CN104618231A - 云端Wi-fi系统中的深度报文识别方法、装置和系统 - Google Patents

Abstract

本发明提供了一种云端Wi-fi系统中的深度报文识别方法、装置和系统。其中，该方法包括：云AC对AP相连的用户终端完成认证后，向AP下发认证通过的通知，该通知携带有深度报文识别标识，以使AP继续上传用户终端的报文；云AC通过AP接收用户终端当前数据流的报文；云AC通过报文识别设备对数据流的报文进行深度报文识别，其中，该报文识别设备设置于AC上或独立设置于云端；云AC确定报文识别设备完成数据流的深度报文识别后，通知AP对数据流采用本地转发模式。通过本发明，缓解了现有云端Wi-fi系统无法有效实施DPI技术的问题，提升了系统的性能。

Description

云端Wi-fi系统中的深度报文识别方法、装置和系统

技术领域

本发明涉及通信领域，具体而言，涉及云端Wi-fi系统中的深度报文识别方法、装置和系统。

背景技术

智能管道Wi-fi(Wi-Fi Alliance，无线高保真的简称)系统是指覆盖广泛、接入灵活、资源快捷指配、质量按需保障，且能够提供差异化服务的Wi-fi系统，同时其方便运营管理，方便部署。其具备DPI(Deep Packet Inspection，深度报文检测/识别)特性，能够对用户上网行为进行精细化控制和回馈。

为了提供质量保障和差异化服务，需要对用户流量进行DPI，在DPI基础上可实现对用户应用级别的带宽分配策略，也为大数据分析提供了一定基础。

随着Wi-fi网络建设规模的日益庞大，现有城域网核心架构承载WLAN(Wireless Local Area Networks，无线局域网络)业务的时暴露出资源利用效率低，可扩展性差等问题，同时为了减少终端客户的投资成本，将Wi-fi系统的AC(Access Controller，接入控制器)部署在云端，这种Wi-fi系统称为云端Wi-fi系统或云部署Wi-fi系统。

传统的Wi-fi系统智能管道技术与AC主路模式匹配使用，用户的所有业务流量都要经过AC转发，DPI部署在主路模式AC上，对经过的用户流量进行应用层识别，然后匹配控制策略下发到AP(Access Point，接入点)端，由AP端实现QoS(Quality of Service，服务质量)控制，同时识别结果也能用于进一步的大数据分析，提供更进一步的差异化服务。然而对于在云端部署AC的Wi-fi系统(即上述云端Wi-fi系统)，DPI技术还无法做到云端AC主路模式，因为AP与AC之间跨越了Internet(以太网)，如果采用主路模式，网络带宽和延迟无法保证用户体验，这种情况下，AP需要采用本地转发模式；但是AP受内存和CPU运算资源的限制，并且越来越多的新特性和策略施加在AP上，现有网络中部署的AP已经不堪重负，无法实施DPI这种量级的特性，即使高性能的AP能够实施DPI，零散在各个AP上的DPI信息难于汇聚用于大数据分析与使用，所以目前现有云端Wi-fi系统无法满足智能管道要求。

发明人在研究中发现，现有云端Wi-fi系统存在无法有效实施DPI技术的问题。

发明内容

有鉴于此，本发明实施例的目的在于提供云端Wi-fi系统中的深度报文识别方法、装置和系统，以缓解现有云端Wi-fi系统无法有效实施DPI技术的问题。

第一方面，本发明实施例提供了一种云端Wi-fi系统中的深度报文识别方法，包括：云AC对AP相连的用户终端完成认证后，向AP下发认证通过的通知，该通知携带有深度报文识别标识，以使AP继续上传用户终端的报文；云AC通过AP接收用户终端当前数据流的报文；云AC通过报文识别设备对数据流的报文进行深度报文识别，其中，该报文识别设备设置于AC上或独立设置于云端；云AC确定报文识别设备完成数据流的深度报文识别后，通知AP对数据流采用本地转发模式。

结合第一方面，本发明实施例提供了第一方面的第一种可能的实施方式，上述方法还包括：当云AC接收到的数据流的报文个数达到设定阈值或云AC得到数据流的深度报文识别结果时，云AC确定报文识别设备完成数据流的深度报文识别。

结合第一方面，本发明实施例提供了第一方面的第二种可能的实施方式，上述方法还包括：云AC根据数据流的深度报文识别结果确定用户终端的流量管理策略，将流量管理策略下发给AP。

结合第一方面，本发明实施例提供了第一方面的第三种可能的实施方式，上述方法还包括：云AC根据数据流的深度报文识别结果和预先获取的用户终端的位置与身份信息确定用户终端的流量管理策略，将流量管理策略下发给AP。

第二方面，本发明实施例还提供了另一种云端Wi-fi系统中的深度报文识别方法，包括：AP接收云AC下发的用户终端认证通过的通知，该通知携带有深度报文识别标识；AP根据深度报文识别标识继续上传用户终端当前数据流的报文，以使云AC进行深度报文识别；当AP接收到云AC下发的对数据流采用本地转发模式的通知时，AP采用本地转发数据流的报文。

结合第二方面，本发明实施例提供了第二方面的第一种可能的实施方式，上述方法还包括：当AP接收到用户终端的另一条数据流的报文时，将该另一条数据流的报文上传给云AC进行深度报文识别。

结合第二方面，本发明实施例提供了第二方面的第二种可能的实施方式，上述方法还包括：AP接收云AC下发的流量管理策略，按照流量管理策略对用户终端的流量进行处理。

第三方面，本发明实施例提供了一种云端Wi-fi系统中的深度报文识别装置，该装置设置于云AC上，包括：认证通知下发模块，用于对AP相连的用户终端完成认证后，向AP下发认证通过的通知，该通知携带有深度报文识别标识，以使AP继续上传用户终端的报文；报文接收模块，用于通过AP接收用户终端当前数据流的报文；报文识别模块，用于通过报文识别设备对数据流的报文进行深度报文识别，其中，该报文识别设备设置于AC上或独立设置于云端；识别处理模块，用于确定报文识别设备完成数据流的深度报文识别后，通知AP对数据流采用本地转发模式。

第四方面，本发明实施例提供了另一种云端Wi-fi系统中的深度报文识别装置，该装置设置于AP上，包括：认证通知接收模块，用于接收云AC下发的用户终端认证通过的通知，通知携带有深度报文识别标识；报文上传模块，用于根据深度报文识别标识继续上传用户终端当前数据流的报文，以使云AC进行深度报文识别；报文转发模块，用于当接收到云AC下发的对数据流采用本地转发模式的通知时，采用本地转发数据流的报文。

第五方面，本发明实施例提供了一种云端Wi-fi系统，包括上述设置于AC上的装置和上述设置于AP上的装置。

本发明实施例提供的方法、装置及系统在用户终端通过认证后，不是直接通知AP采用本地转发模式转发该用户终端的报文，而是指示AP继续上传该用户终端的报文，这样AC将可以继续接收到该用户终端的报文，再通过报文识别设备对接收的这些报文进行深度报文识别，识别完成后，通知AP对该用户终端的当前数据流进行本地转发，这种方式能够在不影响用户体验的前提下，实现DPI技术，有效缓解了现有云端Wi-fi系统无法有效实施DPI技术的问题。

进一步地，通过应用DPI技术，AC能够获取到用户终端当前数据流的相关信息，便于制定合理的流量管理策略，完善云端Wi-fi系统的智能管道功能，提升了系统的性能。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1示出了本发明实施例所提供的一种云端Wi-fi系统的结构示意图；

图2示出了本发明实施例所提供的一种云端Wi-fi系统中的深度报文识别方法的流程图；

图3示出了本发明实施例所提供的另一种云端Wi-fi系统中的深度报文识别方法的流程图；

图4示出了本发明实施例所提供的一种云端Wi-fi系统中的深度报文识别方法的交互示意图；

图5示出了本发明实施例所提供的一种云端Wi-fi系统中的深度报文识别装置的结构框图；

图6示出了本发明实施例所提供的另一种云端Wi-fi系统中的深度报文识别方法的装置的结构框图；

图7示出了本发明实施例所提供的第三种云端Wi-fi系统中的深度报文识别装置的结构框图。

具体实施方式

下面将结合本发明实施例中附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

参见图1所示的云端Wi-fi系统的结构示意图，其中，AP与多个UE(用户终端)相连，云AC通过CAPWAP(Control AndProvisioning of Wireless Access Points Protocol Specification，无线接入点的控制和配置协议)与各个AP通信，AP完成与云AC间的通信后可以直接介入以太网，完成UE的通信需求。

本发明实施例以图1所示的云端Wi-fi系统为例进行说明，具体应用本发明提供的方案时，并不局限于图1所示的一种系统结构，还可以采用其它变形的系统结构，本发明实施例不一一赘述。

参见图2所示的云端Wi-fi系统中的深度报文识别方法的流程图，该方法以从云AC侧描述为例进行说明，具体包括以下步骤：

步骤S202，云AC对AP相连的用户终端完成认证后，向AP下发认证通过的通知，该通知携带有深度报文识别标识，以使AP继续上传用户终端的报文；该深度报文识别标识可以是云AC和AP预先约定的，也可以是系统协议预先设置的，该标识可以设置在认证通过的通知的报文头中，可以是报文头中的预留字段，也可以设置在其它字段，本发明实施例对此不进行具体限制。

本方法通过在认证通过的通知中携带深度报文识别标识，可以使AP确定出该云AC具有DPI能力，如果该认证通过的通知中未携带深度报文识别标识，则说明该云AC为传统的云AC，AP将按照现有技术中的方式处理后续报文。

步骤S204，云AC通过上述AP接收用户终端当前数据流的报文；

步骤S206，云AC通过报文识别设备对上述数据流的报文进行深度报文识别(即DPI)，其中，该报文识别设备设置于AC上或独立设置于云端；

如果报文识别设备独立设置于云端，具体实现时，AC可以复制一份报文发送给该报文识别设备。

步骤S208，云AC确定上述报文识别设备完成上述数据流的深度报文识别后，通知该AP对上述数据流采用本地转发模式。

本发明实施例的方法在用户终端通过认证后，不是直接通知AP采用本地转发模式转发该用户终端的报文，而是指示AP继续上传该用户终端的报文，这样AC将可以继续接收到该用户终端的报文，再通过报文识别设备对接收的这些报文进行深度报文识别，识别完成后，通知AP对该用户终端的当前数据流进行本地转发，这种方式能够在不影响用户体验的前提下，实现DPI技术，有效缓解了现有云端Wi-fi系统无法有效实施DPI技术的问题。同时，通过应用DPI技术，AC能够获取到用户终端当前数据流的相关信息，为制定合理的流量管理策略提供了可靠的数据保障，进而完善了云端Wi-fi系统的智能管道功能，提升了系统的性能。

上述云AC可以通过以下方式确定报文识别设备是否完成数据流的深度报文识别：当云AC接收到的数据流的报文个数达到设定阈值(该阈值可以是小于10的自然数)或云AC得到上述数据流的深度报文识别结果时，云AC确定报文识别设备完成数据流的深度报文识别；本实施例通过设定接收报文的个数阈值，可以使用户终端的报文无需均经过云AC，仅是很小的一部分经过云AC，保证了用户的体验。

上述方法还包括：云AC根据上述数据流的深度报文识别结果确定用户终端的流量管理策略，将流量管理策略下发给AP。或者，云AC根据上述数据流的深度报文识别结果和预先获取的用户终端的位置与身份信息确定用户终端的流量管理策略，将流量管理策略下发给AP。通过应用DPI技术得到的深度报文识别结果，AC能够获取到用户终端当前数据流的相关信息，便于制定合理的流量管理策略，完善云端Wi-fi系统的智能管道功能，提升了系统的性能。

参见图3所示的另一种云端Wi-fi系统中的深度报文识别方法的流程图，该方法以从AP侧描述为例进行说明，具体包括以下步骤：

步骤S302，AP接收云AC下发的用户终端认证通过的通知，该通知携带有深度报文识别标识；

步骤S304，AP根据上述深度报文识别标识继续上传该用户终端当前数据流的报文，以使上述云AC进行深度报文识别；

步骤S306，当AP接收到云AC下发的对上述数据流采用本地转发模式的通知时，AP采用本地转发数据流的报文。

本实施例的方法中的AP在接收到携带有深度报文识别标识的通知时，AP继续上传该用户终端的报文，这样AC将可以继续接收到该用户终端的报文，进而完成深度报文识别，AP在收到采用本地转发模式的通知后，对该用户终端的当前数据流进行本地转发，这种方式能够在不影响用户体验的前提下，实现DPI技术，有效缓解了现有云端Wi-fi系统无法有效实施DPI技术的问题，提升了系统的性能。

考虑到用户终端访问的目标网站不指一个，针对每个目标网站的数据流，AP均可以发送给云AC进行DPI，基于此，上述方法还包括：当AP接收到上述用户终端的另一条数据流的报文时，将另一条数据流的报文上传给云AC进行深度报文识别。通过这种方式，AC将会对用户终端的每条数据流均进行DPI，进而给出更为合理流量管理策略。

上述方法还包括：AP接收云AC下发的流量管理策略，按照该流量管理策略对用户终端的流量进行处理。本实施例中，AP通过应用AC制定的流量管理策略，完善了云端Wi-fi系统的智能管道功能，提升了系统的性能。

参见图4所示的云端Wi-fi系统中的深度报文识别方法的交互示意图，以CAPWAP tunnel和AP local bridge模式为例，该图描述了用户终端(UE)通过AP上网(WEB user/HTTP)的智能管道实现方案，其方法具体包括以下步骤：

(1)Pre-auth阶段，该阶段中AC(即上述云AC)通过接收1:[80:SYN]、1:[80:ACK]、1:[HTTP GET]信令，完成对UE的三次握手，即完成对UE的认证。

(2)Post-auth阶段，UE通过认证后，AC通过AP向UE发送通知，即图中的1:[HTTP REDIR]，本实施例中，该1:[HTTP REDIR]中携带有深度报文识别标识。

(3)Pre-DPI阶段，该阶段AC继续接收AP上传的UE的报文，并将该报文镜像一份传给以太网(Internet)，完成用户的正常通信，同时，AC还对该报文进行DPI。

(4)Post-DPI阶段，AC完成DPI后，通知AP进入本地转发模式(即local模式)，同时DPI完成用户策略实施，具体可以为下发流量管理策略给AP，后续UE将通过AP直接访问以太网。

本实施例中，AP仍然采用本地转发(local bridge)模式，auth过程仍然将用户报文送到云端AC进行认证服务，在认证过后，传统本地转发会将该用户(Post-auth)后续报文直接本地转发，不再上送AC，本实施例中在用户认证后，增加Pre-DPI过程，该过程将Post-auth用户的每条流的前面几个报文继续上送AC。由云端AC或DPI设施应用识别下发控制策略后停止上送，Pre-DPI结束，进入Post-DPI状态，继续正常的本地转发。

上述Pre-DPI最多上送报文可以根据情况调整，一般定为10个报文，也可以是8个报文，AC对这些报文进行DPI，之后进入Post-DPI。

与传统方法相比，在AC端的Post-auth阶段后，增加了Pre-DPI和Post-DPI阶段，与传统流程比较，传统Post-auth结束后，通知AP进入local bridge模式，直接将用户业务接入Internet，不再CAPWAP进入AC。本发明实施例中，在Post-auth完成后，不通知AP进入local bridge模式，而是进入Pre-DPI阶段，AP仍然通过CAPWAP tunnel将用户报文进入AC，AC进行DPI识别或者镜像一份报文给专门的DPI引擎进行识别，Pre-DPI一直持续到DPI识别完成，此时AC进入Post-DPI阶段，在该阶段，AC需要通知AP进入传统的local bridge模式，进行本地转发，而且，AC可以将用户流量管理策略下发给AP执行。详细的DPI过程和用户流量策略的定制和实施不属于本发明实施例的重点，不对其进行详细描述。

由上述方法可知，本发明实施例中的AP与多个UE连接，每个UE通过AP首次上网时，均要做一次认证过程，认证通过后，AC下发认证通过的通知给AP，指明该UE通过认证，并指示AP继续上传该UE的报文；AC对继续接收的报文做DPI，DPI完成后，通知AP针对本条数据流的报文无需上传，本地转发即可。而如果AP接收到该UE的另一条流的数据报文时，则需要继续转发给AC，做DPI，针对该数据流的DPI完成后，AC通知AP。

对应于上述方法，本发明实施例还提供了一种云端Wi-fi系统中的深度报文识别装置，该装置可以设置于云AC上，参见图5所示，该装置包括以下模块：

认证通知下发模块52，用于对接入点AP相连的用户终端完成认证后，向AP下发认证通过的通知，通知携带有深度报文识别标识，以使AP继续上传用户终端的报文；

报文接收模块54，用于通过AP接收用户终端当前数据流的报文；

报文识别模块56，用于通过报文识别设备对数据流的报文进行深度报文识别，其中，该报文识别设备设置于AC上或独立设置于云端；

识别处理模块58，用于确定报文识别设备完成数据流的深度报文识别后，通知AP对数据流采用本地转发模式。

本发明实施例的装置在用户终端通过认证后，不是直接通知AP采用本地转发模式转发该用户终端的报文，而是指示AP继续上传该用户终端的报文，这样将可以继续接收到该用户终端的报文，再通过报文识别设备对接收的这些报文进行深度报文识别，识别完成后，通知AP对该用户终端的当前数据流进行本地转发，这种方式能够在不影响用户体验的前提下，实现DPI技术，有效缓解了现有云端Wi-fi系统无法有效实施DPI技术的问题。同时，通过应用DPI技术，AC能够获取到用户终端当前数据流的相关信息，为制定合理的流量管理策略提供了可靠的数据保障，进而完善了云端Wi-fi系统的智能管道功能，提升了系统的性能。

上述装置可以通过以下方式确定报文识别设备是否完成数据流的深度报文识别：当接收到的数据流的报文个数达到设定阈值(该阈值可以是小于10的自然数)或得到上述数据流的深度报文识别结果时，云AC确定报文识别设备完成数据流的深度报文识别；本实施例通过设定接收报文的个数阈值，可以使用户终端的报文无需均经过云AC，仅是很小的一部分经过云AC，保证了用户的体验。

上述装置还包括：策略下发模块，用于根据上述数据流的深度报文识别结果确定用户终端的流量管理策略，将该流量管理策略下发给AP。或者，用于根据上述数据流的深度报文识别结果和预先获取的用户终端的位置与身份信息确定用户终端的流量管理策略，将流量管理策略下发给AP。通过应用DPI技术得到的深度报文识别结果，能够获取到用户终端当前数据流的相关信息，便于制定合理的流量管理策略，完善云端Wi-fi系统的智能管道功能，提升了系统的性能。

对应于上述方法，本发明实施例还提供了一种云端Wi-fi系统中的深度报文识别装置，该装置设置于接入点AP上，参见图6所示，该装置包括以下模块：

认证通知接收模块62，用于接收云AC下发的用户终端认证通过的通知，通知携带有深度报文识别标识；

报文上传模块64，用于根据深度报文识别标识继续上传用户终端当前数据流的报文，以使上述云AC进行深度报文识别；

报文转发模块66，用于当接收到云AC下发的对数据流采用本地转发模式的通知时，采用本地转发数据流的报文。

本实施例的装置在接收到携带有深度报文识别标识的通知时，继续上传该用户终端的报文，这样AC将可以继续接收到该用户终端的报文，进而完成深度报文识别，在收到采用本地转发模式的通知后，对该用户终端的当前数据流进行本地转发，这种方式能够在不影响用户体验的前提下，实现DPI技术，有效缓解了现有云端Wi-fi系统无法有效实施DPI技术的问题，提升了系统的性能。

考虑到用户终端访问的目标网站不指一个，针对每个目标网站的数据流，AP均可以发送给云AC进行DPI，基于此，上述装置还包括：报文识别与上传模块，用于当AP接收到上述用户终端的另一条数据流的报文时，将该另一条数据流的报文上传给云AC进行深度报文识别。通过这种方式，AC将会对用户终端的每条数据流均进行DPI，进而给出更为合理流量管理策略。

上述装置还包括：流量处理模块，用于接收云AC下发的流量管理策略，按照该流量管理策略对用户终端的流量进行处理。本实施例中，通过应用AC制定的流量管理策略，完善了云端Wi-fi系统的智能管道功能，提升了系统的性能。

本发明实施例还提供了一种云端Wi-fi系统，该系统的结构示意图如图1所示，本实施例中的云AC包括上述图5所示的装置，AP包括上述图6所示的装置，这里不再详述。

以上实施例，考虑到目前AP本地转发模式中，已经支持auth(认证)阶段将用户报文封装在CAPWAP协议中上送AC，本发明实施例扩展Post-auth后续处理流程，增加Pre-DPI，Post-DPI过程，流程清晰，其对网络带宽和延迟的影响分析如下：现有DPI技术对绝大多数应用可以在前面3个报文进行识别，DPI识别后对该流的后续报文不要求继续接收，所以AP只需要上送少量报文就可以满足DPI的识别需求，不会对网络带宽和延迟造成影响。

上述实施例的技术对AP内存和CPU资源的影响分析：目前企业级/工业级的AP至少有64M内存，但是随着越来越多的新特性和控制策略必须施加在最后一公里，导致AP内存和CPU资源越来越紧张。本实施例扩展的方案需要额外占用的内存计算如下：以IPv4为例，在AP上使用5元组{源IP地址、目的IP地址、源端口号、目的端口号、协议号}标志一条流，每个用户并发3条流，每个AP同时在线用户32，总共需要内存1.6Kbyte，占用64M的百万分之25。5元组的计算和管理采用HASH算法也是复杂度为O(1)的轻量级算法，占用CPU资源小。

同时，AP的软件映像可以通过AC在启动阶段获取，所以对现网已部署的AP进行软件升级，也是标准流程，实施可行性没有问题。

综上所述：采用本发明实施例提供的技术，既保留了云端部署AC的现实优点，同时没有对传统Wi-fi系统差异化精细化业务特性带来损伤，有利于满足Wi-Fi网络发展需求。

附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

参见图7，本发明实施例还提供一种云端Wi-fi系统中的深度报文识别装置100，包括：处理器40，存储器41，总线42和通信接口43，所述处理器40、通信接口43和存储器41通过总线42连接；处理器40用于执行存储器41中存储的可执行模块，例如计算机程序。

其中，存储器41可能包含高速随机存取存储器(RAM：RandomAccess Memory)，也可能还包括非不稳定的存储器(non-volatilememory)，例如至少一个磁盘存储器。通过至少一个通信接口43(可以是有线或者无线)实现该系统网元与至少一个其他网元之间的通信连接，可以使用互联网，广域网，本地网，城域网等。

总线42可以是ISA总线、PCI总线或EISA总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图7中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

其中，存储器41用于存储程序，所述处理器40在接收到执行指令后，执行所述程序，前述本发明实施例任一实施例揭示的流过程定义的装置所执行的方法可以应用于处理器40中，或者由处理器40实现。

处理器40可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器40中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器40可以是通用处理器，包括中央处理器(Central Processing Unit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(DSP)、专用集成电路(ASIC)、现成可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本发明实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器41，处理器40读取存储器41中的信息，结合其硬件完成上述方法的步骤。

本发明实施例还提供了一种在云端Wi-fi系统中进行深度报文识别的计算机程序产品，包括存储了程序代码的计算机可读存储介质，所述程序代码包括的指令可用于执行前面方法实施例中所述的方法，具体实现可参见方法实施例，在此不再赘述。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (10)

1.一种云端Wi-fi系统中的深度报文识别方法，其特征在于，包括：

云接入控制器AC对接入点AP相连的用户终端完成认证后，向所述AP下发认证通过的通知，所述通知携带有深度报文识别标识，以使所述AP继续上传所述用户终端的报文；

所述云AC通过所述AP接收所述用户终端当前数据流的报文；

所述云AC通过报文识别设备对所述数据流的报文进行深度报文识别，其中，所述报文识别设备置于所述AC上或独立设置于云端；

所述云AC确定所述报文识别设备完成所述数据流的深度报文识别后，通知所述AP对所述数据流采用本地转发模式。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当所述云AC接收到的所述数据流的报文个数达到设定阈值或所述云AC得到所述数据流的深度报文识别结果时，所述云AC确定所述报文识别装置完成所述数据流的深度报文识别。

3.根据权利要求1或2所述的方法，其特征在于，还包括：

所述云AC根据所述数据流的深度报文识别结果确定所述用户终端的流量管理策略，将所述流量管理策略下发给所述AP。

4.根据权利要求1或2所述的方法，其特征在于，还包括：

所述云AC根据所述数据流的深度报文识别结果和预先获取的所述用户终端的位置与身份信息确定所述用户终端的流量管理策略，将所述流量管理策略下发给所述AP。

5.一种云端Wi-fi系统中的深度报文识别方法，其特征在于，包括：

接入点AP接收云接入控制器AC下发的用户终端认证通过的通知，所述通知携带有深度报文识别标识；

所述AP根据所述深度报文识别标识继续上传所述用户终端当前数据流的报文，以使所述云AC进行深度报文识别；

当所述AP接收到所述云AC下发的对所述数据流采用本地转发模式的通知时，所述AP采用本地转发所述数据流的报文。

6.根据权利要求5所述的方法，其特征在于，还包括：

当所述AP接收到所述用户终端的另一条数据流的报文时，将所述另一条数据流的报文上传给所述云AC进行深度报文识别。

7.根据权利要求5或6所述的方法，其特征在于，所述方法还包括：

所述AP接收所述云AC下发的流量管理策略，按照所述流量管理策略对所述用户终端的流量进行处理。

8.一种云端Wi-fi系统中的深度报文识别装置，其特征在于，所述装置设置于云接入控制器AC上，包括：

认证通知下发模块，用于对接入点AP相连的用户终端完成认证后，向所述AP下发认证通过的通知，所述通知携带有深度报文识别标识，以使所述AP继续上传所述用户终端的报文；

报文接收模块，用于通过所述AP接收所述用户终端当前数据流的报文；

报文识别模块，用于通过报文识别设备对所述数据流的报文进行深度报文识别，其中，所述报文识别设备设置于所述AC上或独立设置于云端；

识别处理模块，用于确定所述报文识别设备完成所述数据流的深度报文识别后，通知所述AP对所述数据流采用本地转发模式。

9.一种云端Wi-fi系统中的深度报文识别装置，其特征在于，所述装置设置于接入点AP上，包括：

认证通知接收模块，用于接收云接入控制器AC下发的用户终端认证通过的通知，所述通知携带有深度报文识别标识；

报文上传模块，用于根据所述深度报文识别标识继续上传所述用户终端当前数据流的报文，以使所述云AC进行深度报文识别；

报文转发模块，用于当接收到所述云AC下发的对所述数据流采用本地转发模式的通知时，采用本地转发所述数据流的报文。

10.一种云端Wi-fi系统，其特征在于，包括权利要求8所述的装置和权利要求9所述的装置。