CN105610763A - 协议识别方法及装置 - Google Patents

Abstract

本发明提供一种协议识别方法及装置，该方法包括：创建协商节点，协商节点包括数据连接协议，以及客户端或服务器的IP地址和端口；获取数据连接请求报文，数据连接请求报文包括客户端或服务器的IP地址和端口；将数据连接请求报文与协商节点进行匹配，以识别出数据连接请求报文的数据连接协议，从而识别出客户端与服务器之间的数据连接协议。通过本发明方案，先创建包括数据连接协议，以及客户端或服务器的IP地址和端口的协商节点；再将数据连接请求报文中的IP地址和端口与协商节点中的IP地址和端口进行匹配，若匹配成功，则将协商节点中的数据连接协议作为数据连接请求报文的数据连接协议，从而识别出客户端与服务器之间的数据连接协议。

Description

协议识别方法及装置

技术领域

本发明涉及网络通信技术领域，特别涉及一种协议识别方法及装置。

背景技术

由于攻击检测、病毒检测、访问控制、带宽管理等功能均基于特定的协议，因此若能准确识别出客户端与服务器之间的数据连接协议，就可以限制病毒的攻击、控制客户端的访问权限、限制客户端的带宽等，这在网络通信管理领域具有重大的意义。

通常，客户端可以通过向服务器发送控制连接请求报文，与服务器建立控制连接；在客户端与服务器建立控制连接后，客户端可以通过向服务器发送数据连接请求报文，与服务器建立数据连接。现有技术中，在客户端向服务器发起数据连接时，无法识别两者之间的数据连接协议。

发明内容

有鉴于此，本发明提供一种协议识别方法及装置，以解决在客户端向服务器发起数据连接时，无法识别两者之间的数据连接协议的问题。

根据本发明的一个方面，本发明实施例提供了一种协议识别方法，包括以下步骤：

创建协商节点，所述协商节点包括数据连接协议，以及客户端或服务器的IP地址和端口；

获取数据连接请求报文，所述数据连接请求报文包括客户端或服务器的IP地址和端口；

将所述数据连接请求报文与所述协商节点进行匹配，以识别出所述数据连接请求报文的数据连接协议，从而识别出所述客户端与所述服务器之间的数据连接协议。

根据本发明的另一个方面，本发明实施例提供一种协议识别装置，包括：

创建单元，用于创建协商节点，所述协商节点包括数据连接协议，以及客户端或服务器的IP地址和端口；

获取单元，用于获取数据连接请求报文，所述数据连接请求报文包括客户端或服务器的IP地址和端口；

匹配单元，分别与所述创建单元、所述获取单元连接，用于将所述数据连接请求报文与所述协商节点进行匹配，以识别出所述数据连接请求报文的数据连接协议，从而识别出所述客户端与所述服务器之间的数据连接协议。

综上所述，由于采用了上述技术方案，本发明的有益效果是：

本发明实施例中，由于数据连接请求报文中包括客户端或服务器的IP地址和端口，因此在客户端通过数据连接请求报文与服务器建立数据连接之前，先创建包括数据连接协议，以及客户端或服务器的IP地址和端口的协商节点；再将数据连接请求报文中的IP地址和端口与协商节点中的IP地址和端口进行匹配，若匹配成功，则将协商节点中的数据连接协议作为数据连接请求报文的数据连接协议，从而识别出客户端与服务器之间的数据连接协议。

附图说明

图1是应用本发明实施例实现协议识别的应用场景示意图；

图2是本发明协议识别方法的一个实施例流程图；

图3是本发明协议识别方法的另一个实施例流程图；

图4是本发明协议识别方法的另一个实施例流程图；

图5是本发明协议识别装置所在设备的一种硬件结构图；

图6是本发明协议识别装置的一个实施例框图；

图7是本发明协议识别装置的另一个实施例框图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明实施例的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明实施例中技术方案作进一步详细的说明。

参见图1，为应用本发明实施例实现协议识别的应用场景示意图。

图1中，客户端与服务器之间的连接包括控制连接和数据连接，客户端可以为手机、iPad、笔记本等。客户端通过向服务器的固定端口发送控制连接请求报文，与服务器建立控制连接。在客户端与服务器建立控制连接后，客户端可以通过向服务器发送数据连接请求报文，与服务器建立数据连接。

以FTP(FileTransferProtocol，文件传输协议)通信协议为例：

在客户端与服务器建立控制连接时，客户端通过向服务器的21端口发送控制连接请求报文，与服务器建立控制连接。

在客户端与服务器建立数据连接时，客户端通过控制连接的数据通道向服务器发送监听请求报文(即PASV命令)，该监听请求报文用于请求服务器返回其用于接收客户端发送的数据连接请求报文的临时端口；服务器在接收到监听请求报文后，向客户端发送监听应答报文，该监听应答报文包括服务器的IP(InternetProtocol，网络协议)地址以及服务器用于接收客户端发送的数据连接请求报文的临时端口；客户端在接收到监听应答报文后，通过向服务器的临时端口发送数据连接请求报文，与服务器建立数据连接。

综上所述，服务器用于与客户端建立控制连接的端口为固定端口，根据该固定端口，可以识别出客户端与服务器之间的控制连接协议。然而，服务器用于与客户端建立数据连接的端口为临时端口，根据该临时端口，无法识别出数据连接的协议。本发明实施例通过在客户端与服务器之间增加协议识别装置，来监听客户端与服务器之间的交互报文，并且该协议识别装置根据客户端与服务器之间的交互报文，可以识别出客户端与服务器之间的数据连接协议。

参见图2，为本发明协议识别方法的一个实施例流程图，该方法包括以下步骤：

步骤201、创建协商节点，该协商节点包括数据连接协议，以及客户端或服务器的IP地址和端口。协商节点可以仅包括客户端的IP地址和端口，可以仅包括服务器的IP地址和端口，还可以既包括客户端的IP地址和端口，又包括服务器的IP地址和端口。

在本实施例中，协商节点中的数据连接协议，以及客户端或服务器的IP地址和端口可以根据控制连接请求报文来确定。

在根据控制连接请求报文确定协商节点中的数据连接协议时，由于针对不同的控制连接协议，服务器通常采用不同的固定端口来接收控制连接请求报文，且在客户端向服务器发送的控制连接请求报文中包括该固定端口，因此根据控制连接请求报文中的固定端口，可以识别出对应的控制连接协议。诸如，在FTP通信协议中，由于服务器采用21端口来接收控制连接请求报文，因此根据控制连接请求报文中的21端口，可以识别出FTP通信协议中的TCP(TransmissionControlProtocol，传输控制协议)控制连接协议；在RTSP(RealTimeStreamingProtocol，实时流传输协议)/RTP(Real-timeTransportProtocol，实时传输协议)通信协议中，由于服务器采用544端口来接收控制连接请求报文，因此根据控制连接请求报文中的544端口，可以识别出RTSP/RTP通信协议中的RTSP控制连接协议。

另外，由于针对包括控制连接协议和数据连接协议的通信协议，控制连接协议与数据连接协议呈相互对应的关系，因此在识别出控制连接协议的基础上，可以确定其对应的数据连接协议。诸如，针对包括TCP控制连接协议和TCP数据连接协议的FTP通信协议，在识别出控制连接协议为TCP控制连接协议的基础上，可以确定其对应的数据连接协议为TCP数据连接协议；针对包括RTSP控制连接协议和RTP数据连接协议的RTSP/RTP通信协议，在识别出控制连接协议为RTSP控制连接协议的基础上，可以确定其对应的数据连接协议为RTP数据连接协议。

由此可见，根据控制连接请求报文中服务器用于接收控制连接请求报文的端口，可以确定协商节点的数据连接协议。

在根据控制连接请求报文确定协商节点中客户端或服务器的IP地址和端口时，由于控制连接请求报文中可以包括传输标志，该传输标志可以包括客户端的IP地址、客户端用于发送数据连接请求报文的端口、服务器的IP地址以及服务器用于接收客户端发送的数据连接请求报文的端口。

因此，根据控制连接请求报文的传输标志中客户端的IP地址以及客户端用于发送数据连接请求报文的端口，可以确定协商节点中客户端的IP地址和端口；根据控制连接请求报文的传输标志中服务器的IP地址以及服务器用于接收客户端发送的数据连接请求报文的端口，可以确定协商节点中服务器的IP地址和端口。

在本实施例中，协商节点中服务器的IP地址和端口还可以根据服务器在接收到客户端发送的监听请求报文后，向客户端发送的监听应答报文来确定。

由于在客户端与服务器建立数据连接时，客户端通过向服务器发送监听请求报文，请求服务器返回其用于接收客户端发送的数据连接请求报文的端口。服务器在接收到监听请求报文后，向客户端发送监听应答报文，该监听应答报文包括服务器的IP地址以及服务器用于接收客户端发送的数据连接请求报文的端口。因此，根据服务器向客户端发送的监听应答报文，可以确定协商节点中服务器的IP地址和端口。

步骤202、获取数据连接请求报文，该数据连接请求报文包括客户端或服务器的IP地址和端口。该数据连接请求报文可以仅包括客户端的IP地址和端口，可以仅包括服务器的IP地址和端口，还可以既包括客户端的IP地址和端口，又包括服务器的IP地址和端口。

步骤203、将数据连接请求报文与协商节点进行匹配，以识别出该数据连接请求报文的数据连接协议，从而识别出客户端与服务器之间的数据连接协议。

在本实施例中，将数据连接请求报文与协商节点进行匹配，可以包括以下三种情况：

在协商节点中仅包括客户端的IP地址和端口时，将数据连接请求报文中客户端的IP地址与协商节点中客户端的IP地址进行匹配，将数据连接请求报文中客户端的端口与协商节点中客户端的端口进行匹配，在两者均匹配成功时，将协商节点中的数据连接协议作为数据连接请求报文的数据连接协议。

在协商节点中仅包括服务器的IP地址和端口时，将数据连接请求报文中服务器的IP地址与协商节点中服务器的IP地址进行匹配，将数据连接请求报文中服务器的端口与协商节点中服务器的端口进行匹配，在两者均匹配成功时，将协商节点中的数据连接协议作为数据连接请求报文的数据连接协议。

在协商节点中既包括客户端的IP地址和端口，又包括服务器的IP地址和端口时，可以选择以客户端和服务器中一个设备的IP地址和端口为基础，将数据连接请求报文与协商节点进行匹配，也可以选择以客户端和服务器两个设备的IP地址和端口为基础，将数据连接请求报文与协商节点进行匹配。

由上述实施例可见，由于数据连接请求报文中包括客户端或服务器的IP地址和端口，因此本实施例在客户端通过数据连接请求报文与服务器建立数据连接之前，先创建包括数据连接协议，以及客户端或服务器的IP地址和端口的协商节点；再将数据连接请求报文中的IP地址和端口与协商节点中的IP地址和端口进行匹配，若匹配成功，则将协商节点中的数据连接协议作为数据连接请求报文的数据连接协议，从而识别出客户端与服务器之间的数据连接协议。

参见图3，为本发明协议识别方法的另一个实施例流程图，以客户端基于RTSP/RTP通信协议与服务器建立通信连接为例，对协议识别方法进行详细描述，该方法包括以下步骤：

步骤301、获取客户端向服务器的544端口发送的控制连接请求报文。

步骤302、根据控制连接请求报文，确定协商节点中的数据连接协议为RTP数据连接协议。

在本实施例中，由于服务器的544端口为服务器用于接收RTSP/RTP通信协议的控制连接请求报文的固定端口，因此根据控制连接请求报文中的544端口可以确定客户端与服务器之间的控制连接协议为RTSP/RTP通信协议中的RTSP控制连接协议。另外，由于RTSP/RTP通信协议中RTSP控制连接协议与RTP数据连接协议呈相对应的关系，因此在识别出RTSP控制连接协议的基础上，可以确定对应的数据连接协议为RTP数据连接协议，从而确定协商节点中的数据连接协议为RTP数据连接协议。

步骤303、根据控制连接请求报文中的Transport标志，确定协商节点中客户端的IP地址和端口，以及服务器的IP地址和端口。

在本实施例中，控制连接请求报文中包括传输标志Transport标志，该传输标志包括客户端的IP地址、客户端用于发送数据连接请求报文的端口、服务器的IP地址、以及服务器用于接收数据连接请求报文的端口。

传输标志中客户端和服务器的端口可以通过程序“Transport:RTP/AVP/UDP；unicast；server_port＝？；client_port＝？”来确定，其中，Transport表示传输标志，unicast表示单通道，server_port表示服务器的端口，client_port表示客户端的端口。

步骤304、获取客户端向服务器发送的数据连接请求报文，该数据连接请求报文可以包括客户端的IP地址和端口，以及服务器的IP地址和端口。

步骤305、将数据连接请求报文与协商节点进行匹配，以识别出数据连接请求报文的数据连接协议，从而确定客户端与服务器之间的数据连接协议。

在本实施例中，在将数据连接请求报文与协商节点进行匹配时，可以将数据连接请求报文中服务器的IP地址与协商节点中服务器的IP地址进行匹配，且将数据连接请求报文中服务器的端口与协商节点中服务器的端口进行匹配，若两者均匹配成功，则将RTP数据连接协议作为数据连接请求报文的数据连接协议；也可以将数据连接请求报文中客户端的IP地址与协商节点中客户端的IP地址进行匹配，且将数据连接请求报文中客户端的端口与协商节点中客户端的端口进行匹配，若两者均匹配成功，则将RTP数据连接协议作为数据连接请求报文中的数据连接协议。

参见图4，为本发明协议识别方法的另一个实施例流程图，以客户端基于FTP通信协议与服务器建立通信连接为例，对协议识别方法进行详细描述，该方法包括以下步骤：

步骤401、接收客户端向服务器的21端口发送的控制连接请求报文。

步骤402、根据控制连接请求报文，确定协商节点中的数据连接协议为TCP数据连接协议。

在本实施例中，由于服务器的21端口为服务器用于接收FTP通信协议的控制连接请求报文的固定端口，因此根据控制连接请求报文中的21端口，可以确定客户端与服务器之间的控制连接协议为FTP通信协议中的TCP控制连接协议。另外，由于FTP通信协议中TCP控制连接协议与TCP数据连接协议呈相对应的关系，因此在识别出TCP控制连接协议的基础上，可以确定对应的数据连接协议为TCP数据连接协议，从而确定协商节点中的数据连接协议为TCP数据连接协议。

步骤403、获取服务器在接收到客户端发送的PASV命令后，向客户端发送的监听应答报文，该监听应答报文包括服务器的IP地址，以及服务器用于接收客户端发送的数据连接请求报文的端口。

步骤404、根据监听应答报文，确定协商节点中服务器的IP地址和端口。

步骤405、创建协商节点，该协商节点包括TCP数据连接协议、服务器的IP地址和端口。

步骤406、获取客户端向服务器发送的数据连接请求报文，该数据连接请求报文可以包括服务器的IP地址和端口。

步骤407、将数据连接请求报文与协商节点进行匹配：若数据连接请求报文中服务器的IP地址与协商节点中服务器的IP地址相匹配，且数据连接请求报文中服务器的端口与协商节点中服务器的端口相匹配，则可以将TCP数据连接协议作为数据连接请求报文中的数据连接协议，从而确定客户端与服务器之间的数据连接协议为TCP数据连接协议。

与前述协议识别方法实施例相对应，本发明还提供了协议识别装置的实施例。

本发明协议识别装置的实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图5所示，为本发明协议识别装置所在设备的一种硬件结构图，除了图5所示的处理器、网络接口、内存以及非易失性存储器之外，实施例中装置所在的设备通常还可以包括其他硬件，如负责处理报文的转发芯片等等；从硬件结构上来讲该设备还可能是分布式的设备，可能包括多个接口卡，以便在硬件层面进行报文处理的扩展。

参见图6，为本发明协议识别装置的一个实施例框图，所述装置包括：获取单元610、创建单元620和匹配单元630。

其中，获取单元610，用于获取数据连接请求报文，该数据连接请求报文包括客户端或服务器的IP地址和端口。

创建单元620，用于创建协商节点，该协商节点包括数据连接协议，以及客户端或服务器的IP地址和端口。

匹配单元630，分别与获取单元610、创建单元620连接，用于将数据连接请求报文与协商节点进行匹配，以识别出数据连接请求报文的数据连接协议，从而识别出客户端与服务器之间的数据连接协议。

参见图7，为本发明协议识别装置的另一个实施例框图，其与图6所示实施例的区别在于，创建单元620还包括以下至少一个确定单元：第一确定单元710、第二确定单元720、第三确定单元730和第四确定单元740。

其中，获取单元610，还用于获取控制连接请求报文。

第一确定单元710，与获取单元610连接，用于根据控制连接请求报文中服务器用于接收控制连接请求报文的端口，确定协商节点中的数据连接协议。

第二确定单元720，与获取单元610连接，用于根据控制连接请求报文中的传输标志，确定协商节点中客户端的IP地址和端口，该传输标志包括客户端的IP地址，以及客户端用于发送数据连接请求报文的端口。

第三确定单元730，与获取单元610连接，用于根据控制连接请求报文中的传输标志，确定协商节点中服务器的IP地址和端口。

获取单元610，还用于获取服务器在接收到客户端发送的监听请求报文后，向客户端发送的监听应答报文，监听请求报文用于请求服务器返回服务器用于接收客户端发送的数据连接请求报文的端口；

第四确定单元740，与获取单元610连接，用于根据监听应答报文，确定协商节点中服务器的IP地址和端口，监听应答报文包括服务器的IP地址，以及服务器用于接收客户端发送的数据连接请求报文的端口。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本发明方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

由上述实施例可见，由于数据连接请求报文中包括客户端或服务器的IP地址和端口，因此本实施例在客户端通过数据连接请求报文与服务器建立数据连接之前，先创建包括数据连接协议，以及客户端或服务器的IP地址和端口的协商节点；再将数据连接请求报文中的IP地址和端口与协商节点中的IP地址和端口进行匹配，若匹配成功，则将协商节点中的数据连接协议作为数据连接请求报文的数据连接协议，从而识别出客户端与服务器之间的数据连接协议。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明的其它实施方案。本申请旨在涵盖本发明的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明的一般性原理并包括本发明未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本发明的真正范围和精神由下面的权利要求指出。

应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。

Claims (10)

1.一种协议识别方法，其特征在于，包括以下步骤：

创建协商节点，所述协商节点包括数据连接协议，以及客户端或服务器的IP地址和端口；

获取数据连接请求报文，所述数据连接请求报文包括客户端或服务器的IP地址和端口；

将所述数据连接请求报文与所述协商节点进行匹配，以识别出所述数据连接请求报文的数据连接协议，从而识别出所述客户端与所述服务器之间的数据连接协议。

2.根据权利要求1所述的方法，其特征在于，还包括：

获取控制连接请求报文；

且所述创建协商节点，包括：

根据控制连接请求报文中服务器用于接收所述控制连接请求报文的端口，确定所述协商节点中的数据连接协议。

3.根据权利要求1所述的方法，其特征在于，还包括：

获取控制连接请求报文；

且所述创建协商节点包括：

根据控制连接请求报文中的传输标志，确定所述协商节点中客户端的IP地址和端口，所述传输标志包括客户端的IP地址，以及客户端用于发送数据连接请求报文的端口。

4.根据权利要求1所述的方法，其特征在于，还包括：

获取控制连接请求报文；

且所述创建协商节点包括：

根据控制连接请求报文中的传输标志，确定所述协商节点中服务器的IP地址和端口，所述传输标志包括服务器的IP地址，以及服务器用于接收客户端发送的数据连接请求报文的端口。

5.根据权要求1所述的方法，其特征在于，还包括：

获取服务器在接收到客户端发送的监听请求报文后，向客户端发送的监听应答报文，所述监听请求报文用于请求服务器返回其用于接收数据连接请求报文的端口；

且所述创建协商节点包括：

根据所述监听应答报文，确定所述协商节点中服务器的IP地址和端口，所述监听应答报文包括服务器的IP地址，以及服务器用于接收数据连接请求报文的端口。

6.一种协议识别装置，其特征在于，包括：

创建单元，用于创建协商节点，所述协商节点包括数据连接协议，以及客户端或服务器的IP地址和端口；

获取单元，用于获取数据连接请求报文，所述数据连接请求报文包括客户端或服务器的IP地址和端口；

匹配单元，分别与所述创建单元、所述获取单元连接，用于将所述数据连接请求报文与所述协商节点进行匹配，以识别出所述数据连接请求报文的数据连接协议，从而识别出所述客户端与所述服务器之间的数据连接协议。

7.根据权利要求6所述的装置，其特征在于，

所述获取单元，还用于获取控制连接请求报文；

且所述创建单元包括：

第一确定单元，与所述获取单元连接，用于根据所述控制连接请求报文中服务器用于接收所述控制连接请求报文的端口，确定所述协商节点中的数据连接协议。

8.根据权利要求6所述的装置，其特征在于，

所述获取单元，还用于获取控制连接请求报文；

且所述创建单元包括：

第二确定单元，与所述获取单元连接，用于根据所述控制连接请求报文中的传输标志，确定所述协商节点中客户端的IP地址和端口，所述传输标志包括客户端的IP地址，以及客户端用于发送数据连接请求报文的端口。

9.根据权利要求6所述的装置，其特征在于，

所述获取单元，还用于获取控制连接请求报文；

所述创建单元包括：

第三确定单元，与所述获取单元连接，用于根据所述控制连接请求报文中的传输标志，确定所述协商节点中服务器的IP地址和端口，所述传输标志包括服务器的IP地址，以及服务器用于接收客户端发送的数据连接请求报文的端口。

10.根据权利要求6所述的装置，其特征在于，

所述获取单元，还用于获取服务器在接收到客户端发送的监听请求报文后，向客户端发送的监听应答报文，所述监听请求报文用于请求服务器返回其用于接收数据连接请求报文的端口；

所述创建单元包括：

第四确定单元，与所述获取单元连接，用于根据所述监听应答报文，确定所述协商节点中服务器的IP地址和端口，所述监听应答报文包括服务器的IP地址，以及服务器用于接收客户端发送的数据连接请求报文的端口。