CN114338510B - 控制和转发分离的数据转发方法和系统 - Google Patents

Abstract

本公开提供了一种控制和转发分离的数据转发方法和系统，其中，所述方法包括：网关节点接收用户端发送的数据包，为所述数据包添加MD5标识码，将带有所述MD5标识码的所述数据包发送至路由节点网络，由路由节点网络将所述数据包发送至目标节点，其中，所述路由节点网络包括多级节点，多级节点之间通过以下方式进行通信：当前节点接收上级节点发送的数据包，从所述数据包中提取所述MD5标识码，根据所述MD5标识码确定对应的下级节点；当前节点的控制层根据预设规则选取对应的协议，通过选取的协议建立与下级节点的通信连接；当前节点的控制层向数据转发层发送控制指令，令数据转发层将接收到的上级节点发送的数据包发送至下级节点。

Description

控制和转发分离的数据转发方法和系统

技术领域

本公开的实施例一般涉及数据传输技术领域，并且更具体地，涉及一种控制和转发分离的数据转发方法和系统。

背景技术

随着互联网技术的不断发展，互联网已经成为人们生活、工作和娱乐的重要组成部分。人们通过互联网，可以浏览各种各样的信息，并且可以进行支付、收发文件、即时通信等活动。

随着人们对互联网越来越依赖，互联网中的信息安全也显得尤为重要。当前，互联网中产生的部分数据流量中，可能会携带固定特征，该固定特征例如可以表现为长度固定的一个字符串。这样，攻击者通过截获数据流量，然后对其中的固定特征进行分析，从而可以确定当前的数据流量是采用哪种协议进行传输的。进一步地，攻击者会根据确定出的协议，对该数据流量有针对性地进行盗取或者篡改，这样会危及用户的信息安全。

现有技术中，可以通过多级节点路由访问请求，实现对用户的信息进行隐藏，使得用户的信息不容易被直接获取。当通过多级节点转发数据流量时，节点中建立通信连接和进行数据转发的功能没有分离，当节点被攻击时，建立通信连接的功能被攻击时，可以对数据转发的功能进行篡改，从而导致用户的隐私信息的泄露，影响了用户的体验。

发明内容

根据本公开的实施例，提供了一种控制和转发分离的数据转发方法和系统，用于在用户匿名访问的过程中，对用户的隐私信息进行保护，从而提高用户体验。

在本公开的第一方面，提供了一种控制和转发分离的数据转发方法，包括：

网关节点接收用户端发送的数据包，为所述数据包添加MD5标识码，将带有所述MD5标识码的所述数据包发送至路由节点网络，由路由节点网络将所述数据包发送至目标节点，其中，所述路由节点网络包括多级节点，多级节点之间通过以下方式进行通信：

当前节点接收上级节点发送的数据包，从所述数据包中提取所述MD5标识码，根据所述MD5标识码确定对应的下级节点；

当前节点的控制层根据预设规则选取对应的协议，通过选取的协议建立与下级节点的通信连接；

当前节点的控制层向数据转发层发送控制指令，令数据转发层将接收到的上级节点发送的数据包发送至下级节点。

在一些实施例中，还包括预先生成MD5标识码的过程，具体包括：

从所述路由节点网络中选取预设数量的路由节点，作为转发节点，生成节点路径，获取转发节点的IP地址和端口号；

生成当前时间点，将所述当前时间点和全部转发节点的IP地址和端口号拼接为字符序列；

利用信息摘要算法对所述字符序列进行处理，生成MD5标识码。

在一些实施例中，在生成MD5标识码后，所述方法还包括：

通过上级节点将下级节点基于所述MD5标识码对应的下级节点的信息和所述MD5标识码发送至对应的节点，各级节点将自身的下级节点的信息以及对应的MD5标识码存储在自身的路由表中。

在一些实施例中，所述当前节点的控制层根据预设规则选取对应的协议，通过选取的协议建立与下级节点的通信连接，包括：

当前节点向下级节点发送获取剩余接收窗口大小的请求；

响应于接收到下级节点发送的剩余接收窗口大于第一预设阈值的信息，通过控制层建立与下级节点的控制层的基于TCP协议的通信连接；

响应于接收到下级节点发送的剩余接收窗口小于第一预设阈值且大于第二预设阈值的信息，通过控制层建立与下级节点的控制层的基于FDP协议的通信连接；

响应于接收到下级节点发送的剩余接收窗口小于第二预设阈值的信息，通过控制层建立与下级节点的控制层的基于UDP协议的通信连接。

在一些实施例中，所述控制层和所述数据转发层之间通过通信协议进行隔离通信。

在一些实施例中，将所述MD5标识码以SHA256序列的形式存储在所述数据包的包头中，其中，SHA256序列包括加密数据校验码存储位、加密数据校验补码存储位、加密数据在数据存储位中的起始标识位、加密数据长度的存储位，以及数据存储位，将将所述MD5标识码写入数据包的包头的过程，包括：

预先使用随机数生成算法生成n个随机数，将生成的n个随机数写入到SHA256序列的数据存储位，当需要存储MD5标识码时，利用需要存储的MD5标识码对数据存储位中对应数位的随机数进行替换。

在一些实施例中，所述从所述数据包中提取所述MD5标识码，包括：

从所述数据包的包头中截取数据长度与SHA256序列长度相同的字符序列，响应于截取的字符序列满足(s+leftover)％parity＝＝0，确定截取的字符序列包括MD5标识码，其中s为数据存储位中的数据组成的整型值的和，数据存储位中的数据每4位组成一个整型值，leftover为加密数据校验码，parity为加密数据校验补码，根据加密数据在所述数据存储位中的起始标识位、加密数据长度的存储位，以及数据存储位中对应的字符提取所述MD5标识码。

在本公开的第二方面，提供一种控制和转发分离的数据转发系统，包括：

网关节点和路由节点网络，其中，网关节点用于接收用户端发送的数据包，为所述数据包添加MD5标识码，将带有所述MD5标识码的所述数据包发送至路由节点网络；

路由节点网络用于将所述数据包发送至目标节点，其中，所述路由节点网络包括多级节点，多级节点之间通过以下方式进行通信：

当前节点接收上级节点发送的数据包，从所述数据包中提取所述MD5标识码，根据所述MD5标识码确定对应的下级节点；

当前节点的控制层根据预设规则选取对应的协议，通过选取的协议建立与下级节点的通信连接；

当前节点的控制层向数据转发层发送控制指令，令数据转发层将接收到的上级节点发送的数据包发送至下级节点。

在本公开的第三方面，提供了一种电子设备，包括存储器和处理器，所述存储器上存储有计算机程序，所述处理器执行所述程序时实现如以上所述的方法。

在本公开的第四方面，提供了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如以上所述的方法。

通过本公开的控制和转发分离的数据转发方法，能够在用户匿名访问的过程中，对用户的隐私信息进行保护，从而提高用户体验。

应当理解，发明内容部分中所描述的内容并非旨在限定本公开的实施例的关键或重要特征，亦非用于限制本公开的范围。本公开的其它特征将通过以下的描述变得容易理解。

附图说明

结合附图并参考以下详细说明，本公开各实施例的上述和其他特征、优点及方面将变得更加明显。在附图中，相同或相似的附图标记表示相同或相似的元素，其中：

图1示出了本公开实施例一的控制和转发分离的数据转发方法的流程图；

图2示出了本公开实施例二的控制和转发分离的数据转发系统的结构示意图；

图3示出了本公开实施例三的控制和转发分离的数据转发设备的结构示意图。

具体实施方式

为使本公开实施例的目的、技术方案和优点更加清楚，下面将结合本公开实施例中的附图，对本公开实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本公开一部分实施例，而不是全部的实施例。基于本公开中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的全部其他实施例，都属于本公开保护的范围。

另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

本公开实施例的控制和转发分离的数据转发方法，在数据转发过程中，不会携带上级节点的信息，同时，每级节点中包括隔离的通信连接层和数据转发层，通信连接层和数据转发层之间通过协议进行数据传输，从而能够在用户匿名访问的过程中，对用户的隐私信息进行保护，进而提高了用户体验。

具体地，如图1所示，为本公开实施例一的控制和转发分离的数据转发方法的流程图。本实施例的控制和转发分离的数据转发方法，可以包括以下步骤：

S101：网关节点接收用户端发送的数据包，为所述数据包添加MD5标识码，将带有所述MD5标识码的所述数据包发送至路由节点网络，由路由节点网络将所述数据包发送至目标节点。

S102：当前节点接收上级节点发送的数据包，从所述数据包中提取所述MD5标识码，根据所述MD5标识码确定对应的下级节点。

S103：当前节点的控制层根据预设规则选取对应的协议，通过选取的协议建立与下级节点的通信连接。

S104：当前节点的控制层向数据转发层发送控制指令，令数据转发层将接收到的上级节点发送的数据包发送至下级节点。

在本公开的实施例中，当源端节点向目标节点发送数据包时，可以通过本过本公开实施例的方法进行发送。具体地，首先需要构建节点路径，通过构建的节点路径转发所述数据包。在构建节点路径时，可以从节点网络中选取预设数量的节点，作为转发节点，生成节点路径。在生成节点路径后，可以获取转发节点的IP地址和端口号，获取当前时间点，将所述当前时间点和全部转发节点的IP地址和端口号拼接为字符序列；利用信息摘要算法对所述字符序列进行处理，生成MD5标识码。

在生成MD5标识码后，通过节点路径中的上级节点将下级节点基于所述MD5标识码对应的下级节点的信息和所述MD5标识码发送至对应的节点，各级节点将自身的下级节点的信息以及对应的MD5标识码存储在自身的路由表中。这样，转发数据包的节点路径中的节点中都存储有记录有MD5标识码以及与MD5标识码对应的下级节点的路由表。

由将数据包发送至网关节点，并由网关节点将数据包发送给节点路径中的起始节点。节点路径中的节点在接收到所述数据包后，提取对应的MD5标识码，根据所述MD5标识码确定下级节点的信息，将所述数据包和所述MD5标识码发送至下级节点；

重复上述过程，直到节点路径中的末级节点接收到所述数据包和所述MD5标识码，所述末级节点根据所述数据包中包括的目标节点的IP地址将所述数据包发送至所述目标节点。

其中，所述MD5标识码以SHA256序列的形式存储在所述数据包的包头中，其中，SHA256序列包括加密数据校验码存储位、加密数据校验补码存储位、加密数据在数据存储位中的起始标识位、加密数据长度的存储位，以及数据存储位。

预先使用随机数生成算法生成n个随机数，将生成的n个随机数写入到SHA256序列的数据存储位，当需要存储MD5标识码时，利用需要存储的MD5标识码对数据存储位中对应数位的随机数进行替换，从而将所述MD5标识码存储在SHA256序列中，进而将SHA256序列插入数据包的包头数据中。

在数据转发过程中，当节点路径中的当前节点接收到由源端节点发出的并经由对应的上级节点转发的数据包时，提取所述数据包的包头数据中的MD5标识码，具体地，从所述数据包的包头中截取数据长度与SHA256序列长度相同的字符序列，响应于截取的字符序列满足(s+leftover)％parity＝＝0，确定截取的字符序列包括MD5标识码，其中s为数据存储位中的数据组成的整型值的和，数据存储位中的数据每4位组成一个整型值，leftover为加密数据校验码，parity为加密数据校验补码，根据加密数据在所述数据存储位中的起始标识位、加密数据长度的存储位，以及数据存储位中对应的字符提取所述MD5标识码。

在本公开的实施例中，SHA256序列为256位的二进制字符序列，转换为十六进制字符为64位。在一些实施例方式中，第0到3位(共4位)为加密数据校验码存储位，用于存储加密数据校验码，第4到7位(共4位)为加密数据校验补码存储位，用于存储加密数据校验补码，第8位为加密数据在数据存储位中的起始标识位，第9位为加密数据长度的存储位，用于存储加密数据的长度值，第10到63位为数据存储位，用于存储MD5标识码。

在本实施例中，所述节点网络中的节点的控制层和数据转发层之间通过通信协议进行隔离通信。其中，节点的控制层之间通过预先定义的协议进行通行连接，并在建立连接后，由控制层通过控制层和数据转发层之间的协议向数据转发层发送转发指令，数据转发层根据接收到的转发指令将接收到的数据包发送至下级节点，或者目标节点。

对于节点网络中的节点，在提取到所述MD5标识码后，当前节点向下级节点发送获取剩余接收窗口大小的请求；响应于接收到下级节点发送的剩余接收窗口大于第一预设阈值的信息，通过控制层建立与下级节点的控制层的基于TCP协议的通信连接；响应于接收到下级节点发送的剩余接收窗口小于第一预设阈值且大于第二预设阈值的信息，通过控制层建立与下级节点的控制层的基于FDP协议的通信连接；响应于接收到下级节点发送的剩余接收窗口小于第二预设阈值的信息，通过控制层建立与下级节点的控制层的基于UDP协议的通信连接。

本公开实施例的控制和转发分离的数据转发方法，在数据转发过程中，不会携带上级节点的信息，同时，每级节点中包括隔离的通信连接层和数据转发层，通信连接层和数据转发层之间通过协议进行数据传输，从而能够在用户匿名访问的过程中，对用户的隐私信息进行保护，进而提高了用户体验。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应所述知悉，本公开并不受所描述的动作顺序的限制，因为依据本公开，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应所述知悉，说明书中所描述的实施例均属于可选实施例，所涉及的动作和模块并不一定是本公开所必须的。

以上是关于方法实施例的介绍，以下通过装置实施例，对本公开所述方案进行进一步说明。

如图2所示，为本公开实施例二的控制和转发分离的数据转发系统的结构示意图。本实施例的控制和转发分离的数据转发系统，包括：

网关节点201和路由节点网络202，其中，网关节点201用于接收用户端发送的数据包，为所述数据包添加MD5标识码，将带有所述MD5标识码的所述数据包发送至路由节点网络202；

路由节点网络202用于将所述数据包发送至目标节点，其中，所述路由节点网络包括多级节点，多级节点之间通过以下方式进行通信：

当前节点接收上级节点发送的数据包，从所述数据包中提取所述MD5标识码，根据所述MD5标识码确定对应的下级节点；

当前节点的控制层根据预设规则选取对应的协议，通过选取的协议建立与下级节点的通信连接；

当前节点的控制层向数据转发层发送控制指令，令数据转发层将接收到的上级节点发送的数据包发送至下级节点。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，所述描述的模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

图3示出了本公开实施例三的控制和转发分离的数据转发设备的结构示意图。如图所示，设备300包括中央处理单元(CPU)301，其可以根据存储在只读存储器(ROM)302中的计算机程序指令或者从存储单元308加载到随机访问存储器(RAM)303中的计算机程序指令，来执行各种适当的动作和处理。在RAM 303中，还可以存储设备300操作所需的各种程序和数据。CPU 301、ROM 302以及RAM 303通过总线304彼此相连。输入/输出(I/O)接口305也连接至总线304。

设备300中的多个部件连接至I/O接口305，包括：输入单元306，例如键盘、鼠标等；输出单元307，例如各种类型的显示器、扬声器等；存储单元308，例如磁盘、光盘等；以及通信单元309，例如网卡、调制解调器、无线通信收发机等。通信单元309允许设备300通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

处理单元301执行上文所描述的各个方法和处理，其被有形地包含于机器可读介质，例如存储单元308。在一些实施例中，计算机程序的部分或者全部可以经由ROM 302和/或通信单元309而被载入和/或安装到设备300上。当计算机程序加载到RAM 703并由CPU301执行时，可以执行上文描述的方法的一个或多个步骤。备选地，在其他实施例中，CPU301可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行上述方法。

本文中以上描述的功能可以至少部分地由一个或多个硬件逻辑部件来执行。例如，非限制性地，可以使用的示范类型的硬件逻辑部件包括：场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)等等。

用于实施本公开的方法的程序代码可以采用一个或多个编程语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

此外，虽然采用特定次序描绘了各操作，但是这应当理解为要求这样操作以所示出的特定次序或以顺序次序执行，或者要求所有图示的操作应被执行以取得期望的结果。在一定环境下，多任务和并行处理可能是有利的。同样地，虽然在上面论述中包含了若干具体实现细节，但是这些不应当被解释为对本公开的范围的限制。在单独的实施例的上下文中描述的某些特征还可以组合地实现在单个实现中。相反地，在单个实现的上下文中描述的各种特征也可以单独地或以任何合适的子组合的方式实现在多个实现中。

尽管已经采用特定于结构特征和/或方法逻辑动作的语言描述了本主题，但是应当理解所附权利要求书中所限定的主题未必局限于上面描述的特定特征或动作。相反，上面所描述的特定特征和动作仅仅是实现权利要求书的示例形式。

Claims (10)

1.一种控制和转发分离的数据转发方法，其特征在于，包括：

网关节点接收用户端发送的数据包，为所述数据包添加MD5标识码，将带有所述MD5标识码的所述数据包发送至路由节点网络，由路由节点网络将所述数据包发送至目标节点，其中，所述路由节点网络包括多级节点，多级节点之间通过以下方式进行通信：

当前节点接收上级节点发送的数据包，从所述数据包中提取所述MD5标识码，根据所述MD5标识码确定对应的下级节点；

当前节点的控制层根据预设规则选取对应的协议，通过选取的协议建立与下级节点的通信连接；

当前节点的控制层向数据转发层发送控制指令，令数据转发层将接收到的上级节点发送的数据包发送至下级节点；

其中，所述路由节点网络中的节点的控制层和数据转发层之间通过通信协议进行隔离通信，节点的控制层之间通过预先定义的协议进行通信连接，并在建立连接后，由控制层通过控制层和数据转发层之间的协议向数据转发层发送转发指令，数据转发层根据接收到的转发指令将接收到的数据包发送至下级节点。

2.根据权利要求1所述的数据转发方法，其特征在于，还包括预先生成MD5标识码的过程，具体包括：

从所述路由节点网络中选取预设数量的路由节点，作为转发节点，生成节点路径，获取转发节点的IP地址和端口号；

生成当前时间点，将所述当前时间点和全部转发节点的IP地址和端口号拼接为字符序列；

利用信息摘要算法对所述字符序列进行处理，生成MD5标识码。

3.据权利要求2所述的数据转发方法，其特征在于，在生成MD5标识码后，所述方法还包括：

通过上级节点将下级节点基于所述MD5标识码对应的下级节点的信息和所述MD5标识码发送至对应的节点，各级节点将自身的下级节点的信息以及对应的MD5标识码存储在自身的路由表中。

4.据权利要求3所述的数据转发方法，其特征在于，所述当前节点的控制层根据预设规则选取对应的协议，通过选取的协议建立与下级节点的通信连接，包括：

当前节点向下级节点发送获取剩余接收窗口大小的请求；

响应于接收到下级节点发送的剩余接收窗口大于第一预设阈值的信息，通过控制层建立与下级节点的控制层的基于TCP协议的通信连接；

响应于接收到下级节点发送的剩余接收窗口小于第一预设阈值且大于第二预设阈值的信息，通过控制层建立与下级节点的控制层的基于FDP协议的通信连接；

响应于接收到下级节点发送的剩余接收窗口小于第二预设阈值的信息，通过控制层建立与下级节点的控制层的基于UDP协议的通信连接。

5.根据权利要求4所述的数据转发方法，其特征在于，所述控制层和所述数据转发层之间通过通信协议进行隔离通信。

6.根据权利要求5所述的数据转发方法，其特征在于，将所述MD5标识码以SHA256序列的形式存储在所述数据包的包头中，其中，SHA256序列包括加密数据校验码存储位、加密数据校验补码存储位、加密数据在数据存储位中的起始标识位、加密数据长度的存储位，以及数据存储位，将所述MD5标识码写入数据包的包头的过程，包括：

预先使用随机数生成算法生成n个随机数，将生成的n个随机数写入到SHA256序列的数据存储位，当需要存储MD5标识码时，利用需要存储的MD5标识码对数据存储位中对应数位的随机数进行替换。

7.根据权利要求1所述的数据转发方法，其特征在于，所述从所述数据包中提取所述MD5标识码，包括：

从所述数据包的包头中截取数据长度与SHA256序列长度相同的字符序列，响应于截取的字符序列满足(s+leftover)％parity＝＝0，确定截取的字符序列包括MD5标识码，其中s为数据存储位中的数据组成的整型值的和，数据存储位中的数据每4位组成一个整型值，leftover为加密数据校验码，parity为加密数据校验补码，根据加密数据在所述数据存储位中的起始标识位、加密数据长度的存储位，以及数据存储位中对应的字符提取所述MD5标识码。

8.一种控制和转发分离的数据转发系统，其特征在于，包括：

网关节点和路由节点网络，其中，网关节点用于接收用户端发送的数据包，为所述数据包添加MD5标识码，将带有所述MD5标识码的所述数据包发送至路由节点网络；

路由节点网络用于将所述数据包发送至目标节点，其中，所述路由节点网络包括多级节点，多级节点之间通过以下方式进行通信：

当前节点接收上级节点发送的数据包，从所述数据包中提取所述MD5标识码，根据所述MD5标识码确定对应的下级节点；

当前节点的控制层根据预设规则选取对应的协议，通过选取的协议建立与下级节点的通信连接；

当前节点的控制层向数据转发层发送控制指令，令数据转发层将接收到的上级节点发送的数据包发送至下级节点；

其中，所述路由节点网络中的节点的控制层和数据转发层之间通过通信协议进行隔离通信，节点的控制层之间通过预先定义的协议进行通信连接，并在建立连接后，由控制层通过控制层和数据转发层之间的协议向数据转发层发送转发指令，数据转发层根据接收到的转发指令将接收到的数据包发送至下级节点。

9.一种电子设备，包括存储器和处理器，所述存储器上存储有计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1～7中任一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1～7中任一项所述的方法。

Images