CN112350833A - 流量过滤方法及装置 - Google Patents

流量过滤方法及装置 Download PDF

Info

Publication number
CN112350833A
CN112350833A CN202011337017.8A CN202011337017A CN112350833A CN 112350833 A CN112350833 A CN 112350833A CN 202011337017 A CN202011337017 A CN 202011337017A CN 112350833 A CN112350833 A CN 112350833A
Authority
CN
China
Prior art keywords
data processing
rule
processing board
address
user name
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202011337017.8A
Other languages
English (en)
Inventor
潘元
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hangzhou DPtech Information Technology Co Ltd
Original Assignee
Hangzhou DPtech Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hangzhou DPtech Information Technology Co Ltd filed Critical Hangzhou DPtech Information Technology Co Ltd
Priority to CN202011337017.8A priority Critical patent/CN112350833A/zh
Publication of CN112350833A publication Critical patent/CN112350833A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/14—Charging, metering or billing arrangements for data wireline or wireless communications
    • H04L12/1485—Tariff-related aspects
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0813—Configuration setting characterised by the conditions triggering a change of settings
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0823—Configuration setting characterised by the purposes of a change of settings, e.g. optimising configuration for enhancing reliability
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0896—Bandwidth or capacity management, i.e. automatically increasing or decreasing capacities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本公开涉及一种用于拨号上网方式的流量过滤方法及装置。该方法包括：分流设备获取来自用户的数据流量；在所述数据流量不为radius计费报文时，将所述数据流量发送至所述分流设备的第一数据处理板；所述第一数据处理板基于预设的五元组规则对所述数据流量进行过滤；其中，所述预设的五元组规则通过所述分流设备的第二数据处理板进行实时更新。本公开涉及的用于拨号上网方式的流量过滤方法、装置、电子设备及计算机可读介质，能够提升分流设备规则的配置效率、维护效率，增加分流设备分流的能力、还能够增加后端分析系统的维护效率。

Description

流量过滤方法及装置
技术领域
本公开涉及计算机信息处理领域，具体而言，涉及一种用于拨号上网方式的流量过滤方法、装置、电子设备及计算机可读介质。
背景技术
数据分析系统在旁路接入宽带用户上网流量时，由于背景流量很大，分析工作会变的效率较低。一般情况下，会在此时接入分流设备，通过分流设备配置的一些规则，将特定的流量导入特定的分析系统，可以极大的提高后端分析系统的工作效率，所以分流设备的规则配置以及准确性异常重要。
现有技术方案中，一般是在分流设备端配置规则时，按照数据五元组信息(IP头协议号、源IP、源端口、目的IP、目的端口)或其组合来过滤和分流流量。但是，由于用户的上网流量并不携带用户名等信息，当分析系统在需要按照用户的用户名来进行规则过滤时，基于五元组的过滤和分流就不能实现。如果分流设备仅仅是通过获取IP地址的方法下发过滤规则的话，当存在IP地址变更时，分流设备无法及时变更过滤规则，而且分流设备维护的规则也不清晰直观。
因此，需要一种新的用于拨号上网方式的流量过滤方法、装置、电子设备及计算机可读介质。
在所述背景技术部分公开的上述信息仅用于加强对本公开的背景的理解，因此它可以包括不构成对本领域普通技术人员已知的现有技术的信息。
发明内容
有鉴于此，本公开提供一种用于拨号上网方式的流量过滤方法、装置、电子设备及计算机可读介质，能够提升分流设备规则的配置效率、维护效率，增加分流设备分流的能力、还能够增加后端分析系统的维护效率。
本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。
根据本公开的一方面，提出一种用于拨号上网方式的流量过滤方法，该方法包括：分流设备获取来自用户的数据流量；在所述数据流量不为radius计费报文时，将所述数据流量发送至所述分流设备的第一数据处理板；所述第一数据处理板基于预设的五元组规则对所述数据流量进行过滤；其中，所述预设的五元组规则通过所述分流设备的第二数据处理板进行实时更新。
在本公开的一种示例性实施例中，分流设备获取来自用户的数据流量之前，还包括：用户通过拨号上网方式进行上网认证；在所述上网认证通过后，所述用户通过获取到的IP地址接入网络。
在本公开的一种示例性实施例中，还包括：在所述数据流量为radius计费报文时，将所述数据流量发送至所述第二数据处理板；所述第二数据处理板基于所述radius计费报文对所述第一数据处理板中的五元组规则进行更新。
在本公开的一种示例性实施例中，所述第二数据处理板基于所述radius计费报文对所述第一数据处理板中的五元组规则进行更新，包括：所述第二数据处理板提取所述数据流量中的用户名、IP地址和计费类型；将所述用户名和预设的用户名过滤规则进行匹配以对所述第一数据处理板中的五元组规则进行更新。
在本公开的一种示例性实施例中，将所述用户名和预设的用户名过滤规则进行匹配以对所述第一数据处理板中的五元组规则进行更新，包括：在所述用户名和预设的所述用户名过滤规则匹配成功时，所述第二数据处理板基于所述数据流量中的所述IP地址和所述计费类型实时更新时所述五元组规则；在所述用户名和预设的所述用户名过滤规则未匹配成功时，丢弃所述数据流量。
在本公开的一种示例性实施例中，所述第二数据处理板基于所述数据流量中的所述IP地址和所述计费类型实时更新时所述五元组规则，包括：在所述计费类型为计费开始报文时，提取所述IP地址对应的衍生五元组规则；将衍生五元组规则发送至所述第一数据处理板，以使得所述第一数据处理板对所述数据流量进行过滤。
在本公开的一种示例性实施例中，所述第二数据处理板基于所述数据流量中的所述IP地址和所述计费类型实时更新时所述五元组规则，包括：在所述计费类型为计费更新报文时，判断所述IP地址与预设的用户名过滤规则中的IP地址的关联关系；基于所述关联关系提取所述IP地址对应的衍生五元组规则；将衍生五元组规则发送至所述第一数据处理板，以使得所述第一数据处理板对所述数据流量进行过滤。
在本公开的一种示例性实施例中，基于所述关联关系提取所述IP地址对应的衍生五元组规则，包括：在所述IP地址与所述用户名过滤规则中的IP地址的存在关联关系，且关联关系不重复时，更新所述用户名过滤规则中的IP地址和用户名的关联关系；在所述IP地址与所述用户名过滤规则中的IP地址的无关联关系时，在所述用户名过滤规则中添加关联关系；提取所述用户名过滤规则中的存在变更的IP地址对应的衍生五元组规则。
在本公开的一种示例性实施例中，所述第二数据处理板基于所述数据流量中的所述IP地址和所述计费类型实时更新时所述五元组规则，包括：在所述计费类型为计费停止报文时，所述第二数据处理板删除所述用户名过滤规则；所述第一数据处理板中删除与所述用户名过滤规则对应的五元组规则。
根据本公开的一方面，提出一种用于拨号上网方式的流量过滤装置，该装置包括：流量模块，用于分流设备获取来自用户的数据流量；第一数据处理模块，用于在所述数据流量不为radius计费报文时，将所述数据流量发送至所述分流设备的第一数据处理板；过滤模块，用于基于预设的五元组规则对所述数据流量进行过滤；其中，所述预设的五元组规则通过所述分流设备的第二数据处理板进行实时更新。
在本公开的一种示例性实施例中，还包括：第二数据处理模块，用于在所述数据流量为radius计费报文时，将所述数据流量发送至所述第二数据处理板；更新模块，用于基于所述radius计费报文对所述第一数据处理板中的五元组规则进行更新。
根据本公开的一方面，提出一种电子设备，该电子设备包括：一个或多个处理器；存储装置，用于存储一个或多个程序；当一个或多个程序被一个或多个处理器执行，使得一个或多个处理器实现如上文的方法。
根据本公开的一方面，提出一种计算机可读介质，其上存储有计算机程序，该程序被处理器执行时实现如上文中的方法。
根据本公开的用于拨号上网方式的流量过滤方法、装置、电子设备及计算机可读介质，分流设备获取来自用户的数据流量；在所述数据流量不为radius计费报文时，将所述数据流量发送至所述分流设备的第一数据处理板；所述第一数据处理板基于预设的五元组规则对所述数据流量进行过滤；其中，所述预设的五元组规则通过所述分流设备的第二数据处理板进行实时更新的方式，能够提升分流设备规则的配置效率、维护效率，增加分流设备分流的能力、还能够增加后端分析系统的维护效率。
应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本公开。
附图说明
通过参照附图详细描述其示例实施例，本公开的上述和其它目标、特征及优点将变得更加显而易见。下面描述的附图仅仅是本公开的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是现有技术中拨号上网方式的系统框图。
图2是根据一示例性实施例示出的一种用于拨号上网方式的流量过滤方法的流程图。
图3是根据另一示例性实施例示出的一种用于拨号上网方式的流量过滤方法的流程图。
图4是根据另一示例性实施例示出的一种用于拨号上网方式的流量过滤方法的流程图。
图5是根据一示例性实施例示出的一种用于拨号上网方式的流量过滤装置的框图。
图6是根据一示例性实施例示出的一种电子设备的框图。
图7是根据一示例性实施例示出的一种计算机可读介质的框图。
图8是根据本公开的用于拨号上网方式的流量过滤方法的另一流程示意图。
具体实施方式
现在将参考附图更全面地描述示例实施例。然而，示例实施例能够以多种形式实施，且不应被理解为限于在此阐述的实施例；相反，提供这些实施例使得本公开将全面和完整，并将示例实施例的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。
此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本公开的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本公开的各方面。
附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。
附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。
应理解，虽然本文中可能使用术语第一、第二、第三等来描述各种组件，但这些组件不应受这些术语限制。这些术语乃用以区分一组件与另一组件。因此，下文论述的第一组件可称为第二组件而不偏离本公开概念的教示。如本文中所使用，术语“及/或”包括相关联的列出项目中的任一个及一或多者的所有组合。
本领域技术人员可以理解，附图只是示例实施例的示意图，附图中的模块或流程并不一定是实施本公开所必须的，因此不能用于限制本公开的保护范围。
本公开涉及的技术术语解释如下：
client：用户拨号上网终端；
Bras设备：用户拨号上网接入设备，记录用户拨号上网后的基本信息，并且对用户流量使用情况进行记录，与radius服务器交互，获取认证结果，发送计费消息；
Radius服务器：记录用户的用户名，密码等关键信息，记录用户计费信息；
Authentication报文：认证报文，Bras设备和radius服务器之间认证信息的交互报文；
Account报文：Bras设备和radius服务器之间计费信息交互的报文。
图1是现有技术中拨号上网方式的系统框图。如图1所示，拨号上网方式的系统包括：用户终端：用户发起上网的硬件设备；Bras设备：宽带接入服务器(Broadband RemoteAccess Server)是面向宽带网络应用的新型接入网关，它位于骨干网的边缘层，可以完成用户带宽的IP/ATM网的数据接入；Radius服务器：Radius是一种用于在需要认证其链接的网络访问服务器(NAS)和共享认证服务器之间进行认证、授权和记帐信息的文档协议，Radius服务器负责接收用户的连接请求、认证用户，然后返回客户机所有必要的配置信息以将服务发送到用户；分流设备：配置相关的规则对接入流量做过滤以及分流的设备；分光器：将接入的流量复制出多条输出流量；分析系统：对接入的流量做行为分析。
本公开的发明人发现，在现有技术中，同时使用一块数据处理板做报文内容的解析和数据处理，这种方式会影响分流设备本身的转发效率。而且，当分析系统在需要按照用户的用户名来进行过滤时，基于五元组的过滤和分流就不能实现。有鉴于现有技术中的缺陷，本发明提出一种用于拨号上网方式的流量过滤方法，可以使得分流设备基于拨号上网用户的用户名信息进行规则配置，以实现对用户上网的流量进行过滤和分流。
图2是根据一示例性实施例示出的一种用于拨号上网方式的流量过滤方法的流程图。用于拨号上网方式的流量过滤方法20包括步骤S202至S210。
如图2所示，在S202中，分流设备获取来自用户的数据流量。
在分流设备获取来自用户的数据流量之前，还包括：用户通过拨号上网方式进行上网认证；在所述上网认证通过后，所述用户通过获取到的IP地址接入网络。
在一个具体的实施例中，客户端会与bras接入设备进行上网认证，bras设备将收到的认证信息，发送Authentication报文给radius服务器，获取radius服务器认证结果，同时获取radius服务器分配的上网IP地址，此时bras设备会发送accounting报文给radius服务器，通告此次上网行为认证通过，可以开始计费上网，然后客户端使用获取到的IP地址直接上网。
在S204中，在所述数据流量不为radius计费报文时，将所述数据流量发送至所述分流设备的第一数据处理板。
在S206中，所述第一数据处理板基于预设的五元组规则对所述数据流量进行过滤。其中，所述预设的五元组规则通过所述分流设备的第二数据处理板进行实时更新。
在S208中，在所述数据流量为radius计费报文时，将所述数据流量发送至所述第二数据处理板。
在S210中，所述第二数据处理板基于所述radius计费报文对所述第一数据处理板中的五元组规则进行更新。由于上网的流量中，并没有用户的用户名等信息，只有IP地址信息，分流设备在获取旁路流量时，想针对用户名信息来对用户上网流量进行过滤，此时可以在分流设备的第二数据处理板中配置基于用户名的过滤规则，然后第二数据处理板基于用户名过滤规则提取其对应的五元组规则，并实时更新到第一数据处理板中，以实现对流量的过滤和分流。
根据本公开的用于拨号上网方式的流量过滤方法，分流设备获取来自用户的数据流量；在所述数据流量不为radius计费报文时，将所述数据流量发送至所述分流设备的第一数据处理板；所述第一数据处理板基于预设的五元组规则对所述数据流量进行过滤；其中，所述预设的五元组规则通过所述分流设备的第二数据处理板进行实时更新的方式，能够提升分流设备规则的配置效率、维护效率，增加分流设备分流的能力、还能够增加后端分析系统的维护效率。
应清楚地理解，本公开描述了如何形成和使用特定示例，但本公开的原理不限于这些示例的任何细节。相反，基于本公开公开的内容的教导，这些原理能够应用于许多其它实施例。
图3是根据另一示例性实施例示出的一种用于拨号上网方式的流量过滤方法的流程图。图3所示的流程30是对图2所示的流程中S210“所述第二数据处理板基于所述radius计费报文对所述第一数据处理板中的五元组规则进行更新”的详细描述。
如图3所示，在S302中，所述第二数据处理板提取所述数据流量中的用户名、IP地址和计费类型。
在S304中，在所述用户名和预设的所述用户名过滤规则匹配成功时，所述第二数据处理板基于所述数据流量中的所述IP地址和所述计费类型实时更新时所述五元组规则。第二数据处理板提取报文中的用户名，IP地址和计费类型等相关属性，与分流设备配置的基于用户名的过滤规则进行匹配，在匹配成功时，提取五元组规则。
在一个实施例中，还包括，在所述用户名和预设的所述用户名过滤规则未匹配成功时，丢弃所述数据流量。
在S306中，在所述计费类型为计费开始报文时，提取所述IP地址对应的衍生五元组规则，将衍生五元组规则发送至所述第一数据处理板，以使得所述第一数据处理板对所述数据流量进行过滤。
在一个实施例中，第二数据处理板将获取的IP地址属性衍生出两条五元组规则下发给第一数据处理板，两条规则五元组信息为源IP地址和目的IP地址为获取的属性值，后续报文进入分类设备的第一数据处理板时，就直接匹配相关IP地址的规则进行过滤和分流，分类设备维护五元组规则时，只维护用户名规则，如果用户名规则删除，需要将生成的衍生规则也删除。
在S308中，在所述计费类型为计费更新报文时，判断所述IP地址与预设的用户名过滤规则中的IP地址的关联关系，基于所述关联关系提取所述IP地址对应的衍生五元组规则；将衍生五元组规则发送至所述第一数据处理板，以使得所述第一数据处理板对所述数据流量进行过滤。
其中，基于所述关联关系提取所述IP地址对应的衍生五元组规则，包括：在所述IP地址与所述用户名过滤规则中的IP地址的存在关联关系，且关联关系不重复时，更新所述用户名过滤规则中的IP地址和用户名的关联关系；在所述IP地址与所述用户名过滤规则中的IP地址的无关联关系时，在所述用户名过滤规则中添加关联关系；提取所述用户名过滤规则中的存在变更的IP地址对应的衍生五元组规则。
在一个实施例中，判断IP地址与设备中维护的IP与用户名关联关系，如果用户名没有任何与其对应的IP地址维护关联关系，则在用户名过滤规则中添加关联关系，并下发五元组规则给第一数据处理板。如果关联关系不重复，更新IP地址和用户名的内部关系，并且下发新的五元组规则给第一数据处理板，并且删除原有的五元组规则。如果判断重复，则不作处理。
在S310中，在所述计费类型为计费停止报文时，所述第二数据处理板删除所述用户名过滤规则；所述第一数据处理板中删除与所述用户名过滤规则对应的五元组规则。
在一个实施例中，当计费类型为radius计费停止报文时，第二数据处理板直接删除维护的IP地址与用户名关联关系，并且删除第一数据处理板中与此用户相关的五元组规则。
图4是根据另一示例性实施例示出的一种用于拨号上网方式的流量过滤方法的流程图。图4所示的流程40是对图2所示的流程的详细描述。
如图4所示，在S402中，判断流量数据是否为radius计费报文。
在S404中，通过内部通道将其传送到第二数据处理板。所述第二数据处理板可为CPU板。
在S406中，第一数据处理板直接处理报文。
在S408中，提取用户名、IP地址、计费类型并进行匹配。
在S410中，判断计费类。
在S412中，直接丢弃。
在S414中，在为计费更新时，IP地址变动时，更新五元组规则，IP地址不变时，五元组规则不更新。
在S416中，在为计费开始时，根据IP地址给第一数据处理板下发两条五元组规则。
在S418中，在为计费结束时，删除与之相关的五元组规则。
在本公开的用于拨号上网方式的流量过滤方法中，分流设备通过获取radius计费报文中IP地址，用户名，和计费类型，设备维护用户名和IP地址的关联关系，设备配置用户名规则后，下发IP五元组规则，与用户名规则进行关联，对外呈现为用户名规则；这种方式更加直观清晰的对用户对应的流量进行过滤。
在本公开的用于拨号上网方式的流量过滤方法中，分流设备采用分布式架构，第二数据处理板和第一数据处理板分开处理拨号用户上网的数据流量和该用户在Bras上下线及计费更新时的radius认证计费报文，使得分流设备处理流量数据更加高效。
本公开的用于拨号上网方式的流量过滤方法，能基于特定用户名信息进行过滤和分流流量，在给分流设备下发五元组规则时，不需要维护IP地址和用户名的关系，还能够动态增删改关联信息。通过这种方式维护用户名信息对应的五元组规则，更加直观清晰。还能够提升分流设备规则配置的效率，以及维护效率，同时增加后端分析系统的维护效率。使用第二数据处理板和第一数据处理板分开处理报文的方式，能够显著增加分流设备分流的能力。
本领域技术人员可以理解实现上述实施例的全部或部分步骤被实现为由CPU执行的计算机程序。在该计算机程序被CPU执行时，执行本公开提供的上述方法所限定的上述功能。所述的程序可以存储于一种计算机可读存储介质中，该存储介质可以是只读存储器，磁盘或光盘等。
此外，需要注意的是，上述附图仅是根据本公开示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。
下述为本公开装置实施例，可以用于执行本公开方法实施例。对于本公开装置实施例中未披露的细节，请参照本公开方法实施例。
图5是根据一示例性实施例示出的一种用于拨号上网方式的流量过滤装置的框图。如图5所示，用于拨号上网方式的流量过滤装置50包括：流量模块502，第一数据处理模块504，过滤模块506，第二数据处理模块508，更新模块510。
流量模块502用于分流设备获取来自用户的数据流量；
第一数据处理模块504用于在所述数据流量不为radius计费报文时，将所述数据流量发送至所述分流设备的第一数据处理板；
过滤模块506用于基于预设的五元组规则对所述数据流量进行过滤；其中，所述预设的五元组规则通过所述分流设备的第二数据处理板进行实时更新；
第二数据处理模块508用于在所述数据流量为radius计费报文时，将所述数据流量发送至所述第二数据处理板；
更新模块510用于基于所述radius计费报文对所述第一数据处理板中的五元组规则进行更新。
根据本公开的用于拨号上网方式的流量过滤装置，分流设备获取来自用户的数据流量；在所述数据流量不为radius计费报文时，将所述数据流量发送至所述分流设备的第一数据处理板；所述第一数据处理板基于预设的五元组规则对所述数据流量进行过滤；其中，所述预设的五元组规则通过所述分流设备的第二数据处理板进行实时更新的方式，能够提升分流设备规则的配置效率、维护效率，增加分流设备分流的能力、还能够增加后端分析系统的维护效率。
图6是根据一示例性实施例示出的一种电子设备的框图。
下面参照图6来描述根据本公开的这种实施方式的电子设备600。图6显示的电子设备600仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。
如图6所示，电子设备600以通用计算设备的形式表现。电子设备600的组件可以包括但不限于：至少一个处理单元610、至少一个存储单元620、连接不同系统组件(包括存储单元620和处理单元610)的总线630、显示单元640等。
其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元610执行，使得所述处理单元610执行本说明书中描述的根据本公开各种示例性实施方式的步骤。例如，所述处理单元610可以执行如图2，图3，图4中所示的步骤。
所述存储单元620可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)6201和/或高速缓存存储单元6202，还可以进一步包括只读存储单元(ROM)6203。
所述存储单元620还可以包括具有一组(至少一个)程序模块6205的程序/实用工具6204，这样的程序模块6205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。
总线630可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。
电子设备600也可以与一个或多个外部设备600’(例如键盘、指向设备、蓝牙设备等)通信，使得用户能与该电子设备600交互的设备通信，和/或该电子设备600能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口650进行。并且，电子设备600还可以通过网络适配器660与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器660可以通过总线630与电子设备600的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备600使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
图8是根据本公开的用于拨号上网方式的流量过滤方法的另一流程示意图。宽带用户上网时，首先客户端会与bras接入设备进行上网认证，bras设备将收到的认证信息，发送Authentication报文给radius服务器，获取认证结果，同时获取radius服务器分配的上网IP地址，此时bras设备会发送accounting报文给radius服务器，通告此次上网行为认证通过，可以开始计费上网。此时client端使用获取到的IP地址直接上网，上网的流量中，并没有用户的用户名等信息，只有IP地址信息，分流设备在获取旁路流量时，想针对用户名信息来对用户上网流量进行过滤，此时可以在分流设备配置基于用户名的过滤规则，实现对流量的过滤和分流，具体流程如下图8所示，步骤一：设备的数据处理板收到数据流量时，会判断流量的具体类型，当流量为radius计费报文时，会将radius计费报文上送到CPU板，不为radius计费报文时数据报文根据配置的普通规则对流量进行过滤和分流。步骤二：CPU板收到radius计费报文，提取报文中的用户名，IP地址和计费类型等相关属性，与分流设备配置的基于用户名的过滤规则进行匹配，如果匹配上进入步骤三，匹配不上的流量直接丢弃。步骤三：CPU板根据获取到的计费类型，如果为计费开始报文，将获取的IP地址属性衍生出两条五元组规则下发给数据处理板，两条规则五元组信息为源IP地址和目的IP地址为获取的属性值，后续报文进入设备数据处理板，就直接匹配相关IP地址的规则进行过滤和分流，设备维护规则时，只维护用户名规则，如果用户名规则删除，需要将生成的衍生规则也删除。步骤四：当计费类型为radius计费更新报文时，判断IP地址与设备中维护的IP与用户名关联关系，如果用户名没有任何IP地址维护关联关系，添加关联关系，新下发五元组规则给数据处理板，如果关联关系不重复，更新IP地址和用户名的内部关系，并且下发新的五元组规则给数据处理板，并且删除原有的五元组规则，如果判断重复，则不作处理。步骤五：当计费类型为radius计费停止报文时，CPU板直接删除维护的IP地址与用户名关联关系，并且删除数据处理板下发的五元组规则。本发明能基于特定用户名信息进行过滤和分流流量，在给分流设备下发规则时，不需要维护IP地址和用户名的关系，动态增删改关联信息。对用户名信息的规则，维护起来更加直观，能够提升分流设备规则配置的效率，以及维护效率，同时增加后端分析系统的维护效率。使用数据处理板和CPU板分开处理报文能够显著增加分流设备分流的能力。分流设备通过获取radius计费报文中IP地址，用户名，和计费类型，设备维护用户名和IP地址的关联关系，设备配置用户名规则后，下发IP五元组规则，与用户名规则进行关联，对外呈现为用户名规则。分流设备分布式架构，CPU板和数据处理板分开处理拨号用户上网的数据流量和该用户在Bras上下线及计费更新时的radius认证计费报文，将关联的IP五元组规则下发给数据处理板。分流设备通过分析bas设备与radius服务器之间计费报文中关于用户名的属性和IP地址相关的属性，以及计费报文类型，对用户名和IP地址之间关联关系进行增删改操作。分流设备分布式架构，CPU板和数据处理板分开处理该用户在Bras设备上下线及计费更新时的radius认证计费报文流量和拨号用户上网的数据流量，并且CPU板能够控制下发给数据处理板衍生出的五元组规则的增删改。
通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，如图7所示，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、或者网络设备等)执行根据本公开实施方式的上述方法。
所述软件产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。
所述计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言的任意组合来编写用于执行本公开操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。
上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该计算机可读介质实现如下功能：分流设备获取来自用户的数据流量；在所述数据流量不为radius计费报文时，将所述数据流量发送至所述分流设备的第一数据处理板；所述第一数据处理板基于预设的五元组规则对所述数据流量进行过滤；其中，所述预设的五元组规则通过所述分流设备的第二数据处理板进行实时更新。
本领域技术人员可以理解上述各模块可以按照实施例的描述分布于装置中，也可以进行相应变化唯一不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。
通过以上的实施例的描述，本领域的技术人员易于理解，这里描述的示例实施例可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等)执行根据本公开实施例的方法。
以上具体地示出和描述了本公开的示例性实施例。应可理解的是，本公开不限于这里描述的详细结构、设置方式或实现方法；相反，本公开意图涵盖包含在所附权利要求的精神和范围内的各种修改和等效设置。

Claims (11)

1.一种流量过滤方法，其特征在于，包括：
分流设备获取来自用户的数据流量；
在所述数据流量不为radius计费报文时，将所述数据流量发送至所述分流设备的第一数据处理板；
所述第一数据处理板基于预设的五元组规则对所述数据流量进行过滤；
其中，所述预设的五元组规则通过所述分流设备的第二数据处理板进行实时更新。
2.如权利要求1所述的流量过滤方法，其特征在于，分流设备获取来自用户的数据流量之前，还包括：
用户通过拨号上网方式进行上网认证；
在所述上网认证通过后，所述用户通过获取到的IP地址接入网络。
3.如权利要求1所述的流量过滤方法，其特征在于，还包括：
在所述数据流量为radius计费报文时，将所述数据流量发送至所述第二数据处理板；
所述第二数据处理板基于所述radius计费报文对所述第一数据处理板中的五元组规则进行更新。
4.如权利要求3所述的流量过滤方法，其特征在于，所述第二数据处理板基于所述radius计费报文对所述第一数据处理板中的五元组规则进行更新，包括：
所述第二数据处理板提取所述数据流量中的用户名、IP地址和计费类型；
将所述用户名和预设的用户名过滤规则进行匹配以对所述第一数据处理板中的五元组规则进行更新。
5.如权利要求4所述的流量过滤方法，其特征在于，将所述用户名和预设的用户名过滤规则进行匹配以对所述第一数据处理板中的五元组规则进行更新，包括：
在所述用户名和预设的所述用户名过滤规则匹配成功时，所述第二数据处理板基于所述数据流量中的所述IP地址和所述计费类型实时更新时所述五元组规则；
在所述用户名和预设的所述用户名过滤规则未匹配成功时，丢弃所述数据流量。
6.如权利要求5所述的流量过滤方法，其特征在于，所述第二数据处理板基于所述数据流量中的所述IP地址和所述计费类型实时更新时所述五元组规则，包括：
在所述计费类型为计费开始报文时，提取所述IP地址对应的衍生五元组规则；
将衍生五元组规则发送至所述第一数据处理板，以使得所述第一数据处理板对所述数据流量进行过滤。
7.如权利要求5所述的流量过滤方法，其特征在于，所述第二数据处理板基于所述数据流量中的所述IP地址和所述计费类型实时更新时所述五元组规则，包括：
在所述计费类型为计费更新报文时，判断所述IP地址与预设的用户名过滤规则中的IP地址的关联关系；
基于所述关联关系提取所述IP地址对应的衍生五元组规则；
将衍生五元组规则发送至所述第一数据处理板，以使得所述第一数据处理板对所述数据流量进行过滤。
8.如权利要求7所述的流量过滤方法，其特征在于，基于所述关联关系提取所述IP地址对应的衍生五元组规则，包括：
在所述IP地址与所述用户名过滤规则中的IP地址的存在关联关系，且关联关系不重复时，更新所述用户名过滤规则中的IP地址和用户名的关联关系；
在所述IP地址与所述用户名过滤规则中的IP地址的无关联关系时，在所述用户名过滤规则中添加关联关系；
提取所述用户名过滤规则中的存在变更的IP地址对应的衍生五元组规则。
9.如权利要求5所述的流量过滤方法，其特征在于，所述第二数据处理板基于所述数据流量中的所述IP地址和所述计费类型实时更新时所述五元组规则，包括：
在所述计费类型为计费停止报文时，所述第二数据处理板删除所述用户名过滤规则；
所述第一数据处理板中删除与所述用户名过滤规则对应的五元组规则。
10.一种用于拨号上网方式的流量过滤装置，其特征在于，包括：
流量模块，用于分流设备获取来自用户的数据流量；
第一数据处理模块，用于在所述数据流量不为radius计费报文时，将所述数据流量发送至所述分流设备的第一数据处理板；
过滤模块，用于基于预设的五元组规则对所述数据流量进行过滤；
其中，所述预设的五元组规则通过所述分流设备的第二数据处理板进行实时更新。
11.如权利要求10所述的流量过滤装置，其特征在于，还包括：
第二数据处理模块，用于在所述数据流量为radius计费报文时，将所述数据流量发送至所述第二数据处理板；
更新模块，用于基于所述radius计费报文对所述第一数据处理板中的五元组规则进行更新。
CN202011337017.8A 2020-11-25 2020-11-25 流量过滤方法及装置 Pending CN112350833A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011337017.8A CN112350833A (zh) 2020-11-25 2020-11-25 流量过滤方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011337017.8A CN112350833A (zh) 2020-11-25 2020-11-25 流量过滤方法及装置

Publications (1)

Publication Number Publication Date
CN112350833A true CN112350833A (zh) 2021-02-09

Family

ID=74365614

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011337017.8A Pending CN112350833A (zh) 2020-11-25 2020-11-25 流量过滤方法及装置

Country Status (1)

Country Link
CN (1) CN112350833A (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112953841A (zh) * 2021-02-20 2021-06-11 杭州迪普信息技术有限公司 报文分流方法及系统
CN113904798A (zh) * 2021-08-27 2022-01-07 长沙星融元数据技术有限公司 Ip报文的多元组过滤方法、系统、设备及存储介质
CN114374622A (zh) * 2021-12-31 2022-04-19 恒安嘉新（北京）科技股份公司 一种基于融合分流设备的分流方法及融合分流设备
CN116828509A (zh) * 2023-08-31 2023-09-29 联通在线信息科技有限公司 一种网络盲区的检测方法及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20170366505A1 (en) * 2016-06-17 2017-12-21 Assured Information Security, Inc. Filtering outbound network traffic
CN108322354A (zh) * 2017-01-18 2018-07-24 中国移动通信集团河南有限公司 一种偷跑流量账户识别方法及装置
CN110224891A (zh) * 2019-06-12 2019-09-10 武汉绿色网络信息服务有限责任公司 一种基于dpi和分流器的智能流量调度方法和系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20170366505A1 (en) * 2016-06-17 2017-12-21 Assured Information Security, Inc. Filtering outbound network traffic
CN108322354A (zh) * 2017-01-18 2018-07-24 中国移动通信集团河南有限公司 一种偷跑流量账户识别方法及装置
CN110224891A (zh) * 2019-06-12 2019-09-10 武汉绿色网络信息服务有限责任公司 一种基于dpi和分流器的智能流量调度方法和系统

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112953841A (zh) * 2021-02-20 2021-06-11 杭州迪普信息技术有限公司 报文分流方法及系统
CN112953841B (zh) * 2021-02-20 2022-05-27 杭州迪普信息技术有限公司 报文分流方法及系统
CN113904798A (zh) * 2021-08-27 2022-01-07 长沙星融元数据技术有限公司 Ip报文的多元组过滤方法、系统、设备及存储介质
CN113904798B (zh) * 2021-08-27 2024-03-22 长沙星融元数据技术有限公司 Ip报文的多元组过滤方法、系统、设备及存储介质
CN114374622A (zh) * 2021-12-31 2022-04-19 恒安嘉新（北京）科技股份公司 一种基于融合分流设备的分流方法及融合分流设备
CN114374622B (zh) * 2021-12-31 2023-12-19 恒安嘉新（北京）科技股份公司 一种基于融合分流设备的分流方法及融合分流设备
CN116828509A (zh) * 2023-08-31 2023-09-29 联通在线信息科技有限公司 一种网络盲区的检测方法及系统
CN116828509B (zh) * 2023-08-31 2024-01-19 联通在线信息科技有限公司 一种网络盲区的检测方法及系统

Similar Documents

Publication Publication Date Title
CN112350833A (zh) 流量过滤方法及装置
JP3954385B2 (ja) 迅速なパケット・フィルタリング及びパケット・プロセシングのためのシステム、デバイス及び方法
US11196797B2 (en) Transferring files between computer nodes on different networks
WO2014085952A1 (zh) 一种策略处理的方法及网络设备
US7463593B2 (en) Network host isolation tool
US20160255118A1 (en) Network traffic control device, and security policy configuration method and apparatus thereof
CN110311929A (zh) 一种访问控制方法、装置及电子设备和存储介质
US10868792B2 (en) Configuration of sub-interfaces to enable communication with external network devices
CN113014427A (zh) 网络管理方法和设备，及存储介质
CN104158767A (zh) 一种网络准入装置及方法
CN111488572A (zh) 用户行为分析日志生成方法、装置、电子设备及介质
CN107294910B (zh) 一种登录方法和服务器
WO2023041039A1 (zh) 基于dns解析的安全访问控制方法、系统、装置及设备
US11874845B2 (en) Centralized state database storing state information
CN111885190B (zh) 服务请求处理方法及系统
US11516138B2 (en) Determining network flow direction
CN114143079B (zh) 包过滤策略的验证装置及方法
CN114244555B (zh) 一种安全策略的调整方法
US7971244B1 (en) Method of determining network penetration
CN117837134A (zh) 用于安全与隐私的第三方网关
US11470083B2 (en) Device integration for a network access control server based on device mappings and testing verification
US11784996B2 (en) Runtime credential requirement identification for incident response
KR20050076401A (ko) 초고속 인터넷 서비스의 가입자 정보관리 장치 및 방법
US20210385235A1 (en) Security analysis assistance apparatus, security analysis assistance method, and computer-readable recording medium
CN111181972A (zh) 一种pptp数据实时解析的处理方法和装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20210209