CN101296185A - 一种均衡组的流量控制方法及装置 - Google Patents

Abstract

本发明提供了一种均衡组的流量控制方法及装置。所述方法包括：按照物理端口上流量的承载情况，动态调整参与流量分配的虚拟端口的数目；将均衡组的流量分配到均衡组中参与流量分配的虚拟端口上；根据预先配置的虚拟端口与物理端口之间的对应关系，当虚拟端口存在有对应的物理端口时，将虚拟端口上的流量发送至该虚拟端口对应的物理端口；当虚拟端口不存在有对应的物理端口时，将虚拟端口上的流量直接丢弃。按照本发明所述方法及装置，可以提高网络流量检测的有效性和可靠性。

Description

一种均衡组的流量控制方法及装置

技术领域

本发明涉及流量控制技术领域，具体涉及一种均衡组的流量控制方法及装置。

背景技术

安全路由器是集常规路由器和网络安全功能于一身的网络安全设备，其主要应用在运营商主干线路上，用于抓取网络上的报文进行检测分析。均衡组是安全路由器产品特有的功能，它是一组物理端口的集合，可以对安全路由器的流量进行分担。图1示出了均衡组分流特性示意图。如图1所示，安全路由器可以通过分光器从两个网络设备之间的链路上抓取部分数据流量，并按照用户配置的算法将获取的数据流量分流到指定均衡组，然后，在各个均衡组中，根据数据流特征和该均衡组内的物理端口数目进行哈希(Hash)计算，并将流量发送到计算结果所对应的物理端口输出。均衡组中的物理端口与流量分析服务器直接相连，进行数据报文的检测和监视。

如图2所示，配置三个均衡组(均衡组1～均衡组3)，每个均衡组包括3个物理端口，分流到各均衡组的数据流量，分别在各自均衡组中的三个物理端口进行负载分担。假设每个物理端口的带宽为100兆比特/秒，则每个均衡组最大能处理的流量为300兆比特/秒。由于分流到各均衡组上的流量可能随着网络中流量的波动有所变化，例如，在网络流量突然增大时，分流到均衡组1的流量可能超过该均衡组最大能处理的流量，导致在该均衡组中通过哈希计算分配到某个或多个物理端口上的流量超出该物理端口的带宽，物理端口上发生流量过载。在发生上述情况时，由于超出了物理端口自身的处理能力，物理端口将随机丢弃分配到自身的数据流。这种丢弃处理具有随机性，例如，分配到物理端口1上可能有数据流1～3这3条数据流，在丢弃时，物理端口1可能从这3条数据流中随机选择，可能在这一次丢弃数据流1的部分报文，而接下来可能又丢弃数据流2或数据流3的部分报文，从而导致与物理端口1连接的分析服务器不能对其所接收到的任一数据流进行连续处理，影响到网络流量检测的有效性和可靠性，降低网络流量检测性能。

发明内容

本发明所要解决的技术问题是提供一种均衡组的流量控制方法及装置，减小物理端口发生流量过载的概率，降低物理端口丢弃报文的随机性，提高网络流量检测的有效性和可靠性。

为解决上述技术问题，本发明提供方案如下：

一种均衡组的流量控制方法，包括：

按照物理端口上流量的承载情况，动态调整参与流量分配的虚拟端口的数目；

将均衡组的流量分配到均衡组中参与流量分配的虚拟端口上；

根据预先配置的虚拟端口与物理端口之间的对应关系，当虚拟端口存在有对应的物理端口时，将虚拟端口上的流量发送至该虚拟端口对应的物理端口；当虚拟端口不存在有对应的物理端口时，将虚拟端口上的流量直接丢弃。

本发明所述的流量控制方法，其中：按照物理端口上的流量承载情况，动态调整参与流量分配的虚拟端口的数目具体为：当检测到均衡组的物理端口上流量过载时，增加新的虚拟端口用于流量分配，其中，所述新的虚拟端口没有对应的物理端口；和/或当检测到均衡组的物理端口上的流量小于该物理端口的预定的安全流量门限时，从参与流量分配的虚拟端口中删除所述新的虚拟端口。

本发明所述的流量控制方法，其中，所述将均衡组的流量分配到均衡组中参与流量分配的虚拟端口上包括：

根据数据流特征进行哈希计算，得到标识数据流的哈希值；

根据参与流量分配的虚拟端口的数量，确定数据流的哈希值与虚拟端口之间的对应关系，并将各数据流分配到该数据流的哈希值所对应的虚拟端口上。

本发明所述的流量控制方法，其中，所述检测到均衡组的物理端口上流量过载包括：

监测均衡组的所有物理端口上的流量，如果其中任一物理端口在预定时间内丢弃的流量达到预定阈值，则判断该物理端口上流量过载；

或者，监测均衡组的所有物理端口上的丢包率，如果其中任一物理端口上的丢包率达到预定门限值，则判断该物理端口上流量过载。

本发明所述的流量控制方法，其中，

所述增加新的虚拟端口用于流量分配进一步包括：根据流量过载的物理端口的数量以及各物理端口上流量过载的严重等级，确定需要增加的所述新的虚拟端口的数量。

本发明所述的流量控制方法，其中，所述对应关系中，每个虚拟端口最多与一个物理端口相对应，每个物理端口至少与一个虚拟端口相对应；所述方法还包括：

通过调整虚拟端口与物理端口之间的对应关系，调整发送到物理端口上的数据流。

本发明还提供了一种均衡组的流量控制装置，包括：

端口管理单元，用于按照物理端口上流量的承载情况，动态调整参与流量分配的虚拟端口的数目；

流量分配单元，用于将均衡组的流量分配到均衡组中参与流量分配的虚拟端口上；

传输控制单元，用于根据预先配置的虚拟端口与物理端口之间的对应关系，当虚拟端口存在有对应的物理端口时，将虚拟端口上的流量发送至该虚拟端口对应的物理端口；当虚拟端口不存在有对应的物理端口时，将虚拟端口上的流量直接丢弃。

本发明所述的流量控制装置，其中，

所述端口管理单元，进一步用于当检测到均衡组的物理端口上流量过载时，增加新的虚拟端口用于流量分配，其中，所述新的虚拟端口没有对应的物理端口；和/或当检测到均衡组的物理端口上的流量小于该物理端口的预定的安全流量门限时，从参与流量分配的虚拟端口中删除所述新的虚拟端口。

本发明所述的流量控制装置，其中，

所述流量分配单元，进一步用于：根据数据流特征进行哈希计算，得到数据流的哈希值；根据参与流量分配的虚拟端口的数量，确定数据流的哈希值与虚拟端口之间的对应关系，并将各数据流分配到该数据流的哈希值所对应的虚拟端口上。

本发明所述的流量控制装置，其中，

所述端口管理单元，还用于根据流量过载的物理端口的数量以及各物理端口上流量过载的严重等级，确定需要增加的所述新的虚拟端口的数量。

从以上所述可以看出，本发明提供的一种均衡组的流量控制方法及装置，通过增加新的虚拟端口分担均衡组的流量，且分配到该新的虚拟端口上的流量被丢弃，而不会被发送到均衡组的物理端口，从而减小了物理端口上的流量，减小物理端口上发生流量过载的概率；

由于物理端口流量过载的发生概率减小，物理端口上的报文被随机丢弃的可能性也就会降低，从而保证了发送到物理端口所连接的分析服务器的报文的稳定性和持续性，使得分析服务器可以对其接收到的数据流进行连续处理，从而提高了网络流量检测的有效性和可靠性，保证了网络流量的检测性能；

并且，由于本发明中虚拟端口和物理端口之间的对应关系是可配置的，因此，可以通过在对应关系中通过调整某个物理端口所对应的虚拟端口，调整发送到该物理端口上的数据流，从而可以方便地实现变更分析服务器所要分析的数据流；最后，在各物理端口上的流量都小于该物理端口的预定的安全流量门限，本发明通过删除先前增加的新的虚拟端口并重新进行流量分配，从而恢复对均衡组的流量进行全面的分析。

附图说明

图1为现有技术中的均衡组分流特性示意图；

图2为现有技术中的均衡组流量的分担示意图；

图3为本发明实施例中虚拟端口和物理端口之间的对应关系示意图；

图4为本发明实施例所述流量控制方法的流程示意图；

图5为本发明实施例中流量分配的示意图；

图6为本发明实施例中修改对应关系后流量分配的示意图；

图7为本发明实施例所述流量控制装置的结构示意图。

具体实施方式

本发明提供了一种均衡组的流量控制方法及装置，其基本思想是：在一个均衡组内的流量被分配到物理端口之前，先被分配到虚拟端口，虚拟端口的数量随着物理端口上承载流量的变化而动态的发生变化。当物理端口上的流量过载时，该均衡组内的虚拟端口的数量将会增加。这样流量将会被分散到各个虚拟端口，但是只有部分虚拟端口与物理端口相连，从而部分虚拟端口上的流量将被发送到与之相连的物理端口，部分虚拟端口上的流量将会被直接丢弃。这样，物理端口上的流量就减少了，随机丢弃数据包的可能性就降低了。由于虚拟端口上的流量是通过流特征进行Hash或者其他算法分配的，所以一般来讲同一个虚拟端口上都会对应同一条流。所以用了以上方法的结果就是，对于某些流会通过物理端口传输到分析服务器进行分析，对于某些流就直接丢弃不参与分析。也就是说对于参与分析的某条流就保证其分析结果达到一定的准确性，否则干脆就不让这条流参与分析。这样就能降低物理端口发生流量过载的概率，从而减小物理端口上随机丢弃报文的可能性，达到相对准确分析某些流量的效果。以下结合附图通过具体实施例对本发明做详细的说明。

本发明实施例在现有技术的均衡组中增加了虚拟端口。虚拟端口是一种逻辑端口，它不受物理端口数目的限制，可以根据实际需要定义足够数量的虚拟端口。现有技术中，安全路由器的一组指定的出端口(物理端口)构成了一个均衡组，本发明实施例中在安全路由器的均衡组中增加了一组虚拟端口，并且，配置均衡组中的各个虚拟端口和物理端口之间的对应关系。这里，所述对应关系中，每个物理端口至少与一个虚拟端口相对应，每个虚拟端口最多与一个物理端口相对应；某个虚拟端口也可以没有与其相对应的物理端口。如图3所示，图3中的均衡组包括虚拟端口1～n和物理端口1～m，其中，虚拟端口1～3分别对应于一个不同的物理端口，虚拟端口4～5对应于同一物理端口，虚拟端口n则没有对应于任何物理端口。

如图4所示，本发明实施例所述的均衡组的流量控制方法，包括步骤：

步骤41，按照物理端口上流量的承载情况，动态调整参与流量分配的虚拟端口的数目。

本步骤中，可以对均衡组的物理端口进行监测，当检测到物理端口上流量过载时，增加新的虚拟端口用于流量分配，所增加的新的虚拟端口没有对应的物理端口。这里，海可以根据物理端口的带宽，为各物理端口都设置相应的安全流量门限。通常，该安全流量门限应小于物理端口的带宽，例如，可以设置为物理端口的带宽的60％的大小。如果检测到各物理端口上的流量都小于该物理端口的预定的安全流量门限，则此时没有必要再通过虚拟端口丢弃均衡组的流量。为了对均衡组的流量进行最全面的分析，此时，可以删除所增加的所述新的虚拟端口。

具体的，检测到物理端口上的流量过载可以是：监测均衡组中所有物理端口上的流量，如果其中任一物理端口在预定时间内丢弃的流量达到预定阈值，则判断该物理端口上流量过载；或者，监测均衡组中所有物理端口上的丢包率，如果其中任一物理端口上的丢包率达到预定门限值，则判断该物理端口上流量过载。

步骤42，将均衡组的流量分配到均衡组中参与流量分配的虚拟端口上。

这里，具体的流量分配可以是：根据数据流特征，按照哈希算法进行哈希计算，生成能够标识该数据流的哈希值；根据参与流量分配的虚拟端口的数量，确定数据流的哈希值与虚拟端口之间的对应关系，并将各数据流分配到该数据流的哈希值所对应的虚拟端口上。其中，数据流特征可以是数据流报文的源MAC地址、目的MAC地址、源IP地址、目的IP地址、IP端口号和MPLS(多协议标签交换)标签之一或多项的组合。

在确定哈希值与虚拟端口之间的对应关系时，还可以进一步根据预定的流量分配策略，确定哈希值与虚拟端口之间的对应关系，例如，预先设定特定哈希值与特定的虚拟端口相对应，以便于将该特定哈希值对应的数据流分配到特定的虚拟端口；又例如，假设当前参与流量分配的虚拟端口有m个，将当前参与流量分配的虚拟端口按照0、1、2、…、(m-1)排序，然后，根据当前参与流量分配的虚拟端口的数目，对数据流的哈希值进行取模操作，将取模操作的结果作为该哈希值对应的虚拟端口的序号。

步骤43，根据预先配置的虚拟端口与物理端口之间的对应关系，对于分配到各虚拟端口上的流量，在该虚拟端口存在有对应的物理端口时，该流量将被发送至该虚拟端口对应的物理端口；否则，该流量则在该虚拟端口处被丢弃。

这样通过以上步骤，在均衡组中的某个物理端口发生流量过载时，减小了该物理端口上的流量，即减小分配到该物理端口所对应的虚拟端口上的流量。当某一均衡组物理端口上的流量过载了，对于输入到该均衡组的流量经过Hash计算以后，通过调整Hash值与虚拟端口的关系，将部分流量引入到新的虚拟端口上，由于新的虚拟端口没有对应的物理端口，所以这部分流量就被丢弃了。关于调整Hash值与虚拟端口的关系可以参见上文描述。因此，本发明实施例通过增加参与流量分配的新的虚拟端口，且该新的虚拟端口没有与之相对应的物理端口，然后对均衡组的流量重新进行分配，来达到本发明的目的。

更具体的，本发明实施例可以根据流量过载的物理端口的数量以及各物理端口上流量过载的严重等级，确定需要增加的所述新的虚拟端口的数量，例如，在过载情况严重时，增加更多的新的虚拟端口参与流量分配。如果重新进行流量分配后，某个物理端口仍然存在流量过载情况，此时，还可以通过步骤41，继续增加新的虚拟端口进行流量分配，直到所有物理端口上都没有流量过载。

以上说明了本实施例的流量控制方法，可以看出，由于增加了新的虚拟端口分担均衡组的流量，且该新的虚拟端口上的流量不会被发送到均衡组的物理端口，因此，本实施例能够减小发送到物理端口上的流量，从而降低物理端口上发生流量过载的概率，从而也就降低了物理端口上的报文被随机丢弃的可能性，保证了发送到物理端口所连接的分析服务器的报文的稳定性和持续性，使得分析服务器可以对其接收到的数据流进行连续处理，从而提高了网络流量检测的有效性和可靠性，保证了网络流量的检测性能；

并且，本实施例中，虚拟端口和物理端口之间的对应关系是可配置的，因此，可以通过在对应关系中通过调整某个物理端口所对应的虚拟端口，调整发送到该物理端口上的数据流。相对于现有技术，本实施例可以通过以上手段方便地变更分析服务器想要分析的数据流，如图5所示，配置有n个虚拟端口，当前是将1.1.1.0/24～1.1.4.0/24这四个网络上的流量分别分配到虚拟端口1～4，然后再分别发送到物理端口1～4，由各物理端口上连接的各个分析服务器进行分析。当物理端口4连接的分析服务器4想变更分析的数据流时，例如想要分析被分配到物理端口3上的1.1.3.0/24网段的流量，现有技术只能通过修改哈希规则将1.1.3.0/24网段的流量分配到物理端口4上，而修改哈希规则对于普通使用者来说难度较大；而采用本实施例所述方法时，如图6所示，只需在所述对应关系中，将虚拟端口3对应的物理端口修改为物理端口4即可。

基于以上所述的流量控制方法，本发明实施例还提供了一种均衡组的流量控制装置，如图7所示，包括：

端口管理单元，用于按照物理端口上流量的承载情况，动态调整参与流量分配的虚拟端口的数目；

流量分配单元，用于将均衡组的流量分配到均衡组中参与流量分配的虚拟端口上；

传输控制单元，用于根据预先配置的虚拟端口与物理端口之间的对应关系，当虚拟端口存在有对应的物理端口时，将虚拟端口上的流量发送至该虚拟端口对应的物理端口；当虚拟端口不存在有对应的物理端口时，将虚拟端口上的流量直接丢弃。

这里，所述端口管理单元，当检测到均衡组的物理端口上流量过载时，增加新的虚拟端口用于流量分配，并对均衡组的流量重新进行分配，其中，所述新的虚拟端口没有对应的物理端口；和/或当检测到均衡组的物理端口上的流量小于该物理端口的预定的安全流量门限时，从参与流量分配的虚拟端口中删除所述新的虚拟端口。所述端口管理单元，还可以根据流量过载的物理端口的数量以及各物理端口上流量过载的严重等级，确定需要增加的所述新的虚拟端口的数量。

这里，所述流量分配单元，根据数据流特征进行哈希计算，得到数据流的哈希值；根据参与流量分配的虚拟端口的数量，确定数据流的哈希值与虚拟端口之间的对应关系，并将各数据流分配到该数据流的哈希值所对应的虚拟端口上。

综上所述，本发明实施例所述流量控制方法和流量控制装置，通过虚拟端口参与均衡组的流量分配，并在流量过载时，增加新的虚拟端口并重新进行流量分配，通过新的虚拟端口丢弃其上的流量，减小了物理端口发生流量过载和随机丢弃报文的可能性，提高了网络流量检测的有效性和可靠性。

本发明所述的流量控制方法和流量控制装置，并不仅仅限于说明书和实施方式中所列运用，它完全可以被适用于各种适合本发明之领域，对于熟悉本领域的人员而言可容易地实现另外的优点和进行修改，因此在不背离权利要求及等同范围所限定的一般概念的精神和范围的情况下，本发明并不限于特定的细节、代表性的设备和这里示出与描述的图示示例。

Claims (10)

1.一种均衡组的流量控制方法，其特征在于，包括：

按照物理端口上流量的承载情况，动态调整参与流量分配的虚拟端口的数目；

将均衡组的流量分配到均衡组中参与流量分配的虚拟端口上；

根据预先配置的虚拟端口与物理端口之间的对应关系，当虚拟端口存在有对应的物理端口时，将虚拟端口上的流量发送至该虚拟端口对应的物理端口；当虚拟端口不存在有对应的物理端口时，将虚拟端口上的流量直接丢弃。

2.如权利要求1所述的流量控制方法，其特征在于：按照物理端口上的流量承载情况，动态调整参与流量分配的虚拟端口的数目具体为：当检测到均衡组的物理端口上流量过载时，增加新的虚拟端口用于流量分配，其中，所述新的虚拟端口没有对应的物理端口；和/或当检测到均衡组的物理端口上的流量小于该物理端口的预定的安全流量门限时，从参与流量分配的虚拟端口中删除所述新的虚拟端口。

3.如权利要求1所述的流量控制方法，其特征在于，

所述将均衡组的流量分配到均衡组中参与流量分配的虚拟端口上包括：

根据数据流特征进行哈希计算，得到标识数据流的哈希值；

根据参与流量分配的虚拟端口的数量，确定数据流的哈希值与虚拟端口之间的对应关系，并将各数据流分配到该数据流的哈希值所对应的虚拟端口上。

4.如权利要求2所述的流量控制方法，其特征在于，

所述检测到均衡组的物理端口上流量过载包括：

监测均衡组的所有物理端口上的流量，如果其中任一物理端口在预定时间内丢弃的流量达到预定阈值，则判断该物理端口上流量过载；

或者，监测均衡组的所有物理端口上的丢包率，如果其中任一物理端口上的丢包率达到预定门限值，则判断该物理端口上流量过载。

5.如权利要求2所述的流量控制方法，其特征在于，

所述增加新的虚拟端口用于流量分配进一步包括：根据流量过载的物理端口的数量以及各物理端口上流量过载的严重等级，确定需要增加的所述新的虚拟端口的数量。

6.如权利要求1所述的流量控制方法，其特征在于，所述对应关系中，每个虚拟端口最多与一个物理端口相对应，每个物理端口至少与一个虚拟端口相对应；所述方法还包括：

通过调整虚拟端口与物理端口之间的对应关系，调整发送到物理端口上的数据流。

7.一种均衡组的流量控制装置，其特征在于，包括：

端口管理单元，用于按照物理端口上流量的承载情况，动态调整参与流量分配的虚拟端口的数目；

流量分配单元，用于将均衡组的流量分配到均衡组中参与流量分配的虚拟端口上；

传输控制单元，用于根据预先配置的虚拟端口与物理端口之间的对应关系，当虚拟端口存在有对应的物理端口时，将虚拟端口上的流量发送至该虚拟端口对应的物理端口；当虚拟端口不存在有对应的物理端口时，将虚拟端口上的流量直接丢弃。

8.如权利要求7所述的流量控制装置，其特征在于，

所述端口管理单元，进一步用于当检测到均衡组的物理端口上流量过载时，增加新的虚拟端口用于流量分配，其中，所述新的虚拟端口没有对应的物理端口；和/或当检测到均衡组的物理端口上的流量小于该物理端口的预定的安全流量门限时，从参与流量分配的虚拟端口中删除所述新的虚拟端口。

9.如权利要求7所述的流量控制装置，其特征在于，

所述流量分配单元，进一步用于：根据数据流特征进行哈希计算，得到数据流的哈希值；根据参与流量分配的虚拟端口的数量，确定数据流的哈希值与虚拟端口之间的对应关系，并将各数据流分配到该数据流的哈希值所对应的虚拟端口上。

10.如权利要求8所述的流量控制装置，其特征在于，

所述端口管理单元，还用于根据流量过载的物理端口的数量以及各物理端口上流量过载的严重等级，确定需要增加的所述新的虚拟端口的数量。

Images