CN112751704B

CN112751704B - 网络靶场中异构网络连通性检查方法、装置及设备

Info

Publication number: CN112751704B
Application number: CN202011502526.1A
Authority: CN
Inventors: 孔令威; 范渊; 苗春雨
Original assignee: DBAPPSecurity Co Ltd
Current assignee: DBAPPSecurity Co Ltd
Priority date: 2020-12-17
Filing date: 2020-12-17
Publication date: 2022-07-05
Anticipated expiration: 2040-12-17
Also published as: CN112751704A

Abstract

本申请公开了一种网络靶场中异构网络连通性检查方法，该方法将实现技术类型与采集节点绑定，对于每一个节点，自动使用相应的采集探针对节点信息进行发现收集，确定节点之间的连接关系，最终自动构建节点拓扑结构图，并根据节点拓扑结构图实现节点之间的连通性检查，避免了复杂拓扑的维护、信息查询、故障排除、结构分析的复杂过程，降低了技术门槛，显著提升了连通性检查效率。此外，本申请还提供了一种网络靶场中异构网络连通性检查装置、设备及可读存储介质，其技术效果与上述方法的技术效果相对应。

Description

网络靶场中异构网络连通性检查方法、装置及设备

技术领域

本申请涉及计算机技术领域，特别涉及一种网络靶场中异构网络连通性检查方法、装置、设备及可读存储介质。

背景技术

网络靶场的概念逐渐走向应用，相比于云计算场景，网络靶场对虚拟化的仿真程度、仿真多样性提出了更高的要求。相比于常见的云计算创建的实例集群，网络靶场在同一场景中有可能同时涉及创建虚拟机、容器、传统网桥、SDN网络设备、物理安全硬件等多种实现技术完全不同的设备，并通过一定的技术将这些设备的网络打通，因此在实现方面，面临着实现复杂，所使用的技术异构，从而导致在运维和连通性故障排除过程中流转复杂，依赖技术人员水平的问题。

例如，在一个网络靶场场景中，应用对部分靶标使用虚拟化技术构建，而另一部分使用容器创建，此时就会涉及同时使用虚拟机技术和容器技术搭建的网络连通性问题。假设使用虚拟机创建的组件A和使用容器创建的节点B出现网络连通性问题，在排查过程中就需要对从A到B的链路进行故障排查，这就要求排查人员熟悉A与B各自网络的实现原理，并且需要对链路中所有的状态进行确认，在这个过程中由于异构网络技术的特性，缺少通用方法，步骤较为复杂。在实际场景中，云场景中的网络流量可能是跨主机，跨机房甚至是跨区域的，这进一步加大了技术维护和故障排除的难度。

可见，如何在网络靶场中实现节点的网络连通性检查，是亟待本领域技术人员解决的问题。

发明内容

本申请的目的是提供一种网络靶场中异构网络连通性检查方法、装置、设备及可读存储介质，用以解决当前的异构网络连通性检查方案实现过程复杂，门槛高的问题。其具体方案如下：

第一方面，本申请提供了一种网络靶场中异构网络连通性检查方法，包括：

S1、遍历网络靶场中的节点，确定当前节点的实现技术类型，调用所述实现技术类型的采集探针获取所述当前节点的端口列表；

S2、对于所述端口列表中的每个端口，调用所述实现技术类型的采集探针确定通过该端口与所述当前节点相连接的目标节点，并记录所述当前节点与所述目标节点之间的连接关系；

S3、在所述网络靶场中的节点尚未完全遍历时，将所述目标节点作为当前节点，进入S1；

S4、在所述网络靶场中的节点已经完全遍历时，根据所述网络靶场中各个节点的所述连接关系，构建节点拓扑结构图；

S5、根据所述节点拓扑结构图，判断待进行连通性检查的节点是否连通，得到连通性检查结果。

优选的，在所述调用所述实现技术类型的采集探针获取所述当前节点的端口列表之前，还包括：

注册多种实现技术类型的采集探针，其中所述多种实现技术类型包括容器和虚拟机。

优选的，在所述实现技术类型为虚拟机时，所述调用所述实现技术类型的采集探针获取所述当前节点的端口列表，包括：

调用虚拟机的采集探针，确定所述当前节点的全部端口，得到端口列表；对于所述端口列表中的每个端口，确定所述当前节点上通过该端口连接外部网络的tun设备/tap设备，将所述tun设备/tap设备的设备信息记录至所述端口列表。

优选的，在所述实现技术类型为容器时，所述调用所述实现技术类型的采集探针获取所述当前节点的端口列表，包括：

调用容器的采集探针，确定所述当前节点的全部端口，得到端口列表；对于所述端口列表中的每个端口，确定所述当前节点上通过该端口连接外部网络的veth设备，将所述veth设备的设备信息记录至所述端口列表。

优选的，所述记录所述当前节点与所述目标节点之间的连接关系，包括：

记录所述当前节点与所述目标节点之间的连接关系，其中所述连接关系包括所述当前节点的节点ID、所述当前节点的端口ID、所述目标节点的节点ID、所述目标节点的端口ID。

生成所述当前节点与所述目标节点之间的连接关系数据；

判断连接关系集合是是否存在所述连接关系数据，若不存在，则将所述连接关系数据记录至所述连接关系集合。

优选的，在所述调用所述实现技术类型的采集探针获取所述当前节点的端口列表之后，还包括：

调用所述实现技术类型的采集探针获取所述当前节点的运行状态和/或网络配置。

第二方面，本申请提供了一种网络靶场中异构网络连通性检查装置，包括：

端口采集模块：用于遍历网络靶场中的节点，确定当前节点的实现技术类型，调用所述实现技术类型的采集探针获取所述当前节点的端口列表；

连接关系记录模块：用于对于所述端口列表中的每个端口，调用所述实现技术类型的采集探针确定通过该端口与所述当前节点相连接的目标节点，并记录所述当前节点与所述目标节点之间的连接关系；

循环模块：用于在所述网络靶场中的节点尚未完全遍历时，将所述目标节点作为当前节点，进入所述端口采集模块；

拓扑图生成模块：用于在所述网络靶场中的节点已经完全遍历时，根据所述网络靶场中各个节点的所述连接关系，构建节点拓扑结构图；

连通性检查模块：用于根据所述节点拓扑结构图，判断待进行连通性检查的节点是否连通，得到连通性检查结果。

第三方面，本申请提供了一种网络靶场中异构网络连通性检查设备，包括：

存储器：用于存储计算机程序；

处理器：用于执行所述计算机程序，以实现如上所述的网络靶场中异构网络连通性检查方法。

第四方面，本申请提供了一种可读存储介质，所述可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时用于实现如上所述的网络靶场中异构网络连通性检查方法。

本申请所提供的一种网络靶场中异构网络连通性检查方法，包括：遍历网络靶场中的节点，确定当前节点的实现技术类型，调用该实现技术类型的采集探针获取当前节点的端口列表；对于端口列表中的每个端口，调用采集探针确定通过该端口与当前节点相连接的目标节点，并记录当前节点与目标节点之间的连接关系；在网络靶场中的节点尚未完全遍历时，将目标节点作为当前节点，重复上述过程；在网络靶场中的节点已经完全遍历时，根据网络靶场中各个节点的所述连接关系，构建节点拓扑结构图；最终根据节点拓扑结构图，判断待进行连通性检查的节点是否连通，得到连通性检查结果。

可见，该方法将实现技术类型与采集节点绑定，对于每一个节点，自动使用相应的采集探针对节点信息进行发现收集，确定节点之间的连接关系，最终自动构建节点拓扑结构图，并根据节点拓扑结构图实现节点之间的连通性检查，避免了复杂拓扑的维护、信息查询、故障排除、结构分析的复杂过程，降低了技术门槛，显著提升了连通性检查效率。

此外，本申请还提供了一种网络靶场中异构网络连通性检查装置、设备及可读存储介质，其技术效果与上述方法的技术效果相对应，这里不再赘述。

附图说明

为了更清楚的说明本申请实施例或现有技术的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请所提供的一种网络靶场中异构网络连通性检查方法实施例一的流程图；

图2为本申请所提供的一种网络靶场中异构网络连通性检查方法实施例二中的节点数据结构示意图；

图3为本申请所提供的一种网络靶场中异构网络连通性检查方法实施例二中的网桥数据结构示意图；

图4为本申请所提供的一种网络靶场中异构网络连通性检查方法中的连接数据结构示意图；

图5为本申请所提供的一种网络靶场中异构网络连通性检查装置实施例的功能框图。

具体实施方式

本申请的核心是提供一种网络靶场中异构网络连通性检查方法、装置、设备及可读存储介质，实现了对节点信息进行自动化发现与收集，从而确定节点之间的连接关系，构建节点拓扑结构图，最终实现节点之间的连通性检查，避免了复杂的人工检查过程，降低了技术门槛，显著提升了连通性检查效率。

为了使本技术领域的人员更好地理解本申请方案，下面结合附图和具体实施方式对本申请作进一步的详细说明。显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

下面对本申请提供的一种网络靶场中异构网络连通性检查方法实施例一进行介绍，参见图1，实施例一包括：

S101、遍历网络靶场中的节点，确定当前节点的实现技术类型，调用所述实现技术类型的采集探针获取所述当前节点的端口列表；

S102、对于所述端口列表中的每个端口，调用所述实现技术类型的采集探针确定通过该端口与所述当前节点相连接的目标节点，并记录所述当前节点与所述目标节点之间的连接关系；

S103、在所述网络靶场中的节点尚未完全遍历时，将所述目标节点作为当前节点，进入S101；

S104、在所述网络靶场中的节点已经完全遍历时，根据所述网络靶场中各个节点的所述连接关系，构建节点拓扑结构图；

S105、根据所述节点拓扑结构图，判断待进行连通性检查的节点是否连通，得到连通性检查结果。

在网络靶场中，当使用多种底层虚拟化技术进行应用环境搭建时，就会涉及网络连通性检查。

在网络靶场中，往往涉及虚拟机、容器、传统网桥、SDN网络设备、物理安全硬件等实现技术完全不同的设备节点。为实现异构网络连通性检查，本实施例分别针对每种实现技术定义了采集探针，用以采集节点信息。具体的，预先注册多种实现技术类型的采集探针，在对节点进行信息采集时，首先根据该节点的实现技术类型确定对应的采集探针，然后利用该采集探针实现信息采集过程。

此外，本实施例定义了一种拓扑图数据结构，即上述节点拓扑结构图，用以描述各种网络实现的连接关系。节点拓扑结构图由节点和连接的数据结构组成，其中，节点数据结构用于存储各种网络实现的基本信息，每个节点会拥有一个节点ID用于区分不同节点。同时，每个节点将维护一个列表，称为端口列表。端口列表存储一种被称为端口的数据结构，每个端口拥有一个端口ID用于区分不同端口。

在节点拓扑结构图中，节点之间通过端口进行连接，当节点和外部其他设备发生连接关系时，连接数据结构记录了各个连接节点的关系。具体的，当节点的端口与其他节点的端口相连时，会使用一个连接数据结构记录连接中所涉及的节点ID以及端口ID。因此，上述记录所述当前节点与所述目标节点之间的连接关系的过程，包括：记录所述当前节点与所述目标节点之间的连接关系，其中所述连接关系包括所述当前节点的节点ID、所述当前节点的端口ID、所述目标节点的节点ID、所述目标节点的端口ID。

网络靶场的核心是仿真能力，目前主流的仿真实现有以kvm为代表的服务器虚拟化，以及利用namespace、cgroup等linux内核特性的容器技术。其中，kvm虚拟机的网络主流实现方式是使用tun设备/tap设备读写虚拟机进程的网络I/O，挂载到网桥或类似设备上后，实现虚拟机网络和现实网络互通。而容器技术使用linux namespace技术隔离容器间的网络，再使用veth设备将隔离的网络连接其他网络设备。

因此，在实现技术类型为虚拟机时，上述调用所述实现技术类型的采集探针获取所述当前节点的端口列表的过程，包括：调用虚拟机的采集探针，确定所述当前节点的全部端口，得到端口列表；对于所述端口列表中的每个端口，确定所述当前节点上通过该端口连接外部网络的tun设备/tap设备，将所述tun设备/tap设备的设备信息记录至所述端口列表。

在实现技术类型为容器时，上述调用所述实现技术类型的采集探针获取所述当前节点的端口列表的过程，包括：调用容器的采集探针，确定所述当前节点的全部端口，得到端口列表；对于所述端口列表中的每个端口，确定所述当前节点上通过该端口连接外部网络的veth设备，将所述veth设备的设备信息记录至所述端口列表。

可以理解的是，在记录连接关系时，没必要对记录重复的连接关系，因此，上述记录所述当前节点与所述目标节点之间的连接关系的过程，具体可以为：生成所述当前节点与所述目标节点之间的连接关系数据；判断连接关系集合是是否存在所述连接关系数据，若不存在，则将所述连接关系数据记录至所述连接关系集合。

最后，作为一种优选的实施方式，还可以赋予采集探针采集其他节点信息的功能，例如采集节点的运行状态、网络配置等信息，以供用户参考。

本实施例所提供一种网络靶场中异构网络连通性检查方法，将实现技术类型与采集节点绑定，对于每一个节点，自动使用相应的采集探针对节点信息进行发现收集，确定节点之间的连接关系，最终自动构建节点拓扑结构图，并根据节点拓扑结构图实现节点之间的连通性检查，避免了复杂拓扑的维护、信息查询、故障排除、结构分析的复杂过程，降低了技术门槛，显著提升了连通性检查效率。

下面开始详细介绍本申请提供的一种网络靶场中异构网络连通性检查方法实施例二。

本实施例以混合了kvm虚拟机网络和容器网络的场景为例，节点拓扑结构图包含各个虚拟机的信息，每个虚拟机可能拥有一个或多个tun设备/tap设备连接外部网络，因此本实施例在虚拟机节点的端口列表中存储tun设备/ta设备p相关的信息，例如设备名称、网络设置等之后可用于维护管理和故障排除的信息。最终虚拟机节点的存储的信息可以用图2表示。

节点连接外部网络时，目前的主流实现会接入linux网桥设备，因此网桥相关的信息也会在作为节点在拓扑中存储。网桥通过端口连接其他设备，因此每个port都会被存储为数据结构在网桥节点的端口列表中存储。网桥部分的实例可以用图3表示。

最终，当虚拟机通过接入网桥而连通网络时，本质是虚拟机的tun设备/tap设备接入到了网桥的端口中，此时使用一个Edge用于存储这一连接关系，具体数据可以如图4所示。

总之，连接数据结构存储了发生连接的节点ID和相关连接的端口ID。

综上所述，节点数据结构和连接数据结构并不受所使用的具体实现技术限制。在上面的例子中，如果把虚拟机换成容器，依然能使用节点和端口列表来存储其网络实现关键信息，事实上，在实现网络连通的方法中，不论何种技术，各节点间通过什么方式产生联系，都可以使用上述的拓扑结构进行描述。

基于以上，对于节点和连接关系的采集，本本实施例的具体实施过程如下：

S201、对于某一类型的节点，实现对应的采集探针，使之具备以下能力：

(1)对节点ID对节点的基础属性进行发现收集。

(2)对节点端口属性进行发现收集。

(3)使用收集的数据生成如图2所示的节点数据结构。

(4)对节点端口设备追踪，定位到端口连接到另一节点的ID和实现技术类型。

举例来说，对于虚拟机类型的节点，就要实现专门采集虚拟机信息的采集探针，能通过虚拟机ID收集到虚拟机运行状态、配置等信息，能发现虚拟机网卡、并将数据转换为节点数据结构。能够对网卡连接的设备进行查询，根据虚拟机网络实现原理，能够返回网卡对应的tap设备，和tap设备桥接为普通linux网桥还是是ovs网桥，并得到网桥的名称。

对于容器类型的探针，就需要能够基于容器ID发现容器的运行状态、镜像、namespace、veth设备等信息，并能够采集各veth的网络配置，各veth连接的网桥名称、类型。

S202、定义一个数据采集探针注册器，具备下属功能：

(1)注册采集探针：将采集探针和实现技术类型的查询关键字绑定并存储。

(2)探针获取：输入一种实现技术类型，返回针对该实现技术类型的采集探针。例如输入vm，返回虚拟机类型的探针。输入container，返回容器类型的探针。

S203、在排查靶场中构建的场景的网络问题时，使用上述装置和数据结构，进行下述步骤：

(1)假设场景中A节点与B节点出现网络连通问题。

(2)确定A节点的实现技术类型。

(3)从采集探针注册器中获取该类型的探针。

(4)运行探针的功能，发现A的信息和端口。

(5)对于A的每一个端口，使用探针的功能确定端口连接的设备ID、类型，假设发现A连接了C。

(6)对于C的类型，从探针注册器中获取C类型探针，回到(2)对其属性进行发现。

(7)重复上述过程，不断发现设备间的连接关系，直到绘制出节点拓扑结构图。

(8)在形成的拓扑结构中寻找节点B，若不存在说明网络不可达。将绘制的拓扑和靶场实际要构建的场景进行比对，就能发现网络构建中不一致的部分，定位到网络故障。同样，通过记录便利过程中被重复访问的节点，就能辅助定位场景网络中可能的环路问题。

可见，本实施例提供的一种网络靶场中异构网络连通性检查方法，用于管理各种异构网络技术间的衔接关系，最终用于定位连通问题中的故障点。具体的，使用具有通用性和扩展性的结构描述网络中的各种设备和其对应的连接关系，利用采集探针对节点信息进行发现收集，通过注册机制将采集探针和实现技术类型进行绑定，在沿路径发现设备时，自动根据发现的设备类型切换探针，最终基于采集探针收集的信息生成拓扑图结构。利用图的结构特点在形成的拓扑结构图中应用算法或其他过程进行信息获取，故障排查，数据分析等操作。

显著降低了复杂拓扑的维护、信息查询、故障排除、结构分析的复杂度，提升了效率，降低相关操作人员的技术门槛。此外，在需要新增实现技术类型时，仅需注册新的采集探针，不需要调整原有的实现步骤。

下面对本申请实施例提供的一种网络靶场中异构网络连通性检查装置进行介绍，下文描述的一种网络靶场中异构网络连通性检查装置与上文描述的一种网络靶场中异构网络连通性检查方法可相互对应参照。

如图5所示，本实施例的网络靶场中异构网络连通性检查装置，包括：

端口采集模块501：用于遍历网络靶场中的节点，确定当前节点的实现技术类型，调用所述实现技术类型的采集探针获取所述当前节点的端口列表；

连接关系记录模块502：用于对于所述端口列表中的每个端口，调用所述实现技术类型的采集探针确定通过该端口与所述当前节点相连接的目标节点，并记录所述当前节点与所述目标节点之间的连接关系；

循环模块503：用于在所述网络靶场中的节点尚未完全遍历时，将所述目标节点作为当前节点，进入所述端口采集模块；

拓扑图生成模块504：用于在所述网络靶场中的节点已经完全遍历时，根据所述网络靶场中各个节点的所述连接关系，构建节点拓扑结构图；

连通性检查模块505：用于根据所述节点拓扑结构图，判断待进行连通性检查的节点是否连通，得到连通性检查结果。

本实施例的网络靶场中异构网络连通性检查装置用于实现前述的网络靶场中异构网络连通性检查方法，因此该装置中的具体实施方式可见前文中的网络靶场中异构网络连通性检查方法的实施例部分，例如，端口采集模块501、连接关系记录模块502、循环模块503、拓扑图生成模块504、连通性检查模块505，分别用于实现上述网络靶场中异构网络连通性检查方法中步骤S101，S102，S103，S104，S105。所以，其具体实施方式可以参照相应的各个部分实施例的描述，在此不再展开介绍。

另外，由于本实施例的网络靶场中异构网络连通性检查装置用于实现前述的网络靶场中异构网络连通性检查方法，因此其作用与上述方法的作用相对应，这里不再赘述。

此外，本申请还提供了一种网络靶场中异构网络连通性检查设备，包括：

存储器：用于存储计算机程序；

处理器：用于执行所述计算机程序，以实现如上文所述的网络靶场中异构网络连通性检查方法。

最后，本申请提供了一种可读存储介质，所述可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时用于实现如上文所述的网络靶场中异构网络连通性检查方法。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上对本申请所提供的方案进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims

1.一种网络靶场中异构网络连通性检查方法，其特征在于，包括：

S1、遍历网络靶场中的节点，确定当前节点的实现技术类型，调用所述实现技术类型的采集探针获取所述当前节点的端口列表；其中，多种实现技术类型包括容器和虚拟机；

2.如权利要求1所述的方法，其特征在于，在所述调用所述实现技术类型的采集探针获取所述当前节点的端口列表之前，还包括：

注册多种实现技术类型的采集探针。

3.如权利要求2所述的方法，其特征在于，在所述实现技术类型为虚拟机时，所述调用所述实现技术类型的采集探针获取所述当前节点的端口列表，包括：

4.如权利要求2所述的方法，其特征在于，在所述实现技术类型为容器时，所述调用所述实现技术类型的采集探针获取所述当前节点的端口列表，包括：

5.如权利要求1所述的方法，其特征在于，所述记录所述当前节点与所述目标节点之间的连接关系，包括：

6.如权利要求5所述的方法，其特征在于，所述记录所述当前节点与所述目标节点之间的连接关系，包括：

生成所述当前节点与所述目标节点之间的连接关系数据；

判断连接关系集合是否存在所述连接关系数据，若不存在，则将所述连接关系数据记录至所述连接关系集合。

7.如权利要求1-6任意一项所述的方法，其特征在于，在所述调用所述实现技术类型的采集探针获取所述当前节点的端口列表之后，还包括：

8.一种网络靶场中异构网络连通性检查装置，其特征在于，包括：

端口采集模块：用于遍历网络靶场中的节点，确定当前节点的实现技术类型，调用所述实现技术类型的采集探针获取所述当前节点的端口列表；其中，多种实现技术类型包括容器和虚拟机；

9.一种网络靶场中异构网络连通性检查设备，其特征在于，包括：

存储器：用于存储计算机程序；

处理器：用于执行所述计算机程序，以实现如权利要求1-7任意一项所述的网络靶场中异构网络连通性检查方法。

10.一种可读存储介质，其特征在于，所述可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时用于实现如权利要求1-7任意一项所述的网络靶场中异构网络连通性检查方法。