CN105611561B - 一种链路故障处理方法、装置和系统 - Google Patents

Abstract

本发明公开了一种链路故障处理方法、装置和系统，涉及通信技术领域，能够使基站与核心网之间的链路正常使用，从而可提高用户的体验。所述链路分别连接基站和核心网，所述核心网包括服务网管，所述方法包括：监测所述服务网管是否发出链路故障告警；当所述服务网管发出链路故障告警时，接收来自告警基站的报文；检测所述报文是否为畸形报文；当所述报文为畸形报文时，将所述畸形报文丢弃；当所述报文为非畸形报文时，判断在第一预设时间内接收到的来自所述告警基站的相同类型的非畸形报文的数量是否超过预设数量；当超过所述预设数量时，在第二预设时间内将来自所述告警基站的相同类型的非畸形报文丢弃。本发明主要用于链路故障处理过程中。

Description

一种链路故障处理方法、装置和系统

技术领域

本发明涉及通信技术领域，尤其涉及一种链路故障处理方法、装置和系统。

背景技术

小基站(Small Cell)特指小型一体化基站，其覆盖范围为几米至数百米，因而可应用于家庭、企业以及公共场所中，起到补盲补热的作用。

小基站可通过链路光纤与核心网建立连接，以进行网络通信，其中，核心网包括信令处理部分MME(Mobility Management Entity，移动管理实体)和数据处理部分S-GW(Serving Gateway，服务网管)。现有技术中，由于小基站通常处于企业和公共场所等开放位置，且无物理安全防护措施，因此，攻击者可将小基站和链路光纤的接口断开，将链路光纤接入交换机，然后再将伪造小基站和原小基站共同接入交换机中，以通过交换机和上述链路光纤与核心网进行网络通信。

本申请发明人在实际应用中发现，由于攻击者用伪造小基站接入原小基站和核心网之间的链路的时间较短，也即原小基站与核心网断开的时间较短，因而网管系统发出告警的时间较短，工作人员通常不会对这类告警的告警原因进行查询，从而也不会对引起告警的问题进行修复。在攻击者用伪造小基站接入原小基站和核心网之间的链路后，构造源地址为原小基站地址、目的地址为核心网地址的貌似正常的报文向核心网发送，核心网对报文进行检测后会向伪造小基站发送中断报文，使伪造小基站与核心网中断连接，此时，网管系统再次进行告警。而攻击者发送攻击报文的过程中，原小基站一直处于掉线状态，降低网络连接的连续性，使得用户无法正常通信，因而会降低用户的体验。

发明内容

本发明实施例提供一种链路故障处理方法、装置和系统，能够使基站与核心网之间的链路正常使用，从而提高网络连接的连续性，进而可使用户正常通信，提高用户的体验。

为达到上述目的，本发明的实施例采用如下技术方案：

一种链路故障处理方法，所述链路分别连接基站和核心网，所述核心网包括服务网管，所述方法包括：

监测所述服务网管是否发出链路故障告警；

当所述服务网管发出链路故障告警时，接收来自告警基站的报文；

检测所述报文是否为畸形报文；

当所述报文为畸形报文时，将所述畸形报文丢弃；

当所述报文为非畸形报文时，判断在第一预设时间内接收到的来自所述告警基站的相同类型的非畸形报文的数量是否超过预设数量；

当来自所述告警基站的相同类型的非畸形报文的数量超过所述预设数量时，在第二预设时间内将来自所述告警基站的相同类型的非畸形报文丢弃。

一种链路故障处理装置，所述链路分别连接基站和核心网，所述核心网包括服务网管，所述装置包括：

监测模块，用于监测所述服务网管是否发出链路故障告警；

接收模块，用于在所述监测模块监测到所述服务网管发出链路故障告警时，接收来自告警基站的报文；

检测模块，用于检测所述接收模块接收到的报文是否为畸形报文；

处理模块，用于当所述检测模块确定报文为畸形报文时，将所述畸形报文丢弃；当所述检测模块确定报文为非畸形报文时，判断在第一预设时间内接收到的来自所述告警基站的相同类型的非畸形报文的数量是否超过预设数量；当来自所述告警基站的相同类型的非畸形报文的数量超过所述预设数量时，在第二预设时间内将来自所述告警基站的相同类型的非畸形报文丢弃。

一种链路故障处理系统，所述系统包括基站、核心网以及如上所述的链路故障处理装置。

本发明提供的链路故障处理方法、装置和系统，当来自告警基站的报文为畸形报文时，将报文丢弃，因而使得移动管理实体不会因报文为畸形报文而发送中断报文，可消除攻击者对基站与移动管理实体之间的链路进行的部分攻击；当来自告警基站的报文为非畸形报文时，由于攻击者构造的类似正常的报文的类型相同，因而将相同类型的非畸形报文丢弃，可使得移动管理实体不会因报文为构造的类似正常的报文而发送中断报文。综上可知，可将攻击者发送的报文完全消除，因而能够使基站与核心网之间的链路正常使用，提高网络连接的连续性，从而可使用户正常通信，进而提高用户的体验。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一提供的链路故障处理方法的流程图；

图2为本发明实施例二提供的链路故障处理装置的一种结构示意图；

图3为本发明实施例二提供的链路故障处理装置的另一种结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一

为便于理解，在对本发明实施例中的技术方案进行描述之前，先对本发明实施例所适用的网络系统作简要介绍。本发明实施例主要适用于LTE(Long Term Evolution，长期演进)系统，该LTE系统包括两个网元，分别为EPC(Evolved Packet Core，演进分组核心网)和eNode B(Evolved Node B，演进节点B)，该eNode B也即以下所称基站，其中，EPC负责核心网，eNode B负责接入网。

核心网包括MME(Mobility Management Entity，移动管理实体)和S-GW(ServingGateway，服务网管)，其中，核心网中的移动管理实体与基站连接，用于对基站发送的消息进行处理；服务网管用于监控移动管理实体与基站之间的链路是否出现故障，当移动管理实体与基站之间的链路出现故障，例如断开时，服务网管发出故障告警。

接下来，对本发明实施例提供的链路故障处理方法进行描述，该链路分别连接基站和核心网，其中，基站可例如为小型一体化基站(以下称为小基站)或公用移动通信基站；如上所述，核心网包括服务网管。如图1所示，该处理方法包括：

S11、监测服务网管是否发出链路故障告警。

本步骤中，可通过接入服务网管的接口来监测服务网管是否发出链路故障告警。为便于本领域技术人员理解本发明实施例中的技术方案，以下对发明人在实际应用中发现的引起服务网管发出告警的情形进行简要说明，其中，上述情形至少包括以下两种：

第一种情形，基站为小基站，该小基站通常处于企业和公共场所等开放位置，因此，攻击者可直接接触小基站，将与小基站连接的链路光纤从小基站上拔下，然后将链路光纤连接到交换机，同时将小基站和伪装小基站连接到交换机。攻击者进行以上设置后，可使伪装小基站通过交换机获取小基站与核心网之间交互的信息，从而获取小基站的地址和移动管理实体的地址。在上述过程中，将链路光纤从小基站上拔下会使得小基站与移动管理实体之间的连接断开，从而导致网管系统发出告警，而在将小基站连接到交换机后，网管系统不再发出告警。需要说明的是，接入伪装小基站的时间比较短，因而网管系统发出告警的时间也比较短，工作人员通常不会对上述问题进行处理。

接着，伪装小基站可根据获取的小基站地址和移动管理实体地址，构造源地址为小基站地址、目的地址为移动管理实体地址的攻击报文，，并发送给移动管理实体，该攻击报文可为畸形报文或貌似正常的报文(与小基站发送的正常报文的格式相同的报文)，例如貌似正常的中断报文，移动管理实体接收到伪造小基站发送的攻击报文后，向小基站发送中断报文，强制中断小基站与移动管理实体之间的连接，此时，服务网管再次发出链路故障告警，攻击者不断向移动管理实体发送畸形报文或貌似正常报文的中断报文的过程中，小基站会一直处于与移动管理实体断开的状态，影响网络通信。其中，本步骤中“监测服务网管是否发出链路故障告警”是指监测服务网管第一次发出的链路故障告警。

第二种情形，基站为公用移动通信基站，攻击者可接入公用移动通信基站和移动管理实体之间的链路，截获公用移动通信基站和移动管理实体之间的交互信息，然后根据上述交互信息构造源地址为公用移动通信基站地址、目的地址为移动管理实体地址的攻击报文，并发送给移动管理实体，该攻击报文可为畸形报文或貌似正常的报文，例如貌似正常的中断报文，移动管理实体接收到上述攻击报文后，向公用移动通信基站发送中断报文，强制中断公用移动通信基站与移动管理实体之间的连接，此时，服务网管发出链路故障告警。攻击者不断向移动管理实体发送畸形报文或貌似正常报文的中断报文的过程中，公用移动通信基站一直处于与移动管理实体断开的状态，从而影响网络通信。

S12、当服务网管发出链路故障告警时，接收来自告警基站的报文。

其中，告警基站为与移动管理实体连接的多个基站中，与移动管理实体之间的链路出现故障的基站。来自告警基站的报文中具有基站发送的正常报文和攻击者发送的攻击报文。

S13、检测报文是否为畸形报文。

其中，畸形报文为在块长度、验证标签或非法填充字段等方面存在漏洞的报文。

S14、当报文为畸形报文时，将畸形报文丢弃。

本步骤中，通过将畸形报文丢弃，可使移动管理实体不会接收到畸形报文，从而使得移动管理实体不会因报文为畸形报文而发送中断报文，从而可消除攻击者对基站与移动管理实体之间的链路进行的部分攻击。

S15、当报文为非畸形报文时，判断在第一预设时间内接收到的来自告警基站的相同类型的非畸形报文的数量是否超过预设数量。

其中，非畸形报文可例如为正常报文或攻击者伪造的类似正常报文的攻击报文，上述非畸形报文的格式为，在块长度和验证标签中无漏洞，并且无非法填充字段等的报文。

在本步骤中，可根据报文的格式确定是否为相同类型的非畸形报文，例如，根据报文的源和目的IP地址、传输层报文的源和目的端口号以及报文数据块字段的块类型信息确定是否为相同类型的非畸形报文。具体实施时，将报文的源IP地址相同、报文的目的IP地址相同、传输层报文的源端口号相同、传输层报文的目的端口号相同并且报文数据块字段的块类型均相同的报文确定为相同类型的非畸形报文。

其中，第一预设时间为从检测得知报文为非畸形报文开始经过的一段时间，该时间可根据运行维护经验和网络策略进行设置，例如，该时间可设置为5s、10s等。预设数量也可根据运行维护经验和网络策略进行设置，例如，预设数量可为5个、10个等。由此，“判断在第一预设时间内接收到的来自告警基站的相同类型的非畸形报文的数量是否超过预设数量”例如可以为，判断在5s内接收到的来自告警基站的相同类型的非畸形报文的数量是否超过10个，或者，判断在10s内接收到的来自告警基站的相同类型的非畸形报文的数量是否超过5个。

S16、当来自告警基站的相同类型的非畸形报文的数量超过预设数量时，在第二预设时间内将来自告警基站的相同类型的非畸形报文丢弃。

其中，第二预设时间可为从确定来自告警基站的相同类型的非畸形报文的数量超过预设数量开始到故障告警解除之间的时间。

由上可知，当来自告警基站的报文为畸形报文时，将报文丢弃，因而使得移动管理实体不会因报文为畸形报文而发送中断报文，可消除攻击者对基站与移动管理实体之间的链路进行的部分攻击。当来自告警基站的报文为非畸形报文时，由于攻击者构造的类似正常的报文的类型相同，因而将此类相同类型的非畸形报文丢弃，可使得移动管理实体不会因报文为构造的类似正常的报文而发送中断报文。综上可知，可将攻击者发送的攻击报文完全消除。

当基站为小基站时，将攻击者发送的攻击报文完全消除，可使得在服务网管第一次发出链路故障告警之后，小基站与移动管理实体之间的链路不会因攻击报文再次中断，因而不会使用户的通信中断，从而可提高用户体验。当基站为公用移动通信基站时，也能够将攻击者发送的攻击报文完全消除，可使得在服务网管发出链路故障告警后，使公用移动通信基站和移动管理实体之间的链路恢复连接，因而可使用户的通信恢复连接，从而提高网络连接的连续性，进而可使用户正常通信，提高用户体验。综上可知，可保证基站和移动管理实体之间的链路正常连接，从而提高用户体验。

在上述实施例中，如上所述，核心网可包括移动管理实体，将来自基站的报文发送给移动管理实体，以使移动管理实体对报文进行处理可在：第一种情形，步骤S15、判断在第一预设时间内接收到的来自告警基站的相同类型的非畸形报文的数量是否超过预设数量之前，或者第二种情形，步骤S16、将来自告警基站的相同类型的非畸形报文丢弃之后，以下对上述两种情形进行描述：

在第一种情形中，在判断非畸形报文是否为攻击者发送的攻击报文之前，将非畸形报文发送给移动管理实体，使得移动管理实体对非畸形报文进行处理。可使得移动管理实体对非畸形报文进行处理的同时，执行步骤S15和步骤S16，因而可使得当非畸形报文为正常报文时，非畸形报文进入移动管理实体的时间没有延时，从而可提高移动管理实体的效率。需要说明的是，在该情形中，当在步骤S16中来自告警基站的相同类型的非畸形报文的数量超过预设数量时，会在将来自告警基站的相同类型的非畸形报文丢弃之后，将非畸形报文发送给移动管理实体，使得移动管理实体对这些非畸形报文进行正常处理。

在第二种情形中，在判断非畸形报文是否为攻击者发送的攻击报文且对抛弃攻击者发送的攻击报文后，将非畸形报文发送给移动管理实体，使得移动管理实体对非畸形报文进行处理。可使进入移动管理实体的报文均为正常报文，因而可保证进入移动管理实体的报文的安全性。

本领域技术人员可根据需求确定将来自基站的报文发送给移动管理实体的时间，本申请对此不作具体限定。其中，上述移动管理实体对非畸形报文进行处理可为，移动管理实体对报文进行解封装等，其可参照现有技术，此处不再详细介绍。

此外，本发明实施例提供的链路故障处理方法还包括：当服务网管未发生链路故障告警时，对来自告警基站的报文进行透传处理。其中，透传处理为，无论传输何种业务，不对传输的业务进行处理，仅将需要传送的业务传送到目的节点，同时保证传输的质量即可。

实施例二

如图2所示，本发明实施例二提供了一种链路故障处理装置20，其中，链路分别连接基站和核心网，核心网包括服务网管，装置20包括：监测模块201，用于监测服务网管是否发出链路故障告警；接收模块202，用于在监测模块201监测到服务网管发出链路故障告警时，接收来自告警基站的报文；检测模块203，用于检测接收模块202接收的报文是否为畸形报文；处理模块204用于，当检测模块203确定报文为畸形报文时，将畸形报文丢弃；当检测模块203确定报文为非畸形报文时，判断在第一预设时间内接收到的来自告警基站的相同类型的非畸形报文的数量是否超过预设数量；当来自告警基站的相同类型的非畸形报文的数量超过预设数量时，在第二预设时间内将来自告警基站的相同类型的非畸形报文丢弃。

其中，监测模块201与服务网管的接口连接。处理模块204根据报文的源和目的IP地址、传输层报文的源和目的端口号以及报文数据块字段的块类型信息来确定是否为相同类型的非畸形报文。由上可知，当来自告警基站的报文为畸形报文时，处理模块204将报文丢弃，因而使得移动管理实体不会因报文为畸形报文而发送中断报文，可消除攻击者对基站与移动管理实体之间的链路进行的部分攻击；当来自告警基站的报文为非畸形报文时，由于攻击者构造的类似正常的报文的类型相同，因而处理模块204将相同类型的非畸形报文丢弃，可使得移动管理实体不会因报文为构造的类似正常的报文而发送中断报文。综上可知，可将攻击者发送的攻击报文完全消除，从而可保证基站和移动管理实体之间的链路的连接，提高网络连接的连续性，进而可使用户正常通信，提高用户体验。

根据实施例一的内容可知，核心网还包括移动管理实体。如图3所示，为将来自基站的报文发送到移动管理实体，装置20还包括：转发模块205，用于在处理模块204判断在第一预设时间内接收到的来自告警基站的相同类型的非畸形报文的数量是否超过预设数量之前，将非畸形报文发送给移动管理实体，使得移动管理实体对非畸形报文进行处理。此时，可使当非畸形报文为正常报文时，可使得非畸形报文进入移动管理实体的时间没有延时，因而可提高移动管理实体的效率。

其中，上述处理模块204还用于，当服务网管未发生链路故障告警时，对来自告警基站的报文进行透传处理。

需说明的是，本发明实施例二提供的链路故障处理装置20的各模块的具体功能请参见前文方法实施例一。

此外，本发明实施例还提供了一种链路故障处理系统，该系统包括基站、核心网以及如上所述的链路故障处理装置20。其中，该链路故障处理装置20连接在基站和核心网之间的链路上。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。

需说明的是，以上所描述的装置实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。另外，本发明提供的装置实施例附图中，模块之间的连接关系表示它们之间具有通信连接，具体可以实现为一条或多条通信总线或信号线。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (9)

1.一种链路故障处理方法，所述链路分别连接基站和核心网，所述核心网包括服务网管，其特征在于，所述方法包括：

监测所述服务网管是否发出链路故障告警；

当所述服务网管发出链路故障告警时，接收来自告警基站的报文；

检测所述报文是否为畸形报文；

当所述报文为畸形报文时，将所述畸形报文丢弃；

当所述报文为非畸形报文时，判断在第一预设时间内接收到的来自所述告警基站的相同类型的非畸形报文的数量是否超过预设数量；

当来自所述告警基站的相同类型的非畸形报文的数量超过所述预设数量时，在第二预设时间内将来自所述告警基站的相同类型的非畸形报文丢弃，所述第二预设时间为从确定来自告警基站的相同类型的非畸形报文的数量超过预设数量开始到故障告警解除之间的时间。

2.根据权利要求1所述的链路故障处理方法，其特征在于，所述核心网还包括移动管理实体，在判断在第一预设时间内接收到的来自所述告警基站的相同类型的非畸形报文的数量是否超过预设数量之前，所述方法还包括：

将所述非畸形报文发送给所述移动管理实体，使得所述移动管理实体对所述非畸形报文进行处理。

3.根据权利要求1所述的链路故障处理方法，其特征在于，根据报文的源和目的IP地址、传输层报文的源和目的端口号以及报文数据块字段的块类型信息来确定是否为相同类型的非畸形报文。

4.根据权利要求1所述的链路故障处理方法，其特征在于，所述方法还包括：

当所述服务网管未发生链路故障告警时，对来自所述告警基站的报文进行透传处理。

5.一种链路故障处理装置，所述装置分别连接基站和核心网，所述核心网包括服务网管，其特征在于，所述装置包括：

监测模块，用于监测所述服务网管是否发出链路故障告警；

接收模块，用于在所述监测模块确定所述服务网管发出链路故障告警时，接收来自告警基站的报文；

检测模块，用于检测所述接收模块接收到的报文是否为畸形报文；

处理模块，用于当所述检测模块确定报文为畸形报文时，将所述畸形报文丢弃；当所述检测模块检测到报文为非畸形报文时，判断在第一预设时间内接收到的来自所述告警基站的相同类型的非畸形报文的数量是否超过预设数量；当来自所述告警基站的相同类型的非畸形报文的数量超过所述预设数量时，在第二预设时间内将来自所述告警基站的相同类型的非畸形报文丢弃，所述第二预设时间为从确定来自告警基站的相同类型的非畸形报文的数量超过预设数量开始到故障告警解除之间的时间。

6.根据权利要求5所述的链路故障处理装置，其特征在于，所述核心网还包括移动管理实体，所述装置还包括：

转发模块，用于在所述处理模块判断在第一预设时间内接收到的来自所述告警基站的相同类型的非畸形报文的数量是否超过预设数量之前，将所述非畸形报文发送给所述移动管理实体，使得所述移动管理实体对所述非畸形报文进行处理。

7.根据权利要求5所述的链路故障处理装置，其特征在于，所述处理模块根据报文的源和目的IP地址、传输层报文的源和目的端口号以及报文数据块字段的块类型信息来确定是否为相同类型的非畸形报文。

8.根据权利要求5所述的链路故障处理装置，其特征在于，所述处理模块还用于，当所述监测模块未监测到服务网管发生链路故障告警时，对来自基站的报文进行透传处理。

9.一种链路故障处理系统，其特征在于，所述系统包括基站、核心网以及权利要求5-8任一所述的链路故障处理装置。