CN105490961A - 报文处理方法、装置以及网络设备 - Google Patents

Abstract

本发明提供一种报文处理方法，所述方法包括：根据报文特征生成设有队列优先级的控制策略；将所述控制策略下发至转发芯片，以使所述转发芯片将命中所述控制策略中报文特征的报文添加至与所设队列优先级对应的报文转发队列中；接收所述转发芯片根据所述报文转发队列的队列优先级顺序上送的报文。从而优先处理队列优先级高的报文转发队列中的重要报文，避免造成网络故障。

Description

报文处理方法、装置以及网络设备

技术领域

本发明涉及通信技术领域，尤其涉及一种报文处理方法、装置以及网络设备。

背景技术

随着网络通信技术的进步，各种网络攻击引发的网络安全问题日益受到人们的关注。目前网络设备在遭受大量需上送CPU报文(包括组播报文以及上送本机的单播报文)的攻击时，由于CPU的处理能力有限，面对大量的攻击报文时，报文转发队列就会因为CPU不能及时处理而阻塞，导致后续上送CPU的报文被丢弃。如果丢弃的报文为协议报文或是管理报文，就可能造成协议中断和设备无法管理的现象。

发明内容

有鉴于此，本发明提供了报文处理方法以及装置来解决上述问题。

本发明提供一种报文处理方法，应用于网络设备，所述方法包括：

根据报文特征生成设有队列优先级的控制策略；

将所述控制策略下发至转发芯片，以使所述转发芯片将命中所述控制策略中报文特征的报文添加至与所设队列优先级对应的报文转发队列中；

接收所述转发芯片根据所述报文转发队列的队列优先级顺序上送的报文。

本发明还提供一种报文处理装置，应用于网络设备，所述装置包括：

策略生成单元，用于根据报文特征生成设有队列优先级的控制策略；

策略下发单元，用于将所述控制策略下发至所述转发芯片，以使所述转发芯片将命中所述控制策略中报文特征的报文添加至与所设队列优先级对应的报文转发队列中；

报文接收单元，用于接收所述转发芯片根据所述报文转发队列的队列优先级顺序上送的报文。

本发明还提供一种网络设备，所述网络设备包括转发芯片以及中央处理器CPU，其中：

CPU，用于根据与协议类型对应的报文特征生成设有队列优先级的控制策略，将所述控制策略下发至所述转发芯片，并接收所述转发芯片根据所述报文转发队列的队列优先级顺序上送的报文。

转发芯片，用于接收CPU下发的控制策略，在接收到报文时，将所述报文与预存的控制策略进行匹配，并将命中所述控制策略中报文特征的报文添加至与所设队列优先级对应的报文转发队列中。

本发明提供的报文处理方法，其根据报文特征生成设有队列优先级的控制策略，并将所述控制策略下发至所述转发芯片，以使所述转发芯片将命中所述控制策略中报文特征的报文添加至与所设队列优先级对应的报文转发队列中，从而优先处理队列优先级高的报文转发队列中的重要报文，避免造成网络故障。

附图说明

图1是本发明实施例中报文处理方法流程图；

图2是本发明实施例中报文处理装置所在网络设备硬件架构示意图；

图3是本发明实施例中报文处理装置逻辑结构示意图；

图4为本发明实施例中策略生成单元逻辑结构示意图；

图5为本发明实施例中的网络设备。

具体实施方式

现有技术中，由于部分协议报文以及部分需进行应用处理的数据报文均会上送中央处理器CPU处理，一些攻击者则利用向CPU上送大量的协议报文以进行报文攻击。CPU在遭受大量报文的攻击时，极有可能就会因为不能及时处理而阻塞，导致后续上送CPU的报文被丢弃，若丢弃的报文为管理报文或者其他重要报文，则会导致设备无法管理或者协议断开等现象。目前的解决方法多通过对各个协议或端口进行限速来减少上送CPU的报文数量。然而，限速只是根据协议和端口减少了上送CPU的报文数量，在报文种类较多时，仍无法达到有较好的效果。

为避免类似现象的发生，本发明所提供的报文处理方法根据与协议类型对应的报文特征生成设有队列优先级的控制策略，将所述控制策略下发至所述转发芯片，以使所述转发芯片将命中所述控制策略中报文特征的报文添加至与所设队列优先级对应的报文转发队列中，并接收所述转发芯片根据所述报文转发队列的队列优先级顺序上送的报文。

在本发明实施例中，报文处理方法的处理流程如图1所示，该方法应用在网络设备上，该网络设备可以是交换机或路由器等，其中该报文处理方法包括以下步骤：

步骤101，根据报文特征生成设有队列优先级的控制策略；

本发明实施方式提供的报文处理方法，首先检查CPU协议栈中协议模块的开启状况，获取协议模块已开启的协议类型对应报文特征，该报文特征可以根据报文类型的不同分为多种，例如：协议端口号、协议版本类型、传输协议类型、报文IP地址等。

然后，根据获取的报文特征的至少一项生成控制策略。由于各协议的报文类型不同，其生成控制策略时所使用的报文特征也不尽相同。例如对于LDP协议的组播报文生成控制策略时，其使用的报文特征可以是协议端口号、协议版本类型、该组播IP地址以及传输协议类型；对于LDP协议的单播报文生成控制策略时，所使用的报文特征则可以为协议端口号以及协议版本类型等。

最后，根据所述报文特征生成具有队列优先级的控制策略。该控制策略可以为多种形式，例如：

1、所述控制策略可以为ACL。

在所述控制策略为ACL时，根据每个协议类型报文的不同获取不同的报文特征，对获取的报文特征设置对应的ACL优先级以及队列优先级，并根据该报文特征生成一条或多条设有ACL优先级以及队列优先级的ACL。

例如，协议栈内已开启协议模块的协议为LDP，针对于LDP协议的组播报文生成ACL时所依据的报文特征为组播IP地址、传输协议类型、协议版本类型以及协议端口号等。假设该组播IP地址为224.0.0.2，传输协议类型为UDP，协议版本类型为IPV4，协议端口号分别是源端口号646、目的端口号646；可将该条ACL优先级设为5；队列优先级设为5。那么该条ACL则为ACL优先级为5，队列优先级为5的ACL，即：IP地址为224.0.0.2+UDP+646+IPV4的ACL。

针对于LDP协议的单播报文生成ACL时所依据的报文特征则可以为协议端口号以及协议版本类型。例如LDP单播报文的协议版本类型为IPV4，协议端口号在不同情况下可以分别是源端口号646，或者目的端口号646；那么则可以根据该两种情况为该LDP协议的单播报文生成两条ACL优先级为4，队列优先级为4的ACL，即源端口为646+IPV4+TCP的ACL以及目的端口为646+IPV4+TCP的ACL。

除此之外，还可以使用ACL控制其他多种协议的报文，例如，RIP、RIPng、BGP、PIM等协议的报文。在对不同协议的报文生成ACL时，可根据上述示例的原则选取不同的报文特征生成ACL，在此不再一一赘述。

在根据各种协议类型对应的报文特征生成ACL后，转发芯片中会保存多条不同的ACL，为各ACL设置ACL优先级可以在转发芯片接收到报文后，按照ACL优先级的顺序由高至低的匹配各条ACL。

2.所述控制策略可以为与开启的寄存器关联的报文特征生成设置有对应的队列优先级控制表项。

本发明实施例中，各开启的寄存器可以关联指定的协议类型或是报文特征，并且可以为关联的协议类型或是报文特征的寄存器设置对应的队列优先级。在转发芯片接收的报文匹配到与开启的寄存器对应的协议类型或者报文特征时，将该报文添加至与对应的队列优先级对应的报文转发队列中。

例如，寄存器关联的报文特征可以是判断报文为组播报文的特征(目的MAC地址为全F，或目的MAC地址的第40比特位的值为“1”)等；寄存器关联的协议类型可以是专门有寄存器控制的协议，比如解析协议ARP、动态主机配置协议DHCP、组播侦听发现协议MLD等。

假设，若要对与DHCP协议关联的寄存器设置队列优先级时，首先检查该寄存器的开启情况，在寄存器开启时，根据具体需求对该寄存器设置队列优先级。

3.所述控制策略可以为BPDU表项。

第二层的攻击是网络安全攻击者最容易实施，也是最不容易被发现的安全威胁，仅仅基于认证(如IEEE802.1x)的安全措施是无法防止来自网络第二层的安全攻击。为此，本发明实施例根据协议的目的MAC地址生成BPDU表项来控制上送CPU的二层报文数量，以避免二层报文的攻击。

本发明实施例中，ISIS、STP、FRRP、GVRP等协议的报文均可以由BPDU表项控制。在具体实现中，若识别出由BPDU表项控制的协议在CPU的协议栈中已运行，即可根据协议的MAC地址生成BPDU表项，并对该BPDU表项设置对应的队列优先级。

以IS-IS协议为例，若识别出所述CPU中的IS-IS协议已运行，即可根据IS-IS协议的报文特征MAC地址生成BPDU表项。例如IS-IS协议的MAC地址为0X01，0X80，0XC2，0X00，0X14；0X01，0X80，0XC2，0X00，0X15；0X01，0X80，0X2B，0X00，0X05。那么其该BPDU表项可以为：

表1

表1示出根据开启协议模块协议的MAC地址建立的BPDU表项，仅是为进一步理解本发明的示例，并不用于限制本发明实施例中BPDU表项的具体内容。在对IS-IS协议生成BPDU表项后，为该BPDU表项设置对应的队列优先级，假设为其设置的队列优先级为7，那么在转发芯片接收到目的MAC地址与表1匹配的二层报文时，则将该二层报文根据该BPDU表项对应队列优先级7添加至队列优先级为7的报文转发队列中。

另外，本发明实施例对于CPU协议栈内未运行的协议，即协议模块未开启的协议，本发明实施例中可以不为其生成ACL或者BPDU表项，转发芯片在接收到与未运行的协议相关的报文时，可以将该报文添加至队列优先级最低的报文转发队列中。

综上所述，各种控制策略以及对应的报文特征可以如下表所示：

控制策略	报文特征
		ACL	协议端口号、协议版本类型、IP地址、传输协议类型等；
寄存器	协议类型(DHCP、IGMP)、识别报文为未知单播报文的特征等；
		BPDU	协议MAC地址；

表2

表2示出各控制策略以及报文特征的对应关系，仅是为进一步理解本发明的示例，并不用于限制本发明实施例中各控制策略以及报文特征的对应关系的具体内容。

步骤102，将所述控制策略下发至所述转发芯片，以使所述转发芯片将命中所述控制策略中报文特征的报文添加至与所设队列优先级对应的报文转发队列中。

根据上述生成控制策略后，将所述控制策略下发至所述转发芯片，使得转发芯片在接收到报文后，将报文与各控制策略进行匹配，并将匹配所述控制策略中报文特征的报文根据与其对应的队列优先级添加至对应的报文转发队列中。

表3

表3示出报文特征匹配项与各队列优先级的对应关系表项，仅是为进一步理解本发明的示例，并不用于限制本发明实施例中报文特征匹配项与各队列优先级的对应关系表项的具体内容。

转发芯片在接收到外部设备发送的报文后，解析出报文的报文特征，并将报文的报文特征与表3的报文转发队列中的各报文特征进行匹配，在匹配到报文转发队列的某条报文特征时，将该报文根据对应的队列优先级添加至对应队列优先级的报文转发队列中。转发芯片根据各报文转发队列的队列优先级顺序由高至低的将报文上送至CPU处理。这样一来，便可以保证队列优先级高的报文转发队列中的重要报文可以优先上送CPU处理。其中，表3中所示的队列限速表示将对应的报文转发队列中的报文向CPU上送时的最高速率，该初始的队列限速可以由开发人员根据测试结果而定。

本发明实施例中，虽然可以通过控制策略中将重要的报文添加至队列优先级高的报文转发队列中，使得转发芯片将优先级高的重要报文优先上送至CPU处理。但是，若攻击者发送大量的队列优先级高的报文对设备进行攻击时，仍难以避免报文转发队列被大量报文阻塞，导致优先级较低的报文得不到处理。为此，本发明可已在将控制策略下发至转发芯片之前为所述队列优先级对应的报文转发队列设置权重值，权重值为各报文转发队列发送报文的比重，以使转发芯片根据所述权重值确定每个报文转发队列在每个上送周期所上送报文的报文数量。

另外，转发芯片还可以使用所述权重值按照WRR(WeightedRoundRobin，加权循环调度算法)、WFQ(WeightedFairQueuing，加权公平排队)、DRR(DeficitRoundRobin，亏空轮询算法)等调度算法计算出为所述报文转发队列分配的队列速率，保证报文转发队列中的报文向CPU上送时的最高速率不超过计算出的队列限速值。

以下以使用所述权重值按照WRR调度算法为例计算队列速率。

具体地，以转发芯片端口有8个报文转发队列为例，WRR可为每个报文转发队列(queue7～queue0)配置一个权重值，与queue7～queue0对应的权重值依次为w7、w6、w5、w4、w3、w2、w1、w0。假设转发芯片的端口总带宽为100Mbps，为各报文转发队列配置的权重值为5、5、3、3、1、1、1、1(依次对应w7、w6、w5、w4、w3、w2、w1、w0)。那么转发芯片首先根据所述权重值确定出每个报文转发队列在每个上送周期所上送报文的报文数量，再在每个所述上送周期，根据所述报文转发队列的队列优先级从高到低的顺序，按照确定的每个报文转发队列的报文数量将报文上次至CPU。其中所述周期在每个所述上送周期，根据所述报文转发队列的队列优先级从高到低的顺序，按照确定的每个报文转发队列的报文数量将报文上次至CPU可以为多种方式，例如：

第一种方式：根据分配的权重值确定出在每个上送周期内queue7以及queue6的上送报文数量分别为5，queue5以及queue4上送报文数量为3，queue3-queue0上送报文数量为1。本实施方式可以将所述上送周期分为五轮依次上送，每一轮的各个报文转发队列中最多上送一个报文，并根据各报文转发队列的队列优先级由高至低地轮询上送至CPU，如表4所示：

轮次	依次上送一个报文的报文转发队列
		第一轮	queue7,queue6,queue5,queue4,queue3,queue2,queue1,queue0；
第二轮	queue7,queue6,queue5,queue4；
		第三轮	queue7,queue6,queue5,queue4；
第四轮	queue7,queue6；
		第五轮	queue7,queue6

表4

表4示出在上送周期中的每一轮可上送报文的报文转发队列，其仅是为进一步理解本发明的示例，并不用于限制本发明实施例中在上送周期中的每一轮可上送报文的报文转发队列的具体内容。

第二种方式：根据分配的权重值确定出在每个上送周期内queue7以及queue6的上送报文数量分别为5，queue5以及queue4上送报文数量为3，queue3-queue0上送报文数量为1。那么本实施方式可以在所述上送周期根据各报文转发队列的队列优先级由高至低地依次上送至CPU，即根据所述权重值将队列优先级最高的queue7中的5个报文发送成功后，再发送队列优先级次高的queue6中的5个报文，并以此循环。

最后使用WRR计算出为各报文转发队列分配的队列限速。其中，为w7、w6分别分配的带宽为：

100Mbps*5/(5+5+3+3+1+1+1+1)＝25Mbit/s

为w5、w4分别分配的带宽为：

100Mbps*3/(5+5+3+3+1+1+1+1)＝15Mbit/s

为w3、w2、w1、w0分别分配的带宽为：

100Mbps*1/(5+5+3+3+1+1+1+1)＝5Mbit/s

在计算出为各报文转发队列分配的带宽后，使用该计算出的为各报文转发队列分配的带宽更新表4所示的队列限速。并在根据所述队列优先级顺序将各报文转发队列中对应报文数量的报文轮询上送至CPU时，其各报文转发队列中报文上送的最高速率不得超过计算出的队列限速。

在将报文上送CPU的过程中，如果某个报文转发队列为空，那么可以立即由下一个报文转发队列上送报文，这样带宽资源即可以得到充分的利用，又可以保证每个报文转发队列都可以获得一定的服务时间以及一定的带宽，避免在队列优先级高的报文转发队列拥塞或采用SP调度时，队列优先级低的报文转发队列中的报文长时间得不到服务的缺点。

步骤103，接收所述转发芯片根据所述报文转发队列的队列优先级顺序上送的报文。

由于转发芯片发送的报文是根据各报文转发队列的队列优先级顺序上送的，因此在每个所述上送周期，CPU可接收转发芯片根据所述报文转发队列的队列优先级从高到低的顺序，按照确定的每个报文转发队列的报文数量上送报文。在CPU接收到转发芯片发送的报文时，根据接收的报文依次进行处理，即可保证首先处理的报文为需优先处理的重要报文，还避免了因为报文转发队列阻塞而丢弃重要的报文，造成网络故障等现象。

本发明还提供了一种应用于网络设备的报文处理装置，请参考图2，为本发明报文处理装置所在网络设备的硬件架构示意图，其基本硬件环境包括CPU、内存、转发芯片、非易失性存储器以及其他硬件。图3为该报文处理装置的逻辑结构示意图，其从本质上说是一个逻辑装置。在本实施方式中，以软件实现为例，该报文处理装置在逻辑层面上包括策略生成单元301、策略下发单元302以及报文接收单元303。其中：

策略生成单元301，用于根据报文特征生成设有队列优先级的控制策略；

策略下发单元302，用于将所述控制策略下发至所述转发芯片，以使所述转发芯片将命中所述控制策略中报文特征的报文添加至与所设队列优先级对应的报文转发队列中；

报文接收单元303，用于接收所述转发芯片根据所述报文转发队列的队列优先级顺序上送的报文。

进一步地，所述报文处理装置还可以包括权重设置单元304，用于为每个队列优先级对应的报文转发队列设置权重值，以使所述转发芯片根据所述权重值确定每个报文转发队列在每个上送周期所上送报文的报文数量。

进一步地，请参考图4，所述报文特征为与开启的寄存器关联的报文特征，所述策略生成单元301具体可以包括寄存器控制模块3011，用于为与开启的寄存器关联的报文特征设置对应的队列优先级，以使转发芯片在接收的报文匹配到与开启的寄存器关联的报文特征时，将所述报文添加至与该报文特征对应队列优先级的报文转发队列中。

进一步地，所述报文特征包括协议端口号、协议版本类型、传输协议类型以及IP地址的至少一项；所述策略生成单元301具体可以包括ACL生成模块3012，用于根据所述协议端口号、协议版本类型、传输协议类型以及IP地址的至少一项生成具有队列优先级的访问控制列表ACL。

进一步地，所述报文特征为MAC地址，所述策略生成单元301具体可以包括BPDU表项生成模块3013，用于根据与指定协议类型对应的MAC地址生成网桥协议数据单元BPDU表项；为所述BPDU表项设置队列优先级；将所述设置队列优先级的BPDU表项下发至所述转发芯片；所述BPDU表项用于将目的MAC地址匹配到所述BPDU表项中MAC地址的二层报文根据所述队列优先级添加至对应的报文转发队列中。

如图5所示，本发明还提供了一种网络设备，所述网络设备包括转发芯片以及中央处理器CPU，其中：

CPU401，用于根据与协议类型对应的报文特征生成设有队列优先级的控制策略，将所述控制策略下发至所述转发芯片，并接收所述转发芯片根据所述报文转发队列的队列优先级顺序上送的报文。

转发芯片402，用于接收CPU下发的控制策略，在接收到报文时，将所述报文与预存的控制策略进行匹配，并将命中所述控制策略中报文特征的报文添加至与所设队列优先级对应的报文转发队列中。

从以上各种方法和装置的实施方式中可以看出，与现有技术相比，本发明所提供的报文处理方法根据与协议类型对应的报文特征生成设有队列优先级的控制策略，将所述控制策略下发至所述转发芯片，以使所述转发芯片将命中所述控制策略中报文特征的报文添加至与所设队列优先级对应的报文转发队列中，并接收所述转发芯片根据所述报文转发队列的队列优先级顺序上送的报文。可优先处理队列优先级高的报文转发队列中的重要报文，避免造成网络故障。另外本发明还通过为各报文转发队列设置权重值来避免攻击者利用队列优先级高的报文对设备进行的攻击。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (11)

1.一种报文处理方法，应用于网络设备，其特征在于，所述方法包括：

根据报文特征生成设有队列优先级的控制策略；

将所述控制策略下发至转发芯片，以使所述转发芯片将命中所述控制策略中报文特征的报文添加至与所设队列优先级对应的报文转发队列中；

接收所述转发芯片根据所述报文转发队列的队列优先级顺序上送的报文。

2.如权利要求1所述的方法，其特征在于，在所述将控制策略下发至所述转发芯片之前，所述方法还包括：

为每个队列优先级对应的报文转发队列设置权重值，以使所述转发芯片根据所述权重值确定每个报文转发队列在每个上送周期所上送报文的报文数量；

所述接收转发芯片根据所述报文转发队列的队列优先级顺序上送的报文具体为：

在每个所述上送周期，接收所述转发芯片根据所述报文转发队列的队列优先级从高到低的顺序，按照确定的每个报文转发队列的报文数量上送报文。

3.如权利要求1所述的方法，其特征在于，所述报文特征为与开启的寄存器关联的报文特征，所述根据与协议类型对应的报文特征生成设有队列优先级的控制策略具体包括：

为与开启的寄存器关联的报文特征生成设置了对应的队列优先级的控制表项。

4.如权利要求1所述的方法，其特征在于，所述报文特征包括协议端口号、协议版本类型、传输协议类型以及IP地址的至少一项；所述根据报文特征生成设有对应队列优先级的控制策略具体包括：

根据所述协议端口号、协议版本类型、传输协议类型以及IP地址的至少一项生成具有队列优先级的访问控制列表ACL。

5.如权利要求1所述的方法，其特征在于，所述报文特征为介质访问控制MAC地址，所述根据报文特征生成设有对应队列优先级的控制策略具体包括：

根据与指定协议类型对应的MAC地址生成网桥协议数据单元BPDU表项；

为所述BPDU表项设置队列优先级；

将所述设置队列优先级的BPDU表项下发至所述转发芯片；所述BPDU表项用于将目的MAC地址匹配到所述BPDU表项中MAC地址的二层报文根据所述队列优先级添加至对应的报文转发队列中。

6.一种报文处理装置，应用于网络设备，其特征在于，所述装置包括：

策略生成单元，用于根据报文特征生成设有队列优先级的控制策略；

策略下发单元，用于将所述控制策略下发至所述转发芯片，以使所述转发芯片将命中所述控制策略中报文特征的报文添加至与所设队列优先级对应的报文转发队列中；

报文接收单元，用于接收所述转发芯片根据所述报文转发队列的队列优先级顺序上送的报文。

7.如权利要求6所述的装置，其特征在于，所述装置还包括：

权重设置单元，用于为每个队列优先级对应的报文转发队列设置权重值，以使所述转发芯片根据所述权重值确定每个报文转发队列在每个上送周期所上送报文的报文数量；

所述报文接收单元具体用于：

在每个所述上送周期，接收所述转发芯片根据所述报文转发队列的队列优先级从高到低的顺序，按照确定的每个报文转发队列的报文数量上送报文。

8.如权利要求6所述的装置，其特征在于，所述报文特征为与开启的寄存器关联的报文特征，所述策略生成单元具体包括：

寄存器控制模块，用于为与开启的寄存器关联的报文特征生成设置有对应的队列优先级控制表项。

9.如权利要求6所述的装置，其特征在于，所述报文特征包括协议端口号、协议版本类型、传输协议类型以及IP地址的至少一项；所述策略生成单元具体包括：

ACL生成模块，用于根据所述协议端口号、协议版本类型、传输协议类型以及IP地址的至少一项生成具有队列优先级的访问控制列表ACL。

10.如权利要求6所述的装置，其特征在于，所述报文特征为MAC地址，所述策略生成单元具体包括：

BPDU表项生成模块，用于根据与指定协议类型对应的MAC地址生成网桥协议数据单元BPDU表项，并为所述BPDU表项设置队列优先级；将所述设置队列优先级的BPDU表项下发至所述转发芯片；所述BPDU表项用于将目的MAC地址匹配到所述BPDU表项中MAC地址的二层报文根据所述队列优先级添加至对应的报文转发队列中。

11.一种网络设备，其特征在于，所述网络设备包括转发芯片以及中央处理器CPU，其中：

CPU，用于根据与协议类型对应的报文特征生成设有队列优先级的控制策略，将所述控制策略下发至所述转发芯片，并接收所述转发芯片根据所述报文转发队列的队列优先级顺序上送的报文。

转发芯片，用于接收CPU下发的控制策略，在接收到报文时，将所述报文与预存的控制策略进行匹配，并将命中所述控制策略中报文特征的报文添加至与所设队列优先级对应的报文转发队列中。