CN1574790B

CN1574790B - 用于控制数据包传输并产生记账数据的方法和装置

Info

Publication number: CN1574790B
Application number: CN2004100465005A
Authority: CN
Inventors: 沈载熙; 柳建宇; 金上熙
Original assignee: NTELS Co Ltd
Current assignee: NTELS Co Ltd
Priority date: 2003-06-11
Filing date: 2004-06-10
Publication date: 2010-08-18
Anticipated expiration: 2024-06-10
Also published as: KR100548154B1; KR20040106727A; US7584506B2; CN1574790A; US20040252692A1

Abstract

本发明涉及一种用于有线/无线网络中的数据包传输控制和数据包收费数据产生的方法和装置，该装置可以控制数据包传输并测量数据包的数量。该装置通过网络接收数据包数据并将该数据包数据存储在共享存储器中。在判断该数据包数据是否符合过滤规则后，如果数据包数据符合过滤规则，则删除该数据包数据，反之则将该数据包数据传输到目的地。然后，产生对应该数据包数据的初步记账数据，并将该初步记账数据传输到记账装置中。

Description

用于控制数据包传输并产生记账数据的方法和装置

技术领域

本发明涉及一种用于有线/无线网络中的数据包传输控制和数据包付费数据产生的方法和装置，特别是一种可以控制数据包传输并测量数据包的数量的方法和装置。

背景技术

科学和技术的进步以及经济的发展使得发展通信设备并广泛应用这种设备成为可能。而且，这些通信设备的广泛分布可以使远程用户通过有线/无线网络进行数据通信。

图1A是有线互联网环境中的传统记账方法示意图。

参照图1A，用户终端110以及一个以上的网络服务器120a、120b、120c、…120n(下文中统称为“120”)通过网络彼此互相连接。

用户终端110是可以访问网络服务器120的任何设备，例如移动终端、PDA(个人数字助理)、笔记本计算机等。

如图1A所示，在有线互联网环境中，如果用户希望使用网络服务器120提供的付费内容，则用户需要访问网络服务器120。

然后，如果用户使用了该网络服务器120的付费内容，则网络服务器120将该用户的付费内容使用数据记录在用户访问记录中并对其进行管理。

当通信服务提供商(即，有线互联网接入服务提供商)在预定的时间开始该记账处理时，访问记录收集器130从网络中的一个以上网络服务器120中收集用户访问记录。

在这种情况下，如果一个网络服务器中的用户访问记录的格式与其他网络服务器不同，则需要将这些格式转换为标准格式，然后执行对付费内容的记账。

但是，如果网络中存在很多网络服务器120，则由于该访问记录收集器需要对很多网络服务器进行访问，因此这些访问方法可能彼此会有很大不同，因此传统的记账方法就不得不配备对应于每个网络服务器120的多种不同接口。

图1B示出在无线互联网环境中的传统记账方法的示意图。

参照图1B，使用无线互联网服务的用户终端110和一个以上的网络服务器120通过网络彼此相互连接。

如果用户希望使用无线互联网服务，用户终端110需要通过无线设备140来访问数据包PCX150。该数据包PCX150用于将无线网络中的数据包转换为有线互联网中的网间数据包，它可以是WCDMA中的GGSN(网关GPRS支持节点)和SGSN(服务GSM支持节点)以及无线LAN中的AP(接入点)中的一个。

而且，当数据包PCX150将无线网络中的数据包转换为有线互联网中的网间数据包从而使用户终端可以访问该网络服务器120时，需要周期性地将各用户的数据包使用数量发送给记账记录收集器(即，AAA)160。

当对无线数据通信进行记账时，通信服务提供商利用记账记录收集器160收集到的各用户的数据包使用数量，来执行记账处理。但这里存在一个问题，即在这种情况下仅可以对数据包使用总量使用简化的记账方案，而不能对各服务使用不同的记账方案。

有时用户需要通过有线/无线网络对数据通信进行付费(即，接收付费数据)，且服务提供商需要收集各用户的使用量数据并对其管理，以便于对数据通信进行收费。由于有些恶意用户会执行一些攻击，例如用于阻塞通信设备、对网络服务器的接入的黑客攻击或DOS(服务拒绝)等，因此需要提出针对这些攻击的保护方案(即，数据包服务控制)。

应用于传统网络的大多数已知数据包服务控制方法都使用防火墙，它对源IP地址和目标IP地址进行比较，从而确定该数据包的传输。作为测量用户数据包数量的方法，将存储于用户访问的网络服务器的已使用内容的记录(即用户访问记录)提供给有线互联网中，从而产生记账数据，并将数据包的总数目提供给无线互联网中。

但是，传统数据包服务控制方法仅在防火墙中对源IP地址和目标IP地址进行比较以确定数据包的传输，由于仅通过IP地址来执行比较，因此该传统方法不能对类似于DOS这样的黑客攻击提供有效的解决方法，。而且，即使当传统方法需要根据TCP/IP协议的最高层，即应用协议来确定数据包传输时，该传统方法也不能提供任何解决办法。

而且，在传统记账数据产生(即使用量测量)方法中，网络服务器记录各用户的使用记录，然后将该使用记录发送给外部记账服务器，该外部记账服务器使用这些使用记录作为基本记账数据。但是由于每当新的网络服务器加入时，外部记账服务器都需要能够与该新的网络服务器协调地执行处理，因此就很难快速且灵活地执行这种记账处理。

而且，在无线互联网中的传统记账数据产生方法中，当外部记账服务器从PCX中接收到用户在访问网络之后所使用的全部数据包量时，执行记账处理。但是由于在该方法中提供给记账服务器的数据仅局限于数据包的总量，因此不可能对不同服务使用不同的费用方案。

而且，即使传统数据包服务控制功能和记账数据产生功能对于通信服务提供商是必不可少的，但是由于没有可以提供上述两种功能的设备，因此也还是需要分别购买多个独立的设备。这样就使得成本加倍且管理变得更为复杂。

发明内容

因此，本发明的一个主要目的就是提供一种在有线/无线网络中实现数据包传输控制和记账数据产生的方法和设备，它具有检测黑客攻击的功能，各IP地址/网络的协议分析功能，以及TCP/IP层的协议分析功能，该黑客攻击检测功能通过分析应用协议层的数据包以及对源和目标IP地址进行跟踪，从而实现通过数据包访问控制来检测例如DOS之类的黑客攻击。

本发明的另一目的是提供在有线/无线网络中实现数据包传输控制和记账数据产生的方法和设备，它可以提供实时数据包使用量和分配的监视功能以及数据包服务控制功能，从而使利用该实时数据包使用量数据来执行统计处理和网络容量估算成为可能。

本发明的另一目的是提供在有线/无线网络中实现数据包传输控制和记账数据产生的方法和设备，它可以方便安装和操作，且即使用户终端和PCX通过无线数据链路彼此连接且PCX和网络服务器通过有线数据链路彼此连接时，单个设备也可以在有线/无线互联网中产生初步的记账数据，因此还可以提供适用于有线/无线结合的环境的统一的数据记账解决方案。

本发明的另一目的是提供一种在有线/无线网络中实现数据包传输控制和记账数据产生的方法和设备，它可以通过协议分析同时检测内容的类型和各内容的数据包数量数据。

本发明的另一目的是提供一种在有线/无线网络中实现数据包传输控制和记账数据产生的方法和设备，它可以统一并执行数据包服务控制功能和记账数据产生功能，这两个功能都是通信服务提供中必不可少的功能。

为了实现上述目的，本发明进而提供一种数据包服务装置包括：数据包数据输入部分，用于通过网络接收数据包数据并将该数据包数据存储在共享存储器中，其中该数据包数据至少包含源IP地址和目标IP地址；过滤部分，用于判断存储在共享存储器中的数据包数据是否符合用于防止黑客攻击或者服务拒绝攻击的预定过滤规则，如果数据包数据符合该预定过滤规则，则删除该数据包数据；数据包输出部分，用于在数据包数据不符合预定过滤规则时，将该数据包数据对应发送到目标IP地址；协议分析部分，用于在数据包数据不符合预定过滤规则时，通过在应用协议级上分析数据包数据分析数据包的总数量和用户信息；以及数据存储部分，用于将该协议分析部分分析后的信息转换为预定的标准格式，并存储转换后的信息。

该数据包服务装置还包括统计处理部分，用于利用存储在数据存储部分中的转换后信息产生初步记账数据，其中该初步记账数据包括实时统计和分析后的信息。

该数据包服务装置还包括数据包数据重新组合部分，当在每一应用协议基础上将数据包数据分成碎片时，该数据包数据重新组合部分可以将这些碎片数据包数据重新组合成逻辑数据包数据，该逻辑数据包数据可以通过协议分析部分被分析。

协议分析部分还包括多个专用于在每一应用协议基础上分析各数据包数据的协议分析部分。

仅在发送当事人将SYN数据包数据发送给接收当事人，且接收当事人将对应于SYN数据包数据的ACK数据包数据发送给发送当事人以后，数据包服务装置将接收当事人的TCP状态假设为SYNRCVD状态。

如果共享存储器为环形排列类型，则当读取开始的值等于下次读取的值时，可以将共享存储器的可读写块最大化。用于共享存储器的操作算法为平衡二叉树((Balanced-Binary-Tree)算法。

本发明还提供一种方法，用于在有线/无线互联网服务系统的数据包服务装置中控制是否应当将从发送当事人处接收到的数据包数据发送给接收当事人，该方法包括：通过网络接收数据包数据，其中该数据包数据包括源IP地址和目标IP地址；将数据包数据存储在共享存储器中；判断该数据包数据是否符合用于防止黑客攻击或者服务拒绝攻击的预定过滤规则；如果数据包数据符合该预定过滤规则，删除该数据包数据；如果数据包数据不符合预定过滤规则，根据目标IP地址发送该数据包数据；如果数据包数据不符合预定过滤规则，通过在应用协议级上分析数据包数据，分析数据包的总数量和用户信息，从而产生初步记账数据；将该初步记帐数据转换成预定的标准格式并且存储转换后的信息；并且当接收到记账装置发出的发送请求时，将该转换后信息或初步记账数据发送给记账装置。

过滤规则还用于判断源IP地址或目标IP地址是否等于需要被过滤的预先存储的IP地址，数据包数据是否具有错误，数据包数据是否被用来进行黑客攻击或破坏，或者数据包数据是否受到计算机病毒的感染。

该方法还包括在每个应用协议基础上将数据包数据分成碎片时，将这些碎片数据包数据重新组合成逻辑数据包数据的步骤，该逻辑数据包数据可以通过协议分析部分被分析。

附图说明

图1A示出在有线互联网环境中的传统记账方法的示意图；

图1B示出在无线互联网环境中的传统记账方法的示意图；

图2A示出根据本发明一个最佳实施例，用于在有线网络中控制数据包传输并产生记账数据的系统的基本结构示意图；

图2B示出根据本发明一个优选实施例，数据包服务装置的方块图；

图2C示出根据本发明一个优选实施例，用于操作共享存储器的方法的方块图；

图3A示出根据本发明另一个优选实施例，用于在无线网络中控制数据包传输并产生记账数据的系统的基本结构示意图；

图3B示出根据本发明另一个优选实施例，用于在有线网络中控制数据包传输并产生记账数据的系统的基本结构示意图；

图3C示出根据本发明另一个优选实施例，用于在无线网络中控制数据包传输并产生记账数据的系统的基本结构示意图；

图4示出根据本发明一个优选实施例，用于在有线/无线网络中控制数据包服务装置中的数据包传输并产生记账数据的方法的流程图；

图5A示出根据本发明一个优选实施例，发送当事人(即，发送者)的TCP状态图；

图5B示出根据本发明一个优选实施例，接收当事人(即，接收者)的TCP状态图；

图5C示出根据本发明一个优选实施例，在传输当事人和接收当事人之间传输和接收的数据的示意图；及

图5D示出根据本发明一个优选实施例，在同时打开或同时关闭的情况下，传输当事人和接收当事人之间传输和接收的数据的示意图。

具体实施方式

图2A示出根据本发明一个最佳实施例，用于在有线网络中控制数据包传输和产生记账数据的系统的基本结构示意图，图2B示出根据本发明一个优选实施例，数据包服务装置的方块图，图2C示出根据本发明一个最佳实施例，用于操作共享存储器的方法的方块图。

参照图2A，根据本发明用于在有线网络中控制数据包传输并产生记账数据的系统包括用户终端110，有线互联网服务系统，数据包服务装置210和至少一个网络服务器120a、120b、120c、…、120n(下文称为120)。但是，由于有线互联网服务系统与本发明的实质关系不大，因此可以将有线互联网服务系统理解为一种用于有线互联网服务的网络，该有线互联网服务系统可包括数据包服务装置210。用户终端110、数据包服务装置210和网络服务器120分别通过网络连接。

如图2A所示，利用数据包服务装置210在用户终端110和网络服务器120之间传输和接收所有的数据包数据。

因此，很容易理解，数据包服务装置210可以判断数据包数据是否需要被传输到用户终端110或网络服务器120，且如果数据包服务装置210可以分析在用户终端110和网络服务器120之间传输和接收的数据包数据的特征，则它将产生对应数据包数据传输的记账数据。这样，如果使用了本发明的数据包服务装置210，则通信服务系统就不需要包括传统有线互联网环境中所必需的记账记录收集装置(参照图1A中的130或图1B中的160)。

另外，由于数据包服务装置210可以分析与所传输和所接收的数据包数据相对应的信息(例如，数据包数据源、数据包数据的数目、数据包数据的分布和统计、数据包数据的内容等)，因此与传统防火墙系统仅通过查询源IP地址和目标IP地址来判断数据包数据是否需要被传输相比，数据包服务装置210可以更为有效地判断是否需要传输数据包数据。因此，当决定拒绝数据包数据传输时，通过不将数据包数据传输到接收当事人(即，接收者)，可以有效地执行数据包数据管理。

由于数据包服务装置210通过利用多种因素来判断是否需要传输数据包数据(例如，应用协议的任意领域中的信息是否与过滤规则中记录的信息相同，从源IP地址向目标IP地址传输的相同数据包数据的数目是否超过了被设定为临界值的数目)，因此即使有恶意行为例如服务拒绝(DOS)发生，数据包服务装置210也可以安全地工作。

另外，数据包服务装置210可以提供用于网络实时监视的分析信息(例如，利用数据包数据的大小、所传输和所接收的数据包数据的数目、协议等进行分析的信息)。

另外，虽然图2A中仅示出一个数据包服务装置210，用于控制数据包传输并产生记账数据的系统可以包括具有多个数据包服务装置的组，从而实现负载平衡、大规模处理等目的。当系统包括该多个数据包服务装置的组时，通过在这些数据包服务装置之间相互检查工作情况，仅使用无错误工作的数据包服务装置来传输数据包数据，从而提高了系统的工作效率。

下面将简要地说明数据包服务装置210的功能。

在用户终端110接入到有线互联网中之后，通过数据包服务装置210将所有的数据包数据都从用户终端110传输到对应目标地址的接收当事人处。在该处理中，使用数据包数据中的源IP地址来识别用户是谁，然后利用发送当事人(即发送者)的端口信息将IP协议、TCP协议和UDP协议中出现的数据包重新组合成逻辑数据包数据之后，数据包服务装置210可以通过应用协议分析数据包数据，从而分析网络信息、数据包数据的内容和数据包数据的总数量。另外，数据包服务装置210周期性地存储分析后的信息，从而可以使服务、服务商和用户将这些信息作为对应用户的初步记账数据和/或统计信息来使用。

参照图2B，本发明的数据包服务装置210包括数据包数据输入部分250、数据传输和过滤部分255、协议分析部分260、数据存储和统计处理部分265以及数据包数据输出部分270。

数据包数据输入部分250通过网络从用户终端110接收数据包数据并将接收到的数据传输给数据传输和过滤部分255。数据包数据输入部分250通过安装在操作数据包服务装置210的平台上的套接字(socket)、数据链路提供商接口(DLPI)、专用于数据包服务装置210的协议设备驱动器等中的至少一个，来接收数据包数据。特别是，专用于数据包服务装置210的协议设备驱动器与任何其他接收数据包数据的方法相比具有更优越的效率，这是因为它可以将接收到的数据包数据从操作系统(OS)的内核区域直接存储到数据传输和过滤部分255的共享存储器中。而且，数据包服务装置210通过利用内核函数在用户存储器中直接复制数据包数据，或通过利用内核区域和用户区域都可以访问的共享存储器来直接写入数据包数据，执行下面的操作。

通常，在计算机程序设计中，与利用常规的操作系统服务进行读和/或写相比，共享存储器的方法可以使程序处理更为快速地交换数据。例如，客户端处理需要将数据传送给服务器处理，服务器处理对其修改并将其返回给客户端。通常，这需要客户端写入输出文件(利用操作系统的缓冲器)，然后服务器从缓冲器中将该文件作为输入而读入到其自己的工作空间中。利用共享存储器的指定区域，这两个处理都可以直接访问该数据，而不需要使用系统服务。为了将数据放入共享存储器中，客户端在检查信号标值之后访问该共享存储器，写入数据，然后将信号标重置为数据正在等待的服务器信号(该服务器周期性地检查共享存储器是否具有可能的输入)。然后，服务器处理将数据写入到共享存储器区域，利用信号标来指示该数据可以被读取。

下面将参照图2C说明改进数据包服务装置210的效率的方法。

如上所述，利用共享存储器，本发明的数据包服务装置的每个部件都可以互相通信。在大多数情况下，操作系统(OS)提供与锁定相关的功能(例如，信号标、人工干预等)来防止死锁之类情况的发生。

但是，在大多数情况下，这些功能的执行非常慢，将会导致系统速度降低。

因此，数据包服务装置210可以通过使用例如下述的最少化使用锁定功能的方法来改进效率。

如图2C所示，数据包服务装置210的共享存储器基本上是环形排队类型，当写入数据时“写入位置”增加。数据可以一直写入到“读取开始”的右前位置处，每当读取数据时，“下次读取”都增加。

从“读取开始”到“下次读取”之间的区域是共享存储器中被保护的区域。因此，利用共享存储器的部件不能在该区域中复制任何数据，从而可以保持存储在该区域中的数据。

但是，如果存储在该区域中的一些数据不再需要，则可以通过将对应“读取开始”的值增加为不需要的数据的大小，实现在该区域中写入数据。例如，如果存储在该区域中的所有数据都不再需要，则通过将对应“读取开始”的值设定为等于对应“下次读取”的值，可以将共享存储器中的所有区域设定为可写区域。

作为操作共享存储器的特征，由于读取处理是以“pool”为单位在共享存储器中执行的，且将部件在共享存储器中写入数据和部件从存储器中读取数据所参考的信息设定为可以很清楚地被区分，从而可以最小化锁定的数目，因此本发明的数据包服务装置210可以提高操作系统的效率。

再次参照图2B，数据包服务装置210中的数据传输和过滤部分255从数据包数据输入装置250中接收到数据包数据，并通过重新组合处理来判断该数据包数据是否需要被传输或忽略，并传输需要被传输的数据包数据，该重新组合处理根据IP协议、TCP协议和UDP协议、检查和误差检查、过滤规则等将碎片数据包数据重新组合。另外，数据传输和过滤部分255将数据包数据传输到协议分析部分260中，该协议分析部分260在应用协议层对该数据包进行分析。数据传输和过滤部分255可以是根据多个功能而彼此分离的多个子部件的组合。

协议分析部分260通过利用应用协议来分析数据包数据，从而分析数据包数据的总量、数据包数据的内容等。协议分析部分260可以是具有单独用途的多个次级协议分析部分的组合。例如，协议分析部分260可以包括用于分析HTTP协议的第一次级协议分析部分、用于分析WAP协议的第二次级协议分析部分和用于分析DNS协议的第三次级协议分析部分。在本实施例中多个第一级协议分析部分可以使用专用于任意协议的分析程序。

在协议分析部分260中安装的分析程序用于分析和/或提取对应源IP地址、目标IP地址、端口、用户、所请求数据的名称和大小、数据包是否需要被传输等的信息。协议分析部分260将分析后的信息传输给数据存储和统计处理部分265。

协议分析部分260可以在不干扰数据包服务装置210的操作的情况下，增加和/或去除用于根据数据包服务装置的操作环境或用户设定执行分析的部件。另外，协议分析部分260不仅可以根据标准协议(例如WAP、HTTP、FTP等)还可以根据由操作环境特定的或修订的标准协议来分析任意数据包数据。这样，协议分析部分260就可以分析或提取从数据包数据自身提取出的信息(例如数据包数据的总量、话路使用量、协议使用量、误差的数据包总量等)、通过分析数据类型等而获取的信息。

数据存储和统计处理部分265执行以下功能：存储协议分析部分260根据预定标准格式产生的信息，实时统计并分析该信息。该分析后的信息可用于记账等。数据存储和统计处理部分265可以是按照多个独立功能分割为成的多个部件(例如数据存储部分和统计处理部分)的组合。

每当从其他任何部件接收到或者根据用户设定或操作环境周期性地接收到请求时，数据存储和统计处理部分265将对应由多个部件建立的数据包/话路的信息(例如状态，记录信息)转换为对应预定格式的转换后信息，并将该转换后信息存储在磁盘中。该预定格式可以是例如操作者可以个人分析的格式，它可用于任何其它软件或协议分析装置。

另外，数据存储和分析处理部分265根据存储在磁盘中的数据和将要显示在操作者显示器上的数据来产生统计信息。

数据包数据输出部分270执行以下功能：将从数据包数据输入部分250接收到的数据包数据传输到预定目的地，将由数据存储和统计处理部分265转换后的数据传输到外部记账服务器。如果该数据包数据被数据传输和过滤部分255过滤，则不将该数据包数据传输到数据包数据输出部分270。因此，数据包数据不会被传输到预定目的地。

图3A示出根据本发明另一个最佳实施例，用于在无线网络中控制数据包传输并产生记账数据的系统的基本结构示意图；图3B示出根据本发明另一个最佳实施例，用于在有线网络中控制数据包传输并产生记账数据的系统的基本结构示意图；图3C示出根据本发明另一个最佳实施例，用于在无线网络中控制数据包传输并产生记账数据的系统的基本结构示意图。

布置数据包服务装置210的例子已经参考图2A进行了说明。另外，数据包服务装置210也可以布置为图3A-3C那样。

由于图3A所示的结构与图2A所示结构相似，这里不再说明。

如图3B和3C所示，数据包服务装置210还可以与路由器310并联连接。当数据包服务装置210与路由器310并联连接时，路由器310(或者切换网络集线器等)将数据包数据同时传输到目的地和数据包服务装置210。数据包服务装置在分析接收到的数据包数据并利用该数据包数据进行统计之后，存储分析后的信息。

与图2A和3A中所示的数据包服务装置210不同，在图3B及图3C所示的架构中数据包服务装置210不能控制数据包数据的传输，因为当数据包服务装置从路由器310中接收到数据包数据时，路由器310已经将该相同的数据包数据传输到目的地。在这种情况下，如果路由器310仅在从数据包服务装置210接收到传输允许之后才将数据包数据传输到目的地，则也可以实现对将数据包数据传输到目的地的控制。

另外，如图3B和3C所示，由于数据包数据服务装置210与路由器310并联连接，而使数据包服务装置210不能执行对数据包数据的传输控制功能，数据包服务装置210也还可以执行监视、统计并产生记账数据的功能。

另外，如果如图3B和3C所示数据包服务装置210与路由器310并联连接，则即使数据包服务装置210中出现错误，也可在不中断的情况下执行数据包数据的传输和接收。

图4示出根据本发明一个最佳实施例，用于在有线/无线网络中控制数据包服务装置中的数据包传输并产生记账数据的方法的流程图。

如上所述，图4所示的各步骤可以由数据包服务装置210的每个部件来分别执行，但是为了方便理解，将按照数据包服务装置210执行图4所示所有步骤的形式来进行说明。

参照图4，数据包服务装置210通过网络从用户终端110或网络服务器120接收数据包数据(步骤410)。将该接收到的数据包数据存储在共享存储器中(例如输入缓冲器等)。

数据包服务装置210判断在步骤410中接收到的数据包数据是否符合预定过滤规则(步骤415)。

例如，过滤规则是用于判断源IP地址或目标IP地址是否等于预存的需要过滤的IP地址；通过利用检验或奇偶校验检查来判断数据包数据是否有错误；数据包数据是否用于黑客、攻击或服务拒绝(DOS)；或者数据包数据是否受到计算机病毒的感染。数据包服务装置并不向接收当事人传输符合过滤规则的数据包数据。

如果数据包数据符合过滤规则，则数据包服务装置210删除该接收到的数据包数据(步骤420)。但是，如果数据包数据不符合过滤规则，则执行步骤425和步骤430。即，数据包服务装置210将数据包数据发送给对应目标IP地址的接收当事人(步骤425)，并对步骤410中接收到的数据包数据重新组合(步骤430)。但是，如果如图3B和3C所示在系统中同时包含独立的数据包服务装置210和路由器310，则路由器310执行步骤425。

在步骤430中执行的重新组合处理是用于产生一个逻辑数据包数据，可以通过将由例如IP、TCP、UDP等协议特征分为碎片的数据包数据重新组合，根据应用协议来分析该逻辑数据包数据。如果数据包数据没有被重新组合，则跳过步骤430；如果数据包数据被重新组合，则将接收到的碎片数据包数据存储在缓冲器(例如Hash-Tree缓冲器等)中，根据数据包数据的头部信息，利用ICMP、TCP、UDP来处理该重新组合后的数据包数据(即逻辑数据包数据)和不需要重新组合的数据包数据。特别是，在TCP情况下，数据包服务装置210通过利用Hash-Tree算法执行的对话管理，来确定与该数据包数据相关的对话。当前，传统的Hash-List算法经常用于执行插入、删除和检索数据的功能，从而实现利用数据包数据的相关性来重新组合TCP/IP或上部协议或者管理对话的功能。但是，Hash-List算法的问题在于如果在Hash-List中插入特定键码组(Key Sets)，则检索需要很长时间。因此，本发明采用平衡二叉树算法来解决上述问题，即使特定键码组在Hash节点聚集在一起也可以。

下面将参照图5A-5D来说明数据包服务装置210假设用户终端110和网络服务器120的连接状态并保持用户终端110和网络服务器120之间的联接的方法。

数据包服务装置210分析在步骤430中重新组合后的数据包数据(步骤435)。如上所述，数据包服务装置210可以包括多个协议分析部分260。这是因为用于通过网络传输数据包数据的协议有很多种，例如HTTP、WAP、FTP、TELNET、RTP、RTCP等，而且由于协议特征不同处理方法也分别不同。因此，为了有效地分析各数据包数据，数据包服务装置210需要包括多个专用于不同协议的协议分析部分260，这些协议例如HEEP、WAP、FTP等。而且，协议分析部分260通过数据包数据来分析和/或提取用户信息、数据包数据量、内容信息等。

数据包服务装置210存储分析后的信息并利用在步骤435中分析的信息来进行统计。此时，数据包服务装置210产生统计信息(例如，服务、服务商和用户等的统计信息)并将统计信息存储在存储介质中。

然后，当从外部装置(或相同互联网服务系统中的其他装置)中接收到用于接收初步记账数据的传输请求时，数据包服务装置210通过网络将步骤440中存储的统计信息传输到外部装置中(或相同互联网服务系统中的其他装置)(步骤445)。

相似地，本发明的数据包服务装置210可以同时执行控制数据包数据传输的功能和产生初步记账数据的功能。

本发明的数据包服务装置210可以忽略或删除符合预定过滤规则(例如防火墙、网络入侵检测&防止系统(NIDS)等)的数据包数据，或者根据操作者的设定和/或操作环境将接收到的数据包数据传输到目的地。另外，数据包服务装置210可以在将接收到的数据转换为预定格式后，将分析后的数据存储在磁盘或外部网络中的存储介质中，从而操作者可以利用操作者终端亲自进行分析，它可用于其它软件或协议分析装置。

图5A示出根据本发明一个最佳实施例，传输当事人(即，发送者)的TCP状态图；图5B示出根据本发明一个最佳实施例，接收当事人(即，接收者)的TCP状态图；图5C示出根据本发明一个最佳实施例，在发送当事人和接收当事人之间传输和接收的数据的示意图；图5D示出根据本发明一个最佳实施例，在同时打开或同时关闭的情况下，发送当事人和接收当事人之间传输和接收的数据的示意图。

如上所述，本发明的数据包服务装置210从发送当事人(例如用户终端110或网络服务器120)接收数据包数据并将该数据包数据传输给接收当事人(例如网络服务器120或用户终端110)。

因此，即使发送当事人将被设定为用于TCP连接的SYN标识的数据包数据传输给接收当事人，数据包服务装置210也不能假设发送当事人的状态为SYNSENT、接收当事人的状态为SYN-RECEIVED(SYNCVD)。

这是因为即使在数据包服务装置210从发送当事人处接收到无错误的数据包数据并将该数据包数据无错误的传输到接收当事人时，在接收当事人由于网络错误不能进行处理的情况下，接收当事人的状态也不是SYNRCVD。

因此，数据包服务装置210仅能在第一数据包数据(例如设定为SYN标识的TCP数据包数据)被传输到接收当事人之后来判断它们的状态，然后仅当被设定为SYN和ACK的第二数据包数据被从接收当事人无错误地传输到发送当事人时，保持它们的状态。即，数据包服务装置210仅当从接收当事人处接收到被设定为SYN标识的第二数据包数据时，才判断接收当事人无错误地接收到第一数据包数据。

数据包服务装置210在任意步骤中都将发送当事人和/或接收当事人的状态管理为具有*_R名字(例如，SYNRCVD_R、CLOSE_R、ESTABLISHED_R等)的准备状态(即，状态转移之前的状态)。

参照图5A-5C，在步骤510中，CP-A(连接点-A，即发送者或接收者)将被顺序号同步后的SYN数据包数据传输到CP-B(连接点-B，即接收者或发送者)以初始化连接。在这种情况下，传统的数据包数据延迟装置在SYN数据包数据从CP-A传输到CP-B之后，马上假设CP-B的状态为SYNRCVD。但是，由于上述原因，该传统数据包数据延迟装置作出的假设并不永远都是对的。因此，数据包服务装置210使用的方法是这样的，即，直到在步骤520中从CP-B接收到SYN|ACK数据包数据时，数据包服务装置210才假设该接收当事人状态为准备状态(即，SYNRCVD_R)。

在步骤520中，当SYN|ACK数据包数据被从CP-B传输到CP-A时，数据包服务装置210将CP-A的状态假设为ESTABLISHED_R状态。然后，当对应于SYN|ACK数据包数据的ACK数据包数据被从CP-A传输到CP-B时，数据包服务装置210假设CP-A的状态和CP-B的状态为ESTABLISED状态。

将上述步骤按照相似方式应用于后面步骤中。即，当FIN数据包数据(它表示发送当事人完成了数据传输)被从CP-A传输到CP-B时，数据包服务装置210假设CP-A的状态为CLOSE_R(步骤540)。然后，当ACK数据包数据被从CP-B传输到CP-A时，数据包服务装置210假设CP-A的状态为CLOSED(步骤550)。相似的方法可用于CP-B的状态改变为CLOSED的情况。

下面，参照图5A、图5B和图5D来说明在CP-A和CP-B同时将SYN数据包数据传输到对方的情况下，数据包服务装置210假设CP-A状态和CP-B状态的方法。

当第一SYN数据包数据从CP-A传输到CP-B(步骤510)，且同时第二SYN数据包数据从CP-B传输到CP-A(步骤560)时，数据包服务装置210在通过传输第一SYN数据包数据将CP-A的状态假设为SYNSENT之后，通过传输第二SYN数据包数据将CP-A和CP-B的状态都假设为SYNRCVD_SO。

然后，当CP-A和CP-B响应于SYN数据包数据而向对方传输SYN|ACK数据包数据时，数据包服务装置210假设CP-A和CP-B的状态都为ESTABLISHED。

由于通过上面描述很容易理解，因此下面省略了对将CP-A和CP-B的状态改变为CLOSED的过程的描述。

如上所述，在有线/无线网络中实现数据包传输控制和记账数据产生的方法和装置可以通过分析应用协议层的数据数据包来对数据包访问进行控制，从而解决例如DOS的黑客攻击问题，并对源和目标IP地址进行跟踪，提供对各IP地址/网络的协议分析功能以及TCP/IP层的协议分析功能。

而且，本发明还提供了数据包使用量和分布的实时监视功能以及数据包服务控制功能，且利用该实时数据包使用量数据来执行统计处理和网络容量估算。

而且，本发明可以使安装和操作更加方便，并且，即使用户终端和PCX通过无线数据链路彼此连接，而PCX和网络服务器通过有线数据链路彼此连接时，单独设备也可以在有线/无线互联网中产生初步记账数据，因此本发明对有线/无线结合的环境提供了统一的数据记账解决方法。

而且，本发明可以通过协议分析同时检测内容的类型和各内容的数据包量数据。

而且，本发明可以执行数据包服务控制功能和记账数据产生功能，这两个功能都是通信服务提供商的重要功能，从而可以降低成本并简化系统。

虽然上述描述利用多种实施例说明了本发明的新颖特征，但本领域技术人员应当理解在不脱离本发明范围的情况下，还可以对所描述的设备或处理进行多种省略、替换和改变。因此，本发明的范围由权利要求来限定，而不是由上述说明书限定。权利要求书含义范围内的所有变化例都将包含在其范围内。

Claims

1.一种数据包服务装置，包括：

数据包数据输入部分，用于通过网络接收数据包数据并将该数据包数据存储在共享存储器中，其中该数据包数据至少包含源IP地址和目标IP地址；

过滤部分，用于判断存储在共享存储器中的数据包数据是否符合预定过滤规则，如果数据包数据符合该预定过滤规则，则删除该数据包数据，过滤规则用来判断数据包数据是否被用来进行黑客攻击，或者数据包数据是否受到计算机病毒的感染；

数据包输出部分，用于在数据包数据不符合预定过滤规则时，将该数据包数据对应发送到目标IP地址；

协议分析部分，用于在数据包数据不符合预定过滤规则时，通过在应用协议级上分析数据包数据，分析数据包的总数量和用户信息；所述协议分析部分还包括多个专用于在每一应用协议基础上分析各数据包数据的次级协议分析部分；

数据存储部分，用于将该协议分析部分分析后的信息转换为预定的标准格式，并存储转换后的信息；

数据包数据重新组合部分，当在每一应用协议基础上将数据包数据分成碎片时，该数据包数据重新组合部分将碎片数据包数据重新组合成可以通过该协议分析部分被分析的逻辑数据包数据。

2.如权利要求1所述的装置，其特征在于还包括统计处理部分，用于根据存储在该数据存储部分中的转换后信息产生初步记账数据，其中该初步记账数据包括实时统计和分析后的信息。

3.如权利要求1所述的装置，其特征在于仅在发送当事人将SYN数据包数据发送给接收当事人，且接收当事人将对应于SYN数据包数据的ACK数据包数据发送给发送当事人以后，数据包服务装置将接收当事人的TCP状态假设为SYNRCVD状态。

4.如权利要求1所述的装置，其特征在于如果共享存储器为环形排列类型，则当读取开始的值等于下次读取的值时，可以将共享存储器的可读写块最大化。

5.如权利要求4所述的装置，其特征在于用于共享存储器的操作算法为平衡二叉树算法。

6.一种用于在有线/无线互联网服务系统的数据包服务装置中控制是否应当将从发送当事人处接收到的数据包数据发送给接收当事人的方法，该方法包括：

通过网络接收数据包数据，其中该数据包数据包括源IP地址和目标IP地址；

将数据包数据存储在共享存储器中；

判断该数据包数据是否符合预定过滤规则，过滤规则用来判断数据包数据是否被用来进行黑客攻击，或者数据包数据是否受到计算机病毒的感染；

当在每个应用协议基础上将数据包数据分成碎片时，将碎片数据包数据重新组合成逻辑数据包数据的步骤，该逻辑数据包数据可以通过协议分析部分被分析，协议分析部分包括多个专用于在每一应用协议基础上分析各数据包数据的次级协议分析部分；

如果数据包数据符合该预定过滤规则，删除该数据包数据；

如果数据包数据不符合预定过滤规则，将该数据包数据对应发送到目标IP地址；

如果数据包数据不符合预定过滤规则，通过在应用协议级上分析数据包数据，分析数据包的总数量和用户信息，从而产生初步记账数据；

将该初步记帐数据转换成预定的标准格式并且存储转换后的信息；及

当接收到记账装置发出的发送请求时，将该转换后信息或初步记账数据发送给记账装置。

7.如权利要求6所述的方法，其特征在于，仅在发送当事人将SYN数据包数据发送给接收当事人，且接收当事人将对应于SYN数据包数据的ACK数据包数据发送给发送当事人以后，数据包服务装置将接收当事人的TCP状态假设为SYNRCVD状态。