一种报文处理方法及网络安全设备技术

本申请提供了一种报文处理方法及网络安全设备，涉及通信技术领域。所述网络安全设备包括操作系统、驱动和多个处理核，则在控制平面，所述操作系统确定每个处理核的CPU使用率；所述操作系统当检测到多个处理核中目标处理核的CPU使用率满足第一告警条件时，则向驱动发送告警事件；所述驱动在控制平面接收到所述告警事件后，若确认当前的硬件缓存资源的资源使用率满足第二告警条件，则在转发平面对所述目标处理核对应的数据流进行逐包负载分担处理，以由其他处理核处理所述目标处理核对应的数据流。由此，解决了网络安全设备中单个处理核因受到大流量攻击而导致的网络安全设备的报文处理能力下降的问题。报文处理能力下降的问题。报文处理能力下降的问题。

【技术实现步骤摘要】
一种报文处理方法及网络安全设备


[0001]本申请涉及通信
，尤其涉及一种报文处理方法及网络安全设备。

技术介绍

[0002]深度报文检测(Deep Packet Inspection，DPI)是一种基于每条流的数据包的深度检测技术。针对不同的网络应用层载荷(例如HTTP、DNS等)进行深度检测，通过对报文的有效载荷检测决定其合法性。由于检测是对一条流载荷进行检测，所以报文转发模式是基于流的核负载分担，即相同五元组的一条流的所有报文都要上报给同一个处理核，以由该处理核逐个处理收到的该条流的报文。
[0003]由于DPI检测对报文载荷深度的检测使其对算力资源消耗较大，在网络安全设备开启DPI检测业务后，当遭遇突发单条大流量攻击时，短时间会超出该网络安全设备中某个处理核的DPI业务的七层吞吐能力，导致该处理核处理流量超负载，驱动不停地接收报文但得不到该处理核的及时处理，进而导致一定时间内大量的缓存报文消耗完内存资源mbuf。由于mbuf资源是所有处理核共用的(受限于底层硬件架构无法实现为每个用于转发的处理核配置自己独立的mbuf资源)，当其他处理核上有正常流量到达时，由于该其他处理核申请不到mbuf资源导致不得不丢包，从而影响所有处理核的转发。
[0004]因此，如何有效应对单条大流量，解决网络安全设备中单个处理核因受到大流量攻击而导致的网络安全设备的报文处理能力下降的问题是值得考虑的技术问题之一。

技术实现思路

[0005]有鉴于此，本申请提供一种报文处理方法及网络安全设备，用以有效应对单条大流量，解决网络安全设备中单个处理核因受到大流量攻击而导致的网络安全设备的报文处理能力下降的问题。
[0006]具体地，本申请是通过如下技术方案实现的：
[0007]根据本申请的第一方面，提供一种报文处理方法，应用于网络安全设备中，所述网络安全设备包括操作系统、驱动和多个处理核，所述方法，包括：
[0008]在控制平面，所述操作系统确定每个处理核的CPU使用率；
[0009]所述操作系统当检测到多个处理核中目标处理核的CPU使用率满足第一告警条件时，则向驱动发送告警事件；
[0010]所述驱动在控制平面接收到所述告警事件后，若确认当前的硬件缓存资源的资源使用率满足第二告警条件，则在转发平面对所述目标处理核对应的数据流进行逐包负载分担处理，以由其他处理核处理所述目标处理核对应的数据流。
[0011]根据本申请的第二方面，提供一种网络安全设备，包括操作系统、驱动和多个处理核，其中：
[0012]所述操作系统，用于在控制平面，所述操作系统确定每个处理核的CPU使用率；当检测到多个处理核中目标处理核的CPU使用率满足第一告警条件时，则向驱动发送告警事
件；
[0013]所述驱动，用于在控制平面接收到所述告警事件后，若确认当前的硬件缓存资源的资源使用率满足第二告警条件，则在转发平面对所述目标处理核对应的数据流进行逐包负载分担处理，以由其他处理核处理所述目标处理核对应的数据流。
[0014]本申请实施例的有益效果：
[0015]本申请实施例提供的报文处理方法及网络安全设备中，在控制平面，操作系统确定每个处理核的CPU使用率；然后当检测到多个处理核中目标处理核的CPU使用率满足第一告警条件时，则向驱动发送告警事件；这样，该驱动在控制平面接收到该告警事件后，若确认当前的硬件缓存资源的资源使用率满足第二告警条件，则在转发平面对所述目标处理核对应的数据流进行逐包负载分担处理，以由其他处理核处理所述目标处理核对应的数据流。这样一来，当网络安全设备中目标处理核的CPU使用率达到第一告警条件且硬件缓存资源的利用率达到第二告警条件时，即表明网络安全设备报文处理压力比较大时，则驱动在转发平面对发往目标处理核的数据流进行逐包负载分担处理，以使得其他处理核处理该数据流，从而也就缓解了目标处理核的报文处理压力，同时能够让该数据流得到及时处理，有效解决了网络安全设备中单个处理核因受到大流量攻击而导致的网络安全设备的报文处理能力下降的问题。
附图说明
[0016]图1是本申请实施例提供的一种报文处理方法的流程示意图；
[0017]图2是本申请实施例提供的另一种报文处理方法的流程示意图；
[0018]图3是本申请实施例提供的一种网络安全设备的结构示意图；
[0019]图4是本申请实施例提供的另一种网络安全设备的结构示意图。
具体实施方式
[0020]这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如本申请的一些方面相一致的装置和方法的例子。
[0021]在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相对应的列出项目的任何或所有可能组合。
[0022]应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在
……
时”或“当
……
时”或“响应于确定”。
[0023]下面对本申请提供的报文处理方法进行详细地说明。
[0024]参见图1，图1是本申请提供的一种报文处理方法的流程图，应用于网络安全设备
中，该网络安全设备包括操作系统、驱动和多个处理核，操作系统与驱动之间的交互流程可包括如下所示步骤：
[0025]S101、在控制平面，操作系统确定每个处理核的CPU使用率。
[0026]目前，网络安全设备是要串联在网络里，当开启了IPS(入侵防御检测)、AV(防病毒)和应用审计等业务后，网络安全设备需要对流经该设备的流量持续进行深度检测，而且这种检测模式是以数据流为单位检测的，即针对每条数据流都要执行安全检测，设备转发模式一般是基于数据流的核负载分担模式，一旦单个处理核的负载压力过大就会消耗完整个网络安全设备的mbuf资源，从而影响该网络安全设备的报文业务处理和报文转发性能。有鉴于此，本步骤提出，在控制平面，由网络安全设备的操作系统对每个处理核进行监控，即确定每个处理核的CPU使用率。
[0027]S102、操作系统当检测到多个处理核中目标处理核的CPU使用率满足第一告警条件时，则向驱动发送告警事件。
[0028]本步骤中，当操作系统检测到目标处理核的CPU使用率满足告警条件时，表明该目标处理核当前业务处理量较大，也即可能遇见数据流为大流量的场本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种报文处理方法，其特征在于，应用于网络安全设备中，所述网络安全设备包括操作系统、驱动和多个处理核，所述方法，包括：在控制平面，所述操作系统确定每个处理核的CPU使用率；所述操作系统当检测到多个处理核中目标处理核的CPU使用率满足第一告警条件时，则向驱动发送告警事件；所述驱动在控制平面接收到所述告警事件后，若确认当前的硬件缓存资源的资源使用率满足第二告警条件，则在转发平面对所述目标处理核对应的数据流进行逐包负载分担处理，以由其他处理核处理所述目标处理核对应的数据流。2.根据权利要求1所述的方法，其特征在于，还包括：所述驱动为所述目标处理核设置第一标记，所述第一标记用于指示对所述目标处理核的数据流采用逐包负载分担方式；在转发平面对所述目标处理核对应的数据流进行逐包负载分担处理，以由其他处理核处理所述目标处理核对应的数据流，包括：所述驱动若接收到数据流，若确认该数据流对应的处理核为所述目标处理核，则当读取到所述目标处理核的第一标记，则采用逐包负载分担方式由其他处理核分别对该数据流进行处理。3.根据权利要求1所述的方法，其特征在于，还包括：在控制平面，所述操作系统再次确认所述目标处理核的CPU使用率；所述操作系统当检测到所述目标处理核的CPU使用率不满足所述第一告警条件时，则向所述驱动发送恢复事件；所述驱动在接收到所述恢复事件后，若确认当前的硬件缓存资源的资源使用率不满足所述第二告警条件，则在转发平面对所述目标处理核对应的数据流进行逐流负载分担处理。4.根据权利要求3所述的方法，其特征在于，还包括：所述驱动清除所述目标处理核的所述第一标记，并为所述目标处理核设置第二标记，所述第二标记用于指示对所述目标处理核的数据流采用逐包负载分担方式；在转发平面对所述目标处理核对应的数据流进行逐流负载分担处理，包括：所述驱动在接收到数据流后，若确认该数据流对应的处理核为所述目标处理核，则当读取到所述目标处理核的第二标记，则采用逐流负载分担方式处理该数据流。5.根据权利要求3所述的方法，其特征在于，若确认当前的硬件缓存资源的资源使用率满足所述第二告警条件，则在转发平面对所述目标处理核对应的数据流继续进行逐包负载分担处理，以由其他处理核处理所述目标处理核对应的数据流。6.根据权利要求1所述的方法，其特征在于，所述操作系统若确认所述目标处理核的CPU使用率不满足所述第一告警条件，在等待时长达到设定时长时，再次执行确定每个处理核的CPU使用率的步骤；所述驱动在接收到数据流后，若确认所述数据流为发往所述目标处理核的数据流，则确认当前的硬件缓存资源的资源使用率是否满足第二告警条件；若满足所述第二告警条件，则在转发平面对所述目标处理核的数据流进行逐流负载分
担处理，并处理CPU使用率满足第一告警条件的其他处理核的数据流；若不满足所述第二告警条件，则在转发平面对所述目标处理核的数据流进行逐流负载分担处理。7.一种网络安全设备，其特征在于，包括操作系统、驱动和多个处理核，其中：所述操作系统，用于在控制平面，所述操作系统确定每个处理核的CPU使用率；当检...

【专利技术属性】
技术研发人员：桂定旭，
申请(专利权)人：新华三信息安全技术有限公司，
类型：发明
国别省市：