[发明专利]一种基于网络抓包的网络故障智能定位分析方法

权利要求书

1.一种基于网络抓包的网络故障智能定位分析方法，其特征在于，具体包括以下步骤：

步骤S1.导入客户端和服务端的两个pcap包文件，填写对应的目的端口信息、客户端IP地址和服务端IP地址；

步骤S2.将pcap包文件中的数据包由pcap格式转换为二进制格式，记为二进制数据包；进而，pcap包文件转换为二进制包文件；

步骤S3.构造二进制包文件以及二进制数据包的标准结构；

步骤S4.根据所述步骤S3中构造的标准结构遍历二进制包文件中的二进制数据包，将信息一致的二进制数据包保留；

步骤S5.根据二进制数据包的时间戳信息和来源端口信息对二进制数据包做拼接和过滤处理，最终形成待分析的二进制包文件；

步骤S6.调用标准网络协议库和网络数据对比工具对新的二进制包文件进行网络故障定位。

2.如权利要求1所述的一种基于网络抓包的网络故障智能定位分析方法，其特征在于，所述步骤S3具体包括以下步骤：

步骤S3.1.构造24字节的pcap文件头结构；

步骤S3.2.构造16字节的pcap数据包包头结构；

步骤S3.3.构造Packet数据结构；

所述pcap文件头包含7个字段：

Magic：文件识别头，用于标示文件的开始，有4个字节，且固定为0x1A 2B 3C 4D；

Magor version：主版本号，有2个字节；

Minor version：次要版本号，有2个字节；

Timezone：为当地的标准时间，有4个字节；

Sigflags：为时间戳的精度，有4个字节；

Naplen：为最大的存储长度，有4个字节；

Linktype：为链路类型，有4个字节；

所述pcap数据包包头具体包括：

高位Timestamp：时间戳高位，精确到seconds（秒）；

低位Timestamp：时间戳低位，精确到microseconds（微秒）；

Caplen:当前数据区的长度，即抓取到的数据帧长度，由此可以得到下一个数据帧的位置；

Len：网络中实际数据帧的长度；

来源IP地址在Packet数据的第27字节到第30字节；

目的IP地址在Packet数据的第31字节到第34字节；

所述来源端口数据在Packet数据的第35字节到第36字节；

所述目的端口数据在Packet数据的第37字节到第38字节。

3.如权利要求2所述的一种基于网络抓包的网络故障智能定位分析方法，其特征在于，所述步骤S4具体包括以下步骤：

步骤S4.1.根据所述步骤S3构造的标准结构遍历二进制数据包，分离出客户端和服务端的二进制包文件的文件头；

步骤S4.2.遍历二进制包文件中的二进制数据包，分离出每个二进制数据包；

步骤S4.3.将分离的二进制数据包中的目的端口信息、来源IP地址信息和目的IP地址信息与步骤S1中填写的目的端口信息、客户端IP地址信息、服务端IP地址信息分别一致的二进制数据包保留，不一致的二进制数据包丢弃。

4.如权利要求3所述的一种基于网络抓包的网络故障智能定位分析方法，其特征在于，所述步骤S5具体包括以下步骤：

步骤S5.1.解析出所述步骤S3中保留的二进制数据包中的时间戳信息；

步骤S5.2.对客户端二进制包文件和服务端二进制包文件中时间戳信息相同的二进制数据包进行左右连接匹配，形成一个新的二进制数据包；

步骤S5.3. 在拼接后的新的二进制包文件中找到拼接后第一个新的二进制数据包，并找出第一个新的二进制数据包的来源端口信息；然后依次对第一个新的二进制数据包之后的每一个新的二进制数据包的来源端口信息做检查，如果被检查的新的二进制数据包的来源端口信息和第一个新的二进制数据包的来源端口信息不一致，则过滤掉该来源端口信息不一致的新的二进制数据包，最终只留下来源端口信息和第一个二进制数据包相同的二进制数据包，形成最终待排查处理的二进制包文件。