[发明专利]数据包抽样统计的方法及装置

说明书

技术领域

本发明涉及通信系统流统计技术领域，尤其涉及一种数据包抽样统计的方法及装置。

背景技术

随着互联网的高速发展，网络规模空前庞大，各种网络攻击也越来越多，因此在网络设备上监控网络流量分布是十分有必要的，这为有针对性地阻止网络攻击提供了必要的参考。

为了对数据包进行统计，出现了很多基于流统计的技术，例如：这些技术都能统计一段时间内的数据包和字节数的情况，但是这些技术都是基于每个数据包进行单独统计的，会消耗大量的CPU资源，另外，由于用于统计的带宽资源的限制，所能统计的数据包也是有限的。为了降低CPU负担，同时也为了统计更大范围的流量分布情况，一般会采用抽样统计技术，这样既能有效降低统计的数据流量，又能准确了解数据的流量分布情况。现有抽样统计一般是基于网络设备的接口按照一定方式进行抽样的，抽样方式包括按包抽样和按时间抽样两种。按包抽样又包括固定按包抽样和随机按包抽样，固定按包抽样就是间隔固定数量的数据包进行抽样，例如，抽样间隔为4时，是只每4个数据包抽取1个，随机按包抽样就是在一个抽样间隔内抽取的数据包是随机的，例如，随机抽取第10、100以及第1000数据包；按时间抽样就是在抽样周期内进行抽样，例如，抽样周期0.5s内抽取1个数据包。

对于流量分布的统计，主要关注数据流的分布情况，但是上述抽样统计方式都是仅基于接口进行的，不能很好的区分各种数据包的流量分布。例如，通常一个接口上同时并发的数据流非常大，数十万条数据流同时存在，多的同时有上百万条或更多，这样容易出现大流淹没小流的情况，使得数据量小的数据包很难被抽中，这会导致小流量数据包的统计与实际偏差较大，不能很好体现实际的数据流分布情况，致使抽样失真。

发明内容

有鉴于此，本发明在上述抽样统计方案的基础上，提供一种改进的数据包抽样统计的方法和装置，以降低抽样失真度。

为此，本发明采用如下技术方案：

一种数据包抽样统计的方法，包括步骤：预置各类数据包计数器；提取所接收数据包的关键字，从而获知该数据包的类型；对所述类型数据包的计数器值加1，并对最新的计数器值按照预置的抽样间隔进行取模运算；若取模结果为系统预置的抽样值，则对该数据包进行抽样统计。

优选地，在预置计数器时，是按照IP五元组信息进行哈希运算所得到的各哈希值区分每类数据包的；当接收到数据包后，从关键字中提取数据包IP五元组，对提取的IP五元组进行所述哈希运算，利用该哈希值确定该数据包类型。

或者，在预置计数器时，是按照部分或全部IP五元组信息区分每类数据包的；当接收到数据包后，从关键字中提取数据包IP五元组，利用部分或全部IP五元组确定该数据包类型。

一种数据包抽样统计的方法，包括：预置计时器，并预置各类数据包抽样标志，当计时器值为预置抽样周期整数倍时，将所述抽样标志置位；提取接收的数据包的关键字，从而获知该数据包的类型；判断该类数据包抽样标志是否置位，如果置位，则对该数据包进行抽样，同时将抽样标志复位。

优选地，在预置抽样标志时，是按照IP五元组信息进行哈希运算所得到的各哈希值区分每类数据包的；当接收到数据包后，从关键字中提取数据包IP五元组，对提取的IP五元组进行所述哈希运算，利用该哈希值确定该数据包类型。

或者，在预置抽样标志时，是按照部分或全部IP五元组信息区分每类数据包的；当接收到数据包后，从关键字中提取数据包IP五元组，利用部分或全部IP五元组确定该数据包类型。

一种数据包抽样统计的装置，包括：用于接收数据包的接口单元、用于解析所述数据包获取关键字的解析单元、用于保存抽样值的预置单元，以及，对数据包进行抽样统计的抽样统计单元，所述预置单元还保存抽样值；所述装置还包括：索引表存储单元，用于存储各类数据包对应的计数器；匹配单元，用于按照所述解析单元提取的关键字匹配所述索引表，获知数据包对应的计数器，并更新所述索引表对该计数器加1；取模单元，用于对最新的计数器值按照预置的抽样间隔进行取模运算；判断单元，用于判断取模结果是否为预置的抽样值，若是，指示所述抽样统计单元对数据包进行抽样统计。

其中，所述索引表，是按照IP五元组信息进行哈希运算所得到的各哈希值区分每类数据包的；所述匹配单元，从关键字中提取数据包IP五元组并进行所述哈希运算，利用该哈希值匹配所述索引表，从而确定该数据包类型；或者，所述索引表，是按照部分或全部IP五元组信息区分每类数据包的；所述匹配单元，从关键字中提取数据包IP五元组，并利用部分或全部IP五元组匹配所述索引表，从而确定该数据包类型。