[发明专利]一种低时延的数据包安全检测方法

说明书

本发明公开一种低时延的数据包安全检测方法，对于每个连接的第一个数据包进行过滤，以确定是否需要进一步解析和检测，从而节约处理资源；对于经过阻断策略匹配检测合法的数据包，提取连接信息保存到连接记录表中，以使序号满足预设条件的合法数据包能执行快速转发，只有不满足条件的数据包才进行进一步检测。大大降低包转发的时延，有效保障网络防护设备的吞吐性能，降低对网络传输效率的影响。

技术领域

本发明属于网络数据包处理技术领域，尤其是涉及一种网络防护设备实现对数据包进行低延时安全检测的方法。

背景技术

计算机与网络在企业和组织业务中的作用愈发重要。内部网用户访问Internet的需求在不断增加，一些企业也需要对外提供诸如WWW页面浏览、FTP文件传输、DNS 域名解析等服务，这些因素会导致网络流量的急剧增加。随着网络流量的不断增长，网络安全问题日益突出，对网络数据包的安全检测范围与深度都需要不断加强。而各种网络防护设备作为内外网之间的数据通道，都需要对数据包进行分析，在高并发和大数据情况下，设备的数据包处理分析性能瓶颈不仅将影响安全防护效率，还会给整个网络的传输效率带来负面影响。

发明内容

有鉴于此，本发明旨在提供一种有效保障网络防护设备流量吞吐性能进而提高防护效率的数据包安全检测方法。

一种低时延的数据包安全检测方法，包括：

预设快速转发的数据包序号限值N；

依次接收同一链接内的数据包，根据接收的时间顺序标记数据包序号为n；

对比所述数据包序号n与N：

若n=1，对该数据包进行过滤策略匹配，若匹配成功则该数据包为非法，丢弃且不更新对应连接记录；若匹配失败则将该数据包通过内核处理后转发至目的端，同时将该数据包所在链接的连接信息记录到连接记录表中；

若1nN，对该数据包不进行过滤策略匹配，通过内核处理后转发至目的端；

若n等于或大于N，读取连接记录表中的连接信息，根据有无快转标志确定是否进行快转。

较佳的，上述的数据包序号限值N，根据不同的应用层协议类型分别设置，协议的数据越长，对应的N越大。

上述的过滤策略中配置有需要保护的IP和端口信息，若数据包的IP、端口与策略一致则匹配成功，否则匹配失败。

进一步的，上述的连接记录表是实时维护的所有连接信息的数据表，单条连接记录由该连接的五元组信息来唯一标识；所述五元组信息包括源端IP地址、源端口号、目的IP地址、目的端口号、协议类型。所述单条连接记录还包括源连接设备标识、目的连接设备标识、数据包总数和快转标志。

较佳的，若n等于/大于N，读取连接记录表中连接信息，若具有快转标记则根据记录的五元组信息转发至相应的目标端。

上述的通过内核处理，包括深度解析数据包获取字段信息，进行阻断策略匹配。

采用上述技术方案的本发明，至少具有以下有益效果：对于每个连接的第一个数据包进行过滤，以确定是否需要进一步解析和检测，从而节约处理资源；对于经过阻断策略匹配检测合法的数据包，提取连接信息保存到连接记录表中，以使序号满足预设条件的合法数据包能执行快速转发，只有不满足条件的数据包才进行进一步检测。大大降低包转发的时延，有效保障网络防护设备的吞吐性能，降低对网络传输效率的影响。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合具体实施例对本发明的技术方案进行清楚、完整地描述。

吞吐性能的高低主要由网络防护设备的网卡、CPU性能、及防护规则集的复杂度和执行效率决定，尤其是防护规则集的复杂度和执行效率，会使网络设备防护系统进行大量运算，通信量大打折扣。因此，大多数网络防护设备虽然号称千兆、万兆设备，但由于其算法依靠软件实现，通信量远远没有达到千兆、万兆，实际可能只有10-20%的流量。