CN105429908A - 一种报文处理方法及装置 - Google Patents

Abstract

本发明公开了一种报文处理方法及装置，在本方案中，由于由交换芯片确定报文是否上报CPU，即由交换芯片统计并过滤过量的报文，即由交换芯片防止路由攻击，而CPU不在参与防止路由攻击，故此，本发明实施例相对于现有技术能够实现节约CPU资源。

Description

一种报文处理方法及装置

技术领域

本发明涉及数据通信技术领域，尤其涉及一种报文处理方法及装置。

背景技术

大多数路由设备能够加快大型局域网内部的数据交换。例如，三层交换机内部可以通过交换芯片以硬件转发的形式实现高速报文转发，但也有一部分特殊的报文需要交换芯片上报CPU(CentralProcessingUnit，中央处理器)处理。例如，交换芯片一般根据路由表转发报文，交换芯片在接收到报文，并根据该报文的目的IP地址(InternetProtocolAddress，网际协议地址)在路由表中查找了该报文的路由信息后，若该路由信息该不是具体的路由出口，即该报文的具体路由不存在，但是这个目的IP是属于交换机的某个接口的网段，则该报文需要送CPU处理。CPU会发送请求这个目的IP地址的ARP报文，尝试学习到这个目的IP的具体路由出口；如果学习到，CPU会添加一条该目的IP地址的路由到交换芯片的路由表。后面再有到达该目的IP地址的报文，则直接由交换芯片转发，而无需上报CPU。

若非法用户构造交换机某个网段的非法报文，报文命中该网段路由后送将有交换芯片上报CPU处理，依据前述处理过程，CPU由于无法判断这些报文是是非法的，会发送ARP(AddressResolutionProtocol，地址解析协议)报文用于学习该报文的目的IP的路由信息；当非法报文流量很大的时候即会发生路由攻击，会大量占用CPU资源，造成了CPU资源的浪费，影响路由设备正常业务的运行。

现有技术中为了规避本地网段路由攻击，通常由CPU统计单位时间内交换芯片上报的本地网段路由的报文量，并判断该报文量是否超过预设报文量，若超过，则将该单位时间内超过预设报文量的报文丢弃，以达到防止路由攻击的目的。由此，现有技术中，大量报文仍然上报CPU统计并处理，仍然占用CPU资源，造成CPU资源的浪费，影响路由设备正常业务的运行。因此，需要一种新的方法，节约CPU资源。

发明内容

本发明实施例提供了一种报文处理方法及装置，用以解决目前存在的由于发生路由攻击后，大量报文仍然上报CPU统计，仍然占用CPU资源，造成CPU资源的浪费的问题。

本发明实施例提供了一种报文处理方法，包括：

交换芯片查找到待处理报文的路由信息后，在预先配置的路由信息与路由分类信息的对应关系中，查找所述待处理报文所属的路由分类信息；并，

在预先配置的指定路由分类信息和报文限速阈值对应关系中，查找是否存在所述待处理报文所属的路由分类信息；其中，所述指定路由分类信息为所述路由分类信息中的至少一种；

若存在，则统计当前单位时间内属于所述待处理报文所属的路由分类信息的报文量，并获取所述待处理报文所属的路由分类信息对应的报文限速阈值；

判断统计的报文量是否超过获取的所述报文限速阈值；

若超过，则将所述待处理报文丢弃；

若未超过，则将所述待处理报文上报给中央处理器处理。

进一步地，本发明实施例还提供了一种报文处理装置，包括：

第一查找模块，用于查找到待处理报文的路由信息后，在预先配置的路由信息与路由分类信息的对应关系中，查找所述待处理报文所属的路由分类信息；

第二查找模块，用于在预先配置的指定路由分类信息和报文限速阈值对应关系中，查找是否存在所述待处理报文所属的路由分类信息；其中，所述指定路由分类信息为所述路由分类信息中的至少一种；

处理模块，用于若所述第二查找模块查找到所述待处理报文所属的路由分类信息，则统计当前单位时间内属于所述待处理报文所属的路由分类信息的报文量，并获取所述待处理报文所属的路由分类信息对应的报文限速阈值；

判断模块，用于判断统计的报文量是否超过获取的所述报文限速阈值；

丢弃模块，用于若所述判断模块的判断结果为超过，则将所述待处理报文丢弃；

上报模块，用于若所述判断模块的判断结果为未超过，则将所述待处理报文上报给中央处理器处理。

本发明有益效果如下：，在本发明实施例所述技术方案中，由于由交换芯片确定报文是否上报CPU，即由交换芯片统计并过滤过量的报文，即由交换芯片防止路由攻击，而CPU不在参与防止路由攻击，故此，本发明实施例相对于现有技术能够实现节约CPU资源。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1所示为本发明实施例一中所述报文处理方法的流程示意图；

图2所示为本发明实施例一中用于说明本地网段路段的示意图；

图3所示为本发明实施例二中所述报文处理装置的结构示意图。

具体实施方式

本发明实施例提供了一种报文处理方法，在本发明实施例所述技术方案中，由于由交换芯片确定报文是否上报CPU，即由交换芯片统计并过滤过量的报文，即由交换芯片防止路由攻击，而CPU不在参与防止路由攻击，故此，本发明实施例相对于现有技术能够实现节约CPU资源。

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

实施例一：

为便于理解，这里先介绍本发明实施例所用部分名词：

路由分类信息：对路由进行分类后所获得的路由分类，例如本地网段路由、本地主机路由等；

指定路由分类信息：为路由分类信息分类信息中的部分或全部信息。

此外，本发明实施例中还至少包括两个对应关系：一是路由信息与路由分类信息的对应关系；二是指定路由分类信息和报文限速阈值对应关系。

如图1所示，其为本发明实施例一中所述报文处理方法的流程示意图，所述报文处理方法可包括以下步骤：

步骤101：交换芯片查找到待处理报文的路由信息后，在预先配置的路由信息与路由分类信息的对应关系中，查找所述待处理报文所属的路由分类信息。

步骤102：在预先配置的指定路由分类信息和报文限速阈值对应关系中，查找是否存在所述待处理报文所属的路由分类信息；其中，所述指定路由分类信息为所述路由分类信息中的至少一种。

步骤103：若存在，则统计当前单位时间内属于所述待处理报文所属的路由分类信息的报文量，并获取所述待处理报文所属的路由分类信息对应的报文限速阈值。

步骤104：判断统计的报文量是否超过获取的所述报文限速阈值。

步骤105：若超过，则将所述待处理报文丢弃。

步骤106：若未超过，则将所述待处理报文上报给中央处理器处理。

为便于进一步理解本发明实施例提供的报文处理方法，下面对上述步骤进行详细说明：

其中，在一个实施例中，所述路由分类信息包括：本地网段路由、本地主机路由、除本地网段路由和本地主机路由之外的普通路由；所述指定路由分类信息包括本地网段路由和本地主机路由。其中：

1)、本地网段路由又称路由设备的直连网段路由。以交换机为例，在交换机接口上面配置IP地址后，交换机的CPU会生成该IP地址对应的路由信息，并添加到交换芯片中。在交换信息对报文进行处理时，命中该路由信息的报文都会送CPU处理；需要说明的时，这里所谓命中该路由信息是指，该待处理报文的目的IP地址在交换机上是找不到具体的路由出口，即路由不存在，但是这个目的IP地址是属于交换机某个接口的网段，这类型的待处理报文需要送CPU处理，CPU会发送请求这个目的IP地址的ARP报文，尝试学习这个IP地址的路由信息；如果学习到该路由信息，会添加一条该目的IP地址的路由信息到交换芯片的路由表中，后面再有这类报文到交换机，就直接由交换芯片转发接口，无需上报CPU。

以图2为例，对本地网段路由的作用进行说明：假设在图2中，用户网络1为IP地址为1.1.1.0/24的网段为第一网段路由；且，第一网段路由包括IP地址分别为1.1.1.1和1.1.1.2的两台设备。用户网络2为IP地址为2.2.2.0/24的网段为第二网段路由；且，第二网段路由包括IP地址分别为2.2.2.1和2.2.2.2的两台设备。若在IP地址为1.1.1.1这台设备上pingIP地址为2.2.2.1的这台设备，如果交换机还没有学习到IP地址为2.2.2.1的路由信息，那么用户发送到IP地址为2.2.2.1的报文在到达交换机的交换芯片后，会命中2.2.2.0/24这条本地网段路由，然后报文会被送CPU，CPU会发送学习IP地址为2.2.2.1的这台设备的路由信息的ARP报文，成功学习后，CPU会下发一条IP地址为2.2.2.1的路由信息到交换芯片的路由表，以后发送至IP地址为2.2.2.1设备的报文就会由交换芯片转发到达IP地址为2.2.2.1的这台设备，不会被送到CPU。

2)、本地主机路由：以交换机为例，其每个接口的IP地址都会生成一条本地主机路由，即以该接口的IP为目的地址，出口是送CPU的路由；若报文命中该路由，说明该报文需要送CPU处理。

其中，在一个实施例中，为了节约CPU资源，仅由交换芯片实现防路由攻击(即实现硬件防路由攻击)，本发明实施例中，所述本地网段路由对应第一报文限速阈值；所述本地主机路由对应第二报文限速阈值。其中，第一报文限速阈值、第二报文限速阈值可以根据实际需要设定，本发明对此不做限定。例如，第一报文限速阈值可以为1000pps(PacketsperSecond，数据包每秒)，第二报文限速阈值可以为800pps。

其中，在一个实施例中，为便于交换芯片进行报文限速，所述指定路由分类信息和报文限速阈值对应关系为ACL(AcessControlLists，访问控制列表)，即可以理解为按照ACL的要求配置指定路由分类信息和报文限速阈值对应关系。当然，也可以以普通的文本形式，例如excel的形式配置指定路由分类信息和报文限速阈值对应关系；也可以以数据库中建立查找表的形式配置指定路由分类信息和报文限速阈值对应关系；只要能够配置指定路由分类信息和报文限速阈值对应关系的方法均适用于本发明实施例，本发明对此不做限定。

其中，在一个实施例中为了使交换芯片能够为不同的报文进行分类，识别出待处理报文所属的路由分类信息，可以由交换芯片的驱动生成携带路由分类信息的路由表并写入交换芯片，故此，本发明实施例中，交换芯片可以根据以下方法配置所述路由信息与路由分类信息的对应关系：

步骤A1：接收交换芯片驱动下发的路由表，所述路由表中包括路由信息以及与该路由信息对应的路由分类信息。

具体的，CPU生成路由信息时，会自动生成该路由信息对应的路由类型标识，该路由类型标识是在协议面生成的，交换芯片并不能识别。故此，为了使交换芯片能够识别出不同类型的路由，交换芯片驱动可以根据CPU生成的路由信息中的路由类型标识，识别出不同类型的路由，并添加上交换芯片能够识别的路由分类信息。

步骤A2：存储所述路由表。

其中，在一个实施例中，为了使得交换芯片具有并使用路由分类信息和报文限速阈值对应关系，该对应关系可以由交换芯片驱动生成并写入交换芯片中。具体的，本发明实施例中，交换芯片可以根据以下方法配置所述指定路由分类信息和报文限速阈值对应关系：接收交换芯片驱动下发的所述路由分类信息和报文限速阈值对应关系并存储。

综上，本发明实施例中，交换芯片可以识别待处理报文所属的路由分类信息，并对属于指定路由分类信息(例如本地网段路由和本地主机路由)的报文进行报文限速，以达到由交换芯片完成防止路由攻击的目的，而使CPU无需参与防止路由攻击，从而节约CPU的资源，保证业务正常运行。

实施例二

基于相同的发明构思，本发明实施例还提供一种报文处理装置，如图3所示，为该装置的结构示意图，该装置包括：

第一查找模块301，用于查找到待处理报文的路由信息后，在预先配置的路由信息与路由分类信息的对应关系中，查找所述待处理报文所属的路由分类信息；

第二查找模块302，用于在预先配置的指定路由分类信息和报文限速阈值对应关系中，查找是否存在所述待处理报文所属的路由分类信息；其中，所述指定路由分类信息为所述路由分类信息中的至少一种；

处理模块303，用于若所述第二查找模块查找到所述待处理报文所属的路由分类信息，则统计当前单位时间内属于所述待处理报文所属的路由分类信息的报文量，并获取所述待处理报文所属的路由分类信息对应的报文限速阈值；

判断模块304，用于判断统计的报文量是否超过获取的所述报文限速阈值；

丢弃模块305，用于若所述判断模块的判断结果为超过，则将所述待处理报文丢弃；

上报模块306，用于若所述判断模块的判断结果为未超过，则将所述待处理报文上报给中央处理器处理。

其中，在一个实施例中，所述路由分类信息包括：本地网段路由、本地主机路由、除本地网段路由和本地主机路由之外的普通路由；

所述指定路由分类信息包括本地网段路由和本地主机路由。

其中，在一个实施例中，所述本地网段路由对应第一报文限速阈值；所述本地主机路由对应第二报文限速阈值。

其中，在一个实施例中，所述指定路由分类信息和报文限速阈值对应关系为访问控制列表ACL。

其中，在一个实施例中，所述装置还包括：

第一配置模块，用于根据以下装置配置所述路由信息与路由分类信息的对应关系：

接收交换芯片驱动下发的路由表，所述路由表中包括路由信息以及与该路由信息对应的路由分类信息；

存储所述路由表。

其中，在一个实施例中，所述装置还包括：

第二配置模块，用于根据以下方法配置所述指定路由分类信息和报文限速阈值对应关系：

接收交换芯片驱动下发的所述路由分类信息和报文限速阈值对应关系并存储。

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

本发明实施例提供的报文处理装置，由于可以由上报CPU之前，先确定报文上报CPU，并将过量的非法报文丢弃达到防止路由攻击的目的，使CPU不在参与防止路由攻击，故此，本发明实施例相对于现有技术能够实现节约CPU资源。

本领域内的技术人员应明白，本发明的实施例可提供为方法、装置、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、装置(装置)和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理装置的处理器以产生一个机器，使得通过计算机或其他可编程数据处理装置的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理装置以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理装置上，使得在计算机或其他可编程装置上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程装置上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (12)

1.一种报文处理方法，其特征在于，所述方法包括：

交换芯片查找到待处理报文的路由信息后，在预先配置的路由信息与路由分类信息的对应关系中，查找所述待处理报文所属的路由分类信息；并，

在预先配置的指定路由分类信息和报文限速阈值对应关系中，查找是否存在所述待处理报文所属的路由分类信息；其中，所述指定路由分类信息为所述路由分类信息中的至少一种；

若存在，则统计当前单位时间内属于所述待处理报文所属的路由分类信息的报文量，并获取所述待处理报文所属的路由分类信息对应的报文限速阈值；

判断统计的报文量是否超过获取的所述报文限速阈值；

若超过，则将所述待处理报文丢弃；

若未超过，则将所述待处理报文上报给中央处理器处理。

2.根据权利要求1所述的方法，其特征在于，所述路由分类信息包括：本地网段路由、本地主机路由、除本地网段路由和本地主机路由之外的普通路由；

所述指定路由分类信息包括本地网段路由和本地主机路由。

3.根据权利要求2所述的方法，其特征在于，所述本地网段路由对应第一报文限速阈值；所述本地主机路由对应第二报文限速阈值。

4.根据权利要求1所述的方法，其特征在于，所述指定路由分类信息和报文限速阈值对应关系为访问控制列表ACL。

5.根据权利要求1-4中任一所述的方法，其特征在于，根据以下方法配置所述路由信息与路由分类信息的对应关系：

接收交换芯片驱动下发的路由表，所述路由表中包括路由信息以及与该路由信息对应的路由分类信息；

存储所述路由表。

6.根据权利要求1-4中任一所述的方法，其特征在于，根据以下方法配置所述指定路由分类信息和报文限速阈值对应关系：

接收交换芯片驱动下发的所述路由分类信息和报文限速阈值对应关系并存储。

7.一种报文处理装置，其特征在于，所述装置包括：

第一查找模块，用于查找到待处理报文的路由信息后，在预先配置的路由信息与路由分类信息的对应关系中，查找所述待处理报文所属的路由分类信息；

第二查找模块，用于在预先配置的指定路由分类信息和报文限速阈值对应关系中，查找是否存在所述待处理报文所属的路由分类信息；其中，所述指定路由分类信息为所述路由分类信息中的至少一种；

处理模块，用于若所述第二查找模块查找到所述待处理报文所属的路由分类信息，则统计当前单位时间内属于所述待处理报文所属的路由分类信息的报文量，并获取所述待处理报文所属的路由分类信息对应的报文限速阈值；

判断模块，用于判断统计的报文量是否超过获取的所述报文限速阈值；

丢弃模块，用于若所述判断模块的判断结果为超过，则将所述待处理报文丢弃；

上报模块，用于若所述判断模块的判断结果为未超过，则将所述待处理报文上报给中央处理器处理。

8.根据权利要求7所述的装置，其特征在于，所述路由分类信息包括：本地网段路由、本地主机路由、除本地网段路由和本地主机路由之外的普通路由；

所述指定路由分类信息包括本地网段路由和本地主机路由。

9.根据权利要求8所述的装置，其特征在于，所述本地网段路由对应第一报文限速阈值；所述本地主机路由对应第二报文限速阈值。

10.根据权利要求7所述的装置，其特征在于，所述指定路由分类信息和报文限速阈值对应关系为访问控制列表ACL。

11.根据权利要求7-10中任一所述的装置，其特征在于，所述装置还包括：

第一配置模块，用于根据以下方法配置所述路由信息与路由分类信息的对应关系：

接收交换芯片驱动下发的路由表，所述路由表中包括路由信息以及与该路由信息对应的路由分类信息；

存储所述路由表。

12.根据权利要求7-10中任一所述的装置，其特征在于，所述装置还包括：

第二配置模块，用于根据以下方法配置所述指定路由分类信息和报文限速阈值对应关系：

接收交换芯片驱动下发的所述路由分类信息和报文限速阈值对应关系并存储。