一种家庭网关检测及屏蔽用户上网业务的系统和方法
【技术领域】
[0001]本发明涉及家庭网关，具体涉及一种家庭网关检测及屏蔽用户上网业务的系统和方法。
【背景技术】
[0002]随着宽带技术的发展与智能终端的普及应用，一个家庭中除了电脑外，还存在多种设备需要接入互联网，如智能手机、PAD等便携设备。解决这种问题的主要方式是种用家庭网关接入各类设备并转发多种业务，以实现互联网应用。
[0003]互联网内容鱼龙混杂，为了实现家庭内不同设备安全、健康地应用互联网(绿色上网)，对检测及屏蔽用户上网业务的需求极为迫切，例如:
[0004](I)考虑到对家庭未成年用户的保护，家长希望知道有哪些设备，访问了哪些业务，并屏蔽某些设备访问某些业务；
[0005](2)运营商出于相关组织机构对公共安全保护的角度考虑，也存在特定场合下对用户上网业务了解的需求。
[0006]鉴于以上情况，作为家庭网络组网核心设备的家庭网关需要具备检测及屏蔽用户上网业务的功能。目前，家庭网关检测及屏蔽用户上网业务的功能主要是通过家庭网关深度包检测技术完成。然而，这种检测方式的实现是固化到家庭网关的镜像文件中去的，若有新的业务出现或现有特征值有变化的，则需要利用新的镜像文件重新升级家庭网关。利用镜像文件升级家庭网关并非任何普通人员都可以完成，所以这种方式很难使广大普通用户灵活应用。
[0007]鉴于以上情况，需要对现有家庭网关检测及屏蔽用户上网业务的方式进行改进，以方便普通用户灵活应用。
【发明内容】
[0008]本发明所要解决的技术问题是现有家庭网关检测及屏蔽用户上网业务的方式进行改进，以方便普通用户灵活应用的问题。
[0009]为了解决上述技术问题，本发明所采用的技术方案是提供一种家庭网关检测及屏蔽用户上网业务的方法，包括以下步骤:
[0010]家庭网关从管理平台获取特征值文件以及黑名单文件，所述特征值文件用于检测出相关业务并抓取相关关键字段，所述黑名单文件用于屏蔽接入家庭网关的特定设备访问特定上网业务；
[0011]家庭网关利用其获取的特征值文件，从用户上网业务的数据包中检测出相关业务，并生成对应的上网记录文件回传给管理平台保存；同时，利用黑名单文件接入或屏蔽特定设备访问的特定上网业务；
[0012]用户利用管理平台查询家庭网关所接入的设备的上网业务记录。
[0013]在上述方法中，所述特征值文件中包含有上网业务的特征信息，家庭网关根据所述上网业务的特征信息检测出相关业务并抓取相关关键字段。
[0014]在上述方法中，所述特征值文件用来定义检测用户上网业务的规则，包括类型、动作、协议、端口、个数和规则6个字段，其中:
[0015]类型是所检测业务的编号，每种业务都设有与特征值文件中的类型相对应的类型字段编号；
[0016]动作是检测该业务采取的方式，包括匹配和抓取；
[0017]协议是所检测业务的IP协议类型；
[0018]端口是所检测业务的传输层目地端口号；
[0019]个数是所检测业务匹配动作需要的规则的个数，或抓取动作需要的规则的个数；
[0020]规则是指匹配和抓取动作的依据。
[0021]在上述方法中，匹配动作对应的规则依次包含以下字段:偏移、特征长度和特征数据，指的是传输层负载的指定的偏移位置要有特征长度的特征数据；
[0022]抓取动作对应的规则依次包含以下字段:偏移、首部长度和首部数据、尾部长度和尾部数据，指的是传输层负载从偏移位置开始，存在对应首部长度的首部数据及尾部长度的尾部数据，则并抓取其中的数据。
[0023]在上述方法中，利用黑名单文件屏蔽特定设备访问特定的上网业务中，所述特定设备通过它的源MAC来标识，具体方法如下:
[0024]针对匹配动作的业务，后续字段是若干源MAC字段，表示针对某类业务，只要源MAC符合任一源MAC字段，则屏蔽；
[0025]针对抓取动作的业务，后续字段是一个源MAC字段外加若干关键词字段，表示针对某类业务，若是来自特定源MAC，且所抓取数据符合任一关键词字段中的值，则屏蔽。
[0026]在上述方法中，所述业务记录文件记载接入家庭网关的某台设备在某一时间段访问相关上网业务的最后一次时间、访问频率、持续时长以及包含抓取规则的相关业务所抓取的数据；每一条记录通过类型、源MAC和抓取数据三元组标识，其中:
[0027]类型字段与例特征值文件中的类型一致；
[0028]源MAC字段为接入家庭网关的设备MAC ;
[0029]最近访问字段为最近一次上网业务的时间；
[0030]命中次数字段为该上网业务被家庭网关业务检测模块检测到的次数；
[0031]持续时间字段为该上网业务的持续时间；
[0032]抓取数据字段为抓取动作获取的数据，针对匹配动作该字段值为空。
[0033]在上述方法中，家庭网关利用其获取的特征值文件，从用户上网业务的数据包中检测出相关业务的方法如下:
[0034]首先创建Netlink通信接口，注册通信钩子函数；
[0035]然后在Linux内核Netfliter框架的NF_BR_PRE_ROUTING节点挂上数据包分析钩子函数，使得家庭网关下的各终端数据包通过家庭网关转发时，第一时间被优先处理分析，其中:
[0036]通信钩子函数用来接受用户空间平台交互模块特征值设定消息、黑名单设定消息，生成对应的匹配规则链表与黑名单链表；
[0037]数据包分析钩子函数对进入家庭网关的每个二层报文进行分析，若报文特征与匹配规则链表中的某节点特征值匹配，则指的是检测到相关的上网业务；
[0038]若来自某源MAC的业务与黑名单链表中的某节点规则匹配，则将该报文丢弃，不转发；其他情况下，则转发，且向用户空间的平台交互模块通知检测到的业务信息。
[0039]本发明还提供了一种家庭网关检测及屏蔽用户上网业务的系统，包括家庭网关，还包括管理平台，
[0040]所述家庭网关上设有业务检测模块和平台交互模块，所述管理平台上设有网关交互模块、用户数据库和用户人机接口 ；
[0041]业务检测模块从管理平台获取特征值文件以及黑名单文件，并根据特征值文件中对不同业务设定的规则，从用户上网业务的数据包中检测出相关业务，抓取数据包中的相关字段传回平台交互模块，平台交互模块将业务检测模块返回的用户上网业务记录写入业务记录文件，并传给管理平台的网关交互模块，网关交互模块再对用户数据库中的相关内容进行更新保存；业务检测模块根据黑名单文件屏蔽特定的设备访问特定的上网业务；
[0042]用户利用用户人机接口查询家庭网关所接入设备的上网业务记录。
[0043]本发明，家庭网关利用从管理平台获取待检测上网业务的特征值以及黑名单文件，检测用户上网业务类型，并屏蔽特定的设备访问特定的上网业务，当待检测的上网业务的特征值发生变化时，只需要改变管理平台上的特征值文件，于是家庭网关就会从管理平台上获取最新的待检测上网业务的特征值以及黑名单文件，无需因待检测特征值变化而升级家庭网关的镜像文件，普通用户也要以很方便地进行操作。
【附图说明】
[0044]图1为本发明中家庭网关检测及屏蔽用户上网业务的系统的示意图；
[0045]图2为本发明中的特征值文件文件结构示意图；
[0046]图3为本发明中的黑名单文件结构示意图；
[0047]图4为本发明中的业务记录文件结构示意图；
[0048]图5为本发明中匹配规则链表结构示意图；
[0049]图6为本发明中业务检测模块生成匹配规则链表和黑名单链表流程图；
[0050]图7为本发明中业务检测模块数据包分析流程图；
[0051]图8为本发明中业务检测模块黑名单判断流程图；
[0052]图9为本发明中平台交互模块业务记录链表结构示意图；
[0053]图10为本发明中平