CN106452979A - 一种在线捕包方法及工具 - Google Patents

Abstract

本申请公开了一种在线捕包方法，包括：为目标网卡创建在线捕包线程集；其中，在线捕包线程集中的不同在线捕包线程对应于目标网卡中的不同网卡端口；启动在线捕包线程集中的每个在线捕包线程，然后利用零拷贝技术，从相应的网卡端口处截获网络数据包。本申请在启动对某个网卡的捕包流程之前，预先为该网卡上的不同网卡端口创建各自相对应的在线捕包线程，得到相应的在线捕包线程集，然后通过启动上述在线捕包线程集中的每个在线捕包线程，便可从相应的多个网卡端口上截获网络数据包，也即，在一轮捕包过程中，可以对一个网卡上的多个不同的网卡端口进行捕包操作，由此可有效地提升在线捕包效率。另外，本申请还相应公开了一种在线捕包工具。

Description

一种在线捕包方法及工具

技术领域

本发明涉及数据采集技术领域，特别涉及一种在线捕包方法及工具。

背景技术

目前，从网络端口上收取的数据包，会通过网卡硬件分流，分配到各个硬件队列上，为了确保数据流的负载均衡，有的网卡驱动还根据客户个性化需求设计，在硬件分流的基础上又添加了一层软件分流，以实现数据流的负载均衡及其他特性。为了能够更好的分析从网络端口接收到的数据包，需要提供额外的在线捕包工具，在不影响主应用进程的条件下实现在线捕包功能，或将数据包屏幕打印，或将数据包保存为.pcap文件，可以被WireShark等工具打开分析。现有的在线捕包工具具有实现过程简单、容易开发等特点，但是单位时间内捕包的数量较少，捕包效率较低，有待进一步的提升。

综上所述可以看出，如何提升在线捕包效率是目前有待解决的问题。

发明内容

有鉴于此，本发明的目的在于提供一种在线捕包方法及工具，提升了在线捕包效率。其具体方案如下：

可选的，所述为目标网卡创建在线捕包线程集的过程，包括：

从所述目标网卡中确定出需要进行捕包处理的N个网卡端口；其中，N为正整数；

获取与所述N个网卡端口分别一一对应的N组线程数据；

利用所述N组线程数据，为所述N个网卡端口分别一对一地配置相应的在线捕包线程，得到相应的N个在线捕包线程。

可选的，所述N组线程数据中的每组线程数据均包括相应的在线捕包约束条件。

可选的，从任一网卡端口处截获网络数据包的过程，包括：

步骤S41：对该网卡端口进行实时的网络数据包截获操作；

步骤S42：对当前已截获的网络数据包进行信息统计，得到相应的实时统计信息；

步骤S43：判断实时统计信息是否满足与该网卡端口对应的在线捕包约束条件，如果是，则停止与该网卡端口对应的在线捕包线程，如果否，则重新进入步骤S41。

可选的，所述启动所述在线捕包线程集中的每个在线捕包线程的过程之后，还包括：

判断是否获取到中断信号；

若判定已获取到所述中断信号，则强制停止当前所有处于运行状态的在线捕包线程。

本发明还公开了一种在线捕包工具，包括：

线程创建模块，用于为目标网卡创建在线捕包线程集；其中，所述在线捕包线程集中的不同在线捕包线程对应于所述目标网卡中的不同网卡端口；

线程运行模块，用于启动所述在线捕包线程集中的每个在线捕包线程，然后利用零拷贝技术，从相应的网卡端口处截获网络数据包。

可选的，所述线程创建模块，包括：

端口确定单元，用于从所述目标网卡中确定出需要进行捕包处理的N个网卡端口；其中，N为正整数；

数据获取单元，用于获取与所述N个网卡端口分别一一对应的N组线程数据；

线程配置单元，用于利用所述N组线程数据，为所述N个网卡端口分别一对一地配置相应的在线捕包线程，得到相应的N个在线捕包线程。

可选的，所述N组线程数据中的每组线程数据均包括相应的在线捕包约束条件。

可选的，所述线程运行模块包括数据包截获单元、信息统计单元和信息判断单元；其中，

所述数据包截获单元，用于对任一网卡端口进行实时的网络数据包截获操作；

所述信息统计单元，用于对当前所述数据包截获单元已截获的网络数据包进行信息统计，得到相应的实时统计信息；

所述信息判断单元，用于判断所述信息统计单元得到的实时统计信息是否满足与该网卡端口对应的在线捕包约束条件，如果是，则停止与该网卡端口对应的在线捕包线程，如果否，则继续维持当前所述数据包截获单元的工作流程。

可选的，所述在线捕包工具，还包括：

信号判断单元，用于在所述线程运行模块启动所述在线捕包线程集中的每个在线捕包线程之后，判断是否获取到中断信号；

线程强制停止单元，用于当所述信号判断单元判定已获取到所述中断信号，则强制停止当前所有处于运行状态的在线捕包线程。

本发明中，在线捕包方法，包括：为目标网卡创建在线捕包线程集；其中，在线捕包线程集中的不同在线捕包线程对应于目标网卡中的不同网卡端口；启动在线捕包线程集中的每个在线捕包线程，然后利用零拷贝技术，从相应的网卡端口处截获网络数据包。

可见，本发明在启动对某个网卡的捕包流程之前，预先为该网卡上的不同网卡端口创建各自相对应的在线捕包线程，得到相应的在线捕包线程集，然后通过启动上述在线捕包线程集中的每个在线捕包线程，便可从相应的多个网卡端口上截获网络数据包，也即，在一轮捕包过程中，可以对一个网卡上的多个不同的网卡端口进行捕包操作，由此可有效地提升在线捕包效率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例公开的一种在线捕包方法流程图；

图2为本发明实施例公开的一种具体的在线捕包方法流程图；

图3为本发明实施例公开的一种在线捕包工具结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例公开了一种在线捕包方法，参见图1所示，该方法包括：

步骤S11：为目标网卡创建在线捕包线程集；其中，在线捕包线程集中的不同在线捕包线程对应于目标网卡中的不同网卡端口。

需要说明的是，上述步骤S11所创建的在线捕包线程集中，每个在线捕包线程对应于目标网卡上的不同网卡端口。其中，上述目标网卡具体可以是Intel82599万兆网卡。

步骤S12：启动在线捕包线程集中的每个在线捕包线程，然后利用零拷贝技术，从相应的网卡端口处截获网络数据包。

具体的，本实施例可以同时启动上述在线捕包线程集中的所有在线捕包线程，当然，也可以在很短的时间段内依次启动上述在线捕包线程集中的所有在线捕包线程。本实施例中，任一在线捕包线程启动之后，将会利用零拷贝技术，从相应的网卡端口处截获网络数据包。

可见，本发明实施例在启动对某个网卡的捕包流程之前，预先为该网卡上的不同网卡端口创建各自相对应的在线捕包线程，得到相应的在线捕包线程集，然后通过启动上述在线捕包线程集中的每个在线捕包线程，便可从相应的多个网卡端口上截获网络数据包，也即，在同一轮捕包过程中，可以对一个网卡上的多个不同的网卡端口进行捕包操作，由此可有效地提升在线捕包效率。

参见图2所示，本发明实施例公开了一种具体的在线捕包方法，包括如下步骤：

步骤S21：从目标网卡中确定出需要进行捕包处理的N个网卡端口；其中，N为正整数。

可以理解的是，上述N值小于或等于目标网卡中的端口总数。本实施例中，可以由用户根据实际的数据监测需要，人为主动地从上述目标网卡中确定出需要进行捕包处理的N个网卡端口。当然，也可以由系统主动定期地从目标网卡中随机筛选出N个网卡端口。

步骤S22：获取与上述N个网卡端口分别一一对应的N组线程数据。

其中，上述N组线程数据中的每组线程数据均包括相应的在线捕包约束条件。本实施例中，在线捕包约束条件是指对相应捕包线程的捕包数目、捕包时长、捕包文件大小等进行个性化约束限制的条件。

步骤S23：利用上述N组线程数据，为上述N个网卡端口分别一对一地配置相应的在线捕包线程，得到相应的N个在线捕包线程，也即得到相应的在线捕包线程集。

步骤S24：启动上述N个在线捕包线程中的每个在线捕包线程，然后利用零拷贝技术，从相应的网卡端口处截获网络数据包。

具体的，上述从任一网卡端口处截获网络数据包的过程，可以包括下面步骤S21至S33：

步骤S31：对该网卡端口进行实时的网络数据包截获操作；

步骤S32：对当前已截获的网络数据包进行信息统计，得到相应的实时统计信息；

步骤S33：判断实时统计信息是否满足与该网卡端口对应的在线捕包约束条件，如果是，则停止与该网卡端口对应的在线捕包线程，如果否，则重新进入步骤S31。

进一步的，本实施例中，在启动上述在线捕包线程集中的每个在线捕包线程的过程之后，还包括：

判断是否获取到中断信号，若判定已获取到中断信号，则强制停止当前所有处于运行状态的在线捕包线程。

相应的，本发明实施例还公开了一种在线捕包工具，参见图3所示，该包括：

线程创建模块11，用于为目标网卡创建在线捕包线程集；其中，在线捕包线程集中的不同在线捕包线程对应于目标网卡中的不同网卡端口；

线程运行模块12，用于启动在线捕包线程集中的每个在线捕包线程，然后利用零拷贝技术，从相应的网卡端口处截获网络数据包。

可见，本发明实施例在启动对某个网卡的捕包流程之前，预先为该网卡上的不同网卡端口创建各自相对应的在线捕包线程，得到相应的在线捕包线程集，然后通过启动上述在线捕包线程集中的每个在线捕包线程，便可从相应的多个网卡端口上截获网络数据包，也即，在同一轮捕包过程中，可以对一个网卡上的多个不同的网卡端口进行捕包操作，由此可有效地提升在线捕包效率。

具体的，上述线程创建模块，可以包括端口确定单元、数据获取单元以及线程配置单元；其中，

端口确定单元，用于从目标网卡中确定出需要进行捕包处理的N个网卡端口；其中，N为正整数；

数据获取单元，用于获取与上述N个网卡端口分别一一对应的N组线程数据；本实施例中，上述N组线程数据中的每组线程数据均可以包括相应的在线捕包约束条件。

线程配置单元，用于利用上述N组线程数据，为上述N个网卡端口分别一对一地配置相应的在线捕包线程，得到相应的N个在线捕包线程。

另外，上述线程运行模块具体可以包括数据包截获单元、信息统计单元和信息判断单元；其中，

数据包截获单元，用于对任一网卡端口进行实时的网络数据包截获操作；

信息统计单元，用于对当前数据包截获单元已截获的网络数据包进行信息统计，得到相应的实时统计信息；

信息判断单元，用于判断信息统计单元得到的实时统计信息是否满足与该网卡端口对应的在线捕包约束条件，如果是，则停止与该网卡端口对应的在线捕包线程，如果否，则继续维持当前数据包截获单元的工作流程。

进一步的，本实施例中的在线捕包工具，还可以包括信号判断单元和线程强制停止单元；其中，

信号判断单元，用于在线程运行模块启动在线捕包线程集中的每个在线捕包线程之后，判断是否获取到中断信号；

线程强制停止单元，用于当信号判断单元判定已获取到中断信号，则强制停止当前所有处于运行状态的在线捕包线程。

需要具体说明的是，本实施例中，在线捕包工具最初需要利用其所基于的网卡驱动来实现，打开网卡驱动，并将其作为一个主应用外的从属应用。从属应用即其从网卡收包队列中获取包的优先级要低于主应用，以不影响主应用对网络数据包的正常处理。在线捕包工具接下来以网卡端口为依据，配置对应的线程以及主要的线程数据，以适配不同的约束条件。此项工作可以通过解析预先创建的配置文件，并根据解析配置文件的结果来进行动态构建，另一种常用的方法是，出于性能考虑一般一台服务器上同时网口聚合的数目不会超过8个，可以以此为上限设置宏，定义静态的线程数据数组，通过解析配置文件的结果，顺序填充线程数据数组。

本实施例在线捕包工具的主进程中，可通过循环方式阻塞主进程，然后依次启动每个网络端口对应的线程，在循环中依次判断每个线程的个性约束条件是否满足，如满足，则将线程停止，等到全部线程遍历完毕，判断主进程是否收到中断信号，若没有，则再进行下一次遍历，对于已经停止的线程，则不对其遍历。当所有线程停止，或主进程收到中断信号时，在线捕包停止。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上对本发明所提供的一种在线捕包方法及工具进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种在线捕包方法，其特征在于，包括：

为目标网卡创建在线捕包线程集；其中，所述在线捕包线程集中的不同在线捕包线程对应于所述目标网卡中的不同网卡端口；

启动所述在线捕包线程集中的每个在线捕包线程，然后利用零拷贝技术，从相应的网卡端口处截获网络数据包。

2.根据权利要求1所述的在线捕包方法，其特征在于，所述为目标网卡创建在线捕包线程集的过程，包括：

从所述目标网卡中确定出需要进行捕包处理的N个网卡端口；其中，N为正整数；

获取与所述N个网卡端口分别一一对应的N组线程数据；

利用所述N组线程数据，为所述N个网卡端口分别一对一地配置相应的在线捕包线程，得到相应的N个在线捕包线程。

3.根据权利要求2所述的在线捕包方法，其特征在于，所述N组线程数据中的每组线程数据均包括相应的在线捕包约束条件。

4.根据权利要求3所述的在线捕包方法，其特征在于，从任一网卡端口处截获网络数据包的过程，包括：

步骤S41：对该网卡端口进行实时的网络数据包截获操作；

步骤S42：对当前已截获的网络数据包进行信息统计，得到相应的实时统计信息；

步骤S43：判断实时统计信息是否满足与该网卡端口对应的在线捕包约束条件，如果是，则停止与该网卡端口对应的在线捕包线程，如果否，则重新进入步骤S41。

5.根据权利要求1至4任一项所述的在线捕包方法，其特征在于，所述启动所述在线捕包线程集中的每个在线捕包线程的过程之后，还包括：

判断是否获取到中断信号；

若判定已获取到所述中断信号，则强制停止当前所有处于运行状态的在线捕包线程。

6.一种在线捕包工具，其特征在于，包括：

线程创建模块，用于为目标网卡创建在线捕包线程集；其中，所述在线捕包线程集中的不同在线捕包线程对应于所述目标网卡中的不同网卡端口；

线程运行模块，用于启动所述在线捕包线程集中的每个在线捕包线程，然后利用零拷贝技术，从相应的网卡端口处截获网络数据包。

7.根据权利要求6所述的在线捕包工具，其特征在于，所述线程创建模块，包括：

端口确定单元，用于从所述目标网卡中确定出需要进行捕包处理的N个网卡端口；其中，N为正整数；

数据获取单元，用于获取与所述N个网卡端口分别一一对应的N组线程数据；

线程配置单元，用于利用所述N组线程数据，为所述N个网卡端口分别一对一地配置相应的在线捕包线程，得到相应的N个在线捕包线程。

8.根据权利要求7所述的在线捕包工具，其特征在于，所述N组线程数据中的每组线程数据均包括相应的在线捕包约束条件。

9.根据权利要求8所述的在线捕包工具，其特征在于，所述线程运行模块包括数据包截获单元、信息统计单元和信息判断单元；其中，

所述数据包截获单元，用于对任一网卡端口进行实时的网络数据包截获操作；

所述信息统计单元，用于对当前所述数据包截获单元已截获的网络数据包进行信息统计，得到相应的实时统计信息；

所述信息判断单元，用于判断所述信息统计单元得到的实时统计信息是否满足与该网卡端口对应的在线捕包约束条件，如果是，则停止与该网卡端口对应的在线捕包线程，如果否，则继续维持当前所述数据包截获单元的工作流程。

10.根据权利要求6至9任一项所述的在线捕包工具，其特征在于，还包括：

信号判断单元，用于在所述线程运行模块启动所述在线捕包线程集中的每个在线捕包线程之后，判断是否获取到中断信号；

线程强制停止单元，用于当所述信号判断单元判定已获取到所述中断信号，则强制停止当前所有处于运行状态的在线捕包线程。