TWI685231B - 封包分類方法 - Google Patents

Abstract

本揭示文件提出一種封包分類方法，包含：透過第一剖析器解析網路資料，以判斷網路資料是否包含資料鏈結層內容；於判斷網路資料包含資料鏈結層內容，則透過第二剖析器解析網路資料，以判斷網路資料是否包含網路層內容；於判斷網路資料包含網路層內容，則透過第三剖析器解析該網路資料，以判斷網路資料是否包含傳輸層內容；於判斷網路資料包含傳輸層內容，透過第四剖析器解析網路資料之應用類型；透過分類模組根據應用類型設定分類標籤至網路資料；以及儲存網路資料及分類標籤於標籤查找表，以提供網路平台進行訊務管理。

Description

封包分類方法

本揭示文件係有關於一種網路管理方法，且特別是有關於一種網路節點的封包分類方法。

在網路環境中為了達到網路管理，一般會對封包進行解析，並針對封包的通訊埠來分類封包。然而，若封包是由未知的點對點協定所封裝，或者封包是使用動態通訊埠或偽裝的通訊埠，將會錯誤地解析封包，而誤判封包類型。據此，對於如何根據封包中攜帶的內容來精準地識別封包類別係亟需解決的問題。

發明內容旨在提供本揭示內容的簡化摘要，以使閱讀者對本揭示內容具備基本的理解。此發明內容並非本揭示內容的完整概述，且其用意並非在指出本發明實施例的重要/關鍵元件或界定本發明的範圍。

根據本揭示文件之一實施例，揭示一種封包分類方法，包含以下步驟：透過一第一剖析器解析一網 路資料，以判斷該網路資料是否包含一資料鏈結層內容；於判斷該網路資料包含該資料鏈結層內容，則透過一第二剖析器解析該網路資料，以判斷該網路資料是否包含一網路層內容；於判斷該網路資料包含該網路層內容，則透過一第三剖析器解析該網路資料，以判斷該網路資料是否包含一傳輸層內容；於判斷該網路資料包含該傳輸層內容，透過一第四剖析器解析該網路資料之一應用類型；透過一分類模組根據該應用類型設定一分類標籤至該網路資料；以及儲存該網路資料及該分類標籤於一標籤查找表，以提供網路平台進行訊務管理。

為讓本揭示內容之上述和其他目的、特徵、優點與實施例能更明顯易懂，所附符號之說明如下：

100‧‧‧網路節點

110‧‧‧剖析模組

111‧‧‧防火牆模組

112‧‧‧監聽模組

113‧‧‧第一剖析器

114‧‧‧第二剖析器

115‧‧‧第三剖析器

116‧‧‧第四剖析器

117‧‧‧標籤名稱產生器

120‧‧‧分類模組

121‧‧‧區域封包過濾器

122‧‧‧第七層分類器

123‧‧‧第三/四層分類器

130‧‧‧網路平台

131‧‧‧前端模組

132‧‧‧服務品質模組

133‧‧‧路由選擇模組

140‧‧‧資料庫管理程式

150‧‧‧網域名稱服務資料庫

160‧‧‧分類資料庫

170‧‧‧路由模組

S310~S390‧‧‧步驟

以下詳細描述結合隨附圖式閱讀時，將有利於較佳地理解本揭示文件之態樣。應注意，根據說明上實務的需求，圖式中各特徵並不一定按比例繪製。實際上，出於論述清晰之目的，可能任意增加或減小各特徵之尺寸。

第1圖繪示根據本揭示文件一些實施例中在網路通訊環境中的一種網路節點及網路節點的功能方塊示意圖。

第2圖繪示根據本揭示文件一些實施例中如第1圖的網路節點執行封包分類之功能方塊示意圖。

第3圖繪示根據本揭示文件一些實施例中的一種封包分類方法之流程示意圖。

以下揭示內容提供許多不同實施例或實例，以便實施本發明之不同特徵。下文描述元件及排列之特定實例以簡化本發明。當然，該等實例僅為示例性且並不欲為限制性。舉例而言，以下描述中在第二特徵上方或第二特徵上形成第一特徵可包括以直接接觸形成第一特徵及第二特徵的實施例，且亦可包括可在第一特徵與第二特徵之間形成額外特徵使得第一特徵及特徵可不處於直接接觸的實施例。另外，本發明可在各實例中重複元件符號及/或字母。此重複係出於簡明性及清晰之目的，且本身並不指示所論述之各實施例及/或配置之間的關係。

進一步地，為了便於描述，本文可使用空間相對性術語(諸如「之下」、「下方」、「較低」、「上方」、「較高」及類似者)來描述諸圖中所圖示一個元件或特徵與另一元件(或多個元件)或特徵(或多個特徵)之關係。除了諸圖所描繪之定向外，空間相對性術語意欲包含使用或操作中裝置之不同定向。設備可經其他方式定向(旋轉90度或處於其他定向上)且因此可同樣解讀本文所使用之空間相對性描述詞。

請參照第1圖，其繪示根據本揭示文件一些實施例中在網路通訊環境中的一種網路節點100及網路節點100的功能方塊示意圖。網路節點100可設置於對外 部網路連接的廣域網路(WAN)和/或對內部網路連接的區域網路(LAN)。在一些實施例中，網路節點100可以為但不限於路由器、閘道器、具備網路層處理功能的交換器等。在另一些實施例中，網路節點100可以為設置在網路邊緣(network edge)的邊緣節點(edge node)。值得一提的是，本揭示文件提及有關於第二層、第三層、第四層、第七層係指開放系統互聯模型(Open System Interconnection，OSI)之資料鏈結層、網路層、傳輸層、應用層，在實施例中可交換地使用而不改變實質的涵義。

如第1圖所示，網路節點100在通訊網路中接收來自廣域網路WAN或區域網路LAN的網路資料，以對網路資料執行封包分類。

網路節點100包含剖析模組110、分類模組120、網路平台130、網域名稱服務資料庫150、以及分類資料庫160。剖析模組110用以解析網路資料的內容，據以取得關於網路資料的關鍵分類訊息。在一實施例中，剖析模組110還會進一步根據網路資料的內容來查詢網域名稱服務資料庫150，以供後續取得關鍵分類訊息。

分類模組120用以根據關鍵分類訊息，產生對應該網路資料的分類標籤，並將分類標籤與對應的網路資料儲存於分類資料庫160。

網域名稱服務資料庫150可以為但不限於網域名稱系統元數據庫(domain name system metadata， DNS metadata)。在一實施例中，網域名稱服務資料庫150用於記錄DNS回應訊息和完全合格域名(fully qualified domain name，FQDN)的分類訊息。舉例來說，DNS回應訊息包含DNS正解之IP地址訊息(A訊息)、別名訊息(CNAME訊息)、及DNS反解之域名訊息(PTR訊息)。FQDN的分類訊息包含各FQDN及其對應的分類標籤。

網路平台130用以存取分類資料庫160中的分類標籤，以控管網路節點100經歷的網路資料以及目前的網路狀態，針對各網路資料的應用類型執行控管。

網路節點100可以透過資料庫管理程式140產生多個執行程序來讀取網域名稱服務資料庫150與分類資料庫160，以同時執行多個封包分類。舉例來說，透過資料庫管理程式140同時查詢分類資料庫160中網際網路協定位址(IP address)對應的網域名稱或FQDN，而同時對多個封包進行分類判斷。在一些實施例中，資料庫管理程式140可以為但不限於SQLite3程式。

網路節點100還包含路由模組170。路由模組170用於執行路由器功能。在一實施例中，路由模組170包含網路封包管理模組(未繪示)及轉換模組(未繪示)。網路封包管理模組用於管理網路節點100中有關於網路封包的轉址、阻擋、傳送等的封包管控。網路封包管理模組可以為但不限於Linux系統的iptables程式、ip6tables程式、ipchains程式、ipwadm程式等。轉換模組用於執行IP位址的轉換。轉換模組可以為但不限於網路位址轉 換(network address translation，NAT)程式。在一實施例中，在網路節點100接收到網路資料時，先透過路由模組170執行轉址、阻擋、傳送等路由處理，再由剖析模組110進行分類程序。

請參照第2圖，其繪示根據本揭示文件一些實施例中如第1圖的網路節點100執行封包分類之功能方塊示意圖。如第2圖所示，剖析模組110包含防火牆模組111、監聽模組122、第一剖析器113、第二剖析器114、第三剖析器115、第四剖析器116、以及標籤名稱產生器117。剖析模組110處理網路資料時，在一實施例中，由防火牆模組111開始分析網路資料，若通過一定條件或規則，則繼續由其他元件執行網路資料的分析。若網路資料不符合剖析模組110中任一元件的條件或判斷，代表網路資料不屬於封包分類的範圍，而將會被丟棄，並中斷對該網路資料的封包分類。

防火牆模組111用於對網路資料執行防火牆規則(firewall)，以判斷網路資料是否為垃圾封包。舉例來說，網路節點100接收來自廣域網路WAN的網路資料，若防火牆模組判定網路資料為拒絕服務攻擊封包，例如同步洪水攻擊(SYN Flooding)之SYN封包、網際網路控制訊息協定洪水攻擊(ICMP Flooding)之封包等。因此，讓此些由非由區域網路發起的連線封包在此階段被阻擋，可以將不需要被分類的網路資料先行過濾。防火牆模組111將通過防火牆規則的網路資料傳送至監聽模 組122。

監聽模組122用於對網路資料執行監聽規則(sniffer)。舉例來說，監聽模組122直接擷取網路資料，不執行鏡像複製該網路資料的前提下直接轉送網路資料至第一剖析器113。如此一來，可以避免在對網路資料執行鏡像所導致的效能低落問題。

第一剖析器113用於判斷網路資料是否包含資料鏈結層內容。在一實施例中，第一剖析器113為資料鏈結層(data link layer)的剖析器。第一剖析器113解封裝網路資料，以判斷網路資料是否為乙太網路訊框(Ethernet frame)。舉例來說，若第一剖析器113可以從網路資料中取得媒體存取控制位址(media access address，MAC)，則網路資料屬於乙太網路訊框，即判定網路資料包含資料鏈結層內容。在另一實施例中，第一剖析器113可根據乙太網路協定來檢測網路資料，而不以MAC位址為限。第一剖析器113將判定為乙太網路訊框的網路資料傳送至第二剖析器114。如此一來，剖析模組110只會針對乙太網路類型的網路資料進行封包分類，不屬於乙太網路類型的網路資料則會在此時被過濾。

第二剖析器114用以判斷網路資料是否包含網路層內容。在一實施例中，第二剖析器114為網路層(network layer)的剖析器。第二剖析器114解封裝網路資料，以判斷網路資料是否為乙太網路封包(packet)。舉例 來說，若第二剖析器114可以從網路資料中取得網際網路協定位址(internet protocol address，IP address)，則判定網路資料包含網路層內容。接著，第二剖析器114會進一步地解析網路層內容的來源端IP位址及目標端IP位址，並將此些IP位址透過第1圖的資料庫管理程式140儲存至分類資料庫160。

此外，第二剖析器114會根據來源端IP位址及目標端IP位址來判斷網路資料傳送的訊務(traffic)方向。舉例來說，若來源端IP位址屬於公開IP位址(public IP address)而目標端IP位址屬於私有IP位址(private IP address)，則判定訊務方向為流向內部區域網路方向。反之，則判定訊務方向為流向外部廣域網路方向。值得一提的是，此判斷方式僅為實施例說明，本揭示文件不以此為限。如此一來，剖析模組110只會針對包含網路層內容的網路資料進行封包分類，其餘的網路資料則會在此時被過濾。第二剖析器114將符合條件的網路封包傳送至第三剖析器115。

第三剖析器115用於判斷網路資料是否包含傳輸層內容。在一實施例中，第三剖析器115為傳輸層(transport layer)的剖析器。第三剖析器115解封裝網路資料，以判斷網路資料是否為傳輸層區段(segment)。舉例來說，若第三剖析器115可以從網路資料中取得傳輸控制協定(Transmission Control Protocol，TCP)訊息或使用者資料包協定(user datagram protocol，UDP)訊息，則判定 網路資料為傳輸層區段。接著，若網路資料中包含TCP訊息，則第三剖析器115根據TCP訊息判斷目前之連線握手類型(例如透過SYN、SYN/ACK、ACK、FIN/ACK封包來判斷目前的TCP連線握手階段)以及連線握手序號(例如擷取seq與ack數字來判斷目前的TCP連線階段)，接著將網路資料傳送至第四剖析器116。另一方面，若網路資料包含UDP訊息，則第三剖析器115直接將網路封包傳送至第四剖析器116。

在一實施例中，第四剖析器116為應用層(application layer)的剖析器。第四剖析器116解封裝網路資料，以擷取網路資料之應用類型。舉例來說，應用類型可以為但不限於超文本傳輸協定(Hypert Text Transfer Protocol，HTTP)、超文本傳輸安全協定(Hypertext Transfer Protocol Secure，HTTPS)、DNS請求/回應、快速UDP網路連線(Quick UDP Internet Connections，QUIC)、Google快速UDP網路連線(GQUIC)、傳輸層安全協定(Transport Layer Security)、安全外殼協定(Secure Shell，SSL)等。第四剖析器116會根據不同的應用類型來取得對應的關鍵分類訊息。

在一實施例中，當第四剖析器116判斷網路資料的應用類型為HTTP，則取得網路資料之主機(host)資料。當第四剖析器116判斷應用類型為DNS請求/回應，則取得網路資料之網域名稱服務資料。當第四剖析器116判斷應用類型為QUIC/GUIC、TLS及SSL中任一 者，則取得網路資料之伺服器名稱符(Server Name Indication，SNI)。在此實施例中，第四剖析器116取得的關鍵分類訊息包含主機資料、網域名稱服務資料、及伺服器名稱符。值得一提的是，上述僅為實施例例示性說明，本揭示文件不以此些應用類型與關鍵分類訊息為限。

標籤名稱產生器117用以根據主機資料、網路名稱服務資料、伺服器名稱符中任一者，產生對應該網路資料的分類標籤。在一實施例中，標籤名稱產生器117會根據關鍵分類訊息來查詢資料庫(例如維基百科)，以獲得分類標籤。舉例來說，假設網路節點100收到一個DNS請求封包，為請求查詢IP：31.13.87.38的訊息。在網路節點100在轉發DNS請求訊息之後，收到有DNS回應的網路資料。剖析模組110解析網路資料的應用類型為DNS回應，而此DNS回應包含兩筆訊息：www.facebook.com CNAME star-z-mini.c10r.facebook.com star-z-mini.c10r.facebook.com A 31.13.87.38也就是說，針對查詢IP：31.13.87.38，會收到兩個訊息：www.facebook.com以及star-z-mini.c10r.facebook.com。實際上，這兩個訊息均代表facebook的伺服器。標籤名稱產生器117將此二個訊息查詢例如維基百科之後，得到facebook此一結果。因此，將此兩個DNS回應訊息設定相同的分類標籤，即facebook。換句話說，標籤名稱產生器117透過前面的剖析器取得的關鍵分類訊息於資料 庫中查詢，可以使得原本看似不一樣的關鍵分類訊息，透過標註分類標籤，將多個關鍵分類訊息為相同類別。

請復參照第2圖，分類模組120包含區域封包過濾器121、第七層分類器122、及第三/四層分類器123。在一實施例中，區域封包過濾器121用於判斷網路資料是否屬於區域網路通訊封包(例如ARP、DDSP、DHCP、LLMNR、NetBIOS等)或與應用程式無正相關的協定(例如SSH協定、FTP協定等)。若判定該網路資料屬於區域網路通訊封包，則丟棄該網路資料。如此一來，可避免對僅用於內部協定或無關於應用程式的網路資料作分類，提升分類過程的準確度。

在一實施例中，第七層分類器122用於判斷網路資料是否包含第七層開放系統互連訊息。第七層分類器122於判定該網路資料包含第七層開放系統互連訊息時，則根據主機(host)資料與伺服器名稱符(SNI)，分類該網路資料。

在一實施例中，第三/四層分類器123用於判定該網路資料不包含第七層開放系統互連訊息時，則根據網域名稱服務資料取得網際網路協定位址以及對應於網際網路協定位址之完全合格域名(FQDN)資料。

請復參照第2圖，網路平台130包含前端模組131、服務品質模組132、及路由選擇模組133。前端模組131接收管理指令，以執行相關的封包控管程序。舉例來說，若管理指令為頻寬管控指令，則服務品質模組 132被操作以執行相關的頻寬控制，以對指定訊務進行頻寬限制或保證。若管理指令為封鎖指令，則路由選擇模組133被操作以封鎖指定的訊務，以避免網路節點100存取到惡意網域。

請參照第3圖，其繪示根據本揭示文件一些實施例中的一種封包分類方法之流程示意圖。請一併參照第2圖，封包分類方法之流程步驟如下：

在步驟S310中，防火牆模組111執行防火牆規則以過濾網路資料。

在步驟S320中，監聽模組112監聽已通過防火牆規則之網路資料，並將該網路資料傳送至第一剖析器113。

在步驟S330中，第一剖析器113判斷網路資料是否包含資料鏈結層內容。若判斷網路資料包含資料鏈結層內容，則執行步驟S340。若否，則到步驟S390，結束封包分類方法。

在步驟S340中，第二剖析器114判斷網路資料是否包含網路層內容。若判斷判斷網路資料包含網路層內容，則執行步驟S350。若否，則到步驟S390，結束封包分類方法。

在步驟S350中，第三剖析器115判斷網路資料是否包含傳輸層內容。若判斷網路資料包含傳輸層內容，則執行步驟S360。若否，則到步驟S390，結束封包分類方法。

在步驟S360中，第四剖析器116解析網路資料之應用類型。接著，在步驟S370中，標籤名稱產生器117根據應用類型設定分類標籤至網路資料。

在步驟S380中，標籤名稱產生器117儲存網路資料及分類標籤於標籤查找表，以供網路平台130進行訊務管理。

綜上所述，本揭示文件的網路節點及操作於網路節點100的封包分類方法，基於合格網域名稱的資訊以及對於網路資料的各層資訊的追蹤與處理，將真正對應到相同來源的訊息賦予相同的分類標籤。如此一來，在後續的網路資料進到網路節點100後，可以透過分類標籤快速地推斷訊務類型。

此外，本揭示文件不需要預先訓練規則，而可直接對網路資料或訊務進行分類，簡化封包分類的程序並降地運算成本。另外，透過設置軟體路由器來實現本揭示文件的封包分類方法，可減少網路延遲對分類機制所造成的效能不佳的問題。以及，由於設置分類標籤使得網路管理人員不需要親自檢查封包內容即可知道訊務類型，使得網路管理者可以直接專注在網路控管，提升對整體網路訊務狀態的掌握度。

上文概述若干實施例之特徵，使得熟習此項技術者可更好地理解本發明之態樣。熟習此項技術者應瞭解，可輕易使用本發明作為設計或修改其他製程及結構的基礎，以便實施本文所介紹之實施例的相同目的及 /或實現相同優勢。熟習此項技術者亦應認識到，此類等效結構並未脫離本發明之精神及範疇，且可在不脫離本發明之精神及範疇的情況下產生本文的各種變化、替代及更改。

100‧‧‧網路節點

110‧‧‧剖析模組

120‧‧‧分類模組

130‧‧‧網路平台

140‧‧‧資料庫管理程式

150‧‧‧網域名稱服務資料庫

160‧‧‧分類資料庫

170‧‧‧路由模組

Claims (10)

1. 一種封包分類方法，包含：透過一第一剖析器解析一網路資料，以判斷該網路資料是否包含一資料鏈結層內容；於判斷該網路資料包含該資料鏈結層內容，則透過一第二剖析器解析該網路資料，以判斷該網路資料是否包含一網路層內容；於判斷該網路資料包含該網路層內容，則透過一第三剖析器解析該網路資料，以判斷該網路資料是否包含一傳輸層內容；於判斷該網路資料包含該傳輸層內容，透過一第四剖析器解析該網路資料之一應用類型；透過一分類模組根據該應用類型設定一分類標籤至該網路資料；以及儲存該網路資料及該分類標籤於一標籤查找表，以提供網路平台進行訊務管理。
2. 如請求項1所述之封包分類方法，其中於判斷該網路資料是否包含該資料鏈結層內容之前，還包含：透過一防火牆模組執行一防火牆規則以過濾該網路資料。
3. 如請求項2所述之封包分類方法，於 判斷該網路資料是否包含該資料鏈結層內容之前，還包含：透過一監聽模組對通過該防火牆規則之該網路資料執行一監聽規則；以及透過該監聽模組傳送該網路資料至該第一剖析器，以透過該第一剖析器判斷該網路資料是否包含該資料鏈結層內容。
4. 如請求項1所述之封包分類方法，其中判斷該網路資料是否包含該資料鏈結層內容的步驟還包含：根據一乙太網路協定檢測該網路資料；以及若該網路資料符合該乙太網路協定，則判定該網路資料包含該資料鏈結層內容。
5. 如請求項1所述之封包分類方法，其中判斷該網路資料是否包含該網路層內容的步驟還包含：根據一網路層協定檢測該網路資料；以及若該網路資料符合該網路層協定，則判定該網路資料包含該網路層內容。
6. 如請求項5所述之封包分類方法，其中判定該網路資料包含該網路層內容的步驟還包含： 解析該網路資料之該網路層內容的一來源端網際網路協定位址以及一目標端網際網路協定位址；根據該來源端網際網路協定位址以及該目標端網際網路協定位址，判斷該網路資料的一訊務方向，其中該訊務方向包含一往廣域網路方向及一往區域網路方向；以及記錄該來源端網際網路協定位址以及該目標端網際網路協定位址於一分類資料庫。
7. 如請求項1所述之封包分類方法，其中判斷該網路資料是否包含該傳輸層內容的步驟還包含：解析該網路資料之該傳輸層內容是否包含一傳輸控制協定訊息與一使用者資料包協定訊息；當該傳輸層內容包含該傳輸控制協定訊息，則根據該傳輸控制協定訊息判斷目前之一連線握手類型以及一連線握手序號；以及當該傳輸層內容包含該使用者資料包協定訊息，則傳送該網路資料至該第四剖析器。
8. 如請求項1所述之封包分類方法，其中根據該網路資料之該應用類型設定該分類標籤的步驟包含：當該應用類型為超文本傳輸協定請求，則取得該網路資料之一主機資料； 當該應用類型為網域名稱系統請求/回應，則取得該網路資料之一網域名稱系統資料；以及當該應用類型為快速UDP網路連線、傳輸層安全協定及安全外殼協定中任一者，則取得該網路資料之一伺服器名稱符。
9. 如請求項8所述之封包分類方法，其中根據該網路資料之該應用類型設定該分類標籤的步驟還包含：根據該主機資料、該網域名稱服務資料、及該伺服器名稱符中任一者，透過一標籤名稱產生器產生該分類標籤；以及設定對應之該分類標籤至該網路資料。
10. 如請求項9所述之封包分類方法，其中於設定對應之該分類標籤至該網路資料之後，還包含：透過該分類模組之一區域封包過濾器於判定該網路資料屬於一區域網路通訊封包，則丟棄該網路資料；透過該分類模組之一第七層分類器於判定該網路資料包含一第七層開放系統互連訊息時，根據該主機資料與該伺服器名稱符分類該網路資料；以及透過該分類模組之一第三/四層分類器於判定該網路資料不包含該第七層開放系統互連訊息時，根據該網 域名稱服務資料取得一網際網路協定位址與對應於該網際網路協定位址之一完全合格域名資料。

Images