CN101764752B - 远程集中镜像管理的方法和系统 - Google Patents

Abstract

本发明公开了一种远程集中镜像管理的方法和系统，应用于包括集中管理中心与一个或多个数据中心的系统，该方法包括：集中管理中心的路由器接收来自数据中心通过GRE隧道发送的镜像流量，并在与所述GRE隧道对应的VPN实例中查找下一跳路由，将镜像流量向集中管理中心的交换机上对应的VLAN接口发送；所述集中管理中心的交换机通过VLAN接口接收到镜像流量后，通过与所述监控设备连接的VLAN接口将所述镜像流量向所述监控设备发送。本发明实现了远程端口镜像监控和管理的三层网络实现。

Description

远程集中镜像管理的方法和系统

技术领域

本发明涉及通信领域，尤其涉及一种远程集中镜像管理的方法和系统。 

背景技术

数据中心是全球协作的特定设备网络，用来在Internet网络基础设施上加速信息的传递。由于数据中心直接面向互联网或者是专用的网络，数据中心容易遭受各种网络攻击，例如DDOS(Distribution Denial of Service，分布式拒绝服务)网络攻击、或者非法访问网络攻击。为了使数据中心能够及时对网络攻击做出准确应对，通常需要利用端口镜像的技术对数据中心接收的来自公网的流量进行实时分析和监控。 

端口镜像(Port Mirroring)是把交换机上一个或多个端口的数据镜像到其他一个或多个端口的方法，例如交换机把某一个端口接收或发送的数据帧完全相同的复制给另一个端口，其中数据帧被复制的端口称为镜像源端口，接收复制的数据帧的端口称为镜像目的端口。 

现有技术中，端口镜像的技术分为本地端口镜像和远程端口镜像。如图1所示，本地端口镜像是将交换机的一个或多个源端口的报文复制到本设备的一个或多个目的端口，根据复制得到的报文对原报文监控和分析，其中镜像源端口和镜像目的端口位于同一设备；远程端口镜像中镜像源端口和镜像目的端口位于不同设备，由镜像源端口所在设备以外的设备对镜像源端口所在设备通过镜像源端口收发的报文进行监控和分析。 

目前远程端口镜像使用VLAN(Virtual Local Area Network，虚拟局域网)技术，将镜像源设备、镜像目的设备、以及两者之间构成镜像流量通路的所有中间设备一起组成一个VLAN，该VLAN称为镜像VLAN。镜像源设备将镜像源端口报文封装一个802.1Q协议规定的镜像VLAN标签，然后通过镜像VLAN转发至镜像目的设备，镜像目的设备接收到携带镜像VLAN标签的报文 后，剥离其携带的镜像VLAN标签，将其还原为原始报文发送给监控设备进行监控或者分析。 

随着数据中心应用规模的不断增大，出现了同一个核心城市部署多个数据中心机房，甚至全国各地部署大量数据中心机房的情形。这些分布式数据中心的典型组网如图2所示。这些数据中心机房从物理位置上虽然相互独立，但是数据中心强调统一管理，需要有同一管理中心对所有数据中心进行统一管理，如图3所示的数据中心远程集中管理示意图。然而，由于现有的远程镜像技术局限于二层网络，无法穿越三层网络实现镜像功能，从而难以实现对分布式数据中心的统一管理。 

发明内容

本发明提供了一种远程集中镜像管理的方法和系统，以实现远程端口镜像监控和管理的三层网络实现。 

本发明提供了一种远程集中镜像管理的方法，应用于包括集中管理中心与一个或多个数据中心的系统，所述数据中心与集中管理中心之间分别通过广域网连接，并通过通用路由协议封装GRE隧道进行镜像流量的传输，所述数据中心包括服务器、数据交换机与数据路由器，数据交换机上配置镜像源端口与镜像目的端口，镜像目的端口连接数据路由器，在数据路由器上配置与所述集中管理中心连接的GRE隧道；所述集中管理中心包括路由器、交换机与作为监控设备的服务器，所述集中管理中心的路由器配置分别与每一GRE隧道绑定的多个虚拟专用网VPN实例，每一VPN实例的下一跳路由缺省为与该路由器相连接的交换机上的虚拟局域网VLAN接口；所述该集中管理中心的交换机上每一VLAN仅包括与所述集中管理中心的路由器连接的VLAN接口和与所述监控设备连接的VLAN接口；该方法进一步包括： 

所述集中管理中心的路由器接收来自数据中心通过GRE隧道发送的镜像流量，并在与所述GRE隧道对应的VPN实例中查找下一跳路由，将镜像流量向所述集中管理中心的交换机上对应的VLAN接口发送； 

所述集中管理中心的交换机通过VLAN接口接收到镜像流量后，通过与 所述监控设备连接的VLAN接口将所述镜像流量向所述监控设备发送。 

所述集中管理中心的路由器接收来自数据中心通过GRE隧道发送的镜像流量之前，还包括： 

所述数据中心的交换机将镜像源端口的流量复制到镜像目的端口发送； 

所述数据中心的路由器接收所述数据中心的交换机发送的镜像流量，通过所述GRE隧道向所述集中管理中心的路由器发送镜像流量。 

所述数据中心的路由器配置转发表项的下一跳路由缺省为所述GRE隧道的出接口。 

所述集中管理中心的交换机通过VLAN接口接收到镜像流量后，通过与所述监控设备连接的VLAN接口将所述镜像流量向所述监控设备发送包括： 

所述集中管理中心的交换机通过VLAN接口接收到镜像流量时，为所述镜像流量加上VLAN标签； 

所述集中管理中心的交换机查找与所述VLAN标签对应的另一VLAN接口，在该VLAN接口去掉所述VLAN标签后将镜像流量向所述监控设备发送。 

所述集中管理中心的交换机上配置多个VLAN分别与每一数据中心的镜像VLAN对应。 

本发明提供一种远程集中镜像管理的方法，应用于包括集中管理中心与一个或多个数据中心的系统，所述数据中心与集中管理中心之间分别通过广域网进行连接，且通过通用路由协议封装GRE隧道进行远程集中配置管理，所述集中管理中心包括路由器、交换机与作为配置管理设备的服务器，所述集中管理中心的交换机上为每一数据中心配置基于接入控制列表ACL策略的配置管理VLAN，所述集中管理中心的路由器上配置与每一配置管理VLAN对应的VPN实例，每一VPN实例中转发表项的下一跳路由缺省为GRE隧道出接口；所述数据中心包括路由器、交换机以及对数据中心进行管理的服务器，所述数据中心的路由器上配置与GRE隧道接口绑定的VPN实例，该VPN实例中转发表项的下一跳路由缺省为所述数据中心的交换机；该方法进一步包括： 

所述集中管理中心的交换机接收所述配置管理设备发送的配置管理数据流，根据所述配置管理数据流的目的地址段查找对应的所述ACL策略，获取对应的配置管理VLAN，通过VLAN接口发送所述配置管理数据流； 

所述集中管理中心的路由器接收所述配置管理数据流，根据所述配置管理数据流对应的配置管理VLAN获取对应的VPN实例，根据VPN实例中的下一跳路由通过与之绑定的GRE隧道发送所述配置管理数据流； 

所述数据中心的路由器接收所述配置管理数据流后，查找与所述配置管理数据流的GRE隧道入接口绑定的VPN实例，根据该VPN实例中的下一跳路由向所述数据中心的交换机发送所述配置管理数据流； 

所述数据中心的交换机根据配置管理VLAN将所述配置管理数据流向对应的设备发送。 

所述根据所述配置管理数据流的目的地址段查找对应的所述ACL策略，获取对应的配置管理VLAN，通过VLAN接口发送所述配置管理数据流包括： 

所述集中管理中心的交换机在ACL中存储目的地址段与配置管理VLAN的对应关系，获取与所述配置管理数据流的目的地址段对应的配置管理VLAN； 

所述集中管理中心的交换机为所述配置管理数据流加上所述对应的配置管理VLAN标签，通过与所述配置管理VLAN对应的VLAN接口发送所述配置管理数据流。 

所述数据中心的交换机根据配置管理VLAN将所述配置管理数据流向对应的设备发送之前，还包括：所述数据中心的交换机配置与配置管理VLAN对应的VLAN接口，通过该VALN接口接收所述数据中心的路由器发送的配置管理数据流； 

所述数据中心的交换机根据配置管理VLAN将所述配置管理数据流向对应的设备发送包括：当所述数据中心的交换机通过所述配置管理VLAN对应的VLAN接口接收到配置管理数据流时，所述数据中心的交换机为所述配置管理数据流加上配置管理VLAN标签，在配置管理VLAN内向对应的设备发送所述配置管理数据流。 

本发明提供一种远程集中镜像管理的系统，包括集中管理中心与一个或多个数据中心，所述数据中心与集中管理中心之间分别通过广域网连接，并通过通用路由协议封装GRE隧道进行镜像流量的传输，所述数据中心包括服务器、数据交换机与数据路由器，数据交换机上配置镜像源端口与镜像目的端口，镜像目的端口连接数据路由器，在数据路由器上配置与所述集中管理中心连接的GRE隧道；所述集中管理中心包括路由器、交换机与作为监控设备的服务器，所述集中管理中心的路由器配置分别与每一GRE隧道绑定的多个虚拟专用网VPN实例，每一VPN实例的转发表项下一跳路由缺省为与该路由器相连接的交换机上的虚拟局域网VLAN接口；所述集中管理中心的交换机上每一VLAN仅包括与所述集中管理中心的路由器连接的VLAN接口和与所述监控设备连接的VLAN接口；其中 

所述集中管理中心的路由器，用于接收来自数据中心通过GRE隧道发送的镜像流量，并在与所述GRE隧道对应的VPN实例中查找下一跳路由，将镜像流量向所述集中管理中心的交换机上对应的VLAN接口发送； 

所述集中管理中心的交换机，用于通过VLAN接口接收到镜像流量后，通过与所述监控设备连接的VLAN接口将所述镜像流量向所述监控设备发送。 

所述数据中心的交换机，用于将镜像源端口的流量复制到镜像目的端口发送； 

所述数据中心的路由器，用于接收所述数据中心的交换机发送的镜像流量，通过所述GRE隧道向所述集中管理中心的路由器发送镜像流量。 

所述数据中心的路由器配置转发表项中的下一跳路由缺省为所述GRE隧道的出接口。 

所述集中管理中心的交换机还用于： 

通过VLAN接口接收到镜像流量时，为所述镜像流量加上VLAN标签； 

查找与所述VLAN标签对应的另一VLAN接口，在该VLAN接口去掉所述VLAN标签后将镜像流量向所述监控设备发送。 

所述集中管理中心的交换机上配置多个VLAN分别与每一数据中心的镜像VLAN对应。 

本发明提供一种远程集中镜像管理的系统，包括集中管理中心与一个或多个数据中心，所述数据中心与集中管理中心之间分别通过广域网进行连接，且通过通用路由协议封装GRE隧道进行远程集中配置管理，所述集中管理中心包括路由器、交换机与作为配置管理设备的服务器，所述集中管理中心的交换机上为每一数据中心配置基于接入控制列表ACL策略的配置管理VLAN，所述集中管理中心的路由器上配置与每一配置管理VLAN对应的VPN实例，每一VPN实例的转发表项的下一跳路由缺省为GRE隧道出接口；所述数据中心包括路由器、交换机以及对数据中心进行管理的服务器，所述数据中心的路由器上配置与GRE隧道接口绑定的VPN实例，该VPN实例中转发表项的下一跳路由缺省为所述数据中心的交换机；其中 

所述集中管理中心的交换机，用于接收所述配置管理设备发送的配置管理数据流，根据所述配置管理数据流的目的地址段查找对应的所述ACL策略，获取对应的配置管理VLAN，通过VLAN接口发送所述配置管理数据流； 

所述集中管理中心的路由器，用于接收所述配置管理数据流，根据所述配置管理数据流对应的配置管理VLAN获取对应的VPN实例，根据VPN实例中的下一跳路由通过与之绑定的GRE隧道发送所述配置管理数据流； 

所述数据中心的路由器，用于接收所述配置管理数据流后，查找与所述配置管理数据流的GRE隧道入接口绑定的VPN实例，根据该VPN实例中的下一跳路由向所述数据中心的交换机发送所述配置管理数据流； 

所述数据中心的交换机，用于根据配置管理VLAN将所述配置管理数据流向对应的设备发送。 

所述集中管理中心的交换机还用于： 

在ACL中存储目的地址段与配置管理VLAN的对应关系，获取与所述配置管理数据流的目的地址段对应的配置管理VLAN； 

为所述配置管理数据流加上所述对应的配置管理VLAN标签，通过与所述配置管理VLAN对应的VLAN接口发送所述配置管理数据流。 

所述数据中心的交换机还用于： 

配置与所述配置管理VLAN对应的VLAN接口，通过该VALN接口接收所述数据中心的路由器发送的配置管理数据流； 

当通过所述配置管理VLAN对应的VLAN接口接收到配置管理数据流时，为所述配置管理数据流加上配置管理VLAN标签，在配置管理VLAN内向对应的设备发送所述配置管理数据流。 

与现有技术相比，本发明至少具有以下优点： 

本发明中，各分布式数据中心分别和集中管理中心通过广域网连接，通过GRE隧道传输镜像流量和配置管理流量，并在集中管理中心配置多VPN实例分别对应各分布式数据中心的GRE隧道，区分各分布式数据中心发送的流量，从而实现了镜像流量穿越三层网络进行传输，实现了集中管理中心对多个分布式数据中心的集中管理。 

附图说明

图1是现有技术数据中心与管理中心的组网方式示意图； 

图2是现有技术中数据中心远程集中管理示意图； 

图3是现有技术中两种端口镜像示意图； 

图4是本发明提供的远程集中镜像管理的方法的流程示意图； 

图5是本发明提供的分布式数据中心及远程集中镜像监控系统的组网结构示意图； 

图6是本发明应用场景中远程集中镜像监控的流程示意图； 

图7是本发明应用场景中远程集中配置管理的流程示意图。 

具体实施方式

本发明的核心思想是：对集中管理中心和分布式数据中心进行配置，使分布式数据中心和集中管理中心在广域网内通过GRE隧道实现通信，传输镜 像流量和配置管理数据流量，由集中管理中心根据镜像流量对各分布式数据中心进行监控，并向各分布式数据中心分别发送配置管理数据流量。 

本发明提供了一种远程集中镜像管理的方法，应用于包括集中管理中心与一个或多个数据中心的系统，所述数据中心与集中管理中心之间分别通过广域网连接，并通过通用路由协议封装GRE隧道相互通信，所述数据中心包括服务器、交换机与路由器，交换机上配置镜像源端口与镜像目的端口，镜像目的端口连接路由器，在路由器上配置与所述集中管理中心连接的GRE隧道；所述集中管理中心包括路由器、交换机与服务器。其中所述服务器在具体的应用场景中，可以为对流量进行分析的监控设备，或者为各项策略进行配置管理的服务器等。所述集中管理中心的路由器配置分别与每一GRE隧道绑定的多个虚拟专用网VPN实例，每一VPN实例的下一跳缺省为该集中管理中心交换机上的虚拟局域网VLAN接口；所述交换机上每一VLAN仅包括与所述集中管理中心的路由器连接的VLAN接口和与所述集中管理中心的服务器连接的VLAN接口；如图4所示，该方法进一步包括： 

步骤401，所述集中管理中心路由器接收数据中心通过GRE隧道发送的镜像流量，在与所述GRE隧道对应的VPN实例中查找下一跳路由，将来自数据中心的镜像流量向所述集中管理中心的交换机上对应的VLAN接口发送； 

步骤402，所述集中管理中心交换机通过VLAN接口接收到来自数据中心的镜像流量后，通过与所述作为监控设备的服务器连接的VLAN接口将所述镜像流量向所述该服务器发送。 

下面结合具体应用场景详细介绍本发明提供的远程集中镜像管理的方法。该方法主要包括集中管理中心对各分布式数据中心的集中监控、和集中管理中心对各分布式数据中心的集中配置管理，其中集中配置管理是在集中监控的基础上进行的集中配置管理。 

为使公众更加清楚地理解本发明，首先介绍集中管理中心对各分布式数 据中心进行集中监控的方法。本发明应用场景中，为了实现穿越三层网络对各分布式数据中心的集中监控，需要配置相应的镜像管理网络架构。如图5所示，该镜像管理网络架构中，多个分布式DC(Data Center，数据中心)(以DC1和DC2为例)与集中管理中心之间通过广域网相互连接，且分别通过各自对应的GRE(Generic Routing Encapsulation，通用路由协议封装)隧道进行通信。其中GRE隧道为端到端隧道，其两个接口分别为DC上配置的路由器的Tunnel接口和集中管理中心配置的路由器的Tunnel接口。 

在本发明中，DC上还包括核心交换机，并通过在核心交换机上配置镜像源端口和镜像目的端口，将镜像源端口的报文复制到镜像目的端口发送，镜像目的端口连接所述DC上的路由器，该镜像目的端口发送的流量仅限于镜像流量。通过在该DC的路由器上创建GRE隧道，GRE隧道的入接口设置为路由器上的接口，GRE隧道的出接口为集中管理中心的路由器上对应的接口，不同GRE隧道对应不同的出接口。以图5中DC1和DC2为例，DC1上R1(Router1，路由器1)创建的GRE隧道的出接口为集中管理中心上R3(Router3，路由器3)的Tunnel0，DC2上R2(Router2，路由器2)创建的GRE隧道的出接口为R3上的Tunnel1。 

集中管理中心配置的路由器通过多个GRE隧道接口连接各分布式数据中心。该集中管理中心的路由器上还配置n个VPN实例分别对应每一数据中心，并且配置每一GRE隧道接口分别对应一VPN实例并绑定其对应关系，在每一VPN实例中配置转发表项的下一跳路由缺省为管理中心的交换机L3。集中管理中心的交换机L3上配置n个VLAN接口，分别对应路由器R3上配置的每一VPN实例；每一个VLAN分别与对应DC上配置的镜像VLAN配置相同。为了保证数据中心的报文准确到达集中管理中心的服务器(监控设备)，配置交换机L3上的每一VLAN只包括两个端口：与路由器R3连接的端口和与服务器(监控设备)连接的端口。 

结合图5所示的镜像网络架构介绍数据中心集中监控的方法，如图6所示，该方法包括以下步骤： 

步骤601，DC1的交换机L1和DC2的交换机L2分别将需要监控的流量 从源端口镜像到目的端口。 

具体的，DC1的交换机L1和DC2的交换机L2上，配置镜像VLAN的镜像目的端口分别连接路由器R1和R2。以交换机L1为例，L1通过镜像源端口接收到的流量时，根据镜像VLAN配置，将该流量复制到镜像目的端口发送。 

步骤602，路由器R1和R2分别通过GRE隧道向集中管理中心发送镜像流量。 

具体的，路由器R1和R2配置下一跳路由缺省为GRE隧道的出接口，路由器R1对应的GRE隧道的出接口为Tunnel0，路由器R2对应的GRE隧道的出接口为Tunnel1，Tunnel0和Tunnel1均为集中管理中心路由器R3上的隧道接口。以DC1中的路由器R1为例，路由器R1接收到交换机L1的流量后，查找下一跳路由获得缺省路由为GRE隧道的出接口，通过GRE隧道向路由器R3上对应的隧道接口发送镜像流量。 

步骤603，路由器R3将镜像流量向交换机L3发送。 

路由器R3接收到路由器R1或R2通过GRE隧道发送的流量后，根据配置的与GRE隧道绑定的VPN实例，在VPN实例中查找其下一跳路由。由于每一VPN实例中配置的下一跳路由缺省为交换机L3的特定VLAN接口，因此，路由器R3将接收到的流量向交换机L3的该特定VLAN接口发送。 

步骤604，交换机L3将镜像流量向服务器(监控设备)发送。 

由于交换机L3上配置的每个VLAN与各DC配置的镜像VLAN一一对应，接收镜像流量的VLAN接口与发送该镜像流量的DC上的镜像VLAN配置相同。接收到镜像流量时，交换机L3可以在入端口为该镜像流量打上对应的VLAN标签，然后在二层网络广播该镜像流量。由于交换机L3配置的镜像VLAN只有两个端口，因此，交换机L3发送的镜像流量只能被用于分析监控该DC流量对应的服务器(监控设备)接收。监控设备根据交换机L3广播的镜像流量携带的VLAN标签获知该镜像流量所归属的数据中心，监控该数据中心的流量，进而根据该监控流量分析的结果，进行相应的策略控制。 

为了实现集中管理中心对各分布式数据中心的集中配置管理。在图5所示的镜像管理网络架构中，需要对各数据中心和集中管理中心的交换机和路由器进行如下配置。 

集中管理中心在其交换机上为各分布式数据中心创建不同的配置管理VLAN，并配置m个VLAN接口分别对应为每一DC创建的配置管理VLAN，m的具体取值与DC的数量以及配置管理VLAN的数量一致。集中管理中心还在其交换机上配置ACL策略，在ACL策略中设置配置流量的目的地址段(对应不同数据中心)与配置管理VLAN的对应关系。ACL策略中配置流量的目的地址段为IP地址段，每一IP地址段包括对应DC下的各设备的IP地址。集中管理中心还在其路由器上配置m个VPN实例分别对应每一配置管理VLAN，并在VPN实例中配置下一跳路由缺省为连接对应数据中心的GRE隧道的出接口。 

数据中心在其路由器上配置与GRE隧道接口绑定的VPN实例，其下一跳路由缺省为数据中心的交换机。为了区别于上述集中监控场景中DC中路由器配置的缺省下一跳路由，本应用场景中，路由器上需要配置多VPN实例，以分别对应将数据中心的数据流量镜像至集中管理中心监控服务器，和将集中管理中心的配置管理信息分发至数据中心对应的服务器的场景。例如，在本应用场景中，配置VPN实例1对应将数据中心的数据流量镜像至集中管理中心监控服务器的镜像VLAN，其下一跳路由缺省为GRE隧道出接口；VPN实例2对应将集中管理中心的配置管理信息分发至数据中心对应的服务器的配置管理VLAN，其下一跳路由缺省为数据中心的交换机。进一步的，数据中心的交换机上配置管理VLAN，用以接收数据中心路由器转发的来自集中管理中心的配置管理数据流量，并在配置管理VLAN内将该数据流量向对应的设备(服务器)发送。 

下面以集中管理中心向DC1下发配置管理流量为例介绍本发明提供的集中配置管理方法，如图7所示，该集中配置管理方法包括以下步骤： 

步骤701，配置管理服务器向交换机L3下发DC1的配置管理数据。 

步骤702，集中管理中心的交换机L3将配置管理流量向集中管理中心的 路由器R3发送。 

集中管理中心的交换机L3中配置ACL策略，存储数据中心的地址段(例如IP地址段)与配置管理VLAN的对应关系。集中管理中心的交换机L3接收到配置管理服务器发送的流量后，获取该流量的目的IP地址段，根据该IP地址段查找ACL，获取对应的配置管理VLAN，该配置管理VLAN与DC1具有对应关系。集中管理中心的交换机L3为该配置管理流量打上DC1对应的配置管理VLAN标签，并通过对应的VLAN接口将该流量向集中管理中心的路由器R3发送。 

步骤703，集中管理中心的路由器R3将配置管理流量通过GRE隧道向DC1发送。 

集中管理中心的路由器R3根据配置管理流量的配置管理VLAN，查找配置的配置管理VLAN与VPN实例的对应关系，获取对应的VPN实例。集中管理中心的路由器R3进一步在该VPN实例中查找下一跳路由，获取缺省路由为对应GRE隧道的出接口。该GRE隧道为集中管理中心的路由器R3与数据中心的路由器R1之间的GRE隧道。路由器R3通过该GRE隧道向DC1发送配置管理流量。 

步骤704，数据中心的路由器R1将配置管理流量向DC1中的交换机L1发送。 

数据中心的路由器R1接收到配置管理流量后，在与GRE隧道接口绑定的VPN实例中查找下一跳路由为DC1交换机L1的配置管理VLAN接口，将配置管理流量向交换机L1发送。 

步骤705，数据中心的交换机L1将配置管理流量向DC1中对应的设备发送。 

数据中心的交换机L1通过配置管理VLAN接口接收配置管理流量时，为该配置管理流量打上对应的配置管理VLAN标签，然后将该配置管理流量向对应的设备转发。 

通过采用本应用场景提供的方法，各分布式数据中心分别和集中管理中心通过广域网连接，通过GRE隧道传输镜像流量和配置管理流量，并在集中 管理中心配置多VPN实例分别对应各分布式数据中心的GRE隧道，区分各分布式数据中心发送的流量，另外，在各数据中心进一步配置VPN实例，以对应远程集中配置管理的应用场景，从而实现了镜像流量穿越三层网络进行传输，实现了集中管理中心对多个分布式数据中心的集中管理。 

本发明提供一种远程集中镜像管理的系统，应用于包括集中管理中心与一个或多个数据中心的系统，所述数据中心与集中管理中心之间分别通过广域网连接，并通过通用路由协议封装GRE隧道进行镜像流量的传输，所述数据中心包括服务器、交换机与路由器，数据中心的交换机上配置镜像源端口与镜像目的端口，镜像目的端口连接数据路由器，在数据中心的路由器上配置与所述集中管理中心连接的GRE隧道；所述集中管理中心包括路由器、交换机与作为监控设备的服务器，所述集中管理中心的路由器配置分别与每一GRE隧道绑定的多个虚拟专用网VPN实例，每一VPN实例的下一跳缺省为与该路由器相连接的交换机上的虚拟局域网VLAN接口；所述集中管理中心的交换机上每一VLAN仅包括与所述集中管理中心的路由器连接的VLAN接口和与所述监控设备连接的VLAN接口；其中 

所述集中管理中心的路由器，用于接收来自数据中心通过GRE隧道发送的镜像流量，根据GRE隧道接口获取与所述GRE隧道对应的VPN实例，并在该VPN实例中查找下一跳路由，将镜像流量向所述集中管理中心的交换机上对应的VLAN接口发送。 

所述集中管理中心的交换机，用于通过VLAN接口接收到镜像流量后，通过与所述监控设备连接的VLAN接口将所述镜像流量向所述监控设备发送。所述集中管理中心的交换机上配置多个VLAN分别与每一数据中心的镜像VLAN对应，所述集中管理中心的交换机通过VLAN接口接收到镜像流量时，为所述镜像流量加上VLAN标签；查找与所述VLAN标签对应的另一VLAN接口，在该VLAN接口去掉所述VLAN标签后将镜像流量向所述监控设备发送。 

所述数据中心的交换机，用于从镜像源端口接收到流量时，通过配置的 镜像VLAN将流量复制到镜像目的端口发送。 

所述数据中心的路由器，用于接收所述数据中心的交换机发送的镜像流量，通过所述GRE隧道向所述集中管理中心的路由器发送镜像流量。具体的，所述数据中心的路由器配置下一跳缺省为所述GRE隧道的出接口。接收到镜像流量后，数据中心的路由器查找下一跳路由为所述GRE隧道的出接口，通过GRE隧道向隧道出接口发送镜像流量。 

本发明还提供一种远程集中镜像管理的系统，应用于包括集中管理中心与一个或多个数据中心的系统，所述数据中心与集中管理中心之间分别通过广域网进行连接，且通过通用路由协议封装GRE隧道进行远程集中配置管理，所述集中管理中心包括路由器、交换机与作为配置管理设备的服务器，所述集中管理中心的交换机上为每一数据中心配置基于接入控制列表ACL策略的配置管理VLAN，所述集中管理中心的路由器上配置与每一配置管理VLAN对应的VPN实例，每一VPN实例的下一跳路由缺省为GRE隧道出接口；所述数据中心包括路由器、交换机以及对数据中心进行管理的服务器，所述数据中心的路由器上配置与GRE隧道接口绑定且与配置管理应用场景对应的VPN实例，该VPN实例下一跳路由缺省为所述数据中心的交换机；其中 

所述集中管理中心的交换机，用于接收所述配置管理设备发送的配置管理数据流，根据所述配置管理数据流的目的地址段查找对应的所述ACL策略，获取对应的配置管理VLAN，通过VLAN接口发送所述配置管理数据流。集中管理中心的交换机存储各数据中心的地址段，例如每一数据中心中包含各设备IP地址的IP地址段，并配置IP地址段与配置管理VLAN的对应关系。接收到配置管理数据流时，集中管理中心的交换机根据配置管理数据流的目的IP地址段查找获得对应的配置管理VLAN，通过该VLAN对应的VLAN接口发送配置管理流量。所述集中管理中心的交换机还用于为所述配置管理数据流加上对应的配置管理VLAN标签，然后通过VLAN接口发送所述配置管理数据流，从而使路由器可以根据VLAN标签识别配置管理数据流归属的VLAN。 

所述集中管理中心的路由器，用于接收所述配置管理数据流，根据所述配置管理数据流对应的配置管理VLAN获取对应的VPN实例，根据VPN实例中的下一跳路由通过与之绑定的GRE隧道发送所述配置管理数据流。由于VPN实例中的下一跳路由缺省配置为GRE隧道的出接口，因此，集中管理中心的路由器将配置管理流通过GRE隧道向隧道对端发送。 

所述数据中心的路由器，用于接收所述配置管理数据流后，查找与所述配置管理数据流的GRE隧道入接口绑定的VPN实例，根据该VPN实例中的下一跳路由向所述数据中心的交换机发送所述配置管理数据流。 

所述数据中心的交换机，用于根据配置管理VLAN将所述配置管理数据流向对应的设备发送。具体的，所述数据中心的交换机配置与所述配置管理VLAN对应的VLAN接口，通过该VALN接口接收所述数据中心的路由器发送的配置管理数据流；当通过所述配置管理VLAN对应的VLAN接口接收到配置管理数据流时，为所述配置管理数据流加上配置管理VLAN标签，在配置管理VLAN内向对应的设备发送所述配置管理数据流。 

通过采用本发明提供的系统，各分布式数据中心分别和集中管理中心通过广域网连接，通过GRE隧道传输镜像流量和配置管理流量，并在集中管理中心配置多VPN实例分别对应各分布式数据中心的GRE隧道，区分各分布式数据中心发送的流量，从而实现了镜像流量穿越三层网络进行传输，实现了集中管理中心对多个分布式数据中心的集中管理。 

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。 

本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中 的模块或流程并不一定是实施本发明所必须的。 

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。 

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。 

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。 

Claims (16)

1.一种远程集中镜像管理的方法，应用于包括集中管理中心与一个或多个数据中心的系统，其特征在于，所述数据中心与集中管理中心之间分别通过广域网连接，并通过通用路由协议封装GRE隧道进行镜像流量的传输，所述数据中心包括服务器、数据交换机与数据路由器，数据交换机上配置镜像源端口与镜像目的端口，镜像目的端口连接数据路由器，在数据路由器上配置与所述集中管理中心连接的GRE隧道；所述集中管理中心包括路由器、交换机与作为监控设备的服务器，所述集中管理中心的路由器配置分别与每一GRE隧道绑定的多个虚拟专用网VPN实例，每一VPN实例的下一跳路由缺省为与该路由器相连接的交换机上的虚拟局域网VLAN接口；所述该集中管理中心的交换机上每一VLAN仅包括与所述集中管理中心的路由器连接的VLAN接口和与所述监控设备连接的VLAN接口；该方法进一步包括：

所述集中管理中心的路由器接收来自数据中心通过GRE隧道发送的镜像流量，并在与所述GRE隧道对应的VPN实例中查找下一跳路由，将镜像流量向所述集中管理中心的交换机上对应的VLAN接口发送；

所述集中管理中心的交换机通过VLAN接口接收到镜像流量后，通过与所述监控设备连接的VLAN接口将所述镜像流量向所述监控设备发送。

2.如权利要求1所述的方法，其特征在于，所述集中管理中心的路由器接收来自数据中心通过GRE隧道发送的镜像流量之前，还包括：

所述数据中心的交换机将镜像源端口的流量复制到镜像目的端口发送；

所述数据中心的路由器接收所述数据中心的交换机发送的镜像流量，通过所述GRE隧道向所述集中管理中心的路由器发送镜像流量。

3.如权利要求2所述的方法，其特征在于，所述数据中心的路由器配置转发表项的下一跳路由缺省为所述GRE隧道的出接口。

4.如权利要求1所述的方法，其特征在于，所述集中管理中心的交换机通过VLAN接口接收到镜像流量后，通过与所述监控设备连接的VLAN接口将所述镜像流量向所述监控设备发送包括：

所述集中管理中心的交换机通过VLAN接口接收到镜像流量时，为所述 镜像流量加上VLAN标签；

所述集中管理中心的交换机查找与所述VLAN标签对应的另一VLAN接口，在该VLAN接口去掉所述VLAN标签后将镜像流量向所述监控设备发送。

5.如权利要求4所述的方法，其特征在于，所述集中管理中心的交换机上配置多个VLAN分别与每一数据中心的镜像VLAN对应。

6.一种远程集中镜像管理的方法，应用于包括集中管理中心与一个或多个数据中心的系统，其特征在于，所述数据中心与集中管理中心之间分别通过广域网进行连接，且通过通用路由协议封装GRE隧道进行远程集中配置管理，所述集中管理中心包括路由器、交换机与作为配置管理设备的服务器，所述集中管理中心的交换机上为每一数据中心配置基于接入控制列表ACL策略的配置管理VLAN，所述集中管理中心的路由器上配置与每一配置管理VLAN对应的VPN实例，每一VPN实例中转发表项的下一跳路由缺省为GRE隧道出接口；所述数据中心包括路由器、交换机以及对数据中心进行管理的服务器，所述数据中心的路由器上配置与GRE隧道接口绑定的VPN实例，该VPN实例中转发表项的下一跳路由缺省为所述数据中心的交换机；该方法进一步包括：

所述集中管理中心的交换机接收所述配置管理设备发送的配置管理数据流，根据所述配置管理数据流的目的地址段查找对应的所述ACL策略，获取对应的配置管理VLAN，通过VLAN接口发送所述配置管理数据流；

所述集中管理中心的路由器接收所述配置管理数据流，根据所述配置管理数据流对应的配置管理VLAN获取对应的VPN实例，根据VPN实例中的下一跳路由通过与之绑定的GRE隧道发送所述配置管理数据流；

所述数据中心的路由器接收所述配置管理数据流后，查找与所述配置管理数据流的GRE隧道入接口绑定的VPN实例，根据该VPN实例中的下一跳路由向所述数据中心的交换机发送所述配置管理数据流；

所述数据中心的交换机根据配置管理VLAN将所述配置管理数据流向对应的设备发送。 

7.如权利要求6所述的方法，其特征在于，所述根据所述配置管理数据流的目的地址段查找对应的所述ACL策略，获取对应的配置管理VLAN，通过VLAN接口发送所述配置管理数据流包括：

所述集中管理中心的交换机在ACL中存储目的地址段与配置管理VLAN的对应关系，获取与所述配置管理数据流的目的地址段对应的配置管理VLAN；

所述集中管理中心的交换机为所述配置管理数据流加上所述对应的配置管理VLAN标签，通过与所述配置管理VLAN对应的VLAN接口发送所述配置管理数据流。

8.如权利要求6所述的方法，其特征在于，所述数据中心的交换机根据配置管理VLAN将所述配置管理数据流向对应的设备发送之前，还包括：所述数据中心的交换机配置与配置管理VLAN对应的VLAN接口，通过该VALN接口接收所述数据中心的路由器发送的配置管理数据流；

所述数据中心的交换机根据配置管理VLAN将所述配置管理数据流向对应的设备发送包括：当所述数据中心的交换机通过所述配置管理VLAN对应的VLAN接口接收到配置管理数据流时，所述数据中心的交换机为所述配置管理数据流加上配置管理VLAN标签，在配置管理VLAN内向对应的设备发送所述配置管理数据流。

9.一种远程集中镜像管理的系统，包括集中管理中心与一个或多个数据中心，其特征在于，所述数据中心与集中管理中心之间分别通过广域网连接，并通过通用路由协议封装GRE隧道进行镜像流量的传输，所述数据中心包括服务器、数据交换机与数据路由器，数据交换机上配置镜像源端口与镜像目的端口，镜像目的端口连接数据路由器，在数据路由器上配置与所述集中管理中心连接的GRE隧道；所述集中管理中心包括路由器、交换机与作为监控设备的服务器，所述集中管理中心的路由器配置分别与每一GRE隧道绑定的多个虚拟专用网VPN实例，每一VPN实例的转发表项下一跳路由缺省为与该路由器相连接的交换机上的虚拟局域网VLAN接口；所述 交换机上每一VLAN仅包括与所述集中管理中心的路由器连接的VLAN接口和与所述监控设备连接的VLAN接口；其中

所述集中管理中心的路由器，用于接收来自数据中心通过GRE隧道发送的镜像流量，并在与所述GRE隧道对应的VPN实例中查找下一跳路由，将镜像流量向所述集中管理中心的交换机上对应的VLAN接口发送；

所述集中管理中心的交换机，用于通过VLAN接口接收到镜像流量后，通过与所述监控设备连接的VLAN接口将所述镜像流量向所述监控设备发送。

10.如权利要求9所述的系统，其特征在于，

所述数据中心的交换机，用于将镜像源端口的流量复制到镜像目的端口发送；

所述数据中心的路由器，用于接收所述数据中心的交换机发送的镜像流量，通过所述GRE隧道向所述集中管理中心的路由器发送镜像流量。

11.如权利要求9所述的系统，其特征在于，所述数据中心的路由器配置转发表项中的下一跳路由缺省为所述GRE隧道的出接口。

12.如权利要求9所述的系统，其特征在于，所述集中管理中心的交换机还用于：

通过VLAN接口接收到镜像流量时，为所述镜像流量加上VLAN标签；

查找与所述VLAN标签对应的另一VLAN接口，在该VLAN接口去掉所述VLAN标签后将镜像流量向所述监控设备发送。

13.如权利要求12所述的系统，其特征在于，所述集中管理中心的交换机上配置多个VLAN分别与每一数据中心的镜像VLAN对应。

14.一种远程集中镜像管理的系统，包括集中管理中心与一个或多个数据中心，其特征在于，所述数据中心与集中管理中心之间分别通过广域网进行连接，且通过通用路由协议封装GRE隧道进行远程集中配置管理，所述集中管理中心包括路由器、交换机与作为配置管理设备的服务器，所述集中管理中心的交换机上为每一数据中心配置基于接入控制列表ACL策略的配置管理VLAN，所述集中管理中心的路由器上配置与每一配置管理VLAN对应的VPN实例，每一VPN实例的转发表项的下一跳路由缺省为GRE隧道出接口；所述数据中心包括路由器、交换机以及对数据中心进行管理的服务器，所述数据中心的路由器上配置与GRE隧道接口绑定的VPN实例，该VPN实例中转发表项的下一跳路由缺省为所述数据中心的交换机；其中

所述集中管理中心的交换机，用于接收所述配置管理设备发送的配置管理数据流，根据所述配置管理数据流的目的地址段查找对应的所述ACL策略，获取对应的配置管理VLAN，通过VLAN接口发送所述配置管理数据流；

所述集中管理中心的路由器，用于接收所述配置管理数据流，根据所述配置管理数据流对应的配置管理VLAN获取对应的VPN实例，根据VPN实例中的下一跳路由通过与之绑定的GRE隧道发送所述配置管理数据流；

所述数据中心的路由器，用于接收所述配置管理数据流后，查找与所述配置管理数据流的GRE隧道入接口绑定的VPN实例，根据该VPN实例中的下一跳路由向所述数据中心的交换机发送所述配置管理数据流；

所述数据中心的交换机，用于根据配置管理VLAN将所述配置管理数据流向对应的设备发送。

15.如权利要求14所述的系统，其特征在于，所述集中管理中心的交换机还用于：

在ACL中存储目的地址段与配置管理VLAN的对应关系，获取与所述配置管理数据流的目的地址段对应的配置管理VLAN；

为所述配置管理数据流加上所述对应的配置管理VLAN标签，通过与所述配置管理VLAN对应的VLAN接口发送所述配置管理数据流。

16.如权利要求14所述的系统，其特征在于，所述数据中心的交换机还用于：

配置与所述配置管理VLAN对应的VLAN接口，通过该VALN接口接收所述数据中心的路由器发送的配置管理数据流；

当通过所述配置管理VLAN对应的VLAN接口接收到配置管理数据流时，为所述配置管理数据流加上配置管理VLAN标签，在配置管理VLAN内 向对应的设备发送所述配置管理数据流。 

Images