CN108737413A - 传输层的数据处理方法、装置及用户态协议栈 - Google Patents

Abstract

一种传输层的数据处理方法、装置及用户态协议栈。其中，传输层的数据处理方法包括接收数据包，所述数据包包括标识字段；解析数据包，得到数据包的标识字段；基于数据包的标识字段，判断数据包是否为握手包；以及在数据包为握手包的情况下，转发数据包。其中，数据包的标识字段表征数据包的类型，握手包用于使客户端与服务器建立连接。

Description

传输层的数据处理方法、装置及用户态协议栈

技术领域

本公开涉及计算机网络技术领域，更具体地，涉及一种传输层的数据处理方法、装置及用户态协议栈。

背景技术

随着网络需求的不断提高，网络拓扑结构的部署类型越发广泛，因此也对网络拓扑结构的代理技术提出更高的要求。

在实现本公开构思的过程中，发明人发现现有技术中至少存在如下问题：为了实现网关防护，可采用网关进行传输层的数据处理，但此种情况下，由于传输层通常处于内核态，对于一些特定的网络拓扑结构，存在服务器与客户端无法建立直接连接、甚至无法建立连接的缺陷，则所谓的网关防护也就毫无意义。

发明内容

有鉴于此，本公开提供了一种能够支持多种拓扑结构且具有网关防护作用的传输层的数据处理方法、装置及用户态协议栈。

本公开的第一方面提供了一种传输层的数据处理方法，包括：接收数据包，所述数据包包括标识字段；解析所述数据包，得到所述数据包的标识字段；基于所述数据包的标识字段，判断所述数据包是否为握手包；以及在所述数据包为握手包的情况下，转发所述数据包。其中，数据包的标识字段表征所述数据包的类型，所述握手包用于使客户端与服务器建立连接。

根据本公开的实施例，上述数据包还包括目的地址，上述传输层的数据处理方法还包括：解析所述数据包，得到所述数据包的目的地址；相应地，转发所述数据包包括：基于所述目的地址，转发所述数据包，以供与所述目的地址相对应的客户端或服务器接收。

根据本公开的实施例，上述握手包包括：客户端发送的请求握手包；服务器响应于所述客户端的请求握手包发送的请求-应答握手包；客户端响应于所述服务器的请求-应答握手包发送的应答握手包；并且/或者重传包，所述重传包包括与已接收的数据包相同的请求握手包、请求-应答握手包和/或应答握手包。

根据本公开的实施例，上述数据包包括TCP协议的数据包。

本公开的第二方面提供了一种传输层的数据处理装置，该装置包括接收模块、解析模块、判断模块和转发模块。其中，接收模块用于接收数据包，该数据包包括标识字段；解析模块用于解析所述数据包，得到所述数据包的标识字段；判断模块用于基于数据包的标识字段，判断所述数据包是否为握手包；转发模块用于在所述数据包为握手包的情况下，转发所述数据包。其中，所述数据包的标识字段表征数据包的类型，握手包用于使客户端与服务器建立连接。

根据本公开的实施例，上述数据包还包括目的地址，解析模块还用于解析所述数据包，得到所述数据包的目的地址；则所述转发模块基于所述目的地址转发所述数据包，以供与所述目的地址相对应的客户端或服务器接收。

本公开的第三方面提供了一种用户态协议栈，该用户态协议栈包括传输层的数据处理协议，该传输层的数据处理协议规定有上述的传输层的数据处理方法。

本公开的第四方面提供了一种非对称拓扑结构的数据处理方法，其中，非对称拓扑结构包括第一单向链路和第二单向链路，第一单向链路由客户端、第一路由器、第一网关、第二路由器与服务器依次连接构成，第二单向链路由服务器、第二路由器、第二网关、第一路由器与客户端依次连接构成，其中，第一网关采用上述的传输层的数据处理方法对其接收的所述客户端发送的数据包进行处理；第二网关采用上述的传输层的数据处理方法对其接收的所述服务器发送的数据包进行处理；以及第一网关与第二网关经由预设的共享协议共享接收的数据包。其中，客户端发送的数据包和服务器发送的数据包均为握手包，以使客户端与服务器建立连接。

本公开的第五方面提供了一种单臂拓扑结构的数据处理方法，单臂拓扑结构包括客户端-网关-路由器-网关-服务器的双向链路，其中，网关采用上述的传输层的数据处理方法对其接收的所述客户端发送的数据包、所述服务器发送的数据包、以及重传包进行处理。其中，重传包为所述网关发送至所述路由器、经由所述路由器转发后再次被所述网关接收的数据包，所述客户端发送的数据包和所述服务器发送的数据包均为握手包，以使所述客户端与服务器建立连接。

本公开的第六方面提供了一种单边拓扑结构的数据处理方法，单边拓扑结构包括第一单向链路和第二单向链路，第一单向链路由客户端、第一路由器、网关、第二路由器与服务器依次连接构成，第二单向链路由服务器、第二路由器、交换机、第一路由器与客户端依次连接构成，其中，网关采用上述的传输层的数据处理方法对其接收的所述客户端发送的数据包进行处理。其中，所述客户端发送的数据包为握手包，以使所述客户端与服务器建立连接。

本公开的第七方面提供了一种电子设备，包括：一个或多个处理器；存储装置，用于存储一个或多个程序。其中，当一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行上述第一方面提供的传输层的数据处理方法。

本公开的第八方面提供了一种计算机可读介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行上述第一方面提供的传输层的数据处理方法。

根据本公开的实施例，可以至少部分地解决现有的数据处理方法为了实现网关防护无法支持多种拓扑结构的缺陷，并因此可以支持各种不同的拓扑结构，并使得服务器与客户端建立起直接连接，利于网关过滤等高级功能的实现。

附图说明

通过以下参照附图对本公开实施例的描述，本公开的上述以及其他目的、特征和优点将更为清楚，在附图中：

图1示意性示出了根据本公开实施例的传输层的数据处理方法、装置及用户态协议栈的应用场景图。

图2示意性示出了根据本公开实施例的传输层的数据处理方法的流程图；

图3示意性示出了根据本公开另一实施例的传输层的数据处理方法的流程图；

图4示意性示出了根据本公开实施例的非对称拓扑结构的数据处理方法的应用场景图；

图5示意性示出了根据本公开实施例的单臂拓扑结构的数据处理方法的应用场景图；

图6示意性示出了根据本公开实施例的单边拓扑结构的数据处理方法的应用场景图；

图7示意性示出了根据本公开实施例的传输层的数据处理装置的结构框图；

图8示意性示出了根据本公开实施例的适于实现传输层的数据处理方法的网络设备系统的方框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。本领域技术人员还应理解，实质上任意表示两个或更多可选项目的转折连词和/或短语，无论是在说明书、权利要求书还是附图中，都应被理解为给出了包括这些项目之一、这些项目任一方、或两个项目的可能性。例如，短语“A或B”应当被理解为包括“A”或“B”、或“A和B”的可能性。

本公开的实施例提供了一种传输层的数据处理方法、装置和用户态协议栈。该传输层的数据处理方法包括：接收数据包，该数据包包括标识字段；解析该数据包，得到该数据包的标识字段；基于该数据包的标识字段，判断该数据包是否为握手包；以及在该数据包为握手包的情况下，转发该数据包。其中，该数据包的标识字段表征数据包的类型，该握手包用于使客户端与服务器建立连接。其中，通过对握手包的转发，可以使得例如非对称拓扑结构、单臂拓扑结构和单边拓扑结构等多种拓扑结构中的服务器和客户端之间直接的建立连接，且该传输层的数据处理方法具有对数据的解析功能，从而可以对拓扑结构中后续数据的传输起到防护作用，利于网关过滤等高级功能的实现。

图1示意性示出了根据本公开实施例的可以应用传输层的数据处理方法、装置及用户态协议栈的示例性应用场景。需要注意的是，图1所示仅为可以应用本公开实施例的应用场景的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以应用于其他设备、系统、环境或场景。

如图1所示，根据该实施例的应用场景100可以包括终端设备101、102、103，网关104和服务器105。网关104用以实现终端设备101、102、103和服务器105之间的网络互连。

用户可以使用终端设备101、102、103通过网关104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于平板电脑、膝上型便携计算机和台式计算机等等。

服务器105可以是提供各种服务的服务器，例如对用户利用终端设备101、102、103所浏览的网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)以数据包的形式反馈给终端设备101、102、103。

网关104可以是使终端设备101、102、103与服务器105之间进行数据包传输的网关，例如将终端设备101、102、103发送的握手包转发给服务器105，将服务器105发送的握手包转发给终端设备101、102、103，以使终端设备101、102、103与服务器105建立起直接连接。

网关104还可以是能够对传输的数据包进行存储及解析的网关，以对网络进行实时的防护，避免病毒的传输导致的网络崩溃。

网关104还可以是执行TCP/IP(传输控制协议/因特网协议)或OSI(开放式系统互联)等协议栈中传输层的工作的网关，该网关同时可以对低层(网络层等)传输的数据进行整序、拼装、收集和过滤等高级处理。

需要说明的是，本公开实施例所提供的传输层的数据处理方法一般可以由网关104执行。相应地，本公开实施例所提供的传输层的数据处理装置一般可以设置于网关104中，本公开实施例所提供的传输层的数据处理方法也可以由不同于网关104且能够与网关104通信的网络设备或网络设备集群执行，相应地，本公开实施例所提供的传输层的数据处理装置也可以设置于不同于网关104且能够与网关104通信的网络设备或网络设备集群中。

应该理解，图1中的终端设备、网关和服务器的数目仅仅是示意性的，终端设备与服务器之间连接的网络设备也并不仅限于网关，例如还可以包括路由器、交换机等网络设备。根据实现需要，可以具有任意数目的终端设备、网关和服务器，且本公开实施例的传输层的数据传输方法、装置及用户态协议栈可以应用于任意的网络拓扑结构中，只要该网络拓扑结构包括终端设备、网关和服务器即可。

图2是示意性示出了根据本公开实施例的传输层的数据处理方法的流程图。

如图2所示，该方法包括操作S210～操作S240。

在操作S210，接收数据包，所述数据包包括标识字段。

根据本公开的实施例，所述数据包可以是网络层转发的，也可以是应用层发送的数据包。

根据本公开的实施例，所述数据包包括标识字段(Header)，该标识字段可以用于表征数据包的类型，该数据包的类型可以是普通数据包，还可以是握手包。可以理解的是，本公开实施例不对标识字段的具体内容进行限定，本领域技术人员可以根据传输层所采用的协议来确定标识字段所占字节数及具体的字符。根据本公开的实施例，该传输层例如可采用TCP协议(传输控制协议)，则该数据包的标识字段例如可包括六个标识位，分别为URG、ACK、PSH、RST、SYN和FIN，其中，URG为紧急数据标志，其置1时表示数据包中包含紧急数据；ACK为确认标志位，置1时表示确认号有效(为合法，为0的时候表示数据段不包含确认信息，确认号被忽略)；PSH位表示强迫数据传输，其置1时请求的数据段在接收方得到后就直接送到应用程序，而不必等到缓冲区满时才传送；RST标志位用来复位一条连接，当其置1时表示出现严重错误，必须释放连接，然后再重建连接；SYN标志位用来建立连接，如果SYN＝1而ACK＝0，表明该数据包是一个连接请求，如果SYN＝1且ACK＝1，则表示同意建立一个连接；FIN置1时表示数据已经发送完毕，希望释放连接。可以理解的是，上述传输层所采用的协议及数据包的标识字段的表述仅作为示例以利于理解本公开，本公开并不对具体的协议类型及标识字段的表述进行限定。

在操作S220，解析所述数据包，得到所述数据包的标识字段；以及在操作S230，基于所述数据包的标识字段，判断所述数据包是否为握手包。

根据本公开的实施例，传输层可以对接收的数据包进行解析，并根据解析得到的结果，对接收的数据包进行处理。例如，解析得到该数据包为握手包，则可以直接转发该握手包；若解析得到该数据包为普通数据包，也进行直接转发；而若解析得到该数据包为病毒包，则直接丢弃该数据包，以避免病毒在网络中的传播。

根据本公开的实施例，握手包用于使客户端与服务器建立连接。该握手包例如可以包括：客户端发送的请求握手包，服务器响应于客户端的请求握手包发送的请求-应答握手包、客户端响应于服务器的请求-应答握手包发送的应答握手包，并且/或者重传包，该重传包包括与已接收的数据包相同的请求握手包、请求-应答握手包和/或应答握手包。

根据本公开的实施例，具体地，数据包还可以包括数据序号，用于唯一的表示该数据包，上述的重传包例如可以为与已接收的数据包具有相同数据序号的数据包，通常对于该重传包会被识别为重复数据而被丢弃，对于特定的拓扑结构中，由于该重传包的丢弃，会导致服务器与客户端无法建立连接，而本公开实施例中由于对重传包进行转发而非丢弃，因此可以保证此特定的拓扑结构中服务器与客户端之间可建立连接。

根据本公开的实施例，例如，对于采用TCP协议代理的传输层，所述数据包则包括TCP协议的数据包，所述握手包可以是客户端与服务器之间进行三次握手时传输的数据包，具体例如可以为SYN＝1，ACK＝0标志的数据包、SYN＝1，ACK＝1标志的数据包和/或SYN＝0，ACK＝1标识的数据包。

根据本公开的实施例，在解析得到数据包为握手包的情况下，该传输层例如还可以对该握手包进行复制或记录，以实时跟进客户端与服务器之间建立连接的进程，以利于连接的顺利建立。

在操作S240，在所述数据包为握手包的情况下，转发所述数据包。

其中，无论解析结果中数据包是否为与之前接收的数据包的数据序号不相连的数据包，是否为与之前接收的数据包具有相同数据序号的重传包，只要解析得到数据包为握手包均予以转发，可以避免在一些特定拓扑结构中，服务器与客户端无法建立连接的缺陷。

图3示意性示出了根据本公开另一实施例的传输层的数据处理方法的流程图。

如图3所示，该方法包括参考图2中的操作S210和操作S230，以及操作S220’和操作S240’。

根据本公开的实施例，数据包除了标识字段外，例如还可以包括目的地址。

根据本公开的实施例，参考图2中的操作S220例如还可以为参考图3中的操作S220’，解析所述数据包，得到所述数据包的标识字段和目的地址，参考图2中的操作S240还可以为参考图3中的操作S240’，基于所述目的地址，转发所述数据包。因此，该转发的数据包也就可由与该目的地址对应的客户端或服务器接收。

根据本公开的实施例，具体地，例如拓扑结构可根据五元组对数据包进行转发，五元组即为：源IP地址、源端口、目的IP地址、目的端口和传输层协议。其中的传输层协议为用户态协议，被规定为，若判断接收的数据包为握手包，则根据目的IP地址和目的端口将该数据包转发至与该目的IP地址对应的客户端或服务器。

根据本公开的实施例，参考图2及参考图3描述的传输层的数据处理方法例如可以由具有网络防护功能的网关执行。

对于现有的具有网关的拓扑结构，考虑到网关具有对数据包的解析功能，若想建立客户端与服务器之间的连接，例如可采用TCP的普通代理，即传输层对接收到的数据包先转发保存后再解析。但此种情况下，考虑到传输层接收到的数据包可能为病毒包、漏洞攻击包或间谍软件攻击包等会对网络带来安全隐患的数据包，此种普通代理方式不可避免的会导致网络风险，且由于通常TCP协议传输的数据包是按照数据序号进行依次传输的，若传输的数据包不连续时，则会将该数据包识别为错误包或病毒包进行丢弃，从而使得此种连接方式不可避免的会不支持一些特定的拓扑结构。

对于现有的具有网关的拓扑结构，考虑到网关具有对数据包的解析功能，若想建立客户端与服务器之间的连接，例如还可以采用TCP的完全代理，即对接收到的数据包先解析保存后再转发。此种方法虽然可以避免网络风险，但需要客户端与网关进行三次握手建立连接，网关再与服务器进行三次握手建立连接，从而使得客户端与服务器经由网关建立起间接的连接，此种连接方式不可避免的会不支持一些特定的拓扑结构。而参考图2～参考图3的传输层的数据处理方法，则可以有效避免上述的缺陷。

如，参考图4示意性示出了根据本公开实施例的非对称拓扑结构的数据处理方法的应用场景图。

如图4所示，非对称拓扑结构400包括第一单向链路和第二单向链路。

其中，第一单向链路由客户端401、第一路由器402、第一网关403、第二路由器405和服务器406依次连接构成，用于使得客户端401发送的数据通过该第一单向链路发送至服务器406。

其中，第二单向链路由服务器406、第二路由器405、第二网关404、第一路由器402和客户端401依次连接构成，用于使得服务器406发送的数据通过该第二单向链路发送至客户端401。

若采用通常的TCP普通代理来进行此非对称拓扑结构400传输层的数据处理时，首先需要建立客户端与服务器之间的连接，则客户端发送的SYN握手包经由第一路由器转发至第一网关，第一网关由于根据TCP普通代理，先将该SYN握手包转发后再解析，因此该SYN握手包被转发至第二路由器后被服务器接收，该服务器接收到该SYN握手包后返回SYN-ACK握手包，由于为单向链路，则该SYN-ACK握手包经由第二路由器后被第二网关接收，由于此时的第二网关并不知晓SYN握手包的存在，因此无法识别该SYN-ACK握手包而丢弃该握手包，因此客户端与服务器之间无法建立连接。

若采用通常的TCP完全代理来进行此非对称拓扑结构400传输层的数据处理时，首先同样需要建立客户端与服务器之间的连接，则客户端发送的SYN握手包经由第一路由器转发至第一网关，第一网关对该SYN握手包进行解析后判断为握手包，则考虑到通常的完全代理协议为内核协议栈中的协议，根据通常的内核协议栈设定好的规则，该第一网关会对该SYN握手包进行反馈，以向客户端返回SYN-ACK握手包，同时根据该SYN握手包的目的地址向服务器发送SYN握手包以向服务器发送连接请求，而由于该拓扑结构为单向链路，第一路由器无法识别该第一网关返回的SYN-ACK握手包而丢弃该握手包，因此客户端与第一网关建立不了连接，同理，服务器与第一网关也不可能建立起连接，因此服务器与客户端之间就无法建立连接。

本公开实施例的非对称拓扑结构的数据处理方法具体例如为：参考图4中的第一网关403采用参考图2～图3描述的传输层的数据处理方法对其接收的客户端401发送的数据包进行处理；同样，第二网关404也采用参考图2～图3描述的传输层的数据处理方法对服务器406发送的数据包进行处理，且考虑到此拓扑结构为单向链路，使第一网关403与第二网关404之间经由预设的共享协议共享接收的数据包。通过此方法，若客户端401与服务器406发送的数据包为握手包，则通过三次握手，客户端401与服务器406之间即可建立连接。根据本公开的实施例，此处的传输层采用用户态协议，而非内核协议，从而利于开发人员将此非对称拓扑结构中网关对数据的处理方法设定为参考图2～图3描述的方法。

具体地，客户端401与服务器406之间建立连接的过程为：

第一次握手：客户端401发送SYN握手包以请求与服务器406建立连接，该SYN握手包经由第一路由器402后被第一网关403接收，该第一网关403接收该SYN数握手包后，通过解析得到该SYN握手包的标识位SYN＝1、ACK＝0，从而判断该SYN握手包为握手包，将该SYN握手包根据目的地址进行转发，同时将该解析后的SYN握手包共享给第二网关404，该SYN握手包经由第二路由器405被服务器406接收；

第二次握手：服务器406接收到客户端401发送的SYN握手包后，返回SYN-ACK握手包，该SYN-ACK握手包经由第二路由器405被第二网关404接收，由于该第二网关404通过共享协议得到了SYN握手包，因此能够识别并接收该SYN-ACK握手包，并对该SYN-ACK握手包进行解析，得到该SYN-ACK握手包的标识位SYN＝1、ACK＝1，从而判断该SYN-ACK握手包为握手包，将该SYN-ACK握手包根据目的地址进行转发，同时将该解析后的SYN-ACK握手包共享给第一网关403，该SYN-ACK握手包经由第一路由器402被客户端401接收；

第三次握手：客户端401接收到服务器406发送的SYN-ACK握手包后，返回ACK握手包，该ACK握手包经由第一路由器402后被第一网关403接收，由于该第一网关403通过共享协议得到了SYN-ACK握手包，因此能够识别并接收该ACK握手包，并对该ACK握手包进行解析得到该ACK握手包的标识位SYN＝0、ACK＝1，从而判断该ACK握手包为握手包，将该ACK握手包根据目的地址进行转发，同时将该解析后的ACK握手包共享给第二网关404，该ACK握手包经由第二路由器405被服务器406接收，从而完成客户端401与服务器406之间的三次握手，实现了客户端401与服务器406之间的直接连接。

根据本公开的实施例，数据包还可以包括数据字段(Data)，用于记载需要自客户端向服务器传输的数据内容或服务器向客户端传输的数据内容。

由于上述描述的传输层采用的为TCP的用户态完全代理，即先对数据包进行解析后再转发，因此，在建立连接后，客户端401向服务器406发送数据包或服务器406向客户端401发送数据包时，该TCP代理的网关可先对该数据包(包括数据包的标识字段和数据包的数据字段)进行解析、过滤等高级操作，从而根据解析得到的数据字段记载的内容能够有效识别病毒包、漏洞攻击包或间谍软件攻击包等会导致网络崩溃的数据包，并将该些数据包丢弃，而对于正常的数据包则进行转发，因此通过采用该非对称拓扑结构的数据处理方法，可以第一时间对网络进行防护，提高网络的安全性。

根据本公开的实施例，所述预设的共享协议例如可以为双机集群技术(HA，HighAvailable)等能够使得第一网关与第二网关进行实时共享的共享协议或共享技术。

如，参考图5示意性示出了根据本公开实施例的单臂拓扑结构的数据处理方法的应用场景图。

如图5所示，单臂拓扑结构500包括客户端501-网关502-路由器503-网关502-服务器504的双向链路。

若采用通常的TCP代理来进行此单臂拓扑结构500传输层的数据处理时，首先需要建立客户端与服务器之间的连接，则客户端501发送的SYN握手包经由网关502转发至路由器503，该SYN握手包经由路由器503处理后返回网关502，而由于路由器503不对SYN握手包的数据序号进行修改，因此在网关502接到该回传的SYN握手包时，由于该回传SYN握手包与初始的SYN握手包具有相同的数据序号被识别为重传包而被丢弃，从而该SYN握手包无法被服务器504接收，导致客户端501无法与服务器504建立连接。

本公开实施例的单臂拓扑结构的数据处理方法具体例如为：参考图5中的网关502采用参考图2～图3描述的传输层的数据处理方法对其接收的客户端501发送的数据包、服务器504发送的数据包、以及重传包进行处理，其中，重传包为网关502发送至路由器503、经由路由器503转发后再次被网关502接收的数据包。

通过此设置，在客户端501发送的数据包和服务器504发送的数据包均为握手包的情况下，客户端501与服务器504之间可通过三次握手建立连接。具体地，客户端501与服务器504之间建立连接的过程例如可以为：

第一次握手：客户端501发送SYN握手包以请求与服务器504建立连接，该SYN握手包被网关502接收后，通过解析得到该SYN握手包的标识位SYN＝1、ACK＝0，判断该SYN握手包为握手包，从而将该SYN握手包进行转发，该SYN握手包经由路由器503被重新发送到网关502，网关502识别为SYN握手包，虽然识别到该SYN握手包为重传数据包，但仍根据目的地址进行转发，以使该转发的重传数据包SYN数据包被服务器504接收；

第二次握手：服务器504接收到客户端501发送的SYN握手包后，返回SYN-ACK握手包，该SYN-ACK握手包被网关502接收后，通过解析得到该SYN-ACK握手包的标识位SYN＝1、ACK＝1，从而判断该SYN-ACK握手包为握手包，将该SYN-ACK握手包进行转发，该SYN-ACK握手包经由路由器503被重新发送到网关502，网关502识别为SYN-ACK握手包，虽然识别到该SYN-ACK握手包为重传数据包，但仍根据目的地址进行转发，以使该转发的重传数据包SYN-ACK数据包被客户端501接收；

第三次握手：客户端501接收到服务器504发送的SYN-ACK握手包后，返回ACK握手包，该ACK握手包经由与SYN握手包相同的传输路径被服务器504接收，从而完成客户端501与服务器504之间的三次握手，实现了客户端501与服务器504之间的直接连接。

根据本公开的实施例，在客户端与服务器之间建立连接后，重传包则还可以为网关502发送至路由器503、经由路由器503转发后再次被网关502接收的普通数据包，该普通数据包记载有客户端向服务器发送的数据或服务器向客户端发送的数据。

由上可知，传输层采用的为TCP的用户态完全代理，即先对数据包进行解析后再转发，因此，在建立连接后，客户端501向服务器504发送数据包或服务器504向客户端501发送数据包时，该TCP代理的网关可先对该数据包进行解析、过滤等高级操作，同时可经过路由器503使用单臂拓扑结构的网关功能，并可识别并直接转发网关转发来的重传数据包，因此在支持单臂拓扑结构的同时，可以对网络进行有效防护，提高网络的安全性。

如，参考图6示意性示出了根据本公开实施例的单边拓扑结构的数据处理方法的应用场景图。

如图6所示，该单边拓扑结构600包括第一单向链路和第二单向链路。

其中，第一单向链路由客户端601、第一路由器602、网关603、第二路由器605与服务器606依次连接构成，用于使客户端601发送的数据通过该第一单向链路发送至服务器606。

其中，第二单向链路由服务器606、第二路由器605、交换机604、第一路由器602与客户端601依次连接构成，用于使得服务器606发送的数据通过该第二单向链路发送至客户端601。

若采用通常的TCP普通代理来进行此单边拓扑结构600传输层的数据处理时，首先需要建立客户端与服务器之间的连接，则客户端发送的SYN握手包经由第一路由器转发至网关，网关由于根据TCP普通代理，先将该SYN握手包转发后再解析，因此该SYN握手包被转发至第二路由器后被服务器接收，该服务器接收到该SYN握手包后返回SYN-ACK握手包，该SYN-ACK握手包经由第二路由器、交换机和第一路由器后被客户端接收，但客户端接收到该SYN-ACK握手包后返回的ACK握手包，经由第一路由器转发至网关，由于此时的网关并不知晓SYN-ACK握手包的存在，因此无法识别该ACK握手包而丢弃该握手包，因此客户端与服务器之间无法建立连接。

若采用通常的TCP完全代理来进行此单边拓扑结构600传输层的数据处理时，则类似于参考图4中的非对称拓扑结构400采用通常的TCP完全代理进行传输层的数据处理，客户端与服务器之间无法建立连接。

本公开实施例的单边拓扑结构的数据处理方法具体例如为：参考图6中的网关603采用参考图2～图3描述的传输层的数据处理方法对其接收的客户端601发送的数据包进行处理，则，若客户端601发送的数据包为握手包，则通过三次握手，即可使客户端601与服务器606建立连接。具体地，客户端601与服务器606之间建立连接的过程例如可以为：

第一次握手：类似于参考图4中描述的非对称拓扑结构中客户端与服务器的第一次握手，区别仅在于此处的网关603无需设定共享协议，在此不再赘述；

第二次握手：服务器606接收到客户端601发送的SYN握手包后，返回SYN-ACK握手包，该SYN-ACK握手包依次经由第二路由器605、交换机604、第一路由器602后被客户端601接收；

第三次握手：客户端601接收到服务器606发送的SYN-ACK握手包后，返回ACK握手包，该ACK握手包经由第一路由器602后被网关603接收，由于该网关603通过解析得到该ACK握手包的标识位SYN＝0、ACK＝1，从而判断该ACK握手包为握手包，即使该ACK握手包与SYN握手包的数据序号不连续，仍将该ACK握手包根据目的地址进行转发，以使该ACK握手包经由第二路由器605被服务器606接收，从而完成客户端601与服务器606之间的三次握手，实现了客户端601与服务器606之间的直接连接。

根据本公开的实施例，数据包还可以包括数据字段(Data)，用于记载需要自客户端向服务器传输的数据内容或服务器向客户端传输的数据内容。

由上可知，上述传输层采用的为TCP的用户态完全代理，即先对数据包进行解析后再转发，因此，在建立连接后，客户端601向服务器606发送数据包时，该TCP代理的网关可先对该数据包(包括数据包的标识字段和数据包的数据字段)进行解析、过滤等高级操作，从而根据解析得到的数据字段记载的内容能够有效识别病毒包、漏洞攻击包或间谍软件攻击包等会导致网络崩溃的数据包，并将该些数据包丢弃，而对于正常的数据包则进行转发，因此通过采用该单边拓扑结构的数据处理方法，可以第一时间对网络进行单边防护，至少部分的提高网络的安全性。

本公开的还提供了一种用户态协议栈，该协议栈为用户态类型，从而可使得开发人员根据应用的特点来设计协议栈处理方法，优化也更直接。其中，该用户态协议栈包括传输层的数据处理协议，该传输层的数据处理协议规定有参考图2～图3描述的传输层的数据处理方法，从而使得该用户态协议栈能够支持多种特定的网络拓扑结构。其中，特定的网络拓扑结构例如可以为参考图4描述的非对称拓扑结构400、参考图5描述的单臂拓扑结构500和/或参考图6描述的单边拓扑结构600。可以理解的是，上述描述的特定的网络拓扑结构仅作为示例以用于理解本公开，本公开实施例并不对具体的网络拓扑结构进行限定，例如特定的网络拓扑结构还可以为上述描述的网络拓扑结构的任意组合等。

图7示意性示出了根据本公开实施例的传输层的数据处理装置的结构框图。

如图7所示，该传输层的数据处理装置700包括接收模块710、解析模块720、判断模块730和转发模块740。

其中，接收模块710用于接收数据包，该数据包包括标识字段，该数据包的标识字段可以表征数据包的类型。根据本公开的实施例，该接收模块710例如可以用于执行参考图2描述的操作S210，在此不再赘述。

其中，解析模块720用于解析接收的数据包，得到所述数据包的标识字段。根据本公开的实施例，该解析模块720例如可以用于执行参考图2描述的操作S220，在此不再赘述。

其中，判断模块730用于基于数据包的标识字段，判断数据包是否为握手包，所述握手包用于使客户端与服务器建立连接。根据本公开的实施例，该判断模块730例如可以用于执行参考图2描述的操作S230，在此不再赘述。

其中，转发模块740用于在数据包为握手包的情况下，转发数据包。根据本公开的实施例，该转发模块740例如可以用于执行参考图2描述的操作S240，在此不再赘述。

根据本公开的实施例，数据包还可以包括目的地址，则上述的解析模块720还可以用于解析接收的数据包，得到数据包的目的地址。根据本公开的实施例，该解析模块720还可以用于执行参考图3描述的操作S220’，在此不再赘述。

相应地，上述的转发模块740基于解析得到的目的地址，转发数据包，以供与该目的地址相对应的客户端或服务器接收。根据本公开的实施例，该转发模块740还可以用于执行参考图3描述的操作S240’，在此不再赘述。

根据本公开的实施例，参考图7描述的传输层的数据处理装置700例如可以集成于参考图4～图6描述的应用场景中的网关设备中，以用于实现相应的数据处理功能。

根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

例如，接收模块710、解析模块720、判断模块730和转发模块740中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，接收模块710、解析模块720、判断模块730和转发模块740中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，接收模块710、解析模块720、判断模块730和转发模块740中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

图8示意性示出了根据本公开实施例的适于实现上文描述的方法的网络设备系统的方框图。图8示出的网络设备系统仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图8所示，网络设备800包括处理器810、计算机可读存储介质820、信号接收器830、以及信号发送器840。该网络设备800可以执行根据本公开实施例的方法。

具体地，信号接收器830用于接收数据包，信号发送器840用于在数据包为握手包的情况下，转发所述数据包。

具体地，处理器810例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器810还可以包括用于缓存用途的板载存储器。处理器810可以是用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

计算机可读存储介质820，例如可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，可读存储介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。可读存储介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

计算机可读存储介质820可以包括计算机程序821，该计算机程序821可以包括代码/计算机可执行指令，其在由处理器810执行时使得处理器810执行根据本公开实施例的方法或其任何变形。

计算机程序821可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序821中的代码可以包括一个或多个程序模块，例如包括821A、模块821B、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被处理器810执行时，使得处理器810可以执行根据本公开实施例的方法或其任何变形。

根据本公开的实施例，处理器810可以与信号接收器830和信号发送器840进行交互，来执行根据本公开实施例的方法或其任何变形。

根据本发明的实施例，解析模块720和判断模块730中的至少一个可以实现为参考图8描述的计算机程序模块，其在被处理器810执行时，可以实现上面描述的相应操作。

本公开还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。

根据本公开的实施例，计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、有线、光缆、射频信号等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合或/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

尽管已经参照本公开的特定示例性实施例示出并描述了本公开，但是本领域技术人员应该理解，在不背离所附权利要求及其等同物限定的本公开的精神和范围的情况下，可以对本公开进行形式和细节上的多种改变。因此，本公开的范围不应该限于上述实施例，而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来进行限定。

Claims (10)

1.一种传输层的数据处理方法，包括：

接收数据包，所述数据包包括标识字段；

解析所述数据包，得到所述数据包的标识字段；

基于所述数据包的标识字段，判断所述数据包是否为握手包；以及

在所述数据包为握手包的情况下，转发所述数据包，

其中，所述数据包的标识字段表征所述数据包的类型，所述握手包用于使客户端与服务器建立连接。

2.根据权利要求1所述的方法，其中，所述数据包还包括目的地址，所述方法还包括：

解析所述数据包，得到所述数据包的目的地址；

其中，转发所述数据包包括：

基于所述目的地址，转发所述数据包，以供与所述目的地址相对应的客户端或服务器接收。

3.根据权利要求1所述的方法，其中，所述握手包包括：

客户端发送的请求握手包；

服务器响应于所述客户端的请求握手包发送的请求-应答握手包；

客户端响应于所述服务器的请求-应答握手包发送的应答握手包；并且/或者

重传包，所述重传包包括与已接收的数据包相同的握手包、请求-应答握手包和/或应答握手包。

4.根据权利要求1所述的方法，其中，所述数据包包括TCP协议的数据包。

5.一种传输层的数据处理装置，所述装置包括：

接收模块，接收数据包，所述数据包包括标识字段；

解析模块，解析所述数据包，得到所述数据包的标识字段；

判断模块，基于所述数据包的标识字段，判断所述数据包是否为握手包；以及

转发模块，在所述数据包为握手包的情况下，转发所述数据包，

其中，所述数据包的标识字段表征所述数据包的类型，所述握手包用于使客户端与服务器建立连接。

6.根据权利要求5所述的装置，其中，所述数据包还包括目的地址，其中：

所述解析模块，解析所述数据包，得到所述数据包的目的地址；

所述转发模块，基于所述目的地址，转发所述数据包，以供与所述目的地址相对应的客户端或服务器接收。

7.一种用户态协议栈，包括传输层的数据处理协议，所述传输层的数据处理协议规定有如权利要求1～4中任一项所述的传输层的数据处理方法。

8.一种非对称拓扑结构的数据处理方法，所述非对称拓扑结构包括第一单向链路和第二单向链路，所述第一单向链路由客户端、第一路由器、第一网关、第二路由器与服务器依次连接构成，所述第二单向链路由服务器、第二路由器、第二网关、第一路由器与客户端依次连接构成，其中：

所述第一网关采用权利要求1～4中任一项所述的传输层的数据处理方法对其接收的所述客户端发送的数据包进行处理；

所述第二网关采用权利要求1～4中任一项所述的传输层的数据处理方法对其接收的所述服务器发送的数据包进行处理；且

所述第一网关与所述第二网关经由预设的共享协议共享接收的数据包，

其中，所述客户端发送的数据包和所述服务器发送的数据包均为握手包，以使所述客户端与服务器建立连接。

9.一种单臂拓扑结构的数据处理方法，所述单臂拓扑结构包括客户端-网关-路由器-网关-服务器的双向链路，其中，

所述网关采用权利要求1～4中任一项所述的传输层的数据处理方法对其接收的所述客户端发送的数据包、所述服务器发送的数据包、以及重传包进行处理，

其中，所述重传包为所述网关发送至所述路由器、经由所述路由器转发后再次被所述网关接收的数据包，所述客户端发送的数据包和所述服务器发送的数据包均为握手包，以使所述客户端与服务器建立连接。

10.一种单边拓扑结构的数据处理方法，所述单边拓扑结构包括第一单向链路和第二单向链路，所述第一单向链路由客户端、第一路由器、网关、第二路由器与服务器依次连接构成，所述第二单向链路由服务器、第二路由器、交换机、第一路由器与客户端依次连接构成，其中：

所述网关采用权利要求1～4中任一项所述的传输层的数据处理方法对其接收的所述客户端发送的数据包进行处理，

其中，所述客户端发送的数据包为握手包，以使所述客户端与服务器建立连接。