【2017年整理】【智能路由器】ndpi深度报文分析之协议分析器.doc

【智能路由器】ndpi深度报文分析之协议分析器 ndpi协议分析器结构框架 每个协议分析器都必须定义一个独有的id，例如： /*ndpi_protocol_ids.h*/ #define NDPI_PROTOCOL_QQ 48 1 2 协议分析器格式 #include ndpi_utils.h #ifdef NDPI_PROTOCOL_QQ ..... #endif 协议分析器的初始化函数，初始化函数中调用ndpi_set_bitmask_protocol_detection来输入自己的注册信息，以及处理数据包的类型 void init_qq_dissector(struct ndpi_detection_module_struct *ndpi_struct, u_int32_t *id, NDPI_PROTOCOL_BITMASK *detection_bitmask) { ndpi_set_bitmask_protocol_detection(QQ, ndpi_struct, detection_bitmask, *id, NDPI_PROTOCOL_QQ, ndpi_search_qq, NDPI_SELECTION_BITMASK_PROTOCOL_V4_V6_UDP_WITH_PAYLOAD, SAVE_DETECTION_BITMASK_AS_UNKNOWN, ADD_TO_DETECTION_BITMASK); *id += 1; } 一个回调函数，用来处理数据包，这个函数就是初始化中注册的函数，这个函数将细分情况，然后交给实际的分析函数，这里分别是ndpi_search_qq_udp和ndpi_search_qq_tcp。虽然也可以直接在这里分析处理，但这样会显得层次结构不清晰 void ndpi_search_qq(struct ndpi_detection_module_struct *ndpi_struct, struct ndpi_flow_struct *flow) { struct ndpi_packet_struct *packet = flow-packet; if (packet-udp != NULL flow-detected_protocol_stack[0] != NDPI_PROTOCOL_QQ) ndpi_search_qq_udp(ndpi_struct, flow); if (packet-tcp != NULL flow-detected_protocol_stack[0] != NDPI_PROTOCOL_QQ) ndpi_search_qq_tcp(ndpi_struct, flow); } 协议分析器的框架就到此为止，然后将初始化函数添加到ndpi_main.c文件的ndpi_init_protocol_defaults函数中，像这样： static void ndpi_init_protocol_defaults(struct ndpi_detection_module_struct *ndpi_mod) { int i; ndpi_port_range ports_a[MAX_DEFAULT_PORTS], ports_b[MAX_DEFAULT_PORTS]; u_int16_t no_master[2] = { NDPI_PROTOCOL_NO_MASTER_PROTO, NDPI_PROTOCOL_NO_MASTER_PROTO }, custom_master[2]; /* Reset all settings */ memset(ndpi_mod-proto_defaults, 0, sizeof(ndpi_mod-proto_defaults)); //...... ndpi_set_proto_defaults(ndpi_mod, NDPI_PROTOCOL_FUN, NDPI_PROTOCOL_QQ, no_master, no_master, QQ, ndpi_build_default_ports(ports_a, 0, 0, 0, 0, 0) /* TCP */,