[发明专利]一种单向流量的检测方法及网络设备

权利要求书

1.一种单向流量的检测方法，其特征在于，所述方法包括：

接收网关转发的报文；

当所述报文命中会话时，根据接收的检测系统中的其他网络设备发送的同步信息中的协议栈信息对所述报文进行解析，获得所述报文的同步信息，其中，所述检测系统中包括至少两个网络设备，所述至少两个网络设备用于实现网络流量的负载均衡，所述报文的同步信息中包含有协议栈信息和应用层数据；

判断所述报文的同步信息中的应用层数据是否为文件；

如果所述报文的同步信息中的应用层数据是文件，则缓存所述应用层数据；

将所述报文的同步信息中的应用层数据与所述其他网络设备发送的同步信息中的应用层数据进行组合获得文件；

如果所述报文是所述文件的最后一个报文，则对所述文件进行安全检测；

如果所述报文不是所述文件的最后一个报文，则将所述报文的同步信息发送给所述其他网络设备，以使所述其他网络设备根据所述报文的同步信息对所述文件进行安全检测。

2.根据权利要求1所述的单向流量的检测方法，其特征在于，所述根据接收的检测系统中的其他网络设备发送的同步信息中的协议栈信息对所述报文进行解析包括：

接收所述其他网络设备发送的封装的同步信息，其中所述其他网络设备发送的同步信息中包含有所述其他网络设备接收的文件的其他报文的协议栈信息以及应用层数据信息；

对所述其他网络设备发送的封装的同步信息进行解封装；

根据解封装后的所述其他网络设备发送的同步信息中的协议栈信息对所述报文进行解析。

3.根据权利要求1所述的单向流量的检测方法，其特征在于，所述将所述报文的同步信息发送给所述其他网络设备包括：

将所述报文的同步信息进行封装；

将封装后的所述报文的同步信息发送给所述其他网络设备。

4.根据权利要求1-3任意一项所述的方法，其特征在于：

所述同步信息中还包括五元组信息，

所述方法还包括：

根据接收的所述其他网络设备发送的同步信息中的五元组信息建立会话。

5.根据权利要求4所述的方法，其特征在于，还包括：

如果所述报文的同步信息中的应用层数据不是文件，则根据所述五元组信息将所述报文通过所述网关设备进行转发。

6.一种网络设备，其特征在于，所述网络设备包括：

接收单元，用于接收网关转发的报文；

解析单元，用于当所述报文命中会话时，根据所述接收单元接收的检测系统中的其他检测设备发送的同步信息中的协议栈信息对所述报文进行解析，获得所述报文的同步信息，其中，所述检测系统中包括至少两个检测设备，所述报文的同步信息中包含有协议栈信息和应用层数据；

判断单元，用于判断所述解析单元获得的所述报文的同步信息中的应用层数据是否为文件；

缓存单元，用于如果所述报文的同步信息中的应用层数据是文件，则缓存所述应用层数据；

组合单元，用于将所述报文的同步信息中的应用层数据与所述其他检测设备发送的同步信息中的应用层数据进行组合获得文件；

安全检测单元，用于如果所述报文是所述文件的最后一个报文，则对所述文件进行安全检测；

发送单元，用于如果所述报文不是所述文件的最后一个报文，则将所述报文的同步信息发送给所述其他检测设备，以使所述其他检测设备根据所述报文的同步信息对所述文件进行安全检测。

7.根据权利要求6所述的网络设备，其特征在于，所述解析单元，包括：

第一接收子单元，用于接收所述其他检测设备发送的封装的同步信息，其中所述其他检测设备发送的同步信息中包含有所述其他检测设备接收的文件的其他报文的协议栈信息以及应用层数据信息；

解封装子单元，用于对所述第一接收子单元接收的所述其他检测设备发送的封装的同步信息进行解封装；

解析子单元，用于根据所述解封装子单元解封装后的所述其他检测设备发送的同步信息中的协议栈信息对所述报文进行解析。

8.根据权利要求6所述的网络设备，其特征在于，所述发送单元，包括：

封装子单元，用于将所述报文的同步信息进行封装；

发送子单元，用于将所述封装子单元封装后的所述报文的同步信息发送给所述其他检测设备。