CN107566289A - 一种基于流分类的控制核流量限速方法及装置 - Google Patents

Abstract

本申请提供一种基于流分类的控制核流量限速方法及装置，所述方法包括：将具有相同第一特征的报文，分配到相同的数据核；每个数据核判断所分配的每个报文是否具有预设第二特征；在数据核本地对具有预设第二特征的报文进行限速处理；将符合限速标准的报文输入控制核。本申请方案对需要进入控制核的报文流量进行了限速处理，且限速处理的执行，在数据核确定报文需要进入控制核之后、报文进入控制核之前，即在数据核中执行，其执行过程不会占用控制核的资源，保证控制核能够正常地执行设备管理任务。

Description

一种基于流分类的控制核流量限速方法及装置

技术领域

本申请涉及通信技术领域，尤其涉及一种基于流分类的控制核流量限速方法及装置。

背景技术

现在许多网络设备都采用多核处理器处理数据，同时，设备中的多核处理器还需要执行管理网络设备及网络协议的工作，但是，当报文流量很大时，数据处理工作将会消耗大部分的资源，甚至可能没有足够的资源来保证管理工作的正常执行，导致网络设备陷入非正常工作状态甚至死机。为避免这种情况，一般是为管理和数据处理工作分配不同的核，分别为控制核和数据核，报文进入设备后，首先将报文分到不同的数据核，然后数据核判断该报文是否需要进入控制核，从而有效避免了数据处理工作对管理工作的影响。进入控制核的报文，通过报文处理流程进一步处理，但是，如果进入控制核报文处理流程的报文流量过大，仍然有可能出现控制核资源不足而导致设备死机的情况，因此，为了保证设备的正常工作，需要对报文流量进入控制核报文处理流程的速度进行必要的限制。

现有技术的实现方案，是在报文进入控制核之后、进入报文处理流程之前，增加一个报文流量限速流程，报文进入控制核之后，先执行限速流程，丢弃攻击报文和超额的报文，从而限制单位时间内进入处理流程的报文流量。但是，由于限速流程是在控制核中执行，当进入控制核的报文流量足够大时，由于控制核在限速流程需要丢弃大量报文，仍有可能因控制核资源不足导致设备出现死机等异常现象。

发明内容

有鉴于此，本申请提供一种基于流分类的控制核流量限速方法及装置，技术方案如下：

一种基于流分类的控制核流量限速方法，所述方法包括：

将具有相同第一特征的报文，分配到相同的数据核；

每个数据核判断所分配的每个报文是否具有预设第二特征；

在数据核本地对具有预设第二特征的报文进行限速处理；

将符合限速标准的报文输入控制核。

一种基于流分类的控制核流量限速装置，所述装置包括报文分配模块、数据核、控制核，其中数据核包括特征判断子模块、限速处理子模块和控制核输入子模块：

所述报文分配模块，用于将具有相同第一特征的报文，分配到相同的数据核；

所述特征判断子模块，用于判断数据核中分配的每个报文是否具有预设第二特征；

所述限速处理子模块，用于在数据核本地对具有预设第二特征的报文进行限速处理；

所述控制核输入子模块，用于将符合限速标准的报文输入控制核。

本申请所提供的技术方案，报文流量限速处理的执行，在数据核确定报文需要进入控制核之后、报文进入控制核之前，即在数据核中执行，其执行过程不会占用控制核的资源。在限速流程中，根据报文的特征，丢弃设备当前不需要的报文，这些报文不会进入控制核，减小了控制核的工作量，节省了控制核的资源。同时，在限速流程中还可以将不同的报文放入不同的队列，并分别设置不同的队列限速阈值，从而限制进入控制核的报文流量的速度，避免大量报文进入控制核，控制核需要处理或丢弃大量报文，造成资源不足进而导致网络设备出现死机等异常现象。此外，通过将不同的管理报文放入不同的队列，保证某一种或几种管理报文的队列受到大量报文攻击时，不会影响到其他管理报文进入控制核管理设备。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1是本申请的基于流分类的控制核流量限速方法的流程示意图；

图2是本申请在数据核本地对具有预设第二特征的报文进行限速处理的一种具体方法的流程图；

图3是本申请的基于流分类的控制核流量限速装置的结构示意图；

图4是本申请的限速处理子模块的结构示意图；

图5是本申请的符合标准判定单元的结构示意图。

具体实施方式

为了使本领域技术人员更好地理解本申请中的技术方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行详细地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员所获得的所有其他实施例，都应当属于本申请保护的范围。

首先对本发明实施例的基于流分类的控制核流量限速方法进行说明，参见图1所示，该方法可以包括以下步骤：

S101，将具有相同第一特征的报文，分配到相同的数据核；

网络设备的多核处理器一般具有多个数据核和一至多个控制核，处理器接收到报文后，将报文分配到多个数据核中，由数据核对报文进行处理。为了提高数据核的对报文的处理效率，一般是依据报文的某些特征，将特征相同的报文分配到相同的数据核。

将报文分配到数据核所依据的特征，具体可以是报文的四元组、五元组或其他任意的特征，本申请所提供的基本方案并不受具体依据所特征的影响。

S102，每个数据核判断所分配的每个报文是否具有预设第二特征；

网络设备接收的报文中，部分需要由数据核处理，部分需要由控制核处理。因此，报文被分配到数据核后，数据核首先需要依据报文的某些特征，判断报文是否需要进一步输入控制核。

针对不同的网络设备，在本步骤中可以依据不同的特征，例如，对于某些设备，可以预先建立一个报文协议参考表，列出各种协议的报文是由数据核处理还是由控制核处理，数据核可以将报文的协议与参考表对比，从而判断报文是否需要进一步输入控制核。本申请所提供的基本方案并不对具体依据的特征进行限定，在实际应用中，本领域技术人员可以根据实际情况选取适当的特征。

对于由数据核处理的报文，数据核可以直接根据需求进行转发或丢弃，对于由控制核处理的报文，需要将其输入控制核。

S103，在数据核本地对具有预设第二特征的报文进行限速处理；

为了避免大量报文进入控制核，进而因控制核资源不足导致设备出现死机等异常现象，对于需要输入控制核的报文，首先在数据核本地进行限速处理，限制报文流量进入控制核的速度，即限制单位时间内进入控制核的报文个数。

图2所示为本申请在数据核本地对具有预设第二特征的报文进行限速处理的一种具体方法的流程图，包括以下步骤：

S103a，在数据核本地判断具有预设第二特征的报文是否具有预设第三特征；

在S102中，数据核依据报文是否具有预设第二特征，判断报文是否需要由控制核处理。在对需要进入控制核的报文进行限速处理时，可以依据报文是否具有预设第三特征，对报文进行进一步的筛选，限制单位时间内进入控制核的报文个数。预设的第三特征，可以是报文的协议、四元组、五元组或其他任意特征，显然，在本步骤中依据的特征不同，得到的进入控制核的报文个数也不同。进入控制核进行处理的报文越少，需要占用的控制核资源越少，但是为了保证控制核能够正常地管理设备，不可能无限制地减少进入控制核的报文，因此，在实际应用中，本领域技术人员可以根据具体的情况选取适当的限速处理方法。

S103b，判定具有预设第三特征的报文符合限速标准。

对于具有预设第三特征的报文的流量仍然很大的情况，还可以进一步地限制报文流量的速度，确保将单位时间内进入控制核的报文个数，限制在控制核能够处理的范围内。

在本申请的一种实施方式中，可依据一定的规则，将报文放入不同的队列，并预设队列的限速阈值。当报文放入相应队列时，判断队列中报文的流速是否超过了限速阈值，只有队列中报文的流速未超过阈值，才允许报文进入控制核。其中，每个队列的限速阈值，可以由用户根据报文的重要程度、控制核处理队列中报文所需要的资源等因素，灵活地设置。

例如，可以依据报文的协议类型，将相同类型的报文放入同一队列，具体的分类规则可以如表1所示：

表1

如表1所示，可以将RIP、RIPng、OSPF、OSPFv3、BGP、LDP等报文，放入队列2中，并设置队列的限速阈值为6000个报文/秒，即队列2每秒只允许6000个报文进入控制核。假设处理器中的n个数据核分别为数据核1、数据核2、……、数据核n，其中，数据核1被分配了大量的RIP报文，可以假设为12000个报文/秒，并且，数据核1判断这些RIP报文需要输入控制核进行处理，则首先会对这些RIP报文进行限速处理。若数据核1的限速处理依据的预设第三特征中，包括RIP协议，则这每秒12000个RIP报文将进一步被放入队列2。其中，每个RIP报文在被放入队列2时，数据核1都会判断此时队列2中报文流量的速度是否超过了限速阈值，即6000个报文/秒。这12000个报文/秒的RIP报文中，超额的6000个报文将不会进入控制核，从而避免占用过多的控制核资源。

类似地，还可以将HTTP、HTTPS、SSH、Telnet四种管理报文，放入队列1中，并设置队列的限速阈值为5000个报文/秒，即队列1每秒只允许5000个报文进入控制核。假设某一秒时，首先有大量的HTTP报文被放入队列1，使得队列中的报文个数超过了5000个，则超过5000个部分的HTTP报文，及这一秒中后续被放入队列1的HTTP、HTTPS、SSH、Telnet等报文都将无法进入控制核，这样虽然避免了占用过多的控制核资源导致设备出现死机等异常现象，但是可能会造成某些管理任务无法被正常地执行。

因此，可以在表1所示的分类规则的基础上，将队列1的管理报文，分别放入其他队列，如表2所示：

表2

如表2所示，将HTTP、HTTPS、SSH、Telnet四种管理报文，分别放入了队伍1、2、3、4中。基于这种规则，若有大量的HTTP报文，或者大量RIP、OSPF被放入队列1，使得队列中超过6000个部分的报文无法进入控制核，将会造成设备无法通过HTTP报文进行管理。但显然，并不会影响被放入队列2、3、4中的HTTPS、SSH、Telnet报文进入控制核，设备还可以通过这三种报文进行管理。

S104，将符合限速标准的报文输入控制核。

限速处理后得到的符合限速标准的报文，其个数被限制在控制核能够处理的范围内，可以将这些报文输入控制核进行处理。

可以理解的是，在实际情况中，S103a中所依据的第三特征，可能会与S101中的第一特征或S102中的第二特征相同。

例如，首先在S101中，将具有相同五元组的报文，分配到了相同的数据核，其中，将五元组为“192.168.1.1 10000TCP 121.14.88.76 80”，即源地址为“192.168.1.1”、源端口为“10000”、协议类型为“TCP”、目的地址为“121.14.88.76”、目的端口为“80”的报文，分配到了数据核2中。然后，在S102中，为了便于表述，假设数据核2判断这些报文都需要由控制核进行处理，则这些报文首先都需要在S103中进行限速处理。在S103a中，用户预设的第三特征是五元组“192.168.1.1 10000TCP 121.14.88.76 10000”，显然，被分配到数据核2中的这些报文，均不符合限速标准，不能够进入控制核进行处理，即由数据核2输入到控制核中的报文个数为0。

另一方面，在S101中，将五元组为“192.168.1.1 10000TCP 121.14.88.7610000”的报文全部分配到了数据核3中。并且同样假设在S102中，数据核3判断这些报文都需要由控制核进行处理，进而在S103中进行限速处理。由于在S103a中，用户预设的第三特征是五元组“192.168.1.1 10000TCP 121.14.88.7610000”，显然，被分配到数据核3中的这些报文，均符合限速标准，将全部进入控制核进行处理。

即是说，报文在数据核中进行限速处理后，从某个数据核x的角度来讲，由数据核x进入控制核的报文可能会很多或很少，但是从控制核的角度来讲，由全部数据核输入控制核的报文流速，被控制在了能够处理的范围内，并且能够保证设备管理工作的正常进行。

可见，应用本申请方案，对进入控制核的报文的限速处理在数据核中进行，不会占用控制核的资源，且可以通过对限速方法的灵活配置，保证设备在受到流量攻击时，可以灵活控制限速的对象，并保证能够通过不同的管理报文，进行正常的设备管理。

相应于上述方法实施例，本申请还提供一种基于流分类的控制核流量限速装置，参见图3所示，该装置可以包括报文分配模块、数据核、控制核，其中数据核可以包括特征判断子模块、限速处理子模块和控制核输入子模块：

所述报文分配模块110，用于将具有相同第一特征的报文，分配到相同的数据核；

所述特征判断子模块120，用于判断数据核中分配的每个报文是否具有预设第二特征；

所述限速处理子模块130，用于在数据核本地对具有预设第二特征的报文进行限速处理；

所述控制核输入子模块140，用于将符合限速标准的报文输入控制核。

在本申请的一种具体实施方式中，第一特征可以为报文的四元组或五元组。

在本申请的一种具体实施方式中，第二特征可以为报文的协议。

在本申请的一种具体实施方式中，参见图4所示，限速处理子模块130可以包括：

第三特征判断单元131，用于在数据核本地判断具有预设第二特征的报文是否具有预设第三特征；

符合标准判定单元132，用于判定具有预设第三特征的报文符合限速标准。

在本申请的一种具体实施方式中，第三特征可以为报文的四元组、五元组或协议。

可以理解的是，如上述方法中所述，在实际情况中，第三特征可能会与第一特征或第二特征相同，但并不影响本申请实现限制进入控制核的报文流量速度的效果。

在本申请的一种具体实施方式中，参见图5所示，符合标准判定单元132可以包括：

报文分队子单元132a，用于将具有预设第三特征的报文，按照预设的分类规则，放入相应队列；

流速判断子单元132b，用于判断相应队列中报文流速是否超过阈值；

符合标准判定子单元132c，用于当相应队列中报文流速未超过阈值时，判定放入相应队列的报文符合限速标准。

在本申请的一种具体实施方式中，报文分队子单元132a可以具体用于：

判断具有预设第三特征的报文集合中的每个报文的协议类型；

若所述每个报文的协议类型为管理类型，则将不同管理类型的报文放入对应的不同队列。

上述装置中各个模块的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的模块可以是或者也可以不是物理上分开的，在实施本申请方案时可以把各模块的功能在同一个或多个软件和/或硬件中实现。也可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅是本申请的具体实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本申请的保护范围。

Claims (10)

1.一种基于流分类的控制核流量限速方法，其特征在于，所述方法包括：

将具有相同第一特征的报文，分配到相同的数据核；

每个数据核判断所分配的每个报文是否具有预设第二特征；

在数据核本地对具有预设第二特征的报文进行限速处理；

将符合限速标准的报文输入控制核。

2.根据权利要求1所述的方法，其特征在于，所述第一特征，包括：

报文的四元组或五元组。

3.根据权利要求1所述的方法，其特征在于，所述第二特征，包括：

报文的协议。

4.根据权利要求1所述的方法，其特征在于，所述在数据核本地对具有预设第二特征的报文进行限速处理，包括：

在数据核本地判断具有预设第二特征的报文是否具有预设第三特征；

判定具有预设第三特征的报文符合限速标准。

5.根据权利要求4所述的方法，其特征在于，所述预设第三特征，包括：

报文的四元组、五元组或协议。

6.根据权利要求4所述的方法，其特征在于，所述判定具有预设第三特征的报文符合限速标准，包括：

将具有预设第三特征的报文，按照预设的分类规则，放入相应队列；

判断相应队列中报文流速是否超过阈值；

当相应队列中报文流速未超过阈值时，判定放入相应队列的报文符合限速标准。

7.根据权利要求6所述的方法，其特征在于，所述将具有预设第三特征的报文，按照预设的分类规则，放入相应的队列，包括：

判断具有预设第三特征的报文集合中的每个报文的协议类型；

若所述每个报文的协议类型为管理类型，则将不同管理类型的报文放入对应的不同队列。

8.一种基于流分类的控制核流量限速装置，其特征在于，所述装置包括报文分配模块、数据核、控制核，其中数据核包括特征判断子模块、限速处理子模块和控制核输入子模块：

所述报文分配模块，用于将具有相同第一特征的报文，分配到相同的数据核；

所述特征判断子模块，用于判断数据核中分配的每个报文是否具有预设第二特征；

所述限速处理子模块，用于在数据核本地对具有预设第二特征的报文进行限速处理；

所述控制核输入子模块，用于将符合限速标准的报文输入控制核。

9.根据权利要求8所述的装置，其特征在于，所述限速处理子模块，包括：

第三特征判断单元，用于在数据核本地判断具有预设第二特征的报文是否具有预设第三特征；

符合标准判定单元，用于判定具有预设第三特征的报文符合限速标准。

10.根据权利要求9所述的装置，其特征在于，所述符合标准判定单元，包括：

报文分队子单元，用于将具有预设第三特征的报文，按照预设的分类规则，放入相应队列；

流速判断子单元，用于判断相应队列中报文流速是否超过阈值；

符合标准判定子单元，用于当相应队列中报文流速未超过阈值时，判定放入相应队列的报文符合限速标准。