CN108322403A - 一种Netflow流量分流方法及装置 - Google Patents

Abstract

本申请提供一种Netflow流量分流方法，其特征在于，所述方法应用于任一检测执行设备，所述方法包括：解析接收到的Netflow报文，得到所述Netflow报文中携带的flow数据包；将具有相同预设特征的flow数据包重组为一个报文；根据预设分流规则，将重组得到的报文转发至其他检测执行设备。应用本申请方案，可以对Netflow流量进行有效的分流。

Description

一种Netflow流量分流方法及装置

技术领域

本申请涉及网络技术领域，尤其涉及一种Netflow流量分流方法及装置。

背景技术

Netflow是一种网络数据检测功能，检测执行设备通过接收与检测路由器等检测对象设备的Netflow流量，分析、统计检测对象设备的数据流量，监测网络状态。但是随着网络技术的发展与网络设备性能的提升，检测对象设备的Netflow流量也随之增加，在某些应用环境中，一台检测执行设备所接收的Netflow流量，可能会超过其可处理范围，因此需要将Netflow流量，在不影响网络数据检测结果的前提下，分流至其他检测执行设备。

检测对象设备中的Netflow流量，将定期地打包为一个Netflow报文，发送至检测执行设备，每个Netflow报文可能携带几个至几十个不等的flow数据包，每个flow数据包中包括一对源IP与目的IP间单向传输的数据，现有技术中，检测执行设备在接收到检测对象设备的Netflow报文后，可以利用设备芯片的转发功能，根据Netflow报文的五元组将其转发至其他检测执行设备，实现Netflow流量分流的目的。但是，在接收到同一检测对象设备的大量Netflow报文的情况下，这种分流方式的效果并不明显。

发明内容

有鉴于此，本申请提供一种Netflow流量分流方法及装置，技术方案如下：

一种Netflow流量分流方法，其特征在于，所述方法应用于任一检测执行设备，所述方法包括：

解析接收到的Netflow报文，得到所述Netflow报文中携带的flow数据包；

将具有相同预设特征的flow数据包重组为一个报文；

根据预设分流规则，将重组得到的报文转发至其他检测执行设备。

一种Netflow流量分流装置，其特征在于，所述装置应用于任一检测执行设备，所述装置包括：

报文解析模块，用于解析接收到的Netflow报文，得到所述Netflow报文中携带的flow数据包；

数据包重组模块，用于将具有相同预设特征的flow数据包重组为一个报文；

报文转发模块，用于根据预设分流规则，将重组得到的报文转发至其他检测执行设备。

本申请所提供的技术方案，预先设定的可用于将flow数据包分类特征，检测执行设备在接收到检测对象设备发来的Netflow报文后，对报文进行解析得到其中携带的各个flow数据包，通过各个flow数据包的预设特征对其进行分类，将各个不同分类的flow重组为一个报文后，根据预设的分流规则将Netflow流量，较为均衡地分流至其他检测执行设备，从而对Netflow流量进行有效的分流，并且使具有相同特征的flow数据包，由同一检测执行设备进行检测，避免降低网络数据检测效率或影响检测结果。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本申请。此外，本申请中的任一实施例并不需要达到上述的全部效果。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1是本申请实施例Netflow流量分流方法的流程示意图；

图2是本申请实施例Netflow报文的一种基本结构示意图；

图3是本申请实施例flow数据包的一种具体内容示意图；

图4是本申请实施例Netflow流量分流装置的一种结构示意图；

图5是本申请实施例数据包重组模块的一种结构示意图；

图6是本申请实施例Netflow流量分流装置的另一种结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

为了有效地对Netflow流量进行分流，本申请提供一种Netflow流量分流方法。在对检测执行设备的Netflow流量进行分流时，通常可以由几台检测执行设备相互关联，在接收Netflow报文及检测时，可以是由部分设备接收来自检测对象设备的Netflow报文，并由相互关联的几台设备共同分担检测任务，也可以由互相关联的几台设备均接收来自检测对象设备的Netflow报文、并互相分担检测任务，本申请方案可以应用于相互关联的检测执行设备中，任一接收Netflow报文的设备。此外，本申请方案中的各检测执行设备，可以在硬件与软件上均相互独立，也可以存在于同一设备中、只在对Netflow报文的接收及检测功能上相互独立，例如，框式设备中的各个检测板卡均可以接收及检测Netflow报文，相互之间可以通过框式设备的内部通道关联，并传输所分流的Netflow流量，此外，如果框式设备内的检测板卡中，已集成了用于提高工作效率的FPGA硬件，则可以在不需要额外替换专用硬件的情况下，使用FPGA硬件进行本申请方案的Netflow流量分流工作，从而进一步提高Netflow流量分流工作的效率。

参见图1所示，本申请的Netflow流量分流方法，可以包括以下步骤：

S101，解析接收到的Netflow报文，得到所述Netflow报文中携带的flow数据包；

如图2所示，为检测对象设备发送到检测执行设备的Netflow报文的一种基本结构。检测执行设备可以以flow数据包为单位，检测与统计Netflow流量，每个flow数据包中包括一对源IP与目的IP间单向传输的数据。检测对象设备可以每隔一段时间，将所接收的flow数据包打包为一个Netflow报文，发送至对应的检测执行设备，因此一个Netflow报文中通常可以携带一个至几十个flow数据包，如图2所示的Netflow报文中携带了6个flow数据包。

本申请方案中，为了有效地分流Netflow流量，检测执行设备在接收到Netflow报文后，将对该Netflow报文进行解析，得到其中携带的flow数据包，例如，如图2所示的Netflow报文，根据“Count：6”及“pdu 1/6……pdu6/6”可知，该Netflow报文中携带了6个flow数据包，因此解析后将得到6个flow数据包。

S102，将具有相同预设特征的flow数据包重组为一个报文；

解析得到Netflow报文中携带的flow数据包后，即可以根据各个flow数据包的预设特征，将一个Netflow报文中的flow数据包，重组得到几个分别携带更少flow数据包的报文。当然在较为极端的情况下，例如Netflow报文中的flow数据包较少并且预设特征均相同的情况下，重组后仍得到一个报文，但可以理解的是，单独的几例特殊情况并不会影响本申请方案整体上对Netflow流量的有效分流。

将具有相同预设特征的flow数据包重组为一个报文，可以有多种具体的实现方式，本申请的基本方案理论上不需对此进行限定，本领域的技术人员可以在实际应用时灵活地选择合适的方式。在本申请的一种具体实施方式中，首先可以获得解析得到的每个flow数据包的预设特征，然后根据每个flow数据包的预设特征，将预设特种相同的flow数据包分为一组，预设特种不同的flow数据包分为不同组，在对Netflow报文解析得到的所有flow数据包进行分组后，将得到的几组flow数据包重组为一个报文。

如图3所示，为一个flow数据包可能包括的基本内容，如该flow数据包的源IP、目的IP、源端口、目的端口及协议类型，等等。为了有效地分流Netflow流量，需要将一个Netflow报文中的flow数据包分别重组为几个报文，但同时为了避免降低网络数据检测效率或影响检测结果，可以根据检测及统计Netflow流量时所需要的flow数据包的某些特征进行重组，因此，在本申请的一种具体实施方式中，可以以flow数据包的源IP、目的IP、源端口、目的端口及协议类型中的任一项或至少2项的组合，例如flow数据包的目的IP、或者flow数据包的源IP+目的IP，作为对flow数据包进行重组的预设特征。进行重组的预设特征也可以为其他特征，本申请的基本方案理论上不需对此进行限定，本领域的技术人员可以在实际应用时灵活地选择合适的特征。并且，预设特征的设定，可以在设备出场时由生产方进行设定，也可以由用户在使用过程中，根据实际情况进行设定，等等，本申请的对此也不进行限定。

S103，根据预设分流规则，将重组得到的报文转发至其他检测执行设备。

将一个Netflow报文中携带的flow数据包重组为一个到几个报文后，则可以将这几个报文分别转发至预先关联的其他检测执行设备，从而进行Netflow流量的分流。以如图2所示的Netflow报文为例，其中包括6个flow数据包，假设根据目的IP可以将这6个flow数据包，重组为2个报文，则可以将这2个报文分别发送至所关联的2个检测执行设备，或者只将其中1个报文发送至所关联的2个检测执行设备，均可以实现有效地分流Netflow流量的目的。

根据预设分流规则转发重组得到的报文，可以有多种实现方式，例如，可以预先建立分流对应关系表，表中记录了本设备转发至任一其他检测执行设备的flow数据包数目，即在将重组得到的报文转发至任一其他检测执行设备时，记录该检测执行设备及所转发报文中的flow数据包的数目，并在将重组得到的报文转发至任一其他检测执行设备时，根据分流对应关系表中的记录，确定已转发flow数据包数目较少的其他检测执行设备，并将携带较多flow数据包的重组报文优先转发至该检测执行设备；又如，可以在将重组得到的报文转发至任一其他检测执行设备时，获取其他检测执行设备当前的待检测flow数据包数目，并将携带较多flow数据包的重组报文，优先转发至当前待检测flow数据包数目较少的检测执行设备；等等，本申请的基本方案理论上不需对此进行限定，本领域的技术人员可以在实际应用时灵活地选择合适的方式。

此外，在本申请的一种具体实施方式中，在接收到任一Netflow报文的情况下，可以获取本设备当前待检测flow数据包的数目，在本设备当前待检测flow数据包的数目不大于预设阈值的情况下，将该Netflow报文中携带的flow数据包存入本设备待检测flow数据包，即如果本次接收的Netflow流量在本设备的检测能力范围内，可以不对该Netflow报文进行上述的分流工作，从而间接地减轻所关联的其他检测执行设备的检测压力。

相应于上述方法实施例，本申请还提供一种Netflow流量分流装置，参见图4所示，该装置可以包括：

报文解析模块110，用于解析接收到的Netflow报文，得到所述Netflow报文中携带的flow数据包；

数据包重组模块120，用于将具有相同预设特征的flow数据包重组为一个报文；

报文转发模块130，用于根据预设分流规则，将重组得到的报文转发至其他检测执行设备。

在本申请的一种具体实施方式中，参见图5所示，所述数据包重组模块120，可以包括：

特征获得单元121，用于对解析得到的任一flow数据包，获得该flow数据包的预设特征；

数据包分组单元122，用于根据所获得的该flow数据包的预设特征，对该flow数据包进行分组；

数据包重组单元123，用于在对解析得到的所有flow数据包进行分组后，将得到的任一组flow数据包重组为一个报文。

在本申请的一种具体实施方式中，所述预设特征，可以包括：

flow数据包的源IP、目的IP、源端口、目的端口及协议类型中的任一项或至少2项的组合。

在本申请的一种具体实施方式中，参见图6所示，所述装置还可以包括：

待检测数获取模块140，用于在接收到任一Netflow报文的情况下，获取本设备当前待检测flow数据包的数目；

数据包暂存模块150，用于在本设备当前待检测flow数据包的数目不大于预设阈值的情况下，将该Netflow报文中携带的flow数据包存入本设备待检测flow数据包。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

虽然本说明书包含许多具体实施细节，但是这些不应被解释为限制任何发明的范围或所要求保护的范围，而是主要用于描述特定发明的具体实施例的特征。本说明书内在多个实施例中描述的某些特征也可以在单个实施例中被组合实施。另一方面，在单个实施例中描述的各种特征也可以在多个实施例中分开实施或以任何合适的子组合来实施。此外，虽然特征可以如上所述在某些组合中起作用并且甚至最初如此要求保护，但是来自所要求保护的组合中的一个或多个特征在一些情况下可以从该组合中去除，并且所要求保护的组合可以指向子组合或子组合的变型。

类似地，虽然在附图中以特定顺序描绘了操作，但是这不应被理解为要求这些操作以所示的特定顺序执行或顺次执行、或者要求所有例示的操作被执行，以实现期望的结果。在某些情况下，多任务和并行处理可能是有利的。此外，上述实施例中的各种系统模块和组件的分离不应被理解为在所有实施例中均需要这样的分离，并且应当理解，所描述的程序组件和系统通常可以一起集成在单个软件产品中，或者封装成多个软件产品。

由此，主题的特定实施例已被描述。其他实施例在所附权利要求书的范围以内。在某些情况下，权利要求书中记载的动作可以以不同的顺序执行并且仍实现期望的结果。此外，附图中描绘的处理并非必需所示的特定顺序或顺次顺序，以实现期望的结果。在某些实现中，多任务和并行处理可能是有利的。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (8)

1.一种Netflow流量分流方法，其特征在于，所述方法应用于任一检测执行设备，所述方法包括：

解析接收到的Netflow报文，得到所述Netflow报文中携带的flow数据包；

将具有相同预设特征的flow数据包重组为一个报文；

根据预设分流规则，将重组得到的报文转发至其他检测执行设备。

2.根据权利要求1所述的方法，其特征在于，所述将具有相同预设特征的flow数据包重组为一个报文，包括：

对解析得到的任一flow数据包，获得该flow数据包的预设特征；

根据所获得的该flow数据包的预设特征，对该flow数据包进行分组；

在对解析得到的所有flow数据包进行分组后，将得到的任一组flow数据包重组为一个报文。

3.根据权利要求1或2所述的方法，其特征在于，所述预设特征，包括：

flow数据包的源IP、目的IP、源端口、目的端口及协议类型中的任一项或至少2项的组合。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在接收到任一Netflow报文的情况下，获取本设备当前待检测flow数据包的数目；

在本设备当前待检测flow数据包的数目不大于预设阈值的情况下，将该Netflow报文中携带的flow数据包存入本设备待检测flow数据包。

5.一种Netflow流量分流装置，其特征在于，所述装置应用于任一检测执行设备，所述装置包括：

报文解析模块，用于解析接收到的Netflow报文，得到所述Netflow报文中携带的flow数据包；

数据包重组模块，用于将具有相同预设特征的flow数据包重组为一个报文；

报文转发模块，用于根据预设分流规则，将重组得到的报文转发至其他检测执行设备。

6.根据权利要求5所述的装置，其特征在于，所述数据包重组模块，包括：

特征获得单元，用于对解析得到的任一flow数据包，获得该flow数据包的预设特征；

数据包分组单元，用于根据所获得的该flow数据包的预设特征，对该flow数据包进行分组；

数据包重组单元，用于在对解析得到的所有flow数据包进行分组后，将得到的任一组flow数据包重组为一个报文。

7.根据权利要求5或6所述的装置，其特征在于，所述预设特征，包括：

flow数据包的源IP、目的IP、源端口、目的端口及协议类型中的任一项或至少2项的组合。

8.根据权利要求5所述的装置，其特征在于，所述装置还包括：

待检测数获取模块，用于在接收到任一Netflow报文的情况下，获取本设备当前待检测flow数据包的数目；

数据包暂存模块，用于在本设备当前待检测flow数据包的数目不大于预设阈值的情况下，将该Netflow报文中携带的flow数据包存入本设备待检测flow数据包。