CN106789448A - 一种网络风暴快速检测方法及装置 - Google Patents

Abstract

本发明涉及一种网络风暴快速检测方法及装置，将采集的报文与前一帧具有相同CRC的报文之间的时间间隔与设定的时间门槛T进行比较，当时间间隔小于时间门槛T时，对CRC对应的报文流量进行累加，比较流量累加后的流量与设定流量门槛F_max的大小，进而判断出网络风暴。该方法原理简单，利用比对以太网报文CRC的方法，实现网络风暴的快速检测，且检测准确，不受报文类型和流量的限制，不影响正常业务报文的接收处理，为网络风暴处理提供启动条件，从而降低或避免网络风暴给设备带来的冲击。

Description

一种网络风暴快速检测方法及装置

技术领域

本发明属于以太网通讯技术领域，具体涉及一种网络风暴快速检测方法及装置。

背景技术

以太网通讯技术广泛应用于现代社会生产生活中的各个环节，设备在接入以太网带通讯时，会暴露在各种原因引起的网络风暴中。其中重复的报文被大量转发引起的网络风暴，是一种最常见的网络风暴，例如各种交换机、路由器的错误接线导致环路，或者是某个设备异常，都会导致这种故障。如果有关键的设备在故障网络中，网络风暴的涌入，可能会导致死机、响应能力变差等功能异常，甚至给生产生活带来安全隐患。

目前，由于需要对报文数据的内容进行解析，网络风暴的识别和检测需要较大的计算资源和内存资源，而现有的网络风暴检测方法，大都以内容分析为基础，需要进行协议解析，检测效率不高，速度慢，且准确性较差。

发明内容

本发明的目的是提供一种网络风暴快速检测方法及装置，用于解决现有技术中检测网络风暴不准确、速度慢的问题。

为解决上述技术问题，本发明提出一种网络风暴快速检测方法，包括以下方案：

方案一，包括以下步骤：

1)采集一帧报文，若所述报文与前一帧具有相同CRC的报文之间的时间间隔小于设定的时间门槛T，则对CRC对应的报文流量进行累加；

2)若累加后的流量超过设定的流量门槛F_max时，判定所述报文是网络风暴报文。

方案二，在方案一的基础上，若所述报文之间的时间间隔大于等于设定的时间门槛T，或累加后的流量小于等于设定的流量门槛F_max时，判定所述报文不是网络风暴报文。

方案三，在方案一的基础上，通过Cache存储CRC信息。

方案四，在方案三的基础上，所述Cache采用组相联结构，根据接收数据的规模和处理能力设置Cache的组数和路数。

方案五，在方案四的基础上，所述路数的每一路为一个条目，每个条目包括组号、CRC、时标和流量计数值。

方案六，在方案三的基础上，所述CRC信息中还包括用于定位组号的Cache索引位。

方案七，在方案五的基础上，通过将报文的时标与相同CRC对应条目的时标做差确定所述时间间隔。

方案八，在方案七的基础上，用当前报文的时标更新所述相同CRC对应条目的时标。

方案九，在方案五的基础上，若当前报文没有与其具有相同CRC的条目，找到Cache中相应的组中的一路最旧条目，并用当前报文的以太网CRC、时标更新所述最旧条目中的CRC、时标，同时清除所述最旧条目中的流量计数值。

为解决上述技术问题，本发明提出一种网络风暴快速检测装置，包括以下单元：

检测单元：用于采集一帧报文，若所述报文与前一帧具有相同CRC的报文之间的时间间隔小于设定的时间门槛T，则对CRC对应的报文流量进行累加；

判定单元：用于若累加后的流量超过设定的流量门槛F_max时，判定所述报文是网络风暴报文。

本发明的有益效果是：将采集的报文与前一帧具有相同CRC的报文之间的时间间隔与设定的时间门槛T进行比较，当时间间隔小于时间门槛T时，对CRC对应的报文流量进行累加，比较流量累加后的流量与设定流量门槛F_max的大小，进而判断出网络风暴。该方法原理简单，利用比对以太网报文CRC的方法，实现网络风暴的快速检测，且检测准确，不受报文类型和流量的限制，不影响正常业务报文的接收处理，为网络风暴处理提供启动条件，从而降低或避免网络风暴给设备带来的冲击。

附图说明

图1是128组4路Cache结构示意图；

图2是网络风暴报文判定流程图。

具体实施方式

下面结合附图对本发明的具体实施方式作进一步的说明。

本发明的一种网络风暴快速检测方法的实施例：

根据网络风暴的主要特征：CRC校验码特征：网络风暴报文的以太网链路层CRC校验码是相同的；时间和流量特征：在特定的时间内，产生了超过设备能够处理能力的流量，可视之为网络风暴。

根据以上基本特征，设定一个K组、M路的组相联缓存的Cache，Cache的组数K和路数M可以根据系统性能以及应用环境需求进行设定，Cache包含有报文的CRC信息，具体的，Cache中每一路条目中缓存的数据为以太网报文的32位CRC、该报文的时标(时标就是以太网报文被收到的时间，根据应用环境对时间粒度的需求，选择使用软件时标和硬件时标)，以及对应的流量计数值F。对于流量计数值F，单位可以是对应CRC报文的帧数，或者是字节数，可以根据具体应用需求具体标定。

设定时间门槛T和流量门槛F_max，作为网络风暴判断逻辑的主要参数，当收到新的报文后，需要根据这两个参数，以及Cache中缓存的数据，来判断当前报文是否网络风暴报文。由于实际应用中连续两帧不同以太网报文的CRC校验码存在相同的问题，所以F_max必须覆盖2帧以上的报文流量。

采集一帧以太网报文，记录该报文的时标和以太网CRC，通过以太网CRC中n位的值2ⁿ，定位到设定的组相连缓存的Cache中相应的组(例如Cache是128组，则CRC中n为7，如图1所示)，对所述相应的组中每一路缓存的以太网CRC比较，查找匹配条目。

当上述以太网报文的时标与匹配条目的时标之间的报文时间间隔小于设定的时间门槛T，Cache中相应的组中匹配条目的流量累加，累加后的流量超过设定的流量门槛F_max时，判定所述报文是网络风暴报文，丢弃。其他情况的报文都作为正常报文处理，例如，当上述累加后的流量小于等于设定的流量门槛F_max时，流量计数值F累积，并判定所述报文不是网络风暴报文。当上述报文时间间隔大于等于设定的时间门槛T时，对应Cache条目的流量计数值F清零，并判定所述报文不是网络风暴报文。

对于上述的匹配条目，使用当前报文的时标替换匹配条目中保存的时标；如果没有找到匹配条目，找到Cache相应组中的一路最旧条目，使用当前报文的CRC、时标更新该条目数据，同时对应的流量计数清0，并判定报文不是网络风暴报文。关于组中的一路最旧条目是指：使用当前以太网报文的时标，分别减去Cache相应组中每一路缓存的时标，得到每一路距离当前报文时标的时间间隔，时间间隔最大的一路即为该组最旧条目。

以报文在智能变电站保护装置中的传输为例，用C语言实现本发明的检测方法。保护装置的过程层以太网接口需要接入IEEE61850标准中的SV、GOOSE报文，站控层以太网接口需要接入GOOSE、MMS等报文，我们在每个以太网接口的接收端部署一个Cache，该Cache采用的相关参数配置如下：

1.采用128组4路结构。

2.流量以报文帧数为单位。

3.报文时标当以太网接口驱动程序收到报文时，获取当前的系统上电后的毫秒数作为时标。

4.报文时间将T设置为1ms。

5.流量门槛F_max设置为10帧。

以最小以太网帧每帧64字节，帧间隔为1ms来计算，每秒1000帧报文的流量大约为0.5Mbps，所以采用本发明的方法，对于大于该流量的重复报文，都能够进行有效的过滤，能够最大限度的降低这种网络风暴对设备的影响。

使用C语言实现的例程：

本实施例是在Cache相应组的M路条目中顺序查找和当前报文CRC相同的条目，遍历的同时记录时标最旧的条目索引。考虑到时标长期计时存在溢出的问题，所以最旧的判别以Cache组中对应条目的时标到当前报文时标间隔最大为依据。

如果找到CRC相等的条目，当前报文时标减去条目中的时标得到帧时间间隔，当帧时间间隔小于时间门槛T时，且流量计数小于等于F_max，则流量计数累加，判定报文为非网络风暴流量；当流量计数大于F_max，则流量计数不再累加，该报文被认为是重复的网络风暴报文。如果帧时间间隔大于等于时间门槛T，则把流量计数复位为0，判定报文为非网络风暴流量，判别流程如图2所示。

对于被识别出来的重复的网络风暴报文的处理，可以根据不同的应用方案进行不同的处理，选择直接丢弃或是网卡上暂时屏蔽对应MAC地址报文的接收。

本发明的网络风暴检测方法，占用的计算资源较少、内存资源较小，不受报文类型和流量的限制，不影响正常业务报文的接收处理，网络风暴判别时间固定，具有简单高效的特点，易于通过FPGA、C语言等是各种编程方法实现。

本发明的一种网络风暴快速检测装置的实施例，包括以下单元：

检测单元：用于采集一帧报文，若所述报文与前一帧具有相同CRC的报文之间的时间间隔小于设定的时间门槛T，则对CRC对应的报文流量进行累加；

判定单元：用于若累加后的流量超过设定的流量门槛F_max时，判定所述报文是网络风暴报文。

上述实施例中所指的网络风暴快速检测装置，实际上是基于本发明方法流程的一种计算机解决方案，即一种软件构架，上述装置即为与方法流程相对应的处理进程。由于对上述方法的介绍已经足够清楚完整，而本实施例声称的装置实际上是一种软件构架，故不再详细进行描述。

Claims (10)

1.一种网络风暴快速检测方法，其特征在于，包括以下步骤：

1)采集一帧报文，若所述报文与前一帧具有相同CRC的报文之间的时间间隔小于设定的时间门槛T，则对CRC对应报文的流量进行累加；

2)若累加后的流量超过设定的流量门槛F_max时，判定所述报文是网络风暴报文。

2.根据权利要求1所述的网络风暴快速检测方法，其特征在于，若所述报文之间的时间间隔大于等于设定的时间门槛T，或累加后的流量小于等于设定的流量门槛F_max时，判定所述报文不是网络风暴报文。

3.根据权利要求1所述的网络风暴快速检测方法，其特征在于，通过Cache存储CRC信息。

4.根据权利要求3所述的网络风暴快速检测方法，其特征在于，所述Cache采用组相联结构，根据接收数据的规模和处理能力设置Cache的组数和路数。

5.根据权利要求4所述的网络风暴快速检测方法，其特征在于，所述路数的每一路为一个条目，每个条目包括组号、CRC、时标和流量计数值。

6.根据权利要求3所述的网络风暴快速检测方法，其特征在于，所述CRC信息中还包括用于定位组号的Cache索引位。

7.根据权利要求5所述的网络风暴快速检测方法，其特征在于，通过将报文的时标与相同CRC对应条目的时标做差确定所述时间间隔。

8.根据权利要求7所述的网络风暴快速检测方法，其特征在于，用当前报文的时标更新所述相同CRC对应条目的时标。

9.根据权利要求5所述的网络风暴快速检测方法，其特征在于，若当前报文没有与其具有相同CRC的条目，找到Cache中相应的组中的一路最旧条目，并用当前报文的以太网CRC、时标更新所述最旧条目中的CRC、时标，同时清除所述最旧条目中的流量计数值。

10.一种网络风暴快速检测装置，其特征在于，包括以下单元：

检测单元：用于采集一帧报文，若所述报文与前一帧具有相同CRC的报文之间的时间间隔小于设定的时间门槛T，则对CRC对应的报文流量进行累加；

判定单元：用于若累加后的流量超过设定的流量门槛F_max时，判定所述报文是网络风暴报文。