CN104811400A - 一种分布式网络设备 - Google Patents

Abstract

本发明提供一种分布式网络设备，包括主控板卡、业务板卡以及板间通道，其中主控板卡的CPU用于为各个业务板卡生成网络转发表项，并将该网络转发表项下发给各个业务板卡；根据管理侧下发的流量控制策略为各个业务板卡的分流硬件以及CPU下发相应的分流策略表项；业务板卡的分流硬件用于将分流策略表项保存在自身的分流策略表中，并按照自身的分流策略表将网口进入的报文发送到相应的业务板卡的CPU；所述业务板卡的CPU用于将分流策略表项保存在自身的分流策略表中，并根据自身的分流策略对报文进行应用处理以及网络转发处理。本发明分布式网络设备避免了需要配置引流的静态路由或策略路由的问题；管理也更加简单，还可节约管理IP地址。

Description

一种分布式网络设备

技术领域

本发明涉及通信技术领域，尤其涉及一种分布式网络设备。

背景技术

随着网络规模的扩大和网络流量的增加，组网日益复杂化。对于网络的管理运营来说，既要提供高速网络，又要保证网络的安全，传统网络架构逐渐受到实际应用的严峻挑战。

在大型网络中，骨干链路要对报文的网络转发、网络应用处理和网络安全处理同时做出保障，每一项都要求有专门的设备或功能模块来实现。所谓网络转发覆盖通常是指网络中由路由表项、访问控制规则、报文过滤规则、ARP表项等组成的数据链路层及网络层报文的报文转发。此处网络应用是指针对网络中报文流量的应用处理，比如报文审计、网络地址转化NAT以及流量分析业务等。此处网络安全通常是指对网络流量的安全防护业务（也是一种广义的网络应用业务），包括入侵防御检测IPS、防病毒以及防范分布式拒绝服务攻击DDoS等。为了实现上述三重保障，现有技术中有三种典型的实现方案。

方案一：请参考图1，在最为传统的方式中，可以将各种功能的网络设备串接在网络中，以同时实现流量转发和信息安全。该方案中各种网络设备包括交换机、路由器；网络安全设备包括FW（防火墙）、IPS、UAG（统一审计网关）、ADX（应用交付网关）等。为实现对局域网与广域网间的流量作流量审计、安全防御、网络转发处理，该方案需要使报文流量经过依次流过路由器RT、UAG、IPS以及FW。如果特定的用户报文流量不需要或不允许作某种处理，则需要在对应功能所在的设备上，通过启用包过滤表项或其它类似方式，将特定用户的流量作旁路bypass处理。该方案中每个设备上都要管理人员进行配置，连线多而复杂，故障点多，易出错。为了防范单点故障，通常还需要应用VRRP等协议防护。在出现故障时，维护人员通常需要一台一台地连接访问，查找故障源，如果各设备的生产厂家不同，还需要组织各厂家技术人员联合处理，故障定位分析困难且步骤繁琐。此外该方案不仅提高了客户的采购成本和维护成本，还占用大量空间，消耗更多电力资源，是目前比较落后的一种实现方案。

方案二：请参考图2，为了简化部署，可以使用同时具有流量转发和安全保障功能的集中式设备，如UTM（统一威胁管理）。该方案的缺点是单台盒式设备硬件性能低，处理能力弱，各项安全业务和应用均无法做到高效率和高专业性，对网络负荷的承载力低，防御网络攻击的能力很弱，无法满足运营级用户或者企业级高端用户对安全和应用的需求。

方案三：请参考图3以及图4，在方案一和方案二的基础上，已有厂商推出框式松耦合设备，比如基于OAA开放应用平台的框式松耦合设备，该技术可以将各种类型的设备改造成对应的板卡，然后插入同一个机框的不同插槽中，通过内部连线实现板卡间报文流量转发。流量从某一业务板的接口流入，依次经过各块板卡，完成所有业务处理后从最后一块板卡的接口流出。流量在设备内部仍然是串行处理，对每块板卡来说，其它板卡和第一种方案中的其它设备没有区别。从物理上来看，方案三中的框式松耦合设备是一个设备，但事实上其只是所有板卡共用电源、共用机框。从网管系统上看，每块板卡仍然是一个独立的网络设备，均需要独立的管理IP地址和管理界面，各个设备独立存储和备份配置文件。这种技术方案除了配置复杂以外，还存在如下缺点：各业务板卡独立运行，相互只是简单串接在一起，逻辑上和第一种方案的组网方式没有区别，方案一的很多问题其同样继承。此外，由于物理形态上与方案一已经不同，方案三中每块板卡均需配置用于引流的静态路由或策略路由，这些都需要管理员手动来操作，板卡数量众多时难于维护。

发明内容

有鉴于此，本发明提供一种分布式网络设备，包括主控板卡、一个或多个业务板卡以及板间通道，其中主控板卡以及业务板卡均包括CPU，所述业务板卡还包括分流硬件以及与分流硬件相连的网口；其中：

所述主控板卡的CPU用于为各个业务板卡生成网络转发表项，并将该网络转发表项下发给各个业务板卡；根据管理侧下发的流量控制策略为各个业务板卡的分流硬件以及CPU下发相应的分流策略表项；

所述业务板卡的分流硬件用于将分流策略表项保存在自身的分流策略表中，并按照自身的分流策略表将网口进入的报文发送到相应的业务板卡的CPU；

所述业务板卡的CPU用于将分流策略表项保存在自身的分流策略表中，并根据自身的分流策略对报文进行应用处理以及网络转发处理。

相较于现有技术而言，本发明分布式网络设备不需要业务板卡配置用于引流的静态路由或策略路由，各个业务板卡不再需要通过动态路由协议等方式来学习转发表项，对于网络管理而言，更加简单，节约管理IP地址；在出现问题时，问题定位更加容易。

附图说明

图1是现有技术中方案一的组网示意图。

图2是现有技术中方案二的组网示意图。

图3是现有技术中方案三的组网示意图。

图4是方案三中框式松耦合设备的架构图。

图5是本发明一种实施方式中分布式网络设备的架构原理图。

图6是本发明一种实施方式中报文流量在内部处理过程的示意图。

图7是本发明另一种实施方式中报文流量在内部处理过程的示意图。

具体实施方式

以下结合附图对本发明进行详细描述。

本发明提出一种全新的分布式网络设备来解决现有技术面临的瓶颈。请参考图5，在本发明的分布式网络设备中，其包括主控板卡、一种或多种类型的业务板卡以及交换板卡；各个板卡通过内部的交换网（Fabric）相连。其中交换板卡并不是必需的部件，当网络设备有更多网络接入需求时，可以引入交换板卡。所述主控板卡以及业务板卡通常均包括CPU、内存以及非易失性存储器。在本发明中，业务板卡还包括网络接口（后续简称“网口”）以及与该网口相连的分流硬件。分流硬件其主要的功能是将报文流量按照主控板卡指定的规则分发到指定的业务板卡上处理。从成本上来考虑，交换芯片就是一种比较理想的分流硬件。交换芯片中最典型的莫过于以太网交换芯片，其成本相对低廉，除了支持ACL（访问控制列表）这样的分流功能，还支持对报文进行二层或三层转发；当然本发明并不排除其他的实现方式，比如采用ASIC或者逻辑器件来实现，这取决于开发者对于分流灵活度、效率以及成本的综合考虑；以下仅仅以交换芯片实现为例来说明。

在本发明中，主控板卡的CPU用于管理其他板卡，比如对各个其他板卡进行配置。主控板卡的CPU还有一项重要的任务是通过各种网络协议为各个业务板卡生成网络转发表项，比如说通过OSPF协议以及ARP协议学习生成IP转发表项，或者通过MPLS协议学习标签转发表项，然后将网络转发表项下发到每个业务板卡上。与现有的框式松耦合设备不同的是，本发明的网络转发表项是由主控板统一下发的。现有的框式松耦合设备中，由于每个板卡在网络中是一个独立的网络节点，拥有独立的管理IP地址，也就是说，从网管系统中可以清楚地看到这个板卡是网络上的一个网络设备；此时各个板卡通常自己来通过各种网络协议来生成自己的网络转发表项。

由于本发明中网络转发表项是主控板卡统一生成的，因此控制层面的设计融合了传统分布式网络设备的优点，回避了松耦合设备的缺点。每个业务板卡的对于协议报文，其可以按照现有技术的方式上送控制层面处理，当然也有少量协议报文是可以留在业务板卡的CPU上进行处理的，相当于业务板卡分担了很少一部分网络协议学习的任务。如何学习生成网络转发表项可以参考成熟的设计来实现，此处不再一一赘述。当然本发明的业务板卡与传统分布式网络设备中所谓的业务板卡又有着本质的区别，首先，本发明所说的业务板卡承担着两项任务，一项是对报文应用级的业务处理，另一项是对报文进行网络转发级的业务处理；所谓应用级的业务处理是指从开放七层模型来看在涵盖网络层上的业务处理，比如FW、IPS以及UAG对报文的处理等等。

请参考图5，本发明允许网络管理员对报文的处理流程进行灵活合理的规划。管理员可以通过网管界面向主控板卡的CPU（也就是软件层面）下发流量控制策略，这个流量控制策略通过包括报文的流量特征（表征特定的报文流量）以及对应的内部处理路径，一个内部处理路径包括一个或多个路径点，每个路径点上包括至少一个同类型的业务板卡，所谓同类型业务板卡是指能够进行相同类型应用处理的业务板卡，其物理规格可能有差异。请参考表1的示例，管理者可以定义源IP地址（SIP）为属于119.207.210.0/24这一网段的报文进入网络设备之后，先经过业务板卡1（FW板卡），然后经过业务板卡2（IPS板卡），接下来再经过业务板卡4（ADX板卡）。管理员同样可以定义源IP地址为202.200.221.0/24的报文依次经过业务板卡1、业务板卡2、业务板卡3（UAG板卡）以及业务板卡4。表1只是示例性的，在实际实施的过程中，流量控制策略中流量特征可以包括IP地址在内的多个报文特征。

表1

主控板卡的CPU收到来自管理员的流量控制策略之后，首先根据该流量控制策略生成分流策略表项下发到各个板卡的分流硬件上。其中该分流策略表项包括流量特征以及对应内部处理路径中的第一个路径点。请参考表2所示的分流策略表的示例，分流硬件可以将多个分流策略表项保存在自身的分流策略表中。以交换芯片为例，主控板卡CPU下发的分流策略表项一般是相应的ACL。这样一来无论报文从网络设备的对应的网口进入时，其都会在交换芯片对报文处理时命中该芯片中对应的ACL，进而被送到内部处理路径中的第一个路径点上业务板卡去处理。比如说SIP=119.207.210.0/24的报文会统一被送到业务板卡1上进行处理。此处需要说明的是，以下若无特别说明，通过查询分流策略表项而确定发送给业务板卡的报文均是发送给业务板卡的CPU的。

序号	流量特征	下一路径点
			1	SIP=119.207.210.0/24	业务板卡1
2	SIP=202.200.221.0/24	业务板卡1
			......	......	......

表2

主控板卡除了向各个交换芯片下发ACL之外，还需要向内部处理路径上每个路径点的业务板卡下发对应的分流策略表项。对于各个路径点上的业务板卡而言，其自身的分流策略表项本身主要包括两部分意义：第一，什么样流量特征的报文需要在本板卡进行应用处理，第二，处理完该报文之后，下一个要对该报文进行应用处理的板卡（也就是表3中下一路径点）是哪个。对于中间路径点而言，这两项内容表项中都具备，对于非中间路径点来说，下一路径点通常为空。在本发明中，所谓中间路径点是指位于分流硬件和最后一个路径点之间的路径点。具体到路径点上的业务板卡来说，对于表1中第1个表项，业务板卡1以及业务板卡2是中间路径点上的板卡；表1中的第2个表项，业务板卡1、业务板卡2以及业务板卡3是中间路径点上的板卡。请参考表3的示例，表3是一个汇总的示例说明，事实上每个中间路径点上的业务板卡可以需要保存最右侧两列即可。

表3

通过以上的描述可以看出，主控板卡CPU下发给分流硬件的分流策略表项以及下发给各个业务板卡的分流策略表项并不相同。分流硬件以及业务板卡CPU将下发过来的分流策略表项保存在对应的分流策略表中以便后续使用。至此，一个基本流量控制策略的处理过程主控板卡CPU已经处理完成。此时分流硬件以及业务板卡的CPU就可以开始按照主控板卡CPU的“意图”对报文进行相应处理了。请参考图5以及图6，假设SIP=119.207.210.0/24的报文组成的流量为第一报文流量，假设该报文流量其从业务板卡3的网口上进入，对于该报文流量中的任意一个报文，由于其SIP=119.207.210.0/24，如果合理进行配置，那么无论其从哪个板卡的网口进入，其都会在分流硬件上命中表2中的第1个表项，于是该报文被通过板间通道（比如交换网Fabric）送到业务板卡1上进行处理。业务板卡1的CPU从板间通道收到该报文之后，进行如下处理流程：

步骤701，业务板卡1的CPU首先对来自分流硬件的上送的报文进行应用处理；转步骤702；

步骤702，在应用处理完成后，业务板卡1的CPU根据分流策略表判断该报文是否有对应的下一路径点，如果是，则将该报文通过板间通道发送给下一路径点上的业务板卡的CPU，如果否，转步骤703。

步骤703，业务板卡1的CPU根据网络转发表项对该报文进行网络转发。

请参考表3，从网口进入的报文命中了分流硬件的某一个分流策略表项，其会被送到一个业务板卡上来进行相应的应用处理，不同类型的业务板卡上的应用处理不尽相同。比如说业务板卡1是FW板卡，因此业务板卡1进行的应用处理是防火墙处理，至于防火墙对报文的具体处理细节可以参考现有技术实现，这并不是本发明关注的重点。

在完成应用处理之后，业务板卡1的CPU继续根据分流策略表检查该报文自身是否为内部处理路径上的最后一个路径点，也就是说报文的流量特征对应的分流策略表项中是否有下一路径点，如果没有，则说明整个路径上的应用处理已经完成，此时根据CPU查找网络转发表项将报文发送出去即可。在本实施方式中，由于业务板卡1并不是最后一个路径点，因此其将报文发给下一路径点上的业务板卡，即业务板卡2。业务板卡2重复上述步骤701到步骤703的处理，接下来到达业务板卡4，在业务板卡4上，完成同样处理之后，业务板卡4的CPU发现本板卡是处理路径上的最后一个路径点，于是其根据网络转发表项找到对应的出口。这里值得注意的是：由于本发明中各个板卡的上的网口都是主控板可见的，如果出口并不在本业务板卡，业务板卡4同样可以通过板间通道将报文从该出口转发出去。假设出口是业务板卡1上的一个网口，此时业务板卡4的CPU将报文通过板间通道发送给业务板卡1，此时报文无需经过业务板卡1的CPU，可以直接透过分流硬件从对应网口发送出去，当然此时分流硬件对于出方向的报文并不需要匹配分流策略表。

这样一来第一报文流量中的一个报文的完整处理流程就完成了。对于第二报文流量中的任意一个报文，处理过程类似，只不过报文的入口、处理路径以及出口不同而已，此处不再一一细述。

请继续参考图7，本发明的网络设备同样是框式设备，在机框上的插槽数量足够使用时，管理员可以在机框中插入多个相同类型的业务板卡，比如说业务板卡1以及业务板卡5都是FW板卡。此时表1、表2、以及表3可以相应地变化为表4、表5以及表6：

表4

表5

表6

当该内部处理路径的同一路径点上包括两个相同类型的第一业务板卡以及第二业务板卡时，所述主控板卡CPU进一步用于为第一业务板卡以及第二业务板卡下发相同的分流策略表项，并在本路径点的前一路径点或分流硬件上创建面向该路径点的内部逻辑接口，其中该内部逻辑接口包括分别面向该第一业务板卡以及第二业务板卡的第一实际出口以及第二实际出口；该内部逻辑接口用于将报文按照预定的分担算法将报文调度到第一或第二实际出口上发送。

如果路径点是整个路径上的第一个路径点，那么这个逻辑口应该在分流硬件上创建，目前很多交换芯片都支持聚合技术，如果路径点不是第一个路径点，则需要在前一路径点的业务板卡的CPU来创建逻辑口，CPU创建逻辑口则更加灵活，只需要进行相应的软件开发即可。以图7为例，此时，主控板卡只需要创建指向第一路径点的逻辑口，而逻辑口中包括的实际出口则指向该路径点上两个FW板卡，即业务板卡1以及业务板卡5。对于这个两个业务板卡来说，主控板卡对其下发相同的分流策略表项，因此业务板卡1和业务板卡5处理完成之后还是会汇聚到业务板卡2上来。从图7可以看出，第一报文流量在进入网络设备之后，一部分送往业务板卡1处理，另一部分则送往业务板卡5进行处理；实现了内部的负载分担。假设大部分报文流量都需要在FW板卡进行应用处理，那么单个FW板卡可能难以承受这样的处理压力，此时引入更多FW板卡，不仅仅可以分担处理压力，还可以自然地提供备份保护，避免单个业务板卡故障引发业务中断的问题。对于其他类型的业务板卡，管理员同样可以根据实际需要确定到底需要插入多少同类型业务板卡，灵活性非常高。

在另一种实施方式中，本发明的网络设备可以作为一个旁路设备加以使用，此时主控板卡的CPU可以根据管理侧的指令将业务板卡配置为旁路模式，业务板卡工作在旁路模式时，其在完成报文的应用处理之后，可以直接丢弃该报文，而无需进行网络转发处理。旁路模式通常适用于各种审计类应用，其主要目标是对通过镜像方式进入本设备的报文进行审计，得到审计结果之后丢弃即可。因为此时报文都是镜像进入的，相当于是正常转发过程中报文的一个副本而已，因此可以完成审计后立即丢弃。

在另一种实施方式中，主控板卡的CPU可以根据管理侧的指令将业务板卡配置为透明模式，在所述透明模式下，业务板卡对于指定入口进入的报文，在完成该报文的应用处理之后根据预先配置的固定出口将该报文发送出去。透明模式可以在IPS或在线审计等场景下使用。由此可见，本发明的网络设备可以使用用户各种组网需求，在不同组网中可以根据需要配置相应的工作模式。

从以上的描述可以看出，本发明中每个业务板卡上的网络转发表项都是统一由主控板卡下发的，集成了传统分布式网络设备的好处，同时避免了框式松耦合设备固有的难于管理和使用的问题。框式松耦合设备中每个板卡是一个实际的网络设备，一方面，各个板卡要浪费管理IP地址，出现故障时可能需要多个厂家联合定位，维护成本极高，故障问题可能无法及时解决。另一方面，要对应用处理进行负载分担的话，可能受到路由学习结果的限制，有可能需要管理员手动进行配置，而本发明内部的调度与路由学习结果毫无关系；最后，一旦网络其他部分出现震荡，框式松耦合设备中很多板卡都可能重新通过网络协议进行路由学习，而本发明中路由学习主要由主控板卡来实现，对于业务板卡而言影响非常小。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种分布式网络设备，包括主控板卡、一个或多个业务板卡以及板间通道，其中主控板卡以及业务板卡均包括CPU，所述业务板卡还包括分流硬件以及与分流硬件相连的网口；其特征在于：

所述主控板卡的CPU用于为各个业务板卡生成网络转发表项，并将该网络转发表项下发给各个业务板卡；根据管理侧下发的流量控制策略为各个业务板卡的分流硬件以及CPU下发相应的分流策略表项；

所述业务板卡的分流硬件用于将分流策略表项保存在自身的分流策略表中，并按照自身的分流策略表将网口进入的报文发送到相应的业务板卡的CPU；

所述业务板卡的CPU用于将分流策略表项保存在自身的分流策略表中，并根据自身的分流策略表对报文进行应用处理以及根据网络转发表项对报文网络转发处理。

2.如权利要求1所述的网络设备，其特征在于，所述流量控制策略包括流量特征以及对应的内部处理路径；所述内部处理路径包括多个路径点，每个路径点上包括至少一个业务板卡，所述分流策略包括流量特征以及对应的下一路径点。

3.如权利要求2所述的网络设备，其特征在于，其中下发给分流硬件的分流策略表项中的下一路径点为内部处理路径中的第一个路径点。

4.如权利要求3所述的网络设备，其特征在于，所述业务板卡的CPU用于根据自身的分流策略表项对报文进行应用处理以及根据网络转发表项对报文网络转发处理的过程具体包括：

S1，业务板卡的CPU首先对报文进行应用处理；转步骤S2；

S2，在应用处理完成后，业务板卡的CPU根据分流策略表判断该报文是否有对应的下一路径点，如果是，则将该报文通过板间通道发送给下一路径点上的业务板卡的CPU，如果否，转步骤S3。

S3，业务板卡的CPU根据网络转发表项对该报文进行网络转发。

5.如权利要求4所述的网络设备，其特征在于，当该内部处理路径的同一路径点上包括两个相同类型的第一业务板卡以及第二业务板卡时，所述主控板卡CPU进一步用于为第一业务板卡以及第二业务板卡下发相同的分流策略表项，并在该路径点的前一路径点的业务板卡上或分流硬件上创建面向该路径点的内部逻辑接口，其中该内部逻辑接口包括分别面向该第一业务板卡以及第二业务板卡的第一实际出口以及第二实际出口；该内部逻辑接口用于将报文按照预定的分担算法将报文调度到第一或第二实际出口上发送。

6.如权利要求1所述的网络设备，其特征在于，还包括：交换板卡，其中该交换板卡包括作为分流硬件的交换芯片，所述主控板卡的CPU进一步用于将分流策略表项下发给该交换板卡的分流硬件。

7.如权利要求1所述的网络设备，其特征在于，所述分流硬件为交换芯片。

8.如权利要求1所述的网络设备，其特征在于，所述交换芯片为以太网交换芯片。

9.如权利要求1所述的网络设备，其特征在于，所述主控板卡的CPU进一步用于根据管理侧的指令将至少一个业务板卡配置为旁路模式；

所述业务板卡的CPU在本板卡的工作模式为旁路模式时，在S2对该报文完成应用处理后丢弃该报文。

10.如权利要求1所述的网络设备，其特征在于，所述主控板卡的CPU进一步用于根据管理侧的指令将至少一个业务板卡配置为为透明模式，在所述透明模式下，业务板卡对于指定入口进入的报文，在S2对该报文完成应用处理后根据预先配置的固定出口将该报文发送出去。