CN102427423A - 一种网络流量跟踪及故障定位的方法、装置 - Google Patents

Abstract

本发明提供一种网络流量跟踪及网络故障定位的方法，所述方法包括如下步骤：在网络各层报文处理入口点绑定探测函数并设定探测点，报文通过探测点进入探测程序。进入探测程序后，系统分拣出需要跟踪的报文并收集这些需要被跟踪的报文经过网络各层时的转发信息后，撤销网络各层中的探测点。最后系统会分析收集到的报文信息，通过这些信息分析网络流量状态及分析网络故障成因。相应装置包括探测点设定模块、报文分拣模块、报文信息收集模块、探测点撤销模块、网络流量结果分析模块或网络故障定位模块。

Description

一种网络流量跟踪及故障定位的方法、装置

技术领域

本发明涉及网络通信技术，尤其涉及一种跟踪网络设备上的指定流量的和流量处理异常的故障定位的方法及装置。

背景技术

现有计算机网络一般采用ISO模型结构，即将一个计算机网络分为若干层次，处在高层次的系统仅是利用较低层次的系统提供的接口和功能，不需了解低层实现该功能所采用的算法和协议；较低层次也仅是使用从高层系统传送来的参数，这就是层次间的无关性。因为有了这种无关性，层次间的每个模块可以用一个新的模块取代，只要新的模块与旧的模块具有相同的功能和接口，即使它们使用的算法和协议都不一样。网络中的计算机与终端间要想正确的传送信息和数据，必须在数据传输的顺序、数据的格式及内容等方面有一个约定或规则的协议。

对于网络设备来说，在网络设备的部署、调试和运行过程中，常常会遇到特定的流量不通畅也就是出现了网络故障的情况。对于这种故障的判定一般需要比较专业的网络基础知识，并且需要采用比较复杂的跟踪流量方法才能最终判定问题的所在。随着网络设备智能化程度越来越高，这种流量的跟踪和故障的诊断复杂度也越来越高了。

一般情况下造成网络设备流量不同的情况原因很多例如：

网络设备硬件故障。

特定流量不符合设备的安全要求。

设备的一些配置错误导致。

设备的拓扑学习存在问题。

QOS和流量限速功能导致(即丢失的流量为低优先级流量)等情况。

网络故障的发生有时候仅仅涉及上述情况中的一个方面，但也有很多时候，故障的产生原因并不仅仅是单个原因造成的。

然而在现有技术中，当网络出现故障时，一种最通常的做法是，以网络中各单项功能为单位提供仅适用于该功能的故障诊断的方案。例如在针对网络中的链路层协议，网络系统会通过展现该协议模块的连接状态、报文收发统计、故障报文数量等等提供对于这个功能本身的整体情况描述，网络再根据该情况描述判定当前设备的故障原因。又如，在现有技术中针对驱动的故障测试，往往是通过收集驱动的总报文收发数量、当前速率、校验错误情况、拥塞丢包等等情况来判定故障。采用这种方法存在的问题是故障诊断只能根据报文在网络中某一层的情况描述评定该报文在这一层中是否运行良好，无法纵向跟踪相应报文在可能经过路径中的情况，从而不能从网络整体考量故障位置，例如，采用这种方法只针对某一报文在链路层传输时的数据情况进行了分析，但是无法知道该报文在应用层的驱动端是否被正确接收，是否顺利通过了安全规则，是否顺实现了路由等等情况，这样在网络各层间分别对故障进行排查，过程繁琐而且漫长，对于网络的修改规模和难度都较大。

而目前网络中实现的数据跟踪功通常都是通过跟踪流经过的路径完成的，流即为我们所说的网络中的会话，是由大量的互相关联的报文组成。比如一个TCP连接，所有该连接往返的报文都属于一个流。通常使用IP源目的地址、端口号、协议号等信息描述一条流。采用这种传统的方式要求各层网络都要支持报文跟踪功能。并且能够提供一致的报文过滤方法，否则就无法进行跟踪。采用这种数据跟踪方法，最大的问题是难以在跟踪粒度以及性能之间进行均衡。在网络中跟踪的内容越多，网络的故障定位就越快越高效，但大量的故障跟踪会严重影响设备的性能，尤其是吞吐量等重要指标。对于一些高速处理设备来说，一个报文所需要的处理周期非常短，然后在各网络层中插入诊断判断的指令都会大幅拉长设备的关键路径，从而影响设备吞吐率。

发明内容

本发明提供一种网络流量跟踪及网络故障定位的方法，所述方法包括如下步骤：在网络各层报文处理入口点动态通过绑定break探测函数产生CPU异常，来设定探测点，报文通过所述探测点进入探测程序。本发明中所有报文具有统一的“o”拷贝报文结构，进入探测程序后，系统根据各报文解析后获取的特征，分拣出需要跟踪的报文并收集这些需要被跟踪的报文经过网络各层时的相关信息，如经过具体的模块信息、经过所述模块的时间信息等。流量跟踪需要结束后，系统动态替换break指令而撤销网络各层中的探测点。最后系统会分析收集到的报文信息，通过这些信息分析网络流量状态及分析网络故障成因。

本发明还进一步包括网络跟踪流量分析装置及网络故障定位装置。其中，网络跟踪流量分析装置，包括：

探测点设定模块，用以在系统动态绑定探测函数设定探测点；

报文分拣模块，用以分检需要跟踪的报文；

报文信息收集模块，用以收集各被跟踪报文经过网络各层转发时的信息；

探测点撤销模块，用以在跟踪程序结束后，系统动态替换探测函数，撤销探测点；

网络流量结果分析模块，用以根据统计得到的跟踪报文经过网络各层转发信息，进行网络流量分析。

网络故障定位装置，包括：

探测点设定模块，用以在系统动态绑定探测函数设定探测点；

报文分拣模块，用以分检需要跟踪的报文；

报文信息收集模块，用以收集各被跟踪报文经过网络各层转发时的信息；

探测点撤销模块，用以在跟踪程序结束后，系统动态替换探测函数，撤销探测点；

网络故障定位模块，用以根据统计得到的跟踪报文经过网络各层转发信息，进行网络故障分析。

本发明通过使用一种不需要改变系统架构和原有代码，仅仅通过增加一个第三方的外挂检测模块即可实现流量的深度纵向跟踪，并且该模块不工作时，对于设备是无损的，即完全不影响设备的吞吐率指标。而且通过对报文流的统一识别、信息收集以及分类，一步到位得出导致流故障的网络位置，实现快速定位，并对网络中各流量转发状态做到准确跟踪。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例所涉及的三层网络处理模块示意图；

图2为本发明实施例中流量跟踪过程的方法流程图；

图3为本发明实施例中探测函数实现跟踪报文工作原理示意图；

图4为本发明实施例中报文在链路层格式示意图；

图5为本发明实施例中报文在网络层格式示意图；

图6为本发明实施中跟踪流量装置的结构示意图；

图7为本发明实施中网络故障定位装置的结构示意图。

具体实施方式

为了解决现有技术中网络流量纵向跟踪及故障定位的问题，本发明实施例采用的方案主要是使用一种不需要改变网络本身的系统架构和原有代码实现的方法，仅仅通过增加一个第三方的外挂检测模块即实现任意粒度的流量深度纵向跟踪，并且该检测模块不工作时，对于网络设备完全无损即完全不影响网络设备运行的吞吐率指标。同时通过该方法可以对报文流进行统一识别、信息收集以及分类，从这些信息中可以一步到位地到处流故障点，实现网络中故障快速定位。

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。

如图1所示的三层网络处理模块，为了便于更清楚地描述本发明实施例中只列举了链路层、链路层、应用层这三层模型来表示一个网络处理模块。但实际中，此处所描述的实施例仅为一个例子，本领域的技术人员应当理解，本发明所涉及的方法不仅可以适用于本实施例，也同样可以应用在各类网络构架中。图1中的箭头表示报文流经的路径，在本实施例中，报文的流经路径为报文从驱动接收，进入链路层处理，最终进入网络层。在所述路径中报文随时可以在链路层和网络层中都有直接被转发。报文在如图1所示的流经路径中可能因为各类原因被丢弃，这种情况下，在外界看来就表现为某个流断开或者流量断断续续。然而，任何时候报文都不是凭空消失的，都是由网络中各层的丢弃行为所引发的。例如，当本实施例中所述的报文不符合本实施例所例举的三层网络模型的安全规则，在进入网络层入方向安全过滤时就有可能被丢弃了，导致该报文所涉及的流量被断开，网络中出现故障。

本发明实施例提供了一种如图2所示的网络处理模块的流量跟踪方法包括：

步骤101、在网络各层报文处理入口点绑定探测函数并设定探测点。

为了了解网络各层报文的行踪，必须在各层处理的报文中识别出需要跟踪的报文，并将这些报文信息进行记录，根据这些筛选出的报文信息确定报文在设备的各层中的行程轨迹。为了达到这个目的，首先需要在网络各层处理报文的入口处必须设置一个报文探测点。当报文一旦到达网络各层的报文处理探测点，就会被探测到并进入探测程序。

在本实施例中，优选地设置报文探测点的方式为，就是在网络系统中绑定一个探测函数通过该函数设定探测点、更具体地说所述报文探测点的设置方法是在网路各层的处理报文代码入口处指令用特定探测函数替换，使得CPU一旦执行到这些函数即被强制定向到探测函数中，等探测函数执行完毕后再回到原函数继续执行正常任务指令。

图3显示了探测函数实现报文跟踪的完成工作程序。本发明实施例中，探测点的插入方法如图3所示的函数运行图，即

一个函数linklayer_pkt_decap为例，其反汇编后指令如下，

001dc8e0<linklayer_pkt_decap>：

1dc8e0：addiu sp，sp，-160

1dc8e4：sd ra，152(sp)

1dc8e8：sd s2，144(sp)

1dc8ec：sd s1，136(sp)

1dc8f0：sd s0，128(sp)

1dc8f4：move s1，a2

1dc8f8：move s2，a3

一般情况下，CPU将按照如上顺序执行指令。每次执行一条汇编指令，执行完取下一条指令继续运行。

而在本发明实施例中，为了能够让上述例子中linklayer_pkt_decap函数在处理报文时能够完成报文识别的目的，优选地，通过软件动态修改代码段内1dc8e0上的指令，将其替换为break指令，完成报文探测点的设置，也就是利用break指令会产生CPU异常的功能，使在不修改原代码的基础上，动态改变CPU的指令执行路径，即利用break指令，使程序进入报文探测程序。

此时的指令行变为：

001dc8e0<1inklayer_pkt_decap>：

1dc8e0：break

1dc8e4：sd ra，152(sp)

1dc8e8：sd s2，144(sp)

1dc8ec：sd s1，136(sp)

1dc8f0：sd s0，128(sp)

1dc8f4：move s1，a2

1dc8f8：move s2，a3

具体地，在实施跟踪之前，必利用探测函数设定探测点，即将被跟踪函数的入口指令替换为break指令，并将被替换指令另外保存到内存的备份地址中。

以图2所示的网络三层结构为例，首先，当有报文进入链路层后，链路层对报文进行解封装，同时系统会自动调用函数linklayer_pkt_decap，并且将解封装后得到的报文结构作为参数传入所述调用函数进行运算。

当CPU执行函数linklayer_pkt_decap中1dc8e0的指令时，该指令被break指令所替换，导致CPU产生一个异常，CPU自动跳转到异常处理程序中运行，同步地，原运行程序被保存到备份地址，待异常程序运行结束后，跳转回原程序。

步骤102、分拣需要跟踪的报文。

在本发明实施例中，如图3所示，所述CPU跳转进入异常处理程序异常处理程序，在该程序中将执行探测程序。所述探测程序通过获取linklayer_pkt_decap的参数，得到当前该函数处理的报文对象。从而在众多报文中分检出需要被跟踪的报文。

优选地，为了能够从每秒几百万的报文中找出需要跟踪的报文，首先需要在网络设备中对报文特征进行描述。在本发明实施例中，为了达成本发明所需的性能，要求网络中所有报文的内容在网络各层的转发过程中都不发生变化，所有的内容经过各层的转发都还保留在报文结构中，不发生变化。这样的结构确保了网络各层中的报文都使用统一的函数进行统一解析，而不再需要关注该报文的处理具体处于网络中哪个层上。本发明实施例如图1所示的网络处理模块的网络层及以下各层中的报文都为“0”拷贝且使用统一报文结构。即，报文在各层解封装时，并不是将剥离的报文头抹去，而仅仅是将当前处理位置指针挪到下一层协议开始处。较优的，可以如图4的和图5所示本发明实施例中的链路层和网络层处理的报文结构中，从中可以清楚看出，所述报文在链路层和网络层报文上得数据内容没有发生变化，仅仅是报文在链路层处理时指针指向链路层的报文头和报文尾，而进入网络层处理后，指针指向网络层的报文头和报文尾。这样就的报文结构使得报文特征在网络各层保持一致便于识别。

进一步地，获取跟踪报文的方法为，通过提取对如上结构的报文进行解析，获得报文特征，根据这些特征甄别出相应报文是否是要被跟踪。具体地，如对于TCP流中的报文来说，提取报文特征即在报文中提取I P源目的地址、源目的端口以及TCP协议号，然后使用这些提取出的信息，与用户定义的网络目标流进行对比完成报文的识别。如果对比结果显示，该报文提取出的特征可以和目标流的特征匹配，则说明该报文就是在众多的报文中需要进行用户要跟踪的那个，否则放弃跟踪此报文。

步骤103、收集需要被跟踪的报文信息。

如上一步骤所述，系统发现与用户定义的网络目标流特征一致的需要被跟踪的报文，系统将自动记录所述报文出现的探测点位置、出现时间等信息。这些信息将被可以记录在内存的数据结构中。在本发明实施例中，可以调用一个接口如：

Recored_flow(probe_point*pb，time_t time)

步骤104、撤销网络各层中的探测点。

由于每个报文在进入网络层时都会经过探测点即通过探测函数进入探测程序，因此探测点的存在对于系统性能会有较大的影响。所以，当用户完成指定流量的跟踪后，可以停止跟踪，将网络各层中的探测点撤销。本发明实施例中，撤销探测点的方法就是将被break指令替换的指令从备份指令地址读取出来重新写回代码段，继续执行被break指令替换掉的原代码程序。

步骤105、分析收集到的被跟踪报文信息数据。

设备对在所述探测程序中收集的信息做进一步的流量分析，即得出需要跟踪的报文运行轨迹或者故障原因。

如下，举例说明该数据分析的具体方法。

如当用户A反馈访问服务器常常出现断线问题。该用户IP地址为192.168.9.11，服务器的IP地址为192.168.0.100。管理员跟踪到该用户的流量经过服务器区防火墙时丢失。需要排查流量丢失的原因。具体方法如下：

管理员以IP地址作为跟踪节点的特征，确定需要跟踪网络中所有IP地址为192.168.9.11到192.168.0.100和192.168.0.100到192.168.9.11的指定TCP流量。确定跟踪流特征后，管理员将探测函数break动态插入设置探测点，开启流量跟踪工作。当用户尝试连接服务器时，探测程序将所有经过设备的与192.168.9.11到192.168.0.100和和192.168.0.100到192.168.9.11匹配的TCP协议特征的报文信息全部收集起来。当信息收集完成后，管理员动态撤销函数break，停止流量跟踪，查看跟踪结果。

如，本例中跟踪结果显示为：指定流量在192.168.9.11到192.168.0.100的方向上，50％的报文执行路径为：

驱动层接收→2层报文解析→入方向限速/qos

之后就终止了。

只有50％的报文一直执行到驱动发送。

由此可知，50％的指定流量是被入方向限速/qos模块丢弃了。依据此线索查看用户的QOS配置，了解到限速的原因导致该用户访问服务器的带宽被挤压导致访问不畅。

同样的，从上述例子中得到的数据可以绘制出每个流在设备上的传输路径。如管理员需要从上述跟踪动作中看出，50％的指定流的转发路径为：驱动接收→2层报文解析→2层转发→2层报文封装→驱动发送，管理员可以由此路径判断出所述指定流量的处理是否与预期路径一致，是否被正确的处理了。

优选地，在上述例子中，可以增加至少一个时间截，用以统计指令流在网络各层中的耗时，并可以根据所得结果对系统进行优化。

图6为一种网络跟踪流量装置的结构图。如图所示，流量跟踪装置包括：

探测点设定模块，用以在系统动态绑定探测函数设定探测点。

报文分拣模块，用以分检需要跟踪的报文。

报文信息收集模块，用以收集各被跟踪报文经过网络各层转发时的信息。

探测点撤销模块，用以在跟踪程序结束后，系统动态替换探测函数，撤销探测点。

网络流量结果分析模块，用以根据统计得到的跟踪报文经过网络各层转发时的信息，进行网络流量分析。

探测点设定模块在网络各层报文处理入口点动态通过绑定break探测函数产生CPU异常，来设定探测点，报文通过所述探测点进入探测程序。报文分拣模块中，本发明中所有报文具有统一的“o”拷贝报文结构，进入探测程序后，系统根据各报文解析后获取的特征，分拣出需要跟踪的报文。分拣出的报文转发信息在报文信息收集模块中被收集。流量跟踪需要结束后，探测点撤销模块动态替换break指令从而撤销网络各层中的探测点。最后网络流量结果分析模块会分析收集到的报文信息，通过这些信息做出网络流量分析。

图7为一种网络故障定位装置的的结构图。如图所示，网络故障定位装置包括：

探测点设定模块，用以在系统动态绑定探测函数设定探测点。

报文分拣模块，用以分检需要跟踪的报文。

报文信息收集模块，用以收集各被跟踪报文经过网络各层转发时的信息。

探测点撤销模块，用以在跟踪程序结束后，系统动态替换探测函数，撤销探测点。

网络故障定位模块，用以根据统计得到的跟踪报文经过网络各层转发信息，进行网络故障分析。

探测点设定模块在网络各层报文处理入口点动态通过绑定break探测函数产生CPU异常，来设定探测点，报文通过所述探测点进入探测程序。报文分拣模块中，本发明中所有报文具有统一的“o”拷贝报文结构，进入探测程序后，系统根据各报文解析后获取的特征，分拣出需要跟踪的报文。分拣出的报文转发信息在报文信息收集模块中被收集。流量跟踪需要结束后，探测点撤销模块动态替换break指令从而撤销网络各层中的探测点。最后网络流量结果分析模块会分析收集到的报文信息，通过这些信息分析出网络故障成因。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (19)

1.一种网络流量跟踪方法，其特征在于，包括如下步骤：

在网络各层报文处理入口点绑定探测函数并设定探测点，报文通过探测点进入探测程序；

进入探测程序后，系统分拣出需要跟踪的报文；

系统收集需要被跟踪的报文信息；

跟踪结束，撤销网络各层中的探测点；

系统分析收集到的被跟踪报文信息数据。

2.如权利要求1所述的方法，其特征在于，所述方法通过break指令产生CPU异常，设置探测点，从而动态改变CPU指令执行路径。

3.如权利要求2所述的方法，其特征在于，所述方法中报文结构作为参数传入所述调用函数，以便所述探测程序根据报文结构提取报文特征。

4.如权利要求1所述的方法，其特征在于，所述网络中的报文使用统一的“o”拷贝报文结构。

5.如权利要求4所述的方法，其特征在于，通过报文结构解析，提取报文特征与目标流中的对应特征进行对比完成报文的识别，确定需要跟踪的报文。

6.如权利要求1所述的方法，其特征在于，所述需要跟踪的报文，经过所述探测点后，将记录该报文经过探测点的位置及出现时间信息。

7.如权利要求6所述的方法，其特征在于，所述记录的报文信息将存放在内存中，以便后续读取。

8.如权利要求2所述的方法，其特征在于，当报文跟踪程序结束后，通过替换break指令，撤销探测点。

9.如权利要求1所述的方法，其特征在于，所述方法可以用于网络流量跟踪分析过程。

10.如权利要求1所述的方法，其特征在于，所述方法可以用于网络故障定位过程。

11.如权利要求10或11所述的方法，其特征在于，可以在所述方法中增加至少一个时间截，用以统计所述跟踪报文在各网络中转发时长。

12.一种网络跟踪流量分析装置，其特征在于，所述装置包括：

探测点设定模块，用以在系统动态绑定探测函数设定探测点；

报文分拣模块，用以分检需要跟踪的报文；

报文信息收集模块，用以收集各被跟踪报文经过网络各层转发时的信息；

探测点撤销模块，用以在跟踪程序结束后，系统动态替换探测函数，撤销探测点；

网络流量结果分析模块，用以根据统计得到的跟踪报文经过网络各层转发信息，进行网络流量分析。

13.如权利要求12所述的装置，其特征在于，所述探测点设定模块，通过break指令产生CPU异常，设置探测点，从而动态改变CPU指令执行路径。

14.如权利要求12所述的装置，其特征在于，所述网络中的报文使用统一的“o”拷贝报文结构。

15.如权利要求14所述的装置，其特征在于，所述报文分拣模块，通过对报文结构进行解析，提取报文特征与目标流中的对应特征进行对比完成报文的识别，确定需要跟踪的报文。

16.一种网络故障定位装置，其特征在于，所述装置包括：

探测点设定模块，用以在系统动态绑定探测函数设定探测点；

报文分拣模块，用以分检需要跟踪的报文；

报文信息收集模块，用以收集各被跟踪报文经过网络各层转发时的信息；

探测点撤销模块，用以在跟踪程序结束后，系统动态替换探测函数，撤销探测点；

网络故障定位模块，用以根据统计得到的跟踪报文经过网络各层转发信息，进行网络故障分析。

17.如权利要求16所述的装置，其特征在于，所述探测点设定模块，通过break指令产生CPU异常，设置探测点，从而动态改变CPU指令执行路径。

18.如权利要求16所述的装置，其特征在于，所述网络中的报文使用统一的“o”拷贝报文结构。

19.如权利要求18所述的装置，其特征在于，所述报文分拣模块，通过对报文结构进行解析，提取报文特征与目标流中的对应特征进行对比完成报文的识别，确定需要跟踪的报文。

Images