CN1744534A - 报文镜像方法及具有报文镜像功能的网络设备 - Google Patents

Abstract

本发明公开了一种报文镜像方法，包括：确定报文的镜像长度；将满足镜像条件的原始报文从起始至镜像长度的部分复制到镜像报文中；将镜像报文发送到监控端口。本发明减小了镜像后的报文流量，提高了监控端口的镜像能力，基本上消除了报文丢失的现象，保证了网络监控和分析的准确性，同时本发明实现了对远程监控的支持。

Description

报文镜像方法及具有报文镜像功能的网络设备

技术领域

本发明涉及通信与网络领域，尤其涉及一种报文镜像方法及具有报文镜像功能的网络设备。

背景技术

网络管理员为了对网络中的流量进行监控，经常采用报文镜像技术将感兴趣的报文镜像到监控端口，然后对监控端口的报文进行分析，以获得需要的流量数据。通过这种技术，能够在不影响正常业务，不改变网络拓扑的条件下对网络流量进行监控和分析。

网络管理员通常有两种方式选择镜像的报文，一种是将网络设备的一个或一个以上端口上的报文镜像到另一个监控端口，称为端口镜像；另一种是将满足设定条件的报文镜像到监控端口，称为流镜像。

在现有技术中，报文镜像方法为网络设备复制一份完整的被镜像报文并将该复制报文发送到监控端口。在实际应用中，对端口镜像，用作镜像的监控端口通常情况都只能具有与被镜像的端口同样或更小的带宽，当将多个端口镜像到监控端口上时，很容易出现镜像报文流量大于监控端口带宽的情况；同样在流镜像中，当满足设定条件的报文数量较多时，也会出现镜像报文流量大于监控端口带宽的情况。此时，监控端口必然出现报文丢失的现象。而通常真正需要进行流量监控和分析的网络正是报文流量大的网络，由于无法从监控端口获得全部的报文信息，使得对网络流量的分析和监控没有准确性。

发明内容

本发明要解决的是当镜像报文流量超过监控端口带宽时镜像报文丢失的问题。

本发明所述报文镜像方法包括以下步骤：

确定报文的镜像长度；

将满足镜像条件的原始报文从起始至镜像长度的部分复制到镜像报文中；

将镜像报文发送到监控端口。

优选地，所述将原始报文从起始至镜像长度的部分复制到镜像报文中之后还包括：按照报文的链路层协议进行镜像报文的链路层尾部封装。

优选地，所述将原始报文从起始至镜像长度的部分复制到镜像报文中之后还包括：修改镜像报文链路层报头表示长度的字段。

优选地，所述镜像长度的最小值满足报文协议对报文长度的要求。

本发明所述另一种报文方法包括以下步骤：

依据监控需求确定报文的特征数据；

根据满足镜像条件的原始报文生成特征数据；

将特征数据发送到监控端口。

优选地，在生成特征数据之后还包括：将一个或一个以上原始报文的特征数据逐个写入镜像报文中；

以一个或一个以上特征数据作为载荷，按照报文的协议对镜像报文进行封装；

所述将特征数据发送到监控端口具体为：将包括特征数据的镜像报文发送至监控端口。

优选地，所述对镜像报文进行封装具体为：

以一个或一个以上特征数据作为载荷，按照报文的链路层协议生成镜像报文包括目的链路层地址的报头，所述目的链路层地址为接收镜像报文的节点的链路层地址；

按照报文的链路层协议生成镜像报文的尾部；

以生成的报头和尾部进行镜像报文的封装。

优选地，所述对镜像报文进行封装具体为：

以一个或一个以上特征数据作为载荷，按照报文的网络层协议生成镜像报文包括目的网络层地址的网络层报头和网络层尾部，所述目的网络层地址为接收镜像报文的节点的网络层地址；

按照报文的链路层协议生成镜像报文的链路层报头和链路层尾部；

以生成的报头和尾部进行镜像报文的封装。

优选地，所述特征数据包括组成原始报文的字段、部分字段和/或根据单个原始报文生成的统计值；

所述确定报文的特征数据具体为：

确定特征数据包括的所述字段、部分字段和/或统计值；

确定所述字段、部分字段和/或统计值的字长和排列顺序。

本发明还提供了一种具有报文镜像功能的网络设备，包括镜像单元和至少一个监控端口，镜像单元根据输入的满足镜像条件的原始报文生成镜像报文，输出到监控端口；所述镜像单元包括特征数据生成模块和转发模块，其中：

特征数据生成模块根据满足镜像条件的原始报文生成特征数据，将其写入镜像报文，输出至转发模块；

转发模块将镜像报文转发至监控端口。

优选地，所述镜像单元还包括特征数据设置模块，用来存储和修改特征数据的组成部分及组成格式，其中组成部分包括原始报文的字段、部分字段和/或根据单个原始报文生成的统计值；组成格式包括所述字段、部分字段和/或统计值的字长及其排列顺序；

特征数据生成模块根据特征数据设置模块来生成特征数据。

优选地，所述镜像单元还包括封装模块，连接在特征数据生成模块与转发模块之间，用来按照报文的协议对镜像报文进行封装。

优选地，所述镜像单元还包括合成模块，连接在特征数据生成模块与封装模块之间，用来将超过一个特征数据生成模块输出的镜像报文合成为一个镜像报文。

本发明只对实现监控功能所需的部分原始报文进行镜像，极大地减小了镜像后的报文流量，提高了监控端口的镜像能力，基本上消除了报文丢失的现象，保证了网络监控和分析的准确性；

同时，本发明通过对镜像后的部分报文进行链路层或网络层封装，使得镜像报文可以通过监控端口到达与之相连的网络节点，实现了对远程监控的支持。

附图说明

图1为本发明所述报文镜像方法实施例一的流程图；

图2为本发明所述报文镜像方法实施例二的流程图；

图3为本发明所述报文镜像方法实施例三的流程图；

图4为本发明所述具有镜像功能的网络设备的结构图；

图5为IP报文的链路层以太网帧结构；

图6为根据本发明实施例三所述方法所得的镜像报文的帧结构。

具体实施方式

对于大多数的网络监控和分析，并不需要完整的报文，而通常报文的报头部分已经可以满足监控和分析的需要。例如对于网络路由的流量分析，只需要传输层TCP/UDP(Transfer Control Protocol/User Datagram Protocol，传输控制协议/用户数据报协议)报头即可，而TCP/UDP报文的载荷部分则没有必要也镜像到监控端口。

因此在本发明中，允许用户只将原始报文中需要的部分复制到镜像报文中，通过缩小每个报文的长度提高监控端口的镜像能力，并且提高镜像的效率。本发明既可以用于端口镜像，也可以用于流镜像，对如何设定报文的镜像条件没有限制，例如设定为对某一个单板上所有端口的报文进行镜像，或者设定为对通过整个网络设备的报文进行镜像。

在实际应用中，进行网络监控和分析的设备既可能是进行报文镜像的网络设备本身，也可能是与进行报文镜像的网络设备位于同一子网或VLAN(Virtual Local Area Network，虚拟局域网)的其他节点，还可能是与进行报文镜像的网络设备之间通过路由设备连接的其他节点。本发明的各个实施例分别适用于以上各种情况。在以下的实施例中，将在监控端口以外的其他端口进行正常转发的报文称为原始报文。

图1所示为本发明中报文镜像方法实施例一的流程图，实施例一的方法适用于报文镜像的网络设备自身同时进行网络监控和分析的情况。

在步骤S110，确定报文的镜像长度。在实施例一中，只对设定长度的报文进行镜像。

在步骤S120，对满足镜像条件的原始报文进行复制，将原始报文的起始至镜像长度的部分复制到镜像报文中。复制后的镜像报文相当于将原始报文从超过镜像长度的部分截断。

在步骤S130，将镜像报文发送到监控端口。

对位于同一个网络设备上的监控分析单元，可以通过固定长度来区分各个接收到镜像报文，再根据报文的协议对镜像报文进行分析。

图2所示为本发明中报文镜像方法实施例二的流程图，实施例二的方法适用于进行网络监控和分析的节点直接与监控端口相连接的情况，也可以用于进行报文镜像的网络设备同时进行监控和分析的情况。

在步骤S210，确定报文的镜像长度。与实施例一相同，实施例二中只对设定长度的报文进行镜像。

在步骤S220，对满足镜像条件的原始报文进行镜像，与实施例一中相同，将原始报文从报头至镜像长度的部分复制到镜像报文中。

在步骤S230，修改镜像报文链路层报头中表示长度的字段。本步骤为可选步骤，仅用于报文所使用协议的链路层报头中有表示载荷或报文长度的字段的情况。由于进行网络监控和分析的节点要根据该字段的值来解读镜像报文，因此应将其修改为与截断后的报文相匹配的值。

在步骤S240，按照报文所使用的协议对镜像报文进行链路层封装，即为镜像报文附加符合报文链路层协议标准的链路层包尾，使其具有正常的链路层帧结构。

在实施例一中，镜像报文不需要通过监控端口转发至其他节点，因此只要同一网络设备内的监控单元能够正确解读镜像报文即可。在实施例二中，截断后的报文要通过监控端口转发，必须具有完整的链路层封装；因此，如果报文的链路层协议对报文长度有要求，即对链路层帧结构具有最小帧长的要求，步骤S210中确定的报文镜像长度应当满足在根据该镜像长度对报文截断、重新封装后，镜像报文至少具有该最小帧长。

在步骤S250，将镜像报文转发至监控端口。

与监控端口直接连接的进行网络监控和分析的节点在接收到镜像报文后，即可按照报文协议对其进行分析。

在实施例一和实施例二中，为了与现有技术中不进行报文截断的镜像方式兼容，可以设置在不对镜像长度进行配置时，表示不进行截断，而复制完整的原始报文。

图3所示为本发明中报文镜像方法实施例三的流程图，实施例三的方法对镜像报文的网络设备与进行网络监控和分析的节点的连接关系没有限制。

在实施例三中，用户可以根据其具体的网络监控需求设置对原始报文的哪些部分进行复制，而不必一定需要从报头开始进行某段长度的连续复制。报文按照各层协议逐层封装，每层协议都具有自己的报头各字段和载荷部分，其中载荷部分中包括上层协议的报头字段和上层协议的载荷。由于报头的各字段通常是网络监控和分析所需要的重要参数，因而组成原始报文的字段是通常复制时都会包括的内容。

用户也可以设置对字段的一部分进行复制，例如对载荷中的某些部分进行复制。

用户还可以设置将对单个原始报文的一些统计值写入镜像报文中，例如原始报文的长度。这样，一些只有通过完整的报文才能获知的信息在镜像过程中仍然可以得到保留。

用户所选择的上述内容，包括组成原始报文的字段、部分字段和/或根据单个原始报文生成的统计值，需要按照设定的字长和顺序排列，才能确保接收镜像报文的节点可以正确解读。字段和统计值都具有或者可以设定为固定的字长，而部分字段则有可能是可变长度。对可变长度，可以在其内容前增加某个固定长度的表示长度的字段。这样，按照设定的排列顺序以及字长生成的字段、部分字段和/或统计值的组合，即构成某个原始报文的特征数据。实施例三中对原始报文的特征数据进行镜像。

在步骤S310，依据监控需求确定特征数据包括的字段、部分字段和/或统计值。

在步骤S320，确定步骤S310中选择的字段、部分字段和/或统计值的字长和排列顺序，以使接收镜像报文的节点能够正确解读特征数据的含义。

在步骤S330，根据满足镜像条件的原始报文生成该原始报文的特征数据。

在步骤S340，将一个或一个以上原始报文的特征数据写入镜像报文中。当单个报文的特征数据具有较小的总字长时，可以将多个特征数据合并到一个镜像报文中，一次发送到进行网络监控和分析的节点，这样可以进一步提高镜像的效率，减轻该节点的资源消耗。

在将多个特征数据合并到一个镜像报文中时，要其总长度不能超过协议规定的载荷最大字长。

在步骤S350，以特征数据作为载荷，对镜像报文按照其协议进行封装。对镜像报文的封装可以根据进行网络监控和分析的节点与监控端口的连接关系来进行。

当该节点与监控端口直接连接或与监控端口位于同一子网、VLAN等通过链路层转发可达的网络时，只需要对镜像报文进行链路层封装即可。此时，封装的具体步骤如下：

以步骤S340中的一个或一个以上特征数据作为载荷，按照报文的链路层协议生成镜像报文的链路层报头；在链路层报头中包括的目的链路层地址是接收镜像报文的节点的链路层地址，而源链路层地址可以是监控端口的链路层地址；

按照报文的链路层协议生成镜像报文的链路层尾部；

以生成的报头和尾部进行镜像报文的封装。

当该节点与监控端口之间必须经过网络层设备转发时，则应对镜像报文进行网络层和链路层封装。此时，封装的具体步骤如下：

以步骤S340中的一个或一个以上特征数据作为载荷，按照报文的网络层协议生成镜像报文的网络层报头和网络层尾部；在网络层报头中包括的目的网络层地址为接收镜像报文的节点的网络层地址，源网络层地址可以是监控端口的网络层地址；

按照报文的链路层协议，根据网络层报头和网络层尾部生成镜像报文的链路层报头和链路层尾部；

以生成的报头和尾部进行镜像报文的封装。

在步骤S360，将镜像报文发送到监控端口。

镜像报文按照其目的链路层地址或目的网络层地址到达进行网络监控和分析的节点，该节点根据步骤S320中设定的字长和排列顺序来提取镜像报文中包含的原始报文信息，进行分析和监控。

本发明的实施例四只适用于报文镜像的网络设备自身同时进行网络监控和分析的情况，实施例四的报文镜像方法是对实施例三的简化，因为镜像报文不需要发送到网络设备外而省略了对镜像报文的封装。实施例四的具体步骤如下：

A1.依据监控需求确定报文的特征数据；

A2.根据满足镜像条件的原始报文生成对应于该原始报文的特征数据；

A3.将特征数据发送到监控端口。

步骤A1包括实施例三中的步骤S310和步骤S320。

本发明还提供了一种应用上述镜像方法的网络设备，包括至少一个监控端口和镜像单元。满足镜像条件的原始报文输入到镜像单元，镜像单元据之生成镜像报文，并将镜像报文输出到监控端口。在本发明中，镜像单元的内部结构和监控端口如图4所示。

镜像单元410与监控端口420连接，包括特征数据生成模块411、合成模块412、封装模块413、转发模块414和特征数据设置模块415。

特征数据生成模块411根据输入的原始报文生成该原始报文的特征数据，将其写入镜像报文输出。

合成模块412是可选模块，连接在特征数据生成模块411和封装模块413之间，用来将一个以上特征数据生成模块输出的仅包括特征数据的镜像报文合并为一个镜像报文，并将合并后的镜像报文输出到封装模块413。合成模块在实现实施例三的方法时可以选用，同时要注意合成后镜像报文不应超过报文协议允许的最大载荷长度。

封装模块413也是可选模块，连接在合成模块413与转发模块414之间，用来根据报文所使用的协议对镜像报文进行封装，封装后的镜像报文输出到转发模块415。封装模块用于实现实施例二和实施例三的方法，其进行的封装可能是链路层的尾部封装，也可能是链路层的报头和尾部封装，还可能是网络层和链路层的报头和尾部封装。

转发模块414用来将镜像报文转发至监控端口420。

特征数据设置模块415是可选模块，与特征数据生成模块411连接，用来保存用户设定的特征数据的组成部分及组成格式，并为用户提供修改上述的组成部分及组成格式的方法。其中，组成部分包括原始报文的字段、部分字段和/或根据单个原始报文生成的统计值；组成格式包括所述字段、部分字段和/或统计值的字长及其排列顺序。特征数据生成模块411根据特征数据设置模块415中当前的设置由原始报文生成特征数据。

以下以采用TCP/IP(Transfer Control Protocol/Internet Protocol，传输控制协议/互联网协议)的以太网报文为例，说明本发明实施例二和实施例三的封装过程。

图5所示为IP报文的链路层以太网帧结构。链路层报头包括6字节的目的MAC(Media Access Control，媒介接入控制)地址字段、6字节的源MAC地址字段和2字节的长度/类型字段，链路层载荷的字长范围为46至1517字节，链路层的尾部为4字节的CRC(Cyclic Redundancy Code，循环冗余码)校验字段。

在实施例二中，报文镜像长度最小值为60字节，此时链路层载荷为协议规定的下限46字节。在对原始报文按照报文镜像长度部分复制到镜像报文中后，应当按照协议计算出镜像报文的CRC校验码，并写入在镜像报文尾部增加4字节的CRC校验字段，完成对以太网MAC帧的封装。

在实施例三中，设特征数据为原始报文中4字节的目的IP地址字段、4字节的源IP地址字段和根据原始报文的总字长统计得出的2字节的报文长度，进行网络监控和分析的节点与监控端口在同一个子网内，因而只需对镜像报文进行链路层封装。进行链路层封装后的镜像报文如图6所示，链路层载荷由一个以上的特征数据组成，每个特征数据占用10字节，由于协议要求链路层载荷的字长为46至1517字节，则一个镜像报文中最少应该有5个特征数据，而最多则不能超过151个。根据协议，为这些特征数据增加链路层报头，其中的目的MAC地址是接收镜像报文进行监控和分析的节点的MAC地址，源MAC地址是监控端口的MAC地址。同时，还要根据协议计算出CRC校验码，并将其写入4字节的CRC校验字段，完成对镜像报文封装，以使其能够和其他的以太网帧一样，转发至具有目的MAC地址的节点。

本发明采用的镜像方法极大地提升了监控端口的利用率，使其能够支持更大流量，同时还提升了网络监控和分析节点处理镜像报文的能力，减轻了该节点的网络负荷。

以上所述的本发明实施方式，并不构成对本发明保护范围的限定。任何在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的权利要求保护范围之内。

Claims (13)

1.一种报文镜像方法，其特征在于，包括以下步骤：

确定报文的镜像长度；

将满足镜像条件的原始报文从起始至镜像长度的部分复制到镜像报文中；

将镜像报文发送到监控端口。

2.按照权利要求1所述的报文镜像方法，其特征在于，所述将原始报文从起始至镜像长度的部分复制到镜像报文中之后还包括：按照报文的链路层协议进行镜像报文的链路层尾部封装。

3.按照权利要求2所述的报文镜像方法，其特征在于，所述将原始报文从起始至镜像长度的部分复制到镜像报文中之后还包括：修改镜像报文链路层报头表示长度的字段。

4.按照权利要求2或3所述的报文镜像方法，其特征在于：所述镜像长度的最小值满足报文协议对报文长度的要求。

5.一种报文镜像方法，其特征在于，包括以下步骤：

依据监控需求确定报文的特征数据；

根据满足镜像条件的原始报文生成特征数据；

将特征数据发送到监控端口。

6.按照权利要求5所述的报文镜像方法，其特征在于，在生成特征数据之后还包括：将一个或一个以上原始报文的特征数据逐个写入镜像报文中；

以一个或一个以上特征数据作为载荷，按照报文的协议对镜像报文进行封装；

所述将特征数据发送到监控端口具体为：将包括特征数据的镜像报文发送至监控端口。

7.按照权利要求6所述的报文镜像方法，其特征在于，所述对镜像报文进行封装具体为：

以一个或一个以上特征数据作为载荷，按照报文的链路层协议生成镜像报文包括目的链路层地址的报头，所述目的链路层地址为接收镜像报文的节点的链路层地址；

按照报文的链路层协议生成镜像报文的尾部；

以生成的报头和尾部进行镜像报文的封装。

8.按照权利要求6所述的报文镜像方法，其特征在于，所述对镜像报文进行封装具体为：

以一个或一个以上特征数据作为载荷，按照报文的网络层协议生成镜像报文包括目的网络层地址的网络层报头和网络层尾部，所述目的网络层地址为接收镜像报文的节点的网络层地址；

按照报文的链路层协议生成镜像报文的链路层报头和链路层尾部；

以生成的报头和尾部进行镜像报文的封装。

9.按照权利要求5至8任意一项所述的报文镜像方法，其特征在于，所述特征数据包括组成原始报文的字段、部分字段和/或根据单个原始报文生成的统计值；

所述确定报文的特征数据具体为：

确定特征数据包括的所述字段、部分字段和/或统计值；

确定所述字段、部分字段和/或统计值的字长和排列顺序。

10.一种具有报文镜像功能的网络设备，包括镜像单元和至少一个监控端口，镜像单元根据输入的满足镜像条件的原始报文生成镜像报文，输出到监控端口，其特征在于，所述镜像单元包括特征数据生成模块和转发模块，其中：

特征数据生成模块根据满足镜像条件的原始报文生成特征数据，将其写入镜像报文，输出至转发模块；

转发模块将镜像报文转发至监控端口。

11.按照权利要求10所述的网络设备，其特征在于：所述镜像单元还包括特征数据设置模块，用来存储和修改特征数据的组成部分及组成格式，其中组成部分包括原始报文的字段、部分字段和/或根据单个原始报文生成的统计值；组成格式包括所述字段、部分字段和/或统计值的字长及其排列顺序；

特征数据生成模块根据特征数据设置模块来生成特征数据。

12.按照权利要求10所述的网络设备，其特征在于：所述镜像单元还包括封装模块，连接在特征数据生成模块与转发模块之间，用来按照报文的协议对镜像报文进行封装。

13.按照权利要求12所述的网络设备，其特征在于，所述镜像单元还包括合成模块，连接在特征数据生成模块与封装模块之间，用来将超过一个特征数据生成模块输出的镜像报文合成为一个镜像报文。

Images