WO2012159338A1 - 一种虚拟专用网络的分流方法、分流设备和分流系统 - Google Patents

一种虚拟专用网络的分流方法、分流设备和分流系统 Download PDF

Info

Publication number
WO2012159338A1
WO2012159338A1 PCT/CN2011/077425 CN2011077425W WO2012159338A1 WO 2012159338 A1 WO2012159338 A1 WO 2012159338A1 CN 2011077425 W CN2011077425 W CN 2011077425W WO 2012159338 A1 WO2012159338 A1 WO 2012159338A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
network identifier
network
vpn
message
Prior art date
Application number
PCT/CN2011/077425
Other languages
English (en)
French (fr)
Inventor
云长江
陆春华
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to CN201180001353.8A priority Critical patent/CN103004145B/zh
Priority to PCT/CN2011/077425 priority patent/WO2012159338A1/zh
Publication of WO2012159338A1 publication Critical patent/WO2012159338A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks

Definitions

  • the present invention relates to the field of communications, and in particular, to a shunting method, a shunting device, and a shunting system for a virtual private network.
  • the Internet plays an increasingly important role in people's daily work and life. If the Internet cannot be effectively monitored and managed, it will cause harm to the national, business or personal network.
  • the technology commonly used for monitoring information is shunting.
  • the device used for the offloading (hereinafter referred to as the traffic distribution device) filters the received packets from the pre-stage device, and filters the packets according to the access control list (English name: Access Control List, hereinafter referred to as ACL).
  • ACL Access Control List
  • the packets that do not match any of the ACLs are directly discarded.
  • the packets matching the ACL are output to the back-end device for analysis and processing.
  • the ACL rule is set for the quintuple of the message.
  • the virtual private network (English full name: Virtual Private Network, hereinafter referred to as: VPN) is a technology for constructing a private data network on the backbone broadband Internet protocol (English full name: Internet Protocol, hereinafter referred to as: IP).
  • IP Internet Protocol
  • packets are filtered according to the ACL rules. In fact, only one or more of the packets are matched. This causes the packets destined to a back-end device to come from multiple packets.
  • VPN network which is not conducive to the analysis of 4 ⁇ text in the same VPN network.
  • An embodiment of the present invention provides a method for distributing a virtual private network, a traffic distribution device, and a traffic distribution system, so as to be able to analyze each user in the same VPN network.
  • an aspect of the present invention provides a method for offloading a virtual private network, including:
  • the network identifier of the packet matches the preset network identifier, parsing the packet to obtain at least one of the quintuple of the suffix;
  • the file is sent to the back-end device group corresponding to the network identifier of the ⁇ ⁇ .
  • Another aspect of the embodiments of the present invention provides a traffic distribution device of a virtual private network, including:
  • a receiving unit configured to receive a packet sent by a pre-stage device in the virtual private network VPN, where the network identifier of the packet is carried in the packet, where the network identifier of the packet is used to indicate the packet The VPN network to which it belongs;
  • a first network processor configured to parse the packet, and obtain a network identifier of the packet;
  • the first matching unit is configured to determine whether the network identifier of the packet matches a preset network identifier;
  • the network identifier corresponds to the backend device group;
  • a second network processor configured to parse the packet to obtain at least one of a quintuple of the packet if the result of the determining by the first matching unit is a match;
  • a second matching unit configured to determine whether at least one of the quintuple of the ⁇ gram matches the ACL entry
  • the first execution unit is configured to send the packet to a backend device group corresponding to the network identifier of the packet if the determination result of the second matching unit is a match.
  • a further aspect of the present invention provides a traffic distribution device of a virtual private network, comprising: a pre-stage device, a offload device, and at least one back-end device group; wherein:
  • the pre-stage device is configured to obtain a packet from the virtual private network VPN, and send the packet to the traffic distribution device;
  • the shunt device is the above-mentioned shunt device;
  • the at least one back-end device group is configured to divide the packet sent by the offloading device into a virtual private network shunting method, a shunting device, and a shunting system, which are provided by the embodiments of the present invention.
  • the network identifier matches the preset network identifier
  • the parsing text is parsed; when at least one of the quintuples of the 4 grammar matches the ACL entry, the 4 ⁇ text is sent to the ⁇ ⁇
  • the network device identifier corresponds to the backend device group. Since the preset network identifier corresponds to the backend device group, it can ensure that the packets destined to the same backend device group are from the same VPN network, that is, for each backend device in the same backend device group. In other words, the packets it receives are from the same VPN network.
  • FIG. 1 is a flowchart of a method for offloading a virtual private network according to an embodiment of the present invention
  • FIG. 2 is a flowchart of another method for distributing a virtual private network according to an embodiment of the present invention
  • 2b is a flow chart of another method for offloading a virtual private network according to an embodiment of the present invention.
  • FIG. 3 is a schematic structural diagram of a traffic distribution device of a virtual private network according to an embodiment of the present invention.
  • FIG. 4 is a schematic diagram of a structure of a traffic distribution device of another virtual private network according to an embodiment of the present disclosure
  • FIG. 5 is a schematic structural diagram of a traffic distribution device of another virtual private network according to an embodiment of the present disclosure
  • FIG. 6 is a schematic diagram of a traffic distribution system of a virtual private network according to an embodiment of the present invention. detailed description
  • the embodiment of the present invention provides a method for offloading a virtual private network, and the execution body of the offloading method may be a traffic distribution device.
  • the method for distributing the virtual private network includes:
  • the VPN networks to which the at least two files belong belong are the same.
  • the network identifier of the packet can be carried in a field of the packet.
  • the pre-stage device refers to a device in the VPN network that is logically located upstream of the offload device.
  • the pre-stage device may be a splitter, and the optical splitter sends the split message to the shunt device.
  • the VPN network may be a multi-protocol label switching (hereinafter referred to as: Multi-Protocol Label Switching, hereinafter referred to as: MPLS) VPN network.
  • MPLS Multi-Protocol Label Switching
  • the network identifier is a label.
  • the packet is parsed, and the field identifier of the network identifier of the packet is read in the packet, and the network identifier of the packet is obtained.
  • the backend device refers to a VPN.
  • the backend device can be a data analytics server.
  • a preset network identifier corresponds to a backend device group, and the backend device group includes at least one backend device.
  • a back-end device group includes one back-end device or multiple (for example, two or more) back-end devices, which can be preset according to actual needs.
  • the network identifier is used to indicate the VPN network to which the 4 ⁇ text belongs, and the preset network identifier corresponds to the back-end device group, this can ensure that the traffic-distributing device can offload the slogan from the same VPN network to the same back-end device. group.
  • the network identifier of the packet matches the preset network identifier, where the network identifier of the packet is compared with the preset network identifier, and one of the network identifier of the packet and the preset network identifier. The same, then match, otherwise it does not match.
  • the network identifier of the message matches the preset network identifier, parse the message, and obtain at least one of the quintuple of the message;
  • the quintuple includes: a source IP address, a destination IP address, a protocol number, a source port number, and a destination port number.
  • the rule may be preset, and in 104, the message may be parsed according to a preset rule.
  • the preset rule may be a rule preset by at least one of a quintuple of the message.
  • the preset rule may be a rule preset for the source port number in the packet; and the parsing the packet according to the preset rule to obtain at least one of the quintuple of the packet may be The method is: parsing the packet according to a preset rule, and obtaining a source port number in the quintuple of the packet.
  • the preset rule is preset for the source port number and the destination port number in the packet
  • the packet may be parsed according to a preset rule to obtain a source port number and a destination port number of the packet.
  • determining whether at least one of the five-tuples of the four-character group matches an ACL entry; and determining whether at least one of the five-tuples of the four-character group matches an ACL entry may be a comparison report.
  • At least one of the quintuple of the text and the ACL entry if they are the same, match, if not The same does not match. For example, if the destination IP address of the file is the same as the destination IP address stored in an ACL entry, it matches, otherwise it does not match.
  • the source port number, the destination port number, and the source stored in an ACL entry. If the port number and destination port number are the same, they match, otherwise they do not match.
  • the network identifier of the packet matches the preset network identifier, and the preset network identifier corresponds to the back-end device group; therefore, the packet is sent to the back-end device corresponding to the network identifier of the packet.
  • the group specifically refers to: sending the packet to a backend device group corresponding to a preset network identifier that matches the network identifier of the packet.
  • the message can be sent to any of the backend device groups.
  • the method for offloading a virtual private network when the network identifier of the packet matches the preset network identifier, parsing the text; at least one of the five groups of the four texts
  • the packet matches the ACL entry, the packet is sent to the backend device group corresponding to the network identifier of the packet. Since the preset network identifier corresponds to the back-end device group, it can ensure that the packets destined to the same back-end device group are from the same VPN network, so that the packets of the same VPN network can be analyzed.
  • 106 may be specifically: if at least one of the five-tuples of the four-character group matches an ACL entry, according to the The field carrying the user identification information is sent to a backend device in the backend device group corresponding to the network identifier of the packet.
  • the user identification information may be a label and/or a source IP address in the packet. Therefore, the packet is sent according to the field carrying the user identification information in the packet, so that the packet destined to the same backend device is from the same user in the same VPN network. That is, for a backend device in the same backend device group, the received packets are from the same VPN network. The same user in .
  • hash (English full name: Hash) technology can be used to offload packets of different users in the same VPN network.
  • the network identifier of a user in the VPN 1 received by the traffic distribution device is 1.
  • the network identifier of the network is corresponding to the preset network identifier 1; the preset network identifier 1 and the backend device
  • the group A corresponds to the backend device group A, which includes three backend devices: Al, A2, and A3.
  • the backend device group A one of the backend devices (for example, A1).
  • the output of the above Hash function can be understood as an index from which it is possible to know which backend device the user's message should be sent to in the backend device group. This not only ensures that packets destined to the same back-end device are from the same user in the same VPN network, but also implements load balancing in the back-end device group to avoid overloading one or several of the back-end devices.
  • the offloading method provided by the embodiment of the present invention may further include: if the judgment result of any one of 103 and 105 is a mismatch, 107: Performing a default processing of the message.
  • the message is processed by default.
  • the foregoing default processing may include: discarding the packet; or storing the packet.
  • the embodiment of the present invention further provides a traffic distribution device corresponding to the foregoing traffic distribution method, and the traffic distribution device may be a service distribution platform (English called Service Splitting Platform, abbreviated as SSP), and the traffic distribution device is used to receive the VPN
  • SSP Service Splitting Platform
  • the traffic distribution device is used to receive the VPN
  • the packets sent by the tier device are offloaded to the backend device.
  • the shunt device includes:
  • the receiving unit 31 is configured to receive a packet sent by the pre-stage device in the virtual private network VPN, where the network identifier of the packet is carried in the packet, and the network identifier of the packet is used to indicate the packet
  • the network identifier of the packet can be carried in a field of the packet.
  • the pre-stage device refers to
  • a device in a VPN network that is logically located upstream of the offload device.
  • the pre-stage device may be a splitter, and the optical splitter sends the split message to the shunt device.
  • the VPN network may be a multi-protocol label switching MPLS VPN network, and the network identifier may be a label.
  • the first network processor 32 is configured to parse the packet to obtain a network identifier of the packet; for example, parsing the packet, and reading a field of the network identifier of the packet in the packet, to obtain the The network identifier of the message.
  • the first matching unit 33 is configured to determine whether the network identifier of the packet matches a preset network identifier; the preset network identifier corresponds to a backend device group;
  • the back-end device refers to a device in the VPN network that is logically located downstream of the traffic-dividing device.
  • the backend device can be a data analytics server.
  • the backend device group includes at least one backend device.
  • a back-end device group includes one back-end device or multiple (for example, two or more) back-end devices, which can be preset according to actual needs.
  • the network identifier is used to indicate the VPN network to which the 4 ⁇ text belongs, and the preset network identifier corresponds to the back-end device group, this can ensure that the traffic-distributing device can offload the slogan from the same VPN network to the same back-end device. group.
  • the determining whether the network identifier of the 4 ⁇ text matches the preset network identifier may be a network identifier of the compared text and a preset network identifier, where the network identifier of the 4 ⁇ text and the preset network identifier are One is the same, then it matches, otherwise it does not match.
  • the second network processor 34 is further configured to: when the first matching unit 33 determines that the result is a match, parse the message to obtain at least one of the quintuple of the text;
  • the second network processor 34 and the first network processor 32 may be the same processor. It can also be a different processor.
  • the quintuple includes: a source IP address, a destination IP address, a protocol number, a source port number, and a destination port number.
  • the rule may be preset, and the second network processor 34 may parse the message according to a preset rule.
  • the preset rule may be a rule preset by at least one of a quintuple of the message.
  • the preset rule may be a rule preset for the source port number in the packet; and the parsing the packet according to the preset rule to obtain at least one of the quintuple of the packet may be The method is: parsing the packet according to a preset rule, and obtaining a source port number in the quintuple of the packet.
  • the preset rule is preset for the source port number and the destination port number in the packet
  • the packet may be parsed according to a preset rule to obtain a source port number and a destination port number of the packet.
  • the second matching unit 35 is configured to determine whether at least one of the quintuple of the ⁇ ⁇ ⁇ matches the ACL entry;
  • At least one of the five-tuples of the four-character group matches the ACL entry, and may be at least one of the quintuple of the comparison packet and the ACL entry, and if they are the same, match, if not the same Then it does not match. For example, if the destination IP address of the file is the same as the destination IP address stored in an ACL entry, it matches, otherwise it does not match. For example, the source port number, the destination port number, and the source stored in an ACL entry. If the port number and destination port number are the same, they match, otherwise they do not match.
  • the first executing unit 36 is configured to send the packet to a backend device group corresponding to the network identifier of the packet if the determination result of the second matching unit 35 is a match.
  • the first matching unit 33 can determine that the network identifier of the message matches the preset network identifier, and the preset network identifier corresponds to the backend device group; the sending the message to the packet
  • the back-end device group corresponding to the network identifier is specifically configured to: send the packet to the back-end device group corresponding to the preset network identifier that matches the network identifier of the network.
  • the first execution unit 36 may The packet is sent to any backend device in the backend device group corresponding to the network identifier of the packet.
  • the traffic distribution device of the virtual private network provided by the embodiment of the present invention, when the network identifier of the packet matches the preset network identifier, parses the message; at least one of the quintuple of the message When the packet matches the ACL entry, the packet is sent to the backend device group corresponding to the network identifier of the packet. Since the preset network identifier corresponds to the back-end device group, it can ensure that the packets destined to the same back-end device group are from the same VPN network, so that the packets of the same VPN network can be analyzed.
  • the first execution unit 36 may include:
  • the offloading execution sub-unit 361 is configured to: when the second matching unit 35 determines that the result is a match, send the packet to the network identifier corresponding to the packet according to the field that carries the user identification information in the packet.
  • the user identification information may be a label and/or a source IP address in the packet. Therefore, the packet is sent according to the field carrying the user identification information in the packet, so that the packet destined to the same backend device is from the same user in the same VPN network. That is to say, for a backend device in the same backend device group, the received packets are from the same user in the same VPN network.
  • hash (English full name: Hash) technology can be used to offload packets of different users in the same VPN network.
  • the network identifier of a user in the VPN 1 received by the traffic distribution device is 1.
  • the network identifier of the network is corresponding to the preset network identifier 1; the preset network identifier 1 and the backend device
  • the group A corresponds to the backend device group A, which includes three backend devices: Al, A2, and A3.
  • the backend device group A one of the backend devices (for example, A1).
  • the output of the above Hash function can be understood as an index from which it is possible to know which backend device the user's message should be sent to in the backend device group. This not only ensures that packets destined to the same back-end device are from the same user in the same VPN network, but also load balancing in the back-end device group, avoiding one of them. Or the burden of some backend devices is too heavy.
  • the offloading device may further include:
  • the second executing unit 37 is configured to perform default processing on the message when the determination result of the first matching unit 33 and/or the second matching unit 35 is a mismatch. For example, discard the message or store the message.
  • the embodiment of the present invention further provides a traffic distribution system of a virtual private network, as shown in FIG. 6, including: a pre-stage device 61, a traffic distribution device 62, and at least one back-end device group 63.
  • the pre-stage device 61 is configured to obtain a packet from the virtual private network VPN, and send the packet to the traffic distribution device.
  • the pre-stage device 61 may be a splitter, and may obtain a packet from the VPN by using a splitting operation.
  • the pre-stage device 61 can also use the image or the like to obtain the message from the VPN network, which is not limited by the embodiment of the present invention.
  • the shunt device 62 can be a shunt device as described in any of Figures 3-5.
  • the method is configured to receive the packet sent by the pre-stage device 61, parse the packet, and obtain the network identifier of the packet; determine whether the network identifier of the packet matches the preset network identifier; Corresponding to the back-end device group; if the network identifier of the packet matches the preset network identifier, parsing the text to obtain at least one of the quintuple of the text; Whether at least one of the quintuple matches the ACL entry; if at least one of the quintuple of the 4 gram matches the ACL entry, the packet is sent to the network identifier of the packet.
  • Backend device group I will not repeat them here.
  • the at least one backend device group 63 is configured to analyze the text sent by the offloading device 62.
  • a backend device group includes at least one backend device.
  • the backend device can be a data analysis server, a blade server, or a multi-core board.
  • a back-end device group includes one back-end device or multiple (for example, two or more) back-end devices, which can be preset according to actual needs.
  • the back-end device analyzes the packet, which may be behavior analysis, data mining, association analysis, pattern matching, and the like, and deep packet inspection (English: Full Packet Inspection, referred to as: DPI) technology; The case is analyzed, and the embodiment of the present invention does not limit this.
  • DPI Full Packet Inspection
  • the traffic distribution system of the virtual private network provided by the embodiment of the present invention, when the network identifier of the packet matches the preset network identifier, the traffic distribution device parses the packet; when at least one of the quintuple of the packet When the ACL entry matches the ACL entry, the traffic distribution device sends the packet to the backend device group corresponding to the network identifier of the packet. Since the preset network identifier corresponds to the back-end device group, the packets destined to the same back-end device group are from the same VPN network, so that the same VPN network can be analyzed.
  • the present invention can be implemented by means of software plus necessary general hardware, and of course, by hardware, but in many cases, the former is a better implementation. .
  • the technical solution of the present invention which is essential or contributes to the prior art, may be embodied in the form of a software product stored in a readable storage medium, such as a floppy disk of a computer.
  • a hard disk or optical disk or the like includes instructions for causing a computer device (which may be a personal computer, a server, or a network device, etc.) to perform the methods described in various embodiments of the present invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种虚拟专用网络的分流方法、分流设备和分流系统，涉及通信领域，用以能够对同一VPN网络中各用户报文的分析。所述分流方法，包括：接收虚拟专用网络VPN中前级设备发送的报文（101）；解析所述报文，得到该报文的网络标识（102）；判断所述报文的网络标识与预设的网络标识是否匹配；所述预设的网络标识与后端设备组对应（103）；若所述报文的网络标识与预设的网络标识匹配，解析所述报文，得到该报文的五元组中的至少一项（104）；判断所述报文的五元组中至少一项与ACL表项是否匹配（105）；若所述报文的五元组中至少一项与ACL表项匹配，将所述报文发送给与该报文的网络标识对应的后端设备组（106）。本发明提供的方案适用于对VPN网络中的数据分流的情景。

Description

一种虚拟专用网络的分流方法、 分流设备和分流系统 技术领域
本发明涉及通信领域， 尤其涉及一种虚拟专用网络的分流方法、 分流 设备和分流系统。
背景技术
互联网在人们日常工作和生活中发挥着越来越重要的作用，如若不能 对互联网进行有效的监控和管理， 将会对国家、 企业或者个人的网络造成 危害。 目前对于信息的监控通常采用的技术是分流。 用于分流的设备（以 下简称为分流设备）将接收到的前级设备分光或镜像得到的报文， 根据访 问控制列表（英文全称为： Access Control List, 以下简称为： ACL )过滤 上述报文， 将不匹配 ACL任一表项的报文直接丟弃， 将匹配 ACL某一表 项的报文输出到后端设备进行分析处理。 其中， 所述 ACL规则是针对报 文的五元组设定的。
虚拟专用网络 （英文全称为： Virtual Private Network , 以下简称为： VPN )是在骨干的宽带互联网协议（英文全称为： Internet Protocol, 以下 简称为： IP ) 网络上构建私有数据网络的技术。 于 VPN 网络而言， 根据 ACL 规则过滤报文， 实际上只是针对报文的五元组中的一项或者多项进 行匹配，这就导致了分流到一个后端设备的报文可能来自多个 VPN网络， 从而不利于对同一 VPN网络中 4艮文的分析。
发明内容
本发明的实施例提供一种虚拟专用网络的分流方法、分流设备和分流 系统， 用以能够对同一 VPN网络中各用户 4艮文的分析。
为达到上述目的， 本发明一方面提供了一种虚拟专用网络的分流方 法， 包括：
接收虚拟专用网络 VPN中前级设备发送的报文； 其中， 所述报文的 网络标识携带在所述报文中，所述报文的网络标识用于表示该报文所属的 VPN网络；
解析所述报文， 得到该报文的网络标识；
判断所述 4艮文的网络标识与预设的网络标识是否匹配；所述预设的网 络标识与后端设备组对应；
若所述报文的网络标识与预设的网络标识匹配， 解析所述报文， 得到 该才艮文的五元组中的至少一项；
判断所述 ^艮文的五元组中至少一项与 ACL表项是否匹配；
若所述 4艮文的五元组中至少一项与 ACL表项匹配， 将所述 文发送 给与该 ^艮文的网络标识对应的后端设备组。
本发明的实施例另一方面提供了一种虚拟专用网络的分流设备， 包 括：
接收单元， 用于接收虚拟专用网络 VPN中前级设备发送的报文； 其 中， 所述报文的网络标识携带在所述报文中， 所述报文的网络标识用于表 示该 4艮文所属的 VPN网络；
第一网络处理器， 用于解析所述报文， 得到该报文的网络标识； 第一匹配单元，用于判断所述报文的网络标识与预设的网络标识是否 匹配； 所述预设的网络标识与后端设备组对应；
第二网络处理器，用于在所述第一匹配单元的判断结果为匹配的情况 下， 解析所述报文， 得到该报文的五元组中的至少一项；
第二匹配单元， 用于判断所述 ^艮文的五元组中至少一项与 ACL表项 是否匹配；
第一执行单元， 用于在所述第二匹配单元的判断结果为匹配的情况 下， 将所述报文发送给与该报文的网络标识对应的后端设备组。
发明的实施例又一方面提供了一种虚拟专用网络的分流设备， 包括： 前级设备， 分流设备和至少一个后端设备组； 其中：
所述前级设备， 用于获得来自虚拟专用网络 VPN的报文， 并发送给 所述分流设备； 所述分流设备为上述分流设备；
所述至少一个后端设备组， 用于对所述分流设备发送的报文进行分 本发明实施例提供的一种虚拟专用网络的分流方法、分流设备和分流 系统， 当所述才艮文的网络标识与预设的网络标识相匹配时， 解析才艮文； 当 所述 4艮文的五元组中至少一项与 ACL表项匹配时， 将所述 4艮文发送给与 该才艮文的网络标识对应的后端设备组。由于预设的网络标识与后端设备组 对应， 这就可以保证分流至同一后端设备组的报文来自同一 VPN网络， 也就是说， 对于同一后端设备组中的每一后端设备而言， 其收到的报文均 来自同一 VPN网络。
附图说明 实施例或现有技术描述中所需要使用的附图作简单地介绍， 显而易见地， 下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员 来讲， 在不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的 附图。
图 1为本发明实施例提供的一种虚拟专用网络的分流方法流程图； 图 2a 为本发明实施例提供的另一种虚拟专用网络的分流方法流程 图；
图 2b 为本发明实施例提供的另一种虚拟专用网络的分流方法流程 图；
图 3 为本发明实施例提供的一种虚拟专用网络的分流设备结构示意 图；
图 4 为本发明实施例提供的另一种虚拟专用网络的分流设备结构示 意图；
图 5 为本发明实施例提供的另一种虚拟专用网络的分流设备结构示 意图； 图 6为本发明实施例提供的一种虚拟专用网络的分流系统示意图。 具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进 行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例， 而不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没 有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的 范围。
本发明实施例提供了一种虚拟专用网络的分流方法，该分流方法的执 行主体可以是一分流设备。
所述虚拟专用网络的分流方法， 如图 1所示， 包括：
101、 接收虚拟专用网络 VPN中前级设备发送的报文； 其中， 所述报 文的网络标识携带在所述报文中，所述报文的网络标识用于表示该报文所 属的 VPN网络；
若至少两个 文的网络标识相同， 则所述至少两个 4艮文所属的 VPN 网络相同。 报文的网络标识可以承载在该报文的一个字段中。
从报文传输的方向来说， 在本发明的实施例中， 所述前级设备是指 VPN 网络中逻辑上位于分流设备上游的设备。 例如， 前级设备可以是分 光器， 分光器将分光过来的报文发送至分流设备。
另外， 所述 VPN 网络可以为多协议标签交换 （英文全称为： Multi-Protocol Label Switching, 以下简称为： MPLS ) VPN网络， 在 MPLS VPN网络中， 所述网络标识为标签。
102、 解析所述报文， 得到该报文的网络标识；
例如，解析所述报文，读取所述报文中承载该报文的网络标识的字段， 得到该报文的网络标识。
103、 判断所述报文的网络标识与预设的网络标识是否匹配； 所述预 设的网络标识与后端设备组对应；
从报文传输的方向来说，在本发明实施例中，所述后端设备是指 VPN 网络中逻辑上位于分流设备下游的设备。 例如， 后端设备可以是数据分析 服务器。
一个预设的网络标识对应一个后端设备组，所述后端设备组包括至少 一个后端设备。具体在实际应用中一个后端设备组包括一个后端设备还是 多个 （例如， 两个及两个以上） 后端设备， 可以根据实际需要预先设定。
由于网络标识用于表示 4艮文所属的 VPN网络， 又由于预设的网络标 识与后端设备组对应， 这就可以保证分流设备能够将来自同一 VPN网络 的才艮文分流至同一后端设备组。
所述判断所述 4艮文的网络标识与预设的网络标识是否匹配，可以是比 较报文的网络标识和预设的网络标识，若报文的网络标识和预设的网络标 识中的一个相同， 则匹配， 否则不匹配。
104、 若所述 4艮文的网络标识与预设的网络标识匹配， 解析所述 4艮文， 得到该 4艮文的五元组中的至少一项；
所述五元组包括： 源 IP地址、 目的 IP地址、 协议号、 源端口号 和目 的端口号。
可选的， 在本发明的实施例中， 可以预先设定规则， 在 104 中， 可以根据预设的规则， 解析所述报文。 所述预设规则可以是指针对 报文的五元组中的至少一项所预先设置的规则。 例如， 所述预设规 则可以为针对报文中的源端口号所预先设置的规则； 则所述根据预 设规则解析所述报文， 得到该报文的五元组中的至少一项可以为： 根据预设规则， 解析所述报文， 得到该报文的五元组中的源端口号。 又如， 若预设规则是针对报文中的源端口号和目 的端口号预先设定 的， 则可以根据预设规则解析所述报文， 得到报文的源端口号和目 的端口号。
105、 判断所述 4艮文的五元组中至少一项与 ACL表项是否匹配； 所述判断所述 4艮文的五元组中至少一项与 ACL表项是否匹配， 可以 是比较报文的五元组中的至少一项和 ACL表项， 若相同则匹配， 若不相 同则不匹配。 例如， 文的目标 IP地址与一个 ACL表项所存储的目 标 IP地址相同， 则匹配， 否则不匹配； 又如， 4艮文的源端口号、 目 的端口号与一个 ACL表项所存储的源端口号、 目的端口号均相同， 则匹配， 否则不匹配。
106、 若所述 4艮文的五元组中至少一项与 ACL表项匹配， 将所述才艮 文发送给与该 文的网络标识对应的后端设备组。
由于该 4艮文的网络标识与预设的网络标识匹配，而预设的网络标识与 后端设备组对应； 因此， 将所述报文发送给与该报文的网络标识对应的后 端设备组具体是指：将所述报文发送给与该报文的网络标识匹配的预设的 网络标识所对应的后端设备组。
由于所述后端设备组包括至少一个后端设备，在本发明的一个可选实 施例中， 可以将报文发送给该后端设备组中的任一后端设备。
本发明实施例提供的虚拟专用网络的分流方法，当所述报文的网络标 识与预设的网络标识相匹配时， 解析 4艮文； 当所述 4艮文的五元组中至少一 项与 ACL表项匹配时， 将所述报文发送给与该报文的网络标识对应的后 端设备组。 由于预设的网络标识与后端设备组对应， 这就可以保证分流至 同一后端设备组的才艮文来自同一 VPN网络，从而能够对同一 VPN网络的 报文进行分析。 可选的， 如图 2a所示， 在本发明的又一实施例中， 106具体可以为： 若所述 4艮文的五元组中至少一项与 ACL表项匹配， 根据所述 4艮文中携带 用户标识信息的字段，将所述报文发送给与该报文的网络标识对应的后端 设备组中的一个后端设备。
其中， 用户标识信息可以是报文中的标签和 /或源 IP地址。 因此， 根 据所述报文中携带用户标识信息的字段来发送报文，能够保证分流至同一 后端设备的报文来自同一 VPN网络中的同一用户。 也就是说， 对于同一 后端设备组中的某一后端设备而言， 其收到的报文均来自同一 VPN网络 中的同一用户。
例如， 可以利用散列 （英文全称： Hash ) 技术， 对同一 VPN网络中 的不同用户的报文进行分流。 分流设备接收到的 VPN 1 中一用户的报文， 该才艮文的网络标识为 1 , 该 4艮文的网络标识和预设的网络标识 1对应； 预 设的网络标识 1与后端设备组 A对应， 其中， 后端设备组 A中包括 Al、 A2、 A3 三个后端设备。 当所述 4艮文的五元组中至少一项与 ACL表项匹 配时， 将该报文中携带用户标识信息的字段作为 Hash函数的输入， 根据 Hash函数的输出， 将所述报文发送给后端设备组 A中的某一个后端设备 (例如， A1 )。 在这种场景中， 上述 Hash 函数的输出可以理解为一个索 引， 根据该索引， 能够知道这个用户的报文应该发送给后端设备组中的哪 一个后端设备。这不仅能够保证分流至同一后端设备的报文来自同一 VPN 网络中的同一用户， 还能在后端设备组中实现负载分担， 避免其中某一个 或者某几个后端设备的负担过重。
进一步可选的， 如图 2b所示， 本发明实施例提供的分流方法还可以 包括： 若 103和 105中任一项的判断结果为不匹配， 可以进行 107: 将报 文做默认处理。
当然， 也可以是 103和 105的判断结果均为不匹配时， 进行 107: 将 报文做默认处理。 优选的， 上述默认处理可以包括： 丟弃报文； 或者， 存 储报文。 本发明实施例还提供了与上述分流方法相对应的分流设备，该分流设 备可以是业务分流平台 （英文全称为 Service Splitting Platform , 简称为 SSP ), 该分流设备用于将接收到的 VPN中前级设备发送的报文， 分流到 后端设备。 如图 3所示， 该分流设备包括：
接收单元 31 , 用于接收虚拟专用网络 VPN中前级设备发送的报文； 其中， 所述报文的网络标识携带在所述报文中， 所述报文的网络标识用于 表示该 4艮文所属的 VPN网络； 若至少两个 文的网络标识相同， 则所述至少两个 4艮文所属的 VPN 网络相同。 报文的网络标识可以承载在该报文的一个字段中。
从报文传输的方向上来说， 在本发明的实施例中， 所述前级设备是指
VPN 网络中逻辑上位于分流设备上游的设备。 例如， 前级设备可以是分 光器， 分光器将分光过来的报文发送至分流设备。
所述 VPN网络可以为多协议标签交换 MPLS VPN网络， 此时所述网 络标识可以为标签。
第一网络处理器 32 , 用于解析所述报文， 得到该报文的网络标识； 例如，解析所述报文，读取所述报文中承载该报文的网络标识的字段， 得到该报文的网络标识。
第一匹配单元 33 , 用于判断所述报文的网络标识与预设的网络标识 是否匹配； 所述预设的网络标识与后端设备组对应；
从报文传输的方向上来说， 在本发明的实施例中， 所述后端设备是指 VPN 网络中逻辑上位于分流设备下游的设备。 例如， 后端设备可以是数 据分析服务器。
所述后端设备组包括至少一个后端设备。具体在实际应用中一个后端 设备组包括一个后端设备还是多个 （例如， 两个及两个以上） 后端设备， 可以根据实际需要预先设定。
由于网络标识用于表示 4艮文所属的 VPN网络， 又由于预设的网络标 识与后端设备组对应， 这就可以保证分流设备能够将来自同一 VPN网络 的才艮文分流至同一后端设备组。
所述判断所述 4艮文的网络标识与预设的网络标识是否匹配，可以是比 较才艮文的网络标识和预设的网络标识，若 4艮文的网络标识和预设网络标识 中的一个相同， 则匹配， 否则不匹配。
第二网络处理器 34 , 还用于在所述第一匹配单元 33判断结果为匹配 时， 解析所述^艮文， 得到该 文的五元组中的至少一项；
上述第二网络处理器 34和第一网络处理器 32可以是同一个处理器， 也可以是不同的处理器。
所述五元组包括： 源 IP地址、 目的 IP地址、 协议号、 源端口号 和目 的端口号。
可选的， 在本发明的实施例中， 可以预先设定规则， 在第二网 络处理器 34可以根据预设的规则， 解析所述报文。 所述预设规则可 以是指针对报文的五元组中的至少一项所预先设置的规则。 例如， 所述预设规则可以为针对报文中的源端口号所预先设置的规则； 则 所述根据预设规则解析所述报文， 得到该报文的五元组中的至少一 项可以为： 根据预设规则， 解析所述报文， 得到该报文的五元组中 的源端口号。 又如， 若预设规则是针对报文中的源端口号和目 的端 口号预先设定的， 则可以根据预设规则解析所述报文， 得到报文的 源端口号和目 的端口号。
第二匹配单元 35 , 用于判断所述 4艮文的五元组中至少一项与 ACL表 项是否匹配；
所述判断所述 4艮文的五元组中至少一项与 ACL表项是否匹配， 可以 是比较报文的五元组中的至少一项和 ACL表项， 若相同则匹配， 若不相 同则不匹配。 例如， 文的目标 IP地址与一个 ACL表项所存储的目 标 IP地址相同， 则匹配， 否则不匹配； 又如， 4艮文的源端口号、 目 的端口号与一个 ACL表项所存储的源端口号、 目的端口号均相同， 则匹配， 否则不匹配。
第一执行单元 36 , 用于在所述第二匹配单元 35的判断结果为匹配的 情况下， 将所述报文发送给与该报文的网络标识对应的后端设备组。
经过第一匹配单元 33 已经可以判断得该 4艮文的网络标识与预设的网 络标识匹配， 而预设的网络标识与后端设备组对应； 所述将所述 文发送 给与该报文的网络标识对应的后端设备组具体是指：将所述报文发送给该 才艮文的网络标识匹配的预设的网络标识所对应的后端设备组。
由于所述后端设备组包括至少一个后端设备， 第一执行单元 36可以 将报文发送给与该报文的网络标识对应的后端设备组中的任一后端设备。 本发明实施例提供的虚拟专用网络的分流设备，当所述报文的网络标 识与预设的网络标识相匹配时， 解析 4艮文； 当所述 ^艮文的五元组中至少一 项与 ACL表项匹配时， 将所述报文发送给与该报文的网络标识对应的后 端设备组。 由于预设的网络标识与后端设备组对应， 这就可以保证分流至 同一后端设备组的才艮文来自同一 VPN网络，从而能够对同一 VPN网络的 报文进行分析。
优选的， 如图 4所示， 第一执行单元 36可以包括：
分流执行子单元 361 , 用于在所述第二匹配单元 35判断结果为匹配 时， 根据所述报文中携带用户标识信息的字段， 将所述报文发送给与该报 文的网络标识对应的后端设备组中的一个后端设备。
其中， 用户标识信息可以是报文中的标签和 /或源 IP地址。 因此， 根 据所述报文中携带用户标识信息的字段来发送报文，能够保证分流至同一 后端设备的报文来自同一 VPN网络中的同一用户。 也就是说， 对于同一 后端设备组中的某一后端设备而言， 其收到的报文均来自同一 VPN网络 中的同一用户。
例如， 可以利用散列 （英文全称： Hash ) 技术， 对同一 VPN网络中 的不同用户的报文进行分流。 分流设备接收到的 VPN 1 中一用户的报文， 该才艮文的网络标识为 1 , 该 4艮文的网络标识和预设的网络标识 1对应； 预 设的网络标识 1与后端设备组 A对应， 其中， 后端设备组 A中包括 Al、 A2、 A3 三个后端设备。 当所述 4艮文的五元组中至少一项与 ACL表项匹 配时， 将该报文中携带用户标识信息的字段作为 Hash函数的输入， 根据 Hash函数的输出， 将所述报文发送给后端设备组 A中的某一个后端设备 (例如， A1 )。 在这种场景中， 上述 Hash 函数的输出可以理解为一个索 引， 根据该索引， 能够知道这个用户的报文应该发送给后端设备组中的哪 一个后端设备。这不仅能够保证分流至同一后端设备的报文来自同一 VPN 网络中的同一用户， 还能在后端设备组中实现负载分担， 避免其中某一个 或者某几个后端设备的负担过重。
进一步的可选的， 如图 5所示， 所述分流设备还可以包括：
第二执行单元 37 , 用于在所述第一匹配单元 33 和 /或第二匹配单元 35 的判断结果为不匹配时， 将报文做默认处理。 例如， 丟弃报文， 或者 存储报文。
本发明的实施例还提供了一种虚拟专用网络的分流系统， 如图 6 所 示， 包括： 前级设备 61 , 分流设备 62以及至少一个后端设备组 63。 其中， 该前级设备 61 , 用于获得来自虚拟专用网络 VPN的报文， 并发送给 分流设备； 可选的， 前级设备 61可以是分光器， 可以用分光等操作获得 来自 VPN的报文； 当然， 前级设备 61也可以采用镜像等操作来获得来自 VPN网络的报文， 本发明的实施例对此不做任何限定。
该分流设备 62 , 可以是如图 3-5 中任一描述的分流设备。 例如， 用 于接收前级设备 61发送的报文， 解析所述报文， 得到该报文的网络标识； 判断所述 ^艮文的网络标识与预设的网络标识是否匹配；所述预设的网络标 识与后端设备组对应； 若所述报文的网络标识与预设的网络标识匹配， 解 析所述 文， 得到该 文的五元组中的至少一项； 判断所述^艮文的五元组 中至少一项与 ACL 表项是否匹配； 若所述 4艮文的五元组中至少一项与 ACL 表项匹配， 将所述报文发送给与该报文的网络标识对应的后端设备 组。 此处不再贅述。
该至少一个后端设备组 63 ,用于对分流设备 62发送的 文进行分析。 可选的， 一个后端设备组包括至少一个后端设备。 例如， 后端设备可以是 数据分析服务器、 刀片服务器或者多核单板。 具体在实际应用中一个后端 设备组包括一个后端设备还是多个 （例如， 两个及两个以上） 后端设备， 可以根据实际需要预先设定。 具体的， 后端设备对报文进行分析， 可以是 行为分析， 数据挖掘， 关联分析， 模式匹配等深度包检测 （英文全称为： Deep Packet Inspection, 简称为： DPI ) 技术； 也可以根据实际的情况进 行分析， 本发明的实施例对此不做限定。 本发明实施例提供的虚拟专用网络的分流系统，当所述报文的网络标 识与预设的网络标识相匹配时， 分流设备解析报文； 当所述报文的五元组 中至少一项与 ACL表项匹配时， 分流设备将所述报文发送给与该报文的 网络标识对应的后端设备组。 由于预设的网络标识与后端设备组对应， 这 就可以保证分流至同一后端设备组的报文来自同一 VPN网络， 从而能够 对同一 VPN网络的才艮文进行分析。
通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到 本发明可借助软件加必需的通用硬件的方式来实现， 当然也可以通过硬 件， 但很多情况下前者是更佳的实施方式。 基于这样的理解， 本发明的技 术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式 体现出来， 该计算机软件产品存储在可读取的存储介质中， 如计算机的软 盘， 硬盘或光盘等， 包括若干指令用以使得一台计算机设备（可以是个人 计算机， 服务器， 或者网络设备等） 执行本发明各个实施例所述的方法。
以上所述， 仅为本发明的具体实施方式， 但本发明的保护范围并不局 限于此， 任何熟悉本技术领域的技术人员在本发明揭露的技术范围内， 可 轻易想到的变化或替换， 都应涵盖在本发明的保护范围之内。 因此， 本发 明的保护范围应以所述权利要求的保护范围为准。

Claims

权 利 要 求 书
1、 一种虚拟专用网络的分流方法， 其特征在于， 包括：
接收虚拟专用网络 VPN中前级设备发送的报文； 其中， 所述报文的网 络标识携带在所述报文中， 所述报文的网络标识用于表示该报文所属的 VPN网络；
解析所述报文， 得到该报文的网络标识；
判断所述 4艮文的网络标识与预设的网络标识是否匹配； 所述预设的网 络标识与后端设备组对应；
若所述报文的网络标识与预设的网络标识匹配， 解析所述报文， 得到 该才艮文的五元组中的至少一项；
判断所述 4艮文的五元组中至少一项与访问控制列表 ACL 表项是否匹 配；
若所述报文的五元组中至少一项与 ACL表项匹配，将所述报文发送给 与该 4艮文的网络标识对应的后端设备组。
2、 根据权利要求 1所述的分流方法， 其特征在于， 将所述报文发送给 该才艮文的网络标识对应的后端设备组包括：
根据所述报文中携带用户标识信息的字段， 将所述报文发送给与该报 文的网络标识对应的后端设备组中的一个后端设备。
3、 根据权利要求 1或 2所述的分流方法， 其特征在于， 还包括： 若所述报文的网络标识与预设的网络标识不匹配，将报文做默认处理； 和 /或
若所述报文的五元组中至少一项与 ACL表项不匹配，将报文做默认处 理。
4、 根据权利要求 3所述的分流方法， 其特征在于， 所述将报文做默认 处理包括：
丟弃报文； 或者， 存储报文。
5、 根据权利要求 1〜4任一项权利要求所述的分流方法， 其特征在于， 所述 VPN网络为多协议标签交换 MPLS VPN网络。
6、 一种虚拟专用网络的分流设备， 其特征在于， 包括：
接收单元，用于接收虚拟专用网络 VPN中前级设备发送的报文；其中， 所述报文的网络标识携带在所述报文中， 所述报文的网络标识用于表示该 才艮文所属的 VPN网络；
第一网络处理器， 用于解析所述报文， 得到该报文的网络标识； 第一匹配单元， 用于判断所述报文的网络标识与预设的网络标识是否 匹配； 所述预设的网络标识与后端设备组对应；
第二网络处理器， 用于在所述第一匹配单元的判断结果为匹配时， 解 析所述 文， 得到该 文的五元组中的至少一项；
第二匹配单元，用于判断所述 ^艮文的五元组中至少一项与 ACL表项是 否匹配；
第一执行单元， 用于在所述第二匹配单元的判断结果为匹配时， 将所 述报文发送给与该报文的网络标识对应的后端设备组。
7、 根据权利要求 6所述的分流设备， 其特征在于， 所述第一执行单元 包括：
分流执行子单元， 用于在所述第二匹配单元判断结果为匹配时， 根据 所述报文中携带用户标识信息的字段， 将所述报文发送给与该报文的网络 标识对应的后端设备组中的一个后端设备。
8、 根据权利要求 7所述的分流设备， 其特征在于， 所述分流设备还包 括：
第二执行单元， 用于在所述第一匹配单元和 /或第二匹配单元的判断结 果为不匹配时， 将报文做默认处理。
9、 一种虚拟专用网络的分流系统， 其特征在于， 包括： 前级设备， 分 流设备和至少一个后端设备组； 其中：
所述前级设备， 用于获得来自虚拟专用网络 VPN的报文， 并发送给所 述分流设备； 所述分流设备为权利要求 6-8中任一项所述的分流设备；
所述至少一个后端设备组，用于对所述分流设备发送的报文进行分析。
PCT/CN2011/077425 2011-07-21 2011-07-21 一种虚拟专用网络的分流方法、分流设备和分流系统 WO2012159338A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201180001353.8A CN103004145B (zh) 2011-07-21 2011-07-21 一种虚拟专用网络的分流方法、分流设备和分流系统
PCT/CN2011/077425 WO2012159338A1 (zh) 2011-07-21 2011-07-21 一种虚拟专用网络的分流方法、分流设备和分流系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2011/077425 WO2012159338A1 (zh) 2011-07-21 2011-07-21 一种虚拟专用网络的分流方法、分流设备和分流系统

Publications (1)

Publication Number Publication Date
WO2012159338A1 true WO2012159338A1 (zh) 2012-11-29

Family

ID=47216568

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/077425 WO2012159338A1 (zh) 2011-07-21 2011-07-21 一种虚拟专用网络的分流方法、分流设备和分流系统

Country Status (2)

Country Link
CN (1) CN103004145B (zh)
WO (1) WO2012159338A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107872335A (zh) * 2016-09-26 2018-04-03 中国电信股份有限公司 安全服务方法和系统以及安全资源单元

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108683615B (zh) * 2018-04-28 2022-03-11 新华三技术有限公司 报文分流方法、装置及分流交换机
CN111092785A (zh) * 2019-12-05 2020-05-01 深圳市任子行科技开发有限公司 数据监测方法及装置
CN113726737A (zh) * 2021-07-26 2021-11-30 绿盟科技集团股份有限公司 一种通信方法、设备及介质
CN114006831B (zh) * 2021-10-30 2023-07-21 杭州迪普信息技术有限公司 报文数据处理方法及装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1791065A (zh) * 2005-12-20 2006-06-21 杭州华为三康技术有限公司 一种接入虚拟局域网的方法
CN101150493A (zh) * 2006-09-20 2008-03-26 华为技术有限公司 一种在接入终端上实现业务分流的方法及系统
WO2008140367A1 (en) * 2007-05-09 2008-11-20 Telefonaktiebolaget Lm Ericsson (Publ) Improved resource sharing for a private network
CN101478478A (zh) * 2008-12-31 2009-07-08 华为技术有限公司 一种报文处理方法、装置和系统
CN101640823A (zh) * 2009-09-07 2010-02-03 杭州华三通信技术有限公司 一种多分析系统分流的方法和设备

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100417078C (zh) * 2004-05-10 2008-09-03 华为技术有限公司 基于防火墙实现本地虚拟私网络的方法
CN100571197C (zh) * 2005-11-03 2009-12-16 中兴通讯股份有限公司 一种结合网络地址转换的提供商边缘设备及其使用方法
CN100531040C (zh) * 2007-02-07 2009-08-19 杭州华三通信技术有限公司 实现组播虚拟专用网绑定的方法及设备

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1791065A (zh) * 2005-12-20 2006-06-21 杭州华为三康技术有限公司 一种接入虚拟局域网的方法
CN101150493A (zh) * 2006-09-20 2008-03-26 华为技术有限公司 一种在接入终端上实现业务分流的方法及系统
WO2008140367A1 (en) * 2007-05-09 2008-11-20 Telefonaktiebolaget Lm Ericsson (Publ) Improved resource sharing for a private network
CN101478478A (zh) * 2008-12-31 2009-07-08 华为技术有限公司 一种报文处理方法、装置和系统
CN101640823A (zh) * 2009-09-07 2010-02-03 杭州华三通信技术有限公司 一种多分析系统分流的方法和设备

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107872335A (zh) * 2016-09-26 2018-04-03 中国电信股份有限公司 安全服务方法和系统以及安全资源单元
CN107872335B (zh) * 2016-09-26 2020-12-18 中国电信股份有限公司 安全服务方法和系统以及安全资源单元

Also Published As

Publication number Publication date
CN103004145A (zh) 2013-03-27
CN103004145B (zh) 2015-04-08

Similar Documents

Publication Publication Date Title
US10951495B2 (en) Application signature generation and distribution
EP3570516B1 (en) Malicious attack detection method and apparatus
JP6670109B2 (ja) ネットワーク内のスケーラブルなフロー及び輻輳制御
WO2020151030A1 (zh) 一种处理数据报文的方法和装置
US9590922B2 (en) Programmable and high performance switch for data center networks
US8817792B2 (en) Data forwarding method, data processing method, system and relevant devices
KR20230079462A (ko) 패킷 처리 방법 및 장치, 및 관련 디바이스들
JP6308601B2 (ja) パケット処理方法およびデバイス
WO2014085952A1 (zh) 一种策略处理的方法及网络设备
CN106972985B (zh) 加速dpi设备数据处理与转发的方法和dpi设备
WO2012159338A1 (zh) 一种虚拟专用网络的分流方法、分流设备和分流系统
CN112953949B (zh) 一种网络报文的报文头处理方法、装置、设备及存储介质
WO2010075728A1 (zh) 一种报文处理方法、装置和系统
JP2010206698A (ja) ログ情報発行装置、ログ情報発行方法およびプログラム
US10148596B2 (en) Data flow statistics collection method, system, and apparatus
US10862807B2 (en) Packet telemetry data via first hop node configuration
US20140331306A1 (en) Anti-Virus Method and Apparatus and Firewall Device
WO2021098425A1 (zh) 配置业务的服务质量策略方法、装置和计算设备
CN112673595A (zh) 用于密码操作和卸载的流高速缓存支持
US8792366B2 (en) Network packet latency measurement
WO2022100581A1 (zh) Ipfix消息的处理方法、存储介质、网络交换芯片及asic芯片
WO2015010256A1 (zh) 一种报文转发方法及设备
US8537676B1 (en) Rate limiting for DTCP message transport
Lukashin et al. Distributed packet trace processing method for information security analysis
US20150256469A1 (en) Determination method, device and storage medium

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11866334

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11866334

Country of ref document: EP

Kind code of ref document: A1