CN107809351B - 一种以旁路方式检测环路的方法 - Google Patents

Abstract

本发明是一种以旁路方式检测环路的方法，该种方法在三层转发网络中的某个支点，将流量全部采用并接的方式接入新增的环路检测设备，新增的环路检测设备由于采用的并接接入的方式，所以不会对原转发网络产生任何干扰，当新增的设备通过ttl和Identification值检测出其上行转发网络中有环路时，新增设备通过snmp或者syslog的形式及时的上报环路报文的源ip和目的ip信息给相关运维人员或者路由策略分析服务器，然后相关运维人员或者路由策略分析服务器通过增删路由策略的方法解决三层环路问题，进而解决了报文在用户无感知的情况下而被粗鲁的直接丢弃的问题。

Description

一种以旁路方式检测环路的方法

技术领域

本发明是涉及可视化信号检测，具体的说是一种以旁路方式检测环路的方法。

背景技术

互联网技术发展迅猛的当今社会，目前交换机组网也越来越庞大，其中二层交换机对于报文的转发是以mac地址寻址的方式来实现，即二层交换机是通过一次学习和多次转发来实现该功能，转发过程中IP地址和mac地址都不会发生变化。另外三层交换机对于报文的转发是以ip层的路由寻址的方式实现，在转发过程中mac会根据路由表的配置而被替换，并且可能发生多次替换，但是ip地址不会发生变化。

Time to live, 简称TTL, 是一个计算机网络术语, 描述在一个数据报文在计算机和网络设备间传送的时候, 在它可以被丢弃之前, 可以经历的设备的数目的一个极限值，即可以被认为该数据报文在整个网络系统可以被转发的最大次数。在转发过程中，每经过一台主机或者设备，该值就会减少一点，通过情况下，如果该数据报文在到达目的地之前，TTL值被减为0，那么该数据报文就会被认为ICMP错误而被直接丢弃。在网络转发过程中，TTL是为了防止数据报文在网络中无限的转发而造成网络拥塞，继而产生环路。以往在三层转发环境中的网络的主机或者设备检测到报文的TTL值为0时就直接丢弃，该方法会造成该报文在用户无感知的情况下而被粗鲁的直接丢弃，并且因为没有主动的告知用户，而使得环路网络一直存在，无法解决根本问题。

发明内容

本发明要解决的技术问题是提供一种以旁路方式检测环路的方法，该种方法采用并接入三层转发电路的环路检测设备，测报文源ip地址、目的ip地址和ip头部的Identification值，能够判断环路中循环的数据流转发次数，能够在数据流超过转发次数后通过snmp或者syslog的形式进行将报警信息上报给相关运维人员或者路由策略分析服务器，当以及发出报警信息的数据再次被转发，会被直接丢弃。

为解决上述技术问题，本发明采用的技术方案为：

一种以旁路方式检测环路的方法，其特征是：包括在三层转发网络中，采用并接的方式接入新增的环路检测设备，检测时基于ttl和Identification的值检测环路，具体步骤为：

步骤一：环路检测设备初始化时，创建一个包含key和result的数据表，其中key由报文的源ip地址、目的ip地址和ip头部的Identification值组成，result分为两个标志位和四段存储信息，其中第一标志位为是否已发出告警信息标志，默认值为0，0表明还未发出告警，1表明已经发出告警，发出过环路告警信息之后第一标志位置1；第二标志位为报文是否为潜在环路流量标志，默认值为0，0表明是潜在环路流量，1表明确定不是环路流量，如若报文的当前ttl比result中四段存储信息中的ttl值大，则表明肯定不是环路流量，此时第二标志位置1；四段存储信息中每段存储各自当前ttl值，与各自之前的ttl的公差以及递减次数，报文的当前ttl存储在四段中的哪一段由报文当前的ttl值与四段存储信息中各自存储的ttl值得不同的公差决定；

步骤二：环路检测设备收到的ip报文，先检测该报文源ip地址、目的ip地址和ip头部的Identification值，该三个成员组成一个key值用以标识报文的唯一性，然后用该key值查询步骤一中创建的数据表，并且判断查表结构，如果未命中则跳到步骤三，命中则跳到步骤四；

步骤三：如果步骤二未查中步骤一中创建的数据表，表明该报文第一次进入设备，那么就将该流信息导入数据表结构中，key值为步骤二中的报文源ip地址、目的ip地址和ip头部的Identification值，然后reslut中第一标志位置0，表明该报文还未检测出告警，第二标志位置0，表明该报文为潜在环路流量，然后将ttl信息存储在信息存储段1上，对应的信息存储段1的公差写为0，递减次数写为0；

步骤四：如果步骤二查中步骤一中创建的数据表，则进行判断和信息存储段内容更新，如果该result的第一标志位之前已经置1，表明已经发出过告警，则直接跳过后续步骤，将该报文丢弃，防止同一环路流量多次告警引起带宽浪费；如果该result的第一标志位之前已经为0，则判断第二标志位，如果第二标志位之前已经置1，表明该流量已经排除了潜在环路的可能性，则直接跳过后续步骤，将报文丢弃；如果result的第一标志位和第二标志位都为0，表明该流量为潜在环路流量，则需要进一步判断信息存储段内容，首先将该报文的TTL值与数据表中查到的result中的4个信息存储中存储的对应TTL值做比较，如果当前的ttl大于等于数据表中查到的result中的4个信息存储中有效的信息存储的最小TTL值，其中最小ttl值大于0，则排除该流的环路可能，将数据表中查到的result中的第二标志位置1，直接跳过后续步骤，将报文丢弃；

步骤五：当前的ttl小于数据表中查到的result中的4个信息存储中中有效的信息存储的最小TTL值，则有潜在环路可能，判断第一段信息存储中是否记录了公差，如果没有记录公差，则表明现在的这条流是第二次到达，则直接继续记录在第一段中，此时更新第一段信息存储的ttl值，并且将差值记录为公差，递减次数加1，如果第一段已经记录了公差，则表明现在的这条流已经不是第二次到达，此时需与现在已经存在的信息存储中各个ttl做比较，如果有差值与对应的信息存储中记录的公差一致的情况，则更新对应信息存储中的ttl为当前的ttl值，然后该对应的信息存储段的递减次数做加1操作，如果没有差值与对应result中的4个信息存储中记录的公差一致的情况，则判断是否有result中的4个信息存储中的公差为0的情况，如果有，则直接将result中此段信息存储的ttl值写为报文的ttl，并且该段信息存储的公差记录为0，递减次数写为0，如果没有则考虑到资源有限的问题，直接丢弃该报文；

步骤六：环路检测设备中设置一个ttl最小预警值和递减次数阈值，当报文的当前TTL值小于等于设备中设置的ttl最小预警值，并且该报文满足步骤五中的条件，记录了公差和增加了递减次数，则判断result对应的信息存储段记录的递减次数是否大于等于递减次数阈值，如果大于等于递减次数阈值，则将result中的第一标志位置1，生成告警信息，上报环路报文的源ip和目的ip信息，如果小于递减次数阈值，则不生成告警信息，按之前的步骤五，仅更新result对应的信息存储段记录的当前ttl值，并且将对应的递减次数做加1操作，然后继续处理下一个报文。

为优化上述发明，采取的具体措施还包括：

所述的步骤六如果大于等于递减次数阈值，则将result中的第一标志位置1，生成告警信息，通过snmp或者syslog的形式进行上报。

所述的环路检测设备采用命中刷新老化的方式老化数据表的数据，当达到老化时间，并且在该时间段没有流量命中刷新，则自动删除该条信息。

所述的环路检测设备采用并接的方式接入三层转发网络中的任意一个支点。

该种以旁路方式基于ttl和Identification值检测环路的方法能够达到的有益效果为：

第一：解决三层转发过程中出现的环路拥塞和丢包长的问题；

第二：环路检测设备采用并接接入的方式，不会对原转发网络产生任何干扰；

第三：能够检测报文是否是第一次进入设备，且能够判断报文是否应该被丢弃；

第四：如果该result的第一标志位之前已经置1，则直接将该报文丢弃，防止同一环路流量多次告警引起带宽浪费。

附图说明

无。

具体实施方式

以下具体优选的实施例对本发明作进一步描述。

一种以旁路方式检测环路的方法，其特征是：包括在三层转发网络中，采用并接的方式接入新增的环路检测设备，检测时基于ttl和Identification的值检测环路，具体步骤为：

步骤一：环路检测设备初始化时，创建一个包含key和result的数据表，其中key由报文的源ip地址、目的ip地址和ip头部的Identification值组成，result分为两个标志位和四段存储信息，其中第一标志位为是否已发出告警信息标志，默认值为0，0表明还未发出告警，1表明已经发出告警，发出过环路告警信息之后第一标志位置1；第二标志位为报文是否为潜在环路流量标志，默认值为0，0表明是潜在环路流量，1表明确定不是环路流量，如若报文的当前ttl比result中四段存储信息中的ttl值大，则表明肯定不是环路流量，此时第二标志位置1；四段存储信息中每段存储各自当前ttl值，与各自之前的ttl的公差以及递减次数，报文的当前ttl存储在四段中的哪一段由报文当前的ttl值与四段存储信息中各自存储的ttl值得不同的公差决定；

步骤二：环路检测设备收到的ip报文，先检测该报文源ip地址、目的ip地址和ip头部的Identification值，该三个成员组成一个key值用以标识报文的唯一性，然后用该key值查询步骤一中创建的数据表，并且判断查表结构，如果未命中则跳到步骤三，命中则跳到步骤四；

步骤三：如果步骤二未查中步骤一中创建的数据表，表明该报文第一次进入设备，那么就将该流信息导入数据表结构中，key值为步骤二中的报文源ip地址、目的ip地址和ip头部的Identification值，然后reslut中第一标志位置0，表明该报文还未检测出告警，第二标志位置0，表明该报文为潜在环路流量，然后将ttl信息存储在信息存储段1上，对应的信息存储段1的公差写为0，递减次数写为0；

步骤四：如果步骤二查中步骤一中创建的数据表，则进行判断和信息存储段内容更新，如果该result的第一标志位之前已经置1，表明已经发出过告警，则直接跳过后续步骤，将该报文丢弃，防止同一环路流量多次告警引起带宽浪费；如果该result的第一标志位之前已经为0，则判断第二标志位，如果第二标志位之前已经置1，表明该流量已经排除了潜在环路的可能性，则直接跳过后续步骤，将报文丢弃；如果result的第一标志位和第二标志位都为0，表明该流量为潜在环路流量，则需要进一步判断信息存储段内容，首先将该报文的TTL值与数据表中查到的result中的4个信息存储中存储的对应TTL值做比较，如果当前的ttl大于等于数据表中查到的result中的4个信息存储中有效的信息存储的最小TTL值，其中最小ttl值大于0，则排除该流的环路可能，将数据表中查到的result中的第二标志位置1，直接跳过后续步骤，将报文丢弃；

步骤五：当前的ttl小于数据表中查到的result中的4个信息存储中中有效的信息存储的最小TTL值，则有潜在环路可能，判断第一段信息存储中是否记录了公差，如果没有记录公差，则表明现在的这条流是第二次到达，则直接继续记录在第一段中，此时更新第一段信息存储的ttl值，并且将差值记录为公差，递减次数加1，如果第一段已经记录了公差，则表明现在的这条流已经不是第二次到达，此时需与现在已经存在的信息存储中各个ttl做比较，如果有差值与对应的信息存储中记录的公差一致的情况，则更新对应信息存储中的ttl为当前的ttl值，然后该对应的信息存储段的递减次数做加1操作，如果没有差值与对应result中的4个信息存储中记录的公差一致的情况，则判断是否有result中的4个信息存储中的公差为0的情况，如果有，则直接将result中此段信息存储的ttl值写为报文的ttl，并且该段信息存储的公差记录为0，递减次数写为0，如果没有则考虑到资源有限的问题，直接丢弃该报文；

步骤六：环路检测设备中设置一个ttl最小预警值和递减次数阈值，当报文的当前TTL值小于等于设备中设置的ttl最小预警值，并且该报文满足步骤五中的条件，记录了公差和增加了递减次数，则判断result对应的信息存储段记录的递减次数是否大于等于递减次数阈值，如果大于等于递减次数阈值，则将result中的第一标志位置1，生成告警信息，上报环路报文的源ip和目的ip信息，如果小于递减次数阈值，则不生成告警信息，按之前的步骤五，仅更新result对应的信息存储段记录的当前ttl值，并且将对应的递减次数做加1操作，然后继续处理下一个报文。

进一步的，步骤六如果大于等于递减次数阈值，则将result中的第一标志位置1，生成告警信息，通过snmp或者syslog的形式进行上报。

进一步的，环路检测设备采用命中刷新老化的方式老化数据表的数据，当达到老化时间，并且在该时间段没有流量命中刷新，则自动删除该条信息。

进一步的，环路检测设备采用并接的方式接入三层转发网络中的任意一个支点。

进一步的环路检测设备通过snmp或者syslog的形式及时的上报环路报文的源ip和目的ip信息给相关运维人员或者路由策略分析服务器，然后相关运维人员或者路由策略分析服务器通过增删路由策略的方法解决三层环路问题。

以上仅是本发明的优选实施方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，应视为本发明的保护范围。

Claims (4)

1.一种以旁路方式检测环路的方法，其特征是：包括在三层转发网络中，采用并接的方式接入新增的环路检测设备，检测时基于ttl和Identification的值检测环路，具体步骤为：

步骤一：环路检测设备初始化时，创建一个包含key和result的数据表，其中key由报文的源ip地址、目的ip地址和ip头部的Identification值组成，result分为两个标志位和四段存储信息，其中第一标志位为是否已发出告警信息标志，默认值为0，0表明还未发出告警，1表明已经发出告警，发出过环路告警信息之后第一标志位置1；第二标志位为报文是否为潜在环路流量标志，默认值为0，0表明是潜在环路流量，1表明确定不是环路流量，如若报文的当前ttl比result中四段存储信息中的ttl值大，则表明肯定不是环路流量，此时第二标志位置1；四段存储信息中每段存储各自当前ttl值，与各自之前的ttl的公差以及递减次数，报文的当前ttl存储在四段中的哪一段由报文当前的ttl值与四段存储信息中各自存储的ttl值的不同的公差决定；

步骤二：环路检测设备收到的ip报文，先检测该报文源ip地址、目的ip地址和ip头部的Identification值，该源ip地址、目的ip地址和ip头部的Identification值组成一个key值用以标识报文的唯一性，然后用该key值查询步骤一中创建的数据表，并且判断查表结构，如果未命中则跳到步骤三，命中则跳到步骤四；

步骤三：如果步骤二未查中步骤一中创建的数据表，表明该报文第一次进入设备，那么就将该流信息导入数据表结构中，key值为步骤二中的报文源ip地址、目的ip地址和ip头部的Identification值，然后reslut中第一标志位置0，表明该报文还未检测出告警，第二标志位置0，表明该报文为潜在环路流量，然后将ttl信息存储在信息存储段1上，对应的信息存储段1的公差写为0，递减次数写为0；

步骤四：如果步骤二查中步骤一中创建的数据表，则进行判断和信息存储段内容更新，如果该result的第一标志位之前已经置1，表明已经发出过告警，则直接跳过后续步骤，将该报文丢弃，防止同一环路流量多次告警引起带宽浪费；如果该result的第一标志位之前已经为0，则判断第二标志位，如果第二标志位之前已经置1，表明该流量已经排除了潜在环路的可能性，则直接跳过后续步骤，将报文丢弃；如果result的第一标志位和第二标志位都为0，表明该流量为潜在环路流量，则需要进一步判断信息存储段内容，首先将该报文的TTL值与数据表中查到的result中的4个信息存储中存储的对应TTL值作比较，如果当前的ttl大于等于数据表中查到的result中的4个信息存储中有效的信息存储的最小TTL值，其中最小ttl值大于0，则排除该流的环路可能，将数据表中查到的result中的第二标志位置1，直接跳过后续步骤，将报文丢弃；

步骤五：当前的ttl小于数据表中查到的result中的4个信息存储中有效的信息存储的最小TTL值，则有潜在环路可能，判断第一段信息存储中是否记录了公差，如果没有记录公差，则表明现在的这条流是第二次到达，则直接继续记录在第一段中，此时更新第一段信息存储的ttl值，并且将差值记录为公差，递减次数加1，如果第一段已经记录了公差，则表明现在的这条流已经不是第二次到达，此时需将这条流当前携带的ttl与现在已经存在的信息存储中各个ttl作比较，如果有差值与对应的信息存储中记录的公差一致的情况，则更新对应信息存储中的ttl为当前的ttl值，然后该对应的信息存储段的递减次数做加1操作，如果没有差值与对应result中的4个信息存储中记录的公差一致的情况，则判断是否有result中的4个信息存储中的公差为0的情况，如果有，则直接将result中此段信息存储的ttl值写为报文的ttl，并且该段信息存储的公差记录为0，递减次数写为0，如果没有则考虑到资源有限的问题，直接丢弃该报文；

步骤六：环路检测设备中设置一个ttl最小预警值和递减次数阈值，当报文的当前TTL值小于等于设备中设置的ttl最小预警值，并且该报文满足步骤五中的条件，记录了公差和增加了递减次数，则判断result对应的信息存储段记录的递减次数是否大于等于递减次数阈值，如果大于等于递减次数阈值，则将result中的第一标志位置1，生成告警信息，上报环路报文的源ip和目的ip信息，如果小于递减次数阈值，则不生成告警信息，按之前的步骤五，仅更新result对应的信息存储段记录的当前ttl值，并且将对应的递减次数做加1操作，然后继续处理下一个报文。

2.根据权利要求1所述的一种以旁路方式检测环路的方法，其特征在于：所述的步骤六如果大于等于递减次数阈值，则将result中的第一标志位置1，生成告警信息，通过snmp或者syslog的形式进行上报。

3.根据权利要求1所述的一种以旁路方式检测环路的方法，其特征在于：所述的环路检测设备采用命中刷新老化的方式老化数据表的数据，当达到老化时间，并且在该时间段没有流量命中刷新，则自动删除该条信息。

4.根据权利要求1所述的一种以旁路方式检测环路的方法，其特征在于：所述的环路检测设备采用并接的方式接入三层转发网络中的任意一个支点。