CN101005455A - 一种基于旁路干扰的流量控制方法 - Google Patents

Abstract

本发明公开了一种基于旁路干扰的流量控制方法，包括以下步骤：1)构建流量控制的规则库；2)根据规则的时间，进行规则调度，建立活跃规则库；3)对数据包进行解析，计算出数据包速率信息并根据当前活跃规则库中的规则进行全局决策和局部决策，根据决策来控制流量。所述步骤1)中规则库的规则为用户对链路层、网络层、传输层和应用层中的某一层次或几个不同层次制定的控制规则；控制规则的指标包括出境方向、入境方向和出入境方向的流量上限的绝对值、流量所占的百分比，规则生效的状态、时间、周期和地址范围；全局黑名单、全局白名单、局部黑名单和局部白名单。本发明的优点是：提高配置规则的灵活性；提高系统效率；减轻系统负载。

Description

一种基于旁路干扰的流量控制方法

技术领域

本发明涉及网络中流量控制技术，特别涉及基于旁路干扰的流量控制方法。

背景技术

所谓流量控制是对网络中特定流量进行有目的控制。通过流量控制，网络服务提供商(Internet Service Provider，简称ISP)和其他网络管理人员可以更好地实现网络服务质量(Quality of Service，简称QOS)的保障和提升。例如可通过对特定用户或者应用层业务限制最大的带宽消耗以达到对不同级别的客户或者是不同业务类型的应用提供不同的服务的保证，减少无谓的带宽消耗，保护稀缺的带宽资源，保障其他用户或者应用层业务的正常应用，增加用户的满意度等。

目前的流量控制技术大都是通过在所关注的链路上串接相关的流量控制设备。不同的流量整形算法会关注从不同的角度来对流量进行整形，如公平性，优先级，实时性等，根据RED、CBQ和HTB等不同的流量整形算法，缓存或者丢弃相特定的数据包，对输入的流量进行整形，使输出流可保证对不同级别的客户或者是不同类型的协议或者应用提供不同的服务，限制特定用户的带宽，保证关键业务的QOS等功能。

现有技术的不足在于：1、串接的流量控制方式会影响到网络的性能，增加网络的故障点。网络带宽和流量控制器中的总线带宽、处理器的速度和内存空间等都会使得在处理输入流量时产生一定延时，当网络负载较大时，进行流量控制所带来的延时将极大影响网络性能；更有甚者，如果串接的流量控制设备出现故障，网络将完全断开，而造成重大损失；2、流量控制策略的配置不够灵活，支持的策略指标不够全面，大部分流量控制系统仅仅支持对总流量的上限进行控制，而并未区分不同用户级别，同时它们一般没有黑白名单的配置，不能区分不同层次上的协议，尤其是对Skype、BitTorrent、eDonkey和PPLive等应用层业务不能根据业务类型进行有针对性的流量控制；并且对于总流量，甚至不能够区分出入境方向；3、策略调度时查找策略的路径十分复杂，极大的影响了系统执行的效率4、根据下达的策略对流量进行控制的精确性较差，不能完全地按照预先的策略设定完成流量控制功能。

综上所述，迫切希望有一种新的、能够提高策略配置灵活性、降低延时、并完全可靠的流量控制的方法。

发明内容

本发明的目的在于克服现有技术的不足，提供一种基于旁路干扰的流量控制方法。

为了达到上述目的，本发明采用如下技术方案。

一种基于旁路干扰的流量控制方法，包括以下步骤：

1)构建流量控制的规则库；

2)根据规则的时间，进行规则调度，建立“活跃规则库”；

3)对数据包进行解析，计算出数据包速率信息并根据当前活跃规则库中的规则进行全局决策和局部决策，根据决策来控制流量。

进一步地，所述步骤1)中的规则为用户对链路层、网络层、传输层和应用层的某一层次或几个不同层次制定的控制规则；控制规则的指标包括出境方向、入境方向和出入境方向的流量上限的绝对值、流量所占的百分比，规则生效的状态、时间、周期和地址范围；全局黑名单、全局白名单、局部黑名单和局部白名单。

进一步地，所述全局黑名单和全局白名单是独立于任何规则的地址控制范围，对属于全局黑名单的地址控制范围的数据包均进行阻断操作，对属于全局白名单的地址控制范围的数据包均不进行阻断操作；所述局部黑名单和局部白名单是作用于相应规则的地址控制范围，局部黑名单使得对除速率条件外满足相应规则的数据包不做任何操作，局部白名单使得对满足相应规则除速率条件外的其他指标的任一数据包进行流量控制。

进一步地，所述步骤2)包括如下步骤：

(1)对每条链路，做步骤(2)-步骤(5)的操作；

(2)对该链路的每条规则，做步骤(3)-步骤(5)的操作；

(3)如果这条规则原先生效而当前已经过期，则将其从活跃规则库中删除；将这条规则的下一次生效时间减去当前时间得到这条规则发生变化的时间；

(4)如果这条规则原先不生效而当前已经达到生效时间，则将其加入活跃规则库中；将这条规则的过期时间减去当前时间得到这条规则发生变化的时间；

(5)计算所有的规则发生变化的最小时间得到活跃规则库下一次发生变化的时间；所述活跃规则库发生变化是指步骤(3)中所述从活跃规则库中删除规则或步骤(4)所述将规则加入活跃规则库；

(6)睡眠，直到活跃规则库下一次发生变化的时间或者系统中有事件通知；所述事件通知是指系统终止运行，或用户添加新的规则进入规则库或者删除正在活动的规则。

(7)重复步骤(1)-步骤(6)的操作，直到系统结束运行。

进一步地，所述步骤3)包括如下步骤：

(1)解析数据包，检查数据包的有效性；如果有效，则执行下一步骤；否则返回处理下一个数据包；

(2)捕获数据包并解析，识别其网络层、传输层协议和应用层协议，并标识各层数据在原始数据包中的偏移和长度；转向步骤(3)；所述解析包括解析出如下信息：原始数据包和长度、该数据包达到系统的时间戳、数据包进行的链路和方向、数据包所在的流记录和应用层标签；

(3)如果数据包属于全局白名单指定的范围，则返回处理下一个数据包；否则转向步骤(4)；

(4)如果数据包属于全局黑名单指定的范围，则转向步骤(10)执行；否则转向步骤(5)执行；

(5)对数据包链路上的所有活跃规则，做步骤(6)-步骤(10)的操作；

(6)检查数据包是否符合当前活跃规则的定义，如果不符合，转向步骤(5)检查下一条规则；否则，转向步骤(7)；

(7)如果数据包属于局部黑名单指定的范围，转向步骤(10)执行；否则转向步骤(8)；

(8)如果数据包属于局部白名单指定的范围，返回处理下一个数据包；否则转向步骤(9)；

(9)对数据包进行统计：计算时间t秒内的流量和上一个数据包达到后到现在允许经过的字节个数，如果时间t秒内的流量没有超过用户在规则中的设定阈值，并且上一个数据包达到后到现在允许经过的字节个数大于0，则转向步骤(10)；否则返回处理下一个数据包；  所述时间t为实数且1＜＝t＜＝10；

(10)发送控制包：根据数据包的网络层协议，传输层协议和应用层协议发送控制包，抑制端到端的速度；返回处理下一个数据包。

进一步的，所述步骤(10)发送控制包具体包括如下步骤：

(a)如果是TCP(传输控制协议)数据包，转向步骤(b)执行；否则转向步骤(d)执行；

(b)发送和原始数据包同向的RST(重置)包，此数据包的TCP序列号(SEQ)和回应号(ACK)，采用下列的方式生成：SEQ号为当前数据包的下一个字节序号，即当前数据包的序列号加上该数据包的负载长度；ACK号和当前的数据包相同；数据包内容其他部分从原始数据包中拷贝；

(c)对于和原始数据包反向的RST包，此数据包的TCP序列号(SEQ)和回应号(ACK)，采用下列的方式生成：SEQ号是当前数据包的ACK号；ACK号是当前数据包的序列号加上该数据包的长度；源地址和目的地址、源端口和目的端口做交换，数据包包的其他内容从原始数据包中拷贝；

(d)如果是UDP(用户数据包协议)数据包，则往数据包的发送方发送ICMP(因特网控制信息协议)的端口不可达包，来抑制原始UDP数据包的发送。

进一步地，构建ICMP的端口不可达包的方法如下：IP(网际协议)包的源地址采用数据包的目的地址，IP包的目的地址采用数据包的源地址，ICMP包的IP头和UDP头采用数据包中的IP头和UDP头。

与现有技术相比，本发明的有益效果是：

1、提高配置规则的灵活性：可以针对链路层、应用层、传输层、应用层等不同层次并对地址段组、流量方向等以多种方式配置规则，设置规则的生效时间段和周期，对控制的目标值设置绝对和相对的方式，支持黑白名单等。

2、大幅度的提高系统效率：由于本发明采用了“活跃规则库”，规则检查的核心路径上只检查那些可能生效的规则，而不关心那些不可能生效的规则，系统效率大幅提升。

3、减轻系统负载：动态计算网络负载，在某条规则匹配数据包时才计算这条规则在过去的一段时间发生的网络负载；避免了现有技术中对每一条规则设置定时器以定时的方式刷新网络负载的方式，现有技术中对于每条规则需要一个定时器，当规则比较多的情况下，需要的定时器很多就会增加系统负载；相比而言，本发明减轻了系统负载。本发明结合数据包的流信息进行决策控制，提高了控制的精度，同时减轻了被控网络的负担；

附图说明

图1是本发明的流量控制系统流程架构；

图2是本发明的判断数据包是否属于活跃规则库中特定规则的流程图；

具体实施方式

下面结合附图和具体实施方式对本发明作进一步详细描述：

如图1所示为本发明的流量控制系统流程架构。其中上面是子模块，下面是数据结构。用来进行流量控制决策的所有规则按照链路层次的划分组织成链表的形式，成为规则库。它是由策略配置模块负责填充的，同时策略配置模块还负责从外部接受、解释和翻译规则的外部表示以便填充到规则库中。为了提高系统的效率，规则库的的活跃子集，也就是那些当前正在生效的规则，被提取出来形成活跃规则库。而将规则加入或者从活跃规则库中删除的工作，是由策略调度模块进行的，它调度的依据是当前时间是否满足规则的生效时间。最后，策略引擎模块，是本系统的核心模块，它的工作是对数据包进行统计、决策和控制，它进行统计和决策的依据是活跃规则库。

具体地，基于旁路干扰的流量控制方法，包括以下步骤：

步骤一：根据用户配置，构建一个规则库。经过对流量控制理论的研究，结合网络流量分布的情况和实际需求，流量控制要求完成的功能如下：流量控制功能依据可调整的规则实时进行，具体的规则包括如下基本控制单元：

(1)区分出境方向、入境方向和出入境方向和进行流量控制；

(2)区分不同时间段等进行流量控制；

(3)区分不同协议等进行流量控制；

(4)区分不同地址(即用户)或者地址段组等进行流量控制，可以设定黑名单和白名单；黑名单是指针对于一条规则，禁止该规则应用在任何属于此黑名单的地址上。白名单是指针对于一条规则，允许该策略应用在任何属于此白名单的地址上。

(5)全局黑白名单和局部黑白名单：全局黑名单和全局白名单独立于任何规则，前者对属于其地址控制范围的数据包均进行阻断操作，后者对属于其地址控制范围的数据包均不进行阻断操作；局部白名单和局部黑名单作用于某一具体规则，前者保证对除速率条件外满足一规则的数据包不做任何操作，后者保证对满足某一规则除速率条件外的其他指标的任一数据包进行流量控制，即对于一条规则，如果某数据包满足此规则除速率条件外的其他指标，那么即对其进行流量阻断操作而无论其速率是否大于规则规定的数据包速率上限；

(6)按照流量上限的绝对值；

(7)按照流量所占的百分比；

基于上述要求，本发明将流量控制的配置分为以下四个层次：链路配置、3层配置、4层配置、应用层配置。链路配置是指针对某一链路整体上所做的流量控制配置，其不仅仅局限于控制某一种协议的流量；3层配置是针对某一链路上3层协议所作的流量控制规则的配置，如ipv4，ipv6，icmp等；4层配置是指针对某一链路上4层协议所作的流量控制规则的配置，如udp，tcp等；应用层配置是指针对某一链路上应用层协议所作的流量控制规则的配置，如http，ftp等。在以上四个层次上的所有策略都必须配置以下指标值：出境方向、入境方向和出入境方向、流量上限的绝对值或者流量所占的百分比、时间段、全局黑白名单、终止或者活动状态。可选指标项为：局部黑白名单，用户将根据人机交互接口来每配置一条控制规则，加入到系统的规则库中，另外用户可以修改或删除原来的控制规则。

步骤二：根据规则运行的时间，进行规则调度，组织“活跃规则库”。用户配置的每条规则均存在于规则库中，本发明将目前允许活动的规则单独归并到活动规则库中，简化策略查找的路径。

(1)对每条链路，做步骤(2)-步骤(5)的操作；

(2)对该链路的每条规则，做步骤(3)-步骤(5)的操作；

(3)如果这条规则原先生效而当前已经过期，则将其从活跃规则库中删除；将这条规则的下一次生效时间减去当前时间得到这条规则发生变化的时间；

(4)如果这条规则原先不生效而当前已经达到生效时间，则将其加入活跃规则库中；将这条规则的过期时间减去当前时间得到这条规则发生变化的时间；

(5)计算所有的规则发生变化的最小时间得到活跃规则库下一次发生变化的时间；所述活跃规则库发生变化是指步骤(3)中所述从活跃规则库中删除规则或步骤(4)中所述将规则加入活跃规则库；计算活跃规则库中所有规则的时间最小间隔(即规则终止到规则下一次活动之间的时间间隔)并取其最小值，取其为活跃规则库发生变化的最小时间；如有3条规则其时间最小间隔分别为：1，2，3秒，那么取其最小值1为活跃规则库发生变化的最小时间；经过这个最小时间后，活跃规则库就会发生变化：要么某条规则被添加到活跃规则库中，要么某条规则从活跃规则库中删除；

(6)睡眠，直到下一次活跃规则库发生变化(此变化是指有新的规则变为活动的规则或者活动的规则不再活动)的时间，或者系统中有事件通知；这里的事件通知是指当用户添加了新的规则或者删除了正在活动的规则，或系统终止运行的情况。

(7)重复步骤(1)-步骤(6)的操作，直到系统结束运行。

步骤三：对数据包进行提取数据包及其长度、到达时间戳等解析工作，计算出数据包速率等信息并结合当前活跃规则库中的规则的速率上限、全局黑白名单、局部黑白名单等规则信息进行全局决策和局部决策，进行实际的流量控制操作。判断数据包是否属于活跃规则库中特定规则的流程图如图2所示，具体实施的步骤如下：

(1)解析该数据包，检查数据包的有效性；如果有效转向下一步骤；否则返回处理下一个数据包；

(2)捕获数据包及并解析出相关信息，包括原始数据包和长度、该数据包达到系统的时间戳、数据包进行的链路和方向、数据包所在的流记录和应用层标签，识别其网络层、传输层协议和应用层协议，并标识各层数据在原始数据包中的偏移和长度；转向步骤(3)；

(3)如果数据包属于全局白名单指定的范围，则返回处理下一个数据包；否则转向步骤(4)；

(4)如果数据包属于全局黑名单指定的范围，则转向步骤(10)执行；否则转向步骤(5)执行；

(5)对数据包链路上的所有活跃规则，做步骤(6)-步骤(10)的操作；

(6)检查该数据包是否符合该规则的规则条件，如果不符合，转向步骤(5)检查下一条规则；否则，转向步骤(7)；

(7)如果数据包属于局部黑名单指定的范围，转向步骤(10)执行；否则转向步骤(8)；

(8)如果数据包属于局部白名单指定的范围，返回处理下一个数据包；否则转向步骤(9)；

(9)对数据包进行统计：计算最近t秒内的流量(即是速度)和上一个包达到后到现在(包括现在)允许经过的字节个数。这里取t＝1作为例子，根据具体网络流量分布带宽等条件的不同，可以取1到10内的实数。如果最近t秒内的流量没有超过用户的设定的阈值，并且上一个包达到后到现在允许经过的字节个数大于0，则转向步骤(10)；否则返回处理下一个数据包；

(10)发送控制包：根据数据包的网络层协议，传输层协议和应用层协议发送控制包，抑制端到端的速度；返回处理下一个数据包；

在上述步骤(10)中实际的流量控制是通过发送干扰包的方式完成，它必须根据数据包的协议来进行区分：

对于TCP通讯而言，采用同时往通讯的双方发送RST包的方案。构建RST包的方式如下：对于和原始数据包同向的RST包，包内容大部分从原始数据包中拷贝，而关键的TCP序列号(SEQ)和回应号(ACK)，采用下列的方式生成：SEQ号为当前数据包的下一个字节序号，即当前数据包的序列号加上该数据包的负载长度；ACK号和当前的数据包相同。对于和原始数据包反向的RST包，包的内容亦大部分从原始数据包中拷贝，但是，源地址和目的地址、源端口和目的端口做交换。而关键的TCP序列号(SEQ)和回应号(ACK)，采用下列的方式生成：SEQ号是当前数据包的ACK号；ACK号是当前数据包的序列号加上该数据包的长度。这种方式是有效的，因为TCP的流量大部分都是非对称的，在同一个时间点，往往都是一个方向有流量，另外一个方向没有流量；因此可以有效地终止TCP连接，从而降低网络负载。

对于UDP通讯而言，采用往数据包的发送方发送ICMP的端口不可达包，来抑制原始UDP包的发送。构建ICMP的端口不可达包的方式如下：IP包的源地址是数据包的目的地址，IP包的目的地址是数据包的源地址，并将数据包中的IP头和UDP头拷贝到ICMP包中。

网络上新应用不断增多，网络用户的快速增长，非法流量的持续涌现，使网络流量控制日益迫切。本发明提出的一种基于旁路干扰的流量控制系统的设计和实现方法，能够方面灵活的对网络流量进行各种层次上的控制，并且提高了网络流量检测系统的效率，对运营商的QOS控制，对网络管理人员均有着重要的意义。

最后所应说明的是，以上实施例仅用以说明本发明的技术方案而非限制。尽管参照实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，对本发明的技术方案进行修改或者等同替换，都不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (9)

1、一种基于旁路干扰的流量控制方法，包括以下步骤：

1)构建流量控制的规则库；

2)根据规则的时间，进行规则调度，建立活跃规则库；

3)对数据包进行解析，计算出数据包速率信息并根据当前活跃规则库中的规则进行全局决策和局部决策，根据决策来控制流量。

2、根据权利要求1所述基于旁路干扰的流量控制方法，其特征是，所述步骤1)中规则库的规则为用户对链路层、网络层、传输层和应用层制定的控制规则；控制规则的指标包括出境方向、入境方向和出入境方向的流量上限的绝对值、流量所占的百分比，规则生效的状态、时间、周期和地址范围；全局黑名单、全局白名单、局部黑名单和局部白名单。

3、根据权利要求2所述基于旁路干扰的流量控制方法，其特征是，所述全局黑名单和全局白名单是作用于用户制定的任一规则的地址控制范围，对属于全局黑名单的地址控制范围的数据包均进行阻断操作，对属于全局白名单的地址控制范围的数据包均不进行阻断操作；所述局部黑名单和局部白名单是作用于相应规则的地址控制范围，局部黑名单使得对除速率条件外满足相应规则的数据包不做任何操作，局部白名单使得对满足相应规则除速率条件外的其他指标的任一数据包进行流量控制。

4、根据权利要求1所述基于旁路干扰的流量控制方法，其特征是，所述步骤2)包括如下步骤：

(1)对每条链路，做步骤(2)-步骤(5)的操作；

(2)对该链路的每条规则，做步骤(3)-步骤(5)的操作；

(3)如果这条规则原先生效而当前已经过期，则将其从活跃规则库中删除；将这条规则的下一次生效时间减去当前时间得到这条规则发生变化的时间；

(4)如果这条规则原先不生效而当前已经达到生效时间，则将其加入活跃规则库中；将这条规则的过期时间减去当前时间得到这条规则发生变化的时间；

(5)计算所有的规则发生变化的最小时间得到活跃规则库下一次发生变化的时间；

(6)睡眠，直到活跃规则库下一次发生变化的时间或者系统中有事件通知；

(7)重复步骤(1)-步骤(6)的操作，直到系统结束运行。

5、根据权利要求1所述基于旁路干扰的流量控制方法，其特征是，所述步骤3)包括如下步骤：

(1)解析数据包，检查数据包的有效性；如果有效，则执行下一步骤；否则返回处理下一个数据包；

(2)捕获数据包并解析，识别其网络层、传输层协议和应用层协议，并标识各层数据在原始数据包中的偏移和长度；转向步骤(3)；

(3)如果数据包属于全局白名单指定的范围，则返回处理下一个数据包；否则转向步骤(4)；

(4)如果数据包属于全局黑名单指定的范围，则转向步骤(10)执行；否则转向步骤(5)执行；

(5)对数据包链路上的所有活跃规则，做步骤(6)-步骤(10)的操作；

(6)检查数据包是否符合当前活跃规则的定义，如果不符合，转向步骤(5)检查下一条规则；否则，转向步骤(7)；

(7)如果数据包属于局部黑名单指定的范围，转向步骤(10)执行；否则转向步骤(8)；

(8)如果数据包属于局部白名单指定的范围，返回处理下一个数据包；否则转向步骤(9)；

(9)对数据包进行统计：计算时间t秒内的流量和上一个数据包达到后到现在允许经过的字节个数，如果时间t秒内的流量没有超过用户在规则中的设定阈值，并且上一个数据包达到后到现在允许经过的字节个数大于0，则转向步骤(10)；否则返回处理下一个数据包；  所述t为实数且1＜＝t＜＝10；

(10)发送控制包：根据数据包的网络层协议，传输层协议和应用层协议发送控制包，抑制端到端的速度；返回处理下一个数据包。

6、根据权利要求5所述基于旁路干扰的流量控制方法，其特征是，所述步骤(2)中对数据包解析包括解析出如下信息：原始数据包和长度、该数据包达到系统的时间戳、数据包进行的链路和方向、数据包所在的流记录和应用层标签。

7、根据权利要求5所述基于旁路干扰的流量控制方法，其特征是，所述步骤(10)发送控制包具体包括如下步骤：

(a)如果是TCP数据包，转向步骤(b)执行；否则转向步骤(d)执行；

(b)发送和原始数据包同向的重置包，此数据包的TCP序列号和回应号，采用下列的方式生成：序列号为当前数据包的下一个字节序号；回应号和当前的数据包相同；数据包内容其他部分从原始数据包中拷贝；

(c)对于和原始数据包反向的重置包，此数据包的TCP序列号和回应号，采用下列的方式生成：序列号是当前数据包的回应号；回应号是当前数据包的序列号加上该数据包的长度；源地址和目的地址、源端口和目的端口做交换；数据包的其他内容从原始数据包中拷贝；

(d)如果是UDP数据包，则往数据包的发送方发送ICMP的端口不可达包，来抑制原始UDP数据包的发送。

8、根据权利要求7所述基于旁路干扰的流量控制方法，其特征是，所述步骤(d)中构建ICMP的端口不可达包的方法如下：IP包的源地址采用数据包的目的地址，IP包的目的地址采用数据包的源地址，ICMP包的IP头和UDP头采用数据包中的IP头和UDP头。

9、根据权利要求4所述基于旁路干扰的流量控制方法，其特征是，步骤(6)中所述事件通知是指系统终止运行，或用户添加新的规则进入规则库或者删除正在活动的规则。

Images