CN109194590B - 支持网内智能的网络交换系统 - Google Patents

Abstract

本发明公开了一种支持网内智能的网络交换系统，该系统在网络核心交换设备引入智能计算资源，使得网内节点具有智能感知、分析、控制的能力；该架构采用通用的硬件和对运行环境的软件抽象，屏蔽了底层环境的差异，增强了设备的灵活部署的能力，同时降低了设备成本。同时，对智能分析算法和智能控制策略的封装，能够根据差异化的需求，配置相应的算法和策略，从而支持不同的应用场景。

Description

支持网内智能的网络交换系统

技术领域

本发明涉及计算机网络技术领域，尤其涉及一种支持网内智能的网络交换系统。

背景技术

互联网设计之初遵循“网络简单转发，智能在边缘”的原则。在此原则的指导下，网络核心设备交换机/路由器只做简单数据转发，在发生网络拥塞时，交换机只做简单的数据丢弃，以防止网络崩溃，整个互联网表为尽量而为的简单传输特性。随着互联网规模的迅猛增长以及新型应用的快速发展，挂接在网络边缘端系统智能化得到了快速发展，如智能终端、智能应用、大数据中心等等。“互联网+”，工业互联网，物联网、互联网金融、互联网媒体等不断涌现的新型网络应用创新，对网络的需求不再满足于简单的尽力而为传输，迫切需要高效、可靠、安全的传输。现有互联网架构和设备逐渐成为制约网络应用创新的瓶颈，在可扩展性、可控性、移动性和安全性等方面面临重大挑战。迫切需要将智能从网络端系统向网络内部拓展，形成网内泛在智能，为解决互联网面临的重大挑战，提供全新的技术途径。

路由器/交换机是支撑网络正常运行的核心设备为，这些设备根据报文头部携带的地址查询转发表，获得转发出口来转发数据报文。由于现有交换机/路由器将控制平面和数据平面捆绑集成在一起，导致整个网络转发不可控，不灵活，严重限制了网络技术和应用创新。在此背景下，近年来提出了软件定义网络技术，将网络设备上的控制权分离出来，由集中的控制器管理，无须依赖底层网络设备(路由器、交换机、防火墙)，屏蔽了来自底层网络设备的差异。控制权是完全开放的，用户可以自定义任何想实现的网络路由和传输规则策略，从而更加灵活和智能。这种基于软件定义网络技术的智能，主要依托于集中式的网络控制器来实现，是一种集中式智能，存在可扩展性问题，同时，需要将网络流转发至控制器分析和决策，形成传输、分析、决策和控制大环路，易导致长时延。为了加快处理速度，常常需要大数据中心的支持，导致实现智能化设施臃肿，不灵活。

可见，现有网络智能化是靠挂在网络边缘端系统来实现，是一种网外智能，难以实现对网络态势和网络业务快速认知和决策，无法从根本上解决网络所面临的挑战。

发明内容

本发明的目的是提供一种支持网内智能的网络交换系统，可以提升网络服务效率、安全性以及服务体验。

本发明的目的是通过以下技术方案实现的：

一种支持网内智能的网络交换系统，包括：位于顶层的应用平面、位于中间层的智能平面，以及位于底层的数据平面及控制平面；其核心设备包括：设于智能平面且支持网络智能感知、分析与控制能力的智能计算板、设于控制平面且支持转发与传输控制的控制板、以及设于数据平面且支持流量镜像和数据转发的交换网板；所述交换网板通过背板上的数据通道与智能计算板相连，所述控制板通过背板的控制通道分别与智能计算板和交换网板相连；

所述交换网板，用于实现传统网络交换系统在数据转发和业务处理上的基本功能，以及将网络流量镜像至智能计算板；

所述智能计算板，用于从网络流量中提取网络特征，并基于网络特征进行在线分析，根据分析结果进行网络智能控制，生成相应的控制信令下发给控制板；同时，提取的网络特征及在线分析结果将传输给应用平面；

所述控制板，用于根据控制信令配合所述交换网板执行相应的控制策略。

由上述本发明提供的技术方案可以看出，在网络核心交换设备引入智能计算资源，使得网内节点具有智能感知、分析、控制的能力；该架构采用通用的硬件和对运行环境的软件抽象，屏蔽了底层环境的差异，增强了设备的灵活部署的能力，同时降低了设备成本。同时，对智能分析算法和智能控制策略的封装，能够根据差异化的需求，配置相应的算法和策略，从而支持不同的应用场景。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为本发明实施例提供的一种支持网内智能的网络交换系统的逻辑架构示意图；

图2为本发明实施例提供的一种支持网内智能的网络交换系统的硬件架构示意图；

图3为本发明实施例提供的一种支持网内智能的网络交换系统的软件架构示意图；

图4为本发明实施例提供的数据处理流程图；

图5为本发明实施例提供的流量可视化系统视图；

图6为本发明实施例提供的应用分布可视化示意图；

图7为本发明实施例提供的协议分布可视化示意图；

图8为本发明实施例提供的网络安全防护示意图；

图9为本发明实施例提供的基于应用类型的Qos保障示意图。

具体实施方式

下面结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明的保护范围。

本发明实施例提供一种支持网内智能的网络交换系统，主要包括：位于顶层的应用平面、位于中间层的智能平面，以及位于底层的数据平面及控制平面；其核心设备包括：设于智能平面且支持网络智能感知、分析与控制能力的智能计算板、设于控制平面且支持转发与传输控制的控制板、以及设于数据平面且支持流量镜像和数据转发的交换网板；所述交换网板通过背板上的数据通道与智能计算板相连，所述控制板通过背板的控制通道分别与智能计算板和交换网板相连。其中：

1、交换网板。

其用于实现传统网络交换系统在数据转发和业务处理上的基本功能，以及将网络流量镜像至智能计算板。

同时，所述交换网板中还设有多个转发端口，能够与外部的物理设备相连，支持跨接口板之间的数据转发、交换与调度。

2、智能计算板，

其用于从网络流量中提取网络特征，并基于网络特征进行在线分析，根据分析结果进行网络智能控制，生成相应的控制信令下发给控制板；同时，提取的网络特征及在线分析结果将传输给应用平面。

所述智能计算板主要包括：

1)网络智能感知模块，用于从网络流量中提取网络特征，包括：网络流量的结构特征、统计特征和隐含特征；其中：通过NetFlow提取结构特征，所述结构特征包含数据流的部分协议字段或者负载中的特殊二进制串；通过NetMate提取统计特征，所述统计特征包含数据流在时间上的一些统计量；通过CNN提取隐含特征，所述隐含特征是指需要借助算法挖掘的一类隐含结构特征信息。

2)网络智能分析模块，用于基于网络特征进行在线分析，包括：利用攻击识别算法库、应用识别算法库及网络行为分析算法库实现攻击识别、应用识别及网络行为分析；在线分析过程采用GPU并行计算的方式进行加速处理。

3)网络智能控制模块，用于根据分析结果进行网络智能控制，包括：宽带控制、流量过滤、缓存控制及转发控制。

3、控制板，用于根据控制信令配合所述交换网板执行相应的控制策略。

所述控制板还设有对外的管理通道，能够根据用户的操作指令来管理系统与监视性能并向用户反馈设备运行情况，以及对交换网板、风扇及电源进行监控和维护。

本发明实施例中，应用平面获得应用识别结果后，根据不同层次的业务需求划分不同的优先级，采用特定的资源调度策略，从而实现差异化的QoS服务；同时，根据攻击识别结果，能够实现主动的网络安全防护。应用平面通过对接收到网络特征以及在线分析结果进行图形化展示，能够实现网络的流量分布、应用分布、安全态势、用户行为及带宽使用的可视化；同时，根据在线分析结果，还能够获取实时网络状态，自动诊断网络故障。

为了便于理解，下面通过逻辑架构、硬件架构、软件架构三个角度来对本发明做进一步介绍。

一、逻辑架构。

图1为支持网内智能的网络交换系统的逻辑架构示意图。该逻辑架构创新性地在传统网络交换系统的数据平面和控制平面之上增加智能平面，从而为应用平面的网内智能化应用提供服务支撑。

数据平面需要实现传统网络交换系统在数据转发和业务处理上的基本功能，包括高速数据包接收和发送，校验，协议处理等。同时，能够对端口的流量数据进行镜像以便智能层的分析计算。

控制平面不仅需要实现传统网络交换系统的转发控制、资源管理、带宽控制等功能，还需要为上层提供可编程的控制通道和接口。利用该控制接口，上层可以动态配置转发表、转发优先级、流量过滤条件、带宽、内容缓存等，从而实现网络的智能控制。

智能平面从功能上可以划分为网络智能感知，网络智能分析，网络智能控制三个模块。其中，网络智能感知模块负责从网络流量中提取网络特征。网络特征包括结构特征、统计特征和隐含特征。结构特征包含数据流的部分协议字段或者负载中的特殊二进制串。统计特征包含数据流在时间上的一些统计量，如平均包大小、方差、持续时间等。隐含特征是指需要借助算法挖掘的一类隐含结构特征信息。网络智能分析模块通过实现和封装的应用识别、安全检测、行为分析等算法，完成对提取的网络特征的在线分析。上层应用也可以通过算法选择和参数配置实现不同的业务需求。网络智能控制模块实现了带宽控制、流量过滤、转发控制和缓存控制等策略，能够根据智能分析的结果选择合适的策略，并通过控制平面执行。

应用平面包含了各种基于网内智能的服务和应用场景，例如差异化的QoS服务，主动网络安全防护，网络智能化运维和网络流量可视化等。基于智能平面提供的应用识别结果，可以根据其不同层次的业务需求划分不同的优先级，采用特定的资源调度策略，从而实现差异化的QoS服务。针对检测出来的异常网络流量或攻击行为，可以实时过滤和拒止，从而实现主动的网络安全防护。通过对网络特征和智能分析结果的图形化展示，可以实现网络的流量分布、应用分布、安全态势、用户行为、带宽使用等的可视化。根据网络智能分析的结果可以实时网络状态，自动诊断网络故障，并通过智能控制模块实现网络的智能化运维。

二、硬件架构。

为了满足智能网络交换系统的对网络流量的实时提取、分析、决策的功能需求，核心设备硬件必须具备高性能计算能力、高容量存储能力和高速数据转发能力。另一方面，为了增强设备的可扩展性，提高业务灵活部署的能力，同时降低硬件使用成本，硬件设计时采用通用硬件和虚拟化技术取代专用硬件。基于以上设计思想，详细的硬件架构如图2所示。核心设备主要由交换网板、控制板和智能计算板三部分组成，三者通过背板实现数据和控制信令的交互。

交换网板的多个转发端口可以与物理设备相连，支持跨接口板之间的数据转发、交换、调度。同时交换网板通过背板上的数据通道与智能计算板相连，支持将转发端口的网络流量镜像至智能计算板。

控制板提供对外的管理通道，支持用户对通过操作指令来管理系统、监视性能并向用户反馈设备运行情况，对交换网板、风扇、电源进行监控和维护。同时，控制板通过背板的控制通道分别与智能计算板和交换网板相连，用于接收智能计算板的控制接口调用及下发控制指令给交换网板。

为了应对高通量网络数据分析处理的需求，创新性地在智能计算板上引入GPU，以支持并行的网络智能分析计算。CPU负责管理和调度智能计算板上的其他软硬件资源。大容量硬盘负责存储报文信息和处理结果，便于用户查询和设备之间的交互。控制通道调用于控制接口调用及控制策略下发。数据通道用于接收交换网板镜像的网络流量。服务通道是上层应用的访问通道。该智能计算板不依赖传统交换机模块的硬件架构，可作为单板单独制作，使用时插在交换机背板上即可，灵活可靠，通用性强。

三、软件架构。

根据功能的不同，智能网络交换系统核心设备的软件架构设计可以划分为三层，如图3所示。下层实现了交换机的数据平面和控制平面的基本功能。交换网板上采用OVS或FD.IO实现数据转发和协议处理，同时支持流量镜像。控制板采用OpenDayLight或OVN作为SDN控制器，并支持与智能计算板和交换网板交互。

中间层是智能计算板的核心软件。它负责对网络流量的实时处理，并将结果返回给应用层，同时根据应用层的不同需求选取控制策略，生成相应的控制信令，下发给控制板执行。具体来说，为提高处理性能，高速数据包处理模块采用DPDK和ODP技术将数据通道网卡接收到的数据直接透传到用户态的内存。同时，DPDK和ODP的环境抽象层向应用与函数库隐藏了底层环境的细节，支持任何处理器的扩展。网络智能感知模块负责对网络流量进行实时特征提取。NetMate和NetFlow完成流量的统计特征和结构特征的提取，而卷积神经网络(CNN)实现流量隐含特征的提取。通过配置提取的特征参数，可以实现自定义的网络流量感知。网络智能分析模块实现和封装了应用识别、攻击识别、网络行为分析等算法库，包含多种可供选择的机器学习算法，支持对提取的网络特征进行实时分析。为了应对高速实时的网络流量分析任务，所有算法均采用GPU并行计算的方式进行加速处理。网络智能控制模块实现了转发控制、流量带宽控制、流量过滤、流优先级等策略，并能够根据应用层的策略选择和参数配置调用相应的控制接口，通过控制协议下发给主控程序。中间层以WebService的形式向上层提供特征参数配置、分析结果查询及控制策略选择服务。

上层是应用层软件，实现了网络流量可视化、主动安全防护、基于应用类型的QoS保障等应用。应用层通过RestFul形式的接口实现配置提取特征参数、的查询分析结果、选择分析算法和控制策略。

数据处理流程如图4所示，主要包括：①将交换网板上端口的网络流量进行数据镜像，并发送到智能计算板的数据通道上：②数据通道上的网卡接收网络数据，并触发硬件中断，调用DPDK进程进行数据包的处理；③DPDK进程将网卡中的数据包拷贝到用户态的内存；④用户态的特征提取进程对数据包进行处理，提取网络流量特征，并将提取的特征结果发送给网络智能分析进程；⑤网络智能分析进程根据应用层的配置在GPU上运行相应的分析算法，并调度特征结果进入GPU进行计算，最终将算法的分析结果存入数据库；⑥网络应用通过RestFul形式的接口对分析结果进行访问；⑦网络应用根据分析结果选择合适的策略及参数，并通过RestFul形式的接口调用网络智能控制模块；⑧通过调用交换机的控制接口实现智能控制策略，并交给交互进程将策略下发给控制板；⑨根据控制协议生成相应的控制信令，并发送到智能计算板的控制通道上；⑩控制信令经由控制通道达到交换机的控制板，执行对交换机流量的控制；

控制策略在交换网板上生效。

本发明实施例提供的上述交换系统通过对网络流量的特征提取、分析计算、控制决策实现网络的智能化管理；通过通用的硬件架构和运行环境的抽象层，实现软硬件的解耦，从而屏蔽硬件的差异，增强设备的灵活部署能力，同时降低设备成本；通过引入智能计算资源(GPU)，实现了实时的流量分析；通过DPDK的用户态数据透传技术实现高速数据包处理；通过对智能分析算法和智能控制策略的封装，能够根据差异化的需求配置相应的算法和策略，从而满足于不同的应用场景。此外，引入GPU，以支持并行的网络智能分析计算，大大提高了设备对高通量网络流量的在线处理能力。

下面对应用平面各项应用做举例说明。

1、网络流量可视化举例。

流量可视化分析系统是基于网络流量数据分析、应用软件行为与转化分析的系统。通过实时查看各项分析数据，支持网络流量监控与管理，传输优化等。同时，流量可视化系统基于完善的权限管理系统，结合多种授权方式，保证数据的安全性。

部署时，网络流量可视化应用通过在线查询智能网络交换设备的数据库，可以获得当前网络的应用分布、流量分布、安全态势等各方面的信息。图5为流量可视化系统视图，支持权限管理、无线流量可视化、PC端流量可视化、热力视图与内容流行度分布实时查看等功能。

数据：分析数据实时展示、毫秒级刷新，数据实时掌控，保证数据时效性的同时支持与历史数据(日志)的比较分析，网络流量变化趋势一目了然；多指标综合分析，记录指标包括高热度网页请求次数、终端类型，网络协议分类，终端应用分类等多方面数据，保证了数据的统计完整性，可针对详细的可视化数据进行全方位综合诊断；还可根据终端用户的点击热力图进行用户行为分析。

展示：实时大屏展示详细数据，根据不同的权限分配，其他用户可以请求权限范围类的可视化数据，保证数据的安全性；数据可视化效果包括柱状图、折线图、饼状图与双Y轴组合图等多种图形展示方式，也支持普通表格、分组表格等输出方式，满足不同场景下的需求。图6与图7分别为应用分布可视化与协议分布可视化举例。

2、主动网络安全防护举例

智能网络交换系统可在网络发生异常、故障时能快速定位问题发生的环节(特定终端或者应用)。针对网络中的攻击、病毒、路由环等影响网络传输性能的有害数据，其网络元数据带有相应的特征表现，智能网络交换系统能对其进行快速分析、定位解决，避免造成业务影响。对定位到的应用，可采取流量截断的方式进行处理，也可对运行该应用的用户终端采取限流、隔离等惩罚措施。大流量数据通讯往往对网络造成较大的压力，智能网络交换系统可及时发现并分析原因，结合网络流量可视化，有针对性地加以管理和优化，并针对异常/故障时段带宽流量情况，结合日志进行回溯分析来诊断定位问题发生的所在以及变化趋势特征，缩短故障处理时间的同时也能对具有相似流量特征的应用加以防御，更新本地异常流量特征数据库。

图8为网络安全防护的举例示意图，智能网络交换系统可发现内网的异常应用，并快速定位，从而截断该异常流量，同时对相应终端用户发出警告，或采取限流等措施；针对监测到的外网异常流量，智能网络交换系统可将流量截断，同时更新本地的攻击识别算法库。

3、差异化的Qos服务举例

智能网络交换系统识别出流量所属具体应用后，可根据不用应用的业务需求提供不同的服务质量保障，如图9所示。针对文件下载的应用，交换机可提供较高的带宽，加速文件下载；在线语音通话对带宽需求不高，但对链路的稳定性有较高的需求，智能网络交换系统针对该类业务则需优先保证其链路质量的稳定性；对于一般的数据流量，交换机在保证数据安全的同时提供普通转发服务即可。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明披露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。

Claims (4)

1.一种支持网内智能的网络交换系统，其特征在于，包括：位于顶层的应用平面、位于中间层的智能平面，以及位于底层的数据平面及控制平面；其核心设备包括：设于智能平面且支持网络智能感知、分析与控制能力的智能计算板、设于控制平面且支持转发与传输控制的控制板、以及设于数据平面且支持流量镜像和数据转发的交换网板；所述交换网板通过背板上的数据通道与智能计算板相连，所述控制板通过背板的控制通道分别与智能计算板和交换网板相连；

所述交换网板，用于实现传统网络交换系统在数据转发和业务处理上的基本功能，以及将网络流量镜像至智能计算板；

所述智能计算板，用于从网络流量中提取网络特征，并基于网络特征进行在线分析，根据分析结果进行网络智能控制，生成相应的控制信令下发给控制板；同时，提取的网络特征及在线分析结果将传输给应用平面；

所述控制板，用于根据控制信令配合所述交换网板执行相应的控制策略；

其中，所述智能计算板包括：

网络智能感知模块，用于从网络流量中提取网络特征，包括：网络流量的结构特征、统计特征和隐含特征；其中：通过NetFlow提取结构特征，所述结构特征包含数据流的部分协议字段或者负载中的特殊二进制串；通过NetMate提取统计特征，所述统计特征包含数据流在时间上的一些统计量；通过CNN提取隐含特征，所述隐含特征是指需要借助算法挖掘的一类隐含结构特征信息；

网络智能分析模块，用于基于网络特征进行在线分析，包括：利用攻击识别算法库、应用识别算法库及网络行为分析算法库实现攻击识别、应用识别及网络行为分析；在线分析过程采用GPU并行计算的方式进行加速处理；

网络智能控制模块，用于根据分析结果进行网络智能控制，包括：宽带控制、流量过滤、缓存控制及转发控制。

2.根据权利要求1所述的一种支持网内智能的网络交换系统，其特征在于，所述交换网板中还设有多个转发端口，能够与外部的物理设备相连，支持跨接口板之间的数据转发、交换与调度。

3.根据权利要求1所述的一种支持网内智能的网络交换系统，其特征在于，所述控制板还设有对外的管理通道，能够根据用户的操作指令来管理系统与监视性能并向用户反馈设备运行情况，以及对交换网板、风扇及电源进行监控和维护。

4.根据权利要求1所述的一种支持网内智能的网络交换系统，其特征在于，

应用平面获得应用识别结果后，根据不同层次的业务需求划分不同的优先级，采用特定的资源调度策略，从而实现差异化的QoS服务；同时，根据攻击识别结果，能够实现主动的网络安全防护；

应用平面通过对接收到网络特征以及在线分析结果进行图形化展示，能够实现网络的流量分布、应用分布、安全态势、用户行为及带宽使用的可视化；同时，根据在线分析结果，还能够获取实时网络状态，自动诊断网络故障。

Images