CN109510785A - 一种镜像报文的方法和装置 - Google Patents

Abstract

本申请供一种镜像报文的方法，所述方法包括：交换芯片接收报文，根据流定义策略将报文引流到FPGA；FPGA接收报文后存储原始报文，并解析出基本报文信息，将所述基本报文信息发送给会话匹配模块；会话匹配模块根据会话表进行匹配处理；发送模块根据预设的镜像规则进行镜像处理，符合镜像规则的，复制存储的原始报文发送给CPU，否则复制存储的原始报文，经交换芯片转发到对应的出接口；CPU根据配置的镜像模式，把报文经交换芯片转发到对应的出接口，通过所述方法能够解减少芯片资源的使用、以及减少报文的处理时延、解决业务板卡做NAT镜像不到报文的问题。

Description

一种镜像报文的方法和装置

技术领域

本申请涉及网络通信技术领域，特别设计一种镜像报文的方法和装置。

背景技术

随着信息技术的发展，用户可以通过网络享受各种网络信息服务。网络技术在为用户提供便利的同时，也为网络攻击提供了空间。一些网络流量较大的环境，如企业的数据中心，更容易成为网络攻击的目标。在一个大规模的数据中心，通常会布置多种安全产品和服务，如防火墙、负载均衡等产品和服务。

目前，CPU和FPGA(Field－Programmable Gate Array，现场可编程门阵列)异构架构是网络安全产品的一种常用架构，这种架构充分利用了FPGA可编程、高吞吐率、不同于CPU顺序执行的并发处理和低时延的特点、CPU处理策略配置编译下发到FPGA及协助FPGA处理一些流量占比比较小的业务。

现有的镜像报文操作过程中，入方向镜像时在芯片测配置镜像报文条件，其中包括：源接口、五元组、vlan等信息及镜像到目的接口，报文进入交换芯片镜像报文模块后，会和镜像条件相比较看是否满足镜像条件，如果不满足镜像报文条件则交给业务板卡处理；如果满足镜像报文条件则复制一份报文到指定的目的接口，复制之后再把报文交给业务板卡进行处理。出方向镜像时和入方向镜像类似，区别就是出方向镜像是经过业务板卡处理之后的报文进行匹配。但现有技术中存在三个缺点：缺点一：交换芯片处理镜像报文的时候，需要把报文复制一份，这样会占用更多的芯片资源，从而导致整个系统性能降低；缺点二：报文复制完成之后报文才能够根据转发表项进行报文转发，必然增加了处理时延进而影响网络体验；缺点三：如果业务板卡配置NAT策略(在配置的地址池范围内进行IP地址和端口的转换)那么报文就会被更改为NATIP，那么预先设置的镜像条件就出现不匹配的情况，导致镜像不出报文。

发明内容

有鉴于此，本申请提供一种镜像报文的方法和装置，能够解减少芯片资源的使用、以及减少报文的处理时延、解决业务板卡做NAT镜像不到报文的情况。

具体地，本申请是通过如下技术方案实现的：

一种镜像报文的方法，所述方法包括：

交换芯片接收报文，根据流定义策略将报文引流到FPGA；

FPGA接收报文后存储原始报文，并解析出基本报文信息，将所述基本报文信息发送给会话匹配模块；

会话匹配模块根据会话表进行匹配处理，当匹配会话表时，将基本报文信息、和NAT转换或NAT还原之后的五元组信息，发送给发送模块，当不匹配会话表时，经过NAT查找模块标记NAT转换或还原之后的五元组信息，和基本报文信息一起发送给发送模块；

发送模块根据预设的镜像规则进行镜像处理，符合镜像规则的，复制存储的原始报文发送给CPU，否则复制存储的原始报文，经交换芯片转发到对应的出接口；

CPU根据配置的镜像模式，把报文经交换芯片转发到对应的出接口。

其中，所述根据流定义策略将报文引流到FPGA，具体为：

根据流定义策略判断，当满足流定义策略时，将报文引流到FPGA，当不满足流定义策略时，进行芯片处理转发。

其中，所述基本报文信息，包括：五元组、报文长度、入接口、报文存储地址。

其中，所述会话表，具体为：包含NAT转换信息的会话表。

其中，所述CPU根据配置的镜像模式，把报文经交换芯片转发到对应的出接口，具体为：

所述CPU接收到FPGA发送过来的报文后，当配置的是镜像到物理接口模式,则根据配置把FPGA上送的报文标记上出接口信息,由交换芯片转发到对应的出接口；当配置的是镜像到CPU模式，则把报文记录在内存中。

本申请还包括一种镜像报文的装置，所述装置包括：交换芯片、FPGA和CPU，所述FPGA中包括：解析存储模块、会话匹配模块、发送模块，其中，

所述交换芯片，用于接收报文，根据流定义策略将报文引流到FPGA，将FPGA和CPU发送来的报文，转发到对应的出接口；

所述FPGA，用于接收报文后，由解析存储模块存储原始报文，并解析出基本报文信息，将所述基本报文信息发送给会话匹配模块；会话匹配模块根据会话表进行匹配处理，当匹配会话表时，将基本报文信息、和NAT转换或NAT还原之后的五元组信息，发送给发送模块，当不匹配会话表时，经过NAT查找模块标记NAT转换或还原之后的五元组信息，和基本报文信息一起发送给发送模块；发送模块根据预设的镜像规则进行镜像处理，符合镜像规则的，复制存储的原始报文发送给CPU，否则复制存储的原始报文，发送给交换芯片；

所述CPU，用于根据配置的镜像模式，把报文经交换芯片转发到对应的出接口。

其中，所述交换芯片根据流定义策略将报文引流到FPGA，具体为：

根据流定义策略判断，当满足流定义策略时，将报文引流到FPGA，当不满足流定义策略时，进行芯片处理转发。

其中，所述基本报文信息，包括：五元组、报文长度、入接口、报文存储地址。

其中，所述会话表，具体为：包含NAT转换信息的会话表。

其中，所述CPU根据配置的镜像模式，把报文经交换芯片转发到对应的出接口，具体为：

所述CPU接收到FPGA发送过来的报文后，当配置的是镜像到物理接口模式,则根据配置把FPGA上送的报文标记上出接口信息,由交换芯片转发到对应的出接口；当配置的是镜像到CPU模式，则把报文记录在内存中。由以上本申请提供的技术方案可见，

由以上本申请提供的技术方案可见，一种镜像报文的方法，所述方法包括：交换芯片接收报文，根据流定义策略将报文引流到FPGA；FPGA接收报文后存储原始报文，并解析出基本报文信息，将所述基本报文信息发送给会话匹配模块；会话匹配模块根据会话表进行匹配处理，当匹配会话表时，将基本报文信息、和NAT转换或NAT还原之后的五元组信息，发送给发送模块，当不匹配会话表时，经过NAT查找模块标记NAT转换或还原之后的五元组信息，和基本报文信息一起发送给发送模块；发送模块根据预设的镜像规则进行镜像处理，符合镜像规则的，复制存储的原始报文发送给CPU，否则复制存储的原始报文，经交换芯片转发到对应的出接口；CPU根据配置的镜像模式，把报文经交换芯片转发到对应的出接口。利用FPGA可编程、高吞吐率、不同于CPU顺序执行的并发处理和低时延的特点，和CPU配合协作镜像报文方法，解决了现有方案占用过多的芯片资源，导致的芯片性能下降的问题、FPGA并行处理没有增加报文的处理时延，有效的提高了网络的体验、解决NAT场景模式现有方案无法镜像报文的问题。

附图说明

图1为本申请示出一种镜像报文的方法流程图；

图2为本申请示出一种镜像报文的装置结构图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

请参见图1，图1为本申请示出一种镜像报文的方法流程图。具体执行以下步骤：

步骤101：交换芯片接收报文，根据流定义策略将报文引流到FPGA；

具体的，所述根据流定义策略将报文引流到FPGA，具体为：根据流定义策略判断，当满足流定义策略时，将报文引流到FPGA，当不满足流定义策略时，进行芯片处理转发。

步骤102：FPGA接收报文后存储原始报文，并解析出基本报文信息，将所述基本报文信息发送给会话匹配模块；

具体的，所述基本报文信息，包括：五元组、报文长度、入接口、报文存储地址。所述原始报文存储到FPGA中的存储模块中。

步骤103：会话匹配模块根据会话表进行匹配处理，当匹配会话表时，将基本报文信息、和NAT转换或NAT还原之后的五元组信息，发送给发送模块，当不匹配会话表时，经过NAT查找模块标记NAT转换或还原之后的五元组信息，和基本报文信息一起发送给发送模块；

具体的，所述会话表，具体为：包含NAT转换信息的会话表。

进一步的，一般情况下都是请求方向建立会话表，如果请求方向命中会话发送给发送模块的数据就是入接口、出接口、原始五元组、NAT转换之后的五元组信息，如果响应方向命中会话表则发送给发送模块的数据就是入接口、出接口、原始五元组、NAT还原之后的五元组信息。

步骤104：发送模块根据预设的镜像规则进行镜像处理，符合镜像规则的，复制存储的原始报文发送给CPU，否则复制存储的原始报文，经交换芯片转发到对应的出接口；

步骤105：CPU根据配置的镜像模式，把报文经交换芯片转发到对应的出接口。

具体的，所述CPU根据配置的镜像模式，把报文经交换芯片转发到对应的出接口，具体为：所述CPU接收到FPGA发送过来的报文后，当配置的是镜像到物理接口模式,则根据配置把FPGA上送的报文标记上出接口信息,由交换芯片转发到对应的出接口；当配置的是镜像到CPU模式，则把报文记录在内存中。

进一步的，记录在内存中后，可以随时打印到文件或者终端显示。

通过上述方法，可以实现节约芯片资源，不会由于镜像报文导致芯片性能下降；FPGA并发处理不增加处理时延，有效提高网络的体验；还解决了NAT场景模式现有方案无法镜像报文的问题。

为更好的理解本申请，现举一实施例。

步骤1：交换芯片接收从入接口来的报文；

步骤2：交换芯片接收到的报文后，判断是否满足流定义策略，如果不满足则走芯片处理转发；如果满足流定义策略则发送给FPGA；

步骤3：FPGA接收报文之后解析出五元组、报文长度、入接口等基本报文信息，然后向报文存储模块发送原始报文数据，存储同时向会话匹配模块传递解析出的五元组、报文长度、入接口、报文存储地址等基本报文信息；

步骤4：会话匹配模块进行会话匹配，如果不匹配会话，进行NAT、转发等业务查找模块之后，建立标记有入接口、出接口、原始五元组、NAT转换之后的五元组的会话表，同时把这些信息发送给发送模块；如果匹配会话表，直接把入接口、出接口、原始五元组、NAT转换或者NAT还原之后的五元组信息发送给发送模块；

一般情况下都是请求方向建立会话表，如果请求方向命中会话发送给发送模块的数据就是入接口、出接口、原始五元组、NAT转换之后的五元组信息，如果响应方向命中会话表则发送给发送模块的数据就是入接口、出接口、原始五元组、NAT还原之后的五元组信息。

步骤5：发送模块进行进行镜像规则匹配，镜像规则包含接口、源IP地址、目的IP地址、源端口、目的端口、协议、IPV4/IPV6类型；

其中，镜像规则匹配就是传递给发送模块的数据信息和镜像匹配规则设置的条件进行匹配。

选择普通镜像模式时的处理流程：分别进行接口匹配、源地址匹配、目的地址匹配、源端口匹配、目的端口匹配、协议匹配、IP类型匹配。如果入接口或者出接口匹配镜像条件配置的接口就是接口匹配；如果原始报文的源IP地址匹配镜像条件配置的源IP地址配置就是源IP地址匹配；如果原始报文的目的IP地址匹配镜像条件配置的目的IP地址配置就是目的IP地址匹配；如果原始报文的源端口匹配镜像条件配置的源端口配置就是源端口匹配；如果原始报文的目的端口匹配镜像条件配置的目的端口配置就是目的端口匹配；如果报文协议匹配镜像条件配置的协议配置就是协议匹配；如果报文IP类型匹配镜像条件配置的IP类型配置就是IP类型匹配，如果所有条件都匹配则从存储模块读取报文复制一份原始报文给CPU。

选择NAT场景镜像模式时的处理流程：分别进行接口匹配、源地址匹配、目的地址匹配、源端口匹配、目的端口匹配、协议匹配、IP类型匹配。如果入接口或者出接口匹配镜像条件配置的接口就是接口匹配；如果响应方向NAT还原后报文的源IP地址或者请求方向原始报文的源IP地址匹配镜像条件配置的源IP地址配置就是源IP地址匹配；如果响应方向NAT还原后报文的目的IP地址或者请求方向原始报文的目的IP地址匹配镜像条件配置的目的IP地址配置就是目的IP地址匹配；如果响应方向NAT还原后报文的源端口或者请求方向原始报文的源端口匹配镜像条件配置的源端口配置就是源端口匹配；如果响应方向NAT还原后报文的目的端口或者请求方向原始报文的目的端口匹配镜像条件配置的目的端口配置就是目的端口匹配；如果报文协议匹配镜像条件配置的协议配置就是协议匹配；如果报文IP类型匹配镜像条件配置的IP类型配置就是IP类型匹配，如果所有条件都匹配，则从存储模块读取原始报文复制一份请求方向报文五元组替换为NAT转换之后的报文或者响应方原始报文给CPU。

以上所述的普通镜像模式和NAT场景镜像模式都是入方向或者出方向的判断处理流程，当配置人出双方向镜像时需要在对应比较和交叉分别比较，例如普通镜像模式下如果原始报文的源IP地址匹配镜像条件配置的源IP地址配置就是对应方式源IP地址匹配或者如果原始报文的目的IP地址匹配镜像条件配置的源IP地址配置就是交叉方式源IP地址匹配，其他的匹配判断以此类推。这样如果每个匹配条件都是对应方式匹配或者交叉方式匹配，就是镜像匹配成功，则复制一份报文给CPU。

步骤6：CPU接收到FPGA发送过来的报文之后，如果配置的是镜像到物理接口模式,则根据配置把FPGA上送的报文标记上出接口信息,发给交换芯片；如果配置的是镜像到CPU模式，则把报文记录在内存里可以随时打印到文件或者终端显示。

步骤7：交换芯片接收到FPGA处理的报文后根据携带的接口信息转发到相应的接口上；

步骤8：交换芯片接收到CPU的报文之后根据携带的接口信息转发到相应的接口上。

请参见图2，图2为本申请示出一种镜像报文的装置结构图，所述装置包括：交换芯片210、FPGA220和CPU230，所述FPGA220中包括：解析存储模块221、会话匹配模块222、发送模块223，其中，

所述交换芯片210，用于接收报文，根据流定义策略将报文引流到FPGA220，将FPGA220和CPU230发送来的报文，转发到对应的出接口；

具体的，所述交换芯片210根据流定义策略将报文引流到FPGA220，具体为：根据流定义策略判断，当满足流定义策略时，将报文引流到FPGA220，当不满足流定义策略时，进行芯片处理转发。

所述FPGA220，用于接收报文后，由解析存储模块221存储原始报文，并解析出基本报文信息，将所述基本报文信息发送给会话匹配模块222；会话匹配模块222根据会话表进行匹配处理，当匹配会话表时，将基本报文信息、和NAT转换或NAT还原之后的五元组信息，发送给发送模块223，当不匹配会话表时，经过NAT查找模块标记NAT转换或还原之后的五元组信息，和基本报文信息一起发送给发送模块223；发送模块223根据预设的镜像规则进行镜像处理，符合镜像规则的，复制存储的原始报文发送给CPU230，否则复制存储的原始报文，发送给交换芯片210；

具体的，所述基本报文信息，包括：五元组、报文长度、入接口、报文存储地址。所述会话表，具体为：包含NAT转换信息的会话表。

进一步的，一般情况下都是请求方向建立会话表，如果请求方向命中会话发送给发送模块223的数据就是入接口、出接口、原始五元组、NAT转换之后的五元组信息，如果响应方向命中会话表则发送给发送模块223的数据就是入接口、出接口、原始五元组、NAT还原之后的五元组信息。

所述CPU230，用于根据配置的镜像模式，把报文经交换芯片210转发到对应的出接口。

具体的，CPU230根据配置的镜像模式，把报文经交换芯片210转发到对应的出接口，具体为：CPU230接收到FPGA220发送过来的报文后，当配置的是镜像到物理接口模式,则根据配置把FPGA220上送的报文标记上出接口信息,由交换芯片210转发到对应的出接口；当配置的是镜像到CPU230模式，则把报文记录在内存中。

进一步的，记录在内存中后，可以随时打印到文件或者终端显示。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种镜像报文的方法，其特征在于，所述方法包括：

交换芯片接收报文，根据流定义策略将报文引流到FPGA；

FPGA接收报文后存储原始报文，并解析出基本报文信息，将所述基本报文信息发送给会话匹配模块；

会话匹配模块根据会话表进行匹配处理，当匹配会话表时，将基本报文信息、和NAT转换或NAT还原之后的五元组信息，发送给发送模块，当不匹配会话表时，经过NAT查找模块标记NAT转换或还原之后的五元组信息，和基本报文信息一起发送给发送模块；

发送模块根据预设的镜像规则进行镜像处理，符合镜像规则的，复制存储的原始报文发送给CPU，否则复制存储的原始报文，经交换芯片转发到对应的出接口；

CPU根据配置的镜像模式，把报文经交换芯片转发到对应的出接口。

2.根据权利要求1所述的方法，其特征在于，所述根据流定义策略将报文引流到FPGA，具体为：

根据流定义策略判断，当满足流定义策略时，将报文引流到FPGA，当不满足流定义策略时，进行芯片处理转发。

3.根据权利要求1所述的方法，其特征在于，所述基本报文信息，包括：五元组、报文长度、入接口、报文存储地址。

4.根据权利要求1所述的方法，其特征在于，所述会话表，具体为：包含NAT转换信息的会话表。

5.根据权利要求1所述的方法，其特征在于，所述CPU根据配置的镜像模式，把报文经交换芯片转发到对应的出接口，具体为：

所述CPU接收到FPGA发送过来的报文后，当配置的是镜像到物理接口模式,则根据配置把FPGA上送的报文标记上出接口信息,由交换芯片转发到对应的出接口；当配置的是镜像到CPU模式，则把报文记录在内存中。

6.一种镜像报文的装置，其特征在于，所述装置包括：交换芯片、FPGA和CPU，所述FPGA中包括：解析存储模块、会话匹配模块、发送模块，其中，

所述交换芯片，用于接收报文，根据流定义策略将报文引流到FPGA，将FPGA和CPU发送来的报文，转发到对应的出接口；

所述FPGA，用于接收报文后，由解析存储模块存储原始报文，并解析出基本报文信息，将所述基本报文信息发送给会话匹配模块；会话匹配模块根据会话表进行匹配处理，当匹配会话表时，将基本报文信息、和NAT转换或NAT还原之后的五元组信息，发送给发送模块，当不匹配会话表时，经过NAT查找模块标记NAT转换或还原之后的五元组信息，和基本报文信息一起发送给发送模块；发送模块根据预设的镜像规则进行镜像处理，符合镜像规则的，复制存储的原始报文发送给CPU，否则复制存储的原始报文，发送给交换芯片；

所述CPU，用于根据配置的镜像模式，把报文经交换芯片转发到对应的出接口。

7.根据权利要求6所述的装置，其特征在于，所述交换芯片根据流定义策略将报文引流到FPGA，具体为：

根据流定义策略判断，当满足流定义策略时，将报文引流到FPGA，当不满足流定义策略时，进行芯片处理转发。

8.根据权利要求6所述的装置，其特征在于，所述基本报文信息，包括：五元组、报文长度、入接口、报文存储地址。

9.根据权利要求6所述的装置，其特征在于，所述会话表，具体为：包含NAT转换信息的会话表。

10.根据权利要求6所述的装置，其特征在于，所述CPU根据配置的镜像模式，把报文经交换芯片转发到对应的出接口，具体为：

所述CPU接收到FPGA发送过来的报文后，当配置的是镜像到物理接口模式,则根据配置把FPGA上送的报文标记上出接口信息,由交换芯片转发到对应的出接口；当配置的是镜像到CPU模式，则把报文记录在内存中。