CN110710159B - 用于网络配置和故障排除的方法、系统、设备和介质 - Google Patents
用于网络配置和故障排除的方法、系统、设备和介质 Download PDFInfo
- Publication number
- CN110710159B CN110710159B CN201880035329.8A CN201880035329A CN110710159B CN 110710159 B CN110710159 B CN 110710159B CN 201880035329 A CN201880035329 A CN 201880035329A CN 110710159 B CN110710159 B CN 110710159B
- Authority
- CN
- China
- Prior art keywords
- model
- network
- conflict
- rules
- intent
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/142—Network analysis or design using statistical or mathematical methods
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0866—Checking the configuration
- H04L41/0873—Checking configuration conflicts between network elements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0893—Assignment of logical groups to network elements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0894—Policy-based network configuration management
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/145—Network analysis or design involving simulating, designing, planning or modelling of a network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/16—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks using machine learning or artificial intelligence
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/40—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks using virtualisation of network functions or resources, e.g. SDN or NFV entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
- H04L63/0263—Rule management
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/06—Management of faults, events, alarms or notifications
- H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0895—Configuration of virtualised networks or elements, e.g. virtualised network function or OpenFlow elements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/10—Active monitoring, e.g. heartbeat, ping or trace-route
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/20—Arrangements for monitoring or testing data switching networks the monitoring system or the monitored elements being virtualised, abstracted or software-defined entities, e.g. SDN or NFV
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Artificial Intelligence (AREA)
- Computer Vision & Pattern Recognition (AREA)
- Databases & Information Systems (AREA)
- Evolutionary Computation (AREA)
- Medical Informatics (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- Algebra (AREA)
- General Physics & Mathematics (AREA)
- Mathematical Analysis (AREA)
- Mathematical Optimization (AREA)
- Mathematical Physics (AREA)
- Probability & Statistics with Applications (AREA)
- Pure & Applied Mathematics (AREA)
- Business, Economics & Management (AREA)
- General Business, Economics & Management (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
描述了用于为网络意图的模型之间的对等失败生成反例的系统、方法、和计算机可读介质。获得与描述网络中的网络设备的操作和通信的网络意图的至少第一模型和第二模型之间的对等失败相对应的冲突规则的列表。计算来自第一模型的第一冲突规则与来自第二模型的相应的第二冲突规则之间的逻辑异或。至少部分地基于该逻辑异或生成与对等失败相对应的一个或多个反例,以使得给定的反例包括网络和分组条件,这些网络和分组条件使得第一冲突规则触发第一动作并使得第二冲突规则触发与第一动作不同的第二动作。在反例中标识更可能与对等失败相关联的热点字段。
Description
相关申请的交叉引用
本申请要求于2017年05月31日递交的题为“GENERATION OF COUNTER EXAMPLESFOR NETWORK INTENT FORMAL EQUIVALENCE FAILURES(针对网络意图形式对等失败的反例的生成)”的美国临时专利申请第62/513,218号,和于2017年08月31日递交的题为“GENERATION OF COUNTER EXAMPLES FOR NETWORK INTENT FORMAL EQUIVALENCEFAILURES(针对网络意图形式对等失败的反例的生成)”的美国非临时专利申请第15/693,174号的权益和优先权。通过引用将这两个申请的全部内容明确地合并于此。
技术领域
本技术涉及网络配置和故障排除,更具体地,涉及生成与网络意图形式对等失败(equivalence failure)相对应的反例(counterexample)。
背景技术
计算机网络变得越来越复杂,通常在网络的各个层都涉及低层以及高层配置。例如,计算机网络一般包括众多访问策略、转发策略、路由策略、安全性策略、服务质量(QoS)策略等等,它们共同定义了网络的整体行为和操作。网络运营商具有各种各样的配置选项,使得可根据用户的需求定制网络。尽管可用的不同配置选项为网络运营商提供了很大程度的灵活性和对网络的控制,但它们也增加了网络的复杂性。在许多情况下,配置过程可能变得高度复杂。毫不奇怪,网络配置过程越来越容易出错。另外,对高度复杂的网络中的错误进行故障排除可能极其困难。识别网络中意外行为的根本原因的过程可能是艰巨的任务。
附图说明
为了描述可以获得本公开的上述和其他优点和特征的方式,将通过参考在附图中示出的上面简要描述的原理的特定实施例来呈现对这些原理的更具体的描述。应理解,这些附图仅描绘了本公开的示例性实施例,因此不应认为是对其范围的限制,通过使用附图,利用附加特征和细节描述和解释了本文的原理,在附图中:
图1A和1B示出了示例网络环境;
图2A示出了网络的示例对象模型;
图2B示出了图2A的示例对象模型中的租户对象(tenant object)的示例对象模型;
图2C示出了图2A的示例对象模型中的各对象的示例关联;
图2D示出了用于实现图2A的示例对象模型的示例模型的示意图;
图3A示出了示例网络保证设备(network assurance appliance);
图3B示出了用于网络保证的示例系统;
图3C示出了用于网络中的静态策略分析的示例系统的示意图;
图4示出了用于网络保证和故障代码聚合的示例方法实施例;
图5示出了用于生成反例的示例架构;
图6示出了根据各种实施例的示例网络设备;以及
图7示出了根据各种实施例的示例计算设备。
具体实施方式
在独立权利要求中陈述了本发明的方面,并且在从属权利要求中陈述了优选的特征。一个方面的特征可单独地应用于每个方面或者与其他方面结合来应用。
下面详细讨论本公开的各种实施例。虽然讨论了具体实现方式,但应该理解,仅是出于说明目的而这样做的。相关领域的技术人员将认识到,在不脱离本公开的精神和范围的情况下,可以使用其他组件和配置。因此,以下描述和附图是说明性的而不应被解释为限制性的。描述了许多具体细节以提供对本公开的透彻理解。然而,在某些情形下,没有描述众所周知的或传统的细节以避免模糊本描述。在本公开中参考一个实施例或参考实施例可以是参考相同的实施例或任意实施例;并且,这样的参考指的是实施例中的至少一个。
对“一个实施例”或“实施例”的参考意味着结合该实施例描述的特定特征、结构或特性被包括在本公开的至少一个实施例中。在说明书中各处出现的短语“在一个实施例中”不一定都指代相同的实施例,也不是与其他实施例互斥的单独或替代的实施例。此外,描述了可以由一些实施例而不由其他实施例展示的各种特征。
本说明书中使用的术语在本公开的上下文中以及在其中每个术语被使用的特定上下文中通常具有其在本领域中的普通含义。替代语言和同义词可以用于本文所讨论的任何一个或多个术语,并且本文是否详述或论述某一术语不应被看作具有特殊意义。在一些情况下,提供了某些术语的同义词。对一个或多个同义词的记载不排除对其他同义词的使用。本说明书中任何地方的对示例(包括本文所讨论的任何术语的示例)的使用仅是说明性的,并且不旨在进一步限制本公开或任何示例术语的范围和含义。同样地,本公开不限于本说明书中给出的各种实施例。
不意图限制本公开的范围,下面给出根据本公开的实施例的工具、装置、方法、及其相关结果的示例。注意,为了方便读者,可能在示例中使用标题或副标题,这绝不应限制本公开的范围。除非另有定义,否则本文使用的技术和科学术语具有本公开所属领域的普通技术人员通常理解的含义。在发生冲突的情况下,以包括定义的本文档为准。
将在下面的描述中阐述本公开的其他特征和优点,并且其部分将从描述中变得清晰可见,或者可以通过实践本文公开的原理来进行学习。借助于所附权利要求中具体指出的工具和组合,可以实现和获得本公开的特征和优点。根据以下描述和所附权利要求,本公开的这些和其他特征将变得更加完全地显现出来,或者可以通过实践本文阐述的原理来进行学习。
概述
本文公开了用于生成与所识别的冲突规则有关的反例的系统、方法和计算机可读介质,所识别的冲突规则是从未能通过形式对等性检查或在其他方面不一致的(例如,软件定义的逻辑意图没有作为相应的硬件意图正确地呈现到交换机中)两个或更多个网络意图的模型得出的。在一些示例中,反例的生成可能被截断参数截断,以帮助提高计算效率。
网络意图的逻辑模型可以是基于在软件定义的网络(SDN)中的一个或多个控制器或服务器(例如,以应用为中心的基础设施(ACI)网络中的应用策略基础设施控制器(APIC))中定义的配置而生成的模型。该逻辑模型因此可以表示SDN网络的逻辑配置(例如,ACI中的逻辑配置的表示)。SDN网络的逻辑配置可以基于由SDN网络的网络运营商定义的配置,例如,输入到ACI网络的APIC中的配置,从而可以反映网络运营商的意图或者SDN网络的预期行为。
网络意图的硬件模型可以是基于逻辑模型而生成的模型。因此,硬件模型可以表示包括逻辑模型的离散的软件定义的组件的硬件呈现。通常,软件定义的逻辑意图和硬件定义的意图之间并不存在一一对应的关系。例如,逻辑模型的硬件呈现可能导致单个逻辑意图被拆分为多个不同的硬件意图。只要多个硬件意图体现与单个逻辑意图完全相同的效果,这本身就没有问题。但是,常规的网络保证处理很难做出关于对等性的确定,因为它需要比较不具有一致形式的两个网络意图的模型。这样一来,将希望能够通过用于识别在形式上或组成上不一定一致的两个或更多个网络意图的模型之间的冲突规则的系统和方法来提供智能网络保证。
描述
所公开的技术解决了本领域中对用于为两个或更多个网络意图的模型之间的冲突规则或其他对等失败生成反例的可靠且有效的能力的需求。具体地,反例可以包括一个或多个分组配置或网络动作,它们使得冲突规则生成不同的网络动作或结果。本技术涉及用于接收两个或更多个网络意图的模型之间的一组冲突规则作为输入并且生成与所输入的一组冲突规则相对应的一个或多个反例的系统、方法和计算机可读介质。
将理解的是,在识别本文描述的任何实施例中的冲突规则或对等失败之后,可在一些实施例中对更广泛地网络元件、节点或网络配置进行自动地或手动地调整,以解决冲突规则或其他对等失败。
本技术随后将被描述如下。本讨论开始于对网络保证的介绍性讨论和对示例计算环境的描述,如图1A和图1B中所示。接着是对用于网络保证、网络建模、和时间生成的系统和方法的讨论,如图2A-2D、图3A-3C以及图4中所示。接下来是对用于识别冲突规则和生成反例的示例形式分析架构的讨论,如图5中所示。本讨论以对示例网络设备(如图6中所示)和示例计算设备(如图7中所示)的描述结束,包括适合于容宿软件应用和执行计算操作的示例硬件组件。本公开现在转向讨论网络保证,根据本公开的实施例,网络保证的分析和执行是事件生成的前身。
网络保证是确保或确定网络按照网络运营商的意图行事并且已经被恰当配置(例如,网络正在做预期它要做的事情)。意图可以包含各种网络操作,例如,桥接、路由、安全性、服务链化(service chaining)、端点、合规性、QoS(服务质量)、审计等。意图可以体现在为网络和各个网络元件(例如,交换机、路由器、应用、资源等)定义的一个或多个策略、设置、配置等中。然而,经常地,网络运营商所定义的配置、策略等是不正确的或者未能准确地反映在网络的实际行为中。例如,网络运营商为一种或多种类型的流量指定配置A,但后来发现网络实际上正在将配置B应用于该流量或以与配置A不一致的方式处理该流量。这可能是许多不同原因导致的结果,例如硬件错误、软件缺陷、变化的优先级、配置冲突、一个或多个设置的误配置、设备不适当的规则呈现、意外错误或事件、软件升级、配置更改、失败等。作为另一示例,网络运营商实现配置C,但一个或多个其他配置导致网络以与配置C的实现方式所反映的意图不一致的方式行动。例如,当配置C与网络中的其他配置冲突时会导致这样的情形。
本文中的方法可以通过对网络的各个方面建模和/或执行一致性检查以及其他网络保证检查来提供网络保证。可以在各种类型的网络中实现本文的网络保证方法,所述各种类型的网络包括私有网络,例如局域网(LAN);企业网络;独立的或传统的网络,例如数据中心网络;包括物理或底层以及逻辑或覆盖层的网络,例如VXLAN或软件定义的网络(SDN)(例如,以应用为中心的基础设施(ACI)或VMware NSX网络);等等。本文的方法还可使得能够按照以任何软件或应用为中心的维度对硬件级(例如,网络交换机级)错误进行识别和可视化。通过这种方式,数据中心运营商可以快速查看在整个网络结构中影响特定租户或其他逻辑实体的硬件错误,甚至可以按其他维度(例如端点组)进行深入挖掘,以仅查看那些相关的硬件错误。这些可视化加快了根本原因分析的速度,从而改善数据中心和应用可用性指标。
可以实现逻辑模型来表示网络的各个方面。模型可包括网络的数学或语义模型,包括但不限于网络的策略、配置、要求、安全性、路由、拓扑结构、应用、硬件、过滤器、契约、访问控制列表、EPG、应用简档、租户,等等。可以实现模型以提供网络保证,来确保网络被恰当地配置,并且网络的行为将与通过由网络运营商实现的具体策略、设置、定义等所反映的预期行为一致(或保持一致)。与涉及发送和分析数据分组并观察网络行为的传统网络监视不同,可以通过建模执行网络保证,而不必摄取任何分组数据或监视流量或网络行为。这可产生先见之明、洞悉、和后见之明:可以在问题发生之前加以预防,在发生问题时识别问题,并在问题发生后立即修复问题。
可以对网络的性质进行数学建模以确定性地预测网络的行为和状况。数学模型可以对控制、管理和数据平面进行抽象,并且可以使用诸如符号化、形式验证、一致性、图形、行为之类的各种技术。如果(一个或多个)模型指示适当的行为(例如,没有不一致、冲突、错误等),则可以确定网络是健康的。如果建模指示适当的行为但有点不一致,则可以确定网络是可实现功能的,但不是完全健康的。如果建模指示不适当的行为和错误,则可以确定网络是不能实现功能的并且不健康。如果通过建模检测到不一致或错误,则对相应的(一个或多个)模型的详细分析可以允许非常准确地识别出一个或多个基础或根本问题。
建模可能消耗多种类型的数据和/或事件,其对网络的大量行为方面进行建模。这样的数据和事件可能影响网络的各个方面,例如底层服务、覆盖服务、租户连通性、租户安全性、租户EP移动性、租户策略、资源等。
已经描述了跨维度的网络保证和故障代码聚合的各种方面,本公开现在转到对用于网络保证的示例网络环境的讨论。
图1A示出了示例网络环境100(例如,数据中心)的图示。网络环境100可以包括可以表示网络环境100的物理层或基础设施(例如,底层)的结构120。结构120可以包括脊节点(spine)102(例如,脊路由器或交换机)和叶节点(leaf)104(例如,叶路由器或交换机),它们可以互连以在结构120中路由或交换流量。脊节点102可以互连结构120中的叶节点104,并且叶节点104可以将结构120连接到网络环境100的覆盖或逻辑部分,其可以包括应用服务、服务器、虚拟机、容器、端点等。因此,结构120中的网络连通性可以从脊节点102流向叶节点104,反之亦然。叶节点104和脊节点102之间的互连可以是冗余的(例如,多个互连)以避免路由失败。在一些实施例中,叶节点104和脊节点102可以完全连接,使得任何给定的叶节点都连接到每个脊节点102,并且任何给定的脊节点都连接到每个叶节点104。叶节点104可以是例如架顶式(top-of-rack,“ToR”)交换机、聚合交换机、网关、入口和/或出口交换机、提供者边缘设备、和/或任何其他类型的路由或交换设备。
叶节点104可以负责路由和/或桥接租户或客户分组以及应用网络策略或规则。网络策略和规则可以由一个或多个控制器116驱动,和/或由诸如叶节点104之类的一个或多个设备实现或实施。叶节点104可以将其他元件连接到结构120。例如,叶节点104可以将服务器106、管理程序108、虚拟机(VM)110、应用112、网络设备114等与结构120连接。这些元件可以驻留在一个或多个逻辑或虚拟层或网络中,例如覆盖网络。在一些情况下,叶节点104可以对去往和来自这种元件(例如,服务器106)的分组进行封装和解封装,以便使得能够进行整个网络环境100和结构120内的通信。叶节点104还可以向任何其他设备、服务、租户、或工作负载提供对结构120的接入。在一些情况下,连接到叶节点104的服务器106可以类似地对去往和来自叶节点104的分组进行封装和解封装。例如,服务器106可以包括一个或多个虚拟交换机或路由器或隧道端点,用于在由服务器106容宿或连接到服务器106的覆盖层或逻辑层与由结构120表示并通过叶节点104访问的底层之间用隧道传输分组。
应用112可以包括软件应用、服务、容器、设备、功能、服务链等。例如,应用112可以包括防火墙、数据库、CDN服务器、IDS/IPS、深度分组检查服务、消息路由器、虚拟变换机等。来自应用112的应用可以由多个端点(例如,服务器106、VM 110等)分发、链接或容宿,或者可以完全从单个端点运行或执行。
VM 110可以是由管理程序108容宿的虚拟机或在服务器106上运行的虚拟机管理器。VM 110可以包括在相应服务器上的访客操作系统上运行的工作负载。管理程序108可以提供创建、管理和/或运行VM 110的软件、固件和/或硬件层。管理程序108可以允许VM 110共享服务器106上的硬件资源,并且允许服务器106上的硬件资源显示为多个单独的硬件平台。此外,服务器106上的管理程序108可以容宿一个或多个VM 110。
在一些情况下,VM 110和/或管理程序108可以迁移到其他服务器106。服务器106可以类似地迁移到网络环境100中的其他位置。例如,连接到特定叶节点的服务器可以改变为连接到不同的或额外的叶节点。此类配置或部署更改可涉及对应用于正在迁移的资源以及其他网络组件的设置、配置和策略的修改。
在一些情况下,一个或多个服务器106、管理程序108和/或VM 110可以表示或驻留在租户或客户空间中。租户空间可以包括与一个或多个客户端或订户相关联的工作负载、服务、应用、设备、网络和/或资源。因此,可以基于特定租户策略、空间、协议、配置等来路由网络环境100中的流量。此外,寻址可以在一个或多个租户之间变化。在一些配置中,租户空间可以被划分为逻辑段和/或网络,并且与跟其他租户相关联的逻辑段和/或网络分开。租户之间的寻址、策略、安全性和配置信息可以由控制器116、服务器106、叶节点104等管理。
可以在逻辑级、硬件级(例如,物理级)和/或两者处实现网络环境100中的配置。例如,可以通过软件定义的网络(SDN)框架(例如,以应用为中心的基础设施(ACI)或VMWARENSX),基于端点或资源属性(例如,端点类型和/或应用组或简档)来在逻辑和/或硬件级实现配置。为了说明,一个或多个管理员可以通过控制器116在逻辑级(例如,应用或软件级)定义配置,控制器116可以通过网络环境100实现或传播这样的配置。在一些示例中,控制器116可以是ACI框架中的应用策略基础设施控制器(APIC)。在其他示例中,控制器116可以是与其他SDN解决方案相关联的一个或多个管理组件,例如,NSX管理器。
这样的配置可以定义用于在网络环境100中路由和/或分类流量的规则、策略、优先级、协议、属性、对象等。例如,这样的配置可以定义用于基于端点组(EPG)、安全组(SG)、VM类型、桥接域(BD)、虚拟路由和转发实例(VRF)、租户、优先级、防火墙规则等来分类和处理流量的属性和对象。下面进一步描述其他示例网络对象和配置。可以基于流量的标签、属性或其他特性来实施流量策略和规则,诸如与流量相关联的协议、与流量相关联的EPG、与流量相关联的SG、与流量相关联的网络地址信息等。这样的策略和规则可以由网络环境100中的一个或多个元件(例如,叶节点104、服务器106、管理程序108、控制器116等)实施。如前所述,可以根据一个或多个特定软件定义的网络(SDN)解决方案(例如,CISCO ACI或VMWARENSX)来配置网络环境100。下面简要描述这些示例SDN解决方案。
ACI可以通过可缩放的分布式实施来提供以应用为中心或基于策略的解决方案。ACI支持在针对网络、服务器、服务、安全性、要求等的声明性配置模型下集成物理和虚拟环境。例如,ACI框架实现EPG,EPG可以包括共享通用配置要求(例如,安全性、QoS、服务等)的端点或应用的集合。端点可以是虚拟/逻辑或物理设备,例如,连接到网络环境100的VM、容器、主机或物理服务器。端点可以具有一个或多个属性,例如,VM名称、访客OS名称、安全标签、应用简档等。应用配置可以以契约的形式在EPG之间应用,而不是直接应用于端点之间。叶节点104可以将传入的流量分类为不同的EPG。分类可以基于例如网络段标识符,例如,VLAN ID、VXLAN网络标识符(VNID)、NVGRE虚拟子网标识符(VSID)、MAC地址、IP地址等。
在一些情况下,ACI基础设施中的分类可以由应用虚拟交换机(AVS)实现,其可以在诸如服务器或交换机之类的主机上运行。例如,AVS可以基于指定的属性对流量进行分类,并且对具有不同标识符(例如,网络段标识符(例如,VLAN ID))的不同属性EPG的分组进行标记。最后,叶节点104可以基于其标识符和实施策略来将分组与其属性EPG捆绑,这可以由一个或多个控制器116实现和/或管理。叶节点104可以对来自主机的流量属于哪个EPG进行分类并且相应地实施策略。
另一示例SDN解决方案基于VMWARE NSX。使用VMWARE NSX,主机可以运行分布式防火墙(DFW),其可以对流量进行分类和处理。考虑将三种类型的VM(即,应用、数据库和webVM)放入单个第2层网络段的情况。可以基于VM类型在网络段内提供流量保护。例如,可以在web VM之间允许HTTP流量,并且在web VM与应用或数据库VM之间不允许HTTP流量。为了对流量进行分类并实现策略,VMWARE NSX可以实现安全组,该安全组可用于对特定VM(例如,web VM、应用VM、数据库VM)进行分组。可以配置DFW规则以实现针对特定安全组的策略。为了说明,在先前的示例的情境中,DFW规则可以被配置为阻止web、应用和数据库安全组之间的HTTP流量。
现在回到图1A,网络环境100可以通过叶节点104、服务器106、管理程序108、VM110、应用112和控制器116来部署不同的主机,例如VMWARE ESXi主机、WINDOWS HYPER-V主机、裸金属物理主机等。网络环境100可以与各种管理程序108、服务器106(例如,物理和/或虚拟服务器)、SDN编排平台等进行互操作。网络环境100可以实现声明性模型以允许其与应用设计和整体网络策略的集成。
控制器116可以提供对软件定义的网络(SDN)基础设施的结构信息、应用配置、资源配置、应用级配置建模的集中访问,与管理系统或服务器的集成等。控制器116可以形成通过上行(northbound)API与应用平面进行接口,并且通过下行(southbound)API与数据平面进行接口的控制平面。
如前所述,控制器116可以定义和管理网络环境100中的针对配置的(一个或多个)应用级模型。在一些情况下,还可以由网络中的其他组件管理和/或定义应用或设备配置。例如,管理程序或虚拟设备(例如,VM或容器)可以运行服务器或管理工具来管理网络环境100中的软件和服务,包括虚拟设备的配置和设置。
如上所示,网络环境100可以包括一个或多个不同类型的SDN解决方案、主机等。为了清楚和解释的目的,将参考ACI框架描述本公开中的各种示例,并且控制器116可以可互换地被称为控制器、APIC或APIC控制器。然而,应该注意,本文的技术和概念不限于ACI解决方案,并且可以在其他架构和场景中实现,包括其他SDN解决方案以及可以不部署SDN解决方案的其他类型的网络。
此外,如本文所引用的,术语“主机”可以指代服务器106(例如,物理的或逻辑的)、管理程序108、VM 110、容器(例如,应用112)等,并且可以运行或包括任何类型的服务器或应用解决方案。“主机”的非限制性示例可以包括虚拟交换机或路由器,例如分布式虚拟交换机(DVS)、应用虚拟交换机(AVS)、矢量分组处理(VPP)交换机;VCENTER和NSX管理器;裸金属物理主机;HYPER-V主机;VM;DOCKER容器;等等。
图1B示出了网络环境100的另一示例。在该示例中,网络环境100包括连接到结构120中的叶节点104的端点122。端点122可以是物理和/或逻辑或虚拟实体,诸如服务器、客户端、VM、管理程序、软件容器、应用、资源、网络设备、工作负载等。例如,端点122可以是表示下列项的对象:物理设备(例如,服务器、客户端、交换机等)、应用(例如,web应用、数据库应用等)、逻辑或虚拟资源(例如,虚拟交换机、虚拟服务设备、虚拟化网络功能(VNF)、VM、服务链等)、运行软件资源的容器(例如,应用、设备、VNF、服务链等)、存储设备、工作负载或工作负载引擎等。端点122可以具有地址(例如,身份)、位置(例如,主机、网络段、虚拟路由和转发(VRF)实例、域等)、一个或多个属性(例如,名称、类型、版本、补丁级别、OS名称、OS类型等)、标签(例如,安全性标签)、简档等。
端点122可以与相应的逻辑组118相关联。逻辑组118可以是包含根据以下各项分组在一起的端点(物理和/或逻辑或虚拟)的逻辑实体:一个或多个属性(例如,端点类型(例如,VM类型、工作负载类型、应用类型等)),一个或多个要求(例如,策略要求、安全性要求、QoS要求、客户要求、资源要求等),资源名称(例如,VM名称、应用名称等),简档,平台或操作系统(OS)特性(例如,包括访客和/或主机OS的OS类型或名称等),关联的网络或租户,一个或多个策略,标签等。例如,逻辑组可以是表示分组在一起的端点集合的对象。为了说明,逻辑组1可以包含客户端端点,逻辑组2可以包含web服务器端点,逻辑组3可以包含应用服务器端点,逻辑组N可以包含数据库服务器端点等。在一些示例中,逻辑组118是ACI环境中的EPG和/或另一SDN环境中的其他逻辑组(例如,SG)。
可以基于逻辑组118对去往端点122和/或来自端点122的流量进行分类、处理、管理等。例如,逻辑组118可以用于对去往端点122或者来自端点122的流量进行分类,将策略应用于去往端点122或者来自端点122的流量,定义端点122之间的关系,定义端点122的角色(例如,端点是消费还是提供服务等),将规则应用于去往端点122或来自端点122的流量,对去往端点122或来自端点122的流量应用过滤器或访问控制列表(ACL),为去往端点122或来自端点122的流量定义通信路径,实施与端点122相关联的要求,实现与端点122相关联的安全性以及其他配置等。
在ACI环境中,逻辑组118可以是用于在ACI中定义契约的EPG。契约可以包括指定EPG之间发生什么通信和如何发生通信的规则。例如,契约可以定义提供服务的是什么,消费服务的是什么以及什么策略对象与该消费关系相关。契约可以包括定义如下内容的策略:通信路径以及端点或EPG之间的通信或关系的所有相关元素。例如,Web EPG可以提供客户端EPG所消费的服务,并且该消费可以受制于过滤器(ACL)和包括一个或多个服务(例如,防火墙检验服务和服务器负载平衡)的服务图。
图2A示出了诸如网络环境100之类的SDN网络的示例管理信息模型200的图示。以下对管理信息模型200的讨论提及了各种术语,在整个公开中也将使用这些术语。因此,为清楚起见,本公开首先将在下面提供术语列表,随后将对管理信息模型200进行更详细的讨论。
如本文所使用的,术语“别名(aliasing)”和“影子(shadowing)”可以指代与一个或多个其他规则重叠的规则(例如,契约、策略、配置等)。例如,如果在网络的逻辑模型中定义的契约1与在网络的逻辑模型中定义的契约2重叠,则可以说契约1是契约2的别名或影子。在此示例中,通过使契约2成为别名或影子,契约1可使得契约2冗余或不可操作。例如,如果契约1具有比契约2更高的优先级,则这种别名化可基于契约1的重叠和更高优先级特性而致使契约2冗余。
如本文所使用的,术语“APIC”可以指代ACI框架中的一个或多个控制器(例如,控制器116)。APIC可以为ACI多租户结构提供统一的自动化和管理点、策略编程、应用部署、健康监控。APIC可以实现为单个控制器,分布式控制器,或复制的、同步的和/或集群的控制器。
如本文所使用的,术语“BDD”可以指代二元决策树。二元决策树可以是表示函数(例如,布尔函数)的数据结构。
如本文所使用的,术语“BD”可以指代桥接域。桥接域可以是一组共享相同洪泛或广播特性的逻辑端口。与虚拟LAN(VLAN)一样,桥接域可以跨越多个设备。桥接域可以是L2(第2层)构造。
如本文所使用的,“消费者”可以指代消费服务的端点、资源和/或EPG。
如本文所使用的,“情境(context)”可以指代L3(第3层)地址域,其允许路由表的多个实例存在并同时工作。这通过允许在不使用多个设备的情况下对网络路径进行分段来提高功能性。情境或L3地址域的非限制性示例可以包括虚拟路由和转发(VRF)实例、私有网络等。
如本文所使用的,术语“契约”可以指代指定在网络中进行什么通信以及如何进行通信(例如,允许、拒绝、过滤、处理通信等)的规则或配置。在ACI网络中,契约可以指定端点和/或EPG之间的通信如何发生。在一些示例中,契约可以提供类似于访问控制列表(ACL)的规则和配置。
如本文所使用的,术语“可辨别名称”(DN)可以指代描述诸如MO之类的对象并且定位其在管理信息模型200中的位置的唯一名称。在一些情况下,DN可以是(或等同于)全限定域名(FQDN)。
如本文所使用的,术语“端点组”(EPG)可以指代与端点的集合或组相关联的逻辑实体或对象,如先前参考图1B所描述的。
如本文所使用的,术语“过滤器”可以指代用于允许通信的参数或配置。例如,在其中默认情况下所有通信都被阻止的白名单模型中,必须给予通信明确的许可,以防止此类通信被阻止。过滤器可以定义针对一个或多个通信或分组的(一个或多个)许可。因此,过滤器的功能可以类似于ACL或防火墙规则。在一些示例中,过滤器可以在分组(例如,TCP/IP)头部字段中实现,例如,L3协议类型、L4(第4层)端口等,其例如用于允许端点或EPG之间的入站或出站通信。
如本文所使用的,术语“L2输出”可以指代桥接连接。桥接连接可以连接同一网络的两个或更多个段,使得它们可以通信。在ACI框架中,L2输出可以是ACI结构(例如,结构120)和外部第2层网络(例如,交换机)之间的桥接(第2层)连接。
如本文所使用的,术语“L3输出”可以指代路由连接。路由第3层连接使用一组协议,该组协议确定数据所遵循的路径以便跨网络地从其源行进到其目的地。路由连接可以根据所选择的协议(例如,BGP(边界网关协议)、OSPF(开放式最短路径优先)、EIGRP(增强型内部网关路由协议)等)来执行转发(例如,IP转发)。
如本文所使用的,术语“管理对象”(MO)可以指代在网络(例如,网络环境100)中管理的对象的抽象表示。对象可以是具体对象(例如,交换机、服务器、适配器等)或逻辑对象(例如,应用简档、EPG、故障等)。MO可以是在网络中管理的网络资源或元素。例如,在ACI环境中,MO可以包括ACI结构(例如,结构120)资源的抽象。
如本文所使用的,术语“管理信息树”(MIT)可以指代包含系统的MO的分层管理信息树。例如,在ACI中,MIT包含ACI结构(例如,结构120)的MO。MIT也可以被称为管理信息模型(MIM),例如管理信息模型200。
如本文所使用的,术语“策略”可以指代用于控制系统或网络行为的某些方面的一个或多个规范。例如,策略可以包括命名实体,该命名实体包含用于控制系统行为的一些方面的规范。为了说明,第3层外部网络策略可以包含BGP协议,以在将结构120连接到外部第3层网络时使能BGP路由功能。
如本文所使用的,术语“简档”可以指代与策略相关联的配置细节。例如,简档可以包括命名实体,该实体包含用于实现策略的一个或多个实例的配置细节。为了说明,针对路由策略的交换机节点简档可以包含特定于交换机的配置细节以实现BGP路由协议。
如本文所使用的,术语“提供者”指代提供服务的对象或实体。例如,提供者可以是提供服务的EPG。
如本文所使用的,术语“主体”指代用于定义通信的契约中的一个或多个参数。例如,在ACI中,契约中的主体可以指定什么信息可以被传送以及如何被传送。主体的功能类似于ACL。
如本文所使用的,术语“租户”指代网络中的隔离单元。例如,租户可以是安全且排他的虚拟计算环境。在ACI中,租户可以是从策略角度看的隔离单元,但不一定代表私有网络。实际上,ACI租户可以包含多个私有网络(例如,VRF)。租户可以代表服务提供者设置中的消费者、企业设置中的组织或领域、或仅代表策略组。
如本文所使用的,术语“VRF”指代虚拟路由和转发实例。VRF可以定义第3层地址域,其允许路由表的多个实例存在并同时工作。这通过允许在不使用多个设备的情况下对网络路径进行分段来提高功能性。其也被称为情境或私有网络。
已经描述了本文使用的各种术语,本公开现在返回到对图2A中的管理信息模型(MIM)200的讨论。如前所述,MIM 200可以是分层管理信息树或MIT。此外,MIM 200可以由控制器116(例如,ACI中的APIC)管理和处理。控制器116可以通过将其可管理特性呈现为可以根据对象在模型的分层结构内的位置而继承的对象属性来实现对被管理资源的控制。
MIM 200的分层结构从位于顶部(根)的策略全集202开始并且包含双亲(parent)节点和子节点116、204、206、208、210、212。树中的节点116、202、204、206、208、210、212表示管理对象(MO)或对象组。结构(例如,结构120)中的每个对象具有唯一的可辨别名称(DN),其描述对象并定位其在树中的位置。节点116、202、204、206、208、210、212可以包括如下所述的各种MO,其包含统管系统的操作的策略。
控制器116
控制器116(例如,APIC控制器)可以为结构120提供管理、策略编程、应用部署和健康监控。
节点204
节点204包括用于使管理员能够执行基于域的访问控制的策略的租户容器。租户的非限制性示例可以包括:
管理员根据用户的需求定义的用户租户。它们包含统管资源(例如,应用、数据库、web服务器、网络附接存储、虚拟机等)的操作的策略。
共同租户由系统提供,但是可以由管理员配置。它包含统管所有租户可访问资源(例如,防火墙、负载平衡器、第4层到第7层服务、入侵检测设备等)的操作的策略。
基础设施租户由系统提供,但是可以由管理员配置。它包含统管基础设施资源(例如,结构覆盖(例如,VXLAN))的操作的策略。它还使得结构提供者能够选择性地将资源部署到一个或多个用户租户。基础设施租户策略可由管理员进行配置。
管理租户由系统提供,但是可以由管理员配置。它包含统管结构管理功能的操作的策略,这些功能用于对结构节点的带内和带外配置。管理租户包含用于控制器/结构内部通信的私有界外(out-of-bound)地址空间,该地址空间位于通过交换机的管理端口提供访问的结构数据路径之外。管理租户使能与虚拟机控制器的通信的发现和自动化。
节点206
节点206可以包含统管交换机访问端口的操作的访问策略,交换机访问端口提供到诸如存储、计算、第2层和第3层(桥接和路由)连通性、虚拟机管理程序、第4层到第7层设备等之类的资源的连接。如果租户需要除默认链路、思科发现协议(Cisco DiscoveryProtocol,CDP)、链路层发现协议(LLDP)、链路聚合控制协议(LACP)或生成树协议(STP)中提供的接口配置以外的接口配置,则管理员可以配置访问策略以在叶节点104的访问端口上使能此类配置。
节点206可以包含统管交换机结构端口的操作的结构策略,包括诸如网络时间协议(NTP)服务器同步、中间系统到中间系统协议(IS-IS)、边界网关协议(BGP)路由反射器、域名系统(DNS)等之类的功能。结构MO包含诸如电源、风扇、底座等之类的对象。
节点208
节点208可以包含VM域,其将具有类似的联网策略要求的VM控制器聚集起来。VM控制器可以共享虚拟空间(例如,VLAN或VXLAN空间)和应用EPG。控制器116与VM控制器通信以发布网络配置,例如随后应用于虚拟工作负载的端口组。
节点210
节点210可以包含第4层到第7层服务集成生命周期自动化框架,其使得系统能够在服务在线或离线时动态地做出响应。策略可以提供服务设备包和库存管理功能。
节点212
节点212可以包含统管结构120的用户权限、角色和安全域的访问、认证和计费(AAA)策略。
分层策略模型可以很好地适合API,例如REST API接口。调用时,API可以读取或写入MIT中的对象。URL可以直接映射到标识MIT中的对象的可辨别名称。例如,MIT中的数据可以被描述为以XML或JSON编码的自包含结构化树文本文档。
图2B示出了用于MIM 200的租户部分的示例对象模型220。如前所述,租户是用于使管理员能够执行基于域的访问控制的应用策略的逻辑容器。因此,租户代表了从策略角度看的隔离单元,但它不一定代表私有网络。租户可以代表服务提供者设置中的客户、企业设置中的组织或域、或者仅代表方便的策略分组。此外,租户可以彼此隔离或可以共享资源。
MIM 200的租户部分204A可以包括各种实体,并且租户部分204A中的实体可以从双亲实体继承策略。租户部分204A中的实体的非限制性示例可以包括过滤器240、契约236、外部网络222、桥接域230、VRF实例234、和应用简档224。
桥接域230可以包括子网232。契约236可以包括主体238。应用简档224可以包含一个或多个EPG 226。一些应用可以包含多个组件。例如,电子商务应用可能需要web服务器、数据库服务器、位于存储区域网络中的数据、以及对允许实现金融交易的外部资源的访问。应用简档224包含与提供应用的能力在逻辑上相关的尽可能多(或少)的EPG。
EPG 226可以以各种方式来组织,例如基于它们提供的应用、它们提供的功能(例如基础设施)、它们在数据中心(例如DMZ)的结构中的位置、或者结构或租户管理员选择使用的任何组织原则。
结构中的EPG可以包含各种类型的EPG,例如,应用EPG、第2层外部网络外实例EPG、第3层外部网络外实例EPG、用于带外或带内访问的管理EPG等。EPG 226还可以包含属性228,例如基于封装的EPG、基于IP的EPG、或基于MAC的EPG。
如前所述,EPG可以包含具有共同特性或属性(例如,共同策略要求(例如,安全性、虚拟机移动性(VMM)、QoS、或第4层到第7层服务)的端点(例如,EP 122)。不是单独配置和管理端点,而是可以将它们放在EPG中并作为群组进行管理。
策略应用于EPG,包括它们所包含的端点。EPG可以由管理员在控制器116中静态配置,或者由诸如VCENTER或OPENSTACK之类的自动系统动态地配置。
为在租户部分204A中激活租户策略,应配置结构访问策略并将其与租户策略相关联。访问策略使管理员能够配置其他网络配置,例如,端口信道和虚拟端口信道,诸如LLDP、CDP或LACP之类的协议,以及诸如监控或诊断之类的特征。
图2C示出了MIM 200中的租户实体和访问实体的示例关联260。策略全集202包含租户部分204A和访问部分206A。因此,租户部分204A和访问部分206A通过策略全集202相关联。
访问部分206A可以包含结构和基础设施访问策略。通常,在策略模型中,EPG与VLAN耦合。例如,为使流量流过,EPG被部署在具有在物理、VMM、L2输出、L3输出或光纤信道域中的VLAN的叶端口上。
因此,访问部分206A包含域简档236,其可以定义例如要与EPG相关联的物理、VMM、L2输出、L3输出或光纤信道域。域简档236包含VLAN实例简档238(例如,VLAN池)和可附接访问实体简档(AEP)240,它们直接与应用EPG相关联。AEP 240将关联的应用EPG部署到它所附接的端口,并自动执行分配VLAN的任务。虽然大型数据中心可以在数百个VLAN上配有数千个活动的VM,但结构120可以自动从VLAN池分配VLAN ID。与在传统数据中心中中继(trunkdown)VLAN相比,这节省了时间。
图2D示出了诸如网络环境100之类的网络的示例模型的示意图。可以基于与MIM200中定义的各种对象、策略、属性和元素相关联的特定配置和/或网络状态参数来生成模型。模型可以被实现用于网络分析和保证,并且可以在实现的各个阶段和网络的各个级别提供对网络的描述。
如图所示,模型可以包括L_模型270A(逻辑模型)、LR_模型270B(逻辑呈现模型或逻辑运行时模型)、Li_模型272(针对i的逻辑模型)、Ci_模型274(针对i的具体模型)和/或Hi_模型276(针对i的硬件模型或TCAM模型)。
L_模型270A是在网络(例如,网络环境100)中配置的MIM 200中的各种元素(例如,如网络中配置的MIM 200中的对象、对象属性、对象关系和其他元素)的逻辑表示。控制器116可以基于针对网络而输入在控制器116中的配置来生成L_模型270A,并且因此L_模型270A表示控制器116处的网络的逻辑配置。这是对在网络实体(例如,应用、租户等)的元素被连接并且结构120被控制器116配设时所期望的“结束状态”表述的声明。因为L_模型270A表示输入在控制器116中的配置(包括MIM200中的对象和关系),它还可以反映管理员的“意图”:管理员希望网络和网络元件如何运作。
L_模型270A可以是结构或网络范围的逻辑模型。例如,L_模型270A可以描述来自每个控制器116的配置和对象。如前所述,网络环境100可以包括多个控制器116。在一些情况下,两个或更多个控制器116可以包括用于网络的不同配置或逻辑模型。在这种情况下,L_模型270A可以获得来自控制器116的配置或逻辑模型中的任一者,并基于来自所有控制器116的配置和逻辑模型来生成结构或网络范围的逻辑模型。因此,L_模型270A可以在控制器116之间合并配置或逻辑模型,以提供综合的逻辑模型。L_模型270A还可以解决或解释可能由不同控制器116处的配置或逻辑模型导致的任何依赖性、冗余、冲突等。
LR_模型270B是控制器116(例如,ACI中的APIC)从L_模型270A中解析的抽象模型表述。LR_模型270B可以提供将被递送到物理基础设施(例如,结构120)以执行一个或多个策略的配置组件。例如,LR_模型270B可以被递送到结构120中的叶节点104,以将叶节点104配置用于与附接的端点122通信。LR_模型270B还可以包含状态信息以捕获网络(例如,结构120)的运行时状态。
在一些情况下,LR_模型270B可以提供L_模型270A的表示,其根据可以传播到结构120的物理基础设施(例如,叶节点104、脊节点102等)和/或被结构120的物理基础设施所理解的特定格式或表述来标准化。例如,LR_模型270B可以将L_模型270A中的元素与可以由结构120中的交换机解释和/或编译的特定标识符或标签(例如,用作分类符的硬件平面标识符)相关联。
Li_模型272是从L_模型270A和/或LR_模型270B获得的交换机级或特定于交换机的模型。Li_模型272可以将L_模型270A和/或LR_模型270B投射在特定交换机或设备i上,因此可以传达L_模型270A和/或LR_模型270B应该如何出现在特定交换机或设备i处或如何在特定交换机或设备i处实现。
例如,Li_模型272可以投射与特定交换机i有关的L_模型270A和/或LR_模型270B,以捕获L_模型270A和/或LR_模型270B在交换机i处的交换机级表示。为了说明,Li_模型272L1可以表示投射到叶节点1(104)或在叶节点1(104)处实现的L_模型270A和/或LR_模型270B。因此,对于结构120上的个体设备(例如,叶节点104、脊节点102等),可以从L_模型270A和/或LR_模型270B生成Li_模型272。
在一些情况下,可以使用JSON(JavaScript对象表示法)来表示Li_模型272。例如,Li_模型272可以包括JSON对象,例如规则、过滤器、条目和范围。
Ci_模型274是在单独的结构成员i(例如,交换机i)处的实际状态内(in-state)配置。换句话说,Ci_模型274是基于Li_模型272的交换机级或特定于交换机的模型。例如,控制器116可以将Li_模型272递送到叶节点1(104)。叶节点1(104)可以采用Li_模型272(其可以特定于叶节点1(104)),并且叶节点1(104)可以将Li_模型272中的策略呈现为在叶节点1(104)上运行的具体模型Ci_模型274。例如,叶节点1(104)可以通过叶节点1(104)上的OS来呈现Li_模型272。因此,Ci_模型274可以类似于经编译的软件,因为它采用叶节点1(104)处的交换机OS可以执行的Li_模型272的形式。
在一些情况下,Li_模型272和Ci_模型274可以具有相同或相似的格式。例如,Li_模型272和Ci_模型274可以基于JSON对象。具有相同或相似格式可以协助Li_模型272和Ci_模型274中的对象进行比较以确定是否对等或一致。如本文进一步描述的,这种对等性或一致性检查可以用于网络分析和保证。
Hi_模型276也是针对交换机i的交换机级或特定于交换机的模型,但是基于针对交换机i的Ci_模型274。Hi_模型276是在单独的结构成员i(例如,交换机i)处的硬件或存储器(例如,TCAM存储器)上存储或呈现的实际配置(例如,规则)。例如,Hi_模型276可以表示叶节点1(104)基于叶节点1(104)处的Ci_模型274在叶节点1(104)的硬件(例如,TCAM存储器)上存储或呈现的配置(例如,规则)。叶节点1(104)处的交换机OS可以呈现或执行Ci_模型274,并且叶节点1(104)可以存储或呈现来自存储设备(例如,叶节点1(104)处的存储器或TCAM)中的Ci_模型274的配置。来自由叶节点1(104)存储或呈现的Hi_模型276的配置表示在处理流量时将由叶节点1(104)实现的配置。
虽然模型272、274、276被示出为特定于设备的模型,但是类似的模型可以针对结构120中的结构成员(例如,叶节点104和/或脊节点102)的集合而生成或聚合。当被组合时,特定于设备的模型(例如模型272、模型274和/或模型276)可以提供超出特定设备的结构120的表示。例如,在一些情况下,可以组合或聚合与一些或所有各个结构成员(例如,叶节点104和脊节点102)相关联的Li_模型272、Ci_模型274和/或Hi_模型276,以基于各个结构成员生成一个或多个聚合模型。
如本文所提及的,术语H模型、T模型和TCAM模型可以互换使用以指代硬件模型,例如Hi_模型276。例如,Ti模型、Hi模型和TCAMi模型可以互换使用,以指代Hi_模型276。
模型270A、270B、272、274、276可以提供网络的各个方面或MIM200的各个配置阶段的表示。例如,模型270A、270B、272、274、276中的一个或多个可以用于生成表示结构120的一个或多个方面(例如,底层拓扑、路由等)的底层模型278,表示网络环境100的覆盖或(一个或多个)逻辑段的一个或多个方面(例如,COOP、MPBGP、租户、VRF、VLAN、VXLAN、虚拟应用、VM、管理程序、虚拟交换等)的覆盖模型280,表示MIM 200中的租户部分204A的一个或多个方面(例如,安全性、转发、服务链、QoS、VRF、BD、契约、过滤器、EPG、子网等)的租户模型282,表示网络环境100中的一个或多个资源(例如,存储、计算、VM、端口信道、物理元件等)的资源模型284,等等。
通常,L_模型270A可以是存在于LR_模型270B中的内容的高级表述,其应当在具体设备上被呈现为Ci_模型274和Hi_模型276表述。如果模型之间存在任何间隙,则可能存在不一致的配置或问题。
图3A示出了用于网络保证的示例保证设备300的图。在该示例中,保证设备300可以包括以集群模式操作的k个VM 110。在此示例中为了解释的目的而使用VM。然而,应该理解,本文还设想了其他配置,例如,使用容器、裸金属设备、端点122、或任何其他物理或逻辑系统。此外,例如,虽然图3A示出了集群模式配置,但是本文还设想了其他配置,例如单模式配置(例如,单个VM、容器或服务器)或服务链。
保证设备300可以在一个或多个服务器106、资源110、管理程序108、EP 122、叶节点104、控制器116或任何其他系统或资源上运行。例如,保证设备300可以是在网络环境100中的一个或多个VM 110上运行的逻辑服务或应用。
保证设备300可以包括数据框架308,其可以基于例如APACHE APEX和HADOOP。在一些情况下,保证检查可以被编写为驻留在数据框架308中的个体操作器(operator)。这允许实现本地水平扩展架构,其能够扩展到结构120(例如,ACI结构)中的任意数量的交换机。
保证设备300可以以可配置的周期(例如,时段)轮询结构120。分析工作流可以被设置为操作器310的DAG(有向无环图),其中数据从一个操作器流向另一操作器,并且最终生成结果并且针对每个间隔(例如,每个时段)将结果永久保存到数据库302。
上层(north-tier)实现API服务器(例如,APACHE Tomcat、Spring框架)304和Web服务器306。图形用户界面(GUI)经由暴露给客户的API进行交互。客户还可以使用这些API来从保证设备300收集数据,以进一步集成到其他工具中。
数据框架308(例如,APEX/Hadoop)中的操作器310可以一起支持保证操作。以下是保证设备300可以通过操作器310执行的保证操作的非限制性示例。
安全性策略遵守
保证设备300可以检查以确保来自可以反映用户对网络的意图的L_模型270A的配置或规范(包括例如安全性策略和客户配置的契约)被正确地实现和/或呈现在Li_模型272、Ci_模型274和Hi_模型276中并且因此由结构成员(例如,叶节点104)适当地实现和呈现,并且报告任何发现的错误、契约违反或不规则。
静态策略分析
保证设备300可以检查用户的一个或多个意图的规范中的问题(例如,识别L_模型270A中的矛盾或冲突的策略)。
TCAM利用率
TCAM是结构(例如,结构120)中的稀缺资源。然而,保证设备300可以通过网络数据(例如,最长前缀匹配(LPM)表、路由表、VLAN表、BGP更新等)、契约、逻辑组118(例如,EPG)、租户、脊节点102、叶节点104、和网络环境100中的其他维度和/或MIM 200中的对象来分析TCAM利用率,以向网络运营商或用户提供对该稀缺资源的利用率的可见性。这对规划和其他优化目的有很大帮助。
端点检查
保证设备300可以验证结构(例如,结构120)在所注册的端点信息中没有不一致(例如,两个叶节点宣告相同的端点、重复的子网等),以及其他这样的检查。
租户路由检查
保证设备300可以验证BD、VRF、子网(内部和外部两者)、VLAN、契约、过滤器、应用、EPG等被正确地编程。
基础设施路由
保证设备300可以验证基础设施路由(例如,IS-IS协议)没有导致黑洞、环路、振荡(flap)的收敛问题和其他问题。
MP-BGP路由反射检查
网络结构(例如,结构120)可以与其他外部网络接口连接,并通过一个或多个协议(例如,边界网关协议(BGP)、开放式最短路径优先(OSPF)等)提供到它们的连接。通过例如MP-BGP在网络结构内通告已获知的路由。这些检查可以保证通过例如MP-BGP(例如,来自边界叶节点)的路由反射服务不具有健康问题。
逻辑线头(Lint)和实时变化分析
保证设备300可以验证网络的规范(例如,L_模型270A)中的规则是完整的并且没有不一致或其他问题。可以由保证设备300通过在L_模型270A和/或MIM 200中的MO的相关联的配置上执行的语法和语义检查来检查MIM 200中的MO。保证设备300还可以验证不必要的、陈旧的、未使用的或冗余的配置(例如契约)被移除。
图3B示出了用于网络保证的示例系统350(例如,保证设备300)的架构图。在一些情况下,系统350可以对应于先前关于图3A所讨论的操作器310的DAG。
在该示例中,拓扑探测器312与控制器116(例如,APIC控制器)通信,以便发现或以其他方式构建结构120的综合拓扑视图(例如,脊节点102、叶节点104、控制器116、端点122、和任何其他组件及其互连)。虽然各种架构组件以单个盒装方式来表示,但是应理解,给定的架构组件(例如,拓扑探测器312)可对应于一个或多个个体操作器310,并且可以包括一个或多个节点或端点,例如一个或多个服务器、VM、容器、应用、服务功能(例如,服务链中的功能或虚拟化网络功能)等。
拓扑探测器312被配置为发现结构120中的节点,例如,控制器116、叶节点104、脊节点102等。拓扑探测器312还可以检测在控制器116之间执行的多数选举,并确定控制器116之间是否存在规定数量(quorum)。如果不存在规定数量或多数,则拓扑探测器312可以触发事件并警告用户控制器116之间存在配置或其他错误,其阻止达到规定数量或多数。拓扑探测器312可以检测作为结构120的一部分的叶节点104和脊节点102,并将其相应的带外管理网络地址(例如,IP地址)发布到下游服务。这可以是在拓扑探测器312发现时段(例如,5分钟或某个其他指定间隔)结束时发布到下游服务的拓扑视图的一部分。
在一些示例中,拓扑探测器312可以接收与网络/结构(例如,结构120)相关联的控制器116(例如,APIC控制器)的列表作为输入。拓扑探测器312还可以接收相应的证书以登录到每个控制器。拓扑探测器312可以使用例如REST调用从每个控制器取回信息。拓扑探测器312可以从每个控制器获得该控制器知道的节点列表(例如,叶节点104和脊节点102)及其相关联的属性。拓扑探测器312可以从控制器116获得节点信息,包括但不限于,IP地址、节点标识符、节点名称、节点域、节点URI、节点_dm、节点角色、节点版本等。
拓扑探测器312还可以确定控制器116是否是规定数量的,或者它们之间是否充分地以通信方式耦合。例如,如果存在n个控制器,则当(n/2+1)个控制器知道彼此和/或以通信方式耦合时,可以满足规定数量的条件。拓扑探测器312可以通过解析从控制器返回的数据并识别其组成节点之间的通信耦合来确定规定数量(或识别任何失败的节点或控制器)。拓扑探测器312可以识别网络中每个节点的类型,例如,脊节点、叶节点、APIC等,并将该信息包括在所生成的拓扑信息中(例如,拓扑图或模型)。
如果不存在规定数量,则拓扑探测器312可以触发事件并警告用户需要重新配置或适当注意。如果存在规定数量,则拓扑探测器312可以将网络拓扑信息编译为JSON对象,并将其向下游传递给其他操作器或服务,例如统一收集器314。
统一收集器314可以从拓扑探测器312接收拓扑视图或模型,并使用拓扑信息以从结构120收集用于网络保证的信息。统一收集器314可以轮询结构120中的节点(例如,控制器116、叶节点104、脊节点102等)以从这些节点收集信息。
统一收集器314可以包括一个或多个收集器(例如,收集器设备、操作器、应用、VM等),其被配置为从拓扑探测器312和/或结构120中的节点收集信息。例如,统一收集器314可以包括收集器集群,并且可以将每个收集器分配给拓扑模型和/或结构120内的节点的子集,以便从其被分配的节点的子集收集信息。为提高性能,统一收集器314可以以并行、多线程方式运行。
统一收集器314可以跨各个收集器实现负载平衡,以提高整个收集过程的效率。可以通过管理节点的子集到收集器的分布来优化负载平衡,例如通过随机地将节点散布到收集器。
在一些情况下,保证设备300可以运行统一收集器314的多个实例。这还可以允许保证设备300通过分片(sharding)和/或负载平衡来针对拓扑结构(例如,包括脊节点102、叶节点104、控制器116等的结构120)中的每个节点分布收集数据的任务,以及将收集任务和/或节点映射到统一收集器314的特定实例,其中跨越节点的数据收集由统一收集器314的各个实例并行执行。在给定节点内,可以串行地执行命令和数据收集。保证设备300可以控制统一收集器314的每个实例用于从结构120轮询数据的线程的数量。
统一收集器314可以收集来自控制器116的模型(例如,L_模型270A和/或LR_模型270B),来自结构120中的节点(例如,叶节点104和/或脊节点102)的交换机软件配置和模型(例如,Ci_模型274),来自结构120中的节点(例如,叶节点104和/或脊节点102)的硬件配置和模型(例如,Hi_模型276)等。统一收集器314可以收集来自各个节点或结构成员(例如,叶节点104和脊节点102)的Ci_模型274和Hi_模型276,以及来自网络环境100中的一个或多个控制器(例如,控制器116)的L_模型270A和/或LR_模型270B。
统一收集器314可以轮询拓扑探测器312发现的设备,以便从结构120(例如,从结构的组成成员)收集数据。统一收集器314可以使用由控制器116和/或交换机软件(例如,交换机OS)暴露的接口(包括例如表示状态转移(REST)接口和安全外壳(SSH)接口)来收集数据。
在一些情况下,统一收集器314经由REST API收集L_模型270A、LR_模型270B和/或Ci_模型274,并且经由SSH、使用交换机软件所提供的实用程序(例如,用于访问交换机命令行接口(CLI)的虚拟壳(VSH或VSHELL)或用于访问线卡的运行时状态的VSH_LC壳)收集硬件信息(例如,配置、表、结构卡信息、规则、路由等)。
统一收集器314可以轮询来自控制器116的其他信息,包括但不限于:拓扑信息、租户转发/路由信息、租户安全性策略、契约、接口策略、物理域或VMM域信息、结构中的节点的OOB(带外)管理IP等。
统一收集器314还可以轮询来自结构120中的节点(例如,叶节点104和脊节点102)的信息,包括但不限于:用于VLAN、BD和安全性策略的Ci_模型274;节点(例如,叶节点104和/或脊节点102)的链路层发现协议(LLDP)连通性信息;来自EPM/COOP的端点信息;来自脊节点102的结构卡信息;来自结构120中的节点的路由信息库(RIB)表;来自结构120中的节点的转发信息库(FIB)表;来自结构120中的节点的安全组硬件表(例如,TCAM表);等等。
在一些情况下,统一收集器314可以从网络获得运行时状态并且将运行时状态信息合并到L_模型270A和/或LR_模型270B中。统一收集器314还可以从控制器116获得多个逻辑模型,并基于逻辑模型生成综合或网络范围的逻辑模型(例如,L_模型270A和/或LR_模型270B)。统一收集器314可以比较来自控制器116的逻辑模型,解决依赖性,移除冗余等,并为整个网络或结构生成单个L_模型270A和/或LR_模型270B。
统一收集器314可以跨控制器116和结构节点或成员(例如,叶节点104和/或脊节点102)收集整个网络状态。例如,统一收集器314可以使用REST接口和SSH接口来收集网络状态。统一收集器314收集的该信息可以包括与链路层、VLAN、BD、VRF、安全性策略等有关的数据。可以在LR_模型270B中表示状态信息,如前所述。然后,统一收集器314可以将收集的信息和模型发布给对此类信息感兴趣或需要此类信息的任何下游操作器。统一收集器314可以在接收到信息时发布信息,使得数据被流送到下游操作器。
统一收集器314所收集的数据可以被压缩并发送到下游服务。在一些示例中,统一收集器314可以以在线方式或实时方式收集数据,并在收集数据时向下游发送数据以供进一步分析。在一些示例中,统一收集器314可以以离线方式收集数据,并且编译数据以供稍后分析或传输。
保证设备300可以联系控制器116、脊节点102、叶节点104和其他节点以收集各种类型的数据。在一些场景中,保证设备300可能经历失败(例如,连通性问题、硬件或软件错误等),这使其在一段时间内无法收集数据。保证设备300可以无缝地处理这种失败,并基于这样的失败生成事件。
交换机逻辑策略生成器316可以从统一收集器314接收L_模型270A和/或LR_模型270B,并且为结构120中的每个网络设备i(例如,交换机i)计算Li_模型272。例如,交换机逻辑策略生成器316可以接收L_模型270A和/或LR_模型270B并通过为结构120中的每个单独节点i(例如,脊节点102和/或叶节点104)投射逻辑模型来生成Li_模型272。交换机逻辑策略生成器316可以为结构120中的每个交换机生成Li_模型272,从而为每个交换机创建基于L_模型270A和/或LR_模型270B的交换机逻辑模型。
每个Li_模型272可以表示在结构120中的相应网络设备i(例如,交换机i)处投射或应用的L_模型270A和/或LR_模型270B。在一些情况下,可以以与相应网络设备兼容的方式将Li_模型272标准化或格式化。例如,可以以可由相应网络设备读取或执行的方式将Li_模型272格式化。为进行说明,Li_模型272可以包括可由相应网络设备解析的特定标识符(例如,控制器116用作分类符的硬件平面标识符等)或标签(例如,策略组标签)。在一些情况下,Li_模型272可以包括JSON对象。例如,Li_模型272可以包括JSON对象来表示规则、过滤器、条目、范围等。
用于Li_模型272的格式可以与Ci_模型274的格式相同或一致。例如,Li_模型272和Ci_模型274两者都可以基于JSON对象。类似或匹配的格式可以使Li_模型272和Ci_模型274能够进行对等性或一致性的比较。这种对等性检查可以有助于网络分析和保证,如本文进一步解释的。
交换机逻辑配置生成器316还可以执行变化分析并生成针对在L_模型270A和/或LR_模型270B中发现的问题的线头事件(lint event)或记录。线头事件或记录可用于经由事件生成器来为用户或网络运营商生成警报,该事件生成器被耦合以从交换机逻辑策略生成器316接收线头事件。
策略操作器318可以针对每个交换机从统一收集器314接收Ci_模型274和Hi_模型276,并且针对每个交换机从交换机逻辑策略生成器316接收Li_模型272,并且基于Ci_模型274、Hi_模型276和Li_模型272执行保证检查和分析(例如,安全性遵守检查、TCAM利用率分析等)。策略操作器318可以通过比较模型中的一个或多个来逐个交换机地执行保证检查。策略操作器318的输出可被传递到事件生成器(未示出),该事件生成器可以针对外部消耗生成警告事件,其中这些事件与包括策略违规的安全性违规或利用率统计(例如TCAM使用)相对应。此类事件由网络生成器确定的异常或意外网络事件触发,而通知事件可能是在没有任何违规的情况下在执行使用率分析和安全性遵守检查的正常过程中触发的。
返回到统一收集器314,统一收集器314还可以将L_模型270A和/或LR_模型270B发送到路由策略解析器320(针对L模型),并且将Ci_模型274和Hi_模型276发送到路由解析器326(针对C模型和H模型)。路由策略解析器320可以接收L_模型270A和/或LR_模型270B,并解析(一个或多个)模型以获得与下游操作器(例如端点检查器322和租户路由检查器324)相关的信息。类似地,路由解析器326可以接收Ci_模型274和Hi_模型276,并解析每个模型以获得针对下游操作器(端点检查器322和租户路由检查器324)的信息。
在解析Ci_模型274、Hi_模型276、L_模型270A和/或LR_模型270B之后,路由策略解析器320和/或路由解析器326可以将清理的协议缓冲区(Proto Buff)发送到下游操作器(端点检查器322和租户路由检查器324)。然后,端点检查器322可以向事件生成器传送与端点违规相关的信息,例如重复的IP、APIPA等,该事件生成器能够针对外部消耗或监视生成事件。类似地,租户路由检查器324可以向同一或不同事件生成器传送与BD、VRF、子网、路由表前缀等的部署相关的信息,该事件生成器能够针对外部消耗或监视生成事件。
图3C示出了用于网络(例如,网络环境100)中的静态策略分析的示例系统的示意图。静态策略分析器360可以执行保证检查,以检测配置违规、逻辑线头事件、矛盾或冲突的策略、未使用的契约、不完整的配置等。静态策略分析器360可以检查L_模型270A中用户的一个或多个意图的规范,以确定控制器116中是否有任何配置与用户的一个或多个意图的规范不一致。
静态策略分析器360可以包括在保证设备300中执行或容宿的操作器310中的一个或多个。然而,在其他配置中,静态策略分析器360可运行与操作器310和/或保证设备300分离的一个或多个操作器或引擎。例如,静态策略分析器360可以是VM、VM集群、或服务功能链中的端点的集合。
静态策略分析器360可以从逻辑模型收集过程366接收L_模型270A并且接收为L_模型270A中的每个特征(例如,对象)定义的规则368作为输入。规则368可以基于MIM 200中的对象、关系、定义、配置、以及任何其他特征。规则368可以指定条件、关系、参数、和/或用于识别配置违规或问题的任何其他信息。
此外,规则368可以包括用于识别语法违规或问题的信息。例如,规则368可包括用于执行语法检查的一个或多个规则。语法检查可以验证L_模型270A的配置是否完整,并且可以帮助识别未使用的配置或规则。语法检查还可验证分层MIM 200中的配置是否完整(已定义),并识别已定义但未使用的任何配置。为进行说明,规则368可以指定L_模型270A中的每个租户都应被配置一个情境;L_模型270A中的每个契约都应指定提供者EPG和消费者EPG;L_模型270A中的每个契约都应指定主体、过滤器和/或端口;等等。
规则368还可以包括用于执行语义检查和识别语义违规或问题的规则。语义检查可以检查冲突的规则或配置。例如,规则1和规则2可能有影子问题,规则1可能比规则2更具体,从而产生冲突/问题,等等。规则368可以定义可能导致影子规则、冲突规则等的条件。为进行说明,规则368可以指定如果针对两个对象之间的特定通信的允许策略的优先级高于针对两个对象之间的同一通信的拒绝策略,则该允许策略可能与该拒绝策略相冲突,或者针对对象的一种规则使得另一规则显得不必要。
静态策略分析器360可以将规则368应用于L_模型270A,以检查L_模型270A中的配置,并基于检测到的任何问题而输出配置违规事件370(例如,警报、日志、通知等)。配置违规事件370可以包括语义或语义问题,例如,不完整的配置、冲突的配置、别名/影子规则、未使用的配置、错误、策略违反、配置错误的对象、不完整的配置、不正确的契约范围、不正确的对象关系等。
在一些情况下,静态策略分析器360可以迭代遍历基于L_模型270A和/或MIM 200生成的树中的每个节点,并在树中的每个节点上应用规则368以确定是否有任何节点发生违规(例如,不完整的配置、不恰当的配置、未使用的配置等)。当静态策略分析器360检测到任何违规时,它可以输出配置违规事件370。
图4示出了网络保证模型的示例流程图。在步骤400,该方法涉及数据收集。数据收集可以包括针对运营商意图的数据的收集,例如,结构数据(例如,拓扑结构、交换机、接口策略、应用策略、端点组等)、网络策略(例如,BD、VRF、L2输出(L2Out)、L3输出(L3Out)、协议配置等)、安全性策略(例如,契约、过滤器等)、服务链策略等等。数据收集还可包括针对具体硬件模型的数据,例如,网络配置(例如,RIB/FIB、VLAN、MAC、ISIS、DB、BGP、OSPF、ARP、VPC、LLDP、MTU、QoS等)、安全性策略(例如,TCAM、ECMP表等)、端点动态(例如,EPM、COOP EPDB等)、统计信息(例如,TCAM规则命中、接口计数器、带宽等)。
在步骤402,该方法可以涉及形式建模和分析。形式建模和分析可以涉及确定逻辑模型与硬件模型之间的对等关系,例如,模型之间的安全性策略等。
在步骤404,该方法可以涉及智能事件生成。可以使用深度对象分层结构来生成智能事件以进行详细分析,例如:租户,叶节点,VRF,规则;过滤器,路由,前缀,端口号。
在步骤406,该方法可以涉及可视化。可以在用户友好的GUI中使用形式模型来识别问题以进行分析和调试。
每个先前描述的模型(Li、Ci和Hi)都是以一种方式或另一方式从初始L模型得出的,该初始L模型是由用户或网络运营商在APIC或网络控制器处配置的。例如,Li模型是结构范围的L模型到网络结构中每个叶节点、脊节点、交换机、节点等i的逻辑投影;Ci模型是使L模型具体地呈现为与上述结构元素兼容的格式;以及Hi模型是Ci模型的硬件表示,由交换机存储器控制器存储在交换机存储器中。
因此,用于得出Li、Ci和Hi模型的每个变换都提供了错误或错误配置的机会,这从网络运营商的角度来看是不期望的。这些错误可能是由于软件缺陷、用户错误、硬件差异、存储器错误、溢出问题、以及本领域普通技术人员应理解的其他原因导致的。在一些实施例中,每个模型可以由数千个或数万个不同的规则组成,这些规则共同表示原始L模型中所配置的意图,并且当在不同的模型之间进行转换时,必须保留这些不同的规则中的每一者。
验证Li、Ci和Hi模型的先前方法依赖于蛮力,将每个模型视为黑匣子,并在给定相同输入的情况下简单地比较模型的输出。如果两个模型针对同一给定输入产生不同的输出,则这种方法可能指示缺乏对等性,但无法提供任何关于为何存在冲突的见解。具体地,黑匣子方法无法提供有关每个模型中存在冲突的特定规则的特定信息,或有关最终导致冲突发生的由用户或网络运营商配置的特定契约或意图的特定信息。
与其使用蛮力来确定网络意图的两个输入模型的对等性,不如将网络意图模型表示为精简的有序二元决策图(ROBDD),其中每个ROBDD对输入规则及其优先级排序都是正则的(唯一的)。首先将每个网络意图模型转换为优先级排序规则的扁平列表(例如,由客户或网络运营商定义的契约是在EPG之间定义的,并且规则是这些契约的特定节点到节点实现方式)。在图5中描绘的形式分析引擎502的示例架构500中,在形式分析引擎502的ROBDD生成器530处接收针对多个网络意图的模型506(这里示出为模型Li、Hi和Ci)的经优先级排序的规则的扁平列表作为输入。这些规则可以表示为布尔函数,其中每个规则包括动作(例如,允许(Permit)、允许_日志(Permit_Log)、拒绝(Deny)、拒绝_日志(Deny_Log))和将触发该动作的条件集合(例如,分组源、目的地、端口、头部等的各种配置)。例如,简单规则可以被设计为允许端口80上的所有流量。在一些实施例中,每个规则可能是147位字符串,其中有13个键值对字段。
如图所示,ROBDD生成器530针对每个输入模型生成一个或多个ROBDD。具体地,可以针对由输入模型的构成规则编码的每个动作或可能由这些规则编码的每个动作生成ROBDD,以使得在动作的数量和针对给定输入模型生成的ROBDD的数量之间存在一一对应关系。例如,Li可用于生成ROBDD:L_允许BDD、L_允许_日志BDD、L_拒绝BDD和L_拒绝_日志BDD,针对输入模型Hi和Ci生成类似的ROBDD。应注意,在这些ROBDD内,可以以规则的完全(即,初始)形式、以按优先级精简形式、或以这两种形式来表示这些规则。完全形式只是这些规则最初被输入或创建的形式,并且包括单独规则之间的任何重叠或冗余。按优先级精简形式基于规则的给定优先级或层次排序移除了冗余和重叠。从这个意义上说,给定规则仅有单个完全形式,但是可以具有许多不同的按优先级精简形式,这取决于给定规则所属的整体规则集所使用的优先级列表。
当规则以其按优先级精简形式表示时,仅考虑给定规则鉴于所有优先级较高的规则的唯一贡献。对于规则集LI、L2、L3、L4,该按优先级精简形式将由LI、L1’L2、(L1+L2)’L3、(L1+L2+L3)’L4给出,其中L1’表示LI的求反,(L1+L2)’表示LI和L2的组合的求反,依此类推。以这种方式,在此描述的语义分析中考虑的规则实际上可以是按优先级精简的规则,而不是完整的规则。对于同一规则集,但具有优先级顺序L4、L3、L2、LI,按优先级精简形式将由L4、L4’L3、(L4+L3)’L2、(L4+L3+L2)’L1给出。因此,尽管在每种情况下按优先级精简的规则都消除了规则集所包含的条件和动作之间的任何冗余或重叠,但优先级顺序取决于事项。因此,本文讨论的每个ROBDD表示包括完全表示和精简表示两者是有利的。尽管精简表示在计算上更高效,并且精简表示是本文描述的分析中使用的规则的主要形式,但是通常需要各种不同的优先级排序,因此维持可以根据需要从中生成按优先级精简表示的完全基本表示是有帮助的。
从这些ROBDD中,可以通过对等性检查器540检查网络意图模型的任何两个或多个ROBDD(通常是对应于同一动作的ROBDD)的形式对等性。可以通过为两个或更多个输入网络意图模型构建一个或多个冲突ROBDD来检查形式对等性,例如,所示的输入对(LBDD,HBDD)、(LBDD,CBDD)和(HBDD,CBDD)。应注意,这些输入对表示是为了清楚的目的而使用的,并且可以用上述任何特定于动作的ROBDD来代替输入LBDD、HBDD、CBDD中的任一者。例如,比较(LBDD,HBDD)实际上可能包含四个单独的输入,每个动作一个(例如,L_允许BDD(L_PermitBDD)、H_允许BDD(H_PermitBDD)等),这将导致四个单独的特定于动作的冲突ROBDD。无论如何,如果输入之间的给定冲突ROBDD为空,则将输入被确定为对等的,从而使对等性检查器540生成“通过(PASS)”指示554。
然而,如果给定的冲突ROBDD不为空,则确定输入模型不对等,并且对等性检查器540可以将一个或多个冲突ROBDD 542输出到冲突规则识别器550。从概念上讲,一个或多个冲突ROBDD 542对输入ROBDD之间的冲突或矛盾的区域(即输入ROBDD针对相同的输入分组和网络条件触发不同动作的情况)进行编码。例如,对等性检查器540可以通过计算L_PermitBDD、H_PermitBDD之间的异或,在这两个模型之间建立允许冲突ROBDD:
对等性检查器540然后将一个或多个冲突ROBDD 542发送到冲突规则识别器550。如图所示,冲突规则识别器550可以另外接收网络意图Li、Hi和Ci的底层模型506。继续先前的示例,其中针对L_PermitBDD和H_PermitBDD计算了允许冲突ROBDD,通过在H_PermitBDD上进行迭代并计算H_PermitBDD的每个给定的个体构成规则与允许冲突ROBDD之间的交集而识别特定冲突规则552。如果交集不为零,则H_PermitBDD的给定规则为冲突规则。可以对L_PermitBDD的每个个体构成规则执行类似的处理,从而形成针对在允许冲突ROBDD(即,冲突ROBDD 542)中表示的每个网络意图的模型的冲突规则552的列表。
冲突规则识别器550也可能将网络意图的输入模型506之一作为参考标准,其中该模型被假定为是正确的或者不是任何冲突或错误的来源。在这种情况下,冲突规则识别器550仅需要根据非参考模型计算允许冲突ROBDD和允许规则的集合的交集。例如,用户意图的Li模型可以视为参考或标准,因为它是直接从用户输入得出的。另一方面,Hi模型在最终由交换机存储器控制器呈现为硬件形式之前,经过了几次转换,因此更有可能出错。因此,冲突规则识别器550将仅对于Hi模型中的每个规则(或每个允许规则)j计算:
可以将所需的计算时间减少大约一半。
无论是针对网络意图的两个输入模型识别冲突规则552,还是仅针对网络意图的非参考模型识别冲突规则552,冲突规则识别器550都将计算出的冲突规则552输出到反例生成器560。在一些实施例中,冲突规则552的列表可以包含特定于动作的冲突规则对,例如,五对“允许”冲突对、两对“拒绝”冲突对,等等。在一些实施例中,冲突规则552的列表可以是特定于动作的,以使得每个动作具有其自己的冲突规则的列表。应当明白,一般地,当在特定于动作的基础上执行上述分析时,可以将计算至少并行化到所存在的不同动作的数量的程度,例如,在Li和Hi模型的比较中,可以以并排方式生成允许、允许_日志、拒绝、拒绝_日志动作和相关联的特定于动作的冲突ROBDD/冲突规则552。在一些实施例中,出于诸如事件生成或外部消耗的目的,可以额外地从形式分析引擎502向外输出冲突规则552。
一般而言,冲突规则552的列表以成对的形式组织,其中来自第一模型(例如,Li)的冲突规则与来自第二模型(例如,Hi)的相应的一个或多个规则配对,该相应的一个或多个规则具体与来自第一模型的冲突规则相冲突。例如,Li中的规则L2可能与Hi中的规则H2发生冲突,并将作为冲突对(L2;H2)被传输。同样地,Li中的规则L4可能与Hi中的规则H4和H5都冲突,并且将作为冲突对(L4;H4,H5)被传输。以这种方式,反例生成器560可以立即开始为从冲突规则识别器550接收的每个特定冲突对生成反例。可替代地,可以由反例生成器560而不是冲突规则识别器550执行标识特定冲突对的过程。在这种情况下,冲突规则识别器550将简单地将针对每个模型Li、Hi等的冲突规则的单独列表发送到反例生成器560,而不是发送单个冲突对的列表。
反例生成器560可以操纵和挖掘冲突对552的列表,以获取与各种反例驱动的工作流场景相对应的信息,包括但不限于:自动测试分组生成(ATPG)区域、详尽的或参数化的每个EPG对冲突规则标识、详尽的或参数化的每个EPG对区域失配、每个反例的冲突字段、针对规则集的建议修补、以及针对变更管理的语义策略差异分析。
本公开现在转到可以由反例生成器560执行的反例生成的几个示例。在第一示例中,考虑冲突对(L2;H2),其中
L2:{sg_label=0x1;sclass=0x1;dclass=0x2;sport=[0x0-0x1];action=PERMIT}
H2:{sg_label=0x1;sclass=0x1;dclass=0x2;sport=0x0;action=PERMIT}
这是允许冲突对,其中两个规则L2和H2都是允许(PERMIT)规则但不基于参数或分组条件的等同集合而触发。就此特定冲突对(L2;H2)而言,因为L2具有sport=[0x0-0x1]而H2具有sport=0x0,而导致PERMIT对等失败。
这样一来,反例生成器560将为输入冲突对(L2;H2)生成反例CEx,其中:
CEx:({sg_label=0x1;sclass=0x1;dclass=0x2;sport=0x1},L2 action=PERMIT,H2action=!PERMIT)
此反例CEx表示如下分组配置,该分组配置使得规则L2触发并允许该数据包,而规则H2不触发并且不允许该分组(注意,动作!PERMIT不一定与动作DENY相同,而替代地是非PERMIT动作的所有动作)。这样的信息对于网络运营商或从更一般的网络保证角度而言都是有价值的,因为冲突规则通常不容易显现或不容易观察到。
例如,即使规则L2和H2之间存在对等性/一致性失败,具有
{sg_label=0x1;sclass=0x1;dclass=0x2;sport=0x0}的分组也将被规则L2和H2两者允许而其自身不显示任何冲突。通过反例生成器560,网络运营商能够以先前不可能的方式更全面地理解可能呈现的所有可能的分组配置,从而理解可能呈现的冲突。
在反例生成器560所执行的分析中,规则集L2和H2被视为在所有字段中是可疑的。但是,一些字段可被排除的可能性很高。例如,静态字段是几乎没有调整可能性的字段,即任何微调都会使冲突情况恶化的字段。在本示例的上下文中,sg_label=0x1;sclass=0x1;dclass=0x2是静态字段,在L2和H2中进行了等同配置。热点字段是那些包含冲突的可能根本原因的字段。在本示例的上下文中,sport(或sport=0x1)是热点字段,它在L2和H2中被不同地配置。
一般而言,反例生成器560为可消耗的反例输出562提供针对输入冲突对的错误字段定位。也就是说,
CEx:{sg_label=0x1;sclass=0x1;dclass=0x2;sport=0x1}
被输出,伴有如下指示:sport=0x1是导致冲突的错误(热点)字段,而sg_label=0x1;sclass=0x1;dclass=0x2是不会引起冲突的静态字段。
反例CEx是作为可能的分组配置和网络条件的集合上的输入冲突对之间的逻辑异或而计算得出的。在本示例中,因为CEx表示规则L2和H2之间唯一可能的冲突情形。但是,在冲突对通常与大量可能的冲突场景相关联的现实世界条件下很少发生这种情况。
例如,考虑允许冲突对(L3;H3),其中:
L3:{sg_label=0x1;sclass=0x1;dclass=0x2;sport=0x1;action=PERMIT}
H3:{sg_label=0x1;sclass=0x1;dclass=0x2;sport=0x0;action=PERMIT}
这里,有两种可能的反例:
CEx1:({sg_label=0x1;sclass=0x1;dclass=0x2;sport=0x1},L3 action=PERMIT,H3action=!PERMIT)
CEx2:({sg_label=0x1;sclass=0x1;dclass=0x2;sport=0x0},L3 action=!PERMIT, H3action=PERMIT),
其中粗体的字段“sport”指示两个反例中的热点字段。
在有多个冲突场景(和多个反例)的情况下,请务必注意,任何潜在的修复都必须互斥,例如可以将规则L3调整为具有sport=0x0,或者可以将规则H3调整为sport=0x1,但不能同时调整两者。在建议的修复的加性/允许模型下,建议修复,以使得所有热点字段或反例区域均产生PERMIT(或其他期望的动作)。在建议的修复的减性/约束模型下,建议修复,以使得所有字段或反例区域均产生!PERMIT(或!<其他期望的动作>)。如前所述,可以将一个规则集配置为参考或标准,以使其永远不会进行建议的修复。可以使用利用了以上所有三个因素的方法,来最有效地避免建议相互抵消或无效的修复或者抵消其他预先存在的规则、使其他预先存在的规则别名化、影子化、或与其他预先存在的规则冲突的修复。一般而言,建议的修复不应造成新的冲突或额外的冲突,以免加剧不对等性并且使得修复变来变去。
上面讨论的两个示例均表现出对称字段错误,其中反例仅包含单个热点字段(例如,sport)。但是,现实世界条件通常涉及多字段错误,其中反例包含多个热点字段。
考虑允许冲突对(L4;H4)的第三示例,其中:
L4:{sg_label=0x1;sclass=0x1;dclass=[0x1-0x2];sport=0x0;action=PERMIT}H4:{sg_label=0x1;sclass=0x1;dclass=0x2;sport=0x1;action=PERMIT}
这里,如粗体所指示的,在三个可能的反例CEx3、CEx4、CEx5中dclass和sport两者都是热点字段。具体地:
CEx3=({sg_label=0x1;sclass=0x1;dclass=0x2;sport=0x0},L,4action=PERMIT,H4action=!PERMIT)
CEx4=({sg_label=0x1;sclass=0x1;dclass=0x1;sport=0x0},L4 action=PERMIT,H4action=!PERMIT)
CEx5=({sg_label=0x1;sclass=0x1;dclass=0x2;sport=0x1},L4 action=!PERMIT,H4 action=PERMIT)
可能期望反例生成器560输出代表所有可能的热点字段的反例。例如,CEx4是上面唯一将dclass和sport都编码为热点字段的反例。其他两个可能的反例CEx3和CEx5未指示dclass也是允许冲突对(L4;H4)的可能热点字段。
如此一来,反例生成器560可被配置为首先输出对所有可能的热点字段进行编码的反例562,以使得用户或网络运营商可以更充分地理解可能发生冲突的场景。反例生成器560可以另外被配置为输出仅关注可能的分组配置参数的某一子集的反例562。可以经由截断参数572来指定这样的偏好,该截断参数572作为到截断逻辑570的用户输入被接收,截断逻辑570在这里被示为反例生成器560的子组件。
截断逻辑570可以另外指定要由反例生成器560生成的反例562的所需数量。换言之,反例生成器560可被配置为仅计算包含在冲突对的逻辑异或内的反例的整个空间的一小部分。例如,截断逻辑570可以使反例生成器560仅返回对所有可能的热点字段进行编码的反例562,并在提供了所有这样的反例之后停止处理。通过这样做,截断逻辑570避免了对冲突规则对的所有可能反例(这在现实世界中可能有成千上万个)的冗长且资源密集的详尽计算。尽管在此参考了由反例的特性和从其得出的总体空间所定义的截断参数572,但是还可以设想,截断参数572可以是不一定与反例的特性和从其得出的总体空间相关的数值或者是以其他方式由反例的特性和从其得出的总体空间来定义的数值。
本公开现在转向图6和图7,其示出了示例网络设备和计算设备,例如,交换机、路由器、负载平衡器、客户端设备等。
图6示出了适用于执行交换、路由、负载平衡、和其他联网操作的示例网络设备600。网络设备600包括中央处理单元(CPU)604、接口602和总线610(例如,PCI总线)。当在适当的软件或固件的控制下动作时,CPU 604负责执行分组管理、错误检测和/或路由功能。CPU 604优选地在包括操作系统和任何适当的应用软件的软件的控制下完成所有这些功能。CPU 604可以包括一个或多个处理器608,例如来自INTEL x86系列微处理器的处理器。在一些情况下,处理器608可以是用于控制网络设备600的操作的专门设计的硬件。在一些情况下,存储器606(例如,非易失性RAM、ROM等)也形成CPU 604的一部分。然而,有许多不同的方式可以将存储器耦合到系统。
接口602通常作为模块化接口卡(有时被称为“线卡”)提供。通常,它们控制通过网络发送和接收数据分组,并且有时支持与网络设备600一起使用的其他外围设备。可以提供的接口包括以太网接口、帧中继接口、线缆接口、DSL接口、令牌环接口等等。此外,可提供各种非常高速的接口,例如,快速令牌环接口、无线接口、以太网接口、千兆以太网接口、ATM接口、HSSI接口、POS接口、FDDI接口、WiFi接口、3G/4G/5G蜂窝接口、CAN总线、LoRA等。一般而言,这些接口可以包括适合于与适当介质通信的端口。在一些情况下,它们还可以包括独立处理器,并且在一些情况下,还包括易失性RAM。独立处理器可以控制诸如分组交换、介质控制、信号处理、加密处理、和管理之类的通信密集型任务。通过为通信密集型任务提供分离的处理器,这些接口允许主微处理器604高效地执行路由计算、网络诊断、安全性功能等。
尽管图6中所示的系统是本发明的一个特定网络设备,但它决不是可以在其上实现本公开的概念的唯一网络设备架构。例如,经常使用具有处理通信以及路由计算等的单个处理器的架构。此外,其他类型的接口和介质也可以与网络设备600一起使用。
无论网络设备的配置如何,它都可以采用一个或多个存储器或存储器模块(包括存储器606),其被配置为存储用于本文所描述的漫游、路由优化和路由功能的通用网络操作和机制的程序指令。例如,程序指令可以控制操作系统和/或一个或多个应用的操作。一个或多个存储器还可以被配置为存储诸如移动性绑定、注册和关联表之类的表。存储器606还可以保存各种软件容器和虚拟化的执行环境和数据。
网络设备600还可以包括专用集成电路(ASIC),其可以被配置为执行路由和/或交换操作。例如,ASIC可以经由总线610与网络设备600中的其他组件通信,以交换数据和信号并协调网络设备600的各种类型的操作,例如路由、交换、和/或数据存储操作。
图7示出了计算系统架构700,其中该系统的组件使用诸如总线之类的连接705彼此电通信。系统700包括处理单元(CPU或处理器)710和系统连接705,系统连接705将包括系统存储器715在内的各种系统组件(例如,只读存储器(ROM)720和随机存取存储器(RAM)725)耦合到处理器710。系统700可以包括高速存储器的缓存,其与处理器710直接连接、靠近处理器710、或者集成作为处理器710的一部分。系统700可以将数据从存储器715和/或存储设备730复制到缓存712以供处理器710快速访问。以这种方式,缓存可以提供性能提升,避免处理器710在等待数据时的延迟。这些和其他模块可以控制或被配置为控制处理器710以执行各种动作。也可以使用其他系统存储器715。存储器715可以包括具有不同性能特性的多个不同类型的存储器。处理器710可以包括任何通用处理器和被配置为控制处理器710的硬件或软件服务(例如,存储在存储设备730中的服务1 732、服务2 734和服务3 736)以及其中将软件指令包含在实际的处理器设计中的专用处理器。处理器710可以是完全自包含的计算系统,包含多个核或处理器、总线、存储器控制器、缓存等。多核处理器可以是对称的或非对称的。
为了实现与计算设备700的用户交互,输入设备745可以表示任何数量的输入机制,诸如用于语音的麦克风、用于手势或图形输入的触敏屏幕、键盘、鼠标、运动输入、语音等等。输出设备735也可以是本领域技术人员已知的多种输出机构中的一种或多种。在一些情况下,多模式系统可以使用户能够提供多种类型的输入以与计算设备700通信。通信接口740通常可以控制和管理用户输入和系统输出。对任何特定硬件布置进行的操作没有限制,因此这里的基本特征可以很容易地随着改进的硬件或固件布置被开发而被替换为这些改进的硬件或固件布置。
存储设备730是非易失性存储器,并且可以是硬盘或其他类型的计算机可读介质,其可以存储可由计算机访问的数据,例如磁带盒、闪存卡、固态存储器设备、数字通用盘、盒式磁带、随机存取存储器(RAM)725、只读存储器(ROM)720及其混合。
存储设备730可以包括用于控制处理器710的服务732、734、736。可以预期其他硬件或软件模块。存储设备730可以连接到系统连接705。在一个方面,执行特定功能的硬件模块可以包括存储在与必要的硬件组件(例如,处理器710、连接705、输出设备735等)相连的计算机可读介质中的软件组件以执行功能。
总之,描述了用于为网络意图的模型之间的对等失败生成反例的系统、方法、和计算机可读介质。获得与描述网络中的网络设备的操作和通信的网络意图的至少第一模型和第二模型之间的对等失败相对应的冲突规则的列表。计算来自第一模型的第一冲突规则与来自第二模型的相应的第二冲突规则之间的逻辑异或。至少部分地基于该逻辑异或生成与对等失败相对应的一个或多个反例,以使得给定的反例包括网络和分组条件,这些网络和分组条件使得第一冲突规则触发第一动作并使得第二冲突规则触发与第一动作不同的第二动作。在反例中标识更可能与对等失败相关联的热点字段。
为了解释的清楚起见,在一些实例中,本技术可以被呈现为包括个体的功能块,其包括包含以下项的功能块:设备、设备组件、在软件中体现的方法中的步骤或例程、或者硬件和软件的组合。
在一些实施例中,计算机可读存储设备、介质和存储器可以包括包含比特流等的有线或无线信号。然而,当提及时,非暂时性计算机可读存储介质明确地排除诸如能量、载波信号、电磁波和信号本身之类的介质。
可以使用存储在计算机可读介质中或以其他方式可从计算机可读介质获得的计算机可执行指令来实现根据上述示例的方法。这样的指令可以包括例如使得或以其他方式配置通用计算机、专用计算机或专用处理设备以执行特定功能或功能组的指令和数据。可以通过网络访问所使用的计算机资源的部分。计算机可执行指令可以是例如二进制指令、诸如汇编语言之类的中间格式指令、固件、或源代码。可用于存储指令、所使用的信息和/或在根据所描述的示例的方法期间创建的信息的计算机可读介质的示例包括磁盘或光盘、闪存、具有非易失性存储器的USB设备、联网的存储设备等等。
实现根据这些公开内容的方法的设备可以包括硬件、固件和/或软件,并且可以采用各种形式因子中的任何形式因子。这种形式因子的典型示例包括膝上型计算机、智能电话、小型个人计算机、个人数字助理、机架设备、独立设备等。本文描述的功能也可以实现在外围设备或附加卡中。作为进一步的示例,这样的功能还可以在不同芯片之间的电路板上实现,或者在单个设备中执行的不同处理过程中实现。
指令、用于传达这些指令的介质、用于执行它们的计算资源以及用于支持这种计算资源的其他结构是用于提供这些公开内容中所描述的功能的手段。
尽管使用各种示例和其他信息来解释所附权利要求范围内的各个方面,但是不应基于这些示例中的特定特征或布置来暗示对权利要求的限制,因为普通技术人员将能够使用这些示例来导出各种各样的实现方式。此外,尽管可能已经用特定于结构特征和/或方法步骤的示例的语言描述了一些主题,但是应该理解,所附权利要求中定义的主题不必限于这些描述的特征或动作。例如,这种功能可以在本文标识的那些组件之外的组件中以不同的方式分布或者在本文标识的那些组件之外的组件中执行。相反,所描述的特征和步骤被公开为所附权利要求范围内的系统和方法的组分的示例。
记载“……中的至少一个”的权利要求语言指的是集合中的至少一个,并且指示该集合中的一个成员或该集合中的多个成员满足该权利要求。例如,记载“A和B中的至少一个”的权利要求语言意思是A、B或A和B。
Claims (27)
1.一种用于网络配置和故障排除的方法,包括:
获得冲突规则的列表,所述冲突规则与至少网络意图的第一模型和网络意图的第二模型之间的对等失败相对应,所述第一模型和所述第二模型描述网络中的一个或多个网络设备之间的操作和通信;
计算来自所述网络意图的第一模型的一个或多个第一冲突规则与来自所述网络意图的第二模型的相应的一个或多个第二冲突规则之间的逻辑异或,其中所述第一冲突规则和所述第二冲突规则包括至少一个冲突规则对;
生成与所述对等失败相对应的一个或多个反例,所述一个或多个反例至少部分地基于计算得出的所述逻辑异或,以使得给定反例包括如下网络和分组条件,所述网络和分组条件使得所述第一冲突规则触发第一动作并且使得所述第二冲突规则触发与所述第一动作不同的第二动作,其中所述给定反例包括一个或多个字段;以及
标识所述给定反例中的热点字段,所述热点字段表示更可能与所述对等失败相关联的字段。
2.如权利要求1所述的方法,其中,所述冲突规则的列表包括与所述网络意图的第一模型相对应的冲突规则的第一列表以及与所述网络意图的第二模型相对应的冲突规则的第二列表。
3.如权利要求1所述的方法,其中,所述冲突规则的列表包括冲突对的列表,每个冲突对包括与所述网络意图的第一模型相对应的一个或多个第一冲突规则以及与所述网络意图的第二模型相对应的一个或多个第二冲突规则,其中,所述第一冲突规则和所述第二冲突规则与同一底层网络意图相关联。
4.如权利要求1到3中任一项所述的方法,还包括获得指定要生成的反例的最大数量的截断参数,以使得不用完全计算来自所述网络意图的第一模型的所述一个或多个第一冲突规则与来自所述网络意图的第二模型的所述相应的一个或多个第二冲突规则之间的所述逻辑异或的整体。
5.如权利要求4所述的方法,其中,所述截断参数是基于所述逻辑异或的空间的一个或多个特性计算得出的。
6.如权利要求1到3中任一项所述的方法,还包括为所述一个或多个反例以及热点字段生成建议的修复,其中所述建议的修复被计算为使得:所述修复的实现使得所述第一冲突规则和所述第二冲突规则之间的所述逻辑异或变为零。
7.如权利要求1到3中任一项所述的方法,其中,所述第一模型和所述第二模型中的一个或多个是特定于与允许、允许_日志、拒绝、或拒绝_日志动作相对应的网络意图的。
8.一种用于网络配置和故障排除的系统,包括:
一个或多个处理器;以及
存储有指令的至少一个计算机可读存储介质,所述指令当被所述一个或多个处理器执行时,使得所述系统执行以下操作:
获得冲突规则的列表,所述冲突规则与至少网络意图的第一模型和网络意图的第二模型之间的对等失败相对应,所述第一模型和所述第二模型描述网络中的一个或多个网络设备之间的操作和通信;
计算来自所述网络意图的第一模型的一个或多个第一冲突规则与来自所述网络意图的第二模型的相应的一个或多个第二冲突规则之间的逻辑异或,其中所述第一冲突规则和所述第二冲突规则包括至少一个冲突规则对;
生成与所述对等失败相对应的一个或多个反例,所述一个或多个反例至少部分地基于计算得出的所述逻辑异或,以使得给定反例包括如下网络和分组条件,所述网络和分组条件使得所述第一冲突规则触发第一动作并且使得所述第二冲突规则触发与所述第一动作不同的第二动作,其中所述给定反例包括一个或多个字段;以及
标识所述给定反例中的热点字段,所述热点字段表示更可能与所述对等失败相关联的字段。
9.如权利要求8所述的系统,其中,所述冲突规则的列表包括与所述网络意图的第一模型相对应的冲突规则的第一列表以及与所述网络意图的第二模型相对应的冲突规则的第二列表。
10.如权利要求8所述的系统,其中,所述冲突规则的列表包括冲突对的列表,每个冲突对包括与所述网络意图的第一模型相对应的一个或多个第一冲突规则以及与所述网络意图的第二模型相对应的一个或多个第二冲突规则,其中,所述第一冲突规则和所述第二冲突规则与同一底层网络意图相关联。
11.如权利要求8到10中任一项所述的系统,其中,所述指令还使得所述系统获得指定要生成的反例的最大数量的截断参数,以使得不用完全计算来自所述网络意图的第一模型的所述一个或多个第一冲突规则与来自所述网络意图的第二模型的所述相应的一个或多个第二冲突规则之间的所述逻辑异或的整体。
12.如权利要求11所述的系统,其中,所述截断参数是基于所述逻辑异或的空间的一个或多个特性计算得出的。
13.如权利要求8到10中任一项所述的系统,其中所述指令还使得所述系统为所述一个或多个反例以及热点字段生成建议的修复,其中所述建议的修复被计算为使得所述修复的实现使得所述第一冲突规则和所述第二冲突规则之间的所述逻辑异或变为零。
14.如权利要求8到10中任一项所述的系统,其中,所述第一模型和所述第二模型中的一个或多个是特定于与允许、允许_日志、拒绝、或拒绝_日志动作相对应的网络意图的。
15.一种计算机可读存储介质,包括:
存储于其中的指令,所述指令当被一个或多个处理器执行时使得所述一个或多个处理器执行以下操作:
获得冲突规则的列表,所述冲突规则与至少网络意图的第一模型和网络意图的第二模型之间的对等失败相对应,所述第一模型和所述第二模型描述网络中的一个或多个网络设备之间的操作和通信;
计算来自所述网络意图的第一模型的一个或多个第一冲突规则与来自所述网络意图的第二模型的相应的一个或多个第二冲突规则之间的逻辑异或,其中所述第一冲突规则和所述第二冲突规则包括至少一个冲突规则对;
生成与所述对等失败相对应的一个或多个反例,所述一个或多个反例至少部分地基于计算得出的所述逻辑异或,以使得给定反例包括如下网络和分组条件,所述网络和分组条件使得所述第一冲突规则触发第一动作并且使得所述第二冲突规则触发与所述第一动作不同的第二动作,其中所述给定反例包括一个或多个字段;以及
标识所述给定反例中的热点字段,所述热点字段表示更可能与所述对等失败相关联的字段。
16.如权利要求15所述的计算机可读存储介质,其中,所述冲突规则的列表包括与所述网络意图的第一模型相对应的冲突规则的第一列表以及与所述网络意图的第二模型相对应的冲突规则的第二列表。
17.如权利要求15所述的计算机可读存储介质,其中,所述冲突规则的列表包括冲突对的列表,每个冲突对包括与所述网络意图的第一模型相对应的一个或多个第一冲突规则以及与所述网络意图的第二模型相对应的一个或多个第二冲突规则,其中,所述第一冲突规则和所述第二冲突规则与同一底层网络意图相关联。
18.如权利要求15到17中任一项所述的计算机可读存储介质,其中,所述指令还使得所述一个或多个处理器获得指定要生成的反例的最大数量的截断参数,以使得不用完全计算来自所述网络意图的第一模型的所述一个或多个第一冲突规则与来自所述网络意图的第二模型的所述相应的一个或多个第二冲突规则之间的所述逻辑异或的整体。
19.如权利要求18所述的计算机可读存储介质,其中,所述截断参数是基于所述逻辑异或的空间的一个或多个特性计算得出的。
20.如权利要求15到17中任一项所述的计算机可读存储介质,其中,所述指令还使得所述一个或多个处理器为所述一个或多个反例以及热点字段生成建议的修复,其中所述建议的修复被计算为使得:所述修复的实现使得所述第一冲突规则和所述第二冲突规则之间的所述逻辑异或变为零。
21.一种用于网络配置和故障排除的设备,包括:
用于获得冲突规则的列表的装置,所述冲突规则与至少网络意图的第一模型和网络意图的第二模型之间的对等失败相对应,所述第一模型和所述第二模型描述网络中的一个或多个网络设备之间的操作和通信;
用于计算来自所述网络意图的第一模型的一个或多个第一冲突规则与来自所述网络意图的第二模型的相应的一个或多个第二冲突规则之间的逻辑异或的装置,其中所述第一冲突规则和所述第二冲突规则包括至少一个冲突规则对;
用于生成与所述对等失败相对应的一个或多个反例的装置,所述一个或多个反例至少部分地基于计算得出的所述逻辑异或,以使得给定反例包括如下网络和分组条件,所述网络和分组条件使得所述第一冲突规则触发第一动作并且使得所述第二冲突规则触发与所述第一动作不同的第二动作,其中所述给定反例包括一个或多个字段;以及
用于标识所述给定反例中的热点字段的装置,所述热点字段表示更可能与所述对等失败相关联的字段。
22.如权利要求21所述的设备,其中,所述冲突规则的列表包括与所述网络意图的第一模型相对应的冲突规则的第一列表以及与所述网络意图的第二模型相对应的冲突规则的第二列表。
23.如权利要求21所述的设备,其中,所述冲突规则的列表包括冲突对的列表,每个冲突对包括与所述网络意图的第一模型相对应的一个或多个第一冲突规则以及与所述网络意图的第二模型相对应的一个或多个第二冲突规则,其中,所述第一冲突规则和所述第二冲突规则与同一底层网络意图相关联。
24.如权利要求21到23中任一项所述的设备,还包括用于获得指定要生成的反例的最大数量的截断参数的装置,以使得不用完全计算来自所述网络意图的第一模型的所述一个或多个第一冲突规则与来自所述网络意图的第二模型的所述相应的一个或多个第二冲突规则之间的所述逻辑异或的整体。
25.如权利要求24所述的设备,其中,所述截断参数是基于所述逻辑异或的空间的一个或多个特性计算得出的。
26.如权利要求21到23中任一项所述的设备,还包括用于为所述一个或多个反例以及热点字段生成建议的修复的装置,其中所述建议的修复被计算为使得:所述修复的实现使得所述第一冲突规则和所述第二冲突规则之间的所述逻辑异或变为零。
27.如权利要求21到23中任一项所述的设备,其中,所述第一模型和所述第二模型中的一个或多个是特定于与允许、允许_日志、拒绝、或拒绝_日志动作相对应的网络意图的。
Applications Claiming Priority (5)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US201762513218P | 2017-05-31 | 2017-05-31 | |
US62/513,218 | 2017-05-31 | ||
US15/693,174 | 2017-08-31 | ||
US15/693,174 US10581694B2 (en) | 2017-05-31 | 2017-08-31 | Generation of counter examples for network intent formal equivalence failures |
PCT/US2018/034302 WO2018222483A1 (en) | 2017-05-31 | 2018-05-24 | Generation of counter examples for network intent formal equivalence failures |
Publications (2)
Publication Number | Publication Date |
---|---|
CN110710159A CN110710159A (zh) | 2020-01-17 |
CN110710159B true CN110710159B (zh) | 2022-08-19 |
Family
ID=62713078
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201880035329.8A Active CN110710159B (zh) | 2017-05-31 | 2018-05-24 | 用于网络配置和故障排除的方法、系统、设备和介质 |
Country Status (4)
Country | Link |
---|---|
US (2) | US10581694B2 (zh) |
EP (1) | EP3632043A1 (zh) |
CN (1) | CN110710159B (zh) |
WO (1) | WO2018222483A1 (zh) |
Families Citing this family (12)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US10547715B2 (en) * | 2017-06-16 | 2020-01-28 | Cisco Technology, Inc. | Event generation in response to network intent formal equivalence failures |
US10756983B2 (en) | 2017-12-08 | 2020-08-25 | Apstra, Inc. | Intent-based analytics |
US11245730B2 (en) * | 2019-11-08 | 2022-02-08 | Open Text Holdings, Inc. | Systems and methods of information security monitoring with third-party indicators of compromise |
CN111310113B (zh) * | 2020-02-13 | 2021-01-15 | 北京工业大数据创新中心有限公司 | 基于时序数据的专家规则系统的反例生成方法及装置 |
US11467937B2 (en) * | 2020-06-26 | 2022-10-11 | Advanced Micro Devices, Inc. | Configuring cache policies for a cache based on combined cache policy testing |
US11283691B1 (en) * | 2020-10-21 | 2022-03-22 | Juniper Networks, Inc. | Model driven intent policy conflict detection and resolution through graph analysis |
US20220197728A1 (en) * | 2020-12-22 | 2022-06-23 | Nokia Solutions And Networks Oy | Intent-based networking using partitioning for scalability |
US11799725B2 (en) * | 2020-12-22 | 2023-10-24 | Nokia Solutions And Networks Oy | Intent-based networking using reconstruction of intents |
US20220239591A1 (en) * | 2021-01-27 | 2022-07-28 | Cisco Technology, Inc. | Coordination of sdn underlay and overlay for deterministic traffic |
US11743142B1 (en) * | 2021-12-20 | 2023-08-29 | Illumio, Inc. | Segmentation using infrastructure policy feedback |
WO2023174516A1 (en) * | 2022-03-15 | 2023-09-21 | Telefonaktiebolaget Lm Ericsson (Publ) | Intent-based service management |
CN114640599A (zh) * | 2022-03-21 | 2022-06-17 | 亚信科技(中国)有限公司 | 意图的冲突处理方法、装置、存储介质及计算机程序产品 |
Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101753369A (zh) * | 2008-12-03 | 2010-06-23 | 北京天融信网络安全技术有限公司 | 一种检测防火墙规则冲突的方法及装置 |
CN102760076A (zh) * | 2012-06-05 | 2012-10-31 | 华为技术有限公司 | 一种系统的策略冲突处理方法及策略冲突处理系统 |
CN104079428A (zh) * | 2014-04-01 | 2014-10-01 | 烽火通信科技股份有限公司 | 管理配置信息冲突的系统及方法 |
CN105897493A (zh) * | 2016-06-28 | 2016-08-24 | 电子科技大学 | 一种sdn规则冲突的检测方法 |
CN106656591A (zh) * | 2016-12-15 | 2017-05-10 | 西安电子科技大学 | 一种软件定义网络中多应用间的规则冲突检测与消除方法 |
Family Cites Families (159)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US5204829A (en) | 1992-07-10 | 1993-04-20 | Lsi Logic Corporation | Interleaving operations in a floating-point numeric processor |
US6763380B1 (en) | 2000-01-07 | 2004-07-13 | Netiq Corporation | Methods, systems and computer program products for tracking network device performance |
WO2002046928A1 (en) | 2000-12-04 | 2002-06-13 | Rensselaer Polytechnic Institute | Fault detection and prediction for management of computer networks |
AU2002234258A1 (en) | 2001-01-22 | 2002-07-30 | Sun Microsystems, Inc. | Peer-to-peer network computing platform |
ITTO20010180A1 (it) | 2001-03-01 | 2002-09-01 | Cselt Centro Studi Lab Telecom | Procedimento e sistema per il controllo della configurazione dei nodidi una rete per telecomunicazione. |
US7003562B2 (en) | 2001-03-27 | 2006-02-21 | Redseal Systems, Inc. | Method and apparatus for network wide policy-based analysis of configurations of devices |
DE10143101A1 (de) | 2001-09-03 | 2003-04-03 | Infineon Technologies Ag | Verfahren zur Validierung von Simulationsergebnissen eines Systems sowie darauf aufbauender Äquivalenzvergleich digitaler Schaltungen |
US20030229693A1 (en) | 2002-06-06 | 2003-12-11 | International Business Machines Corporation | Self-correcting monitor |
US8073935B2 (en) | 2002-07-25 | 2011-12-06 | Oracle America, Inc. | Pluggable semantic verification and validation of configuration data |
ITTO20020742A1 (it) | 2002-08-23 | 2004-02-24 | Telecom Italia Lab Spa | Procedimento e sistema per il controllo della |
GB0224187D0 (en) | 2002-10-17 | 2002-11-27 | Mitel Knowledge Corp | Interactive conflict resolution for personalised policy-based services |
US7453886B1 (en) | 2003-03-11 | 2008-11-18 | Nortel Networks Limited | Verification of communications paths between devices |
US7089369B2 (en) | 2003-03-31 | 2006-08-08 | Sun Microsystems, Inc. | Method for optimizing utilization of a double-data-rate-SDRAM memory system |
CA2528428C (en) | 2003-06-05 | 2013-01-22 | Intertrust Technologies Corporation | Interoperable systems and methods for peer-to-peer service orchestration |
US9264922B2 (en) | 2003-08-05 | 2016-02-16 | Mobileum Inc. | Method and system for ensuring service continuity in case of a proxy profile gateway failure or interruption |
US20050108389A1 (en) | 2003-11-13 | 2005-05-19 | International Business Machines Corporation | Network endpoint health check |
US7360064B1 (en) | 2003-12-10 | 2008-04-15 | Cisco Technology, Inc. | Thread interleaving in a multithreaded embedded processor |
US7609647B2 (en) | 2004-05-12 | 2009-10-27 | Bce Inc. | Method and apparatus for network configuration validation |
US8010952B2 (en) | 2004-06-08 | 2011-08-30 | Cisco Technology, Inc. | Method and apparatus for configuration syntax and semantic validation |
US7505463B2 (en) | 2004-06-15 | 2009-03-17 | Sun Microsystems, Inc. | Rule set conflict resolution |
US7698561B2 (en) | 2004-08-12 | 2010-04-13 | Cisco Technology, Inc. | Method and system for detection of aliases in a network |
JP4192877B2 (ja) | 2004-09-29 | 2008-12-10 | ブラザー工業株式会社 | 設定データ伝送プログラム、設定データ伝送装置、および設定データ伝送システム |
US8024568B2 (en) | 2005-01-28 | 2011-09-20 | Citrix Systems, Inc. | Method and system for verification of an endpoint security scan |
US7401305B2 (en) | 2005-07-11 | 2008-07-15 | International Business Machines Corporation | Adaptive application of SAT solving techniques |
US7619989B2 (en) | 2005-08-26 | 2009-11-17 | Alcatel Lucent | Routing configuration validation apparatus and methods |
US7765093B2 (en) | 2005-09-19 | 2010-07-27 | Itt Manufacturing Enterprises, Inc. | Network modeling system and method of simulating network operation with configurable node models |
US20070124437A1 (en) | 2005-11-30 | 2007-05-31 | Cisco Technology, Inc. | Method and system for real-time collection of log data from distributed network components |
JP2007241533A (ja) | 2006-03-07 | 2007-09-20 | Oki Electric Ind Co Ltd | システム構成情報比較装置およびコンピュータプログラム |
US8040895B2 (en) | 2006-03-22 | 2011-10-18 | Cisco Technology, Inc. | Method and system for removing dead access control entries (ACEs) |
US20080031147A1 (en) | 2006-08-01 | 2008-02-07 | Siemens Communications, Inc. | Network status determination |
CA2663299A1 (en) | 2006-09-12 | 2008-09-04 | Telcordia Technologies, Inc. | Ip network vulnerability and policy compliance assessment by ip device analysis |
US20080117827A1 (en) | 2006-11-17 | 2008-05-22 | Nec Corporation | Method and system for verifying connectivity of logical link |
US8719375B2 (en) | 2007-03-22 | 2014-05-06 | Microsoft Corporation | Remote data access techniques for portable devices |
US8484693B2 (en) | 2007-04-27 | 2013-07-09 | Gregory W. Cox | Efficient policy conflict detection |
US8782182B2 (en) | 2007-05-24 | 2014-07-15 | Foundry Networks, Llc | Generating device-specific configurations |
US8209738B2 (en) | 2007-05-31 | 2012-06-26 | The Board Of Trustees Of The University Of Illinois | Analysis of distributed policy rule-sets for compliance with global policy |
US8499331B1 (en) | 2007-06-27 | 2013-07-30 | Emc Corporation | Policy based network compliance |
US7992201B2 (en) | 2007-07-26 | 2011-08-02 | International Business Machines Corporation | Dynamic network tunnel endpoint selection |
US7743274B2 (en) | 2007-09-12 | 2010-06-22 | International Business Machines Corporation | Administering correlated error logs in a computer system |
US8494977B1 (en) | 2007-09-28 | 2013-07-23 | Emc Corporation | IT policy violation views |
JP4872945B2 (ja) | 2008-02-25 | 2012-02-08 | 日本電気株式会社 | 運用管理装置、運用管理システム、情報処理方法、及び運用管理プログラム |
US20090249284A1 (en) | 2008-02-29 | 2009-10-01 | Doyenz Incorporated | Automation for virtualized it environments |
US8082290B2 (en) | 2008-03-19 | 2011-12-20 | Verizon Patent And Licensing Inc. | Intelligent establishment of peer-to-peer communication |
US8630192B2 (en) | 2009-01-28 | 2014-01-14 | Headwater Partners I Llc | Verifiable and accurate service usage monitoring for intermediate networking devices |
US8554883B2 (en) | 2008-08-06 | 2013-10-08 | Cisco Technology, Inc. | Apparatus and method for sharing a generic configuration across a group of network devices |
US8441941B2 (en) | 2008-10-06 | 2013-05-14 | Cisco Technology, Inc. | Automating identification and isolation of loop-free protocol network problems |
US8103480B2 (en) | 2008-10-31 | 2012-01-24 | Hewlett-Packard Development Company, L.P. | Evaluating service level agreement violations |
US8627328B2 (en) | 2008-11-14 | 2014-01-07 | Oracle International Corporation | Operation control for deploying and managing software service in a virtual environment |
WO2010068698A2 (en) | 2008-12-09 | 2010-06-17 | Glue Networks, Inc. | System and method for providing virtual private networks |
US20100198909A1 (en) | 2009-02-03 | 2010-08-05 | Fluke Corporation | Method and apparatus for the continuous collection and correlation of application transactions across all tiers of an n-tier application |
US8479267B2 (en) | 2009-06-30 | 2013-07-02 | Sophos Limited | System and method for identifying unauthorized endpoints |
JP2011087302A (ja) | 2009-10-19 | 2011-04-28 | Ip Infusion Inc | Bgp経路監視装置、bgp経路監視方法、およびプログラム |
US8416696B2 (en) | 2010-01-04 | 2013-04-09 | Cisco Technology, Inc. | CFM for conflicting MAC address notification |
US8689307B2 (en) | 2010-03-19 | 2014-04-01 | Damaka, Inc. | System and method for providing a virtual peer-to-peer environment |
US8375117B2 (en) | 2010-04-28 | 2013-02-12 | Juniper Networks, Inc. | Using endpoint host checking to classify unmanaged devices in a network and to improve network location awareness |
US8959139B2 (en) | 2010-05-28 | 2015-02-17 | Juniper Networks, Inc. | Application-layer traffic optimization service endpoint type attribute |
US8817621B2 (en) | 2010-07-06 | 2014-08-26 | Nicira, Inc. | Network virtualization apparatus |
US20120054163A1 (en) | 2010-08-27 | 2012-03-01 | Motorola, Inc. | Policy conflict classifier |
US9389993B1 (en) | 2010-09-03 | 2016-07-12 | Cisco Technology, Inc. | System and method for whitelist management |
US8910143B2 (en) | 2010-09-20 | 2014-12-09 | General Electric Company | Conversion system and method for use in upgrading a monitoring system |
EP2437470A1 (en) | 2010-09-30 | 2012-04-04 | British Telecommunications Public Limited Company | Network element and method for deriving quality of service data from a distributed hierarchical naming system |
CN103733194A (zh) | 2011-01-27 | 2014-04-16 | 康姆普特奈科斯特有限公司 | 动态组织云计算资源以便于发现 |
US8589934B2 (en) | 2011-04-01 | 2013-11-19 | Arm Limited | Controlling priority levels of pending threads awaiting processing |
US8935389B2 (en) | 2011-05-17 | 2015-01-13 | Guavus, Inc. | Method and system for collecting and managing network data |
US8693344B1 (en) | 2011-09-27 | 2014-04-08 | Big Switch Network, Inc. | Systems and methods for generating packet forwarding rules based on network policy |
US9043864B2 (en) | 2011-09-30 | 2015-05-26 | Oracle International Corporation | Constraint definition for conditional policy attachments |
US20130097660A1 (en) | 2011-10-17 | 2013-04-18 | Mcafee, Inc. | System and method for whitelisting applications in a mobile network environment |
US8930756B2 (en) | 2011-12-22 | 2015-01-06 | International Business Machines Corporation | Grouping related errors in a distributed computing environment |
US9106555B2 (en) | 2012-01-25 | 2015-08-11 | Cisco Technology, Inc. | Troubleshooting routing topology based on a reference topology |
US9405553B2 (en) | 2012-01-30 | 2016-08-02 | International Business Machines Corporation | Processing element management in a streaming data system |
CN104106237B (zh) | 2012-02-10 | 2017-08-11 | 日本电气株式会社 | 计算机系统和虚拟网络可视化方法 |
US9705918B2 (en) | 2012-05-22 | 2017-07-11 | Sri International | Security mediation for dynamically programmable network |
US9571523B2 (en) | 2012-05-22 | 2017-02-14 | Sri International | Security actuator for a dynamically programmable computer network |
US9898317B2 (en) | 2012-06-06 | 2018-02-20 | Juniper Networks, Inc. | Physical path determination for virtual network packet flows |
US8874704B2 (en) | 2012-07-11 | 2014-10-28 | Bmc Software, Inc. | Semi-automatic discovery and generation of useful service blueprints |
US9571502B2 (en) | 2012-09-14 | 2017-02-14 | International Business Machines Corporation | Priority resolution for access control list policies in a networking device |
US9276877B1 (en) | 2012-09-20 | 2016-03-01 | Wiretap Ventures, LLC | Data model for software defined networks |
US9055000B1 (en) | 2012-12-17 | 2015-06-09 | Juniper Networks, Inc. | Distributed network subnet |
US9900221B2 (en) | 2013-01-30 | 2018-02-20 | Hewlett Packard Enterprise Development Lp | Controlling a topology of a network |
US9860140B2 (en) | 2013-02-05 | 2018-01-02 | Cisco Technology, Inc. | Dynamically adjusting a set of monitored network properties using distributed learning machine feedback |
US8966637B2 (en) | 2013-02-08 | 2015-02-24 | PhishMe, Inc. | Performance benchmarking for simulated phishing attacks |
WO2014143119A1 (en) * | 2013-03-15 | 2014-09-18 | Hewlett-Packard Development Company, L.P. | Data loop detection |
US9596141B2 (en) | 2013-03-15 | 2017-03-14 | Cisco Technology, Inc. | Representing software defined networks using a programmable graph model |
US9775085B2 (en) * | 2013-04-05 | 2017-09-26 | Avago Technologies General Ip (Singapore) Pte. Ltd. | Network discovery and selection using utility information and radio interworking |
US10291515B2 (en) | 2013-04-10 | 2019-05-14 | Huawei Technologies Co., Ltd. | System and method for a control plane reference model framework |
US10021027B2 (en) | 2013-04-30 | 2018-07-10 | Comcast Cable Communications, Llc | Network validation with dynamic tunneling |
US9225601B2 (en) | 2013-06-17 | 2015-12-29 | The Board Of Trustees Of The University Of Illinois | Network-wide verification of invariants |
US20140379915A1 (en) | 2013-06-19 | 2014-12-25 | Cisco Technology, Inc. | Cloud based dynamic access control list management architecture |
US9246818B2 (en) | 2013-06-24 | 2016-01-26 | Cisco Technology, Inc. | Congestion notification in leaf and spine networks |
CN104348757B (zh) | 2013-07-31 | 2018-03-16 | 华为技术有限公司 | 一种流表交互方法、交换机及系统 |
US9531676B2 (en) | 2013-08-26 | 2016-12-27 | Nicira, Inc. | Proxy methods for suppressing broadcast traffic in a network |
KR101455167B1 (ko) | 2013-09-03 | 2014-10-27 | 한국전자통신연구원 | 화이트리스트 기반의 네트워크 스위치 |
US9553845B1 (en) | 2013-09-30 | 2017-01-24 | F5 Networks, Inc. | Methods for validating and testing firewalls and devices thereof |
US9374294B1 (en) | 2013-11-05 | 2016-06-21 | Cisco Technology, Inc. | On-demand learning in overlay networks |
US9590914B2 (en) | 2013-11-05 | 2017-03-07 | Cisco Technology, Inc. | Randomized per-packet port channel load balancing |
US9876711B2 (en) | 2013-11-05 | 2018-01-23 | Cisco Technology, Inc. | Source address translation in overlay networks |
US9876715B2 (en) | 2013-11-05 | 2018-01-23 | Cisco Technology, Inc. | Network fabric overlay |
CN103701926B (zh) | 2013-12-31 | 2017-06-16 | 小米科技有限责任公司 | 一种获取故障原因信息的方法、装置和系统 |
US9660886B1 (en) | 2014-03-07 | 2017-05-23 | Google Inc. | Scalable network route analysis |
US10476698B2 (en) | 2014-03-20 | 2019-11-12 | Avago Technologies International Sales Pte. Limited | Redundent virtual link aggregation group |
US9654361B2 (en) | 2014-05-13 | 2017-05-16 | Cisco Technology, Inc. | Dynamic collection of network metrics for predictive analytics |
US9935831B1 (en) | 2014-06-03 | 2018-04-03 | Big Switch Networks, Inc. | Systems and methods for controlling network switches using a switch modeling interface at a controller |
WO2016000362A1 (zh) | 2014-06-30 | 2016-01-07 | 华为技术有限公司 | 一种配置流表项的方法、装置和系统 |
US9813312B2 (en) | 2014-07-21 | 2017-11-07 | Big Switch Networks, Inc. | Systems and methods for performing debugging operations on networks using a controller |
CN104104615B (zh) | 2014-07-21 | 2017-07-07 | 华为技术有限公司 | 策略冲突解决方法以及装置 |
US10050842B2 (en) | 2014-07-23 | 2018-08-14 | Cisco Technology, Inc. | Network control and management using semantic reasoners in a network environment |
US9497215B2 (en) | 2014-07-23 | 2016-11-15 | Cisco Technology, Inc. | Stealth mitigation for simulating the success of an attack |
WO2016019172A1 (en) | 2014-07-30 | 2016-02-04 | Forward Networks, Inc. | Systems and methods for network management |
US20160164748A1 (en) | 2014-12-04 | 2016-06-09 | Belkin International, Inc. | Identifying and resolving network device rule conflicts and recursive operations at a network device |
US9497207B2 (en) | 2014-08-15 | 2016-11-15 | International Business Machines Corporation | Securing of software defined network controllers |
US20170214719A1 (en) | 2014-09-09 | 2017-07-27 | Hewlett Packard Enterprise Development Lp | Auto-configuration and management of storage resources |
CN105471830A (zh) | 2014-09-10 | 2016-04-06 | 中国电信股份有限公司 | 用于消解安全策略冲突的方法、装置和系统 |
US9641249B2 (en) | 2014-09-18 | 2017-05-02 | Lenovo Enterprise Solutions (Singapore) Pte, Ltd. | Support for converged fiber channel over ethernet (FCoE) traffic on software defined networks (SDNs) |
US9378461B1 (en) * | 2014-09-26 | 2016-06-28 | Oracle International Corporation | Rule based continuous drift and consistency management for complex systems |
US9787572B2 (en) * | 2014-10-07 | 2017-10-10 | Cisco Technology, Inc. | Conflict avoidant traffic routing in a network environment |
US9781004B2 (en) | 2014-10-16 | 2017-10-03 | Cisco Technology, Inc. | Discovering and grouping application endpoints in a network environment |
US9686162B2 (en) * | 2014-10-17 | 2017-06-20 | International Business Machines Corporation | Identifying configuration inconsistency in edge-based software defined networks (SDN) |
EP3216177B1 (en) | 2014-11-06 | 2021-04-14 | Hewlett Packard Enterprise Development LP | Network policy graphs |
US9690644B2 (en) | 2014-11-06 | 2017-06-27 | International Business Machines Corporation | Cognitive analysis for healing an IT system |
US10116493B2 (en) | 2014-11-21 | 2018-10-30 | Cisco Technology, Inc. | Recovering from virtual port channel peer failure |
US9594640B1 (en) | 2014-11-25 | 2017-03-14 | VCE IP Holding Company LLC | Backup/recovery system and method for a computing environment |
WO2016085516A1 (en) | 2014-11-28 | 2016-06-02 | Hewlett Packard Enterprise Development Lp | Verifying a network configuration |
CN105721193B (zh) | 2014-12-05 | 2020-04-28 | 方正国际软件(北京)有限公司 | 一种系统信息监控的方法和设备 |
WO2016093861A1 (en) | 2014-12-12 | 2016-06-16 | Nokia Solutions And Networks Oy | Alarm correlation in network function virtualization environment |
US9680875B2 (en) | 2015-01-20 | 2017-06-13 | Cisco Technology, Inc. | Security policy unification across different security products |
CN105991332A (zh) | 2015-01-27 | 2016-10-05 | 中兴通讯股份有限公司 | 告警处理方法及装置 |
US10411951B2 (en) | 2015-02-10 | 2019-09-10 | Hewlett Packard Enterprise Development Lp | Network policy conflict detection and resolution |
US10530697B2 (en) | 2015-02-17 | 2020-01-07 | Futurewei Technologies, Inc. | Intent based network configuration |
US10504025B2 (en) | 2015-03-13 | 2019-12-10 | Cisco Technology, Inc. | Parallel processing of data by multiple semantic reasoning engines |
WO2016161127A1 (en) | 2015-04-01 | 2016-10-06 | Neutrona Networks International Llc | Network management system with traffic engineering for a software defined network |
US10601642B2 (en) | 2015-05-28 | 2020-03-24 | Cisco Technology, Inc. | Virtual network health checker |
US9929949B2 (en) | 2015-06-29 | 2018-03-27 | Google Llc | Systems and methods for inferring network topology and path metrics in wide area networks |
US20170026292A1 (en) | 2015-07-20 | 2017-01-26 | Schweitzer Engineering Laboratories, Inc. | Communication link failure detection in a software defined network |
US10243778B2 (en) | 2015-08-11 | 2019-03-26 | Telefonaktiebolaget L M Ericsson (Publ) | Method and system for debugging in a software-defined networking (SDN) system |
US10257041B2 (en) * | 2015-08-21 | 2019-04-09 | Vmware, Inc. | Deep network validation of configuration inputs for a network-dependent system |
CN106488487A (zh) | 2015-08-27 | 2017-03-08 | 中兴通讯股份有限公司 | 故障检测方法及装置 |
US20180331965A1 (en) | 2015-08-31 | 2018-11-15 | Hewlett Packard Enterprise Development Lp | Control channel usage monitoring in a software-defined network |
US10148489B2 (en) | 2015-09-01 | 2018-12-04 | At&T Intellectual Property I, L.P. | Service impact event analyzer for cloud SDN service assurance |
US9929924B2 (en) | 2015-09-25 | 2018-03-27 | Telefonaktiebolaget Lm Ericsson (Publ) | SDN controller logic-inference network troubleshooter (SDN-LINT) tool |
US9882833B2 (en) | 2015-09-28 | 2018-01-30 | Centurylink Intellectual Property Llc | Intent-based services orchestration |
US11303513B2 (en) | 2015-09-28 | 2022-04-12 | Evenroute, Llc | Automatic QoS optimization in network equipment |
US10291654B2 (en) | 2015-09-30 | 2019-05-14 | Symantec Corporation | Automated construction of network whitelists using host-based security controls |
CN106603264A (zh) | 2015-10-20 | 2017-04-26 | 阿里巴巴集团控股有限公司 | 一种定位故障根源的方法和设备 |
US10643149B2 (en) | 2015-10-22 | 2020-05-05 | Oracle International Corporation | Whitelist construction |
US10419530B2 (en) | 2015-11-02 | 2019-09-17 | Telefonaktiebolaget Lm Ericsson (Publ) | System and methods for intelligent service function placement and autoscale based on machine learning |
US20170126727A1 (en) | 2015-11-03 | 2017-05-04 | Juniper Networks, Inc. | Integrated security system having threat visualization |
US10069646B2 (en) | 2015-12-02 | 2018-09-04 | Nicira, Inc. | Distribution of tunnel endpoint mapping information |
CN108476179A (zh) | 2015-12-17 | 2018-08-31 | 慧与发展有限责任合伙企业 | 简化的正交网络策略集选择 |
US10979311B2 (en) | 2016-01-05 | 2021-04-13 | Schneider Electric USA, Inc. | System and method for validating network configuration changes in a client environment |
US10261858B2 (en) | 2016-01-20 | 2019-04-16 | Intel Corporation | TCAM soft-error detection method and apparatus |
CN105721297B (zh) | 2016-01-28 | 2019-04-09 | 北京国电通网络技术有限公司 | 基于sdn网络中路由环路的检测方法及系统 |
CN106130766B (zh) | 2016-09-23 | 2020-04-07 | 深圳灵动智网科技有限公司 | 一种基于sdn技术实现自动化网络故障分析的系统和方法 |
US10868737B2 (en) * | 2016-10-26 | 2020-12-15 | Arizona Board Of Regents On Behalf Of Arizona State University | Security policy analysis framework for distributed software defined networking (SDN) based cloud environments |
US20170187577A1 (en) | 2017-03-14 | 2017-06-29 | Nuviso Networks Inc | System for configuring network devices |
US10560328B2 (en) * | 2017-04-20 | 2020-02-11 | Cisco Technology, Inc. | Static network policy analysis for networks |
US10826788B2 (en) * | 2017-04-20 | 2020-11-03 | Cisco Technology, Inc. | Assurance of quality-of-service configurations in a network |
US10439875B2 (en) * | 2017-05-31 | 2019-10-08 | Cisco Technology, Inc. | Identification of conflict rules in a network intent formal equivalence failure |
US10554493B2 (en) * | 2017-06-19 | 2020-02-04 | Cisco Technology, Inc. | Identifying mismatches between a logical model and node implementation |
US10652102B2 (en) * | 2017-06-19 | 2020-05-12 | Cisco Technology, Inc. | Network node memory utilization analysis |
-
2017
- 2017-08-31 US US15/693,174 patent/US10581694B2/en active Active
-
2018
- 2018-05-24 WO PCT/US2018/034302 patent/WO2018222483A1/en active Application Filing
- 2018-05-24 CN CN201880035329.8A patent/CN110710159B/zh active Active
- 2018-05-24 EP EP18733721.7A patent/EP3632043A1/en not_active Withdrawn
-
2020
- 2020-03-02 US US16/806,377 patent/US11303531B2/en active Active
Patent Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101753369A (zh) * | 2008-12-03 | 2010-06-23 | 北京天融信网络安全技术有限公司 | 一种检测防火墙规则冲突的方法及装置 |
CN102760076A (zh) * | 2012-06-05 | 2012-10-31 | 华为技术有限公司 | 一种系统的策略冲突处理方法及策略冲突处理系统 |
CN104079428A (zh) * | 2014-04-01 | 2014-10-01 | 烽火通信科技股份有限公司 | 管理配置信息冲突的系统及方法 |
CN105897493A (zh) * | 2016-06-28 | 2016-08-24 | 电子科技大学 | 一种sdn规则冲突的检测方法 |
CN106656591A (zh) * | 2016-12-15 | 2017-05-10 | 西安电子科技大学 | 一种软件定义网络中多应用间的规则冲突检测与消除方法 |
Non-Patent Citations (1)
Title |
---|
Detection and prevention of firewall-rule conflicts on software-defined networking;Ferney A. Maldonado-Lopez;《2015 7th International Workshop on Reliable Networks Design and Modeling (RNDM)》;20151007;正文2-4页 * |
Also Published As
Publication number | Publication date |
---|---|
US20200204453A1 (en) | 2020-06-25 |
EP3632043A1 (en) | 2020-04-08 |
CN110710159A (zh) | 2020-01-17 |
US20180351818A1 (en) | 2018-12-06 |
US11303531B2 (en) | 2022-04-12 |
WO2018222483A1 (en) | 2018-12-06 |
US10581694B2 (en) | 2020-03-03 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN110741603B (zh) | 拓扑探测器 | |
CN110521169B (zh) | 用于服务链的策略保证 | |
CN110692227B (zh) | 识别网络意图形式对等性失败中的冲突规则 | |
CN110754064B (zh) | 网络结构中的路由信息的验证 | |
CN110710159B (zh) | 用于网络配置和故障排除的方法、系统、设备和介质 | |
CN110612706B (zh) | 网络中服务质量配置的保证 | |
CN110612702B (zh) | 针对不一致的意图规范检查 | |
CN110521170B (zh) | 网络的静态网络策略分析 | |
CN110710161B (zh) | 生成网络的设备级逻辑模型 | |
CN110785964B (zh) | 网络中第3层桥接域子网的验证 | |
CN110785963B (zh) | 从网络收集网络模型和节点信息 | |
CN110741602B (zh) | 响应于网络意图形式对等性失败的事件生成 | |
CN110754065B (zh) | 网络的逻辑级和硬件级之间的网络验证 | |
CN110785965A (zh) | 网络中使用虚拟路由转发容器的第3层的验证 | |
CN111034123A (zh) | 网络中第1层接口的验证 | |
US10623271B2 (en) | Intra-priority class ordering of rules corresponding to a model of network intents | |
CN111684439A (zh) | 网络保证数据库版本兼容性 | |
CN110800259B (zh) | 跨以应用为中心的维度的分布式故障代码聚合 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |