[发明专利]一种数据包监听方法、装置和系统

权利要求书

1.一种数据包监听方法，包括：

对由四层交换机路由和地址转换的数据包进行监听；

其中，当检测到符合预先设定的会话特征的数据包时，抓取并根据预设的数据包镜像策略在所述数据包的包头中加入客户端或者服务器端的真实IP地址信息以形成待分析数据包。

2.根据权利要求1所述的数据包监听方法，其特征在于，所述镜像策略是服务器端真实TCP/UDP端口镜像策略；

其中，根据预设的数据包镜像策略在所述数据包中加入客户端或者服务器端的真实IP地址信息以形成待分析数据包，具体包括：

查询四层交换机对数据包地址转换后形成的数据包映射关系表，获取所述数据包的客户端真实IP地址/TCP端口号信息；

将所述客户端真实IP地址/TCP端口号信息加入并替换掉所述数据包包头中相应的客户端IP地址/TCP端口号信息。

3.根据权利要求1所述的数据包监听方法，其特征在于，所述镜像策略是客户端真实TCP/UDP端口镜像策略；

其中，根据预设的数据包镜像策略在所述数据包中加入客户端或者服务器端的真实IP地址信息以形成待分析数据包，具体包括：

查询四层交换机对数据包地址转换后形成的数据包映射关系表，获取所述数据包的服务器端真实IP地址/TCP端口号信息；

将所述服务器端真实IP地址/TCP端口号信息加入并替换掉所述数据包包头中相应的服务器端IP地址/TCP端口号信息。

4.根据权利要求1~3任一所述的数据包监听方法，其特征在于，所述预先设定数据包会话特征选取以下任一或者组合：

包含客户端IP地址，或服务器端IP地址，或客户端TCP端口号，或目的端TCP端口号的数据包；

或者，包含中断连接指令的数据包，或包含错误信息指令的数据包，或者，所有的数据包。

5.根据权利要求4所述的数据包监听方法，其特征在于，还包括：将上述待分析数据包从镜像端口中传递给分析仪；

从所述待分析数据包中提取出客户端真实IP地址和服务器端真实IP地址并进行后续分析。

6.根据权利要求1~3任一所述的数据包监听方法，其特征在于，还包括：接收获取四层交换机对数据包地址转换形成的数据包映射关系表的请求；

将所述数据包映射关系表转换成可读文件并通过镜像端口发送给分析仪。

7.一种数据包监听装置，包括：

参数设定单元，用于获取预先设定的需要监听的数据包会话特征和数据包镜像策略；

会话流量监听单元，用于对由四层交换机路由和地址转换的数据包进行监听；

关系映射表存储单元，用于存储所述四层交换机对数据包地址转换形成的数据包映射关系表；

数据包打包单元，用于当检测到符合所述预先设定的会话特征的数据包时，抓取并根据预设的镜像策略在所述数据包的包头中加入客户端或者服务器端的真实IP地址信息以形成待分析数据包。

8.根据权利要求7所述的数据包监听装置，其特征在于，所述数据包镜像策略选取客户端真实TCP/UDP端口镜像策略或者服务器端真实TCP/UDP端口镜像策略。

9.根据权利要求7所述的数据包监听装置，其特征在于，所述数据包打包单元，具体包括：

数据包查询子单元，用于当所述数据包镜像策略是服务器端TCP/UDP端口镜像策略时，查询数据包映射关系表，获取所述数据包的客户端真实IP地址/TCP端口号信息；

数据包打包子单元，用于将所述客户端真实IP地址/TCP端口号端口信息加入并替换掉所述数据包包头中相应的客户端IP地址/TCP端口号信息。

10.根据权利要求7所述的数据包监听装置，其特征在于，所述数据包打包单元，具体包括：

数据包查询子单元，用于当所述数据包镜像策略是客户端TCP/UDP端口镜像策略时，查询数据包映射关系表，获取所述数据包的服务器端真实IP地址/TCP端口号信息；

数据包打包子单元，用于将所述服务器端真实IP地址/TCP端口号端口信息加入并替换掉所述数据包包头中相应的服务器端IP地址/TCP端口号信息。