CN105847087B - 非注入式网络侦听装置 - Google Patents

Abstract

本发明公开一种非注入式网络侦听装置，可在对原数据连接通路不造成任何影响的情况下实现对通信链路上双向数据的侦听、处理和转发，可用于任何对网络节点间的以太网通信有双向无干扰侦听需求的场合。该侦听装置将原数据通路的两对数据传输线进行并行分流，接入侦听网卡中；侦听网卡对网络通信链路上的双向数据同时进行接收，配合侦听装置嵌入式操作系统中的网卡驱动，便可以对通信链路上的数据流进行双向被动非耦合式侦听。当两个网络节点相互传输数据时，侦听装置即可在传输线路上监听到通信数据包。侦听装置提供多种输入输出接口，对侦听截获的原始数据，可通过用户应用程序并配合高性能CPU进行数据处理，然后经输出接口进行处理结果的输出。

Description

非注入式网络侦听装置

技术领域

发明涉及一种侦听装置，具体涉及一种基于非注入式双向通信抓包技术的以太网数据侦听装置，属于网络通信领域。

背景技术

以太网是产生较早，现已经被广泛使用的通信网络。当网络通信出现故障，或对以太网节点进行测试、监测时，常需要对以太网节点间的通讯数据进行监听。现有的网络侦听方式主要有两种，一种为借助于技术成熟的集线器(HUB)或交换机等设备，集线器会将收到的所有数据向其每个连接的端口进行转发，也就是当主机根据MAC地址进行数据发送时，尽管信息中包含目的主机的地址，但其他节点也会受到这些通信报文，只是正常状态下其他节点会对其忽略；而对于交换机，虽然进行的是端口到端口的数据传输，但可以将某个端口设置为需要监听端口的镜像端口，镜像端口拥有监听端口接收信息的拷贝，因此对于借助集线器或交换机的网络侦听方式，只需要将主机设置为混杂模式，并与集线器的任一端口相连，或与交换机的镜像端口连接，就可以实现对通信数据的监听。另一种方式是电子科技大学2010年硕士学位论文《网络侦听设备硬件模块设计》(作者：申杰)中采用的将侦听设备接入到网络通信链路中，对接收到的数据进行处理并转发数据，维持原有的以太网数据通信，并实现数据的侦听。

第一种实现方案需要将集线器或交换机加入通信链路，增加了通信节点，会对通信数据产生传输时延，同时也会提升系统的故障率。此种方案只能监听一个方向的通信数据，而原通信链路中的各节点在初始连接时会进行自动协商匹配，确定物理线路上的接收和发送数据线，因此侦听端口接收线路上镜像接收到的数据流向具有不确定性，即侦听到的数据流向具有不确定性。

作者韦韬和梁成在其实用新型《无源以太网数据侦听器》(CN2563850Y)中提出了一种无源以太网数据侦听器，采用二分方式截取网络线路上流动的网络数据，可以在不影响网络数据传输的情况下，对网络数据进行侦听，不改变原有网络的系统带宽、不增加传输时延、系统故障率低、实时性强。但此侦听器只是物理通信线路上以太网数据分流的实现，并未实现具体侦听方案和侦听功能。

发明内容

有鉴于此，本发明提供一种非注入式网络侦听装置，可在对原数据连接通路不造成任何影响的情况下实现对通信链路上双向数据的侦听、处理和转发，可用于任何对网络节点间的以太网通信有双向无干扰侦听需求的场合。

所述非注入式网络侦听装置包括：侦听接口、侦听网卡和输入输出接口；所述侦听网卡包括两个网卡芯片；

需要侦听的通信链路上的两个网络节点分别通过侦听接口接入网络侦听装置；在网络侦听装置内部将两个侦听接口直连；用于直连两个侦听接口的两对数据传输线分别接入所述侦听网卡的两个网卡芯片，两个网卡芯片分别对一个方向的数据流进行接收；

在所述网卡芯片的驱动中，关闭其自动协商匹配功能，设置网卡芯片的工作模式为全双工模式，通信速率为100Mbps；同时关闭收发线匹配功能；设置网卡芯片的接线方式为直连；且将侦听网卡设置为混杂模式；

所述输入输出接口用于实现网络侦听装置与外部的数据交互。

所述侦听接口为两个RJ45接口。

有益效果：

(1)该侦听装置将原通信数据线路引出并行分支进行数据侦听，不增加原有物理通信线路传输节点；具有专用的侦听网卡，能够对两个方向的通信数据同时进行侦听，因此可用于任何对网络节点间的以太网通信有双向无干扰侦听需求的场合，具有比较好的应用前景；侦听网卡具有侦听网卡专用驱动，使侦听网卡工作在静默接收状态，不会对其他节点产生任何影响。

(2)该侦听装置开放多种用户接口，以实现交互及用户应用程序的下载，同时开放多种接口进行处理结果的输出。

附图说明

图1为网络侦听装置的方案示意图。

具体实施方式

下面结合附图并举实施例，对本发明进行详细描述。

本实施例提供一种基于非注入式双向通信抓包技术的以太网数据侦听装置，可用于任何对网络节点间的以太网通信有双向无干扰侦听需求的场合。

如图1所示，该网络侦听装置包括：侦听接口、侦听网卡、通用网卡、输入输出接口以及为整个侦听装置供电的锂离子电池。所述侦听接口为两个RJ45接口；在物理线路上，将需要侦听的通信链路上的两个网络节点(图1中的网络节点1和网络节点2)分别通过两个RJ45接口接入网络侦听装置，在网络侦听装置内部将两个RJ45接口直连，不增加原有物理通信线路传输节点，保证原有数据通路。再将两条数据传输线进行并行分流，分别接入到侦听网卡中，进行数据接收，即如图1所示，用于直连两个网线接口RJ45的两条数据传输线各自通过一条数据线分别接入到侦听网卡中。

该网络侦听装置的核心功能为双向非注入式侦听，该功能便是通过侦听网卡配合其驱动程序来实现的。所述侦听网卡使用双网卡芯片(即包括网卡芯片1和网卡芯片2)，并行分流出的两条数据传输线分别接入两个网卡芯片，两个网卡芯片分别对一个方向的数据流进行接收，便可实现通信链路上双向数据的接收。网卡驱动中，将侦听网卡作为一个独立设备进行操作，同时对两个网卡芯片进行配置，并将双向接收到的网卡芯片传输过来的数据经过处理后传给应用层，这样应用层的应用程序就可以通过访问侦听网卡，读取其接收到的数据。所述的侦听网卡应实现节点无干扰接入和数据包侦听。

(1)节点无干扰接入设计

通信链路中各节点在初始连接时均会进行自动协商，根据另一端设备的连接速度和双工模式，自动把速度调节到最高公共水平，使线路两端具有最快的速度和双工模式。而自动协商功能允许一个网络设备能够将自己所支持的工作模式信息传达给网络上的对端，并接收对方可能传递过来的相应信息，从而解决双工和10M/100M速率自协商问题。自协商功能完全由物理层芯片设计实现，因此并不使用专用数据包或带来任何高层协议开销。此侦听装置的的侦听网卡接在原通信链路的并行分路上，如果只是简单将网络接口连接，网卡芯片同样会在连接时进行自动协商匹配，向外发送匹配信息，这会导致原通信链路上的两个传输节点及侦听网卡均对应两个对端，将造成双工模式和速率不能正常匹配；同时网卡芯片会对网线电缆连接方式进行自动检测，检测电缆上的数据接收线和发送线，通过切换网卡芯片到RJ45接口的直连和交叉连接方式实现收发匹配，而此系统中有三个网络节点，对于任意两个已连接的节点，第三个节点上的某个数据线缆会同时对应一个数据发送端和一个数据接收端，造成节点不能正常进行收发匹配。自动协商匹配和收发线匹配都会使网络节点之间不能正常连接，即侦听装置的直接接入会对原有网络节点造成干扰，使其无法正常通信。

因此网卡驱动设计中，需在网卡芯片的初始化过程对其进行相关配置，关闭其自动协商匹配功能；对单双工模式和通信速率等进行设置，默认设置网卡芯片的工作模式全双工模式，通信速率为100Mbps，并开放用户接口，可在应用层对双工模式和速率进行设置；同时关闭收发线匹配，并将网线的直连/交叉线连接方式进行设置为直连，由此就可以在底层解决侦听装置的接入干扰。

(2)数据包侦听设计

以太网数据帧在网络中传递时，凡是与发送方节点物理链路畅通的节点，均会接收到该发送节点发出的以太网帧，帧中包含有目的Mac地址。侦听网卡正常工作模式下会判断该目的MAC地址是否为自身MAC地址。若相等，则侦听网卡接收该帧，并按照TCP/IP协议要求打包上传至网络层。若不相等，则自动过滤该帧数据。

为了实现对所有通信数据的侦听，在网卡驱动程序中将侦听网卡设置为混杂模式，此时不论目的MAC地址与自身MAC地址是否相等，侦听网卡均会接收该帧并上传至网络层。此方式正是利用了以太网的数据传递方式和网卡的混杂工作模式而实现的，两者的联合工作保证了监测系统截获有线数据的准确、完整、可靠。

在应用层软件的设计中，只需要直接读取底层的网络通信数据包便可以实现通信数据的侦听。

该侦听装置提供丰富的输入输出接口，可进行应用程序下载、系统设置和数据输入输出等。输入输出接口包括10/100M自适应网络接口(即图1中的通用网卡)、Wifi接口、SD卡接口等。可通过侦听装置提供的多种输入输出接口进行用户应用程序的下载。对侦听截获的原始数据，通过用户应用程序进行数据提取，并配合装置的高性能CPU进行各种复杂的处理运算，或者只是简单地通过用户应用程序进行数据规格的转换。对于处理后的数据，可经过装置的Wifi模块或通用网卡将处理结果发送出去，或在装置的SD卡接口中插入可移动SD卡，将处理结果保存在移动存储卡中，进行后续处理。

本实施例中采用锂离子电池为整个侦听装置供电。

该侦听装置将原数据通路的两对数据传输线进行并行分流，接入侦听网卡中；所述侦听网卡能够对网络通信链路上的双向数据同时进行接收，配合侦听装置嵌入式操作系统中所设计的网卡驱动，便可以对通信链路上的数据流进行双向被动非耦合式侦听。当两个网络节点相互传输数据时，侦听装置即可在传输线路上监听到通信数据包。侦听装置提供多种输入输出接口，对侦听截获的原始数据，可通过下载的用户应用程序并配合装置的高性能CPU进行各种复杂的数据处理，然后经输出接口进行处理结果的输出。

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (4)

1.非注入式网络侦听装置，其特征在于，包括：侦听接口、侦听网卡和输入输出接口；所述侦听网卡包括两个网卡芯片；

需要侦听的通信链路上的两个网络节点分别通过RJ45侦听接口接入网络侦听装置；在网络侦听装置内部将两个RJ45侦听接口直连；用于直连两个RJ45侦听接口的两条数据传输线分别接入所述侦听网卡的两个网卡芯片，两个网卡芯片分别对一个方向的数据流进行接收；

在所述网卡芯片的驱动中，关闭其自动协商匹配功能，设置网卡芯片的工作模式为全双工模式，通信速率为100Mbps；同时关闭收发线匹配功能；设置网卡芯片的接线方式为直连；且将侦听网卡设置为混杂模式；

所述输入输出接口用于实现网络侦听装置与外部的数据交互。

2.如权利要求1所述的非注入式网络侦听装置，其特征在于，所述侦听接口为两个RJ45接口。

3.如权利要求1或2所述的非注入式网络侦听装置，其特征在于，还包括CPU，所述侦听网卡与CPU相连，所述CPU按照设定程序对侦听截获的原始数据进行处理，处理后的数据经过所述输入输出接口完成交互。

4.如权利要求3所述的非注入式网络侦听装置，其特征在于，所述输入输出接口包括：自适应网络接口、Wifi接口和SD卡接口；对于CPU处理后的数据，经过Wifi接口或自适应网络接口将处理结果发送出去，或在SD卡接口中插入可移动SD卡，将处理结果保存在SD卡中。