针对公有IPv4地址、端口以及协议的控制策略。

在本发明的一实施例中，所述实现用户数据实时同步的系统，包括：AAA服务器通知DPI设备用户已正常下线；AAA服务器通过信令接口向CGN设备发送撤销掉对应的映射表的通知，在该撤销通知中包括私有IPv4地址或者公有IPv6地址。

在本发明的一实施例中，所述实现用户数据实时同步的系统，包括：AAA服务器通知DPI设备撤销针对该映射后公有IPv4地址的控制策略。

在本发明的一实施例中，所述实现用户数据实时同步的系统，包括：AAA服务器与CGN设备之间的信令接口通过TCP或者UDP协议来承载。

根据本发明另一方面，还提出实现用户数据实时同步的方法，包括：

AAA服务器接收用户的认证信息，包括用户账号和密码；

在认证成功后，AAA服务器通过信令接口向部署在城域网出口的CGN设备发送该用户的私有IPv4地址或公有IPv6地址、以及源TCP/UDP端口；

CGN设备形成映射表，该映射表包括用户私有IPv4地址或者公有IPv6地址、源TCP/UDP端口、经CGN设备映射后的公有IPv4地址、以及映射后的TCP/UDP端口，并向AAA服务器返回该映射表；

AAA服务器接收CGN设备发送的映射表，并向DPI设备发送用户帐号与公有IPv4地址的对应关系。

在本发明的一实施例中，所述实现用户数据实时同步的方法，包括：DPI设备下发针对公有IPv4地址、端口以及协议的控制策略。

在本发明的一实施例中，所述实现用户数据实时同步的方法，包括：用户正常下线后，AAA服务器通知DPI设备用户已正常下线；AAA服务器通过信令接口向CGN设备发送撤销掉对应的映射表的通知，在该撤销通知中包括私有IPv4地址或者公有IPv6地址。

在本发明的一实施例中，所述实现用户数据实时同步的方法，包括：AAA服务器通知DPI设备撤销针对该映射后公有IPv4地址的控制策略。

在本发明的一实施例中，所述实现用户数据实时同步的方法，包括：AAA服务器与CGN设备之间的信令接口通过TCP或者UDP协议来承载。

本发明在网络中需要部署集中式CGN设备的情况下，只要用户通过认证，在其数据流发送之前，就会主动让CGN设备建立对应的映射表，让DPI设备建立用户帐号与经CGN设备转换后的公有IPv4地址的对应关系。因此，上述过程的实现无需用户的数据流触发，并先于用户数据流而发生，实现了用户数据的实时同步。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1所示为本发明一实施例中实现用户数据实时同步的方法流程图。

图2所示为本发明另一实施例中实现用户数据实时同步的方法流程图。

图3所示为本发明一实施例中实现用户数据实时同步的系统架构示意图。

具体实施方式

现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置和数值不限制本发明的范围。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说明书的一部分。

在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

图1所示为本发明一实施例中实现用户数据实时同步的方法流程图。该方法包括以下步骤：

步骤11，AAA服务器接收用户的认证信息，包括用户账号和密码。

步骤12，在认证成功后，AAA服务器通过信令接口向部署在城域网出口的CGN设备发送该用户的私有IPv4地址或公有IPv6地址、以及源TCP（Transmission Control Protocol，传输控制协议）/UDP（User Datagram Protocol，用户数据报协议）端口。

AAA服务器与CGN设备之间的信令接口通过TCP或者UDP协议来承载。

步骤13，CGN设备形成映射表，该映射表包括用户私有IPv4地址或者公有IPv6地址、源TCP/UDP端口、经CGN设备映射后的公有IPv4地址、以及映射后的TCP/UDP端口，并向AAA服务器返回该映射表。

步骤14，AAA服务器接收CGN设备发送的映射表，并向DPI设备发送用户帐号与公有IPv4地址的对应关系。

在本发明的另一实施例中，还如图1所示，在步骤14之后，还包括如下步骤：

步骤15，DPI设备下发针对公有IPv4地址、端口以及协议的控制策略。

现有技术中，映射表的信息是由用户的数据流触发产生的。DPI设备在没有收到映射表的相关信息时，不会对用户的数据流进行控制，这样就会造成收到映射表相关信息之前的几个数据流被漏处理。

本发明在网络中需要部署集中式CGN设备的情况下，只要用户通过认证，在其数据流发送之前，就会主动让CGN设备建立映射表，让DPI设备建立用户帐号与经CGN设备转换后的公有IPv4地址的对应关系。因此，上述过程的实现无需用户的数据流触发，并先于用户数据流而发生，实现了用户数据的实时同步。这样就保证了后续用户数据流分析和控制策略执行的及时性，避免了现有系统引起的数据流分析和控制策略执行的滞后性。

图2所示为本发明另一实施例中实现用户数据实时同步的方法流程图。该方法包括以下步骤：

步骤21，用户正常下线后，AAA服务器通知DPI设备用户已正常下线。

步骤22，AAA服务器通过信令接口向CGN设备发送撤销掉对应的映射表的通知，在该撤销通知中包括私有IPv4地址或者公有IPv6地址。本发明中，CGN设备撤销对应的映射表，无需等其自行老化时间。

在本发明的另一实施例中，还如图2所示，在步骤22之后，还包括如下步骤：

步骤23，AAA服务器通知DPI设备撤销针对该映射后公有IPv4地址的控制策略。

现有技术中，策略的撤销是通过CGN设备的老化时间来完成的，即用户虽然下线了，但DPI设备上针对该用户的策略还会保留一段时间，直到到达CGN设备的老化时间。本发明可以实现用户一下线，就主动由AAA服务器通知CGN设备和DPI设备，从而实现控制策略撤销的及时性，避免了现有系统引起的控制策略撤销的滞后性。

在用户非正常下线时，AAA服务器不知道用户何时下线，只能通过现有系统的老化时间（老化时间是指一段时间，比如5分钟内，没有发起于本地址的流量，就认为到达老化时间）来完成这些策略的撤销。

图3所示为本发明一实施例中实现用户数据实时同步的系统架构示意图。该系统包括CGN设备、DPI设备和AAA服务器。

在用户通过BRAS（Broadband Remote Access Server，宽带远程接入服务器）设备拨号上网时，BRAS设备向AAA服务器发送用户的认证信息，包括用户账号和密码。AAA服务器部署在IDC（InternetData Center，互联网数据中心）机房内。

在用户认证成功后，AAA服务器通过信令接口向部署在城域网出口的CGN设备发送该用户的私有IPv4地址或公有IPv6地址、以及源TCP/UDP端口。AAA服务器与CGN设备之间的信令接口为新定义的接口，可通过TCP或者UDP协议来承载。

CGN设备在收到一条源地址为私有IPv4地址或者公有IPv6地址的数据流后，就将该私有IPv4地址或公有IPv6地址、以及源TCP/UDP端口映射成其公有地址池的一个公有IPv4地址、以及映射后的TCP/UDP端口，并将该映射条目保存在CGN设备中，这些映射条目形成的就是NAT映射表。即，CGN设备形成的映射表包括用户私有IPv4地址（User IP）或者公有IPv6地址、源TCP/UDP端口、经CGN设备映射后的公有IPv4地址（NAT_Pub IP）、以及映射后的TCP/UDP端口（NAT Port Range）。CGN设备生成NAT映射表项后，向AAA服务器返回该映射表。

AAA服务器收到映射表后，向DPI设备发送用户帐号与公有IPv4地址的对应关系。DPI设备接收并保存上述对应关系。

本发明的另一实施例中，DPI设备还下发针对公有IPv4地址、端口以及协议的控制策略。

DPI设备当前主要用来分析用户的上网行为，DPI设备监控城域网CR（Core Router，核心路由器）上行骨干网的链路就可以监测到用户的访问请求，并且能够准确分析出其监测到的流量是哪个用户的，并下发针对公有IPv4地址、端口以及协议的控制策略。控制策略主要是针对用户的数据流。要控制某个用户的某类数据流，就需要知道这个用户的数据流是通过哪个公有IPv4地址、端口发出、以及是什么样的协议。比如说用户A上线后的私有IPv4地址是10.0.0.1，转换后的公有IPv4地址为191.0.0.1，则针对公有IPv4地址为191.0.0.1，TCP80端口的数据流进行控制，就可以控制该用户的所有上网数据流。

现有技术中，映射表的信息是由用户的数据流触发产生的，即根据用户数据流的第一个包来生成的。由于映射表的生成以及传递需要时间，在这段同步过程中，这个数据流的前面几个数据包已经通过了DPI设备，DPI设备在没有收到这些映射表的相关信息时，不会对用户的数据流进行控制，这样就会造成收到映射表相关信息之前的几个数据流被漏处理。

本发明在网络中需要部署集中式CGN设备的情况下，只要用户通过认证，在其数据流发送之前，就会主动让CGN设备建立映射表，让DPI设备建立用户帐号与经CGN设备转换后的公有IPv4地址的对应关系。因此，上述过程的实现无需用户的数据流触发，并先于用户数据流而发生，这样就保证了后续用户数据流分析和控制策略执行的及时性，避免了现有系统引起的数据流分析和控制策略执行的滞后性。

本发明的另一实施例中，在用户正常下线时，AAA服务器通知DPI设备用户已正常下线。

AAA服务器通过信令接口向CGN设备发送撤销掉对应的映射表的通知，在该撤销通知中包括源地址（私有IPv4地址或者公有IPv6地址）。由于用户的AAA记录中包含源地址，并在发送的撤销通知中携带源地址信息，而CGN设备形成的映射表中也包含源地址信息，因此，CGN设备根据源地址进行信息比对，就可以在CGN设备中删除源地址是已下线用户的映射条目。本发明中，CGN设备撤销对应的映射表，无需等其自行老化时间。

本发明的另一实施例中，AAA服务器还通知DPI设备撤销针对该映射后公有IPv4地址的控制策略，从而实现策略撤销的及时性。

现有技术中，策略的撤销是通过CGN设备的老化时间来完成的，即用户虽然下线了，但DPI设备上针对该用户的策略还会保留一段时间，直到到达CGN设备的老化时间。本发明可以实现用户一下线，就主动由AAA服务器通知CGN设备和DPI设备，从而实现控制策略撤销的及时性，避免了现有系统引起的控制策略撤销的滞后性。

至此，已经详细描述了本发明。为了避免遮蔽本发明的构思，没有描述本领域所公知的一些细节。本领域技术人员根据上面的描述，完全可以明白如何实施这里公开的技术方案。

可能以许多方式来实现本发明的方法以及装置。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本发明的方法以及装置。用于所述方法的步骤的上述顺序仅是为了进行说明，本发明的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本发明实施为记录在记录介质中的程序，这些程序包括用于实现根据本发明的方法的机器可读指令。因而，本发明还覆盖存储用于执行根据本发明的方法的程序的记录介质。

虽然已经通过示例对本发明的一些特定实施例进行了详细说明，但是本领域的技术人员应该理解，以上示例仅是为了进行说明，而不是为了限制本发明的范围。本领域的技术人员应该理解，可在不脱离本发明的范围和精神的情况下，对以上实施例进行修改。本发明的范围由所附权利要求来限定。

Claims (10)

1.实现用户数据实时同步的系统，其特征在于，包括：

认证、授权和计费（AAA）服务器，配置于接收用户的认证信息，包括用户账号和密码，并在认证成功后，通过信令接口向部署在城域网出口的电信级网络地址转换（CGN）设备发送该用户的私有互联网协议版本4（IPv4）地址或公有互联网协议版本6（IPv6）地址、以及源传输控制协议（TCP）/用户数据报协议（UDP）端口；接收CGN设备发送的映射表，并向深度包检测（DPI）设备发送用户帐号与公有IPv4地址的对应关系；

CGN设备，配置于形成映射表，该映射表包括用户私有IPv4地址或者公有IPv6地址、源TCP/UDP端口、经CGN设备映射后的公有IPv4地址、以及映射后的TCP/UDP端口，并向AAA服务器返回该映射表；

DPI设备，配置于接收并保存AAA服务器发送的用户帐号与公有IPv4地址的对应关系。

2.根据权利要求1所述实现用户数据实时同步的系统，其特征在于，包括：

DPI设备下发针对公有IPv4地址、端口以及协议的控制策略。

3.根据权利要求1或2所述实现用户数据实时同步的系统，其特征在于，包括：

AAA服务器通知DPI设备用户已正常下线；

AAA服务器通过信令接口向CGN设备发送撤销掉对应的映射表的通知，在该撤销通知中包括私有IPv4地址或者公有IPv6地址。

4.根据权利要求2所述实现用户数据实时同步的系统，其特征在于，包括：

AAA服务器通知DPI设备撤销针对该映射后公有IPv4地址的控制策略。

5.根据权利要求1或2所述实现用户数据实时同步的系统，其特征在于，包括：

AAA服务器与CGN设备之间的信令接口通过TCP或者UDP协议来承载。

6.实现用户数据实时同步的方法，其特征在于，包括：

AAA服务器接收用户的认证信息，包括用户账号和密码；

在认证成功后，AAA服务器通过信令接口向部署在城域网出口的CGN设备发送该用户的私有IPv4地址或公有IPv6地址、以及源TCP/UDP端口；

CGN设备形成映射表，该映射表包括用户私有IPv4地址或者公有IPv6地址、源TCP/UDP端口、经CGN设备映射后的公有IPv4地址、以及映射后的TCP/UDP端口，并向AAA服务器返回该映射表；

AAA服务器接收CGN设备发送的映射表，并向DPI设备发送用户帐号与公有IPv4地址的对应关系。

7.根据权利要求6所述实现用户数据实时同步的方法，其特征在于，包括：

DPI设备下发针对公有IPv4地址、端口以及协议的控制策略。

8.根据权利要求6或7所述实现用户数据实时同步的方法，其特征在于，包括：

用户正常下线后，AAA服务器通知DPI设备用户已正常下线；

AAA服务器通过信令接口向CGN设备发送撤销掉对应的映射表的通知，在该撤销通知中包括私有IPv4地址或者公有IPv6地址。

9.根据权利要求7所述实现用户数据实时同步的方法，其特征在于，包括：

AAA服务器通知DPI设备撤销针对该映射后公有IPv4地址的控制策略。

10.根据权利要求6或7所述实现用户数据实时同步的方法，其特征在于，包括：

AAA服务器与CGN设备之间的信令接口通过TCP或者UDP协议来承载。