CN115022167A - 一种用于家庭网关业务流控的方法及系统 - Google Patents

Abstract

本发明公开了一种家庭网关业务流控方法及系统。本发明结合eBPF技术并且同时在用户态空间进行相应模块处理来改善家庭网关复杂业务需求上eBPF编程开发难度大，减少对Linux内核版本升级的依赖。

Description

一种用于家庭网关业务流控的方法及系统

技术领域

本发明涉及通信及物联网，尤其涉及一种用于家庭网关业务流控的方法及系统。

背景技术

目前智能网关上面对于业务流控的需求越来越多，为了实现差异化业务流处理，首先需要先获取到网络数据包关键信息比如IP五元组，协议字段等。在现在已有网关固件基础上，如图1所示，因此需要业务层在用户态通过libpcap复制一份报文给到用户态进行报文解析处理，或者通过对Linux内核中netfilter的钩子点注入hook函数，去获取报文的信息处理，这两种方式在实现上是可行的，但是存在着相应的缺点。方案一中用户态通过调用libpcap方式从内核复制报文，由于报文经过内核协议栈现有的数据报文拷贝、转发需要1～20ms的时延，在对实时性要求高的业务场景中无法满足家庭网关智能业务如流控、阻断、安全业务的需求；方案二中通过注册hook函数去获取报文的方式，这种方式虽然解决用户态通过libpcap获取报文时引发的时延问题，但是在后期的版本升级中，特定应用层需求的变更会要求Firmare内核底层做相应的升级，现网升级成本大，同时，直接将钩子函数挂接到内核，没有相应的安全保护隔离机制，钩子函数的bug很有可能会导致整个系统的奔溃。

此外，随着Linux内核技术的发展，eBPF XDP技术在报文进内核协议栈的最前端修改、丢弃、镜像报文等业务安全操作提供了可能，且eBPF属于一种内核注入技术，在业务版本功能升级时可以不用升级固件内核，直接进行开发，但eBPF程序较一般的应用层代码开发有难度，首先eBPF程序需通过eBPF校验器进行严格校验限制，且BPF虚拟机执行的eBPF指令空间有限，对家庭网关复杂业务应用编码是难以实现的。虽然eBPF XDP的技术支持的能力随着Linux版本的升级在不断演进和提升，但是应用层需求周期短，现网网关内核版本不一，在实际网关产品中各个模块与内核耦合度高，难以快速升级内核，无法完全依靠Linux内核版本eBPF能力升级来满足复杂的业务流控需求。

因此，需要能够改进现有技术中的缺陷的方法和系统。

发明内容

提供本发明内容来以简化形式介绍将在以下具体实施方式部分中进一步描述的一些概念。本发明内容并不旨在标识出所要求保护的主题的关键特征或必要特征，也不旨在用于帮助确定所要求保护的主题的范围。

针对现有技术中的技术问题，本发明结合eBPF技术并且同时在用户态空间进行相应模块处理来改善家庭网关复杂业务需求上eBPF编程开发难度大，减少对Linux内核版本升级的依赖。

具体而言，在本发明的一个实施例中，提供了一种用于家庭网关业务流控的系统，该系统包括：

用户态模块，包括：

业务软件表存储组件，该业务软件表存储组件被配置成存储包括业务

软件表项的业务软件表；

MAP表生成和老化管理组件，该MAP表生成和老化管理组件被配置成通过提取业务软件表项的键值对来生成与该业务软件表相对应的MAP

表并对该MAP表进行老化管理；以及

流控管理组件，该流控管理组件被配置成根据下发的流控业务配置通过读写业务软件表项来更新该业务软件表以用于对家庭网关进行流控管理；以及

内核态模块，包括：

MAP表更新组件，该MAP表更新组件被配置成基于经更新的业务软

件表来修改该MAP表；

MAP表映射组件，该MAP表映射组件被配置成将经修改的MAP表中的键值对映射到该用户态模块中的经更新的业务软件表；以及

XDP流控处理组件，该XDP流控处理组件被配置成基于该经更新的MAP表来对从物理网卡接收到的包进行流控处理。

在本发明的一个实施例中，该流控业务配置是由家庭网关平台管理侧基于业务需求来下发的。

在本发明的一个实施例中，流控管理包括流识别、流优先级控制、流统计、流镜像、以及流阻断。

在本发明的该实施例中，修改该MAP表包括对该MAP表执行增、删、改动作。

在本发明的一个实施例中，该内核态模块进一步包括彼此安全隔离的eBPF虚拟机和协议栈，该协议栈是TCP/IP协议栈，并且MAP表更新组件、MAP表映射组件、以及XDP流控处理组件被包括在该eBPF虚拟机中。

在本发明的上述实施例中，该XDP流控处理组件被进一步配置成通过对从物理网卡接收到的包进行改包、丢弃、镜像、以及重定向来对该包进行流控处理，并将经处理的包发送至该协议栈。

在本发明的一个实施例中，该MAP表生成和老化管理组件被进一步配置成通过以下操作来对该MAP表进行老化管理：

当在该MAP表中写入表项时激活该表项的老化时间；以及

在该老化时间期满时通知MAP表更新组件删除该表项。

在本发明的另一个实施例中，提供了一种用于家庭网关业务流控的方法，该方法包括：

在用户态侧通过提取业务软件表中的业务软件表项的键值对来生成与该业务软件表相对应的MAP表并对该MAP表进行老化管理；

在该用户态侧根据下发的流控业务配置通过读写业务软件表项来更新该业务软件表以用于对家庭网关进行流控管理；

在内核态侧基于经更新的业务软件表来修改该MAP表；

在该内核态侧将经修改的MAP表中的键值对映射到该用户态侧的经更新的业务软件表；以及

在该内核态侧基于该经更新的MAP表来对从物理网卡接收到的包进行流控处理。

在本发明的一个实施例中，该内核态侧包括彼此安全隔离的协议栈和eBPF虚拟机，并该内核态侧的操作是在该eBPF虚拟机中执行的。

在本发明的该实施例中，对从物理网卡接收到的包进行流控处理进一步包括对该包进行改包、丢弃、镜像、以及重定向，并将经处理的包发送至该协议栈。

在本发明的一个实施例中，对该MAP表进行老化管理包括：

当在该MAP表中写入表项时激活该表项的老化时间；以及

在该老化时间期满时通知MAP表更新组件删除该表项。

在本发明的又一个实施例中，提供了一种存储计算机可执行指令的计算机可读介质，这些指令包括：

用于在用户态侧通过提取业务软件表中的业务软件表项的键值对来生成与该业务软件表相对应的MAP表并对该MAP表进行老化管理的指令；

用于在该用户态侧根据下发的流控业务配置通过读写业务软件表项来更新该业务软件表以用于对家庭网关进行流控管理的指令；

用于在内核态侧基于经更新的业务软件表来修改该MAP表的指令；

用于在该内核态侧将经修改的MAP表中的键值对映射到该用户态侧的经更新的业务软件表的指令；以及

用于在该内核态侧基于该经更新的MAP表来对从物理网卡接收到的包进行流控处理的指令。

在结合附图研读了下文对本发明的具体示例性实施例的描述之后，本发明的其他方面、特征和实施例对于本领域普通技术人员将是明显的。尽管本发明的特征在以下可能是针对某些实施例和附图来讨论的，但本发明的全部实施例可包括本文所讨论的有利特征中的一个或多个。换言之，尽管可能讨论了一个或多个实施例具有某些有利特征，但也可以根据本文讨论的本发明的各种实施例使用此类特征中的一个或多个特征。以类似方式，尽管示例性实施例在下文可能是作为设备、系统或方法实施例进行讨论的，但是应当领会，此类示例性实施例可以在各种设备、系统、和方法中实现。

附图说明

为了能详细理解本公开的以上陈述的特征所用的方式，可参照各方面来对以上简要概述的内容进行更具体的描述，其中一些方面在附图中阐示。然而应该注意，附图仅阐示了本公开的某些典型方面，故不应被认为限定其范围，因为本描述可允许有其他等同有效的方面。

图1示出了现有的家庭网关流控处理架构的示意性框图。

图2示出了根据本公开的一个实施例的家庭网关业务流控系统的实现环境的示意性框图。

图3示出了根据本公开的一个实施例的家庭网关业务流控系统的框图。

图4示出了根据本公开的一个实施例的家庭网关业务流控系统方法的流程图。

图5示出了根据本公开的一个实施例的用于MAP表老化管理的方法的流程图。

具体实施方式

以下将参考形成本发明一部分并示出各具体示例性实施例的附图更详尽地描述各个实施例。然而，各实施例可以以许多不同的形式来实现，并且不应将其解释为限制此处所阐述的各实施例；相反地，提供这些实施例以使得本公开变得透彻和完整，并且将这些实施例的范围完全传达给本领域普通技术人员。各实施例可按照方法、系统或设备来实施。因此，这些实施例可采用硬件实现形式、全软件实现形式或者结合软件和硬件方面的实现形式。因此，以下具体实施方式并非是局限性的。

各流程图中的步骤可通过硬件(例如，处理器、引擎、存储器、电路)、软件(例如，操作系统、应用、驱动器、机器/处理器可执行指令)或其组合来执行。如本领域普通技术人员将理解的，各实施例中所涉及的方法可以包括比示出的更多或更少的步骤。

本发明结合eBPF XDP技术优势，通过平台管理下发相应流控业务配置，家庭网关用户态设置流识别模块、流优先级控制模块、流统计模块、流镜像模块、流阻断，其他流业务接口、业务软件表存储、MAP表生成和键值老化管理实现用户态对接平台的各种业务需求，内核这边分为内核MAP键值对增删改、MAP表映射管理、XDP流控管理模块，以解决传统获取报文信息必须经过libpcap抓包或内核netfilter注册hook函数的方法带来的时延和不安全问题，同时改善家庭网关复杂业务需求上eBPF编程开发难度大，减少对Linux内核版本升级的依赖。

下文中将通过框图、数据流图以及方法流程图对本公开的各方面进行详细描述。

图2示出了根据本公开的一个实施例的家庭网关业务流控系统的实现环境的示意性框图。

如图2所示，本发明中的家庭网关业务流控系统的实现环境包括家庭网关平台管理侧、家庭网关流控系统200、以及物理网卡。

为了满足不同的业务需求，家庭网关平台管理侧将相应的流控业务配置下发给家庭网关流控系统200。家庭网关流控系统200包括用户态模块202和内核态模块204。

在本发明的一个实施例中，用户态模块202被用来通过提取所存储的业务软件表中的业务软件表项的键值对来生成与该业务软件表相对应的MAP表并对该MAP表进行老化管理，并且根据下发的流控业务配置通过读写业务软件表项来更新该业务软件表以用于对家庭网关进行流控管理。

在本发明的一个实施例中，内核态模块204被用来基于经更新的业务软件表来修改该MAP表，将经修改的MAP表中的键值对映射到该用户态侧的经更新的业务软件表，以及基于该经更新的MAP表来对从物理网卡接收到的包进行流控处理。

在本发明的一个实施例中，内核态模块204包括彼此安全隔离的协议栈和eBPF虚拟机，并且内核态模块204中的操作都在该eBPF虚拟机中执行，由此能够结合eBPF XDP技术优势进行流控处理，并且不会如现有技术中那样因为eBPF模块而引起内核系统的不稳定。

此外，在内核态模块204中报文流控动作直接在从物理网卡接收到报文(包)后就进行相应处理，无需将报文拷贝到用户态模块202，而是通过MAP键值映射进行用户态模块202与内核态模块204的通信，响应速度快，并且能提高转发效率。

而且，图2所示的架构减少了对内核的依赖，以使得内核只做基本的动作，内核侧代码量少，实际开发实现具有可行性。

图2中的家庭网关流控系统200将在图3中更详细地描述。

图3示出了根据本公开的一个实施例的家庭网关业务流控系统的框图。

如图3所示，家庭网关流控系统300包括用户态模块302和内核态模块310。用户态模块302包括业务软件表存储组件304，该业务软件表存储组件304被配置成存储包括业务软件表项的业务软件表。用户态模块302还包括MAP表生成和老化管理组件306，该MAP表生成和老化管理组件306被配置成通过提取业务软件表项的键值对来生成与该业务软件表相对应的MAP表并对该MAP表进行老化管理。用户态模块302进一步包括流控管理组件308，该流控管理组件308被配置成根据下发的流控业务配置通过读写业务软件表项来更新该业务软件表以用于对家庭网关进行流控管理。

在本发明的一个实施例中，该流控业务配置是由家庭网关平台管理侧基于业务需求来下发的。在本发明的一个实施例中，流控管理包括流识别、流优先级控制、流统计、流镜像、以及流阻断。在本发明中，流识别用于识别特定业务流，流优先级控制用于对特定业务流进行优先级控制，流统计用于统计特定业务流的流量，流镜像用于对特定业务进行镜像处理，流阻断用于对特定业务流进行阻断处理。

在本发明的另一个实施例中，该MAP表生成和老化管理组件306被进一步配置成通过以下操作来对该MAP表进行老化管理：当在该MAP表中写入表项时激活该表项的老化时间；以及在该老化时间期满时通知内核态模块310中的MAP表更新组件314删除该表项。

如图3所示，内核态模块310包括彼此安全隔离的eBPF虚拟机312和协议栈320。在本发明的一个实施例中，该协议栈320可以是TCP/IP协议栈或任何其他合适的协议栈。

eBPF虚拟机312包括MAP表更新组件314，MAP表映射组件316、以及XDP流控处理组件318。在本发明的一个实施例中，该MAP表更新组件314被配置成基于来自流控管理组件308的经更新的业务软件表来修改由MAP表生成和老化管理组件306生成的MAP表。在本发明的一个实施例中，修改该MAP表包括对该MAP表执行增、删、改动作。

在本发明的一个实施例中，MAP表映射组件316被配置成将经修改的MAP表中的键值对映射到用户态模块302中的经更新的业务软件表，以实现用户态模块302与内核态模块310之间的高效通信，而不必将报文传递给用户态模块302。

在本发明的一个实施例中，XDP流控处理组件318被配置成基于该经更新的MAP表来对从物理网卡接收到的包进行流控处理。在本发明的该实施例中，该XDP流控处理组件318被进一步配置成通过对从物理网卡接收到的包进行改包、丢弃、镜像、以及重定向来对该包进行流控处理，并将经处理的包发送至该协议栈320。

图4示出了根据本公开的一个实施例的家庭网关业务流控系统方法400的流程图。

方法400开始于步骤402，在用户态侧通过提取业务软件表中的业务软件表项的键值对来生成与该业务软件表相对应的MAP表并对该MAP表进行老化管理。在本发明的一个实施例中，该业务软件表被存储在该用户态侧。

随后，方法400继续至步骤404，在该用户态侧根据下发的流控业务配置通过读写业务软件表项来更新该业务软件表以用于对家庭网关进行流控管理。在本发明的一个实施例中，该流控业务配置是由家庭网关平台管理侧基于业务需求来下发的。在本发明的一个实施例中，流控管理包括流识别、流优先级控制、流统计、流镜像、流阻断、以及任何其他合适的流控管理操作。

接着，方法400继续至步骤406，在内核态侧基于经更新的业务软件表来修改该MAP表。在本发明的该实施例中，修改该MAP表包括对该MAP表执行增、删、改动作。

然后，方法400继续至步骤408，在该内核态侧将经修改的MAP表中的键值对映射到该用户态侧的经更新的业务软件表。

最后，方法400继续至步骤410，在该内核态侧基于该经更新的MAP表来对从物理网卡接收到的包进行流控处理。在本发明的一个实施例中，该内核态侧包括彼此安全隔离的协议栈和eBPF虚拟机，并该内核态侧的操作(即步骤406、408和410)是在该eBPF虚拟机中执行的。在本发明的该实施例中，对从物理网卡接收到的包进行流控处理进一步包括对该包进行改包、丢弃、镜像、以及重定向，并将经处理的包发送至该协议栈。

在步骤410完成后，方法400结束。

在本发明的另一个实施例中，方法400进一步包括在用户态侧对MAP表进行老化管理，这将在图5中进一步阐述。

图5示出了根据本公开的一个实施例的用于MAP表老化管理的方法500的流程图。在本发明的一个实施例中，MAP表老化管理是由用户态侧的MAP表生成和老化管理组件来完成的。

方法500开始于步骤502，当在该MAP表中写入表项时激活该表项的老化时间并将该表项的active标志初始化为true。

随后，方法500继续至步骤504，在老化时间期满时将active标志设为false并通知MAP表更新组件删除内核态侧的MAP表中的该表项。

在步骤504完成后，方法500结束。

综上，本发明的技术方案能够在家庭网关或者路由器中有效实施特定业务需求的流控管理，以使得在后续需求升级时不用高频次地去升级网关Linux内核版本，而是直接在用户态以插件或者APP的形式对业务流接口进行扩充。

以上参考根据本发明的实施例的方法、系统和计算机程序产品的框图和/或操作说明描述了本发明的实施例。框中所注明的各功能/动作可以按不同于任何流程图所示的次序出现。例如，取决于所涉及的功能/动作，连续示出的两个框实际上可以基本上同时执行，或者这些框有时可以按相反的次序来执行。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种用于家庭网关业务流控的系统，所述系统包括：

用户态模块，包括：

业务软件表存储组件，所述业务软件表存储组件被配置成存储包括业务软件表项的业务软件表；

MAP表生成和老化管理组件，所述MAP表生成和老化管理组件被配置成通过提取所述业务软件表项的键值对来生成与所述业务软件表相对应的MAP表并所述MAP表进行老化管理；以及

流控管理组件，所述流控管理组件被配置成根据下发的流控业务配置通过读写所述业务软件表项来更新所述业务软件表以用于对家庭网关进行流控管理；以及

内核态模块，包括：

MAP表更新组件，所述MAP表更新组件被配置成基于经更新的业务软件表来修改所述MAP表；

MAP表映射组件，所述MAP表映射组件被配置成将经修改的MAP表中的键值对映射到所述用户态模块中的所述经更新的业务软件表；以及

XDP流控处理组件，所述XDP流控处理组件被配置成基于所述经更新的MAP表来对从物理网卡接收到的包进行流控处理。

2.如权利要求1所述的系统，其中所述流控业务配置是由家庭网关平台管理侧基于业务需求来下发的。

3.如权利要求1所述的系统，其中所述流控管理包括流识别、流优先级控制、流统计、流镜像、以及流阻断。

4.如权利要求1所述的系统，其中修改所述MAP表包括对所述MAP表执行增、删、改动作。

5.如权利要求1所述的系统，其中：

所述内核态模块进一步包括彼此安全隔离的eBPF虚拟机和协议栈，所述协议栈是TCP/IP协议栈；并且

所述MAP表更新组件、所述MAP表映射组件、以及所述XDP流控处理组件被包括在所述eBPF虚拟机中。

6.如权利要求5所述的系统，其中所述XDP流控处理组件被进一步配置成通过对从所述物理网卡接收到的包进行改包、丢弃、镜像、以及重定向来对所述包进行流控处理，并将经处理的包发送至所述协议栈。

7.如权利要求1所述的系统，其中所述老化管理包括：

当在所述MAP表中写入表项时激活所述表项的老化时间；以及

在所述老化时间期满时通知所述MAP表更新组件删除所述表项。

8.一种用于家庭网关业务流控的方法，所述方法包括：

在用户态侧通过提取业务软件表中的业务软件表项的键值对来生成与所述业务软件表相对应的MAP表并对该MAP表进行老化管理；

在所述用户态侧根据下发的流控业务配置通过读写所述业务软件表项来更新所述业务软件表以用于对家庭网关进行流控管理；

在内核态侧基于经更新的业务软件表来修改所述MAP表；

在所述内核态侧将经修改的MAP表中的键值对映射到所述用户态侧的所述经更新的业务软件表；以及

在所述内核态侧基于所述经更新的MAP表来对从物理网卡接收到的包进行流控处理。

9.如权利要求8所述的方法，其中所述内核态侧包括彼此安全隔离的协议栈和eBPF虚拟机，并所述内核态侧的操作是在所述eBPF虚拟机中执行的。

10.如权利要求9所述的方法，其中对从物理网卡接收到的包进行流控处理进一步包括对所述包进行改包、丢弃、镜像、以及重定向，并将经处理的包发送至所述协议栈。

Images