一种基于隧道报文的匹配方法和装置

摘要

本发明涉及隧道报文技术领域，提供了一种基于隧道报文的匹配方法和装置。其中将隧道的最内层和/或最外层协议报头内容中各字段，按照预设顺序排列后转换成16进制的字符串；对于所述隧道的最内层和/或最外层协议报头内容中作为隧道报文识别依据的生成相应的掩码；通过所述掩码与所述字符串的逻辑与运算得到隧道的特征码，其中，隧道报文的特征码与相应隧道的特征码匹配时，判定是命中的隧道报文，否则判定相应隧道报文为未命中的隧道报文。本发明增加新的匹配方式能够更全面的检测数据报文，对数据报文分析、及安全性有更好的保证。

权利要求

1.一种基于隧道报文的匹配方法，其特征在于，通过转换为特征码规则实现，方法包括：将隧道的最内层和/或最外层协议报头内容中各字段，按照预设顺序排列后转换成16进制的字符串；

对于所述隧道的最内层和/或最外层协议报头内容中作为隧道报文识别依据的生成相应的掩码；

通过所述掩码与所述字符串的逻辑与运算得到隧道的特征码，其中，隧道报文的特征码与相应隧道的特征码匹配时，判定是命中的隧道报文，否则判定相应隧道报文为未命中的隧道报文；

隧道报文还包括一个或者多个中间层隧道，每一层隧道都配置有隧道健康指标，所述隧道健康指标被携带在报头的预留字段中，所述方法还包括：监测隧道报文中所涉及到的各条隧道，并根据监测结果更新隧道报文中的隧道健康指标值；

若当前被隧道报文使用的隧道健康指标值不达标的隧道占比超过其自身从最内层隧道到最外层隧道总数的7成，则触发对所述隧道报文的最内层隧道到最外层隧道的重新指定；

此时命中的隧道报文代表了，业务数据请求端在从最外层的第一隧道的目的端获取历史发送的业务数据的同时，还需要从当前隧道报文的最内层的第二隧道获取业务数据的剩余内容；并且，只有同时满足最内层隧道和最外层隧道共同构成的匹配信息相同的，才是对应需要做业务数据串接获取的隧道对象。

2.根据权利要求1所述的基于隧道报文的匹配方法，其特征在于，所述隧道健康指标由

1比特代表，包括：正常状态和故障状态。

3.根据权利要求1所述的基于隧道报文的匹配方法，其特征在于，所述隧道报文识别依据为五元组信息和/或三元组信息，具体的：所述五元组信息包括源IP地址SIP，源端口Sport,目的IP地址DIP，目的端口Dport和协议号；所述三元组信息包括源IP地址SIP，目的IP地址DIP和协议号。

4.根据权利要求1所述的基于隧道报文的匹配方法，其特征在于，方法还包括：根据网络状态分析其中最内层的第一隧道已经无法走通，根据分析计算得到一备选第二隧道；

确定原本设定通过当前无法走通的最内层的第一隧道传输的业务数据，对所述业务数据的后续数据进行数据包打包时候，将所述第二隧道打包为最内层的隧道，将所述第一隧道打包为最外层的隧道；

制定命中策略，判定同时匹配上包含所述第一隧道和第二隧道各自五元组信息和/或三元组信息的认定为命中；

其中，历史上相应设置在最内层的隧道被指定为最高优先级选配隧道使用；

所述命中策略同步发送给业务数据请求端；

所述业务数据请求端，根据重新打包的隧道信息，在部分从第一隧道的目的地址获取业务数据后，进一步后续的业务数据从所述第二隧道的目的地址获取。

5.一种基于隧道报文的匹配装置，其特征在于，所述装置包括：至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述处理器执行，用于执行权利要求1‑4任一所述的基于隧道报文的匹配方法。

说明书

一种基于隧道报文的匹配方法和装置

【技术领域】

[0001] 本发明涉及隧道报文技术领域，特别是涉及一种基于隧道报文的匹配方法和装置。
【背景技术】

[0002] 隧道技术(Tunneling)是一种通过使用互联网络的基础设施在网络之间建立一条虚拟链路以传递数据的方式，通过隧道的建立，可实现将数据强制送到特定的地址、隐藏私有的网络地址、在IP网上传递非IP数据包、提供数据安全支持等功能。当前对隧道报文的处理是匹配隧道最外层或者最内层，通过开关控制，只能单独对隧道报文的内层或者外层进
行匹配，没有对数据报文同时匹配或者只要匹配隧道的内、外的任何一层便保证数据报文
匹配。随着网络安全的严谨复杂性，某些特种设备对报文检测要求更为严格，部分需要中要求对隧道报文的内、外层同时匹配或者内、外层只要匹配任何一层即认为该报文命中。

[0003] 鉴于此，克服该现有技术所存在的缺陷是本技术领域亟待解决的问题。【发明内容】

[0004] 本发明要解决的技术问题是现有的隧道内层或外层的匹配分析效率较低的问题。

[0005] 本发明进一步要解决的技术问题是现有技术中，对于隧道报文提供的内层隧道和外层隧道，以及可能的中间层隧道的使用方式缺乏灵活性，造成复杂业务场景下的处理效
率较低的问题。

[0006] 本发明采用如下技术方案：

[0007] 第一方面，本发明提供了一种基于隧道报文的匹配方法，通过转换为特征码规则实现，方法包括：

[0008] 将隧道的最内层和/或最外层协议报头内容中各字段，按照预设顺序排列后转换成16进制的字符串；

[0009] 对于所述隧道的最内层和/或最外层协议报头内容中作为隧道报文识别依据的生成相应的掩码；

[0010] 通过所述掩码与所述字符串的逻辑与运算得到隧道的特征码，其中，隧道报文的特征码与相应隧道的特征码匹配时，判定是命中的隧道报文，否则判定相应隧道报文为未
命中的隧道报文。

[0011] 优选的，所述作为隧道报文识别依据为五元组信息和/或三元组信息，具体的：

[0012] 所述五元组信息包括源IP地址SIP，源端口Sport,目的IP地址DIP，目的端口Dport和协议号；所述三元组信息包括源IP地址SIP，目的IP地址DIP和协议号。

[0013] 优选的，在将隧道的最内层和最外层协议报头内容中各字段，按照预设顺序排列后转换成16进制的字符串之前，方法还包括：

[0014] 根据网络状态分析其中最内层的第一隧道已经无法走通，根据分析计算得到一备选第二隧道；

[0015] 确定原本设定通过当前无法走通的最内层的第一隧道传输的业务数据，对所述业务数据的后续数据进行数据包打包时候，将所述第二隧道打包为最内层的隧道，将所述第
一隧道打包为最外层的隧道；

[0016] 制定命中策略，判定同时匹配上包含所述第一隧道和第二隧道各自五元组信息和/或三元组信息的认定为命中；

[0017] 其中，历史上相应设置在最内层的隧道被指定为最高优先级选配隧道使用。

[0018] 优选的，方法还包括：

[0019] 所述命中策略同步发送给业务数据请求端；

[0020] 所述业务数据请求端，根据重新打包的隧道信息，在部分从第一隧道的目的地址获取业务数据后，进一步后续的业务数据从所述第二隧道的目的地获取。

[0021] 优选的，此时命中的隧道报文代表了，业务数据请求端在从最外层的第一隧道的目的端获取历史发送的业务数据的同时，还需要从当前隧道报文的最内层的第二隧道获取
业务数据的剩余内容；并且，只有同时满足最内层隧道和最外层隧道共同构成的匹配信息
相同的，才是对应需要做业务数据串接获取的隧道对象。

[0022] 优选的，隧道报文还包括一个或者多个中间层隧道，每一层隧道都配置有隧道健康指标，所述隧道健康指标被携带在报头的预留字段中，所述方法还包括：

[0023] 监测隧道报文中所涉及到各条隧道，并根据监测结果更新隧道报文中的隧道健康指标值；

[0024] 若当前被隧道报文使用的隧道健康指标值不达标的隧道占比超过其自身从最内层隧道到最外层隧道总数的7成，则触发对所述隧道报文的最内层隧道到最外层隧道的重
新指定。

[0025] 优选的，所述隧道健康指标由1比特代表，包括：正常状态和故障状态。

[0026] 第二方面，本发明还提供了一种基于隧道报文的匹配装置，用于实现第一方面所述的基于隧道报文的匹配方法，所述装置包括：

[0027] 至少一个处理器；以及，与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述处理器执行，用于执行第一方面所述的基于隧道报文的匹配方法。

[0028] 第三方面，本发明还提供了一种非易失性计算机存储介质，所述计算机存储介质存储有计算机可执行指令，该计算机可执行指令被一个或多个处理器执行，用于完成第一
方面所述的基于隧道报文的匹配方法。

[0029] 本发明可以对于隧道报文的检测可更加灵活、更加完整，增加隧道报文的内且外匹配及隧道报文的内或者外匹配两种方式，增加新的匹配方式能够更全面的检测数据报
文，对数据报文分析、及安全性有更好的保证。
【附图说明】

[0030] 为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图作简单地介绍。显而易见地，下面所描述的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他
的附图。

[0031] 图1是本发明实施例提供的一种基于隧道报文的匹配方法流程示意图；

[0032] 图2是本发明实施例提供的一种基于隧道报文的匹配方法流程示意图；

[0033] 图3是本发明实施例提供的一种基于隧道报文的匹配方法流程示意图；

[0034] 图4是本发明实施例提供的一种基于隧道报文的匹配方法流程示意图；

[0035] 图5是本发明实施例提供的一种基于隧道报文程序代码和16进制转化示意图；

[0036] 图6是本发明实施例提供的一种基于隧道报文的匹配装置结构示意图。【具体实施方式】

[0037] 为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

[0038] 在本发明的描述中，术语“内”、“外”、“纵向”、“横向”、“上”、“下”、“顶”、“底”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明而不是要求本发明必须以特定的方位构造和操作，因此不应当理解为对本发明的限制。

[0039] 此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。

[0040] 实施例1:

[0041] 本发明实施例1提供了一种基于隧道报文的匹配方法，通过转换为特征码规则实现，如图1所示，方法包括：

[0042] 在步骤201中，将隧道的最内层和/或最外层协议报头内容中各字段，按照预设顺序排列后转换成16进制的字符串。

[0043] 在步骤202中，对于所述隧道的最内层和/或最外层协议报头内容中作为隧道报文识别依据的生成相应的掩码。

[0044] 在步骤203中，通过所述掩码与所述字符串的逻辑与运算得到隧道的特征码，其中，隧道报文的特征码与相应隧道的特征码匹配时，判定是命中的隧道报文，否则判定相应隧道报文为未命中的隧道报文。

[0045] 本发明实施例可以对于隧道报文的检测可更加灵活、更加完整，增加隧道报文的内且外匹配及隧道报文的内或者外匹配两种方式，增加新的匹配方式能够更全面的检测数
据报文，对数据报文分析、及安全性有更好的保证。

[0046] 在本发发明实施例中，所述作为隧道报文识别依据为五元组信息和/或三元组信息，具体的：

[0047] 所述五元组信息包括源IP地址SIP，源端口Sport,目的IP地址DIP，目的端口Dport和协议号；所述三元组信息包括源IP地址SIP，目的IP地址DIP和协议号。

[0048] 所述作为隧道报文识别依据还可以为mac地址信息。

[0049] 接下来，将从MAC层和VLAN层(即五元组信息)，阐述包含不同隧道情况下，相应隧道报文所提现出的数据长度。

[0050] IPinIP举例说明

[0051] 第一、现网中隧道报文可能出现mac层；1层mac、mac in mac 2层mac，1层mac则为12字节、2层mac为12+4(类型及下层协议标识共4字节)+12＝28字节；

[0052] 第二、2字节(下一层协议标识)；

[0053] 第三、现网中隧道报文可能出现mac层可出现的vlan层；携带1层vlan、QinQ 2层vlan、QinQ报文再封装1层vlan共3层vlan(无vlan0+字节、一层vlan+4字节、二层vlan+8字节、3层vlan+12字节)；

[0054] 第四、可能出现的隧道IP组合、ipv4inipv4、ipv4inipv6、ipv6inipv4、ipv6inipv6；

[0055] 针对外层IP为V4的隧道报文，隧道标识在第10字节；

[0056] 针对外层IP为v6的隧道报文，隧道标识在第20字节；

[0057] 针对外层为V4的隧道，那么可能出现的隧道标识位置在：

[0058] “1层mac 0层vlan 12byte+2byte+10byte——隧道标识位置(即本发明实施例中表现的v4或v6)；

[0059] 1层mac 1层vlan 12byte+2byte+4byte+10byte——隧道标识位置；

[0060] 1层mac 2层vlan 12byte+2byte+4byte+4byte+10byte——隧道标识位置；

[0061] 1层mac3层vlan 12byte+2byte+4byte+4byte+4byte+10byte——隧道标识位置；

[0062] 2层mac 0层vlan 28byte+2byte+10byte——隧道标识位置；

[0063] 2层mac 1层vlan 28byte+2byte+4byte+10byte——隧道标识位置；

[0064] 2层mac 2层vlan 28byte+2byte+4byte+4byte+10byte——隧道标识位置；

[0065] 2层mac3层vlan 28byte+2byte+4byte+4byte+4byte+10byte——隧道标识位置；

[0066] 针对外层为V6的隧道，那么可能出现的隧道标识位置在：

[0067] 1层mac 0层vlan 12byte+2byte+20byte——隧道标识位置；

[0068] 1层mac 1层vlan 12byte+2byte+4byte+20byte——隧道标识位置；

[0069] 1层mac 2层vlan 12byte+2byte+4byte+4byte+20byte——隧道标识位置；

[0070] 1层mac3层vlan 12byte+2byte+4byte+4byte+4byte+20byte——隧道标识位置；

[0071] 2层mac 0层vlan 28byte+2byte+20byte——隧道标识位置；

[0072] 2层mac 1层vlan 28byte+2byte+4byte+20byte——隧道标识位置；

[0073] 2层mac 2层vlan 28byte+2byte+4byte+4byte+20byte——隧道标识位置；

[0074] 2层mac3层vlan 28byte+2byte+4byte+4byte+4byte+20byte——隧道标识位置”。

[0075] 隧道标识为04则下层隧道为v4；

[0076] 隧道标识为06则下层隧道为v6；

[0077] 数据查找时，只用查找可能出现隧道标识的位置，不用全报文查找，只查找隧道标识可能出现的位置即可判断隧道报文类型。同理，其他隧道报文标识位置根据报文特性定义隧道位置。只用查找可能出现隧道标识的位置即可。

[0078] 在现有技术中的隧道使用中，内层隧道和外层隧道的作用其实是备选关系，而这种关系在实际应用中在一些网络相对简单的场景中，也一隧道报文仅包含一层隧道信息作
为传输依据多见，而就在这种场景下，对于传输过程中发生隧道中断的情况，对于业务数据请求端而言是不容易简单根据隧道报文数据进行快速定位和追溯到，而本发明实施例优选
方案中，则针对这样的简单网络场景提出来一种内层隧道和外层隧道配合使用的改进方
案，在将隧道的最内层和最外层协议报头内容中各字段，按照预设顺序排列后转换成16进
制的字符串之前，如图2所示，方法还包括：

[0079] 在步骤301中，根据网络状态分析其中最内层的第一隧道已经无法走通，根据分析计算得到一备选第二隧道。

[0080] 在步骤302中，确定原本设定通过当前无法走通的最内层的第一隧道传输的业务数据，对所述业务数据的后续数据进行数据包打包时候，将所述第二隧道打包为最内层的
隧道，将所述第一隧道打包为最外层的隧道。

[0081] 在步骤303中，制定命中策略，判定同时匹配上包含所述第一隧道和第二隧道各自五元组信息和/或三元组信息的认定为命中。

[0082] 其中，历史上相应设置在最内层的隧道被指定为最高优先级选配隧道使用。

[0083] 本发明上述基于步骤301‑步骤303的过程，对于隧道报文提供的内层隧道和外层隧道，以及可能的中间层隧道的使用方式缺乏灵活性，造成复杂业务场景下的处理效率较
低的问题。

[0084] 如图3所示，在步骤303之后，通常还涉及以下方法过程：

[0085] 在步骤304中，所述命中策略同步发送给业务数据请求端。

[0086] 在步骤305中，所述业务数据请求端，根据重新打包的隧道信息，在部分从第一隧道的目的地址获取业务数据后，进一步后续的业务数据从所述第二隧道的目的地获取。

[0087] 此时命中的隧道报文代表了，业务数据请求端在从最外层的第一隧道的目的端获取历史发送的业务数据的同时，还需要从当前隧道报文的最内层的第二隧道获取业务数据
的剩余内容；并且，只有同时满足最内层隧道和最外层隧道共同构成的匹配信息相同的，才是对应需要做业务数据串接获取的隧道对象。

[0088] 在结合本发明所能提出的，依托特殊应用场景而产生的如步骤301‑步骤303的扩展方案之外，结合本发明实施例还提出来另一种可行的实现方式，其应用场景与步骤301‑步骤303正好相反，在接下来描述的方法中，其应用的场景正好的是网络链接环境相对多样化，可提供多种隧道选择的场景，即隧道报文还包括一个或者多个中间层隧道，每一层隧道都配置有隧道健康指标，所述隧道健康指标被携带在报头的预留字段中，如图4所示，所述方法还包括：

[0089] 在步骤401中，监测隧道报文中所涉及到各条隧道，并根据监测结果更新隧道报文中的隧道健康指标值。

[0090] 在步骤402中，若当前被隧道报文使用的隧道健康指标值不达标的隧道占比超过其自身从最内层隧道到最外层隧道总数的7成，则触发对所述隧道报文的最内层隧道到最
外层隧道的重新指定。

[0091] 其中，所述隧道健康指标由1比特代表，包括：正常状态和故障状态。

[0092] 通过上述方式能够维持当前正在传输的隧道报文的安全性和有效性，极其适用于传输有效性要求极高的场景。

[0093] 实施例2:

[0094] 本发明实施例延续了实施例1的方法内容，并通过结合图5所示的实例隧道报文内容阐述上述步骤201‑203的方法内容实现。

[0095] 如图5所示，外层SIP+DIP对应边框中：SIP为10.0.0.1(转换16进制为0a 00 00 01)；DIP为172.0.0.1(转换16进制为ac 00 00 01)，下一层协议对应边框中为IP协议4(对
应16进制为04，图中呈现为Internet Protocol Version 4)。

[0096] 内层SIP+DIP对应边框内容为：SIP为11.12.13.1(转换16进制为0b 0c 0d 01)；DIP为11.12.13.254(转换为16进制为0b 0c 0d fe),边框对应端口号Sport 1024(转换16
进制为0400)，Dport 1024(转换16进制为0400)，边框对应协议号为udp 17(转换16进制为
11)。

[0097] 内且外方案一：设置特征码规则匹配起始位置为三层匹配(从三层头开始匹配，则从外层4500xxxx开始)、根据上述报文转换为特征码规则，即16进制特征码规则，只需要关心内、外层五元组相关的信息。举例说明：

[0098] 规则内容：

[0099] 00000000000000000000000a000001ac00000140000000000000000118a7b0b0c0d010b0c0dfe 04000400

[0100] 掩码字段：

[0101] 0000000000000000000000fffffffffffffffff0000000000000000ff0000ffffffffffffffffffffffff

[0102] 规则说明：掩码字段为0为不关心，无论规则内容是什么值都不关心，f为全关心，必须按16进制字符串进行匹配，不关心的字段内容可写0或其他16进制均可，因为不关心，任何值都无意义，上述规则为内、外层八元组信息全关心内容，可根据规则要求，选择性关心，如只关心外层的SIP和内层的DIP，则对应规则和掩码如下：

[0103] 规则内容：

[0104] 00000000000000000000000a000001ac00000140000000000000000118a7b0b0c0d010b0c0dfe 04000400

[0105] 掩码字段：

[0106] 0000000000000000000000ffffffff0000000000000000000000000000000000000000fffffff00000000

[0107] 规则查找时，内且外，能匹配到这条特征码规则，该隧道报文命中，否则不命中。

[0108] 内或外实现方案一：和内且外思路一样，也是转换为16进制特征码规则进行匹配。只是需要下发两条特征码规则。继续用上述报文举例说明，匹配起始位置从三层头开始：

[0109] 外层规则内容：00000000000000000000000a000001ac000001

[0110] 外层关心字段：00000000000000000000000fffffffffffffff

[0111] 内层规则内容：

[0112] 00000000000000000000000a000001ac00000140000000000000000118a7b0b0c0d010b0c0dfe 04000400

[0113] 内层关心字段：

[0114] 0000000000000000000000000000000000000000000000000000000ff000000000000ffffffffffffffff

[0115] 查找规则时，开启该隧道报文内或外开关、只要匹配到其中的任何一条特征码规则均认为该隧道报文命中，否则为不命中。

[0116] 内且外实现方案二：下发两条五元组规则，分别对应隧道报文的内、外层五元组信息。继续用上述报文举例说明：

[0117] 外层规则为：三元组信息，SIP为10.0.0.1DIP为172.0.0.1，下层协议对应黑色边框为IP协议4

[0118] 内层规则为：五元组信息，SIP为11.12.13.1，DIP为11.12.13.254,Sport1024，Dport 1024，协议号为udp 17

[0119] 可根据规则需要下发两条规则，分别用于匹配隧道报文的内层及外层。开启隧道报文内且外开关、开启二次查找开关后，当隧道报文的外层被命中后，会继续查找内层信息对应的规则，只有当两条规则同时被命中时，才认为该隧道报文命中，否则该隧道报文不命中。

[0120] 内或外实现方案二：和内且外实现方式一致，下发两条五元组规则，分别对应隧道报文的内外层相关信息，开启隧道报文的二次查找功能，当隧道报文命中外层规则后，不再查找，直接认为该隧道报文被命中，当隧道报文外层信息没有被相关规则命中，继续查找内层五元组规则，如果内层五元组规则命中，则认为该隧道报文命中，否则该隧道报文不命中。

[0121] 实施例3：

[0122] 如图6所示，是本发明实施例的基于隧道报文的匹配装置的架构示意图。本实施例的基于隧道报文的匹配装置包括一个或多个处理器21以及存储器22。其中，图6中以一个处理器21为例。

[0123] 处理器21和存储器22可以通过总线或者其他方式连接，图6中以通过总线连接为例。

[0124] 存储器22作为一种非易失性计算机可读存储介质，可用于存储非易失性软件程序和非易失性计算机可执行程序，如实施例1中的基于隧道报文的匹配方法。处理器21通过运行存储在存储器22中的非易失性软件程序和指令，从而执行基于隧道报文的匹配方法。

[0125] 存储器22可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实施例中，存储器22可选包括相对于处理器21远程设置的存储器，这些远程存储器可以通过网络连接至处理器
21。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

[0126] 所述程序指令/模块存储在所述存储器22中，当被所述一个或者多个处理器21执行时，执行上述实施例1中的基于隧道报文的匹配方法，例如，执行以上描述的图1‑图4所示的各个步骤。

[0127] 值得说明的是，上述装置和系统内的模块、单元之间的信息交互、执行过程等内容，由于与本发明的处理方法实施例基于同一构思，具体内容可参见本发明方法实施例中
的叙述，此处不再赘述。

[0128] 本领域普通技术人员可以理解实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质
可以包括：只读存储器(ROM，Read Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁盘或光盘等。

[0129] 以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。