CN107623634A - 业务流量路由方法及其系统和移动电子设备 - Google Patents

Abstract

本发明公开了一种业务流量路由方法及其系统和移动电子设备，所述方法包括以下步骤：接收业务流量数据包；获取所述数据包的inode值；通过所述inode值确认所述业务流量归属的应用；基于所述应用对应的预设路由策略，对所述业务流量进行转发；其中，上述步骤由代理程序执行。本发明的技术方案基于inode的流量过滤方法具有普遍适用性，可以区分任何不同应用，甚至相同应用不通进程的数据包，进而可以实现加速控制的目的。

Description

业务流量路由方法及其系统和移动电子设备

技术领域

本发明涉及互联网技术领域，特别涉及一种业务流量路由方法及其系统和移动电子设备。

背景技术

以Android应用代理加速为例，有VPN、NAT、hook等几种劫持流量的方法。其中NAT 是较为常用的一种方法，其原理就是利用Iptables等防火墙工具进行网络地址转换，将流 量引导到本地代理，从而进行相应处理。

Netfilter是Linux内核中的一个软件框架，用于管理网络数据包。Iptables是基 于Netfilter基本架构实现的一个可扩展的的用户层数据包管理工具，大部分Linux系统都 自带Iptables模块，并通过它对网络数据包进行过滤、拦截、重定向等操作，从而实现系统 防火墙等功能，该功能同样适用于Android系统。

目前，加速代理一般被设计成能够控制是否对某个应用进行加速，而这一般是通 过应用的uid来区分不同应用的流量，可以通过在Iptables上设置uid过滤条件或者在本地 代理处理数据包的时候区分uid等不同手段来实现。但是，如果某些应用是以root或system 用户运行的话，那么此类应用的uid都将为0或1000，例如，通常MediaPlayer这款应用在 Android系统内的uid是唯一的1013，但个别设备上，MediaPlayer是以root用户运行的，其 uid为0，如果使用uid过滤流量会导致加速代理无法区分MediaPlayer和其他root应用，导 致加速策略出错。

因此，这就使得现有技术为了解决加速代理的问题而使用uid过滤流量的方法无法覆盖到“不同应用拥有相同uid”的情况，从而导致加速控制出现错误。

发明内容

为了解决现有技术的问题，本发明实施例提供了一种业务流量路由方法及其系统和移动电子设备。所述技术方案如下：

一方面，一种业务流量路由方法，其中，所述方法包括以下步骤：

接收业务流量数据包；

获取所述数据包的inode值；

通过所述inode值确认所述业务流量归属的应用；

基于所述应用对应的预设路由策略，对所述业务流量进行转发；

其中，上述步骤由代理程序执行。

进一步的，在所述接收业务流量数据包的步骤之前更包含步骤：

利用本地防火墙工具转换业务流量的网络地址，以引导至所述代理程序。

进一步的，所述获取所述数据包的inode值的步骤具体包括：

解析所述数据包，并获得所述数据包的源端口地址；

根据所述源端口地址查询第一网络进程文件，获得对应的所述inode值。

进一步的，所述第一网络进程文件包含/proc/net/tcp目录下的文件。

进一步的，所述通过所述inode值确认所述业务流量归属的应用的步骤具体包括：

根据所述inode值遍历第二网络进程文件，获得所述业务流量归属的应用。

进一步的，所述第二网络进程文件包含/proc/<pid>目录下的文件。

进一步的，所述根据所述inode值遍历第二网络进程文件的步骤具体包括：

依次查询当前/proc/<pid>目录下，每个<pid>的/proc/<pid>/fd目录中的文件描述符，获取所述文件描述符中的inode值，并进行匹配，直至匹配成功或/proc/<pid>目录遍历完成。

进一步的，所述获得所述业务流量归属的应用的步骤具体包括：

根据匹配成功的<pid>，从/proc/<pid>/cmdline文件中获得应用信息，作为所述业务流量归属的应用。

进一步的，所述基于所述应用对应的预设路由策略，对所述业务流量进行转发的步骤具体包括：

判断所述业务流量的应用是否为属于加速应用；

若是，则将所述业务流量转发至加速服务器；

若不是，则直接将所述业务流量转发至源站服务器。

进一步的，所述代理程序接收到的业务流量均来自本地应用。

另一方面，一种业务流量路由系统，其中，所述系统具体包括：

应用模块，根据自身业务请求，发送业务流量；

代理模块，根据上述的业务流量路由方法对所述业务流量进行转发。

进一步的，所述系统更包含防火墙模块，用于将所述应用模块发送的所述业务流量转发至所述代理模块。

进一步的，所述系统包含加速服务器，接收所述代理模块转发的所述业务流量，并对所述业务流量进行加速处理。

又一方面，一种移动电子设备，其中，所述移动电子设备的操作系统上运行有多种应用程序和代理程序，其中，所述代理程序根据上述的业务流量路由方法对所述应用程序发出的业务流量进行转发。

进一步的，所述移动电子设备的操作系统上运行有防火墙程序，所述防火墙程序将所述应用程序的业务流量转发至所述代理程序。

本发明实施例提供的技术方案带来的有益效果是：本发明使用inode作为区分流量归属的唯一标识，通过应用发起请求的源端口查表得到该流量数据包的inode号码，然后在需要加速的应用进程(或者所有进程)的文件描述符目录下搜索该inode，确认数据包的归属，该技术方案基于inode的流量过滤方法具有普遍适用性，可以区分任何不同应用，甚至相同应用不通进程的数据包，进而可以实现加速控制的目的。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施方式中业务流量路由方法流程图；

图2为本发明一实施方式中业务流量路由系统的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

以下将对本发明所提供的一种业务流量路由方法进行详细说明。

请参阅图1，为本发明一实施方式中业务流量路由方法流程图。

在本实施方式中，应用该业务流量路由方法的终端设备中装有本地代理和若干应用，均处于应用层，在Linux系统下使用NAT方式进行应用加速的情况下，对应用流量进行有效过滤，尤其是在Android系统中。inode是Linux下用于存储文件元信息的区域，即文件的索引，与Linux下的所有文件一一对应，而网络请求创建的socket也是文件的一种，因此可将inode作为识别socket文件的唯一标识。在本实施方式中，使用inode作为区分流量归属的唯一标识，通过应用发起请求的源端口查表得到该流量数据包的inode号码，然后在需要加速的应用进程(或者所有进程)的文件描述符目录下搜索该inode，确认数据包的归属，进而可以实现加速控制的目的。

在本实施方式中，inode包含文件的元信息，具体来说具有以下内容：

*文件的字节数；

*文件拥有者的User ID；

*文件的Group ID；

*文件的读、写、执行权限；

*文件的时间戳，共有三个：ctime指inode上一次变动的时间，mtime指文件内容上一次变动的时间，atime指文件上一次打开的时间；

*链接数，即有多少文件名指向这个inode；

*文件数据block的位置。

在步骤S1中，接收业务流量数据包。

在本实施方式中，在所述接收业务流量数据包的步骤S1之前，该业务流量路由方法更包含步骤：

利用本地防火墙工具转换业务流量的网络地址，以引导至所述代理程序。

在本实施方式中，主要是利用Iptables等防火墙工具进行网络地址转换，将业务 流量引导到本地代理的代理程序，从而进行相应处理，其中，Iptables是基于Netfilter基 本架构实现的一个可扩展的的用户层数据包管理工具，大部分Linux系统都自带Iptables 模块，并通过它对数据包进行过滤、拦截、重定向等操作，从而实现系统防火墙等功能。

在本实施方式中，本地代理在初始化的过程中，设置监听端口(例如8123)，用于接收重定向的业务流量数据包。

在步骤S2中，获取所述数据包的inode值。

在本实施方式中，所述获取所述数据包的inode值的步骤S2具体包括：

解析所述数据包，并获得所述数据包的源端口地址；

根据所述源端口地址查询第一网络进程文件，获得对应的所述inode值。

在本实施方式中，所述第一网络进程文件包含/proc/net/tcp目录下的文件。以TCP请求为例，本发明首先通过本地防火墙工具将应用程序的业务流量转发到本地代理建立连接，对接收到的业务流量数据包进行解析以获取得到源端口地址，然后通过源端口地址在系统的/proc/net/tcp目录下的文件中查询得到对应的inode值。

在本实施方式中，在Linux中每一个数据包的相关信息都会记录在一张表格内(例如，TCP协议对应/proc/net/tcp)，表格内的每一行都是一条socket数据记录，根据数据包的传输协议在相应的表格内搜索，通过端口号获取socket对应的inode，记录的格式如下：

0：00000000：D7E2 00000000：0000 0A 00000000：00000000 00：0000000000000000 10057 0 5871 1 00000000 100 0 0 10 0

其中：

第3列表示源端口的十六进制形式(D7E2即源端口号为52266)；

第12列表示应用的uid(10057即uid＝10057)；

第14列表示socket的inode(5871即inode＝5871)。

在步骤S3中，通过所述inode值确认所述业务流量归属的应用。

在本实施方式中，所述通过所述inode值确认所述业务流量归属的应用的步骤S3具体包括：

根据所述inode值遍历第二网络进程文件，获得所述业务流量归属的应用。

在本实施方式中，所述第二网络进程文件包含/proc/<pid>目录下的文件。

其中，所述根据所述inode值遍历第二网络进程文件的步骤具体包括：

依次查询当前/proc/<pid>目录下，每个<pid>的/proc/<pid>/fd目录中的文件描述符，获取所述文件描述符中的inode值，并进行匹配，直至匹配成功或/proc/<pid>目录遍历完成。

其中，所述获得所述业务流量归属的应用的步骤具体包括：

根据匹配成功的<pid>，从/proc/<pid>/cmdline文件中获得应用信息，确认为所述业务流量归属的应用。

在本实施方式中，遍历所有进程/proc/<pid>/fd内文件描述符，通过stat()函数获取文件描述符的信息可以得到inode号码，与之前获取的inode做比较，如果不同表示匹配不成功，此时则继续搜索，如果相同表示匹配成功，此时退出搜索。

在步骤S4中，基于所述应用对应的预设路由策略，对所述业务流量进行转发。

在本实施方式中，所述基于所述应用对应的预设路由策略，对所述业务流量进行转发的步骤S4具体包括：

判断所述业务流量的应用是否为属于加速应用；

若是，则将所述业务流量转发至加速服务器；

若不是，则直接将所述业务流量转发至源站服务器。

在本实施方式中，当搜索到匹配的inode时，通过查看/proc/<pid>/cmdline即可获取到应用名称，从而区分出不同应用的业务流量，以进行加速控制。这一点可以通过应用白名单制度来实现，例如，可以预先设定允许加速的应用名单列表作为白名单，如果搜索到相同的inode，则通过查看/proc/<pid>/cmdline得到该应用进程的名称并与应用白名单做比较，如果属于白名单应用，则将该数据发往加速服务器，如果应用名称不属于白名单或者遍历完所有相关进程文件后仍未搜索到该inode，则认为非白名单应用，将数据包发往源站。

在本实施方式中，上述步骤S1-S4由代理程序执行，所述代理程序接收到的业务流量均来自本地应用。

本发明提供的一种业务流量路由方法，使用inode作为区分流量归属的唯一标识，通过应用发起请求的源端口查表得到该流量数据包的inode号码，然后在需要加速的应用进程(或者所有进程)的文件描述符目录下搜索该inode，确认数据包的归属，该技术方案基于inode的流量过滤方法具有普遍适用性，可以区分任何不同应用，甚至相同应用不通进程的数据包，进而可以实现加速控制的目的。

以下将对本发明所提供的一种业务流量路由系统进行详细说明。

请参阅图2，所示为本发明一实施方式中业务流量路由系统的结构示意图。

在本实施方式中，所述业务流量路由系统10包括应用模块11、防火墙模块12、代理模块13、加速服务器14。

应用模块11，根据自身业务请求，发送业务流量。

防火墙模块12，用于将所述应用模块11发送的所述业务流量转发至所述代理模块13。

代理模块13，根据上述的业务流量路由方法对所述业务流量进行转发。

加速服务器14，接收所述代理模块13转发的所述业务流量，并对所述业务流量进行加速处理。

在本实施方式中，业务流量路由系统10内各个模块的对业务流量的处理方式与前述的业务流量路由方法完全一致，在此不做重复描述。

本发明提供的一种业务流量路由系统10，使用inode作为区分流量归属的唯一标识，通过应用发起请求的源端口查表得到该流量数据包的inode号码，然后在需要加速的应用进程(或者所有进程)的文件描述符目录下搜索该inode，确认数据包的归属，该技术方案基于inode的流量过滤方法具有普遍适用性，可以区分任何不同应用，甚至相同应用不通进程的数据包，进而可以实现加速控制的目的。

另外，本发明还提供了一种移动电子设备，其中，所述移动电子设备的操作系统上运行有多种应用程序和代理程序，其中，所述代理程序根据上述的业务流量路由方法对所述应用程序发出的业务流量进行转发。而且，所述移动电子设备的操作系统上运行有防火墙程序，所述防火墙程序将所述应用程序的业务流量转发至所述代理程序。

在本实施方式中，移动电子设备对业务流量的处理方式与前述的业务流量路由方法完全一致，在此不做重复描述。

本发明提供的一种移动电子设备，使用inode作为区分流量归属的唯一标识，通过应用发起请求的源端口查表得到该流量数据包的inode号码，然后在需要加速的应用进程(或者所有进程)的文件描述符目录下搜索该inode，确认数据包的归属，该技术方案基于inode的流量过滤方法具有普遍适用性，可以区分任何不同应用，甚至相同应用不通进程的数据包，进而可以实现加速控制的目的。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (15)

1.一种业务流量路由方法，其特征在于，所述方法包括以下步骤：

接收业务流量数据包；

获取所述数据包的inode值；

通过所述inode值确认所述业务流量归属的应用；

基于所述应用对应的预设路由策略，对所述业务流量进行转发；

其中，上述步骤由代理程序执行。

2.如权利要求1所述的业务流量路由方法，其特征在于，在所述接收业务流量数据包的步骤之前更包含步骤：

利用本地防火墙工具转换业务流量的网络地址，以引导至所述代理程序。

3.如权利要求1所述的业务流量路由方法，其特征在于，所述获取所述数据包的inode值的步骤具体包括：

解析所述数据包，并获得所述数据包的源端口地址；

根据所述源端口地址查询第一网络进程文件，获得对应的所述inode值。

4.如权利要求3所述的业务流量路由方法，其特征在于，所述第一网络进程文件包含/proc/net/tcp目录下的文件。

5.如权利要求1所述的业务流量路由方法，其特征在于，所述通过所述inode值确认所述业务流量归属的应用的步骤具体包括：

根据所述inode值遍历第二网络进程文件，获得所述业务流量归属的应用。

6.如权利要求5所述的业务流量路由方法，其特征在于，所述第二网络进程文件包含/proc/<pid>目录下的文件。

7.如权利要求6所述的业务流量路由方法，其特征在于，所述根据所述inode值遍历第二网络进程文件的步骤具体包括：

依次查询当前/proc/<pid>目录下，每个<pid>的/proc/<pid>/fd目录中的文件描述符，获取所述文件描述符中的inode值，并进行匹配，直至匹配成功或/proc/<pid>目录遍历完成。

8.如权利要求7所述的业务流量路由方法，其特征在于，所述获得所述业务流量归属的应用的步骤具体包括：

根据匹配成功的<pid>，从/proc/<pid>/cmdline文件中获得应用信息，作为所述业务流量归属的应用。

9.如权利要求1所述的业务流量路由方法，其特征在于，所述基于所述应用对应的预设路由策略，对所述业务流量进行转发的步骤具体包括：

判断所述业务流量的应用是否为属于加速应用；

若是，则将所述业务流量转发至加速服务器；

若不是，则直接将所述业务流量转发至源站服务器。

10.如权利要求1所述的业务流量路由方法，其特征在于，所述代理程序接收到的业务流量均来自本地应用。

11.一种业务流量路由系统，其特征在于，所述系统具体包括：

应用模块，根据自身业务请求，发送业务流量；

代理模块，根据权利要求1或3至10项中任一项所述的业务流量路由方法对所述业务流量进行转发。

12.如权利要求11所述的业务流量路由系统，其特征在于，所述系统更包含防火墙模块，用于将所述应用模块发送的所述业务流量转发至所述代理模块。

13.如权利要求11所述的业务流量路由系统，其特征在于，所述系统包含加速服务器，接收所述代理模块转发的所述业务流量，并对所述业务流量进行加速处理。

14.一种移动电子设备，其特征在于，所述移动电子设备的操作系统上运行有多种应用程序和代理程序，其中，所述代理程序根据权利要求1或3至10中任一项所述的业务流量路由方法对所述应用程序发出的业务流量进行转发。

15.如权利要求14所述的移动电子设备，其特征在于，所述移动电子设备的操作系统上运行有防火墙程序，所述防火墙程序将所述应用程序的业务流量转发至所述代理程序。