CN101335709B - 在流量分析服务器之间实现负载分担的方法和分流设备 - Google Patents

Abstract

本发明公开了在流量分析服务器之间实现负载分担的方法，包括：分流设备上配置有流信息表，流信息表保存流标识和分流设备上与流量分析服务器连接的端口之间的对应关系；分流设备接收报文时，提取报文的流标识并判断流信息表中是否存在该流标识；如存在，分流设备将报文通过流信息表中所示的与提取的流标识对应的端口发送；如不存在，分流设备统计自身与不同流量分析服务器连接的各端口上的流速率，根据统计结果和各流量分析服务器的处理能力选择一个与流量分析服务器连接的端口，将报文通过该选择的端口发送，并将报文的流标识和所选择的端口对应保存到流信息表中。本发明的技术方案可以在流量分析服务器之间更均衡地分配负载，且可维护性较好。

Description

在流量分析服务器之间实现负载分担的方法和分流设备

技术领域

本发明涉及数据通信技术领域，尤指一种在流量分析服务器之间实现负载分担的方法和一种分流设备。

背景技术

随着当前互联网宽带用户规模的扩张和高速发展，宽带数据业务已经成为运营商的主要收入来源。但是在用户数量快速增长的同时，带宽滥用的现象，如P2P、VoIP和流媒体等业务极大的占用了运营商的带宽。因此对流量进行分析以及对用户行为进行分析已经迫在眉睫。

当前流量分析、用户行为分析所采用的技术主要是监控和阻断。其中，监控是指通过分光器将链路的上下行流量分别引到交换机的不同接口上，然后交换机把所述上下行流量分配到进行流量分析和用户行为分析的流量分析服务器的上下行网口，由流量分析服务器对流量进行分析处理。当网络链路上的流量较大时，一台流量分析服务器无法满足需求，就需要多台流量分析服务器共同进行流量分析处理。这样就出现一个流量负载分担的问题，即交换机如何将分光器引来的流量均衡地分配到多台流量分析服务器上进行处理，以达到有效利用资源的目的。

目前，在交换机上配置访问控制表(ACL，Access Control List)过滤器来达到分在分担的效果，造交换机上通过配置ACL过滤器把不同网段的流量分配到不同的流量分析服务器上进行处理。例如，当前有两个网段192.168.1.0/24和192.168.2.0/24的流量，则配置对应的ACL规则，将192.168.1.0/24网段的流量分配到流量分析服务器A进行处理，而将192.168.2.0/24网段的流量分配到另一个流量分析服务器B进行处理，以达到负载分担的效果。

但是，根据ACL过滤器将流量在各流量分析服务器之间进行负载分担的方案有如下的缺点：1)过滤器按照网段进行流量分配，无法达到流量均匀分配的效果，例如，当一个网段的用户流量较大，而其他网段的用户流量较小时就会出现流量分配不均匀的问题。而流量分配不均匀会造成有的流量分析服务器非常繁忙，导致处理不过来的现象出现，而有的流量分析服务器则很空闲，导致设备资源的浪费。2)当用户流量的网段有变化时，例如新增、修改网段时，需要重新获取用户流量的网段信息并人工更新ACL过滤器的配置，因此可维护性差。

发明内容

本发明主要提供了一种在流量分析服务器之间实现负载分担的方法，该方法可以在流量分析服务器之间更均衡地分配负载，且可维护性较好。

本发明还提供了一种分流设备，该分流设备能够在流量分析服务器之间更均衡地分配负载，且可维护性较好。

为达到上述目的，本发明的技术方案具体是这样实现的：

本发明公开了一种在流量分析服务器之间实现负载分担的方法，分流设备上配置有流信息表，所述流信息表用于保存流标识和所述分流设备上的与流量分析服务器连接的一对端口之间的对应关系，所述流标识为五元组信息，该方法包括：

所述分流设备在上行/下行入端口接收到报文时，提取所述报文的五元组作为所述报文所属流的流标识并判断流信息表中是否存在所述报文所属流的流标识；所述分流设备在下行/上行入端口接收到报文时，提取所述报文的五元组并将所提取五元组中的源IP地址和目的IP地址对调、将源端口和目的端口对调，将对调处理后的五元组作为所述报文所属流的流标识并判断流信息表中是否存在所述报文所属流的流标识；

如果所述流信息表中存在所述报文所属流的流标识，则分流设备通过流信息表中所示的与所述报文所属流的流标识所对应的一对端口中的上行出端口，将上行入端口所接收的报文发送到相应的流量分析服务器上；分流设备通过流信息表中所示的与所述报文所属流的流标识对应的一对端口中的下行出端口，将下行入端口所接收的报文发送到相应的流量分析服务器上；

如果所述流信息表中不存在所述报文所属流的流标识，则所述分流设备统计自身与不同流量分析服务器连接的各端口上的流速率，并根据统计结果和各流量分析服务器的处理能力，选择一个与流量分析服务器连接的上行出端口将上行入端口所接收的报文通过该选择的上行出端口发送到相应的流量分析服务器上、并将该报文所属流的流标识和选择的上行出端口以及对应于该上行出端口的下行出端口对应保存到所述流信息表中，选择一个与流量分析服务器连接的下行出端口将下行入端口所接收的报文通过该选择的下行出端口发送到相应的流量分析服务器上、并将该报文所属流的流标识和选择的下行出端口以及对应于该下行出端口的上行出端口对应保存到所述流信息表中；

其中，上行入端口用于分流设备接收链路上行流量报文；下行入端口用于分流设备接收链路下行流量报文；上行出端口用于分流设备向流量分析服务器发送链路上行流量报文；下行出端口用于分流设备向流量分析服务器发送链路下行流量报文。

根据与不同流量分析服务器连接的各端口上的流速率和各流量分析服务器的处理能力选择一个与流量分析服务器连接的上行/下行出端口包括：

根据各流量分析服务器的处理能力大小为各流量分析服务器分配相应的权值；

对于每个流量分析服务器，用分流设备上与该流量分析服务器连接的所有出端口上的流速率的总和与该流量分析服务器的权值之比作为该流量分析服务器的权值比；

从分流设备的与权值比最小的流量分析服务器连接的所有出端口中选择一个上行/下行出端口。

当进行在线流量分析时，该方法进一步包括：

在所述分流设备上配置转发表，所述转发表用于保存分流设备上接收截取流量的入端口和分流设备上将经过流分析处理后的流量转发回原链路上的转发端口之间的对应关系；

所述流信息表中进一步与五元组对应保存五元组所指流的上行流量的入端口信息和下行流量的入端口信息；

所述分流设备在执行所述将所述报文所属流的流标识和所述选择的端口对应保存到流信息表中时，还进一步将接收所述报文的入端口保存到流信息表中；

所述流量分析服务器进一步将从分流设备的上行出端口接收到的报文，在进行分析处理后从分流设备的下行出端口返回给分流设备；将从分流设备的下行出端口接收到的报文，在进行分析处理后从分流设备的上行出端口返回给分流设备；

所述分流设备在从下行/上行出端口接收到流量分析服务器返回的报文时，确定该报文为上行/下行流量报文，根据报文的五元组查找流信息表获得相应的上行/下行入端口，根据获得的上行/下行入端口查找转发表获得相应的转发端口，并将所述流量分析服务器从下行/上行出端口返回的报文从所获得的转发端口发送；所述分流设备在从上行/下行出端口接收到流量分析服务器返回的报文时，确定该报文为下行/上行流量报文，将该报文五元组信息中的源IP地址和目的IP地址对调、将源端口和目的端口对调，根据对调处理后的五元组查找流信息表获得相应的下行/上行入端口，根据获得的下行/上行入端口查找转发表获得相应的转发端口，并将所述流量分析服务器从上行/下行出端口返回的报文从所获得的转发端口发送。

本发明还公开了一种分流设备，该设备包括：

流信息表存储模块，用于保存流信息表，所述流信息表用于保存流标识和所述分流设备上的与流量分析服务器连接的一对端口之间的对应关系，所述流标识为五元组信息；

流统计模块，用于统计所述分流设备上与各流量分析服务器连接的各端口上的流速率；

流管理模块，用于在上行/下行入端口接收到报文时，提取所述报文的五元组作为所述报文所属流的流标识并判断流信息表中是否存在所述报文所属流的流标识；在下行/上行入端口接收到报文时，提取所述报文的五元组并将所提取五元组中的源IP地址和目的IP地址对调、将源端口和目的端口对调，将对调处理后的五元组作为所述报文所属流的流标识并判断流信息表中是否存在所述报文所属流的流标识；

如果所述流信息表中存在所述报文所属流的流标识，则通过流信息表中所示的与所述报文所属流的流标识所对应的一对端口中的上行出端口，将上行入端口所接收的报文发送到相应的流量分析服务器上；通过流信息表中所示的与所述报文所属流的流标识对应的一对端口中的下行出端口，将下行入端口所接收的报文发送到相应的流量分析服务器上；

如果所述流信息表中不存在所述报文所属流的流标识，则根据流统计模块的统计结果和各流量分析服务器的处理能力，选择一个与流量分析服务器连接的上行出端口将上行入端口所接收的报文通过该选择的上行出端口发送到相应的流量分析服务器上、并将该报文所属流的流标识和选择的上行出端口以及对应于该上行出端口的下行出端口对应保存到所述流信息表中，选择一个与流量分析服务器连接的下行出端口将下行入端口所接收的报文通过该选择的下行出端口发送到相应的流量分析服务器上、并将该报文所属流的流标识和选择的下行出端口以及对应于该下行出端口的上行出端口对应保存到所述流信息表中；

其中，上行入端口用于分流设备接收链路上行流量报文；下行入端口用于分流设备接收链路下行流量报文；上行出端口用于分流设备向流量分析服务器发送链路上行流量报文；下行出端口用于分流设备向流量分析服务器发送链路下行流量报文。

所述流管理模块，用于根据各流量分析服务器的处理能力大小为各流量分析服务器分配相应的权值；对于每个流量分析服务器，用分流设备上与该流量分析服务器连接的所有出端口上的流速率的总和与该流量分析服务器的权值之比作为该流量分析服务器的权值比；从分流设备的与权值比最小的流量分析服务器连接的所有出端口中选择一个上行/下行出端口。

当进行在线流量分析时，该分流设备进一步包括：转发表存储模块，用于保存转发表，所述转发表用于保存所述分流设备上接收截取流量的入端口和分流设备上将经过流分析处理后的流量转发回原链路上的转发端口之间的对应关系；

所述流信息表中进一步与五元组对应保存五元组所指流的上行流量的入端口信息和下行流量的入端口信息；

所述流管理模块，在执行所述将所述报文所属流的流标识和所述选择的端口对应保存到流信息表中时，还进一步将所述分流设备接收所述报文的入端口保存到流信息表中；进一步用于在从所述分流设备的下行/上行出端口接收到流量分析服务器返回的报文时，确定该报文为上行/下行流量报文，根据报文的五元组查找流信息表获得相应的上行/下行入端口，根据获得的上行/下行入端口查找转发表获得相应的转发端口，并将所述流量分析服务器从下行/上行出端口返回的报文从所获得的转发端口发送；进一步用于在从上行/下行出端口接收到流量分析服务器返回的报文时，确定该报文为下行/上行流量报文，将该报文五元组信息中的源IP地址和目的IP地址对调、将源端口和目的端口对调，根据对调处理后的五元组查找流信息表获得相应的下行/上行入端口，根据获得的下行/上行入端口查找转发表获得相应的转发端口，并将所述流量分析服务器从上行/下行出端口返回的报文从所获得的转发端口发送；

其中，流量分析服务器将从分流设备的上行出端口接收到的报文，在进行分析处理后从分流设备的下行出端口返回给分流设备；将从分流设备的下行出端口接收到的报文，在进行分析处理后从分流设备的上行出端口返回给分流设备。

由上述技术方案可见，本发明这种在分流设备上配置用于保存流标识和所述分流设备上的与流量分析服务器连接的端口之间的对应关系的流信息表，分流设备在接收到报文时，提取所述报文的流标识并判断流信息表中是否存在所述报文所属流的流标识；如果存在，则所述分流设备将所述报文通过流信息表中所示的与所述报文所属流的流标识所对应的端口发送到相应的流量分析服务器上；如果不存在，则分流设备统计自身与不同流量分析服务器连接的各端口上的流速率，根据统计结果和各流量分析服务器的处理能力选择一个与流量分析服务器连接的端口，将所述报文通过该选择的端口发送到相应的流量分析服务器上，并将所述报文所属流的流标识和所述选择的端口对应保存到所述流信息表中的技术方案，由于对每一条新到来的流，都采用流统计技术找出一个负载率低的流量分析服务器，将新到来的流发送到该流量分析服务器上，因此可以更均衡地在流量分析服务器之间实现负载分担。并且本发明的技术方案并不需要像现有的根据ACL过滤器实现负载分担的技术方案那样在用户流量的网段发生变化时需要进行人工操作，因此可维护性较好。

附图说明

图1是本发明一种在流量分析服务器之间实现负载分担的方法的流程图；

图2是本发明实施例中进行流量分析的一个旁路系统的组网示意图；

图3是在图2所示组网中的流量分析服务器之间实现负载分担的方法的流程图；

图4是本发明实施例中进行流量分析的一个旁路系统的又一组网示意图；

图5是本发明实施例中进行在线流量分析的一个组网示意图；

图6是本发明实施例一种分流设备的组成结构框图。

具体实施方式

图1是本发明一种在流量分析服务器之间实现负载分担的方法的流程图。如图1所示，该方法包括以下步骤：

步骤101，在分流设备上配置流信息表，所述流信息表用于保存流标识和所述分流设备上的与流量分析服务器连接的端口之间的对应关系。

本步骤中，所述的分流设备与两个以上的流量分析服务器连接，且初始时，流信息表为空。

步骤102，所述分流设备在接收到报文时，提取所述报文的流标识并根据所提取的流标识判断流信息表中是否存在所述报文所属流的流标识；如果存在则执行步骤103，如果不存在则执行步骤104。

本步骤中，报文的流标识可以是唯一识别一条的流的任何标识，例如报文的五元组信息就可以唯一地标识一条流。

步骤103，所述分流设备将所述报文通过流信息表中所示的与所述报文所属流的流标识所对应的端口发送到相应的流量分析服务器上。结束本流程。

步骤104，所述分流设备统计自身与不同流量分析服务器连接的各端口上的流速率，根据统计结果和各流量分析服务器的处理能力选择一个与流量分析服务器连接的端口，将所述报文通过该选择的端口发送到相应的流量分析服务器上，并将所述报文所属流的流标识和所述选择的端口对应保存到所述流信息表中。结束本流程。

本步骤中，对于一条新流(即该流的流标识在流信息表中还没有记录)，根据分流设备连接流量分析服务器的各端口上流速率以及各流量分析服务器的处理能力选择一个转发端口，将流发送到负载率相对低的流分析服务器上，从而使得在各流量分析服务器之间实现更均衡的负载分担。

在图1所示的方法中，分流设备可以为交换机、路由器、或者其他实现流量分配功能的安全产品。

为使本发明的目的、技术方案及优点更加清楚明白，以下列举具体实施例，对本发明进一步详细说明。

当流量分析过程中需要区分链路上下行流量，对上行流量和下行流量进行不同的分析处理时，分光器牵引至分流设备(如交换机)的流量即包括链路上行流量也包括链路下行流量。这里，链路的上行流量和下行流量泛指一条链路上的方向相反的流量。例如，对于A和B两个设备之间的链路，如果将A到B的流量称为上行流量，则B到A的流量就是下行流量，反之，如果将B到A流量称为上行流量，则A到B的流量就是下行流量。但在一些特定的情况下，上行/下行流量也特指链路的指定方向的流量，例如，对于用户终端设备与网络业务服务器之间的链路，上行流量一般指用户终端设备发送给网络中的业务服务器的流量，而下行流量一般指业务服务器发送给用户终端设备的流量。因此在本发明的以下实施例中还进一步针对链路的双向流量实现负载分担。

图2是本发明实施例中进行流量分析的一个旁路系统的组网示意图。如图2所示，该系统包括：分光器、分流设备和多个流量分析服务器(图2中只示意性地画出了两个流量分析服务器)。分光器用于将用户流量从用户链路牵引至分流设备，其中用户流量是双向流量，即包括链路上行流量也包括链路下行流量。分流设备与各流量分析服务器分别相连且，且对于每一个流量分析服务器，分流设备都有一对端口与其相连。分流设备将不同的用户流量根据一定的算法分配到各流量分析服务器进行分析处理。

在图2中，对于每一条链路，分光器都用两条光纤将该链路的上行流量和下行流线牵引至分流设备上的不同报文入端口，在图2中只示意出了分光器牵引来的链路一的上下行流量和链路二的上下行流量，分流设备上的报文入端口1～4与这四条流量分别对应。在本实施例中，为了针对链路的双向流量实现负载分担，将分流设备上的收来自分光器的流量报文的报文入端口划分为上行入端口组和下行入端口组，其中，上行入端口组中的端口用于接收分光器牵引来的链路上行流量报文，下行入端口组中的端口用于接收分光器牵引来的链路下行流量报文；将分流设备202上的向流量分析服务器发送流量报文的报文出端口划分为上行出端口组和下行出端口组，其中，上行出端口组中的端口用于向流量分析服务器发送链路上行流量报文，下行出端口组中的端口用于向流量分析服务器发送链路下行流量报文。

例如，在图2中示意出了分流设备的报文入端口：端口1、端口2、端口3和端口4，其中，端口1被配置为接收链路一的上行流量报文，端口2被配置为接收链路一的下行流量报文，端口3被配置为接收链路二的上行流量报文，端口4被配置为接收链路二的下行流量报文。图2中还示意出了分流设备的报文出端口：端口11、端口12、端口13和端口14，其中，端口11和端口12连接流量分析服务器1且将端口11和端口12分别配置为用于转发链路上行流量和链路下行流量，端口13和端口14连接流量分析服务器2且将端口13和端口14分别配置为用于向流量分析服务器2转发链路上行流量和链路下行流量。端口1、端口2、端口3和端口4是光口，端口11、端口12、端口13和端口14是电口。

则在图2中，端口1和端口3属于上行入端口组，端口2和端口4属于下行入端口组，端口11和端口13属于上行出端口组，端口12和端口14属于下行出端口组。

且在本实施例中将分流设备连接一台流量分析服务器的两个端口称为一个端口对，即在图2中，端口11和端口12为一个端口对，端口13和端口14为一个端口对。

在图2所示的分流设备上配置流信息表，该流信息表的每一个条目包括五元组信息和端口对信息，其中五元组信息用于唯一地标识一条流，其形式如表1所示：

表1

由于本实施例中涉及一条流的上下行流量，而一条流的上行和下行流量的五元组信息中的源IP地址和目的IP地址相反，同样源端口和目的端口也相反，因此，在本发明实施例中，以一条流的上行(或下行)流量的五元组信息为准为该条流创建如表1所示的流信息表，即以上行(或下行)流量的五元组作为该条流的流标识，则对于该流的下行(或上行)流量来说，按照将其源IP地址和目的IP地址对调，以及将其源端口和目的端口也对调后获得的五元组信息创建或查找流信息表。

基于上述配置，图2中的分流设备在各流量分析服务器之间实现均衡负载分担的流分配过程如图3所示。

图3是在图2所示组网中的流量分析服务器之间实现负载分担的方法的流程图，如图3所示，包括以下步骤：

步骤301，分光器将链路流量报文牵引至分流设备的报文入端口。

本步骤中，分光器牵引过来流量报文包括链路的双向流量报文。

步骤302，分流设备判断所接收的当前报文是否需要处理，是则执行步骤304，否则执行步骤303。

步骤303，分流设备通过ACL规则过滤掉不需要处理的当前报文。分流设备对当前报文的处理结束。

步骤304，分流设备提取当前报文的五元组信息，并通过查询流信息表判断流信息表中是否已存在当前报文所属流的五元组信息，是则执行步骤305，否则执行步骤308。

本步骤中，分流设备提取当前报文的五元组信息，并通过查询流信息表判断流信息表中是否已存在当前报文所属流的五元组信息具体为：如果当前报文是上行流量报文，则分流设备提取当前报文的五元组信息，并根据所提取的五元组查询流信息表判断流信息表中是否已存在相同的五元组信息；如果当前报文是下行流量报文，则分流设备提取当前报文的五元组信息，并将所提取五元组信息中的源IP地址和目的IP地址对调、将源端口和目的端口对调，并根据对调处理后的五元组查询流信息表判断流信息表中是否已存在相同的五元组。

步骤305，分流设备判断当前报文是否为链路上行流量报文，是则执行步骤306，否则执行步骤307。

本步骤中，分流设备通过查询上行入端口组或下行入端口组来判断当前报文是否为链路上行流量报文。例如，查询上行入端口组，如果在上行入端口组中查询到当前报文的入端口，则当前报文的入端口为上行入端口，当前报文为链路上行流量报文，反之没查询到，则当前报文的入端口为下行入端口，当前报文为链路下行流量报文。又例如，查询下行入端口组，如果在下行入端口组中查询到当前报文的入端口，则当前报文的入端口为下行入端口，当前报文为链路下行流量报文，反之没查询到，则当前报文的入端口为上行入端口，当前报文为链路上行流量报文。

步骤306，分流设备将当前报文通过流信息表中所示的与所提取的五元组信息所对应的端口对中的上行出端口发送至相应的流量分析服务器。分流设备对当前报文的处理结束。

步骤307，分流设备将当前报文通过流信息表中所示的与所提取并进行对调处理后的五元组信息所对应的端口对中的下行出端口发送至相应的流量分析服务器。分流设备对当前报文的处理结束。

步骤308，分流设备判断当前报文是否为链路上行流量报文，是则执行步骤309，否则执行步骤311。

本步骤中，分流设备判断当前报文是否为链路上行流量报文的方式与步骤305中的判断过程相同。

步骤309，分流设备统计自身与各流量分析服务器连接的各报文出端口上的流速率，根据统计结果和各流量分析服务器的处理能力选择一个与流量分析服务器连接的属于上行出端口组的上行出端口，将当前报文通过该选择的上行出端口发送到相应的流量分析服务器。

本步骤中，分流设备统计自身与各流量分析服务器连接的各报文出端口上的流速率，根据统计结果和各流量分析服务器的处理能力选择一个与流量分析服务器连接的属于上行出端口组的上行出端口具体可以为：根据各流量分析服务器的处理能力大小为各流量分析服务器分配相应的权值，例如，流量分析服务器A的流处理性能为100M，而流量分析服务器B的流处理性能为1000M，则为A分配权值1，为B分配权值10；对于每个流量分析服务器，用分流设备上与该流量分析服务器连接的所有出端口上的流速率的总和与该流量分析服务器的权值之比作为该流量分析服务器的权值比，即流量分析服务器A的权值比＝(分流设备上与流量分析服务器连接的上行出端口的流速率+分流设备上与流量分析服务器连接的下行出端口的流)/流量分析服务器A的权值；选择分流设备上与权值比最小的流量分析服务器连接的端口状态为“UP”的上行出端口。

本步骤中，如果权值比最小的流量分析服务器为多个，则可以随机选择其中的一个。

需要说明的是，状态为“UP”的端口即为状态完好、无故障的端口，本实施例中考虑从状态为“UP”的端口中选择发送当前报文的端口，这样可以避免最终选择到状态为“DOWN”的端口(状态为DOWN的端口的流速率为0，因此相应流量分析服务器的权值比很可能是最小的)，而导致当前报文发送不出去，或者丢失。

步骤310，分流设备将当前报文的五元组信息和转发当前报文的端口所对应的端口对信息对应保存到流信息表中。分流设备对当前报文的处理结束。

本步骤，转发当前报文的端口所对应的端口对信息包括：转发当前报文的上行出端口标识以及与该上行出端口对应(即连接到同一个流量分析服务的另一个端口)的下行出端口的标识。

步骤311，分流设备统计自身与各流量分析服务器连接的各报文出端口上的流速率，根据统计结果和各流量分析服务器的处理能力选择一个与流量分析服务器连接的属于下行出端口组的下行出端口，将当前报文通过该选择的下行出端口发送到相应的流量分析服务器。

本步骤中的端口选择过程与步骤309中的端口选择过程相同，只是最后选择的是分流设备上与权值比最小的流量分析服务器连接的下行出端口。

步骤312，分流设备将当前报文的对调处理后的五元组信息和转发当前报文的端口所对应的端口对信息对应保存到流信息表中。分流设备对当前报文的处理结束。

本步骤，转发当前报文的端口所对应的端口对信息包括：转发当前报文的下行出端口标识以及与该下行出端口对应(即连接到同一个流量分析服务的另一个端口)的上行出端口的标识。

在图3所示的负载分担实现方法中，可以采用老化机制维护流信息表。例如，流信息表中的某一条流在一定时间(如2分钟)内流速率为0，则老化此条流信息。

通过图3所示的方案可以在图2所示的流量分析服务器之间实现双向流量的负载分担，且该方案相对现有的基于ACL过滤器实现负载分担的方案，有效地解决了负载分担不均衡的问题，从而使得所有流量分析服务器都出于相同的负载压力下，最大限度地利用了设备的使用性能；并且实现了链路上下行流量的分开监控和分析，从而使得流量分析服务器的分析结果更加准确；较好地实现了不同处理能力的流量分析服务器的集群，能够很好地防止个别服务器处于过载状态。

图4是本发明实施例中进行流量分析的一个旁路系统的又一组网示意图。如图4所示，该组网与图2所示组网的区别仅在于：分流设备与每个流量分析服务器只通过一个报文出端口连接。此时，只需要将上行出端口组和下行出端口组都配置为{端口11，端口13}，流量分析服务器1的端口对配置为{端口11，端口11}，流量分析服务器2端口对配置为{端口13，端口13}后，图3所示的方法流程仍适用于图4所示的组网。

在实际当中，除了通过分光器将流量牵引至旁路系统中进行流量分析处理以外，还可以进行在线的流量分析处理。

图5是本发明实施例中进行在线流量分析的一个组网示意图。如图5所示，该组网与图2所示旁路系统的区别在于，链路的流量不再由分光器牵引至分流设备，而是分流设备直接进行在线截流，将流量发送到流量分析服务器进行处理，流量分析分析服务器将处理完的流量返回给分流设备，分流设备再转发该流量。因此，本实施例中为了保证分流设备从某条链路上截的流，在进行流分析处理后还将该流转发到同一条链路上去，需要在流信息表中增加入端口信息，其中入端口即为分流设备截流时接收流的入端口，包括：接收一条流的上行流量的上行入端口和接收该流的下行流量的下行入端口。本实施例中，分流设备根据流量的入端口查找转发表即可获得将进行流分析处理后的流转发回相应链路上转发端口。在本实施例中，流信息表如表2所示：

表2

需要说明的是，在图5所示的实施例中，除了上述分流设备将所截的流进行分析处理后还要转发到相应的链路上之外，分流设备将所接收的流量如何在各流量分析服务器之间进行分配实现负载分担的方案与上述图2、图3中所述的方案相同。

前面提到，分流设备根据流量的入端口查找转发表即可获得将进行流分析处理后的流转发回相应链路上的转发端口，这里转发表中保存的就是分流设备上接收截取流量的入端口和分流设备上将经过流分析处理后的流量转发回原链路上的转发端口之间的对应关系。一条流的上行流量或下行流量在分流设备上的入端口和转发端口之间的对应关系由实际网络的组网决定，因此本实施例在分流设备中预先配置用于保存流量入端口和转发端口之间对应关系的转发表。例如，分流设备在第一设备和第二设备之间截取由第一设备到第二设备的流量，则将分流设备与第一设备连接的端口作为入端口、将分流设备与第二设备连接的端口作为转发端口对应存到转发表中；如果分流设备还截取由第二设备到第一设备的流量，则将分流设备与第二设备连接的端口作为入端口、将分流设备与第一设备连接的端口作为转发端口对应存到转发表中，以此类推。

在图5所示实施例中以链路一的流量为例进行说明，这里链路一指设备A和设备B之间的链路，且链路一上行流量指设备A到设备B的流量，链路一下行流量则指设备B到设备A的流量，分流设备的端口1与设备A连接，分流设备的端口2与设备B连接。由于分流设备截取了链路一上行流量则端口1和端口2被对应保存到转发表中，分流设备还截取了链路二下行流量，则端口2和端口1被对应保存到转发表中。且各流量分析服务器将从分流设备的上行出端口接收到的报文，在经过流分析处理后通过分流设备的下行出端口返回给分流设备，将从分流设备的下行出端口接收到的报文，，在经过流分析处理后通过分流设备的上行出端口返回给分流设备。

则在图5中，当分流设备从端口1接收到链路一上行流量时，所执行的操作与图3中所示的步骤302～312相同，此外，分流设备还将端口1作为链路一上行流量的入端口保存到流信息表中。这里假设分流设备经过步骤302～312的处理将链路一上行流量报文从端口11发送到流量分析服务器，则流量分析服务器对链路一上行流量的报文进行分析处理后通过端口12返回给分流设备，分流设备提出从端口12所接收流的五元组，并且由于端口12是下行出端口，因此所接收的流应该是上行流量，则根据“五元组+上行”查找相应的流信息表项，获知上行入端口为端口1，再根据端口1查找转发表获知转发端口为端口2，则分流设备将从端口12接收到的链路一的上行流量报文从端口2转发出去。

同样，当分流设备从端口2接收链路一下行流量时，所执行的操作与图3中所示的步骤302～312相同，此外，分流设备还将端口2作为链路一下行流量的入端口保存到流信息表中。设分流设备经过步骤302～312的处理将链路一下行流量报文从端口12发送到流量分析服务器，则流量分析服务器对链路一上行流量的报文进行分析处理后通过端口11返回给分流设备，分流设备提出从端口11所接收流的五元组，并且由于端口11是上行出端口，因此确定所接收的流是下行流量，则根据“五元组+下行”查找相应的流信息表项，获知下行入端口为端口2，再根据端口2查找转发表获知转发端口为端口1，则分流设备将从端口11接收到的链路一的下行流量报文从端口1转发出去。

此外，在实际当中，同一条流的上下行流量可能会走不同的链路，例如，当设备A和设备B还通过设备C连接时，A到B的上行流量走A-B链路，而B到A的下行流量可能走B-C-A链路。本领域的技术人员根据上述实施例可以容易的知道本发明的上述方案同样适用于此种情况。

基于上述实施例，下面给出本发明一种分流设备的组成结构框图。

图6是本发明实施例一种分流设备的组成结构框图。如图6所示，该分流设备包括：流信息表存储模块601，流管理模块602和流统计模块603，其中：

流信息表存储模块601，用于保存流信息表，所述流信息表用于保存流标识和所述分流设备上的与流量分析服务器连接的端口之间的对应关系；

流统计模块603，用于统计所述分流设备上与各流量分析服务器连接的各端口上的流速率；

流管理模块602，用于在所述分流设备接收到报文时，提取所述报文的流标识并根据所提取的流标识判断流信息表中是否存在所述报文所属流的流标识；如果所述流信息表中存在所述报文所属流的流标识，则将所述报文通过流信息表中所示的与所述报文所属流的流标识所对应的端口发送到相应的流量分析服务器上；如果所述流信息表中不存在所述报文所属流的流标识，则从流统计模块获取所述分流设备与不同流量分析服务器连接的各端口上的流速率，根据各端口上的流速率和各流量分析服务器的处理能力选择一个与流量分析服务器连接的端口，将所述报文通过该选择的端口发送到相应的流量分析服务器上，并将所述报文所属流的流标识和所述选择的端口对应保存到所述流信息表中。

如图6所示，该分流设备进步包括：端口组列表存储模块604，用于保存上行入端口组列表、下行入端口组列表、上行出端口组列表和下行出端口组列表；其中，所述上行入端口组列表用于保存所述分流设备上用于接收链路上行流量报文的入端口标识；所述下行入端口组列表用于保存所述分流设备上用于接收链路下行流量报文的入端口标识；所述上行出端口组列表用于保存所述分流设备上用于发送链路上行流量报文的出端口标识；所述下行出端口组列表用于保存所述分流设备上用于发送链路下行流量报文的出端口标识。对于每一个流量分析服务器，所述分流设备都有一对端口与该流量分析服务器相连，且所述一对端口中的一个端口为上行出端口组中端口，另一个端口为下行出端口中的端口。所述流标识为五元组信息。

流信息表存储模块601中保存的流信息表用于保存五元组信息和所述分流设备上与流量分析服务器连接的一对端口之间的对应关系；流管理模块602，用于在所述分流设备接收到报文时，查询所述上行入端口组和下行入端口组，如果在上行入端口组列表中查询到所述报文的入端口的标识，则确定所述报文的入端口为上行入端口，反之，如果在下行入端口组列表中查询到所述报文的入端口的标识，则确定所述报文的入端口为下行入端口；当所述报文的入端口是上行/下行入端口时，提取所述报文的五元组作为所述报文所属流的流标识并判断流信息表中是否存在所述报文所属流的流标识，是则，将所述报文通过流信息表中所示的与所述报文所属流的流标识所对应的一对端口中的上行/下行出端口发送出去；当所述报文的入端口是下行/上行入端口时，提取所述报文的五元组，并将所提取五元组中的源IP地址和目的IP地址对调、将源端口和目的端口对调，将对调处理后的五元组作为所述报文所属流的流标识并判断流信息表中是否存在所述报文所属流的流标识，是则，将所述报文通过流信息表中所示的与所述报文所属流的流标识所对应的一对端口中的下行/上行出端口发送出去。

在图6中，流管理模块602，在分流设备接收所述报文的入端口为上行入端口，且在判断出流信息表中不存在所述报文所属流的流标识时，进一步根据各出端口上的流速率和各流量分析服务器的处理能力选择一个与流量分析服务器连接的属于上行出端口组的上行出端口，并将所述报文所属流的流标识和所述选择的上行出端口和对应于该上行出端口的下行出端口保存到所述流信息表中；在分流设备接收所述报文的入端口为下行入端口，且在判断出流信息表中不存在所述报文所属流的流标识时，根据各出端口上的流速率和各流量分析服务器的处理能力选择一个与流量分析服务器连接的属于下行出端口组的下行出端口，并将所述报文所属流的流标识和所述选择的下行出端口和对应于该上行出端口的下行出端口保存到所述流信息表中。

在图6中，流管理模块602，用于根据各流量分析服务器的处理能力大小为各流量分析服务器分配相应的权值；对于每个流量分析服务器，用分流设备上与该流量分析服务器连接的所有出端口上的流速率的总和与该流量分析服务器的权值之比作为该流量分析服务器的权值比；从分流设备的与权值比最小的流量分析服务器连接的所有出端口中选择一个端口。

在图6中，当进行在线流量分析时，该分流设备进一步包括：转发表存储模块605，用于保存转发表，所述转发表用于保存所述分流设备上接收截取流量的入端口和分流设备上将经过流分析处理后的流量转发回原链路上的转发端口之间的对应关系；所述流信息表中进一步与五元组对应保存五元组所指流的上行流量的入端口信息和下行流量的入端口信息；

流管理模块602，在执行所述将所述报文所属流的流标识和所述选择的端口对应保存到流信息表中时，还进一步将所述分流设备接收所述报文的入端口保存到流信息表中；进一步用于在从所述分流设备的下行/上行出端口接收到流量分析服务器返回的报文时，确定该报文为上行/下行流量报文，根据报文的五元组查找流信息表获得相应的上行/下行入端口，根据获得的上行/下行入端口查找转发表获得相应的转发端口，并将所述流量分析服务器从下行/上行出端口返回的报文从所获得的转发端口发送；进一步用于在从上行/下行出端口接收到流量分析服务器返回的报文时，确定该报文为下行/上行流量报文，将该报文五元组信息中的源IP地址和目的IP地址对调、将源端口和目的端口对调，根据对调处理后的五元组查找流信息表获得相应的下行/上行入端口，根据获得的下行/上行入端口查找转发表获得相应的转发端口，并将所述流量分析服务器从上行/下行出端口返回的报文从所获得的转发端口发送。其中，流量分析服务器将从分流设备的上行出端口接收到的报文，在进行分析处理后从分流设备的下行出端口返回给分流设备；将从分流设备的下行出端口接收到的报文，在进行分析处理后从分流设备的上行出端口返回给分流设备。

综上所述，本发明这种在分流设备上配置用于保存流标识和所述分流设备上的与流量分析服务器连接的端口之间的对应关系的流信息表，分流设备在接收到报文时，提取所述报文的流标识并根据所提取的流标识判断流信息表中是否存在所述报文所属流的流标识；如果存在，则所述分流设备将所述报文通过流信息表中所示的与所述报文所属流的流标识所对应的端口发送到相应的流量分析服务器上；如果不存在，则分流设备统计自身与不同流量分析服务器连接的各端口上的流速率，根据统计结果和各流量分析服务器的处理能力选择一个与流量分析服务器连接的端口，将所述报文通过该选择的端口发送到相应的流量分析服务器上，并将所述报文所属流的流标识和所述选择的端口对应保存到所述流信息表中的技术方案，由于对每一条新到来的流，都采用流统计技术找出一个负载率低的流量分析服务器，将新到来的流发送到该流量分析服务器上，因此可以更均衡地在流量分析服务器之间实现负载分担。并且本发明的技术方案并不需要像现有的根据ACL过滤器实现负载分担的技术方案那样在用户流量的网段发生变化时需要进行人工操作，因此可维护性较好。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围，凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种在流量分析服务器之间实现负载分担的方法，其特征在于，分流设备上配置有流信息表，所述流信息表用于保存流标识和所述分流设备上的与流量分析服务器连接的一对端口之间的对应关系，所述流标识为五元组信息，该方法包括：

所述分流设备在上行/下行入端口接收到报文时，提取所述报文的五元组作为所述报文所属流的流标识并判断流信息表中是否存在所述报文所属流的流标识；所述分流设备在下行/上行入端口接收到报文时，提取所述报文的五元组并将所提取五元组中的源IP地址和目的IP地址对调、将源端口和目的端口对调，将对调处理后的五元组作为所述报文所属流的流标识并判断流信息表中是否存在所述报文所属流的流标识；

如果所述流信息表中存在所述报文所属流的流标识，则分流设备通过流信息表中所示的与所述报文所属流的流标识所对应的一对端口中的上行出端口，将上行入端口所接收的报文发送到相应的流量分析服务器上；分流设备通过流信息表中所示的与所述报文所属流的流标识对应的一对端口中的下行出端口，将下行入端口所接收的报文发送到相应的流量分析服务器上；

如果所述流信息表中不存在所述报文所属流的流标识，则所述分流设备统计自身与不同流量分析服务器连接的各端口上的流速率，并根据统计结果和各流量分析服务器的处理能力，选择一个与流量分析服务器连接的上行出端口将上行入端口所接收的报文通过该选择的上行出端口发送到相应的流量分析服务器上、并将该报文所属流的流标识和选择的上行出端口以及对应于该上行出端口的下行出端口对应保存到所述流信息表中，选择一个与流量分析服务器连接的下行出端口将下行入端口所接收的报文通过该选择的下行出端口发送到相应的流量分析服务器上、并将该报文所属流的流标识和选择的下行出端口以及对应于该下行出端口的上行出端口对应保存到所述流信息表中；

其中，上行入端口用于分流设备接收链路上行流量报文；下行入端口用于分流设备接收链路下行流量报文；上行出端口用于分流设备向流量分析服务器发送链路上行流量报文；下行出端口用于分流设备向流量分析服务器发送链路下行流量报文。

2.如权利要求1所述的方法，其特征在于，根据与不同流量分析服务器连接的各端口上的流速率和各流量分析服务器的处理能力选择一个与流量分析服务器连接的上行/下行出端口包括：

根据各流量分析服务器的处理能力大小为各流量分析服务器分配相应的权值；

对于每个流量分析服务器，用分流设备上与该流量分析服务器连接的所有出端口上的流速率的总和与该流量分析服务器的权值之比作为该流量分析服务器的权值比；

从分流设备的与权值比最小的流量分析服务器连接的所有出端口中选择一个上行/下行出端口。

3.如权利要求1所述的方法，其特征在于，当进行在线流量分析时，该方法进一步包括：

在所述分流设备上配置转发表，所述转发表用于保存分流设备上接收截取流量的入端口和分流设备上将经过流分析处理后的流量转发回原链路上的转发端口之间的对应关系；

所述流信息表中进一步与五元组对应保存五元组所指流的上行流量的入端口信息和下行流量的入端口信息；

所述分流设备在执行所述将所述报文所属流的流标识和所述选择的端口对应保存到流信息表中时，还进一步将接收所述报文的入端口保存到流信息表中；

所述流量分析服务器进一步将从分流设备的上行出端口接收到的报文，在进行分析处理后从分流设备的下行出端口返回给分流设备；将从分流设备的下行出端口接收到的报文，在进行分析处理后从分流设备的上行出端口返回给分流设备；

所述分流设备在从下行/上行出端口接收到流量分析服务器返回的报文时，确定该报文为上行/下行流量报文，根据报文的五元组查找流信息表获得相应的上行/下行入端口，根据获得的上行/下行入端口查找转发表获得相应的转发端口，并将所述流量分析服务器从下行/上行出端口返回的报文从所获得的转发端口发送；所述分流设备在从上行/下行出端口接收到流量分析服务器返回的报文时，确定该报文为下行/上行流量报文，将该报文五元组信息中的源IP地址和目的IP地址对调、将源端口和目的端口对调，根据对调处理后的五元组查找流信息表获得相应的下行/上行入端口，根据获得的下行/上行入端口查找转发表获得相应的转发端口，并将所述流量分析服务器从上行/下行出端口返回的报文从所获得的转发端口发送。

4.一种分流设备，其特征在于，该设备包括：

流信息表存储模块，用于保存流信息表，所述流信息表用于保存流标识和所述分流设备上的与流量分析服务器连接的一对端口之间的对应关系，所述流标识为五元组信息；

流统计模块，用于统计所述分流设备上与各流量分析服务器连接的各端口上的流速率；

流管理模块，用于在上行/下行入端口接收到报文时，提取所述报文的五元组作为所述报文所属流的流标识并判断流信息表中是否存在所述报文所属流的流标识；在下行/上行入端口接收到报文时，提取所述报文的五元组并将所提取五元组中的源IP地址和目的IP地址对调、将源端口和目的端口对调，将对调处理后的五元组作为所述报文所属流的流标识并判断流信息表中是否存在所述报文所属流的流标识；

如果所述流信息表中存在所述报文所属流的流标识，则通过流信息表中所示的与所述报文所属流的流标识所对应的一对端口中的上行出端口，将上行入端口所接收的报文发送到相应的流量分析服务器上；通过流信息表中所示的与所述报文所属流的流标识对应的一对端口中的下行出端口，将下行入端口所接收的报文发送到相应的流量分析服务器上；

如果所述流信息表中不存在所述报文所属流的流标识，则根据流统计模块的统计结果和各流量分析服务器的处理能力，选择一个与流量分析服务器连接的上行出端口将上行入端口所接收的报文通过该选择的上行出端口发送到相应的流量分析服务器上、并将该报文所属流的流标识和选择的上行出端口以及对应于该上行出端口的下行出端口对应保存到所述流信息表中，选择一个与流量分析服务器连接的下行出端口将下行入端口所接收的报文通过该选择的下行出端口发送到相应的流量分析服务器上、并将该报文所属流的流标识和选择的下行出端口以及对应于该下行出端口的上行出端口对应保存到所述流信息表中；

其中，上行入端口用于分流设备接收链路上行流量报文；下行入端口用于分流设备接收链路下行流量报文；上行出端口用于分流设备向流量分析服务器发送链路上行流量报文；下行出端口用于分流设备向流量分析服务器发送链路下行流量报文。

5.如权利要求4所述的分流设备，其特征在于，

所述流管理模块，用于根据各流量分析服务器的处理能力大小为各流量分析服务器分配相应的权值；对于每个流量分析服务器，用分流设备上与该流量分析服务器连接的所有出端口上的流速率的总和与该流量分析服务器的权值之比作为该流量分析服务器的权值比；从分流设备的与权值比最小的流量分析服务器连接的所有出端口中选择一个上行/下行出端口。

6.如权利要求5所述的分流设备，其特征在于，当进行在线流量分析时，该分流设备进一步包括：转发表存储模块，用于保存转发表，所述转发表用于保存所述分流设备上接收截取流量的入端口和分流设备上将经过流分析处理后的流量转发回原链路上的转发端口之间的对应关系；

所述流信息表中进一步与五元组对应保存五元组所指流的上行流量的入端口信息和下行流量的入端口信息；

所述流管理模块，在执行所述将所述报文所属流的流标识和所述选择的端口对应保存到流信息表中时，还进一步将所述分流设备接收所述报文的入端口保存到流信息表中；进一步用于在从所述分流设备的下行/上行出端口接收到流量分析服务器返回的报文时，确定该报文为上行/下行流量报文，根据报文的五元组查找流信息表获得相应的上行/下行入端口，根据获得的上行/下行入端口查找转发表获得相应的转发端口，并将所述流量分析服务器从下行/上行出端口返回的报文从所获得的转发端口发送；进一步用于在从上行/下行出端口接收到流量分析服务器返回的报文时，确定该报文为下行/上行流量报文，将该报文五元组信息中的源IP地址和目的IP地址对调、将源端口和目的端口对调，根据对调处理后的五元组查找流信息表获得相应的下行/上行入端口，根据获得的下行/上行入端口查找转发表获得相应的转发端口，并将所述流量分析服务器从上行/下行出端口返回的报文从所获得的转发端口发送；

其中，流量分析服务器将从分流设备的上行出端口接收到的报文，在进行分析处理后从分流设备的下行出端口返回给分流设备；将从分流设备的下行出端口接收到的报文，在进行分析处理后从分流设备的上行出端口返回给分流设备。

Images