TW202243446A

TW202243446A - 網路裝置及封包複製方法

Info

Publication number: TW202243446A
Application number: TW110131542A
Authority: TW
Inventors: 曉強陳; 東君姜
Original assignee: 新加坡商瑞昱新加坡有限公司
Priority date: 2021-04-27
Filing date: 2021-08-25
Publication date: 2022-11-01
Also published as: US20220345403A1; US11637776B2; CN115250255A; TWI777748B

Abstract

本案揭露一種網路裝置及封包複製方法。網路裝置包含分類引擎、轉發引擎及封包複製裝置，封包複製裝置包含介面電路、複製控制電路及儲存單元。介面電路自轉發引擎讀取封包且對應輸出一複製封包給複製控制電路。複製控制電路計算複製封包對應之當前速率，以及查詢一串流對照表中的串流的一複製封包累計數量，並依據當前速率以及複製封包累計數量，以決定轉發複製封包。儲存單元係儲存串流對照表。複製控制電路透過至少一通訊埠將複製封包傳送至至少一應用引擎以進行安全應用程式的檢查，以因應網路安全性的需求。

Description

網路裝置及封包複製方法

本案係有關一種網路設備，特別是關於一種以每一串流為基礎進行封包複製的網路裝置及封包複製方法。

隨著網際網路的普及，住宅網路、商業網路、教育網路、研究網路等環境的安全性日益成為一項重要的課題。有新興的安全應用程式，例如威脅偵測、父母控制或是深度封包檢查等，這些應用程式通常需要檢查用戶資料流量，以檢測與安全相關的問題。

以住宅網路為例，如圖1所示，在一般的住宅閘道器（residential gateway）30中，其係提供家用網路到網際網路的存取，封包會由入口埠32進入，分類引擎34識別封包並將欲傳送之封包傳送給轉發引擎36，使轉發引擎36根據IP位址將封包透過對應之出口埠38輸出相對應的封包。然而，傳統的住宅閘道器（residential gateway）30內並沒有對封包以作為安全應用程式的檢查，因此無法因應目前網路安全性的需求。

本發明提供一種網路裝置，包含一分類引擎、一轉發引擎以及一封包複製裝置，分類引擎連接轉發引擎，封包複製裝置連接轉發引擎。分類引擎係識別一串流之複數封包，並將封包傳送至轉發引擎，轉發引擎將封包轉發至對應之一出口埠。封包複製裝置包含一介面電路、一複製控制電路以及一儲存單元。介面電路連接轉發引擎，以自轉發引擎讀取至少一封包且對應輸出一複製封包。複製控制電路連接介面電路，以接收複製封包，複製控制電路計算複製封包對應之當前速率，以及查詢在一串流對照表中的串流的一複製封包累計數量，並依據當前速率及複製封包累計數量，以決定透過至少一通訊埠轉發複製封包到至少一應用引擎。

本案另外提供一種封包複製方法，包含：自一轉發引擎中讀取一串流之一封包且對應輸出一複製封包；計算複製封包對應之一當前速率；查詢一串流對照表中的串流的一複製封包累計數量；依據當前速率以及複製封包累計數量，以決定轉發複製封包至一應用引擎。

綜上所述，本案係透過獨立的串流式封包複製裝置來增強網路裝置的設計，以不會干擾或影響轉發引擎之封包轉發功能，並提供更多的應用功能。例如：本案為安全應用程式提供封包檢查，且封包複製裝置係不會干擾或影響轉發引擎之正常的封包轉發功能，讓用戶端資料流量在正常運作的前提下，同時提高網路的安全性。

底下藉由具體實施例配合所附的圖式詳加說明，當更容易瞭解本案之目的、技術內容及其所達成的功效。

以下將配合相關圖式來說明本案的實施例。在這些圖式中，相同的標號表示相同或類似的元件或電路。

必須瞭解的是，使用在本說明書中的“包含”、“包括”等詞，是用於表示存在特定的技術特徵、數值、方法步驟、作業處理和/或元件，但並不排除可加上更多的技術特徵、數值、方法步驟、作業處理、元件，或以上的任意組合。

圖2為根據本案一實施例的網路裝置之方塊示意圖，請參閱圖2所示，一網路裝置10包含複數個入口埠（Ingress Port）12、一分類引擎（Classification Engine）14、一轉發引擎（Forwarding Engine）16、複數個出口埠（Egress Port）18以及一封包複製（packet replication）裝置20。入口埠12連接分類引擎14，分類引擎14連接轉發引擎16，轉發引擎16連接出口埠18及封包複製裝置20。串流（封包流）會自入口埠12進入分類引擎14，分類引擎14係在識別可用於流量控制操作和安全策略操作之串流，串流係由封包標頭及/或封包內的資料來識別，且同一串流中之複數封包具有相同之來源IP位址、目的IP位址、來源埠號及目的埠號，以據此識別封包。其中，流量控制操作包含速率限制、優先權設定或封包編輯等，安全策略操作包含封包的丟棄（drop）或重定向（redirect）等。因此，分類引擎14設置在轉發引擎16之前，使得要丟棄或拋棄的封包不需要再轉發。

轉發引擎16在接收到封包之後，會通過檢查封包參數，例如目的IP位址來決定封包將轉發到的對應出口埠18。並且，封包複製裝置20會基於每一串流，將封包進行複製並提供給至少一應用引擎，在此係以安全引擎為例，例如：設備上之設置一本地引擎22，例如可由一中央處理單元（CPU）來執行安全相關的應用程式；又例如：位於網際網路上的一遠端引擎24，但不以此為限。在一實施例中，該設備可利用一本地引擎22與一遠端引擎24進行安全性的檢查。在一實施例中，本地引擎22及遠端引擎24可為一個或多個與安全相關的應用程式，例如威脅偵測、父母控制或是深度封包檢查等。

圖3為根據本案一實施例的封包複製裝置之方塊示意圖，請同時參閱圖2及圖3所示，封包複製裝置20包含一介面電路201、一複製控制電路202、一儲存單元203以及至少一通訊埠204，其中為對應本地引擎22及遠端引擎24，至少一通訊埠204包含一本地CPU埠（local CPU port）2041以及一隧道埠（tunnel port）2042。複製控制電路202透過介面電路201連接轉發引擎16，複製控制電路202電性連接儲存單元203、至少一通訊埠204；複製控制電路202透過本地CPU埠2041訊號連接本地引擎22以及透過隧道埠2042訊號連接遠端引擎24。在一實施例中，轉發引擎16係利用要轉發封包的讀取指標（read pointer），介面電路201也使用此讀取指標以自轉發引擎16中讀取封包並輸出一複製封包給複製控制電路202。複製控制電路202係為整個封包複製裝置20的中央控制邏輯，用以管理用於串流管理的串流對照表206、依據一最大速率以控制是否將複製封包透過本地CPU埠2041或隧道埠2042輸出到本地引擎22或遠端引擎24。儲存單元203係用以儲存串流對照表206。詳言之，複製控制電路202透過介面電路201接收複製封包，複製控制電路202考慮封包之長度與漸進時間來計算複製封包對應之當前速率，並在判斷該當前速率不大於（小於或等於）最大速率時，進一步查詢儲存在儲存單元203內之串流對照表206，並判斷串流對照表206中紀錄之串流的一複製封包累計數量是否不大於（小於或等於）一預定封包數量，並在複製封包累計數量不大於預定封包數量時，複製控制電路202增加複製封包累計數量並透過本地CPU埠2041傳送複製封包給本地引擎22或是透過隧道埠2042傳送複製封包給遠端引擎24。另一方面，複製控制電路202在當前速率大於最大速率時或在複製封包累計數量大於預定封包數量時，丟棄複製封包。

在一實施例中，上述之預定封包數量係為對應之串流中的前面複數個封包。

在一實施例中，介面電路201係為一雙埠隨機存取記憶體（dual-ported RAM，DPRAM）介面。

串流對照表206請參閱圖4所示，在串流對照表206中有m條串流條目，每一串流條目都具有從字段1到字段n的多個封包參數，以定義對應之串流。在一實施例中，多個封包參數係為5元組（5-tuple）時，n等於5，每一串流條目包含一來源IP位址、一目的IP位址、一來源埠號、一目的埠號及一傳輸層協定等封包參數。請同時參閱圖3及圖4所示，複製控制電路202更包含複數計數器202a及複數計時器202b，每一串流條目都各別對應一計數器202a及一計時器202b，每一計數器202a計數複製控制電路202轉發每一串流中的複製封包的數量，並將獲得的複製封包累計數量記錄於串流對照表206中，每一計時器202b係計算每一串流條目之一老化時間，並將該老化時間記錄於串流對照表206中。因此，每一串流條目除了記載來源IP位址、目的IP位址、來源埠號、目的埠號及傳輸層協定等封包參數之外，更包含每一串流的複製封包累計數量以及老化時間。

請同時參閱圖3及圖4所示，複製控制電路202更可在接收到複製封包之後，先判斷此複製封包所屬之串流是否存在於串流對照表206之m條串流條目中，若是，表示此複製封包所屬之串流確實存在於串流對照表206中之串流條目中，複製控制電路202重置此串流對應之串流條目中的老化時間，以反應此串流的連續活動；若否，表示此複製封包所屬之串流不存在於串流對照表206中之串流條目中，複製控制電路202則於串流對照表206中創建一新串流條目，以記載此串流對應之封包參數、複製封包累計數量以及老化時間。並且，即使在複製封包累計數量大於預定封包數量時，串流條目也不一定會過期，但當其中一串流條目中之老化時間係超過一預設過期時間時，複製控制電路202會自串流對照表206中刪除此串流條目。

承上所述，前述之將複製封包輸出到本地引擎22或遠端引擎24的最大速率、預定封包數量以及預設過期時間係為可配置參數（configurable parameter），可以依據實際使用環境與狀況對應調整。並且，使用者更可以依據自身需求來選擇啟用封包複製裝置20或是禁用封包複製裝置20。

請參閱圖3所示，本地引擎22位於網路裝置10的設備內部，通常在設備的CPU上運行，所以複製封包將會透過本地CPU埠2041傳送至本地引擎22。另外，由於遠端引擎24位於網際網路（Internet）的遠程位置，這需要例如隧道協定（tunneling protocol）的機制才能將複製封包透過隧道埠2042傳遞到遠端引擎24。隧道協定是一種通訊協定，例如可以選擇使用一基於標準的網際網路安全協定隧道（standards-based IPsec tunnel）。

基於上述的網路裝置10，本案進一步提出一種封包複製方法，適用於網路裝置10，封包複製方法之步驟將詳細說明如下。

請同時參閱圖2至圖5所示，一串流之複數封包會由入口埠12進入，並經由分類引擎14之辨識與分類後傳送至轉發引擎16進行轉發，此時，如步驟S10所示，封包複製裝置20中的複製控制電路202透過介面電路201接收自轉發引擎16中讀取此串流之封包所產生之一複製封包。如步驟S12所示，複製控制電路202根據複製封包查詢儲存於儲存單元203內的串流對照表206，然後如步驟S14所示，複製控制電路202可判斷複製封包所屬之串流是否存在於串流對照表206中之複數串流條目，若複製封包所屬之串流確實已存在於串流對照表206中之串流條目中，進行步驟S16，複製控制電路202重置串流對應之串流條目中的老化時間，以利用計時器202b重新開始計算此串流的老化時間；若複製封包所屬之串流沒有存在於串流對照表206中之串流條目中，則進行步驟S18。如步驟S18所示，複製控制電路202於串流對照表206中創建一新串流條目，同時，分別透過計數器202a及計時器202b計算此串流的複製封包的數量及老化時間，並將獲得的複製封包累計數量及老化時間分別記錄於串流對照表206中。

接著，如步驟S20及步驟S22所示，複製控制電路202計算此複製封包對應之當前速率，並判斷該當前速率是否不大於一最大速率；當前速率不大於最大速率時，如步驟S24所示，複製控制電路202查詢串流對照表206。在判斷當前速率大於最大速率時，如步驟S26所示，複製控制電路202丟棄此複製封包。在完成如步驟S24所示之查詢串流對照表206的步驟後，如步驟S28所示，複製控制電路202判斷串流對照表206中紀錄之串流的複製封包累計數量是否不大於一預定封包數量。在複製封包累計數量不大於預定封包數量時，如步驟S30及步驟S32所示，計數器202a會增加該複製封包累計數並將其儲存於串流對照表206中，然後再轉發此複製封包經過本地CPU埠2041或隧道埠2042傳送至對應之本地引擎22或遠端引擎24。若複製控制電路202在步驟S28中判斷出複製封包累計數量係大於預定封包數量時，如步驟S26所示，複製控制電路202直接丟棄此複製封包。封包複製裝置20自轉發引擎16中讀取而予以複製取得的複製封包都可以藉由前述流程轉發至本地引擎22或遠端引擎24，以進行安全性的封包檢查。

再者，請參閱圖2所示，本地引擎22或是遠端引擎24一旦檢測到串流中之封包有安全威脅或警報時，便可以利用分類引擎14來阻止該串流進入，此功能可稱為黑名單（blacklisting）或存取控制列表（Access Control List，ACL）。另外，分類引擎14還可以使用白名單，此白名單可明確允許特定封包串流通過而不會被阻擋或拒絕，本地引擎22或是遠端引擎24可以使用白名單來允許某些串流封包直接通過而不需要被複製。為了支持白名單之功能，網路裝置10需要分類引擎14來通知封包複製裝置20，使封包複製裝置20讓白名單中的串流封包可以通過，而不會在此串流上複製封包。此部分可以透過定義一接收封包的封包參數中的封包標頭的控制位元來實現，此封包標頭用於將封包控制資訊從一個引擎傳遞到設備中的另一個引擎，封包標頭的控制位元將向封包複製裝置20指示是否需要複製此封包。

一實施例中，該案的架構也很容易地可適用於其他應用。也就是，當本地引擎22及/或遠端引擎24來執行相關的其他應用程式，本該案的架構也很容易地可適用於其他應用。

綜上所述，本案係透過獨立的串流式封包複製裝置來增強網路裝置的設計，封包複製裝置可以識別動態串流封包，並將封包複製到安全引擎，以為安全應用程式提供封包檢查，且封包複製裝置係不會干擾或影響轉發引擎之正常的封包轉發功能，讓用戶端資料流量在正常運作的前提下，同時提高網路的安全性。

以上所述的實施例僅係為說明本案的技術思想及特點，其目的在使熟悉此項技術者能夠瞭解本案的內容並據以實施，當不能以之限定本案的專利範圍，即大凡依本案所揭示的精神所作的均等變化或修飾，仍應涵蓋在本案的申請專利範圍內。

10:網路裝置 12:入口埠 14:分類引擎 16:轉發引擎 18:出口埠 20:封包複製裝置 201:介面電路 202:複製控制電路 202a:計數器 202b:計時器 203:儲存單元 204:通訊埠 2041:本地CPU埠 2042:隧道埠 206:串流對照表 22:本地引擎 24:遠端引擎 30:住宅閘道器 32:入口埠 34:分類引擎 36:轉發引擎 38:出口埠 S10~S32:步驟

圖1為習知的住宅閘道器之方塊示意圖。圖2為根據本案一實施例的網路裝置之方塊示意圖。圖3為根據本案一實施例的封包複製裝置之方塊示意圖。圖4為根據本案一實施例的串流對照表之示意圖。圖5為根據本案一實施例的封包複製方法之流程示意圖。

10:網路裝置

12:入口埠

14:分類引擎

16:轉發引擎

18:出口埠

20:封包複製裝置

22:本地引擎

24:遠端引擎

Claims

一種網路裝置，包含：一分類引擎，識別一串流之複數封包；一轉發引擎，連接該分類引擎，並將該些封包轉發至對應之一出口埠；以及一封包複製裝置，連接該轉發引擎，該封包複製裝置包含：一介面電路，連接該轉發引擎，以自該轉發引擎讀取至少一該封包且對應輸出一複製封包；一複製控制電路，連接該介面電路，以接收該複製封包，該複製控制電路計算該複製封包對應之當前速率，以及查詢在一串流對照表中的該串流的一複製封包累計數量，並依據該當前速率以及該複製封包累計數量以決定透過至少一通訊埠轉發該複製封包到至少一應用引擎；以及一儲存單元，其係儲存該串流對照表。
如請求項1所述之網路裝置，其中該複製控制電路更可在接收到該複製封包之後，先判斷該複製封包所屬之該串流是否存在於該串流對照表中之複數串流條目，若是，重置該串流對應之該串流條目中的一老化時間，若否，則於該串流對照表中創建一新串流條目。
如請求項2所述之網路裝置，其中該複製控制電路更包含複數計數器及複數計時器，每一該串流條目都各別對應一該計數器及一該計時器，其中在該老化時間超過一預設過期時間時，該複製控制電路自該串流對照表中刪除該串流條目。
如請求項1所述之網路裝置，其中在該當前速率大於一最大速率與該複製封包累計數量大於一預定封包數量的至少之一時，該複製控制電路丟棄該複製封包。
如請求項2所述之網路裝置，其中該串流對照表中之每一該串流條目除了記載該複製封包累計數量以及該老化時間之外，更包含一來源IP位址、一目的IP位址、一來源埠號、一目的埠號及一傳輸層協定等封包參數，以根據該封包參數判斷該複製封包所屬之該串流是否存在於該串流對照表中。
如請求項1所述之網路裝置，其中該至少一應用引擎係為一安全引擎。
如請求項1所述之網路裝置，其中該介面電路係為一雙埠隨機存取記憶體（dual-ported RAM，DPRAM）介面。
一種封包複製方法，包含：自一轉發引擎中讀取一串流之一封包且對應輸出一複製封包；計算該複製封包對應之一當前速率；查詢一串流對照表中的該串流的一複製封包累計數量；以及依據該當前速率以及該複製封包累計數量，以決定轉發該複製封包至一應用引擎。
如請求項8所述之封包複製方法，其中在接收到該複製封包之步驟後，更可先判斷該複製封包所屬之該串流是否存在於該串流對照表中之複數串流條目，若是，重置該串流對應之該串流條目中的一老化時間，若否，則於該串流對照表中創建一新串流條目。
如請求項9所述之封包複製方法，其中每一該串流條目都各別記錄有對應之該複製封包累計數量以及該老化時間，其中該串流對照表中之每一該串流條目更包含一來源IP位址、一目的IP位址、一來源埠號、一目的埠號及一傳輸層協定等封包參數，以根據該封包參數判斷該複製封包所屬之該串流是否存在於該串流對照表中。
如請求項8所述之封包複製方法，其中在該當前速率大於一最大速率與該複製封包累計數量大於一預定封包數量的至少之一時，則丟棄該複製封包。