[发明专利]基于mac_in_mac封装的融合分流方法和设备

说明书

本发明公开了一种基于mac_in_mac封装的融合分流方法，包括：S1，采用mac_in_mac封装方式将对原始报文进行普通解析后的有效信息存储在原始报文中，构成一次解析报文；S2，结合一次解析报文中不同标志位携带的信息，对一次解析报文是否需要深度解析进行判断，如果需要，进一步判断对应的深度解析流程，并且按照判断结果对一次解析报文执行深度解析流程，进入步骤S3，否则，直接进入步骤S3；S3，将mac_in_mac剥离，还原并继续传输原始报文。本发明能够有效避免对数据内容进行二次解析，极大提高了设备数据处理的效率，不影响实际原数据在网络中的传输。

技术领域

本发明涉及报文分析技术领域，具体而言涉及一种基于mac_in_mac封装的融合分流方法和设备。

背景技术

随着网络通讯飞速进步和发展，信息的采集、传播和规模达到了空前水平，出现了信息爆炸的现象，与之相对应的，如何加强信息安全、检测、管理、筛选和过滤，成为了亟待解决的问题。

传统的报文分析只针对报文四层以下的内容进行解析，包括源地址、目的地址、源端口、目的端口以及协议类型，在日新月异的互联网时代显得捉襟见肘，不能识别各种应用及其内容，导致识别出现短板。深度包检测技术通过固定特征字段的识别对报文进行进一步地解析。事实上，在对报文的处理过程中，目前经常采用普通报文识别和深度报文识别相结合的方式，完成对数据的识别解析筛选。但这也带来了以下两个问题：第一，经常对数据内容进行二次解析，造成资源浪费，也降低了数据处理效率；第二，二次解析后的数据和原始数据存在误差，需要对二次解析后的数据再次处理，极大地影响了实际原始数据在网络中的传输。

发明内容

本发明目的在于提供一种基于mac_in_mac封装的融合分流方法和设备，将设备对数据进行普通报文解析后的有效信息通过mac_in_mac存储在数据中，设备在进行深度解析时，可以通过不同标志位携带的信息对报文是否进行深度解析和深度解析所需要走的流程进行判断，有效避免对数据内容进行二次解析，极大提高了设备数据处理的效率。

为达成上述目的，结合图1，本发明提出一种基于mac_in_mac封装的融合分流方法，所述融合分流方法包括：

S1，采用mac_in_mac封装方式将对原始报文进行普通解析后的有效信息存储在原始报文中，构成一次解析报文；

S2，结合一次解析报文中不同标志位携带的信息，对一次解析报文是否需要深度解析进行判断，如果需要，进一步判断对应的深度解析流程，并且按照判断结果对一次解析报文执行深度解析流程，进入步骤S3，否则，直接进入步骤S3；

S3，将mac_in_mac剥离，还原并继续传输原始报文。

作为其中的一种优选例，所述普通解析是指对报文二层头、三层头、四层头进行解析；

所述深度解析是指对报文进行全量解析。

作为其中的一种优选例，所述一次解析报文中的标志位包括以下几种或全部：

流关联标志位，用于标识报文的知名端口是否为流关联功能的端口，若为流关联功能的端口，将该bit位置1；

多用户标志位，用于标识用户信息，每个bit表示一个用户；

流管理标志位，用于标志该报文是该流中第几个报文；

Vlan信息标志位，Vlan信息标志位中前3bit用于表示命中NP侧次高优先级规则的优先级值，后13bit用于表示报文命中NP侧次高优先级规则的转发端口的vlan_id或默认转发动作的vlan_id，该值取决于用户配置；

报文信息识别，此字节内容根据NP与DPI侧约定产生；

二层头偏移值，用于标识报文中二层头的偏移值；