CN105721347A - 精确控制网络带宽的方法和系统 - Google Patents

Abstract

本发明公开了一种精确控制网络带宽的方法和系统，其中，所述方法包括：在主机系统内核检测每一个实时接收到的数据包是否包含配置文件中与应用程序相对应的特征码，如果所述数据包中包含配置文件中的特征码，在所述数据包的特定位置增加第一标记，所述第一标记与所述特征码对应的应用程序相对应；启动防火墙，根据所述第一标记和特定防火墙规则，过滤当前进行网络通信的数据包，并在过滤通过后的数据包中增加第二标记；和流量控制器根据所述第二标记与应用程序和网络带宽的对应关系，为当前进行网络连接的应用程序设置相应的网络带宽。本发明减少了对系统资源的占用，实现了对主机中当前网络连接的应用程序的网络带宽的精确控制。

Description

精确控制网络带宽的方法和系统

技术领域

本发明涉及网络数据处理技术领域，具体地说，涉及一种可以精确控制网络带宽的方法和系统。

背景技术

为了对某个应用程序(如测试软件A)进行精确的网络性能测试，通常要将其安装在某个主机(如PC机)上，为该主机的IP网络带宽设置为一个固定带宽，如100KB/s。如果所述测试软件A为一个设计可以连接1000人访问的应用程序，在进行测试时，要测试实际能有多少人来访问该软件。然而，在运行测试软件A的同时，所述PC主机上仍然还运行着其他的应用程序，例如，此时正在运行迅雷下载应用程序，迅雷下载应用程序正在下载电影。如果迅雷下载应用程序下载电影时占用了99KB的网络带宽，测试软件A仅有1KB的网络带宽可以使用。而该测试软件A有大量用户需要登陆测试软件A进行测试，假设一个用户大约占用1KB的带宽进行通信，可以得知，目前测试软件A只能与一个用户进行通信，因为该台主机的网络带宽几乎被迅雷全部占用，因而导致其它大量用户不能登陆测试软件A进行测试。

在对某个应用程序进行网络测试时，如果PC主机上的其他应用程序占用大部分、甚至80％以上的网络带宽，则会导致其它应用程序受网络总带宽的限制不能进行网络连接，从而严重影响了正常的网络测试。因而，这就提出了一个要解决的技术问题：即在进行网络测试时，需要对主机上的应用程序限制其使用的带宽。

为解决上述技术问题，目前业界设计出了可以精确控制网络带宽的硬件设备，但是目前这种设备昂贵，动辄几十万、上百万元人民币，不适合普及应用。另一种解决方案是，在linux系统中，通过使用iptables(linux防火墙)过滤具有指定应用程序特征码的应用程序数据包，通过识别特征码来识别用于限制带宽的应用程序，然后再使用tc(流量控制)来对过滤出来的应用程序分配指定的带宽。虽然这种方法提供了一种分配带宽的方案，但是，采用iptables(linux防火墙)来识别应用程序时，极其占用系统资源，并且对应用程序的识别率不高。另外，应用程序的特征码随时在更新，因而还需要不断更新特征码库，否则更不能准确识别。

发明内容

本发明要解决的技术问题在于，针对现有技术的不足，提供一种精确控制网络带宽的方法和系统，可以精确控制网络测试过程中每一种进行网络连接的应用程序的网络带宽，保证网络测试的正常进行。

为了解决上述技术问题，根据本发明的一个方面，本发明提供了一种精确控制网络带宽的方法，其中，包括以下步骤：

在主机系统内核检测每一个实时接收到的数据包是否包含配置文件中与应用程序相对应的特征码，如果所述数据包中包含配置文件中的特征码，在所述数据包中增加第一标记，所述第一标记与所述特征码对应的应用程序相对应；

启动防火墙，根据所述第一标记和特定防火墙规则，过滤当前进行网络通信的数据包，并在过滤通过后的数据包中增加第二标记；和

流量控制器根据所述第二标记与应用程序和网络带宽的对应关系，为当前进行网络连接的应用程序设置相应的网络带宽。

优选地，所述的配置文件通过以下步骤获得：

在主机系统内核抓取主机系统内安装的同一种应用程序的多个数据包；

分析所述多个数据包的数据信息，得到所述多个数据包中的相同数据信息；

将所述相同的数据信息确定为所述应用程序的特征码；和

将所述特征码和对应的应用程序写入所述配置文件。

或者，所述的配置文件还可以通过以下步骤获得：

根据主机系统内安装的每一种应用程序，在应用程序发布商的特征码库中获取相应的特征码；

将所述特征码和对应的应用程序写入所述配置文件。

优选地，在上述精确控制网络带宽的方法中，过滤当前进行网络通信的数据包之前包括：

所述防火墙接收正在进行网络通信的数据包；

检测所述数据包，判断所述数据包的数据信息中是否包括第一标记；

如果所述数据信息中包括所述第一标记，根据所述第一标记，获得与所述第一标记对应的应用程序的特定防火墙规则。

优选地，所述特定防火墙规则为预设的与应用程序相对应的防火墙规则，或通过以下步骤获得：

根据所述第一标记，确定应用程序；

根据所述应用程序，设置用于过滤所述应用程序数据包的规则。

优选地，所述主机系统内核为linux内核。

为了解决上述技术问题，根据本发明的另一个方面，本发明提供了一种精确控制网络带宽的系统，其中，包括：

包检测模块，设置于主机系统内核，用于检测每一个实时接收到的数据包是否包含配置文件中的特征码，在包含所述配置文件中的特征码的数据包中增加第一标记，所述第一标记与所述特征码对应的应用程序相对应；

防火墙模块，与所述包检测模块相连接，用于根据所述第一标记和特定防火墙规则，过滤当前进行网络通信的数据包，并在过滤通过后的数据包中增加第二标记；和

流量控制器，与所述防火墙模块相连接，用于根据所述第二标记与应用程序和网络带宽的对应关系，为当前进行网络连接的应用程序设置相应的网络带宽。

优选地，所述的包检测模块包括：

抓包单元，用于抓取主机系统接收到的数据包；

特征码匹配单元，与所述抓包单元相连接，用于将所述数据包的数据信息与所述配置文件中的特征码进行匹配，确定所述数据包中是否包含所述配置文件中的特征码；和

第一标记单元，与所述特征码匹配单元相连接，用于在数据包中包含所述配置文件中的特征码时，在所述数据包的特定位置增加第一标记，所述第一标记与所述特征码对应的应用程序相对应。

优选地，所述的包检测模块还包括：

数据包分析单元，与所述抓包单元相连接，用于比较所述抓包单元抓取的同一种应用程序的多个数据包的数据信息，得到所述多个数据包中的相同数据信息；和

配置文件生成单元，将所述相同的数据信息确定为所述应用程序的特征码，将所述特征码和对应的应用程序写入配置文件。

优选地，所述防火墙模块包括：

规则设定单元，用于根据所述第一标记和主机内安装的应用程序设定特定防火墙规则；

过滤单元，根据所述特定防火墙规则对经过包检测模块检测过的数据包进行过滤，并确定出符合所述特定防火墙规则的数据包；和

第二标记单元，用于在符合所述特定防火墙规则的数据包中增加第二标记。

本发明通过在主机系统内核来检测、识别数据包，并在数据包中增加对应于应用程序的标记，减少了对系统资源的占用，而且减少了防火墙在进行过滤时对数据包的识别负担，提高了过滤效率。本发明结合流量控制，实现了对每一个应用程序进行网络带宽的精确控制。与现有技术相比，在不需要昂贵的硬件设备的情况下，也可以做到精确控制每一种进行网络连接的应用程序的网络带宽，保证网络测试的正常进行，并且提高了数据包的识别率，降低了对系统资源的占用。不但提高了网络带宽利用率，并且还可以彻底封锁所有垃圾、流氓恶意应用程序。

附图说明

通过参照以下附图对本发明实施例的描述，本发明的上述以及其它目的、特征和优点将更为清楚，在附图中：

图1为本发明所述精确控制网络带宽的系统的原理框图；

图2为本发明所述包检测模块的原理框图；

图3为本发明所述精确控制网络带宽的方法中配置文件的生成流程图；

图4为本发明所述防火墙模块的原理框图；和

图5为本发明所述精确控制网络带宽的方法的流程图。

具体实施方式

以下基于实施例对本发明进行描述，但是本发明并不仅仅限于这些实施例。在下文对本发明的细节描述中，详尽描述了一些特定的细节部分。对本领域技术人员来说没有这些细节部分的描述也可以完全理解本发明。为了避免混淆本发明的实质，公知的方法、过程、流程没有详细叙述。另外附图不一定是按比例绘制的。

附图中的流程图、框图图示了本发明实施例的系统、方法、装置的可能的体系框架、功能和操作，流程图和框图上的方框可以代表一个模块、程序段或仅仅是一段代码，所述模块、程序段和代码都是用来实现规定逻辑功能的可执行指令。也应当注意，所述实现规定逻辑功能的可执行指令可以重新组合，从而生成新的模块和程序段。因此附图的方框以及方框顺序只是用来更好的图示实施例的过程和步骤，而不应以此作为对发明本身的限制。

如图1所示，为本发明所述精确控制网络带宽的系统的原理框图。本发明所述系统包括包检测模块1、防火墙模块2和流量控制器3，其中，包检测模块1设置于主机系统内核1A内，用于检测每一个实时接收到的数据包，并在包含所述配置文件中的特征码的数据包的特定位置增加第一标记。

防火墙模块2，与所述包检测模块1相连接，根据所述第一标记和特定防火墙规则，过滤当前进行网络通信的数据包，并在过滤通过后的数据包中增加第二标记。

流量控制器3，与所述防火墙模块2相连接，用于根据所述第二标记与应用程序和网络带宽的对应关系，为当前进行网络连接的的应用程序设置相应的网络带宽。

其中，所述的包检测模块1如图2所示，包括：抓包单元10、特征码匹配单元11、数据包分析单元12、配置文件生成单元13和第一标记单元14。抓包单元10抓取主机系统接收到的数据包，特征码匹配单元11与所述抓包单元10和配置文件生成单元13相连接，分析抓包单元10抓取的数据包，将所述数据包的数据信息与配置文件中的特征码进行匹配，确定所述数据包中是否包含所述配置文件中的特征码。如果所述数据包中包含所述配置文件中的特征码，由第一标记单元14在所述数据包的特定位置(如某个字节处)增加第一标记。其中，配置文件中记载了需要进行网络带宽限制的应用程序和相应的特征码。

为了得到该配置文件，可以有多种方法，其中一种方法便是通过分析后自动生成。具体地，如图3所示。

步骤S1,抓包单元10抓取主机系统内安装的每一种需要进行网络带宽控制的应用程序的多个数据包；将该应用程序的多个数据包发送给数据包分析单元12。

步骤S2,数据包分析单元12对所述多个数据包深入分析，比较多个数据包的数据信息，得到所述多个数据包中的相同数据信息。每一个应用程序，只要其涉及到网络通信，就会有一个唯一的特征码。该特征码与应用程序是一一对应的关系。在网络中传输的该应用程序的每一数据包中都包含有该特征码，多数情况下，该特征码位于数据包的包头信息中，但也有位于数据主体中，因此，需要对整个数据包进行分析。通过反复抓包进行对比分析，可以得到数据包中的相同的数据信息。例如，对于应用迅雷协议的数据包，其基本特征是，在TCP数据包头后的第1、17、18、19、20、21字节的值不变，分别为0x28、0x51、0x55、0x45、0x52、0x59，因而，将这些数据信息作为迅雷应用程序的特征码。

步骤S3,将所述相同的数据信息确定为所述应用程序的特征码。

步骤S4,配置文件生成单元13将所述特征码和对应的应用程序写入所述配置文件。

由以上方法，可以得到主机中所有的、可进行网络通信的应用程序的特征码，并形成后续使用的配置文件。

另一种方法，由于大部分应用程序的发布商都会公布所述应用程序的特征码，因此，根据主机系统内安装的每一种需要进行网络通信的应用程序，人工在应用程序发布商的特征码库中获取相应的特征码；再将所述特征码与对应的应用程序写入所述配置文件，从而人工形成后续使用的配置文件。

在进行数据包检测时，抓包单元10抓取每一个实时接收到的数据包，通常是指通过主机网卡的数据包；并将抓取到的数据包发送给所述特征码匹配单元11，所述特征码匹配单元11分析所述数据包的数据信息，并从配置文件生成单元13取得配置文件，将所述数据包的数据信息与配置文件中的特征码进行匹配，如果数据包中有和配置文件中的特征码相匹配的数据信息，则说明该数据包为与所述特征码相对应的应用程序的数据包。则此时，由第一标记单元24根据其内部存储的与所述应用程序对应的第一标记，在该数据包中增加相应的所述第一标记。

在本发明中，对应于不同的应用程序，设置有不同的第一标记，例如对应于迅雷的第一标记是00001，对应于酷狗的第一标记是00002，对应于QQ的第一标记是00003等。

数据包经过包检测模块1之后，在当前正在进行网络通信的应用程序的数据包中增加了第一标记，而后，数据包需要经过防火墙模块2进行过滤。

如图4所示，为本发明所述防火墙模块的原理框图。防火墙模块2包括规则设定单元21、过滤单元22和第二标记单元23。所述规则设定单元21根据所述第一标记和主机内安装的应用程序设定特定防火墙规则。具体的规则设定方法可以有两种，一种是预先人工配置好对各种可以进行网络通信的应用程序的过滤规则。不同的应用程序有不同的过滤规则，当防火墙模块启动后，通过过滤单元22识别数据包中是否包含第一标记，对于包含第一标记的数据包，根据第一标记，调取相应应用程序的过滤规则进行过滤。

另一种设定规则的方法是：在需要时自动生成。具体为：根据所述第一标记，确定应用程序；根据所述应用程序，设置用于过滤所述应用程数据包的规则。例如：针对迅雷下载应用程序设置的防火墙规则为：iptables-tmangle-IPOSTROUTING-mapplimit-applimit00001-jMARK–set-mark1111。当过滤单元22识别到数据包中包含第一标记时，根据第一标记，设置特定防火墙规则，根据所述特定防火墙规则对经过包检测模块检测过的数据包进行过滤，并确定出符合所述特定防火墙规则的数据包。第二标记单元23在符合所述特定防火墙规则的数据包中增加第二标记。其中，所述第二标记与应用程序及其应分配的网络带宽相对应，应用程序不同，应分配的网络带宽不同，而第二标记则代表应用程序。

流量控制器3根据所述第二标记与应用程序和网络带宽的对应关系，为当前运行的应用程序设置相应的网络带宽。从而精确地设置了当前进行网络连接的各个应用程序的网络带宽，在既不影响各应用程序的运行的情况下，也使网络测试得以正常进行，不会影响到测试结果。

如图5所示，为本发明所述的精确控制网络带宽的方法流程图。

步骤SA1,在主机系统内核抓取每一个实时接收到数据包。

步骤SA2，将所述数据包的数据信息与所述配置文件中的特征码进行匹配。

步骤SA3,判断数据包中是否包含了配置文件中的特征码，如果不包含与配置文件中的任何特征码相匹配的数据信息，则在步骤SA8对该数据包不做任何处理，返回步骤SA1，抓取下一个数据包。如果包含有和配置文件中的某一个特征码相匹配的数据信息，则说明该数据包属于该特征码对应的应用程序。

步骤SA4,在所述数据包中增加第一标记，用于标记出该数据包属于哪一种应用程序。

通过上述步骤，属于相同应用程序的数据包中标有相同的第一标记，应用程序不同，第一标记也不同。

步骤SA5,启动防火墙，按照特定防火墙规则过滤主机接收到的数据包，例如，迅雷下载应用程序的第一标记是00001，其对应的防火墙规则规则如下：iptables-tmangle-IPOSTROUTING-mapplimit--applimit00001-jMARK–set-mark1111，第一标记不同，应用程序不同，则使用的防火墙规则不同。

步骤SA6,在符合所述特定防火墙规则的数据包中增加第二标记，也就是在过滤通过后的数据包中增加第二标记，所述第二标记与对应的应用程序和相应的网络带宽的相对应。

步骤SA7,TC流量控制器根据所述第二标记，对当前运行的应用程序设置相应的网络带宽。

在上述系统和方法中，作为一个具体实施例，主机系统内核1A为liunx内核。对应的，防火墙模块2为linux防火墙iptables，其为对数据包进行检测的一款简易访问控制工具，可以将规则组成一个列表，实现绝对详细的访问控制功能。流量控制器3为Linux操作系统中的流量控制器TC(TrafficControl)，用于Linux内核的流量控制，主要是通过在输出端口处建立一个队列来实现流量控制。由于这些均为本领域内的公知常识，因而不再在此详细说明。

本发明通过在系统内核来识别数据包，并在数据包上增加标记，再由防火墙过滤带有该标记的数据包，最后使用流量控制器对当前进行网络连接的应用程序进行精确的流量控制，即分配精确的网络带宽。通过这种方法可以对每一种应用程序进行网络带宽精确控制，解决了网络测试时其它应用程序占用较多的网络带宽，而导致其它网络测试不能正常进行问题。

并且，由于本发明是在系统内核来识别数据包，因而占用系统资源极少，由于在数据包中增加了标记，所以提高了防火墙在对数据包过滤时的对数据包的识别率，为网络带宽的精确控制提供了可靠的基础。

以上所述仅为本发明的优选实施例，并不用于限制本发明，对于本领域技术人员而言，本发明可以有各种改动和变化。凡在本发明的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种精确控制网络带宽的方法，其中，包括以下步骤：

在主机系统内核检测每一个实时接收到的数据包是否包含配置文件中与应用程序相对应的特征码，如果所述数据包中包含配置文件中的特征码，在所述数据包中增加第一标记，所述第一标记与所述特征码对应的应用程序相对应；

启动防火墙，根据所述第一标记和特定防火墙规则，过滤当前进行网络通信的数据包，并在过滤通过后的数据包中增加第二标记；和

流量控制器根据所述第二标记与应用程序和网络带宽的对应关系，为当前进行网络连接的应用程序设置相应的网络带宽。

2.如权利要求1所述的精确控制网络带宽的方法，其中，所述的配置文件通过以下步骤获得：

在主机系统内核抓取主机系统内安装的同一种应用程序的多个数据包；

分析所述多个数据包的数据信息，得到所述多个数据包中的相同数据信息；

将所述相同的数据信息确定为所述应用程序的特征码；和

将所述特征码和对应的应用程序写入所述配置文件。

3.如权利要求1所述的精确控制网络带宽的方法，其中，所述的配置文件通过以下步骤获得：

根据主机系统内安装的每一种应用程序，从应用程序发布商的特征码库中获取相应的特征码；和

将所述特征码和对应的应用程序写入所述配置文件。

4.如权利要求1所述的精确控制网络带宽的方法，其中，过滤当前进行网络通信的数据包之前包括：

所述防火墙接收正在进行网络通信的数据包；

检测所述数据包，判断所述数据包的数据信息中是否包括第一标记；和

如果所述数据信息中包括所述第一标记，根据所述第一标记，获得与所述第一标记对应的应用程序的特定防火墙规则。

5.如权利要求4所述的精确控制网络带宽的方法，其中，所述特定防火墙规则为预设的与应用程序相对应的防火墙规则，或通过以下步骤获得：

根据所述第一标记，确定应用程序；和

根据所述应用程序，设置用于过滤所述应用程序数据包的规则。

6.如权利要求1所述的精确控制网络带宽的方法，其中，所述主机系统内核为linux内核。

7.一种精确控制网络带宽的系统，其中，包括：

包检测模块，设置于主机系统内核，用于检测每一个实时接收到的数据包是否包含配置文件中的特征码，在包含所述配置文件中的特征码的数据包中增加第一标记，所述第一标记与所述特征码对应的应用程序相对应；

防火墙模块，与所述包检测模块相连接，用于根据所述第一标记和特定防火墙规则，过滤当前进行网络通信的数据包，并在过滤通过后的数据包中增加第二标记；和

流量控制器，与所述防火墙模块相连接，用于根据所述第二标记与应用程序和网络带宽的对应关系，为当前进行网络连接的应用程序设置相应的网络带宽。

8.如权利要求7所述的精确控制网络带宽的系统，其中，所述的包检测模块包括：

抓包单元，用于抓取主机系统接收到的数据包；

特征码匹配单元，与所述抓包单元相连接，用于将所述数据包的数据信息与所述配置文件中的特征码进行匹配，确定所述数据包中是否包含所述配置文件中的特征码；和

第一标记单元，与所述特征码匹配单元相连接，用于在数据包中包含所述配置文件中的特征码时，在所述数据包中增加第一标记，所述第一标记与所述特征码对应的应用程序相对应。

9.如权利要求7所述的精确控制网络带宽的系统，其中，所述的包检测模块还包括：

数据包分析单元，与所述抓包单元相连接，用于比较所述抓包单元抓取的同一种应用程序的多个数据包的数据信息，得到所述多个数据包中的相同数据信息；和

配置文件生成单元，将所述相同的数据信息确定为所述应用程序的特征码，将所述特征码和对应的应用程序写入配置文件。

10.如权利要求7所述的精确控制网络带宽的系统，其中，所述防火墙模块包括：

规则设定单元，用于根据所述第一标记和主机内安装的应用程序设定特定防火墙规则；

过滤单元，根据所述特定防火墙规则对经过包检测模块检测过的数据包进行过滤，并确定出符合所述特定防火墙规则的数据包；和

第二标记单元，用于在符合所述特定防火墙规则的数据包中增加第二标记。