CN113364778B - 一种报文处理方法及装置 - Google Patents

Abstract

本发明提供一种报文处理方法及装置，所述方法包括：识别接收到的第一带内网络监控INT报文，记录第一元数据；剥除第一INT报文的INT头以及第一元数据，依据本网络设备对第一业务报文的转发信息确定第二元数据，记录第二元数据，并通过第二端口将第一业务报文发送给安全设备；当通过第三端口接收到安全设备处理后的第一业务报文时，依据安全设备对第一业务报文的转发信息确定第三元数据；在第一业务报文中插入INT头、第一元数据、第二元数据以及第三元数据，并依据本网络设备对第二INT报文的转发信息确定第四元数据，在第二INT报文中插入第四元数据，并发送给下一跳网络设备。应用本发明实施例可以扩展INT的适用场景。

Description

一种报文处理方法及装置

技术领域

本发明涉及网络通信技术领域，尤其涉及一种报文处理方法及装置。

背景技术

在数字化社会中，各种数据上云，数据中心网络、园区网络、广域网(Wide AreaNetwork，简称WAN网络)是承载当前各种业务的基础转发设施。而各种数据上云，用于实现数据的安全防护的安全设备成为网络设备之外的必要设施。

为了保障用户体验，业界为监控网络上业务转发状态而提出带内网络监控(In-band Network Telemetry，简称INT)的方案，也即对真实的业务流报文，采样添加沿途设备的转发端口、队列、时间戳等信息，以统计分析业务流在网络各个转发点上的时延、丢包、拥塞等情况。

但是安全设备会识别正常往来的业务报文，对有过变更和改装的业务报文都认为是非法攻击包，并作告警+丢弃等处理，导致INT报文进行安全设备时会被确定为非法报文而丢弃，从而导致监控中断。

如何在业务流量经过安全设备的场景下实现INT成为一个亟待解决的技术问题。

发明内容

有鉴于此，本发明提供一种报文处理方法及装置，以解决传统方案无法在业务流量经过安全设备的场景下实现INT的问题。

第一方面，本发明提供一种报文处理方法，应用于带内网络遥测系统中的网络设备，当所述网络设备为旁挂安全设备的中间节点时，所述方法包括：

识别从第一端口接收到的第一带内网络监控INT报文，记录该第一INT报文中携带的第一元数据；其中，所述第一端口为所述网络设备上连接上一跳网络设备的端口；

剥除所述第一INT报文的INT头以及所述第一元数据，得到第一业务报文，依据本网络设备对所述第一业务报文的转发信息确定第二元数据，记录所述第二元数据，并通过所述第二端口将所述第一业务报文发送给所述安全设备；

当通过第三端口接收到所述安全设备处理后的所述第一业务报文时，依据所述安全设备对所述第一业务报文的转发信息确定第三元数据；

在所述第一业务报文中插入INT头、所述第一元数据、所述第二元数据以及所述第三元数据，得到第二INT报文，并依据本网络设备对所述第二INT报文的转发信息确定第四元数据，在所述第二INT报文中插入所述第四元数据，并通过第四端口发送给下一跳网络设备。

第二方面，本发明提供一种报文处理装置，应用于带内网络遥测系统中的网络设备，所述装置包括：报文收发单元、记录单元以及报文处理单元；其中，当所述网络设备为旁挂安全设备的中间节点时：

所述报文收发单元，用于识别从第一端口接收到的第一带内网络监控INT报文；其中，所述第一端口为所述网络设备上连接上一跳网络设备的端口；

所述记录单元，用于记录该第一INT报文中携带的第一元数据；

所述报文处理单元，用于剥除所述第一INT报文的INT头以及所述第一元数据，得到第一业务报文，依据本网络设备对所述第一业务报文的转发信息确定第二元数据；

所述记录单元，还用于记录所述第二元数据；

所述报文收发单元，还用于通过所述第二端口将所述第一业务报文发送给所述安全设备；

所述报文收发单元，还用于通过第三端口接收到所述安全设备处理后的业务报文；

所述报文处理单元，还用于当所述报文收发单元通过第三端口接收到所述安全设备处理后的所述第一业务报文时，依据所述安全设备对所述第一业务报文的转发信息确定第三元数据；

所述报文处理单元，还用于在所述第一业务报文中插入INT头、所述第一元数据、所述第二元数据以及所述第三元数据，得到第二INT报文，并依据本网络设备对所述第二INT报文的转发信息确定第四元数据，在所述第二INT报文中插入所述第四元数据；

所述报文收发单元，还用于通过第四端口发送给下一跳网络设备。

应用本发明公开的技术方案，通过旁挂安全设备的网络节点在接收到INT报文时，记录INT报文中携带的元数据以及本网络设备针对该INT报文生成的元数据，并将剥除INT报文的INT头以及元数据得到的业务报文发送给安全设备，由安全设备对业务报文进行处理，当接收到安全设备返回的处理后的业务报文时，依据安全设备对业务报文的转发信息生成对应的元数据，并将该业务报文重新封装为INT报文发送给下一跳网络设备，在业务流量经过安全设备的场景下实现了INT，扩展了INT的适用场景，且实现了针对安全设备处理的遥测信息的获取，提高了数据的全面性。

附图说明

图1是本发明实施例提供的一种报文处理方法的流程示意图；

图2是本发明实施例提供的一种具体应用场景的结构示意图；

图3A是本发明实施例提供的一种传统INT报文转发的示意图；

图3B是本发明实施例提供的一种INT报文转发的示意图；

图4是本发明实施例提供的另一种具体应用场景的结构示意图；

图5是本发明实施例提供的一种INT报文转发的示意图；

图6是本发明实施例提供的一种报文处理装置的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明实施例的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明实施例中技术方案作进一步详细的说明。

请参见图1，为本发明实施例提供的一种报文处理方法的流程示意图，其中，该报文处理方法可以应用于带内网络遥测系统中的网络设备，如交换设备，如图1所示，当该网络设备为旁挂安全设备的中间节点时，该报文处理方法可以包括：

需要说明的是，本发明实施例中各步骤的序号大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。

步骤101、识别从第一端口接收到的第一带内网络监控INT报文，记录该第一INT报文中携带的第一元数据。

步骤102、剥除第一INT报文的INT头以及第一元数据，得到第一业务报文，依据本网络设备对第一业务报文的转发信息确定第二元数据，记录第二元数据，并通过第二端口将第一业务报文发送给安全设备。

本发明实施例中，第一INT报文并不特指某一固定的INT报文，而是可以指代网络设备从第一端口接收到的任一INT报文。

其中，第一端口为网络设备与上一跳网络设备连接的端口。

本发明实施例中，为了避免INT报文被安全设备认为是非法报文而丢弃，当网络设备接收到INT报文时，在将INT报文发送给安全设备之前，可以剥除INT报文INT头以及INT报文中携带的元数据(Meta Data，简称MD)，并将得到的业务报文发送给安全设备，由安全设备进行处理。

而为了保证元数据能够被正常发送给下一跳网络设备，实现带内网络监控，网络设备可以记录该INT报文中携带的元数据。

相应地，当网络设备从第一端口接收到第一INT报文时，网络设备可以记录该第一INT报文中携带的元数据(本文中称为第一元数据)。

其中，网络设备可以依据INT报文的INT头中的特定标签识别出INT报文。

其中，第一元数据可以包括一个或多个元数据。

需要说明的是，若未特殊说明，本发明实施例中提及的网络设备均指支持INT技术的网络设备。

相应地，网络设备从第一端口接收到第一INT报文时，还可以剥除该第一INT报文的INT头以及第一元数据，得到对应的业务报文(本文中称为第一业务报文)，将第一业务报文通过第二端口发送给安全设备。

网络设备还可以依据本网络设备对第一业务报文的转发信息，将与本网络设备对第一业务报文的转发信息对应的遥测信息封装为元数据(本文中称为第二元数据)，并记录该第二元数据。

其中，第二端口为网络设备上连接安全设备的端口。

示例性的，转发信息可以包括但不限于报文的接收信息(如入端口的端口号、接收缓存队列信息、接收时间戳信息)、报文的发送信息(如出端口的端口号、发送缓存队列信息、发送时间戳信息)，以及网络设备的设备标识信息等。

遥测信息可以包括转发信息中的部分信息或全部信息。

例如，交换设备可以根据遥测指令，将本交换设备对INT报文的转发信息中的部分或全部信息作为遥测信息，封装为元数据。

示例性的，遥测指令可以携带在INT报文的INT头(INT Header)中。

需要说明的是，上述报文的发送时间戳信息可以为所确定可以对发送缓存队列中的报文进行调度的时间。

例如，当网络设备在时间T1确定可以对发送缓存队列中的报文1进行调度时，可以依据时间T1生成报文1的发送时间戳。

示例性的，网络设备对第一业务报文的接收信息可以为网络设备接收到第一INT报文的端口的端口号、接收缓存队列以及接收时间戳。

步骤103、当通过第三端口接收到安全设备处理后的第一业务报文时，依据安全设备对第一业务报文的转发信息确定第三元数据。

本发明实施例中，安全设备接收到网络设备发送的第一业务报文时，可以按照预设的安全处理策略对该第一业务报文进行处理，并将处理后的第一业务报文发回给网络设备。

当网络设备通过第三端口接收到安全设备处理后的第一业务报文时，可以依据安全设备对第一业务报文的转发信息，将安全设备对第一业务报文的转发信息对应的遥测信息封装为元数据(本文中称为第三元数据)。

其中，第三端口为网络设备上连接安全设备的端口。

示例性的，当网络设备通过单个端口与安全设备连接，即安全设备单臂旁挂网络设备时，上述第二端口与上述第三端口为同一端口。

当网络设备通过两个端口与安全设备连接，即安全设备双臂旁挂网络设备时，上述第二端口与上述第三端口为不同端口。其中，网络设备通过第二端口向安全设备发送报文，通过第三端口接收安全设备返回的报文。

步骤104、在第一业务报文中插入INT头、第一元数据、第二元数据以及第三元数据，得到第二INT报文，并依据本网络设备对第二INT报文的转发信息确定第四元数据，在第二INT报文中插入第四元数据，并通过第四端口发送给下一跳网络设备。

本发明实施例中，网络设备可以对第一业务报文重新进行INT封装，在第一业务报文中插入INT头、第一元数据、第二元数据以及第三元数据，得到对应的INT报文(本文中称为第二INT报文)，并依据本网络设备对第二INT报文的转发信息，将与本网络设备对第二INT报文的转发信息对应的遥测信息封装为对应的元数据(本文中称为第四元数据)。

示例性的，本网络设备对第二INT报文的转发信息可以包括第三端口对第一业务报文的接收信息(入端口的端口号、接收缓存队列信息以及接收时间戳信息)、第四端口对第二INT报文的发送信息(出端口的端口号、发送缓存队列信息以及发送时间戳信息)以及本网络设备的设备标识信息等。

本发明实施例中，网络设备可以将第四元数据插入第二INT报文，并通过第四端口发送给下一跳网络设备。

可见，在图1所示方法流程中，通过旁挂安全设备的网络节点在接收到INT报文时，记录INT报文中携带的元数据以及本网络设备针对该INT报文生成的元数据，并将剥除INT报文的INT头以及元数据得到的业务报文发送给安全设备，由安全设备对业务报文进行处理，当接收到安全设备返回的处理后的业务报文时，依据安全设备对业务报文的转发信息生成对应的元数据，并将该业务报文重新封装为INT报文发送给下一跳网络设备，在业务流量经过安全设备的场景下实现了INT，扩展了INT的适用场景，且实现了针对安全设备处理的遥测信息的获取，提高了数据的全面性。

在一些实施例中，在步骤103中，依据安全设备对第一业务报文的转发信息确定第三元数据，可以包括：

依据第二端口对第一业务报文的发送信息，以及第三端口对第一业务报文的接收信息，确定第三元数据。

在该实施例中，考虑到安全设备通常不支持INT技术，即一般无法通过安全设备获取安全设备对业务报文进行处理的遥测信息，因此，针对安全设备对业务报文的处理，可以依据安全设备旁挂的网络设备对安全设备处理前后的业务报文的收发信息，来确定对应的遥测信息。

示例性的，可以网络设备的第二端口对第一业务报文的发送信息(如出端口的端口号、发送缓存队列信息、发送时间戳等)、以及第三端口对第一业务报文(安全设备处理后的第一业务报文)的接收信息(如入端口的端口号、接收缓存队列信息、接收时间戳等)，作为安全设备对第一业务报文的转发信息，依据第二端口对第一业务报文的发送信息，以及第三端口对第一业务报文的接收信息，将对应的遥测信息封装为第三元数据。

在一些实施例中，记录该第一INT报文中携带的第一元数据信息，可以包括：

记录第一元数据信息与第一报文特征信息的关联关系；第一报文特征信息用于唯一标识第一业务报文；

记录第二元数据信息，可以包括：

记录第二元数据信息与第一报文特征信息的关联关系；

上述通过第三端口接收安全设备处理后的第一业务报文，可以包括：

依据第一报文特征信息，从通过第三端口接收到的业务报文中，确定出与第一报文特征信息匹配的第一业务报文。

在该实施例中，考虑到对于旁挂安全设备的中间节点，其需要将INT报文的INT头和元数据剥除后，将业务报文发送给安全设备；而对于安全设备返回的处理后的业务报文，需要重新进行INT封装，即对INT报文进行分段处理，为了保证信息的一致性，保证分段分析的是同一报文，网络设备记录元数据时，可以关联业务报文的报文特征信息进行记录，即记录元数据与报文特征信息的关联关系。

其中，报文特征信息用于唯一标识业务报文，其可以包括但不限于源IP地址、目的IP地址、TCP-syn(Synchronize Sequence Numbers，同步序列编号)、TCP端口号以及TCP序列号等特征信息中的部分或全部。

相应地，网络设备记录第一元数据可以包括记录第一元数据与第一业务报文的报文特征信息(本文中称为第一报文特征信息)的关联关系；

网络设备记录第二元数据可以包括记录第二元数据与第一报文特征信息的关联关系。

网络设备将第一业务报文发送给安全设备之后，对于通过第三端口接收到的安全设备返回的业务报文，可以比较第一报文特征信息与接收到的业务报文，并将与第一报文特征信息匹配的业务报文，确定为第一业务报文，并依据记录的第一元数据、第二元数据，重新对第一业务报文进行INT封装。

在一个示例中，依据第一报文特征信息，从通过第三端口接收到的业务报文中，确定出与第一报文特征信息匹配的第一业务报文，可以包括：

将在预设时间内通过第三端口接收到，且与第一报文特征信息匹配的两个业务报文中，接收时间较晚的其中一个业务报文确定为第一业务报文。

在该示例中，考虑到INT报文是由带内网络遥测系统中的源节点对于采样方式匹配的业务报文进行镜像得到镜像业务报文后，进行INT封装得到的。源节点得到INT报文后，会分别向下一跳发送原始业务报文和INT报文。

因此，对于第一INT报文，旁挂安全设备的中间节点发送给安全设备的业务报文可以包括第一INT报文对应的原始业务报文，以及剥除INT头和元数据得到的第一业务报文。

同理，旁挂安全设备的中间节点接收到的安全设备返回的业务报文也会存在两个与第一报文特征信息匹配的业务报文。

由于旁挂安全设备的中间节点将第一INT报文对应的原始业务报文，以及剥除INT头和元数据得到的第一业务报文发送给安全设备的发送时间会存在差异，且安全设备处理后返回的业务报文被该中间节点接收到的接收时间也会存在差异，为了保证遥测信息的准确性，网络设备需要对安全设备处理后的第一业务报文(剥除INT头和元数据得到)进行后续的INT处理。

此外，考虑到旁挂安全设备的中间节点将第一INT报文对应的原始业务报文，以及剥除INT头和元数据得到的第一业务报文发送给安全设备的发送时间之间的差异通常不会太大(一般为几百ns到几ms)，因此，安全设备处理后返回的业务报文被该中间节点接收到的接收时间的差异也不会太大。

相应地，在该示例中，考虑到INT报文的收发涉及到INT的相关处理，因此，其发送给安全设备以及从安全设备返回均会晚于原始业务报文，因此，可以将在预设时长(如1ms)内通过第三端口接收到，且与第一报文特征信息匹配的两个业务报文中，接收时间较晚的其中一个业务报文确定为第一业务报文，并按照上述实施例中描述的方式重新封装为INT报文。

在一些实施例中，当网络设备为旁挂安全设备的源节点时，本发明实施例提供的报文处理方法可以包括：

对从第五端口接收到的与预设采样方式匹配的业务报文进行镜像，得到镜像业务报文；

依据本网络设备对该镜像业务报文的转发信息确定第五元数据，记录第五元数据，并通过第六端口将该镜像业务报文发送给安全设备；

当通过第七端口接收到安全设备处理后的镜像业务报文时，依据安全设备对该镜像业务报文的转发信息确定第六元数据；

在该镜像业务报文中插入INT头、第五元数据以及第六元数据，得到第三INT报文，并依据本网络设备对第三INT报文的转发信息确定第七元数据，在第三INT报文中插入第七元数据，并通过第八端口发送给下一跳网络设备。

示例性的，第五端口为网络设备上连接客户端的端口。

在该实施例中，当网络设备作为带内网络遥测系统中的源节点，且旁挂有安全设备时，网络设备可以依据预设的采样方式对从第五端口接收到的业务报文进行匹配，并将与该预设采样方式匹配的业务报文进行镜像，得到镜像业务报文，并依据本网络设备对该镜像业务报文的转发信息，将与该转发信息对应的遥测信息封装为元数据(本文中称为第五元数据)。

为了避免INT报文被安全设备识别为非法报文而丢弃，网络设备在将镜像业务报文发送给安全设备时，不会进行INT封装，而是会记录第五元数据，例如，记录第五元数据与该镜像业务报文的报文特征信息之间的关联关系，并将镜像报文通过第六端口发送给安全设备。

其中，第六端口为网络设备上连接安全设备的端口。

在该实施例中，安全设备接收到网络设备发送的镜像业务报文时，会按照预设安全策略对该镜像业务报文进行处理，并将处理后的镜像业务报文发送给网络设备。

网络设备通过第七端口接收到安全设备处理后的镜像业务报文时，可以依据安全设备对镜像业务报文的转发信息，将与该转发信息对应的遥测信息封装为元数据(本文中称为第六元数据)，在该镜像业务报文中插入INT头、第五元数据以及第六元数据，得到对应的INT报文(本文中称为第三INT报文)，并依据本网络设备对第三INT报文的转发信息，将与该转发信息对应的遥测信息封装为元数据(本文中称为第七元数据)，在第三INT报文中插入第七元数据，并通过第八端口发送给下一跳网络设备，其具体实现方式可以参见上文中网络设备对安全设备处理后的第一业务报文的处理流程，本发明实施例在此不做赘述。

其中，第七端口为网络设备上连接安全设备的端口。

示例性的，当网络设备通过单个端口与安全设备连接，即安全设备单臂旁挂网络设备时，上述第六端口与上述第七端口为同一端口。

当网络设备通过两个端口与安全设备连接，即安全设备双臂旁挂网络设备时，上述第六端口与上述第七端口为不同端口。其中，网络设备通过第六端口向安全设备发送报文，通过第七端口接收安全设备返回的报文。

其中，第八端口为网络设备上连接下一跳网络设备的端口。

在一些实施例中，当网络设备为旁挂安全设备的尾节点时，本发明实施例提供的报文处理方法可以包括：

识别从第九端口接收到的第四INT报文，记录第四INT报文中携带的第八元数据；

剥除第四INT报文的INT头以及第八元数据，得到第二业务报文，依据本网络设备对第二业务报文的转发信息确定第九元数据，记录第九元数据，并通过第十端口将第二业务报文发送给安全设备；

当通过第十一端口接收到安全设备处理后的第二业务报文时，依据安全设备对第二业务报文的转发信息确定第十元数据；

在第二业务报文中插入INT头、第八元数据、第九元数据以及第十元数据，得到第五INT报文，并依据本网络设备对第五INT报文的转发信息确定第十一元数据，将第十一元数据插入第五INT报文；

提取第八元数据、第九元数据、第十元数据以及第十一元数据，发送给遥测服务器，并丢弃第五INT报文。

示例性的，第九端口为网络设备上连接上一跳网络设备的端口。

在该实施例中，当网络设备作为带内网络遥测系统的尾节点，且旁挂有安全设备时，该网络设备可以识别从第九端口接收到的INT报文。

对于网络设备从第九端口接收到的任一INT报文(本文中称为第四INT报文)，网络设备可以记录该第四INT报文中携带的元数据(本文中称为第八元数据)。

网络设备还可以剥除第四INT报文的INT头以及第九元数据，得到对应的业务报文(本文中称为第二业务报文)，依据本网络设备对第二业务报文的转发信息，将与该转发信息对应的遥测信息封装为元数据(本文中称为第九元数据)，记录第九元数据，并通过第十端口将第二业务报文发送给安全设备。

网络设备通过十一端口接收到安全设备处理后的第二业务报文时，依据安全设备对第二业务报文的转发信息，将与该转发信息对应的遥测信息封装为元数据(本文中称为第十元数据)，其具体实现方式可以参见上述方法实施例中描述的网络设备对第一INT报文的相关处理流程，本发明实施例在此不做赘述。

其中，第十端口和第十一端口为网络设备上连接安全设备的端口。

示例性的，当网络设备通过单个端口与安全设备连接，即安全设备单臂旁挂网络设备时，上述第十端口与上述第十一端口为同一端口。

当网络设备通过两个端口与安全设备连接，即安全设备双臂旁挂网络设备时，上述第十端口与上述第十一端口为不同端口。其中，网络设备通过第十端口向安全设备发送报文，通过第十一端口接收安全设备返回的报文。

在该实施例中，网络设备可以在第二业务报文中插入INT头、第八元数据、第九元数据以及第十元数据，得到对应的INT报文(本文中称为第五INT报文)，并依据本网络设备对第五INT报文的转发信息，将与该转发信息对应的遥测信息封装为元数据(本文中称为第十一元数据)，将第十一元数据插入第五INT报文。

由于网络设备为带内网络遥测系统的尾节点，因此，该网络设备可以针对第五INT报文进行报文发送的调度，例如，进行查找的操作，并接收缓存队列空闲时，确定需要对该报文进行发送调度等，但并不需要对第五INT报文进行实际转发。网络设备可以提取第五INT报文中携带的第八元数据、第九元数据、第十元数据以及第十一元数据，并将所提取的元数据发送给遥测服务器进行分析，而对于提取元数据后的第五INT报文，则可以进行丢弃处理。

其中，网络设备对第五INT报文的转发信息中的发送时间戳可以为网络设备接收缓存队列空闲，确定需要对第五INT报文进行发送调度时的时间对应的时间戳。

为了使本领域技术人员更好地理解本发明实施例提供的技术方案，下面结合具体应用场景对本发明实施例提供的技术方案进行说明。

实施例一

请参见图2，为本发明实施例提供的一种具体应用场景的架构示意图，如图2所示，该应用场景中，带内网络遥测系统中包括网络设备1～网络设备5，网络设备1为源节点，网络设备3为尾节点，网络设备2、网络设备4以及网络设备5为中间节点，安全设备以单臂旁挂的方式旁挂于网络设备2，网络设备2通过端口2/1与安全设备连接。

网络设备1通过端口1/1连接客户端(client)，网络设备3通过端口3/1连接服务器(server)。

客户端发往服务器的业务报文的转发路径为依次通过网络设备1→网络设备4→网络设备2→安全设备→网络设备2→网络设备5→网络设备3，最终到达服务器。

由于安全设备会将INT报文识别为非法报文而丢弃，因此，若转发过程中均以INT报文的形式转发，则INT报文到达安全设备时会被丢弃，无法实现INT，其示意图可以如图3A所示。

考虑到上述问题，针对图2所示的业务流量经过安全设备的场景，本发明实施例中的INT实现方案如下：

在该实施例中，可以将端到端的INT进行分段，再进行多段拼接。

其中，如图3B所示，对于图2所示场景，INT报文的转发被分为3段：网络设备1→网络设备4→网络设备2、网络设备2→安全设备→网络设备2、网络设备2→网络设备5→网络设备3。

其中，第1段和第3段转发的为INT报文，第2段转发的为剥除INT报文的INT头和元数据(即MD信息)得到的业务报文。

其中，虽然第2段无INT封装信息，但网络设备2可以获知报文从本地接口发出去的时间、以及(在安全设备处理后)从本地接口收到的时间，由此可以获得网络设备2旁挂的安全设备的处理时延，加上该报文在本地出入接口、队列的信息，封装为元数据，携带在INT报文中向下一跳网络设备(即网络设备5)进行转发。

在该实施例中，为了确保分段分析的是同一个报文，各段采样及分析时通过多维度的报文特征信息进行报文匹配，该报文特征信息可以包括：源IP、目的IP、TCP-syn、TCPport以及TCP序列号。

下面对报文的具体处理流程进行说明：

1、源节点-网络设备1：依据预设采样方式识别匹配的业务报文，对识别到的与该采样方式匹配的业务报文进行镜像，得到镜像业务报文，并添加INT头，以及本设备的MD1。

其中，MD1可以依据网络设备1通过端口1/1对该业务报文的接收信息，以及通过端口1/2对该业务报文对应的INT报文的发送信息确定，如报文从端口1/1到端口1/2的时延和队列等信息(下同)。

2、中间节点-网络设备4：识别INT报文，添加本设备的MD2。

其中，MD2可以依据网络设备4通过端口4/1对该INT报文的接收信息，以及通过端口4/2对该INT报文的发送信息确定。

3、旁挂安全的中间节点-网络设备2：

3.1、对于通过接口2/2接收到的报文，识别INT报文，记录INT报文中携带的MD信息(包括MD1和MD2)，以及确定并记录本设备的MD3。

其中，MD3可以依据网络设备2通过端口2/2对INT报文的接收信息，以及通过端口2/1(连接安全设备的端口)对剥除INT头和MD得到的业务报文的发送信息确定。

3.2、将剥除INT头和MD得到的业务报文通过端口2/1发送给安全设备，并依据端口2/1对该业务报文的发送信息，以及端口2/1对安全设备处理后的业务报文的接收信息，确定MD4。

3.3、对安全设备处理后的业务报文重新添加INT头，并插入所记录的MD信息(包括MD1、MD2以及MD3)和MD4，得到新的INT报文，并确定本设备的MD5，将MD5插入新的INT报文，通过端口2/3发送给网络设备5。

其中，MD5可以依据网络设备2通过端口2/1对安全设备处理后的业务报文的接收信息，以及通过端口2/3对插入MD5的INT报文的发送信息确定。

4、中间节点-网络设备5：识别INT报文，添加本设备的MD6。

其中，MD6可以依据网络设备5通过端口5/1对该INT报文的接收信息，以及通过端口5/2对该INT报文的发送信息确定。

5、尾节点-网络设备3：识别INT报文，添加本设备的MD7，并将完整的MD信息(包括MD1～MD7)发送给遥测服务器进行分析。

其中，MD7可以依据网络设备3通过端口3/2对该INT报文的接收信息，以及通过端口3/1对该INT报文的发送信息确定。

实施例二

请参见图4，为本发明实施例提供的另一种具体应用场景的架构示意图，如图4所示，该应用场景中，带内网络遥测系统中包括网络设备1～网络设备6，网络设备1为源节点，网络设备3为尾节点，网络设备2、网络设备4以及网络设备5为中间节点，安全设备1和安全设备2分别以单臂旁挂的方式旁挂于网络设备1和网络设备2，网络设备1通过端口1/2与安全设备1连接，网络设备3通过端口3/1与安全设备2连接。

网络设备1通过端口1/1连接客户端，网络设备3通过端口3/2连接服务器。

客户端发往服务器的业务报文的转发路径为依次通过网络设备1→安全设备1→网络设备1→网络设备4→网络设备2→网络设备5→网络设备3→安全设备2→网络设备3，最终到达服务器。

针对图4所示的业务流量经过安全设备的场景，本发明实施例中的INT实现方案如下：

在该实施例中，可以将端到端的INT进行分段，再进行多段拼接。

其中，如图5所示，对于图4所示场景，INT报文的转发被分为5段：客户端→网络设备1、网络设备1→安全设备1→网络设备1、网络设备1→网络设备4→网络设备2→网络设备5→网络设备3、网络设备3→安全设备2→网络设备3、网络设备3→服务器。

在该实施例中，为了确保分段分析的是同一个报文，各段采样及分析时通过多维度的报文特征信息进行报文匹配，该报文特征信息可以包括：源IP、目的IP、TCP-syn、TCPport以及TCP序列号。

下面对报文的具体处理流程进行说明：

1、旁挂安全设备的源节点-网络设备1：

1.1、依据预设采样方式识别匹配的业务报文，对识别到的与该采样方式匹配的业务报文进行镜像，得到镜像业务报文，确定并记录本设备的MD1(端口1/1～端口1/2)。

1.2、将镜像业务报文通过端口1/2发送给安全设备1，并依据端口1/2对该镜像业务报文的发送信息，以及端口1/2对安全设备1处理后的镜像业务报文的接收信息，确定MD2(端口1/2～端口1/2)。

1.3、对安全设备处理后的镜像业务报文添加INT头，并插入所记录的MD信息(包括MD1和MD2)，得到新的INT报文，并确定本设备的MD3(端口1/2～端口1/3)，将MD3插入INT报文后，通过端口1/3发送给网络设备4。

2、中间节点-网络设备4：识别INT报文，添加本设备的MD4(端口4/1～端口4/2)。

3、中间节点-网络设备2：识别INT报文，添加本设备的MD5(端口2/1～端口2/2)。

4、中间节点-网络设备5：识别INT报文，添加本设备的MD6(端口5/1～端口5/2)。

5、旁挂安全的尾节点-网络设备3：

5.1、对于通过端口3/3接收到的报文，识别INT报文，记录该INT报文中携带的MD信息(包括MD1～MD6)，以及确定并记录本设备的MD7(端口3/3～端口3/1)。

5.2、将剥除INT头和MD得到的业务报文通过端口3/1发送给安全设备2，并依据端口3/1对该业务报文的发送信息，以及端口3/1对安全设备处理后的业务报文的接收信息，确定MD8(端口3/1～端口3/1)。

5.3、对安全设备处理后的业务报文插入INT头，MD1～M8，得到新的INT报文，并确定本设备的MD9(端口3/1～端口3/2)，将MD9插入新的INT报文。

5.4、提取完整的MD信息(包括MD1～MD9)，发送给遥测服务器，并丢弃该INT报文。

需要说明的是，对于在物理通道上作业务层封装的报文转发场景，如虚拟扩展局域网(Virtual Extensible Local Area Network，简称VXLAN)封装，因INT封装在VXLAN外层，并不影响整体的拼接流程，即报文转发流程与上述实施例中描述的类似，本发明实施例对此不做赘述。

通过以上描述可以看出，在本发明实施例提供的技术方案中，通过旁挂安全设备的网络节点在接收到INT报文时，记录INT报文中携带的元数据以及本网络设备针对该INT报文生成的元数据，并将剥除INT报文的INT头以及元数据得到的业务报文发送给安全设备，由安全设备对业务报文进行处理，当接收到安全设备返回的处理后的业务报文时，依据安全设备对业务报文的转发信息生成对应的元数据，并将该业务报文重新封装为INT报文发送给下一跳网络设备，在业务流量经过安全设备的场景下实现了INT，扩展了INT的适用场景，且实现了针对安全设备处理的遥测信息的获取，提高了数据的全面性。

请参见图6，为本发明实施例提供一种报文处理装置的结构示意图，其中，该装置可以应用于上述方法实施例中的网络设备，如图4所示，该报文处理装置可以包括：报文收发单元410、记录单元420以及报文处理单元430；其中，当所述网络设备为旁挂安全设备的中间节点时：

所述报文收发单元410，用于识别从第一端口接收到的第一带内网络监控INT报文；其中，所述第一端口为所述网络设备上连接上一跳网络设备的端口；

所述记录单元420，用于记录该第一INT报文中携带的第一元数据；

所述报文处理单元430，用于剥除所述第一INT报文的INT头以及所述第一元数据，得到第一业务报文，依据本网络设备对所述第一业务报文的转发信息确定第二元数据；

所述记录单元420，还用于记录所述第二元数据；

所述报文收发单元410，还用于通过所述第二端口将所述第一业务报文发送给所述安全设备；

所述报文收发单元410，还用于通过第三端口接收到所述安全设备处理后的业务报文；

所述报文处理单元430，还用于当所述报文收发单元410通过第三端口接收到所述安全设备处理后的所述第一业务报文时，依据所述安全设备对所述第一业务报文的转发信息确定第三元数据；

所述报文处理单元430，还用于在所述第一业务报文中插入INT头、所述第一元数据、所述第二元数据以及所述第三元数据，得到第二INT报文，并依据本网络设备对所述第二INT报文的转发信息确定第四元数据，在所述第二INT报文中插入所述第四元数据；

所述报文收发单元410，还用于通过第四端口发送给下一跳网络设备。

在一些实施例中，所述报文处理单元430依据所述安全设备对所述第一业务报文的转发信息确定第三元数据，包括：

依据所述第二端口对所述第一业务报文的发送信息，以及所述第三端口对所述第一业务报文的接收信息，确定第三元数据。

在一些实施例中，所述记录单元420记录该第一INT报文中携带的第一元数据，包括：

记录所述第一元数据与第一报文特征信息的关联关系；所述第一报文特征信息用于唯一标识所述第一业务报文；

所述记录单元420记录所述第二元数据信息，包括：

记录所述第二元数据信息与所述第一报文特征信息的关联关系；

所述报文收发单元410通过第三端口接收所述安全设备处理后的所述第一业务报文，包括：

依据所述第一报文特征信息，从通过第三端口接收到的业务报文中，确定出与所述第一报文特征信息匹配的所述第一业务报文。

在一些实施例中，所述报文收发单元410依据所述第一报文特征信息，从通过第三端口接收到的业务报文中，确定出与所述第一报文特征信息匹配的所述第一业务报文，包括：

将在预设时长内通过所述第三端口接收到，且与所述第一报文特征信息匹配的两个业务报文中，接收时间较晚的其中一个业务报文确定为所述第一业务报文。

在一些实施例中，当所述网络设备为旁挂安全设备的源节点时：

所述报文收发单元410，还用于从第五端口接收到业务报文；

所述报文处理单元430，还用于对所述报文收发单元410从第五端口接收到的与预设采样方式匹配的业务报文进行镜像，得到镜像业务报文；其中，所述第五端口为所述网络设备上连接客户端的端口；

所述报文处理单元430，还用于依据本网络设备对所述镜像业务报文的转发信息确定第五元数据；

所述记录单元420，还用于记录所述第五元数据；

所述报文收发单元410，还用于通过第六端口将所述镜像业务报文发送给所述安全设备；

所述报文处理单元430，还用于当所述报文收发单元410通过第七端口接收到所述安全设备处理后的所述镜像业务报文时，依据所述安全设备对所述镜像业务报文的转发信息确定第六元数据；

所述报文处理单元430，还用于在所述镜像业务报文中插入INT头、所述第五元数据以及所述第六元数据，得到第三INT报文，并依据本网络设备对所述第三INT报文的转发信息确定第七元数据，在所述第三INT报文中插入所述第七元数据；

所述报文收发单元410，还用于通过第八端口发送给下一跳网络设备。

在一些实施例中，当所述网络设备为旁挂安全设备的尾节点时：

所述报文收发单元410，还用于识别从第九端口接收到的第四INT报文；其中，所述第九端口为所述网络设备上连接上一跳网络设备的端口；

所述记录单元420，还用于记录所述第四INT报文中携带的第八元数据；

所述报文处理单元430，还用于剥除所述第四INT报文的INT头以及所述第八元数据，得到第二业务报文，依据本网络设备对所述第二业务报文的转发信息确定第九元数据；

所述记录单元420，还用于记录所述第九元数据；

所述报文收发单元410，还用于通过第十端口将所述第二业务报文发送给所述安全设备；

所述报文处理单元430，还用于当所述报文收发单元410通过第十一端口接收到所述安全设备处理后的所述第二业务报文时，依据所述安全设备对所述第二业务报文的转发信息确定第十元数据；

所述报文处理单元430，还用于在所述第二业务报文中插入INT头、所述第八元数据、所述第九元数据以及所述第十元数据，得到第五INT报文，并依据本网络设备对所述第五INT报文的转发信息确定第十一元数据，将所述第十一元数据插入所述第五INT报文；

所述报文收发单元410，还用于提取所述第八元数据、所述第九元数据、所述第十元数据以及所述第十一元数据，发送给遥测服务器，并丢弃所述第五INT报文。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本发明方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

由上述实施例可见，通过旁挂安全设备的网络节点在接收到INT报文时，记录INT报文中携带的元数据以及本网络设备针对该INT报文生成的元数据，并将剥除INT报文的INT头以及元数据得到的业务报文发送给安全设备，由安全设备对业务报文进行处理，当接收到安全设备返回的处理后的业务报文时，依据安全设备对业务报文的转发信息生成对应的元数据，并将该业务报文重新封装为INT报文发送给下一跳网络设备，在业务流量经过安全设备的场景下实现了INT，扩展了INT的适用场景，且实现了针对安全设备处理的遥测信息的获取，提高了数据的全面性。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明的其它实施方案。本申请旨在涵盖本发明的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明的一般性原理并包括本发明未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本发明的真正范围和精神由下面的权利要求指出。

应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。

Claims (12)

1.一种报文处理方法，应用于带内网络遥测系统中的网络设备，其特征在于，当所述网络设备为旁挂安全设备的中间节点时，所述方法包括：

识别从第一端口接收到的第一带内网络监控INT报文，记录该第一INT报文中携带的第一元数据；其中，所述第一端口为所述网络设备上连接上一跳网络设备的端口；

剥除所述第一INT报文的INT头以及所述第一元数据，得到第一业务报文，依据本网络设备对所述第一业务报文的转发信息确定第二元数据，记录所述第二元数据，并通过第二端口将所述第一业务报文发送给所述安全设备；

当通过第三端口接收到所述安全设备处理后的所述第一业务报文时，依据所述安全设备对所述第一业务报文的转发信息确定第三元数据；

在所述第一业务报文中插入INT头、所述第一元数据、所述第二元数据以及所述第三元数据，得到第二INT报文，并依据本网络设备对所述第二INT报文的转发信息确定第四元数据，在所述第二INT报文中插入所述第四元数据，并通过第四端口发送给下一跳网络设备。

2.根据权利要求1所述的方法，其特征在于，所述依据所述安全设备对所述第一业务报文的转发信息确定第三元数据，包括：

依据所述第二端口对所述第一业务报文的发送信息，以及所述第三端口对所述第一业务报文的接收信息，确定第三元数据。

3.根据权利要求1所述的方法，其特征在于，所述记录该第一INT报文中携带的第一元数据，包括：

记录所述第一元数据与第一报文特征信息的关联关系；所述第一报文特征信息用于唯一标识所述第一业务报文；

所述记录所述第二元数据信息，包括：

记录所述第二元数据信息与所述第一报文特征信息的关联关系；

所述通过第三端口接收所述安全设备处理后的所述第一业务报文，包括：

依据所述第一报文特征信息，从通过第三端口接收到的业务报文中，确定出与所述第一报文特征信息匹配的所述第一业务报文。

4.根据权利要求3所述的方法，其特征在于，所述依据所述第一报文特征信息，从通过第三端口接收到的业务报文中，确定出与所述第一报文特征信息匹配的所述第一业务报文，包括：

将在预设时长内通过所述第三端口接收到，且与所述第一报文特征信息匹配的两个业务报文中，接收时间较晚的其中一个业务报文确定为所述第一业务报文。

5.根据权利要求1～4任一项所述的方法，其特征在于，当所述网络设备为旁挂安全设备的源节点时，所述方法包括：

对从第五端口接收到的与预设采样方式匹配的业务报文进行镜像，得到镜像业务报文；其中，所述第五端口为所述网络设备上连接客户端的端口；

依据本网络设备对所述镜像业务报文的转发信息确定第五元数据，记录所述第五元数据，并通过第六端口将所述镜像业务报文发送给所述安全设备；

当通过第七端口接收到所述安全设备处理后的所述镜像业务报文时，依据所述安全设备对所述镜像业务报文的转发信息确定第六元数据；

在所述镜像业务报文中插入INT头、所述第五元数据以及所述第六元数据，得到第三INT报文，并依据本网络设备对所述第三INT报文的转发信息确定第七元数据，在所述第三INT报文中插入所述第七元数据，并通过第八端口发送给下一跳网络设备。

6.根据权利要求1～4任一项所述的方法，其特征在于，当所述网络设备为旁挂安全设备的尾节点时，所述方法包括：

识别从第九端口接收到的第四INT报文，记录所述第四INT报文中携带的第八元数据；其中，所述第九端口为所述网络设备上连接上一跳网络设备的端口；

剥除所述第四INT报文的INT头以及所述第八元数据，得到第二业务报文，依据本网络设备对所述第二业务报文的转发信息确定第九元数据，记录所述第九元数据，并通过第十端口将所述第二业务报文发送给所述安全设备；

当通过第十一端口接收到所述安全设备处理后的所述第二业务报文时，依据所述安全设备对所述第二业务报文的转发信息确定第十元数据；

在所述第二业务报文中插入INT头、所述第八元数据、所述第九元数据以及所述第十元数据，得到第五INT报文，并依据本网络设备对所述第五INT报文的转发信息确定第十一元数据，将所述第十一元数据插入所述第五INT报文；

提取所述第八元数据、所述第九元数据、所述第十元数据以及所述第十一元数据，发送给遥测服务器，并丢弃所述第五INT报文。

7.一种报文处理装置，应用于带内网络遥测系统中的网络设备，其特征在于，所述装置包括：报文收发单元、记录单元以及报文处理单元；其中，当所述网络设备为旁挂安全设备的中间节点时：

所述报文收发单元，用于识别从第一端口接收到的第一带内网络监控INT报文；其中，所述第一端口为所述网络设备上连接上一跳网络设备的端口；

所述记录单元，用于记录该第一INT报文中携带的第一元数据；

所述报文处理单元，用于剥除所述第一INT报文的INT头以及所述第一元数据，得到第一业务报文，依据本网络设备对所述第一业务报文的转发信息确定第二元数据；

所述记录单元，还用于记录所述第二元数据；

所述报文收发单元，还用于通过第二端口将所述第一业务报文发送给所述安全设备；

所述报文收发单元，还用于通过第三端口接收到所述安全设备处理后的业务报文；

所述报文处理单元，还用于当所述报文收发单元通过第三端口接收到所述安全设备处理后的所述第一业务报文时，依据所述安全设备对所述第一业务报文的转发信息确定第三元数据；

所述报文处理单元，还用于在所述第一业务报文中插入INT头、所述第一元数据、所述第二元数据以及所述第三元数据，得到第二INT报文，并依据本网络设备对所述第二INT报文的转发信息确定第四元数据，在所述第二INT报文中插入所述第四元数据；

所述报文收发单元，还用于通过第四端口发送给下一跳网络设备。

8.根据权利要求7所述的装置，其特征在于，所述报文处理单元依据所述安全设备对所述第一业务报文的转发信息确定第三元数据，包括：

依据所述第二端口对所述第一业务报文的发送信息，以及所述第三端口对所述第一业务报文的接收信息，确定第三元数据。

9.根据权利要求7所述的装置，其特征在于，所述记录单元记录该第一INT报文中携带的第一元数据，包括：

记录所述第一元数据与第一报文特征信息的关联关系；所述第一报文特征信息用于唯一标识所述第一业务报文；

所述记录单元记录所述第二元数据信息，包括：

记录所述第二元数据信息与所述第一报文特征信息的关联关系；

所述报文收发单元通过第三端口接收所述安全设备处理后的所述第一业务报文，包括：

依据所述第一报文特征信息，从通过第三端口接收到的业务报文中，确定出与所述第一报文特征信息匹配的所述第一业务报文。

10.根据权利要求9所述的装置，其特征在于，所述报文收发单元依据所述第一报文特征信息，从通过第三端口接收到的业务报文中，确定出与所述第一报文特征信息匹配的所述第一业务报文，包括：

将在预设时长内通过所述第三端口接收到，且与所述第一报文特征信息匹配的两个业务报文中，接收时间较晚的其中一个业务报文确定为所述第一业务报文。

11.根据权利要求7～10任一项所述的装置，其特征在于，当所述网络设备为旁挂安全设备的源节点时：

所述报文收发单元，还用于从第五端口接收到业务报文；

所述报文处理单元，还用于对所述报文收发单元从第五端口接收到的与预设采样方式匹配的业务报文进行镜像，得到镜像业务报文；其中，所述第五端口为所述网络设备上连接客户端的端口；

所述报文处理单元，还用于依据本网络设备对所述镜像业务报文的转发信息确定第五元数据；

所述记录单元，还用于记录所述第五元数据；

所述报文收发单元，还用于通过第六端口将所述镜像业务报文发送给所述安全设备；

所述报文处理单元，还用于当所述报文收发单元通过第七端口接收到所述安全设备处理后的所述镜像业务报文时，依据所述安全设备对所述镜像业务报文的转发信息确定第六元数据；

所述报文处理单元，还用于在所述镜像业务报文中插入INT头、所述第五元数据以及所述第六元数据，得到第三INT报文，并依据本网络设备对所述第三INT报文的转发信息确定第七元数据，在所述第三INT报文中插入所述第七元数据；

所述报文收发单元，还用于通过第八端口发送给下一跳网络设备。

12.根据权利要求7～10任一项所述的装置，其特征在于，当所述网络设备为旁挂安全设备的尾节点时：

所述报文收发单元，还用于识别从第九端口接收到的第四INT报文；其中，所述第九端口为所述网络设备上连接上一跳网络设备的端口；

所述记录单元，还用于记录所述第四INT报文中携带的第八元数据；

所述报文处理单元，还用于剥除所述第四INT报文的INT头以及所述第八元数据，得到第二业务报文，依据本网络设备对所述第二业务报文的转发信息确定第九元数据；

所述记录单元，还用于记录所述第九元数据；

所述报文收发单元，还用于通过第十端口将所述第二业务报文发送给所述安全设备；

所述报文处理单元，还用于当所述报文收发单元通过第十一端口接收到所述安全设备处理后的所述第二业务报文时，依据所述安全设备对所述第二业务报文的转发信息确定第十元数据；

所述报文处理单元，还用于在所述第二业务报文中插入INT头、所述第八元数据、所述第九元数据以及所述第十元数据，得到第五INT报文，并依据本网络设备对所述第五INT报文的转发信息确定第十一元数据，将所述第十一元数据插入所述第五INT报文；

所述报文收发单元，还用于提取所述第八元数据、所述第九元数据、所述第十元数据以及所述第十一元数据，发送给遥测服务器，并丢弃所述第五INT报文。

Images