CN103649939A

CN103649939A - 具有通信量产生能力的网络交换机

Info

Publication number: CN103649939A
Application number: CN201180072317.0A
Authority: CN
Inventors: D·卡法雷利; P·P·T·梁
Original assignee: Gigamon Inc
Current assignee: Gigamon Inc
Priority date: 2011-07-06
Filing date: 2011-07-28
Publication date: 2014-03-19
Anticipated expiration: 2031-07-28
Also published as: AU2011372497B2; JP2014523180A; US20130010613A1; EP2729879A1; AU2011372497A1; WO2013006185A1; CN103649939B; EP2729879A4; EP2729879B1; JP5897707B2; US9219700B2

Abstract

一种分组交换机系统，包括：分组交换机设备，所述分组交换机设备具有被配置成接收分组的第一网络端口和被配置成与网络监测工具通信的第一仪器端口；用于存储所述分组的存储系统；以及集成电路，所述集成电路被配置成从所述存储系统检索所述分组，并且响应于用户命令，所述集成电路在回放配置中将所述分组逆动地传输至所述第一仪器端口。

Description

具有通信量产生能力的网络交换机

技术领域

本申请总体涉及网络交换机装置。

背景技术

网络交换机已经被用来将分组从一个节点转发至另一个节点。这样的网络交换机装置包括用于从第一节点接收分组的第一网络端口和用于将分组传递至第二节点的第二网络端口。

本申请的申请人已经判定，将有利的是，将接收的分组存储在与网络交换机装置相关联的介质处，并且在回放配置中逆动地传输分组，由此提供具有网络通信量再生特征的网络交换机装置。这样的分组交换机装置可以具有用于连接到分组交换网络的一个或多个网络端口和连接到用于监测分组通信量的一个或多个网络仪器的一个或多个仪器端口，所述一个或多个网络仪器诸如分组嗅探器、入侵检测系统、应用监测、或法庭用记录器。

发明内容

根据一些实施方案，一种分组交换机系统，包括：分组交换机设备，所述分组交换机设备具有被配置成接收分组的第一网络端口和被配置成与网络监测工具通信的第一仪器端口；用于存储所述分组的存储系统；以及集成电路，所述集成电路被配置成从所述存储系统检索分组，并且响应于用户的命令，所述集成电路在回放配置中将所述分组逆动地传输至所述第一仪器端口。

根据其它实施方案，一种分组处理的方法，所述方法包括：接收在网络交换设备的第一网络端口处的分组；将所述分组存储在存储装置中；接收来自用户的命令，响应于所述接收的命令，从所述存储装置检索所述分组，并且在回放配置中，将所述分组逆动地传输至所述第一仪器端口。

根据其它实施方案，一种分组交换机系统，包括：分组交换机设备，所述分组交换机设备具有被配置成接收分组的第一网络端口和被配置成与网络监测工具通信的第一仪器端口；和集成电路，所述集成电路被配置成从存储系统检索分组，并且响应于用户的命令，所述集成电路在回放配置中将所述分组逆动地传输至所述第一仪器端口；其中，所述集成电路被配置成基于预定的分组传输方案将所述分组逆动地传输至所述第一仪器端口；并且其中，所述预定的分组传输方案包括：从所述第一网络端口到所述第一仪器端口的分组传输；从在包括所述第一网络端口的所述分组交换机设备处的多个网络端口到所述第一仪器端口的分组传输；从包括所述第一网络端口的多个网络端口到在包括所述第一仪器端口的所述分组交换机设备处的多个仪器端口的分组传输；或从所述第一网络端口到包括所述第一仪器端口的所述多个仪器端口的分组传输。

根据其它实施方案，一种分组交换机系统，包括：存储系统，所述存储系统被配置成从分组交换机设备接收分组，并且存储所述分组以便稍后处理；和集成电路，所述集成电路被配置成从所述存储系统检索分组，并且响应于用户的命令，所述集成电路在回放配置中将所述分组通过在所述分组交换机设备处的仪器端口逆动地传输至网络监测工具。

其它和进一步的方面和特征将从阅读实施方案的下列详细描述显然。

附图说明

附图图示出实施方案的设计和效用，其类似的元件由共用的附图标记引用。这些附图不一定按比例绘制。为了更好地领会如何获得所述以及其它优势和目的，将提出在随附的附图中图示出的实施方案的更特定的描述。这些附图仅描绘典型的实施方案并且因此不应视为对其范围的限制。

图1图示根据一些实施方案的分组交换机装置；

图2图示根据其它实施方案的另一个分组交换机装置；

图3图示根据一些实施方案的提供使用图1的分组交换机装置执行的网络通信量数据的方法；

图4图示根据一些实施方案的图1的分组交换机装置的实施方案的示例；

图5图示根据一些实施方案的由图4的分组交换机装置进行的处示例性分组处理过程；并且

图6示出根据一些实施方案的在网络环境中的图1的网络交换机装置的布置的示例。

具体实施方式

在下文中参照这些图来描述各个实施方案。应注意的是，这些图不按比例绘制并且类似的结构或功能的元件贯穿这些图由相似的附图标记代表。还应注意的是，这些仅旨在用以有利于实施方案的描述。它们不旨在作为本发明的详尽描述或作为对本发明的范围的限制。此外，所示实施方案不需要具有示出的所有方面或优势。结合特定实施方案描述的方面或优势不必限制那个实施方案，并且即使不被如此图示，也能够在任何其它实施方案中被实践。

图1图示根据一些实施方案的包括通信量产生能力的网络交换机装置300。网络交换机装置300包括第一网络端口312、第二网络端口314、第一仪器端口328、和第二仪器端口329。装置300还包括分组交换机340和用于包含分组交换机340的网络交换机壳体341。在图示的实施方案中，装置300还包括其它部件，诸如耦接到各个相应的端口312、314的网络PHY（未示出），其中，网络PHY可以被视为分组交换机340的部分。可选地，网络PHY可以被视为与集成电路340分离的部件。PHY被配置成将链路层装置连接至诸如光纤、铜电缆等的物理介质。在其它实施方案中，代替PHY，装置300可以包括光收发机或SERDES等壳体341允许装置300作为单个单元被携载、传送、出售、和/或操作。端口312、314、328、329定位在壳体341的周边。在其它实施方案中，端口312、314、328、329可以相对于壳体341定位在其它位置处。虽然示出两个网络端口312、314，但是在其它实施方案中，装置300可以包括多于两个网络端口。另外，虽然示出两个仪器端口328、329，在其它实施方案中，装置300可以包括仅一个仪器端口或多于两个仪器端口。

在图示的实施方案中，网络交换机装置300还包括集成电路380，该集成电路380用于从端口312和/或314接收网络通信量数据，处理网络通信量数据，和将网络通信量数据传输至仪器370和/或372。如在该说明书中所使用的，术语“集成电路”可以指一个电路或多个电路。根据一些实施方案，集成电路380也被配置用于使用已存储的数据来产生网络通信量。在图示的实施方案中，集成电路380图示为分组交换机340的部件。在其它实施方案中，集成电路380可以与分组交换机340独立的部件。集成电路380可以使用诸如一般处理器、网络处理器、ASIC处理器、FPGA处理器等的处理器来实施。另外，在一些实施方案中，用来实施分组交换机340的相同的处理器也可以用来实施集成电路380的功能。

在图示的实施方案中，装置300还包括用于通信地连接至存储装置342的端口330。存储装置342包括用于与装置300通信的端口344、用于处理数据的集成电路346、和用于存储网络通信量数据的非暂态介质348。端口330和344可以被配置成通过网络或经直接连接通信。在一些实施方案中，非暂态介质348被配置成存储大文件，并且可以具有在任何位置从500吉字节到6太字节，并且更优选地在任何位置从500吉字节以3太字节的存储空间。在其它实施方案中，非暂态介质348可以具有高于6太字节，诸如30太字节的存储空间。在进一步的实施方案中非暂态介质348可以具有高于100太字节（例如，几百太字节）或高于1000太字节（例如，几千太字节）的存储空间。应注意的是，非暂态介质348可以被配置成具有任意尺寸，取决于用户希望支持的网络深度。

集成电路346可以使用诸如一般处理器、网络处理器、ASIC处理器、FPGA处理器、或其组合的处理器来实施。另外，在一些实施方案中，集成电路346可以是单个电路或多于一个电路，例如，它可以是上文提及的任意示例性部件的组合。在一些实施方案中，存储装置342可以不包括集成电路346。例如，如果集成电路380被配置成提供集成电路346的功能，则可以不需要存储装置342的集成电路346。集成电路346和/或集成电路380可以被配置成在数据被存储在介质348中之前处理网络通信量数据，以及响应于请求（例如，用户请求，诸如从工具传输的请求）检索已存储的数据，以及为用户提供已存储的数据。在图示的实施方案中，装置300被配置成提供已存储的数据，通过使用已存储的数据来再生网络通信量。在一个实施方式中，该装置被配置成在回放配置中通过逆动地传输先前已存储的数据、使用所述已存储的数据来生成网络通信量，使得像在包括数据的初始通信量流中那样提供数据。下面将进一步详细地描述用于存储网络通信量数据和使用已存储的数据逆动地再生网络通信量的方法的实施方案。

在图示的实施方案中，存储装置342进一步包括壳体350，该壳体350允许存储装置342作为单个单元被携载、传送、出售、和/或操作。在一些实施方案中，存储装置342可以被视为网络交换机装置300的一部分。在其它实施方案中，网络交换机装置300和存储装置342可以被视为部分的网络交换系统。另外，在一些实施方案中，存储装置可能是自包含的，具有在单个机箱中的处理器。在其它实施方案中，存储装置可以在其自身的机箱中。各存储装置可以是单个存储单元，或阵列（例如，可以具有一个或多个磁盘驱动器）。

在使用期间，装置300的第一网络端口312可通信地耦接到第一节点360，并且第二端口314可通信地耦接到第二节点362。装置300被配置成通过网络374（例如，因特网）经网络端口312、314在第一节点360和第二节点362之间传达分组。另外，在使用期间，装置300的仪器端口328、329可通信地耦接到相应的仪器370、372。仪器370、372可以直接耦接到装置300，或通过网络374可通信地耦接到装置300。在一些情况下，装置300作为单个单元被提供，其允许装置300沿着通信路径布置在单个点处。在图示的实施方案中，分组交换机340被配置成经网络端口312、314从节点360、362接收分组，并且根据预先定义的方案处理分组。例如，分组交换机340可以将从一个或多个节点接收的分组传递到连接到相应的（一个或多个）仪器端口328、329的一个或多个仪器。

在任意实施方案中，分组交换机340可以是根据预定的传输方案提供分组传输的任意交换模块。在一些实施方案中，分组交换机340可以是用户可配置的，使得分组可以在一对一配置（即，从一个网络端口到一个仪器端口）中被传输。如在该说明书中所使用的，术语“仪器端口”是指被配置成将分组传输至仪器的任意端口，其中，所述仪器可以是非经过装置（即，它能够仅接收预期在两个节点之间被传达的分组，并且不能传输下游的这样的分组），诸如嗅探器、网络监测系统、应用监测系统、入侵检测系统、法庭用存储系统、应用安全防范系统等，或所述仪器可以是通过装置（即，它能够接收分组，并且在分组已经被处理之后将分组传输返回至装置300），诸如入侵防御系统。在其它实施方案中，分组交换机340可以被配置成使得分组可以在一对多配置（即，从一个网络端口到多个仪器端口）中被传输。在其它实施方案中，分组交换机340可以被配置成使得分组可以在多对多配置（即，从多个网络端口到多个仪器端口）中被传输。在进一步的实施方案中，分组交换机340可以被配置成使得分组可以在多对一配置（即，从多个网络端口到一个仪器端口）中被传输。在一些实施方案中，一对一、一对多、多对多、和多对一配置均是可用的以便允许用户选择性地配置装置300，使得分组（或某些类型的分组）根据这些配置中的任一个被路由。在一些实施方案中，分组移动配置是预定的，使得当装置300接收分组时，装置300将基于预定的分组移动配置（例如，一对一、一对多、多对多、和多对一）将分组自动地转发至端口，无需分析分组（例如，无需检查标头、判定分组的类型等）。

可以用来实施本文中所描述的特征的分组交换机340的示例包括任意在商业上可获得的网络交换机装置，诸如在Gigamon LLC处可获得的GigaVUE^TM。在美国专利申请No.12/148,481、12/255,561、11/123,273、11/123,465、和11/123,377中描述了可以用来实施本文中所描述的特征的分组交换机340的其它示例，这些美国专利申请的整个公开内容明确地通过引用并入本文。

根据一些实施方案，分组交换机340可以具有传统分组交换机的功能，除了它提供到网络的各部分中的可见度之外。因此，分组交换机340的实施方案可以像传统管理型分组交换机那样工作，但是提供分组监测功能。这在某些情况下通过将分组交换机340配置成作为电路交换机工作而完成。在一些实施方案中，管理型分组交换机的配置可以通过利用交换机的CPU接口以修改交换机中适当的寄存器以允许期望的操作来执行。

应注意的是，可以与装置300一起使用的分组交换机340并不限于上述示例，并且具有不同的配置的其它分组交换机340也可以使用。另外，在本文中所描述的实施方案的任一个中，分组交换机340可以使用集成电路来实施，所述集成电路诸如处理器（例如，通用处理器、网络处理器、ASIC处理器、FPGA处理器等）。

在上文的实施方案中，存储装置342图示为具有与壳体341分离的壳体350。在其它实施方案中，存储装置342可以被实施为在网络交换机装置300的壳体341的内部的部件。在这些情况下，存储装置342的部件中的一个或多个可以定位在网络交换机装置300的壳体341的内部。图2图示根据其它实施方案的另一个网络交换机装置300。网络交换机装置300与图1的网络交换机装置300相同，除了集成电路346和非暂态介质348位于网络交换机装置300的壳体341内部之外。在一些实施方案中，集成电路346可以被配置成实施集成电路380的功能，并且因此，装置300不包括两个独立的集成电路380、346。在其它实施方案中，集成电路346可以是处理器，并且交换340还可以包括其自身的处理器380（像在图1中所示的处理器），在该情况下，装置300将包括两个处理器346、380。

图3图示根据一些实施方案的用于存储网络通信量数据和提供已存储的数据的方法400。将参照图1或图2的装置300的实施方案来描述方法400。然而，应理解，可以使用其它装置来执行方法400，并且因此，方法400不应被限制于本文中所描述的示例。首先，在网络交换机装置300的网络端口312处接收分组（项402）。响应于节点360通过网络374传输包括分组的通信量流，由装置300执行对分组的接收。

接收，将已接收的分组存储在存储装置342中（项404）。在图示的实施方案中，在交换机340接收分组之后，交换机340对分组进行时间标记，然后将时间标记的分组传输至介质348以便存储。在其它实施方案中，如果存储装置342包括部件346，则部件346可以用来在分组被存储在介质348中之前对分组进行时间标记。已存储的分组允许它们稍后被检索和被处理。在一些实施方案中，分组的仅在相同会话中的（一个或多个）部分是时间标记的。这避免对经过装置300的每个分组进行时间标记的需要，对每个分组进行时间标记可能是效率低下的。在其它实施方案中，经过装置300的所有分组可以是时间标记的。

接着，装置300从用户接收对某些存储的分组作出请求的命令（项406），并且响应于已接收的命令同，装置300从存储装置342检索分组（项408）。在一些实施方案中，来自用户的命令可以从计算机被传输至装置300。用于传输命令的计算机可以直接耦接到装置300，或可替代地，通过网络（例如，网络374）可通信地联接到装置300。在进一步的实施方案中，装置300可以被配置（例如，构建和/或程控）成使得当预定的条件发生时（例如，当预定的时间到达时、当涉及某一目的地址的分组被接收时等）装置300将自动地生成命令。在这些情况下，接收命令的动作可以被视为在装置300的配置和/或编程期间执行。在图示的实施方案中，响应于接收的命令，集成电路380和/或集成电路346查阅存储在非暂态介质348中的信息，并且从非暂态介质348检索被请求的分组。例如，命令可以对具有在某一规定范围内的时间标记的分组作出请求。在这些情况下，集成电路380和/或电路346可以访问介质348，并且检索满足命令的具有时间标记的分组。在一些实施方案中，分组的仅属于相同会话的子集是时间标记的，集成电路380和/或电路346可以检索该（这些）分组的时间标记的子集以及属于相同会话的所有其它无时间标记的分组。在其它实施方案中，代替通过时间标记信息来查阅已存储的分组，装置300可以被配置成基于会话识别、源IP地址、目的IP地址、或其组合（例如，源地址和目的IP地址）来查阅已存储的分组。

接着，装置300将已检索的分组逆动地传输至仪器端口328，使得耦接到仪器端口328的仪器370在回放配置中将接收分组（项410）。回放配置允许可通信地联接到仪器端口328的仪器不仅接收先前由装置300接收的分组，而且还允许该仪器接收这样的分组犹如这样的分组在初始网络通信量流一样。在一些实施方案中，分组的“回放”可能涉及将分组传递通过交换机340，该交换机340根据预定的分组处理方案（例如，从任意网络端口到任意仪器端口（任意对任意）的分组、从网络端口到多个仪器端口（一对多）的分组、从多个网络端口到仪器端口（多对一）的分组、或从多个网络端口到多个仪器端口（多对多）的分组）传输回放的分组。另外，或可替代地、分组的“回放”可能涉及由交换机340处理分组，该交换机340执行分组滤波和/或映射在已检索的分组上、经过所有已检索的分组等。

在一些实施方案中，存储在介质348中的分组在规定的周期之后时效老化（age out），并且然后从介质348被删除（例如，由较新的已接收的分组取代）。在一个实施方式中，分组的存储和在规定的周期之后分组的时效老化可以基于先进先出（FIFO）规则来执行。借助于非限制性示例，规定的周期可以是1小时、5小时、1天、3天、1周、或任意其它持续期，这取决于介质348的存储空间和/或网络通信量条件。具有相对更大的存储空间的介质348可以存储更多数据，并且因此，可以允许数据在它们时效老化之前在被存储在介质348中更长的持续时间内被接收。另外，如果网络通信量条件是忙的，则装置300可以在一个时间段内接收相对更多的分组。在这些情况下，装置300可以被配置（例如，由对电路380和/或电路346进行构建和/或编程）成存储在更短的持续时间（即，具有更短的时效老化周期）内被接收的数据。在进一步的实施方案中，装置300可以被配置（例如，由对电路380和/或电路346进行构建和/或编程）成动态地调节规定的周期以便使已存储的数据时效老化。在一个实施方式中，对规定周期的动态地调节可以至少部分地基于介质348中的剩余存储空间量来执行。例如，当装置300检测到存在相对更多的剩余存储空间时，则它可以将时效老化周期动态地调节为更长，并且反之亦然。在另一个示例中，当装置300检测到存在相对更多的网络通信量时，则它可以将时效老化周期动态地调节为更短，并且反之亦然。

本文中所描述的通信量再生特征是有利的，因为它避免在装置300处最初接收分组时对耦接到装置300的工具（例如，370）的需要。例如，工具370可能是在建筑物之间共享的昂贵的一件设备，并且因此，它不能被用作装置300的固定装置。在这些情况下，装置300可以首先在没有工具耦接到其的情况下接收分组。在稍后的时候，然后可以将工具耦接到装置300，并且装置300然后使用已存储的分组再生网络通信量，使得工具在回放配置中接收分组，犹如这些分组在初始网络通信量流中被传输一样。在回放配置中传输先前已存储的数据是有利的，因为它允许数据像在初始通信量流中那样被提供。特别地，在一个场景中，回放通过装置300的“整个流”允许用户使用可能已经不可用的（一个或多个）工具重新播放或重新分析初始通信量流。

另外，时间标记特征是有利的，因为它允许装置300将分组非常迅速地（例如，比在初始网络通信量传输中更快）回放至工具。如果工具（例如，工具370）理解来自装置300的时间标记分组，则它可以迅速地分析通信量。例如，如果分组在10小时的周期内进入但是存在仅几个分组，则工具（没有利用来自装置300的时间标记的分组）将需要等待10小时以接收所有相关的分组。在由装置300提供的时间标记特征内，装置300可以检索在长周期（在上述示例中是10小时）内存储的分组，将它们组织到网络通信量流中（即，使得分组在处于正确的顺序中），并且将时间标记的分组传输至工具370。因为仅相关的分组基于（一个或多个）时间标记被检索并且被组织到网络通信量流中，所以在相关的分组之间从初始网络通信量传输接收的不恰当的分组（例如，属于其它会话的分组）从重新创建的网络通信量流被排除。因此，在该示例中，工具可以非常迅速地接收由装置300在10小时内获得的所有相关的分组，并且非常迅速地处理分组。就像快速转发分组那样。

在其它实施方案中，集成电路380和/或电路346可以被配置成在分组被传输至仪器端口之前为分组除去时间标记。这样的配置在耦接到仪器端口的工具不理解时间标记的情形下是有利的。

另外，在其它实施方案中，代替快速转发分组，装置300可以被配置成传输在减速配置中的已检索的分组。在进一步的实施方案中装置300可以提供用户接口以便允许用户规定将已检索的分组从介质348传输至工具（例如，工具370）的快速程度。减速配置的一个益处是，它使得耦接到（一个或多个）仪器端口的（一个或多个工具）能够执行分组分析且无需放弃或丢弃分组，如果网络通信量流对于（一个或多个）而言太快速地被传输（例如，以初始速度被传输的网络通信量流），则可能出现掉下或丢弃分组。在其它实施方案中，装置300（例如，集成电路380和/或电路346）可以被配置成接收来自工具的用以指示工具的处理能力的反馈，并且装置300（例如，集成电路380和/或电路346）然后动态地调整回放速度以自适应地维持对于工具的通信量处理的最大吞吐量。

图4图示根据一些实施方案的图1的网络交换机装置300的实施方案的示例。在图示的实施方案中，网络交换机装置300包括母板802，该母板802是用于网络交换机装置300的中心或一次电路板。母板802包括系统CPU（中央处理单元）804、网络交换机芯片806、和连接器808。除其它功能之外，CPU804被配置成解释编程指令和过程数据。网络交换机芯片806，也被称为“以太网交换机芯片”或“芯片上交换机”，在集成电路芯片或微芯片设计提供分组交换和过滤能力。连接器808提供具有可移动地接受外围装置或附加板或卡的能力的母板802。在一些实施方案中，连接器808允许诸如子板或扩充板装置直接连接到母板802的电路。母板802还可以包括许多其它部件，诸如但不限于易失性计算机可读存储介质和/或非易失性计算机可读存储介质（两者均可以被视为非暂态介质的示例）、显示处理器、和/或附加外围连接器。分组交换机装置300也可以被配置成具有一个或多个硬件端口或连接器用于将服务器、端子、IP电话、网络仪器、或其它装置连接到分组交换机装置300。

网络交换机芯片806设置有多个端口并且也可以设置有一个或多个过滤器。端口可以各自为半双工传输或全双工传输。端口中的每一个可以独立地或以组合方式被配置为网络端口、仪器端口、传送端口、或回送端口。网络端口被配置用于连接到网络和/或从网络连接。仪器端口被配置用于连接到网络仪器和/或从网络仪器连接，所述网络仪器诸如分组嗅探器、入侵检测系统等。传送端口被配置用于连接到另一个网络船用交换机（switch ship）、另一个交换机装置（设备）、或处理器单元和/或从另一个网络船用交换机、另一个交换机装置（设备）、或处理器单元连接。

在一些实施方案中，网络交换机装置300可以包括已存储在计算机可读介质上用于配置单或双端口回送端口的指令。这些指令可以在CPU804上执行。各回送端口将可用于配置为网络、仪器、或传送端口的端口数量减小至少一个。

另外，在一些实施方案中，网络交换机芯片806的各个端口可以基于准则与放弃或转发分组的一个或多个分组过滤器相关联。

如图4的图示的实施方案中所示，分组交换机装置300可以包括子板810，该子板810被配置成经连接器808可移动地连接到母板802。子板810可以平行于母板802被连接或在与母板802相同的平面内，如所示的。在平行配置中，子板810也可被称为中层板。可选地，子板810可以被取向为垂直于母板802的平面，或它可以以不同的取向被连接。除了分组分配能力，子板810还提供其它分组处理能力。子板810具有处理器单元814和存储器816。与母板802一样，子板810还可以包括许多其它部件（像参照母板802所论述的那些部件）。处理器单元814可以是能够路由和处理分组（诸如在装置300处接收的时间标记分组）、从介质检索已存储的分组、和/或使用已检索的分组再生网络通信量的任意集成电路。可选地，任意或所有这些功能可以使用系统CPU804执行。存储器816可以用来实施图1或图2的存储器348。

在一些实施方案中，子板810可以用来实施集成电路380和/或电路346以便从介质检索分组以及使用已检索的分组再生网络通信量。在其它实施方案中，母板802可以用来实施集成电路380和/或电路346以便从介质检索分组以及使用已检索的分组再生网络通信量。在进一步的实施方案中，母板802和子板810两者可以用来实施集成电路380和/或电路346以便从介质检索分组以及使用已检索的分组再生网络通信量。

在其它实施方案中，处理单元814和存储器816是刀片式服务器的部分、母板802的部分、或网络交换机芯片中的模块的部分。

图5在逻辑上图示根据一些实施方案的图4的在网络交换机装置300中分组流的示例。在一些情况下，分组可以从入站端口被路由到出站端口，所述入站端口和出站端口两者都位于网络交换机芯片806上。假设端口902a是网络交换机芯片806上的网络端口，假设端口902b是网络交换机芯片806上的仪器端口，假设端口904a和904b是网络交换机芯片806上的传送端口，并且假设连接部912a和912b是网络交换机芯片806和处理器单元814之间的连接部。进一步假设，分组交换机装置300被配置成将所有的分组从网络端口902a路由到仪器端口902b。在网络端口902a处接收的入站分组由网络交换机芯片806路由至传送端口904a以便出站。分组由处理器单元814经连接部912a接收。在其它实施方案中，进入分组经传送端口904b被路由并且在连接部912b处被接收。分组通过它连接件912a和传送端口904a路由返回至网络交换机芯片806以便在仪器端口902b处出站。使用本文中所描述的先前已存储的分组的网络通信量再生可以由在子板810处的（一个或多个）部件、在母板802处的（一个或多个）部件、或在母板802和子板810两者处的部件执行。

应注意的是，分组交换机装置300并不限于先前描述的配置，并且分组交换机装置300在其它实施方案中可以具有不同的配置。例如，在其它实施方案中，装置300可以不具有任何子板。在这些情况下，本文中所描述的分组二分特征可以由处理器或定位在上母板802的另一个集成电路执行。

图6示出根据一些实施方案的在网络环境1000中的网络交换机装置300的布置。因特网1004经路由器1006a-b和防火墙1068a-b耦接到两个交换机1010a和1010b。交换机1010a耦接到服务器1012a-b和IP电话1014a-c。交换机1010b耦接到服务器1012c-e。嗅探器1016、IDS1018和法庭用记录器1020（总体地，“非通经仪器”）耦接到装置300。如图6中所图示，在该布置中与传统配置（其中，在路由器1066a和防火墙1068a之间可能存在一个或多个非通经仪器，在防火墙1068a和交换机1010a之间可能存在一个或多个非通经仪器，在路由器1066b和防火墙1068b之间以及在防火墙1068b和交换机1010b之间可能存在非通经仪器）相比，存在非通经仪器的数量上的下降，因为相同的非通经仪器现在能够通过装置300访问网络环境1000中任意位置的信息。根据本文中所描述的不同的实施方案，使用系统的任意对任意、任意对多、多对一、和多对多能力，用户具有将任何通信量传递到任何仪器非通经仪器组完全的灵活性。例如，IP电话1014a-c的所有会话能够容易地被配置成发送至IDS1018。特定IP电话1014a-c连接部内部的通信量能够经一对多功能同时地被发送至嗅探器1016、和入侵检测系统1018和法庭用记录器1020也是可能的。本文中所描述的装置300的网络通信量再生特征允许装置300存储已接收的分组，在稍后的时间检索已存储的分组，以及使用已检索的分组再生网络通信量。

在一些实施方案中，当使用装置300时，一个或多个非通经仪器（诸如IDS、嗅探器、法庭用记录器等）可以连接到（一个或多个）仪器端口，并且一个或多个通经仪器140a、140b（例如，IPS）可以连接到（一个或多个）其它仪器端口（例如，（一个或多个）内嵌端口）。这样的配置允许非该（这些）通经仪器和该（这些）通经仪器同时地监测网络通信量。各非通经仪器处于聆听模式（即，它接收预期将在两个节点之间通信的分组），并且各通经仪器处于通过模式中（即，它接收预期将在两个节点之间通信的分组，处理它们，然后朝预期的接收方节点向下游传递分组）。在一些情况下，通过让IDS和IPS两者连接到装置300，装置300能够比较IDS或IPS是否看到更多的威胁，和/或能够具有冗余保护，使得如果IPS错过程任意威胁，则IDS可以拾起它。

应注意的是，当在该应用中描述“分组”时，应理解，它可以指从节点传输的初始的分组或其拷贝。

应注意的是，术语“第一”（如例如在“第一分组”中）和术语“第二”（如例如在“第二分组”中）用来指不同的事物，并且不一定指事物的顺序。因此，术语“第一分组”不一定指“首先”被接收的分组，并且可以指不同于“第二”分组的任意分组。同样地，术语“第二分组”不一定指以“第二”顺序被接收的分组，并且可以指不同于“第一”分组的任意分组。

虽然已经示出并且描述了特定实施方案，但是应理解，它们不旨在限制本发明，并且对于本领域的技术人员来说将显而易见的是，在不脱离存在的发明的精神和范围的情况下，可以作出各种改变和修改。说明书和附图相应地将被视为在说明性的而非限制性的意义上。本发明旨在覆盖可能被包括在如由权利要求定义的精神和范围内的替代物、修改、和等同物。

Claims

1.一种分组交换机系统，包括：

分组交换机设备，所述分组交换机设备具有被配置成接收分组的第一网络端口和被配置成与网络监测工具通信的第一仪器端口；

用于存储所述分组的存储系统；以及

集成电路，所述集成电路被配置成从所述存储系统检索所述分组，并且响应于用户的命令，所述集成电路在回放配置中将所述分组逆动地传输至所述第一仪器端口。

2.根据权利要求1所述的分组交换机系统，其中，所述集成电路被配置成在比在所述分组交换机设备处接收所述分组的总时间更短的周期内传输所述分组。

3.根据权利要求1所述的分组交换机系统，其中，所述集成电路位于所述分组交换机设备中。

4.根据权利要求1所述的分组交换机系统，其中，所述集成电路被配置成提供用户接口以便允许所述用户以输入所述命令。

5.根据权利要求1所述的分组交换机系统，其中，所述存储系统包括多个磁盘。

6.根据权利要求1所述的分组交换机系统，其中，所述存储系统包括至少500吉字节的空间。

7.根据权利要求1所述的分组交换机系统，其中，所述存储系统包括至少3太字节的空间。

8.根据权利要求1所述的分组交换机系统，其中，所述集成电路被配置成在存储所述存储系统中的分组之前通过对所述分组中的至少一些进行时间标记来处理所述分组。

9.根据权利要求1所述的分组交换机系统，其中，所述存储系统位于所述分组交换机设备中。

10.根据权利要求1所述的分组交换机系统，其中，所述存储系统在所述分组交换机设备的外部。

11.根据权利要求1所述的分组交换机，其中，所述集成电路被配置成基于预定的分组传输方案将所述分组逆动地传输至所述第一仪器端口。

12.根据权利要求11所述的分组交换机，其中，所述预定的分组传输方案选自由下列各分组传输组成的组：从所述第一网络端口到所述第一仪器端口的分组传输；从在包括所述第一网络端口的所述分组交换机设备处的多个网络端口到所述第一仪器端口的分组传输；从包括所述第一网络端口的多个网络端口到在包括所述第一仪器端口的所述分组交换机设备处的多个仪器端口的分组传输；以及从所述第一网络端口到包括所述第一仪器端口的所述多个仪器端口的分组传输。

13.一种分组处理的方法，所述方法包括：

接收在网络交换设备的第一网络端口处的分组；

将所述分组存储在存储装置中；

从用户接收命令；

响应于所述接收的命令，从所述存储装置检索所述分组，并且在回放配置中，将所述分组逆动地传输至所述第一仪器端口。

14.根据权利要求13所述的方法，其中，在比在所述交换设备处接收所述分组的总时间更短的周期内传输所述分组。

15.根据权利要求13所述的方法，进一步包括在存储所述分组之前对所述分组中的至少一些进行时间标记。

16.根据权利要求13所述的方法，其中，基于预定的分组传输方案，将所述分组逆动地传输至所述第一仪器端口。

17.根据权利要求16所述的方法，其中，所述预定的分组传输方案选自由下列各分组传输组成的组：从所述第一网络端口到所述第一仪器端口的分组传输；从在包括所述第一网络端口的所述分组交换机设备处的多个网络端口到所述第一仪器端口的分组传输；从包括所述第一网络端口的多个网络端口到在包括所述第一仪器端口的所述分组交换机设备处的多个仪器端口的分组传输；以及从所述第一网络端口到包括所述第一仪器端口的所述多个仪器端口的分组传输。

18.一种分组交换机系统，包括：

分组交换机设备，所述分组交换机设备具有被配置成接收分组的第一网络端口和被配置成与网络监测工具通信的第一仪器端口；和

集成电路，所述集成电路被配置成从存储系统检索所述分组，并且响应于用户的命令，所述集成电路在回放配置中将所述分组逆动地传输至所述第一仪器端口；

其中，所述集成电路被配置成基于预定的分组传输方案将所述分组逆动地传输至所述第一仪器端口；并且

其中，所述预定的分组传输方案包括：从所述第一网络端口到所述第一仪器端口的分组传输；从在包括所述第一网络端口的所述分组交换机设备处的多个网络端口到所述第一仪器端口的分组传输；从包括所述第一网络端口的多个网络端口到在包括所述第一仪器端口的所述分组交换机设备处的多个仪器端口的分组传输；或从所述第一网络端口到包括所述第一仪器端口的所述多个仪器端口的分组传输。

19.根据权利要求18所述的分组交换机系统，其中，所述集成电路被配置成在比在所述分组交换机设备处接收所述分组的总时间更短的周期内传输所述分组。

20.根据权利要求18所述的分组交换机系统，进一步包括存储系统，其中，所述存储系统包括多个磁盘。

21.根据权利要求20所述的分组交换机系统，其中，所述存储系统包括至少500吉字节的空间。

22.根据权利要求20所述的分组交换机系统，其中，所述存储系统包括至少3太字节的空间。

23.根据权利要求18所述的分组交换机系统，其中，所述集成电路被配置成在存储所述存储系统中的分组之前通过对所述分组中的至少一些进行时间标记来处理所述分组。

24.一种分组交换机系统，包括：

存储系统，所述存储系统被配置成从分组交换机设备接收分组，并且存储所述分组以便稍后处理；和

集成电路，所述集成电路被配置成从所述存储系统检索所述分组，并且响应于用户的命令，所述集成电路在回放配置中将所述分组通过在所述分组交换机设备处的仪器端口逆动地传输至网络监测工具。

25.根据权利要求24所述的分组交换机系统，其中，所述集成电路被配置成在比在存储系统处接收所述分组的总时间更短的周期内传输所述分组。

26.根据权利要求24所述的分组交换机系统，其中，所述存储系统包括多个磁盘。

27.根据权利要求24所述的分组交换机系统，其中，所述存储系统包括至少500吉字节的空间。

28.根据权利要求24所述的分组交换机系统，其中，所述存储系统包括至少3太字节的空间。

29.根据权利要求24所述的分组交换机系统，其中，所述集成电路进一步被配置成对所述分组中的至少一些进行时间标记。

30.根据权利要求24所述的分组交换机系统，其中，所述集成电路被配置成基于预定的分组传输方案将所述分组逆动地传输至所述第一仪器端口。

31.根据权利要求30所述的分组交换机系统，其中，所述预定的分组传输方案选自由下列各分组传输组成的组：从所述第一网络端口到所述第一仪器端口的分组传输；从在包括所述第一网络端口的所述分组交换机设备处的多个网络端口到所述第一仪器端口的分组传输；从包括所述第一网络端口的多个网络端口到在包括所述第一仪器端口的所述分组交换机设备处的多个仪器端口的分组传输；以及从所述第一网络端口到包括所述第一仪器端口的所述多个仪器端口的分组传输。