CN106982180A - 网络流量监控方法、交换机设备以及报文分析系统 - Google Patents

Abstract

本发明提供了一种网络流量监控方法，其包括：对网络中传输的报文进行镜像；为所述报文的镜像提供会话标识；以所述会话标识为索引关联所述报文的描述信息；以及将所述报文的镜像连同所述会话标识一起传送至报文分析系统。另一方面，本发明还提供了一种网络流量监控方法，其包括：接收在网络中传输的报文的镜像和针对所述报文的镜像提供的会话标识，其中所述会话标识与所述报文的描述信息关联；基于所述会话标识提取所述描述信息；以及根据所述描述信息对所述报文的镜像进行分析。此外，本发明还提供了相应的交换机设备和报文分析系统。

Description

网络流量监控方法、交换机设备以及报文分析系统

技术领域

本发明一般地涉及网络运维技术领域，并且具体地，涉及网络流量监控分析方案。

背景技术

随着互联网的普及，对网络流量的监控成为网络运行及维护中的重要组成部分。为了不影响网络中正常的数据发送，同时对网络流量进行分析，通常采用的方法是交换机的端口镜像，也就是把交换机链路中实际传输的流量完全复制到某个目的地，然后由网络管理员在目的地通过分析镜像流量来找出网络存在问题的原因，包括在后台针对网络中的数据流向、吞吐性能、故障排错以及安全异常等进行分析。

云计算网络是目前互联网发展的趋势，其简称云网络，是承载云平台虚拟化应用的网络。云网络流量具有虚拟化、动态化等特点。虚拟化是指存在逻辑的访问流量与实际的物理流量，每个物理端口可能承载多个虚拟主机的流量。动态化指的是虚拟主机是可以动态迁移的，因此其网络流量也会随之进行迁移，不固定于某一物理端口。

目前，在后台的报文分析系统，一般通过匹配数据包头部的多个字段对进入的镜像流进行区分，例如利用五元组信息（协议号，源IP，目的IP，源端口，目的端口）或七元组信息（源IP地址、目的IP地址、协议号、源端口、目的端口，服务类型以及接口索引）等。采用该种区分方法有诸多局限性，尤其是对云网络而言。

首先，所有的元信息几乎都只是从镜像报文的头部中获取，其中会缺少一些比较关键的云网络中的描述信息。其次，源IP、目的IP等字段的信息目前大多是由网管人员在初始化时静态录入的，这种做法无法适应大规模动态变化的云网络场景，也就是说从报文中提取的这些信息未必准确。此外，多个字段匹配的方法还存在计算开销较大的问题。

因此，所期望的是设计一种简单易行且低成本的方案，以保证网络流量监控的准确性并且提高网络流量监控的效率，尤其是在诸如云网络这种存在大规模流量的动态环境下。

发明内容

有鉴于此，本发明提供了一种用于用于网络流量监控的方案，可改善上述问题。

一方面，本发明提供了一种网络流量监控方法，其包括：对网络中传输的报文进行镜像；为所述报文的镜像提供会话标识；以所述会话标识为索引关联所述报文的描述信息；以及将所述报文的镜像连同所述会话标识一起传送至报文分析系统。

如上所述的方法，其中，为所述报文的镜像提供会话标识包括为所述报文的镜像提供封装报头，并且在所述报头中提供会话标识。

如上所述的方法，其中，所述封装报头采用封装远程端口镜像ERSPAN报头的形式。

如上所述的方法，其中，以所述ERSPAN报头中的会话标识字段中的会话标识为索引关联与所述报文相关的描述信息。

如上所述的方法，其中，以会话标识为索引关联与报文相关的描述信息包括将所述会话标识与所述描述信息对应地存储为镜像信息关联表。

如上所述的方法，其还包括为所述报文的镜像连同所述会话标识一起进行路由封装。

如上所述的方法，其中，所述路由封装为通用路由封装GRE。

如上所述的方法，其中，所述描述信息包括所述报文的租户信息、路径信息、流向、网络组信息等中的一个或多个 。

如上所述的方法，其中，所述网络为云网络。

另一方面，本发明还提供了一种交换机设备，其包括：镜像模块，用于对网络中传输的报文进行镜像；标识模块，用于为所述报文的镜像提供会话标识；关联模块，用于以所述会话标识为索引关联与所述报文相关的描述信息；以及传送模块，用于将所述报文的镜像连同所述会话标识一起传送至报文分析系统。

还另一方面，本发明提供了一种网络流量监控方法，其包括：接收在网络中传输的报文的镜像和针对所述报文的镜像提供的会话标识，其中所述会话标识与所述报文的描述信息关联；基于所述会话标识提取所述描述信息；以及根据所述描述信息对所述报文的镜像进行分析。

又一方面，本发明还提供了一种报文分析系统，其包括：镜像接收模块，用于接收在网络中传输的报文的镜像和针对所述报文的镜像提供的会话标识，其中所述会话标识与所述报文的描述信息关联；信息提取模块，用于基于所述会话标识提取所述描述信息；以及报文分析模块，用于根据所述描述信息对所述报文的镜像进行分析。

还另一方面，本发明提供了一种网络流量监控系统，其包括如上所述的交换机设备和如上所述的报文分析系统。

附图说明

本发明的前述和其他目标、特征和优点根据下面对本发明的实施例的更具体的说明将是显而易见的，这些实施例在附图中被示意。

图1是根据本发明一个示例的网络流量监控系统的示意图。

图2是根据本发明一个示例的网络流量监控方法的示意流程图。

图3是根据本发明另一示例的网络流量监控方法的示意流程图。

图4是根据本发明一个示例的交换机设备的示意框图。

图5是根据本发明一个示例的报文分析系统的示意框图。

图6是根据本发明一示例的封装远程端口镜像（ERSPAN）的报文格式。

具体实施方式

现在参照附图描述本发明的示意性示例，相同的附图标号表示相同的元件。下文描述的各示例有助于本领域技术人员透彻理解本发明，且各示例意在示例而非限制。图中各元件、部件、模块、装置及设备本体的图示仅示意性表明存在这些元件、部件、模块、装置及设备本体同时亦表明它们之间的相对关系，但并不用以限定它们的具体形状；流程图中各步骤的关系也不以所给出的顺序为限，可根据实际应用进行调整但不脱离本申请的保护范围。

图1是根据本发明一个示例的网络流量监控系统的示意图。如图1所示，网络流量监控系统可以包括交换机101以及后台的报文分析系统。在本文中，交换机设备具有本领域技术人员通常所理解的含义。本发明可适用于各种网络流量监控的场景，尤其适用于云网络。如图1所示，在网络中可以有多个交换机。为了对网络流量进行监控，交换机101可以被配置用于对指定的报文进行镜像，通常就是指对网络中传输的报文进行复制。可以例如在本地对该镜像进行分析，也可以例如在远程位置对报文镜像进行分析。在将报文远程镜像到目的接收系统，例如图1所示的报文分析系统102时，需要对报文镜像进行封装。常用的封装方式例如有封装远程端口镜像ERSPAN方式。

在网络流量监控过程中，报文分析系统将负责接收从前端网络传来的镜像数据包，并对其进行后台分析。报文分析系统102可以例如是已有的或任何待开发的报文分析系统。下面将结合图2和图3来详细描述根据一个示例的本发明所提供的网络流量监控方法。

图2是根据本发明一个示例的网络流量监控方法的示意流程图。在实践中，图2所示的方法可以在交换机设备处实施。下面结合图1所示的系统来示例性地描述本发明的方法，但本领域技术人员能够理解这并非是限制性的，可以在不背离本发明的情况下在任何类似的场景中实现本发明的方案。举例来说，图2所示的方法也可以例如在独立于交换机设备的处理系统中来实现。

如图2所示，交换机101可以为了流量监控的目的首先在步骤21中对网络中传输的报文进行镜像。在一些示例中，这可以例如采用交换机的端口镜像过程，即把交换机的源端口的流量完全复制一份，以供网络管理员从通过对报文镜像进行分析来找出网络存在问题的原因。生成报文的镜像可以例如由网络管理员指定，或者由交换机或者与交换机通信连接的处理系统按照预先设定的条件来自动生成。

在步骤23中，为报文的镜像提供会话标识。一般地，该会话标识应当能够唯一地标识每一个报文镜像。进一步地，以该会话标识为索引来关联被镜像的报文的描述信息。

在一些示例中，可以为报文镜像提供封装报头，并且将会话标识包括在封装报头中。举例来说，可以采用封装远程端口镜像ERSPAN报头的形式对报文镜像进行封装。

图6是根据本发明一示例的封装远程端口镜像（ERSPAN）的报文格式，其展示的是基础的ERSPAN type 2型的报头格式，而目前最新版本的type 3型也向后兼容。如图6所示，ERSPAN报头中的前四个字节的最后10位被规定为会话标识，即session id，其被用于标识一个镜像会话。由于该会话标识能够唯一地标识每个镜像会话，因此可以被用来与被镜像的报文的描述信息进行关联，以供随后在报文分析系统处依据该标识对描述信息的提取。

在实践中，通常该session id会在某个ERSPAN会话初始化配置的时候指定。在一些示例中，可以在指定session id的同时，将该会话标识与相应的描述信息进行关联。例如，可以将session id与被镜像的报文的描述信息对应地存储为镜像信息关联表，参见如下所示的表1。由此，常规的ERSPAN报头中的session_id字段不仅可以用于区分不同的镜像流，还可以用于关联描述信息。

描述信息可以例如包括所述报文的租户信息、路径信息、流向、网络组信息等中的一个或多个 。这些描述信息可以是交换机设备或与交换机设备关联的处理系统根据预先设定的条件自动提取或生成，也可以向网络管理员提供接口由其手动输入。

在需要对报文镜像进行路由，例如传送到远端报文分析系统的情况下，还可以对将报文镜像和所分配的会话标识一起进行路由封装。该路由封装为通用路由封装GRE。在采用ERSPAN方式提供会话标识的情况下，可以将包括ERSPAN报头的报文镜像封装在GRE报头中。

最后，在步骤27中，交换机101可以将报文镜像与会话标识一起传送至报文分析系统。如上所述，在一些示例中，交换机101实际上所发送的是经过路由封装的镜像报文，而报文分析系统可以根据包括在所收到的数据的封装报头中的会话标识来提取报文的描述信息，这将在下文中结合图3所示的方法来详细描述。

通过将镜像报文的唯一标识与报文的描述信息关联，报文分析系统能够直接区分不同的镜像会话，相较于利用诸如五元组、七元组的多字段匹配，其识别效率更高。由于报文的描述信息可以独立地被存储并且方便地被获取，对于每个镜像流的描述与呈现将更为丰富灵活，这对于诸如云网络的环境尤其有利。在利用ERSPAN报文的情况下，可以直接复用现有标准ERSPAN报文格式中的字段，因此无需对前端镜像网络中的设备进行改动，这非常有利于实际部署并且能够在低成本的情况下实现高效率。

图3是根据本发明另一示例的网络流量监控方法的示意流程图。在实践中，图3所示的方法可以在后台的报文分析系统处实施。下面结合图1所示的系统来示例性地描述本发明的方法，但本领域技术人员能够理解这并非是限制性的，可以在不背离本发明的情况下在任何类似的场景中实现本发明的方案。

具体地，报文分析系统102首先在步骤31中从交换机设备101接收在网络中传输的报文的镜像和针对该镜像提供的会话标识。如上所述，交换机设备101可以例如在生成镜像会话的同时，将镜像流的会话标识与原始报文的描述信息关联，包括形成关联表进行存储。

在步骤33中，报文分析系统102可以基于所收到的会话标识来提取与该镜像所对应的原始报文相关的描述信息。在会话标识包含在报文镜像的封装报头内的情况下，报文分析系统将对报头进行解析并从其中提取会话标识字段的内容。

进而在步骤35中，报文分析系统102将根据所提取的描述信息对报文的镜像进行分析。该分析可以包括一般地或根据需要对网络流量进行的任何分析，包括针对网络中的数据流向、吞吐性能、故障排错以及安全异常等进行的分析。

图4是根据本发明一个示例的交换机设备的示意框图。如图4所示，交换机设备400包括镜像模块41、标识模块43、关联模块45以及传送模块47。具体地，镜像模块41被配置用于对网络中传输的报文进行镜像；标识模块43被配置用于为报文的镜像提供会话标识；关联模块45被配置用于以会话标识为索引关联与报文相关的描述信息；传送模块47被配置用于将镜像连同会话标识一起传送至报文分析系统。

在本说明书中省去了对一般的交换机设备的其他构造的描述，以避免不必要的冗余。但本领域技术人员能够理解图4所示的结构能够被集成在任何已有或待开发的交换机设备中。此外，图4所示的结构也能够被实现在与交换机设备通信连接的另外的处理系统中。图4所示的交换机设备能够被配置为实现上文所描述的任何与本发明所提供的、在交换机设备处实现的相关操作。本领域技术人员能够理解，图4所示的模块划分仅是示意性的，这些模块能够按照具体实现来集成或进一步划分，并且以任何软件或硬件的形式来实现。

图5是根据本发明一个示例的报文分析系统的示意框图。如图5所示，报文分析系统500包括镜像接收模块51、信息提取模块53以及报文分析模块55。具体地，镜像接收模块51被配置用于接收在网络中传输的报文的镜像和针对该镜像提供的会话标识。在本发明中，该会话标识与报文的描述信息关联。信息提取模块53被配置用于基于会话标识提取描述信息。报文分析模块55根据描述信息对报文的镜像进行分析。

在本说明书中省去了对一般的报文分析系统的其他构造的描述，以避免不必要的冗余。但本领域技术人员能够理解图5所示的结构能够被集成在任何已有或待开发的报文分析系统中。图5所示的报文分析系统能够被配置为实现上文所描述的任何与本发明所提供的、在报文分析系统处实现的相关操作。本领域技术人员能够理解，图5所示的模块划分仅是示意性的，这些模块能够按照具体实现来集成或进一步划分，并且以任何软件或硬件的形式来实现。

应当说明的是，以上具体实施方式仅用以说明本发明的技术方案而非对其进行限制。尽管参照上述具体实施方式对本发明进行了详细的说明，本领域的普通技术人员应当理解，依然可以对本发明的具体实施方式进行修改或对部分技术特征进行等同替换而不脱离本发明的实质，其均涵盖在本发明请求保护的范围中。

Claims (13)

1.一种网络流量监控方法，其包括：

对网络中传输的报文进行镜像；

为所述报文的镜像提供会话标识；

以所述会话标识为索引关联所述报文的描述信息；以及

将所述报文的镜像连同所述会话标识一起传送至报文分析系统。

2.如权利要求1所述的方法，其中，为所述报文的镜像提供会话标识包括为所述报文的镜像提供封装报头，并且在所述报头中提供会话标识。

3.如权利要求2所述的方法，其中，所述封装报头采用封装远程端口镜像ERSPAN报头的形式。

4.如权利要求3所述的方法，其中，以所述ERSPAN报头中的会话标识字段中的会话标识为索引关联与所述报文相关的描述信息。

5.如权利要求1所述的方法，其中，以会话标识为索引关联与报文相关的描述信息包括将所述会话标识与所述描述信息对应地存储为镜像信息关联表。

6.如权利要求1所述的方法，其还包括为所述报文的镜像连同所述会话标识一起进行路由封装。

7.如权利要求6所述的方法，其中，所述路由封装为通用路由封装GRE。

8.如权利要求1所述的方法，其中，所述描述信息包括所述报文的租户信息、路径信息、流向、网络组信息等中的一个或多个。

9.如权利要求1所述的方法，其中，所述网络为云网络。

10.一种交换机设备，其包括：

镜像模块，用于对网络中传输的报文进行镜像；

标识模块，用于为所述报文的镜像提供会话标识；

关联模块，用于以所述会话标识为索引关联与所述报文相关的描述信息；以及

传送模块，用于将所述报文的镜像连同所述会话标识一起传送至报文分析系统。

11.一种网络流量监控方法，其包括：

接收在网络中传输的报文的镜像和针对所述报文的镜像提供的会话标识，其中所述会话标识与所述报文的描述信息关联；

基于所述会话标识提取所述描述信息；以及

根据所述描述信息对所述报文的镜像进行分析。

12.一种报文分析系统，其包括：

镜像接收模块，用于接收在网络中传输的报文的镜像和针对所述报文的镜像提供的会话标识，其中所述会话标识与所述报文的描述信息关联；

信息提取模块，用于基于所述会话标识提取所述描述信息；以及

报文分析模块，用于根据所述描述信息对所述报文的镜像进行分析。

13.一种网络流量监控系统，其包括如权利要求10所述的交换机设备和如权利要求12所述的报文分析系统。