CN1555166A

CN1555166A - Pos数据过滤分发的方法与装置

Info

Publication number: CN1555166A
Application number: CNA2003101130945A
Authority: CN
Inventors: 丁晓东
Original assignee: Beijing Ruian Technology Co Ltd
Current assignee: Beijing Ruian Technology Co Ltd
Priority date: 2003-12-26
Filing date: 2003-12-26
Publication date: 2004-12-15
Anticipated expiration: 2023-12-26
Also published as: CN100539543C

Abstract

本发明公开了一种POS数据过滤分发的方法与装置，包括有POS接口模块、数据包缓存模块、输出接口模块、中控逻辑模块、分流算法模块、过滤模块和命令寄存模块，POS接口模块获取进入的数据包的首地址及长度信息、5类元信息并与数据包一起存储在缓存模块中，中控逻辑模块读取数据包的5类元信息并发送到过滤模块中，过滤模块用存储的过滤条件信息匹配数据包的5类元信息，若不匹配，则丢弃数据包，若匹配，输入到输出端口对应的命令寄存模块中，输出端口模块读取数据包，封装为以太网数据包并发送。本发明可对数据包过滤，可将一些不关心的数据包直接过滤掉，并可通过直接与过滤模块连接的控制台设置欲通过数据包的信息，非常方便。

Description

POS数据过滤分发的方法与装置

技术领域：

本发明涉及一种POS数据过滤分发的方法与装置。

背景技术：

互联网络以其便捷、及时和互动性强被越来越多的人们所接受，其发展速度非常快，上网用户也日以继增。而POS技术网络技术中的主流。POS(Package OverSDH，基于SDH的数据包)是通过现有的SDH数字同步环路技术传送IP数据包，SONET/SDH通常被认为是旧技术，因为这项技术主要采用时分复用(TDM)并用于传送语音。但是它强大的功能和巨大的带宽同样可以高效的传递INTERNET或企业网内的数据。作为一项高效率的数据传送技术，POS技术在信息膨胀的今天已经逐渐成为主流技术。SDH处于网络的物理层。

POS使用PPP协议和含着它的类HDLC(High Level Data Link Control)帧(RFC 1662)作为OSI(Open System Interconnection)第二层的数据包裹协议。这种方法可以提供高效的包传送和数据差错控制能力。RFC 2615规定了PPP包通过SONET/SDH连接的方法，而SONET/SDH连接是一种点到点的连接，正好适合这种连接方式。

POS还提供了数据传输的安全机制。可靠的数据传输依赖系统的时钟结构。SONET/SDH的时钟信息是通过对锁相环的状态迁移的分析获得的。有效的同步信息依赖比特流中“1”的密度，如果过长的“0”(大于80)会破坏数据中“1”的密度从而导致同步的丢失。虽然这种事件发生的概率很小但不能排除有些人利用这一问题破坏系统连接。为此POS采用了与ATM相似的技术来避免安全问题的发生，这就是自同步x^43+1加扰算法。RFC 2615对其有详细的描述本文不对此进行累述。

网络应用越来越需要一种技术，能够在干路上在不影响原有SDH(Synchronous Digital Hierarchy，同步数字体系)网络环境的基础上获取网络上的数据用于有针对性的应用分析，攻击检测，病毒探测，而且其自身不会受到攻击也不会被发现，具有极高地安全性和隐蔽性。一种方法是通过设置SDH网络路由或交换设备对数据进行监控和分析，但这种方法不一定可行。一方面这种方式会影响网络设备本身的处理能力和转发性能，另一方面各个网络设备开发商不一定会提供这种功能，而且网络设备一般都有IP地址容易被发现并受到攻击，尤其是在已经建设好的网络环境中调整和设定或更换设备非常的麻烦，影响面很大。现有的方法不能很好的满足应用的需求。

发明内容：

针对上述由通讯设备本身处理数据所存在的问题和不足，本发明的目的是提供一种可对POS网络数据进行针对性应用分析的POS数据过滤分发的方法与装置。

本发明是这样实现的：一种POS网络数据过滤分发的方法，包括以下步骤：

将收到的数据包进行缓存，提取该数据包5类元信息同时并将数据包在缓冲区中的首地址及长度信息存储；

用先前存储的过滤条件与所述数据包的五类元信息进行匹配，若不匹配，则丢弃所述数据包，若匹配，检查是否指定有输出端口，若有则输出至该输出端口对应的命令寄存中；如未指定输出端口，则按照一个连接的上下行数据包从同一个输出端口输出的原则和以各输出端口的流量基本均衡输出的原则输出至多个输出端口中的某一端口所对应的命令寄存中；

输出端口将所述数据包封装为以太网数据包并发送之。

进一步地，所述数据包5类元信息为源地址、源端口、目的地址、目的端口及协议类型信息。

进一步地，所述先前存储的过滤条件为源地址、源端口、目的地址、目的端口及协议类型中的一种或几种的任意组合。

一种POS网络数据过滤分发的装置，包括有POS接口模块、数据包缓存模块、输出接口模块、中控逻辑模块、分流算法模块、过滤模块和命令寄存模块，其中，

POS接口模块，用于与SDH物理接口的连接和数据包的首地址及长度信息、5类元信息的获取；

数据包缓存模块，用于数据包的缓存并将所述数据包的首地址及长度信息、5类元信息存储；

中控逻辑模块，用于读取各个数据包缓存模块中的数据包的首地址及长度信息、5类元信息，将所述数据包的5类元信息发送给所述过滤模块；检查匹配的数据包是否指定有输出端口，若有则将所述数据包的首地址及长度信息转发给所述输出端口模块对应的命令寄存模块；如未指定输出端口，则按照一个连接的上下行数据包从同一个输出端口输出的原则和以各输出端口的流量基本均衡输出的原则，将所述数据包的首地址及长度信息转发给所述输出端口模块对应的命令寄存模块；

过滤模块，用于存储过滤条件信息，并用该过滤条件信息匹配所述数据包的5类元信息，并将匹配结果的信息反馈给所述中控逻辑模块；

命令寄存模块，用于存储所述数据包的首地址及长度信息；

输出接口模块，用于读取所述对应命令寄存模块中的信息，并且根据该命令在数据包缓存模块中读取所述缓存数据包，并封装为以太网数据包并发送；

POS接口模块获取进入的数据包的首地址及长度信息、5类元信息并与所述数据包一起存储在所述数据包缓存模块中，所述中控逻辑模块读取所述数据包的5类元信息并发送到所述过滤模块中，所述过滤模块用存储的过滤条件信息匹配所述数据包的5类元信息，若不匹配，则丢弃所述数据包，若匹配，检查该数据包是否指定有输出端口，若有则输出至该输出端口所对应的命令寄存模块中；如未指定输出端口，则按照一个连接的上下行数据包从同一个输出端口输出的原则再以各输出端口的流量基本均衡输出的原则输出至多个输出端口中的某一端口所对应的命令寄存模块中；所述输出端口模块读取所述命令寄存模块中的信息，并根据该信息从所述数据包缓存模块中读取所述数据包，封装为以太网数据包并发送。

进一步地，该装置还包括与所述POS接口模块、中控逻辑模块、过滤模块和输出接口模块连接的包括有输入装置的控制台。

进一步地，所述控制台是单片机、计算机。

进一步地，所述POS接口模块、数据包缓存模块、命令寄存器均为两个，为对称结构；所述输出接口模块至少两个。

进一步地，所述数据包的5类元信息为源地址、源端口、目的地址、目的端口及协议类型信息。

进一步地，所述过滤条件信息为源地址、源端口、目的地址、目的端口及协议类型中的一种或几种的任意组合。

进一步地，所述输出接口模块具体为GE接口模块或FE接口模块。

本发明通过设置中控逻辑模块和过滤模块，中控逻辑模块可从数据包缓存模块中读取SDH发送数据包中的源地址、源端口、目的地址、目的端口及协议类型信息和首地址及长度信息，将源地址、源端口、目的地址、目的端口及协议类型信息发送到过滤模块中，若上述信息与过滤模块中存储的信息匹配，则发送匹配成功信息到中控逻辑模块，中控逻辑模块将数据包的首地址及长度信息发送到命令寄存器中，并且通过输出接口模块完成发送；经过数据包过滤，可将一些不关心的数据包直接过滤掉，而只是让一定的感兴趣的数据包通过，保证了系统的安全，并提高了带宽；本发明可通过直接与过滤模块连接的控制台设置欲通过数据包的信息，非常方便；本发明采用两POS接口多个输出接口模块的传输模式，可实现双向数据包流量的合并传输，多个输出接口模块可同时到任何一个POS接口数据包缓存模块中读取数据包。

附图说明：

下面结合附图，对本发明作出详细描述。

图1为本发明的结构示意图；

图2为本发明的结构示意详图。

具体实施方式：

本发明包括以下步骤：

用先前存储的过滤条件与数据包的五类元信息进行匹配，若不匹配，则丢弃数据包，若匹配，检查是否指定有输出端口，若有则输出至该输出端口对应的命令寄存中；如未指定输出端口，则按照一个连接的上下行数据包从同一个输出端口输出的原则和以各输出端口的流量基本均衡输出的原则输出至多个输出端口中的某一端口所对应的命令寄存中；

输出端口将数据包封装为以太网数据包并发送之。

如图1所示，本发明包括有2个POS接口模块、2个数据包缓存模块、2个GE接口模块、1个中控逻辑模块、1个过滤模块和2个命令寄存模块，其中，

数据包缓存模块，用于数据包的缓存并将数据包的首地址及长度信息、5类元信息存储；

中控逻辑模块，用于读取各个数据包缓存模块中的数据包的首地址及长度信息、5类元信息，将数据包的5类元信息发送给过滤模块；检查匹配的数据包是否指定有输出端口，若有则将数据包的首地址及长度信息转发给输出端口模块对应的命令寄存模块；如未指定输出端口，则按照一个连接的上下行数据包从同一个输出端口输出的原则和以各输出端口的流量基本均衡输出的原则，将数据包的首地址及长度信息转发给输出端口模块对应的命令寄存模块；

过滤模块，用于存储过滤条件信息，并用该过滤条件信息匹配数据包的5类元信息，并将匹配结果的信息反馈给中控逻辑模块；

命令寄存模块，用于存储数据包的首地址及长度信息；

输出接口模块，用于读取对应命令寄存模块中的信息，并且根据该命令在数据包缓存模块中读取缓存数据包，并封装为以太网数据包并发送；

POS接口模块获取进入的数据包的首地址及长度信息、5类元信息并与数据包一起存储在数据包缓存模块中，中控逻辑模块读取数据包的5类元信息并发送到过滤模块中，过滤模块用存储的过滤条件信息匹配数据包的5类元信息，若不匹配，则丢弃数据包，若匹配，检查该数据包是否指定有输出端口，若有则输出至该输出端口所对应的命令寄存模块中；如未指定输出端口，则按照一个连接的上下行数据包从同一个输出端口输出的原则再以各输出端口的流量基本均衡输出的原则输出至多个输出端口中的某一端口所对应的命令寄存模块中；输出端口模块读取命令寄存模块中的信息，并根据该信息从数据包缓存模块中读取数据包，封装为以太网数据包并发送。

这里，过滤条件信息为为源地址、源端口、目的地址、目的端口及协议类型中的一种或几种的任意组合；GE接口可以为多个，当然也可以是FE接口，也可以是GE接口、FE接口的任意组合。

如图2所示，本发明的两POS接口流量为2.5G，由POS口进入的数据包存储在数据包缓冲存储内，该缓冲为RAM或DPRAM；报文信息队列中存放数据包在数据包缓冲存储的首地址及长度信息；若两报文信息队列中均有信息，中控逻辑则用轮循方式提取两报文信息队列中的信息，并发送至相应命令寄存器中；若仅一个中有信息，则仅在一边读取该信息。GE接口根据与之连接的命令寄存器中的命令，通过接口复用器在数据包缓冲存中读取数据包，封装并发送之。本发明还包括与中控逻辑模块和过滤模块连接的包括有输入装置的控制台，该控制台可以是单片机、计算机等，通过其输入装置，可以任意设置过滤条件信息并存储到过滤模块中，并可设置控制信息到中控逻辑模块中。本发明根据PPP包的开始和结束位置信息，得到存储在数据包缓存模块中的PPP包的存储位置和长度，一般情况下数据包的长度是以字节为单位的，但由于数据包长度是8位的数据包要达到2.5G的传输速率需要硬件的工作频率在320MHz以上，这对于现有的系统来说实现的难度比较大。而32位的数据包带宽比较适合在系统中实现，这是因为硬件可以工作在80MHz的频率上。本发明正是基于上述原理实现的。

本发明中，数据包包头的5类元信息是过滤的主要内容，过滤条件为5类元信息中的任意组合，如指定协议类型和原地址，其他数据包任意。对于不关心的数据包可以通过设定过滤条件中的mask来实现，由于系统需要处理5Gb/s的数据量所以过滤的效率十分重要，这里采用硬件比较电路CAM来实现，CAM是内容可寻址存储器。利用这种硬件单元可以在很短的几个周期对大量的数据包作查找过滤，得到的MATCH信号就作为判断该数据包是否被丢弃的根据。本发明数据处理效率比较高。将一条过滤条件写入CAM某地址的同时将希望该数据包输出的端口写入另一块RAM的相同地址。当CAM发现当前包符合条件时会产生一个地址，利用该地址读取RAM的内容就可以得到该数据包应该输出的端口信息，即可通过该端口输出了。

如图3所示，本发明是这样实现数据包过滤和转发的：

POS接口模块完成POS接口的信号连接、协商、控制、处理、数据包缓冲区控制、FIFO控制等功能。数据包缓存模块完成将来自POS接口的数据包信息，使用RAM缓冲区缓存，负责完成缓冲区报文的指针管理和外部信号引脚的控制，完成将来自POS接口的IP报文的源地址、源端口、目的地址、目的端口及协议类型数据包在缓冲区的起始地址信息、包长度等信息剥离出来存储在报文协议缓存中，供中央控制逻辑进行报文解析。中控逻辑模块根据IP报文的协议信息，完成将一个报文进行过滤、分流之后，发送到GE接口。中控逻辑模块完成芯片所有模块的协调、调度、控制，能够让芯片在统一的处理策略下对所有报文进行特定处理。过滤模块存储、管理芯片过滤条件，能够根据中控逻辑模块的请求判断一个报文是否满足过滤条件。满足过滤条件的再检查是否指定输出端口，如未指定输出端口，则按照一个连接的上下行数据包从同一个GE端口输出的原则根据流量从两个GE接口模块均衡输出。GE接口模块：GE接口根据中控逻辑模块的命令请求，将一个报文完成MAC帧组装之后发送到标准GMII接口。

本发明的POS接口模块与POS PHY芯片直接连接，其还与FIFO(Packet infoFIFO及Packethead FIFO)和DPRAM(Packet buffer)连接，POS接口根据POSPHY芯片的控制信号，作为FIFO和DPRAM与PHY芯片的桥梁，负责对PHY芯片读取数据包，同时，将读取到的HDLC/PPP报文剥离出IP包，控制DPRAM将IP包存储起来并调整相关的指针，控制FIFO将IP的5元组信息存储起来，本发明是在2.5G POS接口与GE接口间完成报文转发，处理流程如下：

首先POS接口PHY芯片将来自POS接口的SDH数据帧进行解析，使用内部数据总线传递到PHY芯片的FIFO中；POS接口模块从PHY芯片中读取解析出来的PPP/HDLC报文，转存到芯片内部RAM中，同时将HDLC报文的IP头解析出来，将协议5元组、数据包在缓冲区的起始地址信息、包长度等信息存储到芯片内部FIFO中；芯片中控逻辑由FSM采取乒乓(即左右轮循)方式不断读取协议FIFO中的信息，将协议信息经过过滤CAM表决定报文是否被过滤；中控逻辑决策过滤成功之后，将报文拷贝两份发送至GE接口模块，而要通过以太网传输数据包，必须通过以太网的MAC(媒体访问控制器)，将过滤后的IP数据包前面加上以太网的原MAC地址、目的MAC地址和数据类型后计算出CRC校验值组成以太数据包就可以通过专用的总线将数据包通过千兆以太的MAC芯片发送出去了。

本发明还包括与过滤CAM和中控逻辑连接的CONSOLE，用以设定控制信息，通信设备的通用设定方法一般是用RS232接口通过超级终端CONSOLE界面完成，也可以用10/100以太网接口通过TELNET进行。这两种方法都需要微处理器来实现，可以利用各种通用的处理器或单片机来实现这一功能，无论哪种方法都需要在控制器上通信协议和人机界面程序。

运用本发明所述的方法可以实现能将2.5G POS通信数据过滤转发到千兆以太网环境的设备，这种设备对比现有的解决方案更为经济实用且有很强的扩展性，如将这些技术反过来用还可以建立一个双向的2.5G POS到千兆以太的简易网关设备。

Claims

1.一种POS网络数据过滤分发的方法，其特征在于，该方法包括以下步骤：

输出端口将所述数据包封装为以太网数据包并发送之。

2.如权利要求1所述的POS网络数据过滤分发的方法，其特征在于，所述数据包5类元信息为源地址、源端口、目的地址、目的端口及协议类型信息。

3.如权利要求1所述的POS网络数据过滤分发的方法，其特征在于，所述先前存储的过滤条件为源地址、源端口、目的地址、目的端口及协议类型中的一种或几种的任意组合。

4.一种POS网络数据过滤分发的装置，其特征在于，该装置包括有POS接口模块、数据包缓存模块、输出接口模块、中控逻辑模块、过滤模块和命令寄存模块，其中，

命令寄存模块，用于存储所述数据包的首地址及长度信息；

5.如权利要求4所述的POS网络数据过滤分发的装置，其特征在于，该装置还包括与所述POS接口模块、中控逻辑模块、过滤模块和输出接口模块连接的包括有输入装置的控制台。

6.如权利要求5所述的POS网络数据过滤分发的装置，其特征在于，所述控制台是单片机、计算机。

7.如权利要求4所述的POS网络数据过滤分发的装置，其特征在于，所述POS接口模块、数据包缓存模块、命令寄存器均为两个，为对称结构；所述输出接口模块至少两个。

8.如权利要求4所述的POS网络数据过滤分发的装置，其特征在于，所述数据包的5类元信息为源地址、源端口、目的地址、目的端口及协议类型信息。

9.如权利要求4所述的POS网络数据过滤分发的装置，其特征在于，所述过滤条件信息为源地址、源端口、目的地址、目的端口及协议类型中的一种或几种的任意组合。

10.如权利要求4至9任意一项所述的POS网络数据过滤分发的装置，其特征在于，所述输出接口模块具体为GE接口模块或FE接口模块。