[发明专利]一种基于DPAA的网络风暴防御方法

说明书

本发明提供一种基于DPAA的网络风暴防御方法，包括以下步骤：步骤S1：确定协议类型，基于协议类型编写硬件编码解析器FMAN，FMAN中的协议包括专有协议、已知协议和其他协议；步骤S2：基于FMAN的以太网接口制定linux_fman_policy策略，linux_fman_policy策略通过FMAN中的协议解析对网络帧进行分类；步骤S3：将分类后的网络帧发送给Linux协议栈，在发送过程中，采用两速三色标记算法对进入Linux协议栈的网络帧进行上色标记，丢弃红色标记的数据帧。基于DPAA平台实现了网络数据包的协议解析分类和流量监控限速的方法，在数据链路层丢弃无用数据包的方法来实现网络风暴的防御。

技术领域

本发明涉及一种网络风暴防御方法，尤其涉及一种基于DPAA的网络风暴防御方法。

背景技术

网络风暴就是大量数据报文在链路形成，导致网络雍塞甚至瘫痪。产生的原因有很多，最简单就是由于网络拓扑的设计和连接问题。整个传输流程中，只有广播报文在网段内产生大量复制，交叉传递。一个数据帧或包被传输到本地网段(由广播域定义)上的每个节点就是广播；由于网络拓扑的设计和连接问题，或其他原因导致广播在网段内大量复制，传播数据帧，导致网络性能下降，甚至网络瘫痪，这就是广播风暴。广播风暴指数据帧形成环路，而帧头中无ttl的结构，所以帧始终有效，由于广播没有特定目标00地址，所以hub/swtich会永远转发下去。

针对网络中的用户设备（不包括交换机、路由器等网络设备）在网络风暴发生时会产生一连串的连锁反应。首先设备的网络处于瘫痪状态，但更严重的是由于网络风暴中大量的网络帧一起涌向用户设备的网卡，与此同时网卡会产生大量中断。大量中断导致CPU频繁响应并处理无用的网络包，从而导致CPU过负荷。从现场经验来看，发生网络风暴以后通过top指令查看CPU占有率均在95%以上。这样CPU上原有的正常业务便不能响应甚至崩溃。一旦出现这种情况，即使网络风暴消失以后，用户设备也无法回到正常状态，从而造成严重故障。

广播风暴的产生有多种原因，如蠕虫病毒、交换机端口故障、网卡故障、链路冗余没有启用生成树协议、网线线序错误或受到干扰等。从目前来看，蠕虫病毒和arp攻击是造成网络广播风暴最主要的原因。目前大多数厂商都支持风暴抑制的相关配置，可以在一定程度上减少网络风暴的产生。例如划分vlan、通过端口控制网络广播风暴等。但是随着网络拓扑越来越复杂，硬件故障甚至是人为原因，不可避免的还是会有网络风暴的产生。