深度包检测方法和系统

摘要

本发明公开了一种基于首包的深度包检测方法和系统，涉及深度包检测技术领域。本发明引入首包DPI识别机制，通过对新会话建立过程的头若干包进行DPI分析，识别出该会话的业务应用类型，进而基于识别结果和应用处理策略，建立报文过滤规则表，然后通过两级报文过滤，利用硬件转发、报文转发等功能将流量进行合理地分流，实现了报文快速处理和转发，避免了所有报文都进入CPU以及DPI引擎进行处理，从而降低了设备性能消耗，提高了报文转发效率，适合在家庭网关等性能受限设备上实现。

主权项

一种深度包检测方法，包括：对新建会话的初始部分报文进行深度包检测，以便识别应用类型和报文的五元组信息；根据应用类型和预设的第一应用处理策略，判断该初始部分报文是否为深度包检测关注报文；响应于该初始部分报文是非深度包检测关注报文的判断结果，将该初始部分报文的五元组信息保存到第一报文过滤规则表；响应于该初始部分报文是深度包检测关注报文的判断结果，将该初始部分报文的五元组信息保存到第二报文过滤规则表；接收初始部分报文之后的后续报文，并且判断该后续报文是否在第一报文过滤规则表中；响应于该后续报文在第一报文过滤规则表中的判断结果，对该后续报文进行硬件转发；响应于该后续报文不在第一报文过滤规则表中的判断结果，根据第二报文过滤规则表判断该后续报文是否已经识别；响应于该后续报文未识别的判断结果，对该后续报文进行深度包检测，以便识别应用类型和报文的五元组信息；响应于该后续报文已经识别的判断结果，对该后续报文进行报文转发。