CN108737217B - 一种抓包方法及装置 - Google Patents

Abstract

本申请提供一种抓包方法及装置，方法包括：由交换芯片判断接收到的报文是否符合预先配置到交换芯片中的抓包条件；若符合，则复制报文，并将复制的报文通过预设接口发送至处理器；由处理器判断通过预设接口发送的报文是否符合预先配置到处理器中的抓包条件；若符合，则将报文剪切保存到预设文件中；否则，将报文丢弃。由于处理器对于交换芯片通过预设接口发送的报文，只允许进行抓包条件匹配，以及保存到文件或丢弃，不允许其进入正常报文处理流程，而对于交换芯片通过正常接口发送的报文，只允许进入正常报文处理流程，因此本申请可将抓包上送处理器走的流程与其它报文上送处理器走的流程区分为两个流程，避免了目的设备接收重复报文的问题。

Description

一种抓包方法及装置

技术领域

本申请涉及通信技术领域，尤其涉及一种抓包方法及装置。

背景技术

随着网络流量不断加大，组网环境日益复杂，需要对经过网络设备的流量进行抓包处理，以用于监控分析。由于网络中的报文复杂多样，通过网络设备处理报文的方法也有多种，例如，处理器处理、交换芯片处理等，因此需要有一种不影响网络设备中正常的报文处理流程的抓包方法。

相关技术中，网络设备的交换芯片中配置有抓包接口和抓包方向，处理器中配置有与报文特征相关的抓包条件，当交换芯片通过该抓包接口接收到报文(抓包方向为接收)时，将报文复制一份，并将复制的报文上送至处理器，处理器在接收到报文时，先判断报文是否符合与报文特征相关的抓包条件，如果符合，则将报文复制保存到指定文件中，原始的报文进入正常的报文处理流程，如果不符合，则直接进入正常的报文处理流程。

对于本设备报文或协议报文，由于这类报文只能向处理器上送一次，因此即使通过交换芯片的抓包接口接收，被上送到处理器后也只有一份，并不影响正常的报文处理流程。然而，对于需要进行转发处理的报文，如果通过交换芯片的抓包接口接收，复制一份并上送至处理器后，无论该报文是否属于需要保存的报文，都要进入正常的报文处理流程，在经过处理之后会再次下发到交换芯片，由交换芯片的目的接口进行转发，此时交换芯片的目的接口会出现两份相同的报文，导致目的设备会接收到重复报文，降低用户体验。

发明内容

有鉴于此，本申请提供一种抓包方法及装置，以解决现有抓包方式可能导致目的设备接收到重复报文，降低用户体验的问题。

根据本申请实施例的第一方面，提供一种抓包方法，所述方法应用于包含交换芯片和处理器的网络设备，所述方法包括：

由所述交换芯片判断接收到的报文是否符合预先配置到所述交换芯片中的抓包条件；若符合，则复制所述报文，并将复制的报文通过预设接口发送至所述处理器；

由所述处理器判断通过预设接口发送的报文是否符合预先配置到所述处理器中的其它抓包条件；若符合，则将所述报文剪切保存到预设文件中；否则，将所述报文丢弃。

根据本申请实施例的第二方面，提供一种抓包装置，所述装置应用于包含交换芯片和处理器的网络设备，所述装置包括：所述交换芯片上的第一判断模块和第一发送模块，所述处理器上的第二判断模块、保存模块和丢弃模块；

所述第一判断模块，用于判断接收到的报文是否符合预先配置到所述交换芯片中的抓包条件；

所述第一发送模块，用于在判断为符合时，复制所述报文，并将复制的报文通过预设接口发送至所述处理器；

所述第二判断模块，用于判断通过预设接口发送的报文是否符合预先配置到所述处理器中的其它抓包条件；

所述保存模块，用于在判断为符合时，将所述报文剪切保存到预设文件中；

所述丢弃模块，用于在判断为不符合时，将所述报文丢弃。

应用本申请实施例，网络设备的交换芯片在接收到报文后，可以先判断接收到的报文是否符合预先配置到交换芯片中的抓包条件；若符合，则复制所述报文，并将复制的报文通过预设接口发送至处理器，从而，由处理器判断通过预设接口发送的报文是否符合预先配置到处理器中的其它抓包条件；若符合，则将所述报文剪切保存到预设文件中；否则，将所述报文丢弃。基于上述描述可知，处理器对于交换芯片通过预设接口发送的报文，只允许进行抓包条件的匹配，以及剪切保存到预设文件中或丢弃，不允许其进入正常的报文处理流程，而对于交换芯片通过正常接口发送的报文，只允许进入正常的报文处理流程，因此本申请可以将抓包上送处理器走的流程与其它报文上送处理器走的流程区分为两个不同的流程，避免了目的设备接收到重复报文的问题，从而可以提升用户使用体验。

附图说明

图1为本申请根据一示例性实施例示出的一种现有的抓包结构图；

图2为本申请根据一示例性实施例示出的一种抓包结构图；

图3为本申请根据一示例性实施例示出的一种抓包方法的实施例流程图；

图4为本申请根据一示例性实施例示出的一种网络设备的硬件结构图；

图5为本申请根据一示例性实施例示出的一种抓包装置的实施例结构图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

图1为本申请根据一示例性实施例示出的一种现有的抓包结构图，图1中包括用户终端、网络设备、数据设备。其中，用户终端可以是电脑、智能手机等，用于访问数据设备的数据；网络设备包含处理器(如CPU(Central Processing Unit，中央处理器))和交换芯片，可以是交换机、路由器等设备，用于转发用户终端发送的报文，以及抓取符合抓包条件的报文；数据设备可以是各种网站服务器，用于向用户终端提供数据。

针对抓取符合抓包条件的报文的过程，在现有技术中，由于抓包上送处理器走的流程与其它报文上送处理器走的流程是同一个流程，因此对于需要进行转发处理的报文(如二层或三层报文)，如果通过交换芯片的抓包接口接收且符合抓包方向，复制一份并上送至处理器后，无论该报文是否属于需要保存的报文，都要进入正常的报文处理流程(如查询软件路由表)，在经过处理之后会再次下发到交换芯片，由交换芯片的目的接口进行转发，此时交换芯片的目的接口会出现两份相同的报文(一份来自于处理器下发的复制的报文，一份来自于交换芯片接收到的原始报文)，进行两次转发，导致目的设备会接收到重复报文，降低用户体验。

另外，由于交换芯片中配置的抓包条件只有抓包接口和抓包方向，因此，只要交换芯片接收或发送的报文符合上述两个抓包条件就会复制报文，并将复制的报文上送至处理器，由处理器对上送的报文进一步进行过滤，而处理器除了需要对上送的报文进行过滤，还需要进行其他报文的正常处理流程，如果交换芯片复制上送的报文数量比较大，则会导致处理器的使用率升高，降低处理器的处理效率。

基于此，图2为本申请根据一示例性实施例示出的一种抓包结构图，本申请在图1的基础上，在交换芯片中预先设置了一个接口(逻辑接口)，对于符合抓包条件的报文，在复制报文后，将复制的报文通过该接口上送至处理器，从而将抓包上送处理器走的流程与其它报文上送处理器走的流程区分为两个不同的流程，处理器在接收到通过该接口上送的报文时，如果报文符合本地配置的抓包条件，则剪切保存报文到指定文件中，如果报文不符合本地配置的抓包条件，则丢弃该报文。从而可以避免目的设备接收到重复报文的问题，提高了用户的使用体验。

下面以具体实施例详细介绍本申请的技术方案。

图3为本申请根据一示例性实施例示出的一种抓包方法的实施例流程图，该抓包方法可以应用在包括处理器和交换芯片的网络设备中，如图3所示，该抓包方法可以包括如下步骤：

步骤301：由交换芯片判断接收到的报文是否符合预先配置到所述交换芯片中的抓包条件，若不符合，则执行步骤302，若符合，则执行步骤303。

在执行步骤301之前，可以预先向交换芯片和处理器配置抓包条件。在一实施例中，可以由处理器接收管理设备(如PC机)发送的抓包条件，并从抓包条件中选取交换芯片能够匹配的条件，并将选取的抓包条件发送至交换芯片，再将剩下的抓包条件确定为处理器本地需要过滤的条件。

其中，管理设备通过登录网络设备的管理页面，用户将抓包条件输入到管理页面包含的抓包配置编辑项中，从而管理设备在接收到用户输入的抓包条件后，将抓包条件发送至网络设备的处理器，由处理器对抓包条件进行分配处理。处理器可以将交换芯片能够匹配的条件下发至交换芯片的ACL(Access Control List，访问控制列表)中。

在一个例子中，交换芯片能够匹配的条件可以包括抓包接口信息、抓包方向、五元组信息、VLAN(Virtual Local Area Network，虚拟局域网)信息等。由于交换芯片不具有运算能力，因此对于抓包条件为报文长度信息的条件，交换芯片无法计算报文的长度，只能通过处理器实现过滤。

需要说明的是，在处理器中，尽量将交换芯片能够匹配的条件下发至交换芯片，由交换芯片去匹配具体的报文，从而可以减少上送到处理器的报文数量，提高处理器使用率。

步骤302：按照所述交换芯片的规则进行转发或丢弃。

在一实施例中，交换芯片的规则可以是查询各种表项，例如MAC表项、硬件三层转发表项等，并且，如果交换芯片查找表项失败，则直接通过正常接口将报文发送至处理器，由处理器进行软件路由表的查询处理后，将处理后的报文再下发至交换芯片，交换芯片再进行转发或丢弃。需要说明的是，不同厂家的交换芯片，其设置的规则不同。

步骤303：复制所述报文，将复制的报文通过预设接口发送至处理器。

在一实施例中，交换芯片可以将所述报文复制到预设的回环接口，并通过回环接口将复制的报文重定向至处理器。

其中，预设的回环接口属于逻辑接口，被送到回环接口的报文会被认为是送往设备自身的，也就是说，交换芯片接收到的报文的方向为出方向，当将报文复制到回环接口后，复制后的报文的方向为入方向，从而交换芯片可以通过该回环接口将复制的报文重定向至处理器。

步骤304：由处理器判断通过预设接口发送的报文是否符合预先配置到所述处理器中的其它抓包条件，若符合，则执行步骤305，若不符合，则执行步骤306。

在一实施例中，预先配置到处理器中的其它抓包条件指的是，交换芯片无法实现过滤的条件，例如报文长度信息的条件。

步骤305：将该报文剪切保存到预设文件中。

在一实施例中，当网络设备的处理器接收到管理设备发送的下载请求时，可以将预设文件发送至管理设备，从而管理设备可以显示预设文件中的报文信息，供用户查看。

步骤306：将该报文丢弃。

由上述步骤305和步骤306可知，处理器对于通过预设接口发送的报文，只允许进行抓包条件的匹配，以及剪切保存到预设文件中或丢弃，不允许其进入正常的报文处理流程，而对于通过正常接口发送的报文，只允许进入正常的报文处理流程，因此本申请可以将抓包上送处理器走的流程与其它报文上送处理器走的流程区分为两个不同的流程，避免了目的设备接收到重复报文的问题。

在一示例性场景中，假设交换芯片中预先配置的抓包条件为：抓包接口A的入方向的报文、五元组信息为源IP地址1.1.1.1，源端口a，目的IP地址2.2.2.2，目的端口d，传输层协议TCP(Transmission Control Protocol传输控制协议)、VLAV信息为10，处理器中预先配置的抓包条件为：报文长度为4MB。当交换芯片通过接口A接收到报文后，将该报文携带的五元组信息、VLAN信息与预先配置的抓包条件进行匹配，如果匹配到抓包条件中的源IP地址1.1.1.1，源端口a，目的IP地址2.2.2.2，目的端口b，传输层协议TCP，则将该报文复制到预设接口，并通过预设接口将复制的报文上送至处理器，处理器在接收到通过预设接口发送的报文时，计算报文的长度，如果计算得到的报文的长度小于预先配置的抓包条件中的报文长度4MB，则将该报文剪切保存至预设文件中。

本实施例中，网络设备的交换芯片在接收到报文后，可以先判断接收到的报文是否符合预先配置到交换芯片中的抓包条件；若符合，则复制所述报文，并将复制的报文通过预设接口发送至处理器，从而，由处理器判断通过预设接口发送的报文是否符合预先配置到处理器中的其它抓包条件；若符合，则将所述报文剪切保存到预设文件中；否则，将所述报文丢弃。基于上述描述可知，处理器对于交换芯片通过预设接口发送的报文，只允许进行抓包条件的匹配，以及剪切保存到预设文件中或丢弃，不允许其进入正常的报文处理流程，而对于交换芯片通过正常接口发送的报文，只允许进入正常的报文处理流程，因此本申请可以将抓包上送处理器走的流程与其它报文上送处理器走的流程区分为两个不同的流程，避免了目的设备接收到重复报文的问题，从而可以提升用户使用体验。

与前述抓包方法的实施例相对应，本申请还提供了抓包装置的实施例。

本申请抓包装置的实施例可以应用在网络设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图4所示，为本申请根据一实施例性实施例示出的一种网络设备的硬件结构图，除了图4所示的处理器、内存、网络接口、以及非易失性存储器之外，实施例中装置所在的设备通常根据该设备的实际功能，还可以包括其他硬件，对此不再赘述。

图5为本申请根据一示例性实施例示出的一种抓包装置的实施例结构图，所述抓包装置可以应用在网络设备上，如图5所示，所述抓包装置包括：所述交换芯片上的第一判断模块510和第一发送模块520，所述处理器上的第二判断模块530、保存模块540和丢弃模块550；

所述第一判断模块510，用于判断接收到的报文是否符合预先配置到所述交换芯片中的抓包条件；

所述第一发送模块520，用于在判断为符合时，复制所述报文，并将复制的报文通过预设接口发送至所述处理器；

所述第二判断模块530，用于判断通过预设接口发送的报文是否符合预先配置到所述处理器中的其它抓包条件；

所述保存模块540，用于在判断为符合时，将所述报文剪切保存到预设文件中；

所述丢弃模块550，用于在判断为不符合时，将所述报文丢弃。

在一可选的实现方式中，所述装置还包括(图5中未示出)：所述处理器上的配置模块；

所述配置模块，用于接收管理设备发送的抓包条件，从所述抓包条件中选取所述交换芯片能够匹配的条件，并将选取的抓包条件发送至所述交换芯片，其中，所述交换芯片能够匹配的条件包括抓包接口信息、抓包方向、五元组信息、虚拟局域网VLAN信息；将剩下的抓包条件确定为所述处理器本地需要过滤的条件。

在一可选的实现方式中，所述第一发送模块520，具体用于将所述报文复制到预设的回环接口；通过所述回环接口将复制的报文重定向至所述处理器。

在一可选的实现方式中，所述装置还包括(图5中未示出)：所述处理器上的第二发送模块；

所述第二发送模块，具体用于所述保存模块540在将所述报文剪切保存到预设文件中之后，当接收到管理设备发送的下载请求时，将所述预设文件发送至所述管理设备。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本申请的其它实施方案。本申请旨在涵盖本申请的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本申请的一般性原理并包括本申请未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本申请的真正范围和精神由下面的权利要求指出。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (8)

1.一种抓包方法，其特征在于，所述方法应用于包含交换芯片和处理器的网络设备，所述方法包括：

由所述交换芯片判断接收到的报文是否符合预先配置到所述交换芯片中的抓包条件；若符合，则复制所述报文，并将复制的报文通过预设接口发送至所述处理器；

由所述处理器判断通过预设接口发送的报文是否符合预先配置到所述处理器中的其它抓包条件；若符合，则将所述报文剪切保存到预设文件中；否则，将所述报文丢弃。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括，采用如下方式向所述交换芯片和所述处理器配置抓包条件：

由所述处理器接收管理设备发送的抓包条件，从所述抓包条件中选取所述交换芯片能够匹配的条件，并将选取的抓包条件发送至所述交换芯片，其中，所述交换芯片能够匹配的条件包括抓包接口信息、抓包方向、五元组信息、虚拟局域网VLAN信息；

将剩下的抓包条件确定为所述处理器本地需要过滤的条件。

3.根据权利要求1所述的方法，其特征在于，由交换芯片复制所述报文，并将复制的报文通过预设接口发送至处理器，包括：

将所述报文复制到预设的回环接口；

通过所述回环接口将复制的报文重定向至所述处理器。

4.根据权利要求1所述的方法，其特征在于，在将所述报文剪切保存到预设文件中之后，所述方法还包括：

当接收到管理设备发送的下载请求时，将所述预设文件发送至所述管理设备。

5.一种抓包装置，其特征在于，所述装置应用于包含交换芯片和处理器的网络设备，所述装置包括：所述交换芯片上的第一判断模块和第一发送模块，所述处理器上的第二判断模块、保存模块和丢弃模块；

所述第一判断模块，用于判断接收到的报文是否符合预先配置到所述交换芯片中的抓包条件；

所述第一发送模块，用于在判断为符合时，复制所述报文，并将复制的报文通过预设接口发送至所述处理器；

所述第二判断模块，用于判断通过预设接口发送的报文是否符合预先配置到所述处理器中的其它抓包条件；

所述保存模块，用于在判断为符合时，将所述报文剪切保存到预设文件中；

所述丢弃模块，用于在判断为不符合时，将所述报文丢弃。

6.根据权利要求5所述的装置，其特征在于，所述装置还包括：所述处理器上的配置模块；

所述配置模块，用于接收管理设备发送的抓包条件，从所述抓包条件中选取所述交换芯片能够匹配的条件，并将选取的抓包条件发送至所述交换芯片，其中，所述交换芯片能够匹配的条件包括抓包接口信息、抓包方向、五元组信息、虚拟局域网VLAN信息；将剩下的抓包条件确定为所述处理器本地需要过滤的条件。

7.根据权利要求5所述的装置，其特征在于，

所述第一发送模块，具体用于将所述报文复制到预设的回环接口；通过所述回环接口将复制的报文重定向至所述处理器。

8.根据权利要求5所述的装置，其特征在于，所述装置还包括：所述处理器上的第二发送模块；

所述第二发送模块，具体用于所述保存模块在将所述报文剪切保存到预设文件中之后，当接收到管理设备发送的下载请求时，将所述预设文件发送至所述管理设备。

Images