[发明专利]一种数据流的镜像方法及装置

权利要求书

1.一种数据流的镜像方法，其特征在于，所述方法包括：

将从镜像源端口输出的数据流镜像至镜像目的端口，其中镜像目的端口用于向网络监控设备发送镜像源端口输出的数据，所述网络监控设备用于监控和分析镜像源端口输出的数据；

在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据与所述镜像源端口对应的访问控制列表ACL过滤规则，将所述数据流中满足所述ACL过滤规则中的通过条件的数据，通过所述镜像目的端口发送给所述网络监控设备。

2.根据权利要求1所述的方法，其特征在于，所述ACL过滤规则根据以下方法进行配置：

获取所述ACL的唯一标识；

从与所述唯一标识对应的ACL中获取初始过滤规则；

对所述初始过滤规则进行转换，生成适用于输出的数据流的过滤规则，并将转换后的所述过滤规则作为与所述镜像源端口对应的ACL过滤规则。

3.根据权利要求2所述的方法，其特征在于，所述对所述初始过滤规则进行转换，生成应用于输出的数据流的过滤规则，包括：

向所述每条初始过滤规则中添加镜像目的端口信息，将所述初始过滤规则的应用方向配置为输出方向，并配置过滤条件，生成适用于输出的数据流的过滤规则。

4.根据权利要求1-3中任一所述的方法，其特征在于，所述在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据与所述镜像源端口对应的ACL过滤规则，将所述数据流中满足所述ACL过滤规则中的通过条件的数据，通过所述镜像目的端口发送给所述网络监控设备，包括：

在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，将所述数据流与所述ACL过滤规则进行匹配；

将与所述ACL过滤规则中过滤条件匹配的数据过滤掉；并将与所述ACL过滤规则中通过条件匹配的数据保留；

将保留的数据通过所述镜像目的端口发送给所述网络监控设备。

5.根据权利要求4所述的方法，其特征在于，所述ACL过滤规则中每一条过滤规则对应一个优先级，所述在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，将所述数据流与所述ACL过滤规则进行匹配，包括：

在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据优先级由高到低的顺序，将所述数据流与所述ACL过滤规则逐条进行匹配。

6.一种数据流的镜像装置，其特征在于，所述装置包括：

第一镜像模块，用于将从镜像源端口输出的数据流镜像至镜像目的端口，其中镜像目的端口用于向网络监控设备发送镜像源端口输出的数据，所述网络监控设备用于监控和分析镜像源端口输出的数据；

第二镜像模块，用于在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据与所述镜像源端口对应的访问控制列表ACL过滤规则，将所述数据流中满足所述ACL过滤规则中的通过条件的数据，通过所述镜像目的端口发送给所述网络监控设备。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

标识获取模块，用于获取所述ACL的唯一标识；

规则获取模块，用于从与所述唯一标识对应的ACL中获取初始过滤规则；

转换模块，用于对所述初始过滤规则进行转换，生成适用于输出的数据流的过滤规则，并将转换后的所述过滤规则作为与所述镜像源端口对应的ACL过滤规则。

8.根据权利要求6所述的装置，其特征在于，所述转换模块用于向所述每条初始过滤规则中添加镜像目的端口信息，将所述初始过滤规则的应用方向配置为输出方向，并配置过滤条件，生成适用于输出的数据流的过滤规则。

9.根据权利要求6-8中任一所述的装置，其特征在于，所述第二镜像模块包括：

匹配单元，用于所述ACL过滤规则中还包括过滤条件时，在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，将所述数据流与所述ACL过滤规则进行匹配；

处理单元，用于将与所述ACL过滤规则中过滤条件匹配的数据过滤掉；并将与所述ACL过滤规则中通过条件匹配的数据保留；

镜像单元，用于将保留的数据通过所述镜像目的端口发送给所述网络监控设备。

10.根据权利要求9所述的装置，其特征在于，所述处理单元用于所述ACL过滤规则中每一条过滤规则对应一个优先级时，在通过所述镜像目的端口将所述数据流发送给所述网络监控设备之前，根据优先级由高到低的顺序，将所述数据流与所述ACL过滤规则逐条进行匹配。