CN110311825A - 一种通过预警回溯快速处置通讯网络故障的方法 - Google Patents

Abstract

本发明提供了一种通过预警回溯快速处置通讯网络故障的方法，包括以下步骤：抽取各个网络节点的数据流集合并判断不同网络节点的数据流集合是否需要发出预警，若需要发出预警，则判断发出预警的网络节点的预警级别，若为一般预警，管理员监控发出一般预警的网络节点的即时状态，判断是否进行干预处理；若为严重预警，则根据发出预警的网络节点的故障位置和故障类型，对发出预警的网络节点进行干预处理；本发明根据对不同网络节点设置不同的报警阈值，第一时间对超过阈值的网络节点发出预警信息，管理员根据预警信息对网络节点进行数据研判，确定网络故障原因并快速进行相应的处理，能有效保护网络正常运行，为企事业的信息安全保驾护航。

Description

一种通过预警回溯快速处置通讯网络故障的方法

技术领域

本发明涉及通信网络领域，尤其涉及一种通过预警回溯快速处置通讯网络故障的方法。

背景技术

随着信息技术的不断发展、无纸化办公的逐步推行和工业4.0的逐步实施，企事业单位的信息化终端设备越来越多，网络布局越来越复杂，而且企事业单位对信息系统的依赖程度也越来越高。

如图1所示：企事业单位的网络一般由网关层、核心交换机层、汇聚交换机层、接入交换机层和终端应用层构成；如卷烟生产企业，网关层用于连接外部网络或者局域网，核心交换机层用于连接网关层和汇聚交换机层，若一个卷烟企业拥有多个生产线，如卷烟生产线、包装生产线，则对应的，每个生产线拥有一个汇聚交换机层，进一步的，每个生产线可能拥有多台计算机、打印机等设备，则汇聚交换层通过对应的接入层交换机与这些终端应用层设备(多台计算机、打印机等设备)连接，以供企事业单位工作人员使用；尽管企事业单位的种类繁多，但网络结构都大同小异。

但是很小问题造成的网络故障，如企事业单位内网的网络拥堵、恶意攻击、非正常业务数据流等，就会对企事业单位信息化造成严重破坏；例如网络拥堵造成的办公数据无法正常传送，因数据传送不及时造成自动化生产设备停机甚至造成自动化生产系统瘫痪；由于网络故障具有即时性和隐蔽性，因此对故障类型、故障位置很难快速准确判断和处置，严重影响着企事业单位正常生产，成为制约企事业单位生产效率的一个瓶颈问题。

发明内容

本发明的目的在于提供一种通过预警回溯快速处置通讯网络故障的方法，用于解决企事业单位的网络故障具有即时性和隐蔽性，因此对故障类型、故障位置很难快速准确判断和处置，严重影响企事业单位正常生产的问题。

为了实现上述目的，本发明采用以下技术方案：

一种通过预警回溯快速处置通讯网络故障的方法，包括以下步骤：

步骤1：抽取各个网络节点的数据流集合，即时监控网络状态；

步骤2：判断不同网络节点的数据流集合是否需要发出预警；若不需要发出预警，则返回步骤1，若需要发出预警，则进入步骤3；

步骤3： 判断发出预警的网络节点的预警级别，若为一般预警，则进入步骤4，若为严重预警，则进入步骤5；

步骤4：管理员监控发出一般预警的网络节点的即时状态，判断是否进行干预处理；若不需干预处理，则返回步骤1，若需要干预处理，则进入步骤5；

步骤5：管理员根据发出预警的网络节点，回溯预警段历史数据判断故障位置和故障类型；

步骤6：根据发出预警的网络节点的故障位置和故障类型，对发出预警的网络节点进行干预处理；之后返回步骤1。

步骤3所述的一般预警包括：

可疑域名预警；

TCP通讯异常一般预警，即对应的网络节点每秒发送TCP同步包大于50小于100，且不连续；

主机扫描一般预警，即对应的网络节点每秒数据包大于100小于500，且不连续；

网络占用一般预警，即对应的网络节点瞬时网络占用超过30%小于60%，且连续时间小于5秒。

步骤3所述的严重预警包括：

TCP通讯异常严重预警，即对应的网络节点每秒发送TCP同步包大于50小于100，且连续时间大于10秒，或每秒发送TCP同步包大于100；

主机扫描严重预警，即对应的网络节点每秒数据包大于100小于500，且持续时间大于5秒，或对应的网络节点每秒数据包大于500；

网络占用严重预警，即对应的网络节点瞬时网络占用超过30%小于60%，且持续时间在5秒以上，或网络占用超过60%。

步骤5中所述的回溯预警段历史数据的方法为：

将发出预警的网络节点预警时间段内的历史数据下载到回溯服务器，用于管理员判断。

步骤5中所述的管理员监控发出一般预警的网络节点的即时状态，判断是否进行干预处理的方法为：

管理员监控发出一般预警的网络节点的即时状态，若网络节点的一般预警状态当即消失，或者持续时间小于5秒后消失，则不进行干预处理；若网络节点的一般预警状态持续时间大于5秒，则进入步骤5，进行干预处理。

所述的干预处理方法为：

限制对应网络节点的访问速度或者切断此对应网络节点的对外连接。

本发明的有益效果：

本发明所述的一种通过预警回溯快速处置通讯网络故障的方法，通过在核心交换机上设置核心镜像端口，并通过核心镜像端口将核心交换机与网络研判回溯分析服务器连接，根据对企事业单位的网络的不同网络节点设置不同的报警阈值，通过网络研判回溯分析服务器，第一时间对超过阈值的网络节点发出预警信息，管理员根据预警信息对对应网络节点进行数据回溯分析研判，精确确定网络故障原因并快速进行相应的处理，能有效保护网络正常运行，为企事业的信息安全保驾护航。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为企事业单位的网络拓扑图；

图2为本发明的方法流程图。

具体实施方式

下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图2所示：本发明所述的一种通过预警回溯快速处置通讯网络故障的方法，包括以下步骤：

步骤1：抽取各个网络节点的数据流集合，即时监控网络状态，具体采用以下方法：

在企事业的单位的网络的核心交换机层的核心交换机上设置核心镜像端口，并通过核心镜像端口将核心交换机与网络研判回溯分析服务器连接，所述网络研判回溯分析服务器可采用工业计算机，其主要功能为采集与核心交换机层通信连接的下级网络结构的网络节点的数据流信息，并储存以供网络管理员调用；

进一步的，所述的数据流集合包含对应网络节点数据流中的域名信息、TCP通讯信息、主机扫描信息和网络占用信息；

步骤2：判断不同网络节点的数据流集合是否需要发出预警；若不需要发出预警，则返回步骤1，若需要发出预警，则进入步骤3；

步骤3： 判断发出预警的网络节点的预警级别，若为一般预警，则进入步骤4，若为严重预警，则进入步骤5；

所述的一般预警包括：

可疑域名预警；所述的可以域名为对应的网络节点的数据流中不属于常用域名的域名，常用域名可由通过该网络节点的历史数据流得到，提前设置；

TCP通讯异常一般预警，即对应的网络节点每秒发送TCP同步包大于50小于100，且不连续；

主机扫描一般预警，即对应的网络节点每秒数据包大于100小于500，且不连续；

网络占用一般预警，即对应的网络节点瞬时网络占用超过30%小于60%，且连续时间小于5秒；

所述的严重预警包括：

TCP通讯异常严重预警，即对应的网络节点每秒发送TCP同步包大于50小于100，且连续时间大于10秒，或每秒发送TCP同步包大于100；

主机扫描严重预警，即对应的网络节点每秒数据包大于100小于500，且持续时间大于5秒，或对应的网络节点每秒数据包大于500；

网络占用严重预警，即对应的网络节点瞬时网络占用超过30%小于60%，且持续时间在5秒以上，或网络占用超过60%；

步骤4：管理员监控发出一般预警的网络节点的即时状态，判断是否进行干预处理；若不需干预处理，则返回步骤1，若需要干预处理，则进入步骤5；

所述的管理员监控发出一般预警的网络节点的即时状态，判断是否进行干预处理的方法为：

管理员监控发出一般预警的网络节点的即时状态，若网络节点的一般预警状态当即消失，或者持续时间小于5秒后消失，则不进行干预处理；若网络节点的一般预警状态持续时间大于5秒，则进入步骤5，进行干预处理；因为，对于上述一般预警的4种状态：可以域名报警、TCP通讯异常一般预警、主机扫描一般预警和网络占用一般预警，均为不连续或者持续时间小于5秒，因此，只要管理员监控发出一般预警的网络节点的一般预警状态当即消失，或者持续时间小于5秒后消失，即可判定判定为一般预警，且故障自动消失，则不需进行干预处理；进一步，若持续时间大于5秒，或者为其他严重预警的状态，则管理员直接对对应的网络节点进行干预处理，防止网络节点故障导致的因数据传送不及时造成自动化生产设备停机甚至造成自动化生产系统瘫痪的问题出现；

所述的干预处理方法为：

限制对应网络节点的访问速度或者切断此对应网络节点的对外连接；

具体的，

预警状态为严重预警，持续性强，根据管理员研判可能会对网络通信造成影响，但不会造成严重后果的情况时，限制对应网络节点的访问速度；

预警状态为严重预警，而且一直持续，会对网络或网络设备造成严重影响的，比如木马、蠕虫病毒、恶意网路攻击等情形，系统会自动切断故障应用网节点对外网络链接；或者严重预警，持续性强，根据管理员研判，对网络或网络设备会造成严重影响的情况时，管理员手动切断此对应网络节点的对外链接。

步骤5：管理员根据发出预警的网络节点，回溯预警段历史数据判断故障位置和故障类型；

所述的回溯预警段历史数据的方法为：

将发出预警的网络节点预警时间段内的历史数据下载到回溯服务器，用于管理员判断；

所述故障位置即为对应的网络节点；

所述的故障类型为TCP通讯异常故障、主机扫描故障和网络占用故障；

步骤6：根据发出预警的网络节点的故障位置和故障类型，对发出预警的网络节点进行干预处理；之后返回步骤1。

本发明的有益效果：

本发明所述的一种通过预警回溯快速处置通讯网络故障的方法，通过在核心交换机上设置核心镜像端口，并通过核心镜像端口将核心交换机与网络研判回溯分析服务器连接，根据对企事业单位的网络的不同网络节点设置不同的报警阈值，通过网络研判回溯分析服务器，第一时间对超过阈值的网络节点发出预警信息，管理员根据预警信息对对应网络节点进行数据回溯分析研判，精确确定网络故障原因并快速进行相应的处理，能有效保护网络正常运行，为企事业的信息安全保驾护航。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (6)

1.一种通过预警回溯快速处置通讯网络故障的方法，其特征在于：包括以下步骤：

步骤1：抽取各个网络节点的数据流集合，即时监控网络状态；

步骤2：判断不同网络节点的数据流集合是否需要发出预警；若不需要发出预警，则返回步骤1，若需要发出预警，则进入步骤3；

步骤3： 判断发出预警的网络节点的预警级别，若为一般预警，则进入步骤4，若为严重预警，则进入步骤5；

步骤4：管理员监控发出一般预警的网络节点的即时状态，判断是否进行干预处理；若不需干预处理，则返回步骤1，若需要干预处理，则进入步骤5；

步骤5：管理员根据发出预警的网络节点，回溯预警段历史数据判断故障位置和故障类型；

步骤6：根据发出预警的网络节点的故障位置和故障类型，对发出预警的网络节点进行干预处理；之后返回步骤1。

2.根据权利要求1所述的一种通过预警回溯快速处置通讯网络故障的方法，其特征在于：步骤3所述的一般预警包括：

可疑域名预警；

TCP通讯异常一般预警，即对应的网络节点每秒发送TCP同步包大于50小于100，且不连续；

主机扫描一般预警，即对应的网络节点每秒数据包大于100小于500，且不连续；

网络占用一般预警，即对应的网络节点瞬时网络占用超过30%小于60%，且连续时间小于5秒。

3.根据权利要求2所述的一种通过预警回溯快速处置通讯网络故障的方法，其特征在于：步骤3所述的严重预警包括：

TCP通讯异常严重预警，即对应的网络节点每秒发送TCP同步包大于50小于100，且连续时间大于10秒，或每秒发送TCP同步包大于100；

主机扫描严重预警，即对应的网络节点每秒数据包大于100小于500，且持续时间大于5秒，或对应的网络节点每秒数据包大于500；

网络占用严重预警，即对应的网络节点瞬时网络占用超过30%小于60%，且持续时间在5秒以上，或网络占用超过60%。

4.据权利要求1所述的一种通过预警回溯快速处置通讯网络故障的方法，其特征在于：步骤5中所述的回溯预警段历史数据的方法为：

将发出预警的网络节点预警时间段内的历史数据下载到回溯服务器，用于管理员判断。

5.据权利要求2所述的一种通过预警回溯快速处置通讯网络故障的方法，其特征在于：步骤4中所述的管理员监控发出一般预警的网络节点的即时状态，判断是否进行干预处理的方法为：

管理员监控发出一般预警的网络节点的即时状态，若网络节点的一般预警状态当即消失，或者持续时间小于5秒后消失，则不进行干预处理；若网络节点的一般预警状态持续时间大于5秒，则进入步骤5，进行干预处理。

6.据权利要求5所述的一种通过预警回溯快速处置通讯网络故障的方法，其特征在于：所述的干预处理方法为：

限制对应网络节点的访问速度或者切断此对应网络节点的对外连接。