[发明专利]一种针对L2TP协议的解析方法及系统

说明书

本发明公开一种针对L2TP协议的解析方法及系统，属于报文审计技术领域，解决了现有技术中无法得到L2TP报文的准确审计结果的问题。一种针对L2TP协议的审计方法，包括以下步骤：获取L2TP报文，当所述L2TP报文是数据报文，并当PPP报文头的负载是IP报文且所述IP报文合法时，则在会话已建立并且不存在阻断标记或者会话未建立情况下，形成一个新报文；将所述新报文关联至会话，对新报文执行用户识别、完全解析、分类、标记、应用策略匹配，更新流量统计信息，之后删除新报文；在L2TP报文为控制报文、PPP报文头负载不为IP报文、IP报文不合法或者在策略动作不为阻断的情况下，对L2TP报文进行源NAT，然后发包。能够得到L2TP报文的准确审计结果。

技术领域

本发明涉及报文审计技术领域，尤其是涉及种针对L2TP协议的解析方法及系统。

背景技术

L2TP通过拨号网络(PSTN/ISDN)，基于PPP协议，在分支机构与总部之间建立隧道，或者，通过L2TP客户端，直接在用户终端与总部之间建立隧道。最终，分支机构和远程用户都能接入总部网络；

通常，应用引擎只会对最外层IP报文的负载进行解析和审计；但是，对于L2TP隧道中传输的数据，应用引擎只看到了L2TP报文，而原始报文被封装在L2TP报文内部，无法完成审计，从而无法得到L2TP报文的准确审计结果。

发明内容

本发明的目的在于至少克服上述一种技术不足，提出一种针对L2TP协议的解析方法及系统。

一方面，本发明提供了一种针对L2TP协议的解析方法，包括以下步骤：

步骤S1、获取L2TP报文，判断所述L2TP报文是控制报文还是数据报文，若是控制报文，则执行步骤S5，若是数据报文，则执行步骤S2；

步骤S2、判断L2TP报文的PPP报文头负载是否为IP报文，若是，则判断IP报文是否合法，若PPP报文头的负载是IP报文且所述IP报文合法，则在会话已建立并且不存在阻断标记或者会话未建立情况下，从L2TP报文中提取内层报文，形成一个新报文，执行步骤S3，若PPP报文头负载不为IP报文或IP报文不合法，执行步骤S5；

步骤S3若会话已建立并且不存在阻断标记，则将所述新报文关联至该会话，若会话未建立，则新建会话，将所述新报文关联至该新建的会话；

步骤S4、对新报文执行用户识别，对新报文进行完全解析，结合特征库对新报文进行分类、标记，对新报文进行应用策略匹配，更新流量统计信息，之后删除新报文；

步骤S5、判断策略动作是否为阻断，若否则执行步骤S6，若是则执行步骤S7；

步骤S6、对所述L2TP报文进行源NAT，然后发包，结束流程；

步骤S7、丢弃L2TP报文，并对所述L2TP报文对应会话打上阻断标记，结束流程。

进一步地，所述判断L2TP报文的PPP报文头负载是否为IP报文，具体包括，将指向L2TP报文头部的指针偏移至PPP报文头部，解析PPP报文头部，检查PPP报文头部的负载是否为IP报文。

进一步地，所述判断IP报文是否合法，具体包括，判断IP报文版本号是否正确、IP头长度是否正确、skb保存对长度与IP头部设置的长度是否一致、源MAC地址和目的MAC地址是否均不为零、校验和是否正确，若均为是，则IP报文为合法，否则不合法。

进一步地，所述针对L2TP协议的审计方法，还包括，根据IP报文的五元组，在会话表中查找会话，以判断会话是否已建立，若会话已建立并且存在阻断标记，则丢弃L2TP报文，并对所述L2TP报文对应会话打上阻断标记，结束流程。

另一方面，本发明提供了一种针对L2TP协议的解析系统，包括L2TP报文类型判别模块、新建报文模块、新报文关联模块、新报文处理模块、发包模块和阻断标记模块。