CN101321088A - 一种统计ip数据流信息的方法及装置 - Google Patents

Abstract

本发明实施例公开了一种统计IP数据流信息的方法与装置。若流表中不存在包含当前IP数据报文的标识信息的流表项，则创建流表项，其中包含当前IP数据报文的标识信息、当前IP数据报文统计所属IP数据流的统计数据和网络设备对具有所述标识信息的IP数据报文的操作信息；若流表中存在包含当前IP数据报文的标识信息的流表项，则判断网络运行状态是否变化，若网络运行状态没有变化，则更新流表项中的统计数据，若网络运行状态有变化，则更新流表项中的统计数据和网络设备对IP数据报文的操作信息。根据本发明实施例的技术方案，能够极大的提高网络稳定运行时IP数据流信息统计性能，并且能实时反应网络的运行状态的变化情况。

Description

一种统计IP数据流信息的方法及装置

技术领域

本发明涉及计算机网络通信技术，特别地涉及一种统计IP数据流信息的方法及装置。

背景技术

IP数据流信息输出IPFIX(IP Flow Information Export)是由互联网工程任务组IETF公布的用于网络中的流信息测量的标准协议。该协议主要在于统一IP(Internet Protocol)数据流信息的统计、输出标准，这使得网络管理员很容易地提取和查看存储在这些网络设备中的重要流量统计信息。

IP数据流信息统计的作用有：通过对网络通信数据流报文信息进行分析统计，可以将网络中的报文分成不同的IP数据流，从这些数据流可以得知哪台机器、在什么时候、访问了哪个网络地址、访问了多久、数据流量是多大等，从而达到流量监控、网络计费、网络安全监控与防范的作用。对IP数据流信息统计，是对网络应用进行分析与监控的基础，广泛应用于流量监控、网络计费、网络安全监控与防范、网络资源优化建设等各个方面。

IP数据流的统计信息可分为两类。第一类IP数据流统计信息是IP数据报文携带的统计信息，这些统计信息包括：

源IP地址，即发送此IP数据报文的设备接口IP地址；

目的IP地址，即报文要送达目的设备接口的IP地址；

三层协议类型，即标识IP数据报文的三层协议类型，比如是UDP报文，还是TCP报文；

TCP/UDP源端口，用来标识IP数据报文是由哪个应用程序发送的；

TCP/UDP目的端口，即目的端口是用来标识这个报文要提交给接收这个报文的设备的哪个应用程序；

服务类型(Type-of-service)字节，即数据报服务类型；

报文长度，即这个IP数据报文的字节数大小。

第二类IP数据流统计信息是网络设备对IP数据流的操作信息，包括：

源接口(ingressInterface)，即数据报文从网络设备哪个接口接收进来的；

目的接口(egressInterface)，数据报文从网络设备哪个接口发送出去；

下一跳IP地址(ipNextHopIPv4Address)，发送出去后要交由下一个网络设备的地址；

源IP地址所对应的BGP域(bgpSourceAsNumber)，属于报文的BGP路由信息；

目的IP地址所对应的BGP域(bgpDestinationAsNumber)，属于报文的BGP路由信息；

BGP下一跳地址(bgpNexthopIPv4Address)，属于报文的BGP路由信息。

图1是进行IP数据流信息统计的网络设备示意图。具有IP数据流统计功能的网络设备例如路由器、交换机将分析统计到的网络中所有的IP数据流以表项的形式存储在IP数据流表中，以定时输出分析报告。IP数据流表的每个表项中包含数据流标识信息，标识信息用来标识和区分网络中的各个数据流，每个数据流具有唯一的标识信息，不同的数据流具有的标识信息也不同。数据流标识信息由第一类IP数据流统计信息中的源IP地址、目的IP地址、三层协议类型、TCP/UDP源端口、TCP/UDP目的端口、服务类型(Type-of-service)字节以及第二类IP数据流统计信息中的源接口、目的接口、下一跳IP地址、源IP地址所对应的BGP域、目的IP地址所对应的BGP域、BGP下一跳地址组成，所有这些信息都相同的报文被认为是属于同一个IP数据流的报文；IP数据流表的统计结果存储的是这个流的起始时间，结束时间，报文个数，报文总字节数等；现有技术中IP数据流表的结构如图2(a)所示，一个IP数据流的标识信息和统计结果相结合，构成了IP数据流表中对应于该数据流的一个流表项，每个流表项通过其中的数据流标识信息与具有该标识信息的数据流相对应，并且流表项中的数据流标识信息与统计结果合起来构成了该流表项对应的IP数据流的所有统计信息。IP数据流表包含了当前网络中所有统计分析到的IP数据流。

第二类IP数据流统计信息是网络设备对数据流的操作信息，除源接口(ingressInterface)可以根据报文从网络设备哪个接口进来可以直接获取之外，进行IP数据流统计信息统计的网络设备对数据流的操作信息都以查找表的形式存储在设备内存中。查找表一、查找表二和查找表三分别示于图3(a)、图3(b)和图3(c)中。查找表的关键字属于第一类IP数据流统计信息，查找表的查找结果属于对应的第二类IP数据流统计信息。进行IP数据流统计信息统计的网络设备可以通过查表的方式，以第一类IP数据流统计信息为索引查得这些信息。当网络环境、网络拓扑或网络配置的改变时，对应的第二类IP数据流统计信息将会发生变化，网络设备将重新更新相应的查找表中的表项。所以在网络运行的过程中，第二类IP数据流统计信息有变化的可能，而IP数据流统计信息要实时的反应这些变化。

现有技术中IP数据流信息统计方案的步骤如图4所示，具体为：

步骤401，从当前IP数据报文中提取第一类IP数据流统计信息；

步骤402，查询查找表一得到目的接口和下一跳IP地址；

步骤403，查询查找表二得到源IP地址所对应的BGP域；

步骤404，查询查找表三得到目的IP地址所对应的BGP域和BGP下一跳地址；

步骤405，以上面步骤中得到的第一类和第二类IP数据流的统计信息作为流标识查IP数据流表；

步骤406，判断步骤405中查IP数据流表是否存在包含当前IP数据流的标识信息的流表项，即当前IP数据报文是否命中流表项，若是，转入步骤407，否则转入步骤408；

步骤407，根据当前报文信息更新IP数据流表中该IP数据流的统计结果；

步骤408，在IP数据流表中创建一个新的流表项，该流表项中包含当前报文所在IP数据流的标识信息以及根据当前报文信息得到的该报文所在IP数据流的统计结果。

上述步骤401-408中，当前IP数据报文是指统计IP数据流信息的网络设备正在根据该报文进行统计的IP数据报文，当前IP数据报文所属的数据流称作当前IP数据流。多个IP数据报文当且仅当它们的第一类和第二类IP数据流的统计信息相同时，这些IP数据报文属于同一IP数据流。

对于一个已经稳定运行的网络，其网络环境不再改变，每个IP数据流所对应的第二类IP数据流统计信息也是固定不变的。第二类IP数据流统计信息只会在网络环境出现变动的情况下才改变。但是当这个IP数据流的一个报文到达统计IP数据流信息的网络设备时并不知道这个IP数据流所对应的第二类IP数据流统计信息是否已经改变，IP数据流信息统计需要实时反应真实的网络状况，并不能假设在这个新的报文到来之前网络环境没有改变，即便在网络环境稳定下来也不能做这样的假设，所以对于IP数据流的每一个报文，一般性IP数据流信息统计的实现方法都需要进行图4中步骤402-404这3步的查找，以保证IP数据流统计的准确，而网络中的IP数据流一般很多，查找表中的表项个数将非常巨大，查找将耗费很长的时间，造成IP数据流信息统计性能的很大下降。

发明内容

在现有技术中对于IP数据流的每一个报文，都需要在查找表中进行查找，造成了IP数据流信息统计性能的很大下降，有鉴于此，本发明实施例提供如下的技术方案：

一种统计IP数据流信息的方法，包括：

判断流表中是否存在包含当前IP数据报文的标识信息的流表项；

若流表中不存在包含当前IP数据报文的标识信息的流表项，则创建流表项，创建的流表项包含当前IP数据报文的标识信息、当前IP数据报文所属IP数据流的统计数据和网络设备对具有所述标识信息的IP数据报文的操作信息；

若流表中存在包含当前IP数据报文的标识信息的流表项，则判断网络运行状态是否变化，

若网络运行状态没有变化，则更新所述流表项中的统计数据，

若网络运行状态有变化，则更新所述流表项中的统计数据和操作信息。

创建流表项之后进一步包括：根据设定的时间间隔输出所述创建的流表项内容。

创建流表项之后进一步包括：如果网络运行状态有变化，并且在与当前IP数据报文具有相同标识信息的IP数据报文中，网络设备对当前IP数据报文的操作信息与网络设备对前一IP数据报文的操作信息不同，则输出包含当前IP数据报文的标识信息的流表项在更新之前的内容。

一种统计IP数据流信息的装置，包括第一判断模块、第二判断模块和流表模块，其中：

所述第一判断模块，用于判断流表模块中是否存在包含当前IP数据报文的标识信息的流表项单元；

所述第二判断模块，用于判断网络运行状态是否变化；

所述流表模块，用于若不存在包含当前IP数据报文的标识信息的流表项单元，则创建流表项单元，并在创建的流表项单元中储存当前IP数据报文的标识信息、当前IP数据报文所属数据流的统计数据和网络设备对具有所述标识信息的IP数据报文的操作信息，

若存在包含当前IP数据报文的标识信息的流表项，则若网络运行状态没有变化，更新该流表项单元中的统计数据，若网络运行状态有变化，更新该流表项单元中的统计数据和操作信息。

本发明实施例给出的装置进一步包括第一输出模块，用于：

在所述流表模块创建流表项单元之后，根据设定的时间间隔输出创建的流表项单元储存的信息。

本发明实施例给出的装置进一步包括第二输出模块，用于：

如果网络运行状态有变化，并且在与当前IP数据报文具有相同标识信息的IP数据报文中，网络设备对当前IP数据报文的操作信息与网络设备对前一IP数据报文的操作信息不同，则输出包含当前IP数据报文的标识信息的流表项单元在更新之前储存的内容。

根据本发明实施例给出的技术方案，因为极大的减少了稳定运行时的查表次数，并且采用了全局状态信息来标志网络运行状态的变化并根据该变化采取相应的对IP数据流信息的统计方式，所以极大的提高网络稳定运行时IP数据流信息统计性能，并且能实时反应网络的运行状态的变化情况。

附图说明

图1为进行IP数据流信息统计的网络设备示意图；

图2(a)为现有技术中IP数据流表的结构示意图；

图2(b)为本发明实施例中IP数据流表的结构示意图；

图3(a)为查找表1示意图；

图3(b)为查找表2示意图；

图3(c)为查找表3示意图；

图4为现有技术中IP数据流信息统计方案的步骤示意图；

图5为本发明实施例中IP数据流信息统计方案的步骤示意图；

图6为本发明实施例给出的装置示意图。

具体实施方式

当用于统计监控范围内IP数据流信息的网络设备收到IP数据报文时，为了能够减少对查找表的查找次数，在本发明实施例中，当网络设备开始统计其监控范围的计算机网络中IP数据流信息时，判断流表中是否存在包含当前IP数据报文的标识信息的流表项；若流表中不存在包含当前IP数据报文的标识信息的流表项，则创建流表项，创建的流表项包含当前IP数据报文的标识信息、当前IP数据报文所属IP数据流的统计数据和网络设备对具有所述标识信息的IP数据报文的操作信息；若流表中存在包含当前IP数据报文的标识信息的流表项，则判断网络运行状态是否变化，若网络运行状态没有变化，则更新所述流表项中的统计数据，若网络运行状态有变化，则更新所述流表项中的统计数据和操作信息。

下面对本发明实施例的方案作详细说明。

在本发明实施例中，使用全局状态信息和流状态信息分别来标志网络运行状态的变化情况和流表项中记录的网络设备对该流表项对应的数据流的操作信息的更新情况。全局状态信息是当网络设备开始统计其监控范围的计算机网络中IP数据流信息时创建并存储，当监控范围的计算机网络的运行状态发生变化时更改全局状态信息。当网络设备统计IP数据流的信息时，如图5所示，具体步骤如下：

步骤501：网络设备收到当前IP数据报文。

步骤502：从当前IP数据报文中提取第一类IP数据流统计信息。

步骤503：以第一类IP数据流统计信息为索引查IP数据流表。

IP数据流表的结构如图2(b)所示，每一条流表项的索引为IP数据报文的第一类IP数据流统计信息，同时也是IP数据报文的标识信息，每一条流表项的结果为网络设备对具有该标识信息的IP数据报文的操作信息、该流表项的流状态信息以及IP数据报文所属IP数据流的统计数据。对于两个或多个IP数据报文，当且仅当它们的标识信息以及网络设备对它们的操作信息都相同时，这些IP数据报文属于同一IP数据流。

步骤504：判断IP数据流表中是否有流表项的索引为当前IP数据报文携带的统计信息即当前IP数据报文是否命中流表项，若是，转入步骤505，若否，转入步骤510。

步骤505：判断流状态信息与全局状态信息是否相同，若是，则转入步骤506，否则转入步骤507。

步骤506：根据当前IP数据报文，更新命中的流表项中的统计数据。

步骤507：根据当前IP数据报文，在查找表一、二和三中查询网络设备对当前IP数据报文的操作信息并存储于命中的流表项中。

步骤508：根据当前IP数据报文，更新命中的流表项中的统计数据。

步骤509：根据当前IP数据报文，在命中的流表项中存储当前的全局状态信息作为命中的流表项中的流状态信息，然后结束流程。

步骤510：创建流表项，创建的流表项包含当前IP数据报文的标识信息、当前IP数据报文所属IP数据流的统计数据和网络设备对具有所述标识信息的IP数据报文的操作信息，然后结束流程。

从上面的步骤可以看出，通过维护全局状态信息和流状态信息，可以方便地判断网络运行状态是否发生变化，即步骤505。在根据当前IP数据报文完成统计之后，若网络运行状态有变化，再根据全局状态信息修改流状态信息，即步骤509，使二者保持一致，表明出网络开始一个新的运行状态，只在该运行状态不变，对于属于同一IP数据流的IP数据报文，就不必每次收到之后都查询查找表，从而节省了统计工作的操作步骤，提高了效率。

本发明实施例中，还对流表项中的信息进行输出。可以根据设定的时间间隔，输出流表项中的信息。另外当网络运行状态发生变化时，网络设备对于同一IP数据流的IP数据报文的操作有可能发生变化，也可能不变，所以需根据查找表1-3具体检查在与当前IP数据报文具有相同标识信息的IP数据报文中，网络设备对当前IP数据报文的操作信息与网络设备对前一IP数据报文的操作信息是否相同，若不同，则输出包含当前IP数据报文的标识信息的流表项在更新之前的内容。可以在每次更新流表项中的信息之前备份其中信息，然后作上述的输出。在存在这种根据网络运行状态变化而输出的情况下，根据设定的时间间隔的输出仍然继续进行。

在本发明实施例中，IP数据报文的标识信息包括如下的一种或几种：源IP地址、目的IP地址、三层协议类型、TCP/UDP源端口、TCP/UDP目的端口、服务类型字节。IP数据流的统计数据包括如下的一种或几种：IP数据流的起始时间、结束时间，IP数据报文的个数、最小长度、最大长度、最小生存时间、最大生存时间。网络设备对IP数据报文的操作信息包括如下的一种或几种：IP数据流的目的接口、下一跳IP地址、源IP地址所对应的BGP域、目的IP地址所对应的BGP域、BGP下一跳地址。

基于本发明实施例中的方法，图6给出了本发明实施例给出的一种统计IP数据流信息的装置，如图6中网络装置6，包括第一判断模块、第二判断模块和流表模块。第一判断模块用于判断流表模块中是否存在包含当前IP数据报文的标识信息的流表项单元。第二判断模块用于判断网络运行状态是否变化。流表模块用于若不存在包含当前IP数据报文的标识信息的流表项单元，则创建流表项单元，并在创建的流表项单元中储存当前IP数据报文的标识信息、当前IP数据报文所属数据流的统计数据和网络设备对具有所述标识信息的IP数据报文的操作信息，若存在包含当前IP数据报文的标识信息的流表项，则若网络运行状态没有变化，更新该流表项单元中的统计数据，若网络运行状态有变化，更新该流表项单元中的统计数据和操作信息。

网络装置6还可以进一步包括存储模块，同示于图6中，用于存储全局状态信息以及当网络运行状态发生变化时更新全局状态信息。这样，流表模块还可以进一步用于创建流表项单元时在创建的流表项单元中储存流状态信息，流状态信息与创建流表项单元时的全局状态信息相同。并且第二判断模块还可以根据流状态信息内容与全局状态信息内容是否相同来判断网络运行状态是否变化。流表模块在更新流表项单元中的网络设备对当前IP数据流的操作信息之后，还需更新流状态信息，更新之后的流状态信息与全局状态信息相同。

网络装置6还可以包括第一输出模块，同示于图6中。在流表模块创建流表项单元之后，第一输出模块根据设定的时间间隔输出创建的流表项单元储存的信息。另外网络装置6还可以进一步包括第二输出模块，同示于图6中。如果网络运行状态有变化，并且在与当前IP数据报文具有相同标识信息的IP数据报文中，网络设备对当前IP数据报文的操作信息与网络设备对前一IP数据报文的操作信息不同，则第二输出模块输出包含当前IP数据报文的标识信息的流表项单元在更新之前储存的内容。

使用本发明实施例的技术方案，对于稳定运行的网络，全局状态信息将不会再改变，始终与IP数据流表中的流状态信息保持一致，这样第二类IP数据流统计信息可以直接从当前流的统计结果中获取，而无需每个报文都进行耗时极大的查找3个查找表，提高了IP数据流信息统计的性能。同时，本发明实施例对IP数据流表结构作了改进，使得IP数据流表的索引的长度也大大减少，加快了IP数据流表的查找，同样提高了IP数据流信息统计的性能。此外，本发明实例在提高处理性能的同时，保证了实时反映网络真实状况，没有牺牲实时性。通过维护一个全局状态信息，每当网络运行状态发生变化，全局状态信息也随之更改，使全局状态信息与保存在每个流表项中的流状态信息不一致，从而显示出网络运行状态的变化，当统计一个数据流的后续报文时，检测到全局状态信息与流状态信息的不一致，就会得知网络运行状态发生了变化，从而重新获取当前流符合于当前网络运行状态第二类IP数据流统计信息并输出流表项在此时的更新之前的储存内容，从而做到实时反映网络运行状态。总之，采用本发明实施例的技术方案，因为极大的减少了稳定运行时的查表次数，并且采用了全局状态信息来标志网络运行状态的变化并根据该变化采取相应的对IP数据流信息的统计方式，所以极大的提高网络稳定运行时IP数据流信息统计性能，并且能实时反应网络运行状态的变化情况。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (11)

1、一种统计IP数据流信息的方法，其特征在于，包括：

判断流表中是否存在包含当前IP数据报文的标识信息的流表项；

若流表中不存在包含当前IP数据报文的标识信息的流表项，则创建流表项，创建的流表项包含当前IP数据报文的标识信息、当前IP数据报文所属IP数据流的统计数据和网络设备对具有所述标识信息的IP数据报文的操作信息；

若流表中存在包含当前IP数据报文的标识信息的流表项，则判断网络运行状态是否变化，

若网络运行状态没有变化，则更新所述流表项中的统计数据，

若网络运行状态有变化，则更新所述流表项中的统计数据和操作信息。

2、如权利要求1所述方法，其特征在于，所述判断流表中是否存在包含当前IP数据报文的标识信息的流表项之前包括创建全局状态信息并保存，以及若网络运行状态发生变化，则更新全局状态信息；

所述创建的流表项进一步包含流状态信息，流状态信息与创建该流表项时的全局状态信息相同；

所述判断网络运行状态是否变化包括判断流状态信息与当前全局状态信息是否相同。

3、如权利要求2所述方法，其特征在于，所述更新所述流表项中的统计数据和操作信息之后进一步包括：更新流状态信息，更新之后的流状态信息与当前全局状态信息相同。

4、如权利要求1所述方法，其特征在于，所述创建流表项之后进一步包括：

根据设定的时间间隔输出所述创建的流表项内容。

5、如权利要求1至4中任一权利要求所述方法，其特征在于，所述创建流表项之后进一步包括：

如果网络运行状态有变化，并且在与当前IP数据报文具有相同标识信息的IP数据报文中，网络设备对当前IP数据报文的操作信息与网络设备对前一IP数据报文的操作信息不同，则输出包含当前IP数据报文的标识信息的流表项在更新之前的内容。

6、如权利要求1所述方法，其特征在于，所述标识信息包括如下的一种或几种：源IP地址、目的IP地址、三层协议类型、TCP/UDP源端口、TCP/UDP目的端口、服务类型字节；

所述统计数据包括如下的一种或几种：IP数据流的起始时间、结束时间，IP数据报文的个数、最小长度、最大长度、最小生存时间、最大生存时间；

所述操作信息包括如下的一种或几种：IP数据流的目的接口、下一跳IP地址、源IP地址所对应的BGP域、目的IP地址所对应的BGP域、BGP下一跳地址。

7、一种统计IP数据流信息的装置，其特征在于，包括第一判断模块、第二判断模块和流表模块，其中：

所述第一判断模块，用于判断流表模块中是否存在包含当前IP数据报文的标识信息的流表项单元；

所述第二判断模块，用于判断网络运行状态是否变化；

所述流表模块，用于若不存在包含当前IP数据报文的标识信息的流表项单元，则创建流表项单元，并在创建的流表项单元中储存当前IP数据报文的标识信息、当前IP数据报文所属数据流的统计数据和网络设备对具有所述标识信息的IP数据报文的操作信息，

若存在包含当前IP数据报文的标识信息的流表项，则若网络运行状态没有变化，更新该流表项单元中的统计数据，若网络运行状态有变化，更新该流表项单元中的统计数据和操作信息。

8、如权利要求7所述装置，其特征在于，所述装置进一步包括存储模块，用于存储全局状态信息以及当网络运行状态发生变化时更新全局状态信息；

所述流表模块进一步用于创建流表项单元时在创建的流表项单元中储存流状态信息，流状态信息与创建流表项单元时的全局状态信息相同；

所述第二判断模块根据流状态信息与当前全局状态信息是否相同来判断网络运行状态是否变化。

9、如权利要求8所述装置，其特征在于，所述流表模块进一步用于在所述更新该流表项单元中的统计数据和操作信息之后更新流状态信息，更新之后的流状态信息与全局状态信息相同。

10、如权利要求7所述装置，其特征在于，所述装置进一步包括第一输出模块，用于：

在所述流表模块创建流表项单元之后，根据设定的时间间隔输出创建的流表项单元储存的信息。

11、如权利要求7至10中任一权利要求所述装置，其特征在于，所述装置进一步包括第二输出模块，用于：

如果网络运行状态有变化，并且在与当前IP数据报文具有相同标识信息的IP数据报文中，网络设备对当前IP数据报文的操作信息与网络设备对前一IP数据报文的操作信息不同，则输出包含当前IP数据报文的标识信息的流表项单元在更新之前储存的内容。

Images