CN106789388A - 报文检测内容的确定方法及装置 - Google Patents

Abstract

本发明实施例提供了一种报文检测内容的确定方法及装置。所述方法的具体实施方式包括：接收目标报文，查找所述目标报文中包含的因特网互联协议IP特征值的位置；根据IP报文的格式以及查找到的IP特征值的位置，从所述目标报文中确定内层IP报文头的起始位置；将所述内层IP报文头的起始位置与所述目标报文的报文尾之间的内容确定为深度报文检测的目标检测内容。本实施例能够降低处理复杂度，减少设备资源耗费。

Description

报文检测内容的确定方法及装置

技术领域

本发明涉及报文检测领域，特别涉及一种报文检测内容的确定方法及装置。

背景技术

多封装报文是指除了采用因特网互联协议(Internet Protocol，IP)进行封装之外，还采用了其他封装协议进行封装的报文，例如还采用通用路由封装(Generic Routing Encapsulation，GRE)、第二层隧道协议(Layer 2TunnelingProtocol，L2TP)、多协议标签交换(Multiprotocol Label Switching，MPLS)等协议中的一种或多种进行封装的报文。

现有技术中，针对于多封装报文，在对其进行深度报文检测(Deep PacketInspection，DPI)处理时，通常先从报文中确定DPI处理的目标检测内容，即内层IP报文部分，再针对确定的检测内容进行DPI处理。

具体地，通过如下方式来确定DPI处理的目标检测内容：先检测多封装报文中外层报文所采用的封装协议，当检测出封装协议之后，根据该协议报文头的特点，对报文内容进行相应的偏移，以便去掉该封装协议的封装头部分，从而获得DPI的目标检测内容。

但是，检测封装协议的过程将耗费一部分设备资源。并且，如果报文采用了除IP协议封装之外的两种以上的封装技术，那么需要进行多次封装协议的检测，其处理复杂度将大大增加，也将耗费检测设备大量的资源。例如，对于MPLS封装，需要检测以太网的Type是否为MPLS，此处检测将耗费一部分资源。如果MPLS封装的IP后还有一层GRE封装，那么设备需要再做一次协议匹配。如果报文中采用了两层隧道封装，则处理复杂度再翻倍。并且，如果设备中没有更新相应的封装协议，则对报文所采用的其他封装协议进行检测时，其处理过程的复杂度将更大。

发明内容

本发明实施例的目的在于提供了一种报文检测内容的确定方法及装置，以降低处理复杂度，减少设备资源消耗。

为了达到上述目的，本发明公开了一种报文检测内容的确定方法，应用于检测设备，所述方法包括：

接收目标报文，查找所述目标报文中包含的因特网互联协议IP特征值的位置；

根据IP报文的格式以及查找到的IP特征值的位置，从所述目标报文中确定内层IP报文头的起始位置；

将所述内层IP报文头的起始位置与所述目标报文的报文尾之间的内容确定为深度报文检测的目标检测内容。

为了达到上述目的，本发明还公开了一种报文检测内容的确定装置，应用于检测设备，所述装置包括：

查找模块，用于接收目标报文，查找所述目标报文中包含的因特网互联协议IP特征值的位置；

第一确定模块，用于根据IP报文的格式以及查找到的IP特征值的位置，从所述目标报文中确定内层IP报文头的起始位置；

第二确定模块，用于将所述内层IP报文头的起始位置与所述目标报文的报文尾之间的内容确定为深度报文检测的目标检测内容。

由上述技术方案可见，本发明实施例通过从目标报文中查找IP特征值，并根据IP报文的格式以及查找到的IP特征值的位置，从所述目标报文中确定内层IP报文头的起始位置，从而将内层IP报文头的起始位置与报文尾之间的内容确定为深度报文检测的目标检测内容。也就是说，本发明实施例根据查找到的IP特征值及IP报文格式来确定内层IP报文的起始位置，进而将该内层IP报文的起始位置与报文尾之间的内容确定为目标检测内容，无需对多封装报文所采用的其他封装协议进行检测，能够降低处理复杂度，减少设备资源消耗。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍。显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为深度报文检测在内部网络和外部网络之间的作用示意图；

图2为本发明实施例提供的报文检测内容的确定方法的一种流程示意图；

图3a为封装协议的示意图(1)；

图3b为封装协议的示意图(2)；

图3c为封装协议的示意图(3)；

图4为本发明实施例提供的图2中步骤102的另一种流程示意图；

图5为本发明实施例提供的报文检测内容的确定装置的一种结构示意图；

图6为本发明实施例提供的报文检测内容的确定装置的另一种结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述。显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供了一种报文检测内容的确定方法及装置，可以通过查找IP报文的特征值，从多封装报文中确定深度报文检测DPI处理的目标检测内容，无需对多封装报文所采用的其他封装协议进行检测，能够降低处理复杂度，减少设备资源耗费。

下面通过具体实施例，对本发明进行详细说明。

图2为本发明实施例提供的报文检测内容的确定方法的一种流程示意图，应用于检测设备，其包括如下步骤：

步骤101：接收目标报文，查找所述目标报文中包含的因特网互联协议IP特征值的位置。

其中，目标报文一般是检测设备接收到的从外部网络发送至内部网络或从内部网络发送至外部网络的报文。具体的，检测设备可以包括网关设备等。

目标报文一般都是经过了多层封装协议的封装，例如，采用MPLS协议封装的报文如图3a所示，其中，图3a中具体包括二层头、MPLS头、IP头和数据部分；采用GRE协议封装的报文如图3b所示，其中，图3b中的报文采用了两层IP封装，图中具体包括外层IP头、GRE头、内层IP头和数据部分；采用L2TP封装的报文如图3c所示，其中，图3c中具体包括L2TP头、点对点协议头(Point toPoint Protocol，PPP)头、IP头和数据部分。由于深度报文检测(DPI)只对应用层的IP报文内容进行检测，因此，需要确定最内层的IP报文，即目标检测内容。针对多封装技术，现有技术中存在无法简便地获取DPI处理的目标检测内容的问题。

在一个例子中，IP特征值可以为0x45。需要说明的是，由于目标报文中可能包含多层IP封装，因此检测到的IP特征值的位置可能有多个。另外，目标报文的数据部分也可能包含该IP特征值。

步骤102：根据IP报文的格式以及查找到的IP特征值的位置，从所述目标报文中确定内层IP报文头的起始位置。

在一个例子中，由于查找到的IP特征值的位置可能不止一个，因此需要根据IP报文的格式，进一步从查找到的IP特征值的位置中确定内层IP报文头的起始位置。从目标报文中确定内层IP报文头的起始位置的方式可以有多种，在本实施例中对该方式不进行限定。

步骤103：将所述内层IP报文头的起始位置与所述目标报文的报文尾之间的内容确定为深度报文检测的目标检测内容。

当确定内层IP报文头的起始位置之后，该内层IP报文头的起始位置与报文尾之间的内容即为深度报文检测的目标检测内容。一般情况下，该目标检测内容中包括IP封装头、传输控制协议TCP封装头或用户数据报协议UDP头两者之一、数据部分等。

由以上内容可知，本实施例中，本发明实施例根据查找到的IP特征值及IP报文格式来确定内层IP报文的起始位置，进而将该内层IP报文的起始位置与报文尾之间的内容确定为目标检测内容，无需对多封装报文所采用的其他封装协议一一进行检测，能够降低处理复杂度，减少设备资源耗费。

作为本发明的另一个实施例，图2所示实施例还可以包括：当检测到所述目标报文中不包含所述IP特征值时，对所述目标报文进行转发。当目标报文中不包含IP特征值时，说明该目标报文不属于IP报文，直接对该目标报文进行转发即可。

作为本发明的另一个实施例，由于从目标报文中查找到的IP特征值可能有多个，并且报文中的数据部分也可能出现其值等于IP特征值的数值，因此为了更准确地确定内层IP报文头的起始位置，图2中的步骤102中，根据IP报文的格式以及查找到的IP特征值的位置，从所述目标报文中确定内层IP报文头的起始位置，可以按如图4所示流程示意图进行，可以包括：

步骤102A：根据查找到的IP特征值的位置，将从所述目标报文的报文尾到所述目标报文的报文头方向的第一个IP特征值的位置选取为目标IP报文头的起始位置。

步骤102B：根据所述目标IP报文头的起始位置以及IP报文的格式，从所述目标IP报文头中查找出与从所述目标IP报文头的起始位置到所述报文尾之间的内容长度对应的第一数值。

作为本实施例的另一种实施方式，步骤102B具体可以包括：根据所述目标IP报文头的起始位置以及IP报文的格式，将所述目标IP报文头的起始位置作为第一个字节，将从所述报文头到所述报文尾方向的第三和第四个字节对应的数值确定为第一数值。

其中，IP报文的格式可以包括：IP报文头、TCP或UDP头、数据部分等。IP报文头包括源IP地址、目的IP地址、IP协议的版本、IP报文头的长度以及IP报文的总长度等信息。一般来说，IP报文的第一个字节为IP报文的特征值，第二个字节为可变字段，第三和第四个字节标识IP报文的总长度。

步骤102C：计算所述目标IP报文头的起始位置与所述报文尾之间的内容包含的字节数量，获得第二数值。

可以理解的是，计算指定内容包含的字节数量属于现有技术，其具体过程此处不再赘述。

步骤102D：判断所述第一数值与第二数值是否相等，如果是，则进行步骤102E，否则，进行步骤102F。

一般情况下，获得的第二数值为十进制数，查找到的第一数值可以为十六进制数，也可以为二进制数，为了避免对第一数值和第二数值的进制一一进行检测，也为了使判断过程更准确，在本实施例中，步骤102D具体可以包括：将所述第一数值与第二数值转换为相同进制的数值；判断转换后的第一数值与转换后的第二数值是否相等，如果是，则确定所述第一数值与第二数值相等，否则，确定所述第一数值与第二数值不相等。

步骤102E：将所述目标IP报文头的起始位置确定为内层IP报文头的起始位置。

步骤102F：将从所述报文尾到所述报文头方向的下一个IP特征值的位置确定为目标IP报文头的起始位置，继续执行步骤102B，直到确定出内层IP报文头的起始位置。

在一个例子中，假设获取到的目标报文如下：

47 c7 06 80……e1 1f 45 00 01 9c a1 c7 40 00 1f 06 5a 80 45 00 0a b4 00 0a ff36……1f

其中，查找到了两个IP特征值“45”，并且省略号部分省略了部分报文内容。将从目标报文的报文尾到报文头方向的第一个IP特征值的位置选取为目标IP报文头的起始位置，并将该起始位置作为第一个字节，则从报文头到报文尾方向的第三和第四个字节对应的数值为0x0ab4，即第一数值为十六进制的0x0ab4，计算得到该起始位置与报文尾之间内容包含的字节数量为400，即第二数值为400。将第一数值0x0ab4转换为十进制，即为2740，从而可知第一数值与第二数值不相等。

进一步的，将第二个IP特征值“45”确定为目标IP报文头的起始位置，并将该起始位置作为第一个字节，从报文头到报文尾方向的第三和第四个字节对应的数值为0x019c，即第一数值为十六进制的0x019c，计算得到该起始位置与报文尾之间内容包含的字节数量为412，即第二数值为412。将第一数值转换为十进制，即为412，从而可知第一数值与第二数值相等，此时即可将该目标IP报文头的起始位置确定为内层IP报文头的起始位置。

可见，在本实施例中，通过判断IP报文头中包含的表征所述IP报文长度的第一数值与表征报文内容实际长度的所述第二数值是否相等，来判断目标IP特征值的位置是否为内层IP报文头的起始位置，能够更准确地确定内层IP报文头的起始位置。

作为本发明的另一个实施例，在图2所示实施例的基础上，当确定深度报文检测的目标检测内容之后，还可以对所述目标检测内容进行深度报文检测。在采用本发明实施例提供的报文检测内容的确定方法确定目标检测内容之后，进行深度报文检测，无需对多封装报文所采用的其他封装协议进行检测，能够降低DPI处理过程的复杂度，减少设备资源耗费。

另外，现有技术中通过检测多封装报文中所采用的封装协议，并根据检测出的封装协议的特点，对报文内容进行相应的偏移，以便去掉该封装协议的封装头部分。如果检测设备中没有更新相应的封装协议，则检测设备无法检测出报文所采用的封装协议，进而无法获得DPI处理的目标检测内容，本发明实施例无需对多封装报文所采用的其他封装协议进行检测，能够从多封装报文中确定DPI处理的目标检测内容，因此也能够解决检测设备中没有更新封装协议而导致的无法获得DPI处理的目标检测内容的问题。

图5为本发明实施例提供的多封装报文的深度报文检测内容的确定装置的一种结构示意图，应用于检测设备，与图2的方法实施例相对应，该装置包括查找模块501、第一确定模块502和第二确定模块503：

所述查找模块501，用于接收目标报文，查找所述目标报文中包含的因特网互联协议IP特征值的位置；

所述第一确定模块502，用于根据IP报文的格式以及查找到的IP特征值的位置，从所述目标报文中确定内层IP报文头的起始位置；

所述第二确定模块503，用于将所述内层IP报文头的起始位置与所述目标报文的报文尾之间的内容确定为深度报文检测的目标检测内容。

在本实施例中，所述装置还可以包括转发模块(图中未显示)：

所述转发模块，用于当检测到所述目标报文中不包含所述IP特征值时，对所述目标报文进行转发。

在本实施例中，所述装置还可以包括检测模块(图中未显示)：

所述检测模块，用于当确定深度报文检测的目标检测内容之后，对所述目标检测内容进行深度报文检测。

图6为本发明实施例提供的报文检测内容的确定装置的另一种结构示意图，应用于检测设备，与图4的方法实施例相对应，该装置包括查找模块601、第一确定模块602和第二确定模块603。其中，查找模块601、第二确定模块603分别与图5中的查找模块501、第二确定模块503相同，此处不再赘述。第一确定模块602包括：

选取子模块6021，用于根据查找到的IP特征值的位置，将从所述目标报文的报文尾到所述目标报文的报文头方向的第一个IP特征值的位置选取为目标IP报文头的起始位置；

查找子模块6022，用于根据所述目标IP报文头的起始位置以及IP报文的格式，从所述目标IP报文头中查找出与从所述目标IP报文头的起始位置到所述报文尾之间的内容长度对应的第一数值；

计算子模块6023，用于计算所述目标IP报文头的起始位置与所述报文尾之间的内容包含的字节数量，获得第二数值；

判断子模块6024，用于判断所述第一数值与第二数值是否相等，如果是，则将所述目标IP报文头的起始位置确定为内层IP报文头的起始位置；否则，将从所述报文尾到所述报文头方向的下一个IP特征值的位置确定为目标IP报文头的起始位置，执行查找子模块6022。

在本实施例中，所述查找子模块6022具体可以用于：根据所述目标IP报文头的起始位置以及IP报文的格式，将所述目标IP报文头的起始位置作为第一个字节，将从所述报文头到所述报文尾方向的第三和第四个字节对应的数值确定为第一数值。

在本实施例中，所述判断子模块6024具体可以包括转换单元和判断单元(图中未显示)：

转换单元，用于将所述第一数值与第二数值转换为相同进制的数值；

判断单元，用于判断转换后的第一数值与转换后的第二数值是否相等，如果是，则确定所述第一数值与第二数值相等，否则，确定所述第一数值与第二数值不相等。

由于上述各个装置实施例是基于相应的方法实施例得到的，与各方法实施例具有相同的技术效果，因此装置实施例的技术效果在此不再赘述。

对于装置实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本领域普通技术人员可以理解，上述实施方式中的全部或部分步骤是能够通过程序指令相关的硬件来完成的，所述的程序可以存储于计算机可读取存储介质中。这里所称存储介质，是指ROM/RAM、磁碟、光盘等。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (12)

1.一种报文检测内容的确定方法，其特征在于，应用于检测设备，所述方法包括：

接收目标报文，查找所述目标报文中包含的因特网互联协议IP特征值的位置；

根据IP报文的格式以及查找到的IP特征值的位置，从所述目标报文中确定内层IP报文头的起始位置；

将所述内层IP报文头的起始位置与所述目标报文的报文尾之间的内容确定为深度报文检测的目标检测内容。

2.根据权利要求1所述的方法，其特征在于，所述根据IP报文的格式以及查找到的IP特征值的位置，从所述目标报文中确定内层IP报文头的起始位置，包括：

根据查找到的IP特征值的位置，将从所述目标报文的报文尾到所述目标报文的报文头方向的第一个IP特征值的位置选取为目标IP报文头的起始位置；

根据所述目标IP报文头的起始位置以及IP报文的格式，从所述目标IP报文头中查找出与从所述目标IP报文头的起始位置到所述报文尾之间的内容长度对应的第一数值；

计算所述目标IP报文头的起始位置与所述报文尾之间的内容包含的字节数量，获得第二数值；

判断所述第一数值与第二数值是否相等，如果是，则将所述目标IP报文头的起始位置确定为内层IP报文头的起始位置；否则，将从所述报文尾到所述报文头方向的下一个IP特征值的位置确定为目标IP报文头的起始位置。

3.根据权利要求2所述的方法，其特征在于，所述从所述目标IP报文头中查找出与从所述目标IP报文头的起始位置到所述报文尾之间的内容长度对应的第一数值，包括：

根据所述目标IP报文头的起始位置以及IP报文的格式，将所述目标IP报文头的起始位置作为第一个字节，将从所述报文头到所述报文尾方向的第三和第四个字节对应的数值确定为第一数值。

4.根据权利要求2所述的方法，其特征在于，所述判断所述第一数值与第二数值是否相等包括：

将所述第一数值与第二数值转换为相同进制的数值；

判断转换后的第一数值与转换后的第二数值是否相等，如果是，则确定所述第一数值与第二数值相等，否则，确定所述第一数值与第二数值不相等。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当检测到所述目标报文中不包含所述IP特征值时，对所述目标报文进行转发。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当确定深度报文检测的目标检测内容之后，对所述目标检测内容进行深度报文检测。

7.一种报文检测内容的确定装置，其特征在于，应用于检测设备，所述装置包括：

查找模块，用于接收目标报文，查找所述目标报文中包含的因特网互联协议IP特征值的位置；

第一确定模块，用于根据IP报文的格式以及查找到的IP特征值的位置，从所述目标报文中确定内层IP报文头的起始位置；

第二确定模块，用于将所述内层IP报文头的起始位置与所述目标报文的报文尾之间的内容确定为深度报文检测的目标检测内容。

8.根据权利要求7所述的装置，其特征在于，所述第一确定模块包括：

选取子模块，用于根据查找到的IP特征值的位置，将从所述目标报文的报文尾到所述目标报文的报文头方向的第一个IP特征值的位置选取为目标IP报文头的起始位置；

查找子模块，用于根据所述目标IP报文头的起始位置以及IP报文的格式，从所述目标IP报文头中查找出与从所述目标IP报文头的起始位置到所述报文尾之间的内容长度对应的第一数值；

计算子模块，用于计算所述目标IP报文头的起始位置与所述报文尾之间的内容包含的字节数量，获得第二数值；

判断子模块，用于判断所述第一数值与第二数值是否相等，如果是，则将所述目标IP报文头的起始位置确定为内层IP报文头的起始位置；否则，将从所述报文尾到所述报文头方向的下一个IP特征值的位置确定为目标IP报文头的起始位置。

9.根据权利要求8所述的装置，其特征在于，所述查找子模块具体用于：

根据所述目标IP报文头的起始位置以及IP报文的格式，将所述目标IP报文头的起始位置作为第一个字节，将从所述报文头到所述报文尾方向的第三和第四个字节对应的数值确定为第一数值。

10.根据权利要求8所述的装置，其特征在于，所述判断子模块包括：

转换单元，用于将所述第一数值与第二数值转换为相同进制的数值；

判断单元，用于判断转换后的第一数值与转换后的第二数值是否相等，如果是，则确定所述第一数值与第二数值相等，否则，确定所述第一数值与第二数值不相等。

11.根据权利要求7所述的装置，其特征在于，所述装置还包括：

转发模块，用于当检测到所述目标报文中不包含所述IP特征值时，对所述目标报文进行转发。

12.根据权利要求7所述的装置，其特征在于，所述装置还包括：

检测模块，用于当确定深度报文检测的目标检测内容之后，对所述目标检测内容进行深度报文检测。