CN105357075A - 基于软件定义网络的流量监测系统和方法 - Google Patents

Abstract

本发明公开了一种基于软件定义网络的流量监测系统和方法，该方法包括以下步骤：采用软件定义网络方法将网络划分为控制层和基础设备层，控制层设置有控制器，其具有完整的路由表和转发表，用于管理配置网络和部署协议，基础设备层仅具有简单的数据转发功能；将基础设备层中网络设备的若干被监测端口的流量完全的复制到该网络设备的镜像端口，通过镜像端口采集数据包，并进行流量分析；根据流量分析的结果，通过控制器对相应的网络设备做出对应的配置和设置。本发明，利用网络设备的镜像端口作为采集端口，直接将镜像端口和采集器的端口进行互联，大大降低了数据传送的时延，提高了数据传送的性能和时间。

Description

基于软件定义网络的流量监测系统和方法

技术领域

本发明涉及网络监测，具体涉及基于软件定义网络的流量监测系统和方法。

背景技术

如今，随着网络规模和速率的高速膨胀，P2P下载、网络流媒体在线视频等各类P2P类的应用占用了大量的带宽资源，导致拥塞问题日益严重。如果缺乏控制和有效管理，宝贵的带宽资源常被恶意的、非关键应用所占用，致使而大部分用户正常的网络应用却无法保证。因此，网络流量监测迫在眉睫。

传统的网络流量监测技术主要有sFlow和Netflow两种：

sFlow采用数据流随机采样技术，可提供完整的第二层到第四层，甚至全网络范围内的流量信息，可以适应超大网络流量(如大于10Gbit/s)环境下的流量分析，让用户详细、实时地分析网络传输流的性能、趋势和存在的问题。

Netflow可以提供网络流量的会话级视图，记录下每个TCP/IP事务的信息。一个NetFlow流定义为在一个源IP地址和目的IP地址间传输的单向数据包流，且所有数据包具有共同的传输层源、目的端口号。针对路由器送出的NetFlow数据，可以利用NetFlow数据采集软件存储到服务器上，以便利用各种NetFlow数据分析工具进行进一步的处理。

传统的网络监测方法大多通过采样的方法来计算网络流量的大小以及交换机端口吞吐量，然而，针对如今的10Gbps和40Gbps的网络中，这些传统的监测方式显得太慢，主要体现在：

(1)在当前10G端口的交换机上，即使是实时采集也只能提供每秒几百个采样点的数据，按照这种速率，最快也需要几秒钟才能计算出网络的状态。

(2)监测程序通常运行在交换设备或路由设备的CPU上，因此采集的数据先要送到本地交换设备或路由设备的本地CPU，然后再发送到采集器，这种方法在传送时间和传送带宽上都受到了本地CPU的处理能力以及PCI通道的限制。另外，由于通过交换设备本地的CPU进行采集，因此将数据包在交换机中的输入端口、输出端口等信息，作为附加信息和数据包一起被送到CPU进行处理和分析，这些附加信息对于分析交换设备的状态和网络状况是必须的。

由于速度慢，导致不能应对当前的一些网络事件，比如链路失效，虚拟机迁移，大数据的移动等等。因为这些都是由网络的短暂的事件引起的，如果不能足够快的发现而采取措施，那么很可能在响应之前已经消失，这可能会导致频繁的拥塞的发生，以及网络状况的不稳定，导致网络性能严重的降低。因此通常在一些网络核心区域，比如数据中心网络都采取只使用一半带宽的做法来避免引起拥塞，这种低效的带宽使用方法，大大提升了网络的运营商的投资费用。同时，通过人工运维对网络问题做出响应越来越困难，比如网络拥塞的动态控制和解决等。

有鉴于此，急需对现有的网络流量监测和自动管理、运维方式进行改进，以提高速度，并节省和降低投资费用。

发明内容

本发明所要解决的技术问题是解决传统网络监测技术对于现在的高速网络监测反应慢、投资费用高的问题。

为了解决上述技术问题，本发明采用的技术方案为提供一种基于软件定义网络的流量监测系统，网络采用软件定义网络方法划分为控制层和基础设备层，所述控制层与所述基础设备层采用开放的统一接口进行交互，基于软件定义网络的流量监测系统包括：

若干带有端口镜像功能的网络设备，设置在所述基础设备层，利用该网络设备的端口镜像功能将网络设备的若干被监测端口的流量完全的复制到该网络设备的镜像端口；

采集器，设置在所述控制层，连接所述网络设备的镜像端口进行数据采集，并进行流量分析；

控制器，设置在控制层，根据采集器的流量分析的结果，对网络设备做出相对应的设置，所述控制器包含有完整的路由表和转发表，用于管理配置网络和部署协议。

在上述方案中，所述网络设备配置一个镜像端口作为采集端口，采集该网络设备在一个监测端口的流量。

在上述方案中，所述网络设备为交换机。

本发明还提供了一种基于软件定义网络的流量监测方法，包括以下步骤：

采用软件定义网络方法将网络划分为控制层和基础设备层，所述控制层设置有控制器，所述控制器包含有完整的路由表和转发表，用于管理配置网络和部署协议，所述基础设备层仅具有简单的数据转发功能，所述控制层与所述基础设备层采用开放的统一接口进行交互；

将基础设备层中网络设备的若干被监测端口的流量完全的复制到该网络设备的镜像端口，通过镜像端口采集数据包，并进行流量分析；

根据流量分析的结果，通过所述控制器对相应的网络设备做出对应的配置和设置。

在上述方案中，当监测端口的流量超过镜像端口的带宽时，仍然采集镜像端口的数据包。

在上述方案中，所述流量分析采用基于序号的流量估算方法进行。

在上述方案中，分析TCP流量时，所述序号为数据包在流量中的偏移号；分析UDP流量时，所述序号为应用层承载协议自带的序列号。

在上述方案中，利用可调整的时间窗口选取数据包集中的一个时间段进行流量的速率估算。

在上述方案中，所述网络设备为交换机。

本发明，利用网络设备的镜像端口作为采集端口，直接将镜像端口和采集器的端口进行互联，大大降低了数据传送的时延，提高了数据传送的性能和时间，实现了高效的、快速的网络监测和流量采集，可以在几百微秒内实现吞吐量的估算，可以很快的进行网络事件的响应，减少网络意外事件的发生，降低网络的维护费用，更易于实现网络的自我管理和自我治理。

附图说明

图1为本发明中基于软件定义网络的流量监测系统原理图；

图2为本发明的基于软件定义网络的流量监测系统示意图；

图3为本发明中基于软件定义网络的流量监测方法流程图。

具体实施方式

下面结合附图对本发明做出详细的说明。

如图1、图2所示，本发明提供的基于软件定义网络的流量监测系统，包括：若干带有端口镜像功能的网络设备以及采集器和控制器。

本发明中的网络采用软件定义网络方法划分为控制层和基础设备层，若干带有端口镜像功能的网络设备设置在基础设备层，这些网络设备仅具有简单的数据转发功能。采集器和控制器设置在控制层，控制器包含有完整的路由表和转发表，用于管理配置网络和部署协议，控制层与基础设备层采用开放的统一接口进行交互。

本实施例中，网络设备为带有端口镜像功能的交换机10，利用端口镜像功能将交换机10中某一个被监测端口的流量完全的复制到镜像端口，实现流量采集；采集器20将采集来的数据进行分析和存储；控制器30根据采集器20分析的结果，对交换机10做出相对应的设置。

在交换机10中通常可以配置多个镜像端口，为了成本的考虑，交换机10配置一个镜像端口作为采集端口，采集其他所有被监测端口的流量。由于采用了用交换机的镜像端口作为采集端口，因此为了提高数据传送的性能和时间，直接将镜像端口和采集器的端口进行互联，大大降低了数据传送的时延，提高了传送的带宽。

由于镜像端口会将所有被监测端口的数据复制到镜像端口，因此当被监测端口的流量总和低于镜像端口的带宽时，则所有被监测端口的流量全部被复制到镜像端口。而如果被监测端口的流量总和超过镜像端口的带宽时，就会发生拥塞和丢包。

而由于当前交换机都是采用每个端口的缓存机制，因此当一个端口发生拥塞时，并不会影响到其他端口的转发性能，因此当镜像端口发生拥塞时，仍然将镜像端口的数据包传送到采集器。这种情况下采集的数据包的数量仍然远远大于传统技术采集数据包的频率和数量。

在本发明中，控制器30需要做的事情：在网络设备设置端口镜像的规则；保持采集器路由表和转发表的更新；提供流量监测的查询接口；对网络事件的响应。

如图3所示，本发明还提供了一种基于软件定义网络的流量监测方法，包括以下步骤：

步骤101，采用软件定义网络方法将网络划分为控制层和基础设备层，控制层设置有控制器，控制器包含有完整的路由表和转发表，用于管理配置网络和部署协议，基础设备层仅具有简单的数据转发功能，控制层与基础设备层采用开放的统一接口进行交互；

步骤102，将基础设备层中网络设备的若干被监测端口的流量完全的复制到该网络设备的镜像端口；

步骤103，通过镜像端口采集数据包；

步骤104，进行流量分析；

步骤105，根据流量分析的结果，通过控制器对相应的网络设备做出对应的配置和设置。

本发明采用端口镜像的方法进行数据采集，数据包被直接送到采集器，没有输入端口和输出端口等附加信息。采集器可以从控制器获得转发表的信息，当采集器收到数据包时，通过与转发表进行匹配就可以很快的确定输入端口和输出端口信息。需要保证交换机、控制器和采集器三者之间转发表的一致性。通常来说转发表不会频繁的变化。

本发明采用基于序号的流量估算方法来计算网络流量的大小以及交换机端口吞吐量。分析TCP(传输控制协议)流量时，序号为数据包在流量中的偏移号；分析UDP(用户数据报协议)流量时，序号为应用层承载协议自带的序列号。因为在网络流量中，比如每一个TCP流量，在每个数据包中都有这个数据包在流量中的偏移序号。对于这种流量我们通过记录两个时间点的数据包序号来估算数据包的流量。在Ta时刻序号为Sa，在Tb时刻序号为Sb，则流量大小的计算为：(Sb-Sa)/(Tb-Ta)。但是由于TCP的突发特性，这种方法会导致估计的速率产生抖动性；为了消除抖动性，本方法利用可调整的时间窗口选取数据包集中的一个时间段来进行速率的估算。

如果在Ta<Tb，而Sa>Sb，这样的情况不能用来计算带宽，可能是因为乱序或者重传引起的。这种情况很少见，而且基本不会影响整个流的带宽的计算。将各个流的带宽大小进行累加便得到整个端口的吞吐量。

虽然UDP协议本身不带序列号，但是由于UDP通常用来承载视频流、音频流等数据内容，而视频流的一些应用层承载协议比如H.263等协议都自带了序列号，因此基于序列号的带宽估算方法在实际中得到了很好的效果。而对于网络中不带序号的流量由于在网络中所占比重较少，因此本方法暂时不支持这类型流量大小的估算。

本发明将端口镜像技术和软件定义网络技术相结合，实现高效的网络流量的采集和监测，使得网络能够更快的对网络事件进行响应。

本发明，在软件定义网络中，通过利用现代交换机的端口流量镜像功能实现网络流量的监测，可以大大提高流量的监测性能，提高网络事件的响应速率。

本发明不局限于上述最佳实施方式，任何人应该得知在本发明的启示下做出的结构变化，凡是与本发明具有相同或相近的技术方案，均落入本发明的保护范围之内。

Claims (9)

1.一种基于软件定义网络的流量监测系统，网络采用软件定义网络方法划分为控制层和基础设备层，所述控制层与所述基础设备层采用开放的统一接口进行交互，其特征在于，基于软件定义网络的流量监测系统包括：

若干带有端口镜像功能的网络设备，设置在所述基础设备层，利用该网络设备的端口镜像功能将网络设备的若干被监测端口的流量完全的复制到该网络设备的镜像端口；

采集器，设置在所述控制层，连接所述网络设备的镜像端口进行数据采集，并进行流量分析；

控制器，设置在控制层，根据采集器的流量分析的结果，对网络设备做出相对应的设置，所述控制器包含有完整的路由表和转发表，用于管理配置网络和部署协议。

2.如权利要求1所述的系统，其特征在于，所述网络设备配置一个镜像端口作为采集端口，采集该网络设备在一个监测端口的流量。

3.如权利要求1所述的系统，其特征在于，所述网络设备为交换机。

4.一种基于软件定义网络的流量监测方法，其特征在于，包括以下步骤：

采用软件定义网络方法将网络划分为控制层和基础设备层，所述控制层设置有控制器，所述控制器包含有完整的路由表和转发表，用于管理配置网络和部署协议，所述基础设备层仅具有简单的数据转发功能，所述控制层与所述基础设备层采用开放的统一接口进行交互；

将基础设备层中网络设备的若干被监测端口的流量完全的复制到该网络设备的镜像端口，通过镜像端口采集数据包，并进行流量分析；

根据流量分析的结果，通过所述控制器对相应的网络设备做出对应的配置和设置。

5.如权利要求4所述的方法，其特征在于，当监测端口的流量超过镜像端口的带宽时，仍然采集镜像端口的数据包。

6.如权利要求4所述的方法，其特征在于，所述流量分析采用基于序号的流量估算方法进行。

7.如权利要求6所述的方法，其特征在于，分析TCP流量时，所述序号为数据包在流量中的偏移号；分析UDP流量时，所述序号为应用层承载协议自带的序列号。

8.如权利要求7所述的方法，其特征在于，利用可调整的时间窗口选取数据包集中的一个时间段进行流量的速率估算。

9.如权利要求4所述的方法，其特征在于，所述网络设备为交换机。