CN110741602B - 响应于网络意图形式对等性失败的事件生成 - Google Patents
响应于网络意图形式对等性失败的事件生成 Download PDFInfo
- Publication number
- CN110741602B CN110741602B CN201880039063.4A CN201880039063A CN110741602B CN 110741602 B CN110741602 B CN 110741602B CN 201880039063 A CN201880039063 A CN 201880039063A CN 110741602 B CN110741602 B CN 110741602B
- Authority
- CN
- China
- Prior art keywords
- model
- network
- failure
- peer
- network intent
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
- H04L69/40—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass for recovering from a failure of a protocol instance or entity, e.g. service redundancy protocols, protocol state redundancy or protocol service redirection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/06—Management of faults, events, alarms or notifications
- H04L41/0654—Management of faults, events, alarms or notifications using network fault recovery
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/06—Management of faults, events, alarms or notifications
- H04L41/0681—Configuration of triggering conditions
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/08—Configuration management of networks or network elements
- H04L41/0893—Assignment of logical groups to network elements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/12—Discovery or management of network topologies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/145—Network analysis or design involving simulating, designing, planning or modelling of a network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/50—Network services
- H04L67/535—Tracking the activity of the user
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/22—Alternate routing
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L45/00—Routing or path finding of packets in data switching networks
- H04L45/28—Routing or path finding of packets in data switching networks using route fault recovery
Abstract
用于接收对对等性失败的指示的系统、方法和计算机可读介质,该对等性失败与一个或多个网络意图模型相对应。对对等性失败的指示被分析,并且导致对等性失败的一个或多个构成意图被标识,其中,一个或多个构成意图与一个或多个网络意图模型中的模型相关联。对等性失败的粒度和所标识的一个或多个构成意图被确定,并且针对外部消费的事件被生成,该事件至少部分基于对等性失败、等效故障的粒度、以及所标识的一个或多个构成意图。
Description
相关申请的交叉引用
本申请要求于2017年06月16日递交的题为“EVENT GENERATION IN RESPONSE TONETWORK INTENT FORMAL EQUIVALENCE FAILURES(响应于网络意图形式对等性失败的事件生成)”的美国临时专利申请第62/520,722号,和于2017年07月28日递交的题为“EVENTGENERATION IN RESPONSE TO NETWORK INTENT FORMAL EQUIVALENCE FAILURES(响应于网络意图形式对等性失败的事件生成)”的美国非临时专利申请第15/662,906号的权益和优先权。每个申请的全部内容通过引用被明确地合并于此。
技术领域
本技术涉及网络配置和故障排除,更具体地,涉及经由针对形式对等性失败(equivalence failure)的外部事件确保网络配置。
背景技术
计算机网络变得越来越复杂,通常在网络的各个层都涉及低层以及高层配置。例如,计算机网络一般包括众多访问策略、转发策略、路由策略、安全性策略、服务质量(QoS)策略等等,它们共同定义了网络的整体行为和操作。网络运营商具有各种各样的配置选项,使得可根据用户的需求定制网络。尽管可用的不同配置选项为网络运营商提供了很大程度的灵活性和对网络的控制,但它们也增加了网络的复杂性。在许多情况下,配置过程可能变得高度复杂。毫不奇怪,网络配置过程越来越容易出错。另外,对高度复杂的网络中的错误进行故障排除可能极其困难。识别网络中意外行为的根本原因的过程可能是艰巨的任务。
附图说明
为了描述可以获得本公开的上述和其他优点和特征的方式,将通过参考在附图中示出的上面简要描述的原理的特定实施例来呈现对这些原理的更具体的描述。应理解,这些附图仅描绘了本公开的示例性实施例,因此不应认为是对其范围的限制,通过使用附图,利用附加特征和细节描述和解释了本文的原理,在附图中:
图1A和1B示出了示例网络环境;
图2A示出了网络的示例对象模型;
图2B示出了图2A的示例对象模型中的租户对象(tenant object)的示例对象模型;
图2C示出了图2A的示例对象模型中的各对象的示例关联;
图2D示出了用于实现图2A的示例对象模型的示例模型的示意图;
图3A示出了示例网络保证设备(network assurance appliance);
图3B示出了用于网络保证的示例系统;
图3C示出了用于网络中的静态策略分析的示例系统的示意图;
图4示出了用于网络保证和故障代码聚合的示例方法实施例;
图5A示出了用于形式分析的示例架构;
图5B示出了由模型评估的成对结果触发的事件的图表;
图6示出了根据各种实施例的示例网络设备;以及
图7示出了根据各种实施例的示例计算设备。
具体实施方式
下面详细讨论本公开的各种实施例。虽然讨论了具体实现方式,但应该理解,仅是出于说明目的而这样做的。相关领域的技术人员将认识到,在不脱离本公开的精神和范围的情况下,可以使用其他组件和配置。因此,以下描述和附图是说明性的而不应被解释为限制性的。描述了许多具体细节以提供对本公开的透彻理解。然而,在某些情形下,没有描述众所周知的或传统的细节以避免模糊本描述。在本公开中参考一个实施例或参考实施例可以是参考相同的实施例或任意实施例;并且,这样的参考指的是实施例中的至少一个。
对“一个实施例”或“实施例”的参考意味着结合该实施例描述的特定特征、结构或特性被包括在本公开的至少一个实施例中。在说明书中各处出现的短语“在一个实施例中”不一定都指代相同的实施例,也不是与其他实施例互斥的单独或替代的实施例。此外,描述了可以由一些实施例而不由其他实施例展示的各种特征。
本说明书中使用的术语在本公开的上下文中以及在其中每个术语被使用的特定上下文中通常具有其在本领域中的普通含义。替代语言和同义词可以用于本文所讨论的任何一个或多个术语,并且本文是否详述或论述某一术语不应被看作具有特殊意义。在一些情况下,提供了某些术语的同义词。对一个或多个同义词的记载不排除对其他同义词的使用。本说明书中任何地方的对示例(包括本文所讨论的任何术语的示例)的使用仅是说明性的,并且不旨在进一步限制本公开或任何示例术语的范围和含义。同样地,本公开不限于本说明书中给出的各种实施例。
不意图限制本公开的范围,下面给出根据本公开的实施例的工具、装置、方法、及其相关结果的示例。注意,为了方便读者,可能在示例中使用标题或副标题,这绝不应限制本公开的范围。除非另有定义,否则本文使用的技术和科学术语具有本公开所属领域的普通技术人员通常理解的含义。在发生冲突的情况下,以包括定义的本文档为准。
将在下面的描述中阐述本公开的其他特征和优点,并且其部分将从描述中变得清晰可见,或者可以通过实践本文公开的原理来进行学习。借助于所附权利要求中具体指出的工具和组合,可以实现和获得本公开的特征和优点。根据以下描述和所附权利要求,本公开的这些和其他特征将变得更加完全地显现出来,或者可以通过实践本文阐述的原理来进行学习。
概述
在独立权利要求中陈述了本发明的方面,并且在从属权利要求中陈述了优选的特征。一个方面的特征可单独地应用于每个方面或者与其他方面结合来应用。
本文公开了用于生成针对外部消费的事件的系统、方法和计算机可读介质,其中,事件是基于在两个或更多个网络意图的模型之间进行的对等性检查的各种失败的。在一些示例中,系统可以获得对网络对等性失败(例如,软件定义的逻辑意图没有作为相应的硬件意图正确地呈现到交换机中)的指示,并且随后结合相关联的用户意图模型(例如,上面示例中的软件模型和硬件模型)来分析对网络对等性失败的指示,以生成针对外部消费的事件。
网络意图的逻辑模型可以是基于在软件定义的网络(SDN)中的一个或多个控制器或服务器(例如,以应用为中心的基础设施(ACI)网络中的应用策略基础设施控制器(APIC))中定义的配置而生成的模型。该逻辑模型因此可以表示SDN网络的逻辑配置(例如,ACI中的逻辑配置的表示)。SDN网络的逻辑配置可以基于由SDN网络的网络运营商定义的配置,例如,输入到ACI网络的APIC中的配置,从而可以反映网络运营商的意图或者SDN网络的预期行为。
网络意图的硬件模型可以是基于逻辑模型而生成的模型。因此,硬件模型可以表示包括逻辑模型的离散的软件定义的组件的硬件呈现。通常,软件定义的逻辑意图和硬件定义的意图之间并不存在一一对应的关系。例如,逻辑模型的硬件呈现可能导致单个逻辑意图被拆分为多个不同的硬件意图。只要多个硬件意图体现与单个逻辑意图完全相同的效果,这本身就没有问题。但是,常规的网络保证处理很难做出该确定,因为它需要比较不具有一致形式的两个网络意图的模型。这样一来,将希望能够通过响应于在形式上或组成上不一定一致的两个或更多个网络意图模型之间的对等性失败的事件生成来提供智能网络保证。
描述
所公开的技术解决了本领域中对用于生成与在两个或更多个网络意图的模型之间的冲突规则或其他对等性失败相对应的事件的可靠且有效的能力的需求。本技术涉及用于接收两个或更多个对等性失败作为输入并且随后生成与输入对等性失败相对应的一个或多个事件的系统、方法和计算机可读介质。例如,输入对等性失败可以是在两个或更多个网络意图模型之间计算出的一组冲突规则,在这种情况下,将生成与两个或更多个网络意图模型之间的冲突规则相对应的一个或多个事件。本技术将在下面的公开中被描述如下。本讨论开始于对网络保证的介绍性讨论和对示例计算环境的描述,如图1A和图1B中所示。接着是对用于网络保证、网络建模、和时间生成的系统和方法的讨论,如图2A-2D、图3A-3C以及图4中所示。接下来是对用于事件生成的示例形式分析架构的讨论,如图5A中所示,以及由模型比较的成对结果触发的事件的图表,如图5B所见。本讨论以对示例网络设备(如图6中所示)和示例计算设备(如图7中所示)的描述结束,包括适合于容宿软件应用和执行计算操作的示例硬件组件。本公开现在转向讨论网络保证,根据本公开的实施例,网络保证的分析和执行是事件生成的前身。
网络保证是确保或确定网络按照网络运营商的意图行事并且已经被恰当配置(例如,网络正在做预期它要做的事情)。意图可以包含各种网络操作,例如,桥接、路由、安全性、服务链化(service chaining)、端点、合规性、QoS(服务质量)、审计等。意图可以体现在为网络和各个网络元件(例如,交换机、路由器、应用、资源等)定义的一个或多个策略、设置、配置等中。然而,经常地,网络运营商所定义的配置、策略等是不正确的或者未能准确地反映在网络的实际行为中。例如,网络运营商为一种或多种类型的流量指定配置A,但后来发现网络实际上正在将配置B应用于该流量或以与配置A不一致的方式处理该流量。这可能是许多不同原因导致的结果,例如硬件错误、软件缺陷、变化的优先级、配置冲突、一个或多个设置的误配置、设备不适当的规则呈现、意外错误或事件、软件升级、配置更改、失败等。作为另一示例,网络运营商实现配置C,但一个或多个其他配置导致网络以与配置C的实现方式所反映的意图不一致的方式行动。例如,当配置C与网络中的其他配置冲突时会导致这样的情形。
本文中的方法可以通过对网络的各个方面建模和/或执行一致性检查以及其他网络保证检查来提供网络保证。可以在各种类型的网络中实现本文的网络保证方法,所述各种类型的网络包括私有网络,例如局域网(LAN);企业网络;独立的或传统的网络,例如数据中心网络;包括物理或底层以及逻辑或覆盖层的网络,例如VXLAN或软件定义的网络(SDN)(例如,以应用为中心的基础设施(ACI)或VMware NSX网络);等等。本文的方法还可使得能够按照以任何软件或应用为中心的维度对硬件级(例如,网络交换机级)错误进行识别和可视化。通过这种方式,数据中心运营商可以快速查看在整个网络结构中影响特定租户或其他逻辑实体的硬件错误,甚至可以按其他维度(例如端点组)进行深入挖掘,以仅查看那些相关的硬件错误。这些可视化加快了根本原因分析的速度,从而改善数据中心和应用可用性指标。
可以实现逻辑模型来表示网络的各个方面。模型可包括网络的数学或语义模型,包括但不限于网络的策略、配置、要求、安全性、路由、拓扑结构、应用、硬件、过滤器、契约、访问控制列表、EPG、应用简档、租户,等等。可以实现模型以提供网络保证,来确保网络被恰当地配置,并且网络的行为将与通过由网络运营商实现的具体策略、设置、定义等所反映的预期行为一致(或保持一致)。与涉及发送和分析数据分组并观察网络行为的传统网络监视不同,可以通过建模执行网络保证,而不必摄取任何分组数据或监视流量或网络行为。这可产生先见之明、洞悉、和后见之明:可以在问题发生之前加以预防,在发生问题时识别问题,并在问题发生后立即修复问题。
可以对网络的性质进行数学建模以确定性地预测网络的行为和状况。数学模型可以对控制、管理和数据平面进行抽象,并且可以使用诸如符号化、形式验证、一致性、图形、行为之类的各种技术。如果(一个或多个)模型指示适当的行为(例如,没有不一致、冲突、错误等),则可以确定网络是健康的。如果建模指示适当的行为但有点不一致,则可以确定网络是可实现功能的,但不是完全健康的。如果建模指示不适当的行为和错误,则可以确定网络是不能实现功能的并且不健康。如果通过建模检测到不一致或错误,则对相应的(一个或多个)模型的详细分析可以允许非常准确地识别出一个或多个基础或根本问题。
建模可能消耗多种类型的数据和/或事件,其对网络的大量行为方面进行建模。这样的数据和事件可能影响网络的各个方面,例如底层服务、覆盖服务、租户连通性、租户安全性、租户EP移动性、租户策略、资源等。
已经描述了跨维度的网络保证和故障代码聚合的各种方面,本公开现在转到对用于网络保证的示例网络环境的讨论。
图1A示出了示例网络环境100(例如,数据中心)的图示。网络环境100可以包括可以表示网络环境100的物理层或基础设施(例如,底层)的结构120。结构120可以包括脊节点(spine)102(例如,脊路由器或交换机)和叶节点(leaf)104(例如,叶路由器或交换机),它们可以互连以在结构120中路由或交换流量。脊节点102可以互连结构120中的叶节点104,并且叶节点104可以将结构120连接到网络环境100的覆盖或逻辑部分,其可以包括应用服务、服务器、虚拟机、容器、端点等。因此,结构120中的网络连通性可以从脊节点102流向叶节点104,反之亦然。叶节点104和脊节点102之间的互连可以是冗余的(例如,多个互连)以避免路由失败。在一些实施例中,叶节点104和脊节点102可以完全连接,使得任何给定的叶节点都连接到每个脊节点102,并且任何给定的脊节点都连接到每个叶节点104。叶节点104可以是例如架顶式(top-of-rack,“ToR”)交换机、聚合交换机、网关、入口和/或出口交换机、提供者边缘设备、和/或任何其他类型的路由或交换设备。
叶节点104可以负责路由和/或桥接租户或客户分组以及应用网络策略或规则。网络策略和规则可以由一个或多个控制器116驱动,和/或由诸如叶节点104之类的一个或多个设备实现或实施。叶节点104可以将其他元件连接到结构120。例如,叶节点104可以将服务器106、管理程序108、虚拟机(VM)110、应用112、网络设备114等与结构120连接。这些元件可以驻留在一个或多个逻辑或虚拟层或网络中,例如覆盖网络。在一些情况下,叶节点104可以对去往和来自这种元件(例如,服务器106)的分组进行封装和解封装,以便使得能够进行整个网络环境100和结构120内的通信。叶节点104还可以向任何其他设备、服务、租户、或工作负载提供对结构120的接入。在一些情况下,连接到叶节点104的服务器106可以类似地对去往和来自叶节点104的分组进行封装和解封装。例如,服务器106可以包括一个或多个虚拟交换机或路由器或隧道端点,用于在由服务器106容宿或连接到服务器106的覆盖层或逻辑层与由结构120表示并通过叶节点104访问的底层之间用隧道传输分组。
应用112可以包括软件应用、服务、容器、设备、功能、服务链等。例如,应用112可以包括防火墙、数据库、CDN服务器、IDS/IPS、深度分组检查服务、消息路由器、虚拟变换机等。来自应用112的应用可以由多个端点(例如,服务器106、VM 110等)分发、链接或容宿,或者可以完全从单个端点运行或执行。
VM 110可以是由管理程序108容宿的虚拟机或在服务器106上运行的虚拟机管理器。VM 110可以包括在相应服务器上的访客操作系统上运行的工作负载。管理程序108可以提供创建、管理和/或运行VM 110的软件、固件和/或硬件层。管理程序108可以允许VM 110共享服务器106上的硬件资源,并且允许服务器106上的硬件资源显示为多个单独的硬件平台。此外,服务器106上的管理程序108可以容宿一个或多个VM 110。
在一些情况下,VM 110和/或管理程序108可以迁移到其他服务器106。服务器106可以类似地迁移到网络环境100中的其他位置。例如,连接到特定叶节点的服务器可以改变为连接到不同的或额外的叶节点。此类配置或部署更改可涉及对应用于正在迁移的资源以及其他网络组件的设置、配置和策略的修改。
在一些情况下,一个或多个服务器106、管理程序108和/或VM 110可以表示或驻留在租户或客户空间中。租户空间可以包括与一个或多个客户端或订户相关联的工作负载、服务、应用、设备、网络和/或资源。因此,可以基于特定租户策略、空间、协议、配置等来路由网络环境100中的流量。此外,寻址可以在一个或多个租户之间变化。在一些配置中,租户空间可以被划分为逻辑段和/或网络,并且与跟其他租户相关联的逻辑段和/或网络分开。租户之间的寻址、策略、安全性和配置信息可以由控制器116、服务器106、叶节点104等管理。
可以在逻辑级、硬件级(例如,物理级)和/或两者处实现网络环境100中的配置。例如,可以通过软件定义的网络(SDN)框架(例如,以应用为中心的基础设施(ACI)或VMWARENSX),基于端点或资源属性(例如,端点类型和/或应用组或简档)来在逻辑和/或硬件级实现配置。为了说明,一个或多个管理员可以通过控制器116在逻辑级(例如,应用或软件级)定义配置,控制器116可以通过网络环境100实现或传播这样的配置。在一些示例中,控制器116可以是ACI框架中的应用策略基础设施控制器(APIC)。在其他示例中,控制器116可以是与其他SDN解决方案相关联的一个或多个管理组件,例如,NSX管理器。
这样的配置可以定义用于在网络环境100中路由和/或分类流量的规则、策略、优先级、协议、属性、对象等。例如,这样的配置可以定义用于基于端点组(EPG)、安全组(SG)、VM类型、桥接域(BD)、虚拟路由和转发实例(VRF)、租户、优先级、防火墙规则等来分类和处理流量的属性和对象。下面进一步描述其他示例网络对象和配置。可以基于流量的标签、属性或其他特性来实施流量策略和规则,诸如与流量相关联的协议、与流量相关联的EPG、与流量相关联的SG、与流量相关联的网络地址信息等。这样的策略和规则可以由网络环境100中的一个或多个元件(例如,叶节点104、服务器106、管理程序108、控制器116等)实施。如前所述,可以根据一个或多个特定软件定义的网络(SDN)解决方案(例如,CISCO ACI或VMWARENSX)来配置网络环境100。下面简要描述这些示例SDN解决方案。
ACI可以通过可缩放的分布式实施来提供以应用为中心或基于策略的解决方案。ACI支持在针对网络、服务器、服务、安全性、要求等的声明性配置模型下集成物理和虚拟环境。例如,ACI框架实现EPG,EPG可以包括共享通用配置要求(例如,安全性、QoS、服务等)的端点或应用的集合。端点可以是虚拟/逻辑或物理设备,例如,连接到网络环境100的VM、容器、主机或物理服务器。端点可以具有一个或多个属性,例如,VM名称、访客OS名称、安全标签、应用简档等。应用配置可以以契约的形式在EPG之间应用,而不是直接应用于端点之间。叶节点104可以将传入的流量分类为不同的EPG。分类可以基于例如网络段标识符,例如,VLAN ID、VXLAN网络标识符(VNID)、NVGRE虚拟子网标识符(VSID)、MAC地址、IP地址等。
在一些情况下,ACI基础设施中的分类可以由应用虚拟交换机(AVS)实现,其可以在诸如服务器或交换机之类的主机上运行。例如,AVS可以基于指定的属性对流量进行分类,并且对具有不同标识符(例如,网络段标识符(例如,VLAN ID))的不同属性EPG的分组进行标记。最后,叶节点104可以基于其标识符和实施策略来将分组与其属性EPG捆绑,这可以由一个或多个控制器116实现和/或管理。叶节点104可以对来自主机的流量属于哪个EPG进行分类并且相应地实施策略。
另一示例SDN解决方案基于VMWARE NSX。使用VMWARE NSX,主机可以运行分布式防火墙(DFW),其可以对流量进行分类和处理。考虑将三种类型的VM(即,应用、数据库和webVM)放入单个第2层网络段的情况。可以基于VM类型在网络段内提供流量保护。例如,可以在web VM之间允许HTTP流量,并且在web VM与应用或数据库VM之间不允许HTTP流量。为了对流量进行分类并实现策略,VMWARE NSX可以实现安全组,该安全组可用于对特定VM(例如,web VM、应用VM、数据库VM)进行分组。可以配置DFW规则以实现针对特定安全组的策略。为了说明,在先前的示例的情境中,DFW规则可以被配置为阻止web、应用和数据库安全组之间的HTTP流量。
现在回到图1A,网络环境100可以通过叶节点104、服务器106、管理程序108、VM110、应用112和控制器116来部署不同的主机,例如VMWARE ESXi主机、WINDOWS HYPER-V主机、裸金属物理主机等。网络环境100可以与各种管理程序108、服务器106(例如,物理和/或虚拟服务器)、SDN编排平台等进行互操作。网络环境100可以实现声明性模型以允许其与应用设计和整体网络策略的集成。
控制器116可以提供对软件定义的网络(SDN)基础设施的结构信息、应用配置、资源配置、应用级配置建模的集中访问,与管理系统或服务器的集成等。控制器116可以形成通过上行(northbound)API与应用平面进行接口,并且通过下行(southbound)API与数据平面进行接口的控制平面。
如前所述,控制器116可以定义和管理网络环境100中的针对配置的(一个或多个)应用级模型。在一些情况下,还可以由网络中的其他组件管理和/或定义应用或设备配置。例如,管理程序或虚拟设备(例如,VM或容器)可以运行服务器或管理工具来管理网络环境100中的软件和服务,包括虚拟设备的配置和设置。
如上所示,网络环境100可以包括一个或多个不同类型的SDN解决方案、主机等。为了清楚和解释的目的,将参考ACI框架描述本公开中的各种示例,并且控制器116可以可互换地被称为控制器、APIC或APIC控制器。然而,应该注意,本文的技术和概念不限于ACI解决方案,并且可以在其他架构和场景中实现,包括其他SDN解决方案以及可以不部署SDN解决方案的其他类型的网络。
此外,如本文所引用的,术语“主机”可以指代服务器106(例如,物理的或逻辑的)、管理程序108、VM 110、容器(例如,应用112)等,并且可以运行或包括任何类型的服务器或应用解决方案。“主机”的非限制性示例可以包括虚拟交换机或路由器,例如分布式虚拟交换机(DVS)、应用虚拟交换机(AVS)、矢量分组处理(VPP)交换机;VCENTER和NSX管理器;裸金属物理主机;HYPER-V主机;VM;DOCKER容器;等等。
图1B示出了网络环境100的另一示例。在该示例中,网络环境100包括连接到结构120中的叶节点104的端点(endpoint,EP)122。端点122可以是物理和/或逻辑或虚拟实体,诸如服务器、客户端、VM、管理程序、软件容器、应用、资源、网络设备、工作负载等。例如,端点122可以是表示下列项的对象:物理设备(例如,服务器、客户端、交换机等)、应用(例如,web应用、数据库应用等)、逻辑或虚拟资源(例如,虚拟交换机、虚拟服务设备、虚拟化网络功能(VNF)、VM、服务链等)、运行软件资源的容器(例如,应用、设备、VNF、服务链等)、存储设备、工作负载或工作负载引擎等。端点122可以具有地址(例如,身份)、位置(例如,主机、网络段、虚拟路由和转发(VRF)实例、域等)、一个或多个属性(例如,名称、类型、版本、补丁级别、OS名称、OS类型等)、标签(例如,安全性标签)、简档等。
端点122可以与相应的逻辑组118相关联。逻辑组118可以是包含根据以下各项分组在一起的端点(物理和/或逻辑或虚拟)的逻辑实体:一个或多个属性(例如,端点类型(例如,VM类型、工作负载类型、应用类型等)),一个或多个要求(例如,策略要求、安全性要求、QoS要求、客户要求、资源要求等),资源名称(例如,VM名称、应用名称等),简档,平台或操作系统(OS)特性(例如,包括访客和/或主机OS的OS类型或名称等),关联的网络或租户,一个或多个策略,标签等。例如,逻辑组可以是表示分组在一起的端点集合的对象。为了说明,逻辑组1可以包含客户端端点,逻辑组2可以包含web服务器端点,逻辑组3可以包含应用服务器端点,逻辑组N可以包含数据库服务器端点等。在一些示例中,逻辑组118是ACI环境中的EPG和/或另一SDN环境中的其他逻辑组(例如,SG)。
可以基于逻辑组118对去往端点122和/或来自端点122的流量进行分类、处理、管理等。例如,逻辑组118可以用于对去往端点122或者来自端点122的流量进行分类,将策略应用于去往端点122或者来自端点122的流量,定义端点122之间的关系,定义端点122的角色(例如,端点是消费还是提供服务等),将规则应用于去往端点122或来自端点122的流量,对去往端点122或来自端点122的流量应用过滤器或访问控制列表(ACL),为去往端点122或来自端点122的流量定义通信路径,实施与端点122相关联的要求,实现与端点122相关联的安全性以及其他配置等。
在ACI环境中,逻辑组118可以是用于在ACI中定义契约的EPG。契约可以包括指定EPG之间发生什么通信和如何发生通信的规则。例如,契约可以定义提供服务的是什么,消费服务的是什么以及什么策略对象与该消费关系相关。契约可以包括定义如下内容的策略:通信路径以及端点或EPG之间的通信或关系的所有相关元素。例如,Web EPG可以提供客户端EPG所消费的服务,并且该消费可以受制于过滤器(ACL)和包括一个或多个服务(例如,防火墙检验服务和服务器负载平衡)的服务图。
图2A示出了诸如网络环境100之类的SDN网络的示例管理信息模型200的图示。以下对管理信息模型200的讨论提及了各种术语,在整个公开中也将使用这些术语。因此,为清楚起见,本公开首先将在下面提供术语列表,随后将对管理信息模型200进行更详细的讨论。
如本文所使用的,“别名(Alias)”可以指代给定对象的可更改名称。因此,即使对象的名称一旦创建就无法更改,则别名也可以是可更改的字段。
如本文所使用的,术语“别名(aliasing)”和“影子(shadowing)”可以指代与一个或多个其他规则重叠的规则(例如,契约、策略、配置等)。例如,如果在网络的逻辑模型中定义的契约1与在网络的逻辑模型中定义的契约2重叠,则可以说契约1是契约2的别名或影子。在此示例中,通过使契约2成为别名或影子,契约1可使得契约2冗余或不可操作。例如,如果契约1具有比契约2更高的优先级,则这种别名化可基于契约1的重叠和更高优先级特性而致使契约2冗余。
如本文所使用的,术语“APIC”可以指代ACI框架中的一个或多个控制器(例如,控制器116)。APIC可以为ACI多租户结构提供统一的自动化和管理点、策略编程、应用部署、健康监控。APIC可以实现为单个控制器,分布式控制器,或复制的、同步的和/或集群的控制器。
如本文所使用的,术语“BDD”可以指代二元决策树。二元决策树可以是表示函数(例如,布尔函数)的数据结构。
如本文所使用的,术语“BD”可以指代桥接域。桥接域可以是一组共享相同洪泛或广播特性的逻辑端口。与虚拟LAN(VLAN)一样,桥接域可以跨越多个设备。桥接域可以是L2(第2层)构造。
如本文所使用的,“消费者”可以指代消费服务的端点、资源和/或EPG。
如本文所使用的,“情境(context)”可以指代L3(第3层)地址域,其允许路由表的多个实例存在并同时工作。这通过允许在不使用多个设备的情况下对网络路径进行分段来提高功能性。情境或L3地址域的非限制性示例可以包括虚拟路由和转发(VRF)实例、私有网络等。
如本文所使用的,术语“契约”可以指代指定在网络中进行什么通信以及如何进行通信(例如,允许、拒绝、过滤、处理通信等)的规则或配置。在ACI网络中,契约可以指定端点和/或EPG之间的通信如何发生。在一些示例中,契约可以提供类似于访问控制列表(ACL)的规则和配置。
如本文所使用的,术语“可辨别名称”(DN)可以指代描述诸如MO之类的对象并且定位其在管理信息模型200中的位置的唯一名称。在一些情况下,DN可以是(或等同于)全限定域名(FQDN)。
如本文所使用的,术语“端点组”(EPG)可以指代与端点的集合或组相关联的逻辑实体或对象,如先前参考图1B所描述的。
如本文所使用的,术语“过滤器”可以指代用于允许通信的参数或配置。例如,在其中默认情况下所有通信都被阻止的白名单模型中,必须给予通信明确的许可,以防止此类通信被阻止。过滤器可以定义针对一个或多个通信或分组的(一个或多个)许可。因此,过滤器的功能可以类似于ACL或防火墙规则。在一些示例中,过滤器可以在分组(例如,TCP/IP)头部字段中实现,例如,L3协议类型、L4(第4层)端口等,其例如用于允许端点或EPG之间的入站或出站通信。
如本文所使用的,术语“L2输出”可以指代桥接连接。桥接连接可以连接同一网络的两个或更多个段,使得它们可以通信。在ACI框架中,L2输出可以是ACI结构(例如,结构120)和外部第2层网络(例如,交换机)之间的桥接(第2层)连接。
如本文所使用的,术语“L3输出”可以指代路由连接。路由第3层连接使用一组协议,该组协议确定数据所遵循的路径以便跨网络地从其源行进到其目的地。路由连接可以根据所选择的协议(例如,BGP(边界网关协议)、OSPF(开放式最短路径优先)、EIGRP(增强型内部网关路由协议)等)来执行转发(例如,IP转发)。
如本文所使用的,术语“管理对象”(MO)可以指代在网络(例如,网络环境100)中管理的对象的抽象表示。对象可以是具体对象(例如,交换机、服务器、适配器等)或逻辑对象(例如,应用简档、EPG、故障等)。MO可以是在网络中管理的网络资源或元素。例如,在ACI环境中,MO可以包括ACI结构(例如,结构120)资源的抽象。
如本文所使用的,术语“管理信息树”(MIT)可以指代包含系统的MO的分层管理信息树。例如,在ACI中,MIT包含ACI结构(例如,结构120)的MO。MIT也可以被称为管理信息模型(MIM),例如管理信息模型200。
如本文所使用的,术语“策略”可以指代用于控制系统或网络行为的某些方面的一个或多个规范。例如,策略可以包括命名实体,该命名实体包含用于控制系统行为的一些方面的规范。为了说明,第3层外部网络策略可以包含BGP协议,以在将结构120连接到外部第3层网络时使能BGP路由功能。
如本文所使用的,术语“简档”可以指代与策略相关联的配置细节。例如,简档可以包括命名实体,该实体包含用于实现策略的一个或多个实例的配置细节。为了说明,针对路由策略的交换机节点简档可以包含特定于交换机的配置细节以实现BGP路由协议。
如本文所使用的,术语“提供者”指代提供服务的对象或实体。例如,提供者可以是提供服务的EPG。
如本文所使用的,术语“主体”指代用于定义通信的契约中的一个或多个参数。例如,在ACI中,契约中的主体可以指定什么信息可以被传送以及如何被传送。主体的功能类似于ACL。
如本文所使用的,术语“租户”指代网络中的隔离单元。例如,租户可以是安全且排他的虚拟计算环境。在ACI中,租户可以是从策略角度看的隔离单元,但不一定代表私有网络。实际上,ACI租户可以包含多个私有网络(例如,VRF)。租户可以代表服务提供者设置中的消费者、企业设置中的组织或领域、或仅代表策略组。
如本文所使用的,术语“VRF”指代虚拟路由和转发实例。VRF可以定义第3层地址域,其允许路由表的多个实例存在并同时工作。这通过允许在不使用多个设备的情况下对网络路径进行分段来提高功能性。其也被称为情境或私有网络。
已经描述了本文使用的各种术语,本公开现在返回到对图2A中的管理信息模型(MIM)200的讨论。如前所述,MIM 200可以是分层管理信息树或MIT。此外,MIM 200可以由控制器116(例如,ACI中的APIC)管理和处理。控制器116可以通过将其可管理特性呈现为可以根据对象在模型的分层结构内的位置而继承的对象属性来实现对被管理资源的控制。
MIM 200的分层结构从位于顶部(根)的策略全集202开始并且包含双亲(parent)节点和子节点116、204、206、208、210、212。树中的节点116、202、204、206、208、210、212表示管理对象(MO)或对象组。结构(例如,结构120)中的每个对象具有唯一的可辨别名称(DN),其描述对象并定位其在树中的位置。节点116、202、204、206、208、210、212可以包括如下所述的各种MO,其包含统管系统的操作的策略。
控制器116
控制器116(例如,APIC控制器)可以为结构120提供管理、策略编程、应用部署和健康监控。
节点204
节点204包括用于使管理员能够执行基于域的访问控制的策略的租户容器。租户的非限制性示例可以包括:
管理员根据用户的需求定义的用户租户。它们包含统管资源(例如,应用、数据库、web服务器、网络附接存储、虚拟机等)的操作的策略。
共同租户由系统提供,但是可以由管理员配置。它包含统管所有租户可访问资源(例如,防火墙、负载平衡器、第4层到第7层服务、入侵检测设备等)的操作的策略。
基础设施租户由系统提供,但是可以由管理员配置。它包含统管基础设施资源(例如,结构覆盖(例如,VXLAN))的操作的策略。它还使得结构提供者能够选择性地将资源部署到一个或多个用户租户。基础设施租户策略可由管理员进行配置。
管理租户由系统提供,但是可以由管理员配置。它包含统管结构管理功能的操作的策略,这些功能用于对结构节点的带内和带外配置。管理租户包含用于控制器/结构内部通信的私有界外(out-of-bound)地址空间,该地址空间位于通过交换机的管理端口提供访问的结构数据路径之外。管理租户使能与虚拟机控制器的通信的发现和自动化。
节点206
节点206可以包含统管交换机访问端口的操作的访问策略,交换机访问端口提供到诸如存储、计算、第2层和第3层(桥接和路由)连通性、虚拟机管理程序、第4层到第7层设备等之类的资源的连接。如果租户需要除默认链路、思科发现协议(Cisco DiscoveryProtocol,CDP)、链路层发现协议(LLDP)、链路聚合控制协议(LACP)或生成树协议(STP)中提供的接口配置以外的接口配置,则管理员可以配置访问策略以在叶节点104的访问端口上使能此类配置。
节点206可以包含统管交换机结构端口的操作的结构策略,包括诸如网络时间协议(NTP)服务器同步、中间系统到中间系统协议(IS-IS)、边界网关协议(BGP)路由反射器、域名系统(DNS)等之类的功能。结构MO包含诸如电源、风扇、底座等之类的对象。
节点208
节点208可以包含VM域,其将具有类似的联网策略要求的VM控制器聚集起来。VM控制器可以共享虚拟空间(例如,VLAN或VXLAN空间)和应用EPG。控制器116与VM控制器通信以发布网络配置,例如随后应用于虚拟工作负载的端口组。
节点210
节点210可以包含第4层到第7层服务集成生命周期自动化框架,其使得系统能够在服务在线或离线时动态地做出响应。策略可以提供服务设备包和库存管理功能。
节点212
节点212可以包含统管结构120的用户权限、角色和安全域的访问、认证和计费(AAA)策略。
分层策略模型可以很好地适合API,例如REST API接口。调用时,API可以读取或写入MIT中的对象。URL可以直接映射到标识MIT中的对象的可辨别名称。例如,MIT中的数据可以被描述为以XML或JSON编码的自包含结构化树文本文档。
图2B示出了用于MIM 200的租户部分的示例对象模型220。如前所述,租户是用于使管理员能够执行基于域的访问控制的应用策略的逻辑容器。因此,租户代表了从策略角度看的隔离单元,但它不一定代表私有网络。租户可以代表服务提供者设置中的客户、企业设置中的组织或域、或者仅代表方便的策略分组。此外,租户可以彼此隔离或可以共享资源。
MIM 200的租户部分204A可以包括各种实体,并且租户部分204A中的实体可以从双亲实体继承策略。租户部分204A中的实体的非限制性示例可以包括过滤器240、契约236、外部网络222、桥接域230、VRF实例234、和应用简档224。
桥接域230可以包括子网232。契约236可以包括主体238。应用简档224可以包含一个或多个端点组226。一些应用可以包含多个组件。例如,电子商务应用可能需要web服务器、数据库服务器、位于存储区域网络中的数据、以及对允许实现金融交易的外部资源的访问。应用简档224包含与提供应用的能力在逻辑上相关的尽可能多(或少)的EPG。
端点组226可以以各种方式来组织,例如基于它们提供的应用、它们提供的功能(例如基础设施)、它们在数据中心(例如DMZ)的结构中的位置、或者结构或租户管理员选择使用的任何组织原则。
结构中的EPG可以包含各种类型的EPG,例如,应用EPG、第2层外部网络外实例EPG、第3层外部网络外实例EPG、用于带外或带内访问的管理EPG等。端点组226还可以包含属性228,例如基于封装的EPG、基于IP的EPG、或基于MAC的EPG。
如前所述,EPG可以包含具有共同特性或属性(例如,共同策略要求(例如,安全性、虚拟机移动性(VMM)、QoS、或第4层到第7层服务)的端点(例如,EP 122)。不是单独配置和管理端点,而是可以将它们放在EPG中并作为群组进行管理。
策略应用于EPG,包括它们所包含的端点。EPG可以由管理员在控制器116中静态配置,或者由诸如VCENTER或OPENSTACK之类的自动系统动态地配置。
为在租户部分204A中激活租户策略,应配置结构访问策略并将其与租户策略相关联。访问策略使管理员能够配置其他网络配置,例如,端口信道和虚拟端口信道,诸如LLDP、CDP或LACP之类的协议,以及诸如监控或诊断之类的特征。
图2C示出了MIM 200中的租户实体和访问实体的示例关联260。策略全集202包含租户部分204A和访问部分206A。因此,租户部分204A和访问部分206A通过策略全集202相关联。
访问部分206A可以包含结构和基础设施访问策略。通常,在策略模型中,EPG与VLAN耦合。例如,为使流量流过,EPG被部署在具有在物理、VMM、L2输出、L3输出或光纤信道域中的VLAN的叶端口上。
因此,访问部分206A包含域简档250,其可以定义例如要与EPG相关联的物理、VMM、L2输出、L3输出或光纤信道域。域简档250包含VLAN实例简档252(例如,VLAN池)和可附接访问实体简档(AEP)254,它们直接与应用EPG相关联。AEP 254将关联的应用EPG部署到它所附接的端口,并自动执行分配VLAN的任务。虽然大型数据中心可以在数百个VLAN上配有数千个活动的VM,但结构120可以自动从VLAN池分配VLAN ID。与在传统数据中心中中继(trunkdown)VLAN相比,这节省了时间。
图2D示出了诸如网络环境100之类的网络的示例模型的示意图。可以基于与MIM200中定义的各种对象、策略、属性和元素相关联的特定配置和/或网络状态参数来生成模型。模型可以被实现用于网络分析和保证,并且可以在实现的各个阶段和网络的各个级别提供对网络的描述。
如图所示,模型可以包括L_模型270A(逻辑模型)、LR_模型270B(逻辑呈现模型或逻辑运行时模型)、Li_模型272(针对i的逻辑模型)、Ci_模型274(针对i的具体模型)和/或Hi_模型276(针对i的硬件模型或TCAM模型)。
L_模型270A是在网络(例如,网络环境100)中配置的MIM 200中的各种元素(例如,如网络中配置的MIM 200中的对象、对象属性、对象关系和其他元素)的逻辑表示。控制器116可以基于针对网络而输入在控制器116中的配置来生成L_模型270A,并且因此L_模型270A表示控制器116处的网络的逻辑配置。这是对在网络实体(例如,应用、租户等)的元素被连接并且结构120被控制器116配设时所期望的“结束状态”表述的声明。因为L_模型270A表示输入在控制器116中的配置(包括MIM200中的对象和关系),它还可以反映管理员的“意图”:管理员希望网络和网络元件如何运作。
L_模型270A可以是结构或网络范围的逻辑模型。例如,L_模型270A可以描述来自每个控制器116的配置和对象。如前所述,网络环境100可以包括多个控制器116。在一些情况下,两个或更多个控制器116可以包括用于网络的不同配置或逻辑模型。在这种情况下,L_模型270A可以获得来自控制器116的配置或逻辑模型中的任一者,并基于来自所有控制器116的配置和逻辑模型来生成结构或网络范围的逻辑模型。因此,L_模型270A可以在控制器116之间合并配置或逻辑模型,以提供综合的逻辑模型。L_模型270A还可以解决或解释可能由不同控制器116处的配置或逻辑模型导致的任何依赖性、冗余、冲突等。
LR_模型270B是控制器116(例如,ACI中的APIC)从L_模型270A中解析的抽象模型表述。LR_模型270B可以提供将被递送到物理基础设施(例如,结构120)以执行一个或多个策略的配置组件。例如,LR_模型270B可以被递送到结构120中的叶节点104,以将叶节点104配置用于与附接的端点122通信。LR_模型270B还可以包含状态信息以捕获网络(例如,结构120)的运行时状态。
在一些情况下,LR_模型270B可以提供L_模型270A的表示,其根据可以传播到结构120的物理基础设施(例如,叶节点104、脊节点102等)和/或被结构120的物理基础设施所理解的特定格式或表述来标准化。例如,LR_模型270B可以将L_模型270A中的元素与可以由结构120中的交换机解释和/或编译的特定标识符或标签(例如,用作分类符的硬件平面标识符)相关联。
Li_模型272是从L_模型270A和/或LR_模型270B获得的交换机级或特定于交换机的模型。Li_模型272可以将L_模型270A和/或LR_模型270B投射在特定交换机或设备i上,因此可以传达L_模型270A和/或LR_模型270B应该如何出现在特定交换机或设备i处或如何在特定交换机或设备i处实现。
例如,Li_模型272可以投射与特定交换机i有关的L_模型270A和/或LR_模型270B,以捕获L_模型270A和/或LR_模型270B在交换机i处的交换机级表示。为了说明,Li_模型272L1可以表示投射到叶节点1(104)或在叶节点1(104)处实现的L_模型270A和/或LR_模型270B。因此,对于结构120上的个体设备(例如,叶节点104、脊节点102等),可以从L_模型270A和/或LR_模型270B生成Li_模型272。
在一些情况下,可以使用JSON(JavaScript对象表示法)来表示Li_模型272。例如,Li_模型272可以包括JSON对象,例如规则、过滤器、条目和范围。
Ci_模型274是在单独的结构成员i(例如,交换机i)处的实际状态内(in-state)配置。换句话说,Ci_模型274是基于Li_模型272的交换机级或特定于交换机的模型。例如,控制器116可以将Li_模型272递送到叶节点1(104)。叶节点1(104)可以采用Li_模型272(其可以特定于叶节点1(104)),并且叶节点1(104)可以将Li_模型272中的策略呈现为在叶节点1(104)上运行的具体模型Ci_模型274。例如,叶节点1(104)可以通过叶节点1(104)上的OS来呈现Li_模型272。因此,Ci_模型274可以类似于经编译的软件,因为它采用叶节点1(104)处的交换机OS可以执行的Li_模型272的形式。
在一些情况下,Li_模型272和Ci_模型274可以具有相同或相似的格式。例如,Li_模型272和Ci_模型274可以基于JSON对象。具有相同或相似格式可以协助Li_模型272和Ci_模型274中的对象进行比较以确定是否对等或一致。如本文进一步描述的,这种对等性或一致性检查可以用于网络分析和保证。
Hi_模型276也是针对交换机i的交换机级或特定于交换机的模型,但是基于针对交换机i的Ci_模型274。Hi_模型276是在单独的结构成员i(例如,交换机i)处的硬件或存储器(例如,TCAM存储器)上存储或呈现的实际配置(例如,规则)。例如,Hi_模型276可以表示叶节点1(104)基于叶节点1(104)处的Ci_模型274在叶节点1(104)的硬件(例如,TCAM存储器)上存储或呈现的配置(例如,规则)。叶节点1(104)处的交换机OS可以呈现或执行Ci_模型274,并且叶节点1(104)可以存储或呈现来自存储设备(例如,叶节点1(104)处的存储器或TCAM)中的Ci_模型274的配置。来自由叶节点1(104)存储或呈现的Hi_模型276的配置表示在处理流量时将由叶节点1(104)实现的配置。
虽然模型272、274、276被示出为特定于设备的模型,但是类似的模型可以针对结构120中的结构成员(例如,叶节点104和/或脊节点102)的集合而生成或聚合。当被组合时,特定于设备的模型(例如模型272、模型274和/或模型276)可以提供超出特定设备的结构120的表示。例如,在一些情况下,可以组合或聚合与一些或所有各个结构成员(例如,叶节点104和脊节点102)相关联的Li_模型272、Ci_模型274和/或Hi_模型276,以基于各个结构成员生成一个或多个聚合模型。
如本文所提及的,术语H模型、T模型和TCAM模型可以互换使用以指代硬件模型,例如Hi_模型276。例如,Ti模型、Hi模型和TCAMi模型可以互换使用,以指代Hi_模型276。
模型270A、270B、272、274、276可以提供网络的各个方面或MIM200的各个配置阶段的表示。例如,模型270A、270B、272、274、276中的一个或多个可以用于生成表示结构120的一个或多个方面(例如,底层拓扑、路由等)的底层模型278,表示网络环境100的覆盖或(一个或多个)逻辑段的一个或多个方面(例如,COOP、MPBGP、租户、VRF、VLAN、VXLAN、虚拟应用、VM、管理程序、虚拟交换等)的覆盖模型280,表示MIM 200中的租户部分204A的一个或多个方面(例如,安全性、转发、服务链、QoS、VRF、BD、契约、过滤器、EPG、子网等)的租户模型282,表示网络环境100中的一个或多个资源(例如,存储、计算、VM、端口信道、物理元件等)的资源模型284,等等。
通常,L_模型270A可以是存在于LR_模型270B中的内容的高级表述,其应当在具体设备上被呈现为Ci_模型274和Hi_模型276表述。如果模型之间存在任何间隙,则可能存在不一致的配置或问题。
图3A示出了用于网络保证的示例保证设备300的图。在该示例中,保证设备300可以包括以集群模式操作的k个VM 110。在此示例中为了解释的目的而使用VM。然而,应该理解,本文还设想了其他配置,例如,使用容器、裸金属设备、端点122、或任何其他物理或逻辑系统。此外,例如,虽然图3A示出了集群模式配置,但是本文还设想了其他配置,例如单模式配置(例如,单个VM、容器或服务器)或服务链。
保证设备300可以在一个或多个服务器106、VM 110、管理程序108、EP 122、叶节点104、控制器116或任何其他系统或资源上运行。例如,保证设备300可以是在网络环境100中的一个或多个VM 110上运行的逻辑服务或应用。
保证设备300可以包括数据框架308,其可以基于例如APACHE APEX和HADOOP。在一些情况下,保证检查可以被编写为驻留在数据框架308中的个体操作器(operator)。这允许实现本地水平扩展架构,其能够扩展到结构120(例如,ACI结构)中的任意数量的交换机。
保证设备300可以以可配置的周期(例如,时段)轮询结构120。分析工作流可以被设置为操作器310的DAG(有向无环图),其中数据从一个操作器流向另一操作器,并且最终生成结果并且针对每个间隔(例如,每个时段)将结果永久保存到数据库302。
上层(north-tier)实现API服务器(例如,APACHE Tomcat、Spring框架)304和Web服务器306。图形用户界面(GUI)经由暴露给客户的API进行交互。客户还可以使用这些API来从保证设备300收集数据,以进一步集成到其他工具中。
数据框架308(例如,APEX/Hadoop)中的操作器310可以一起支持保证操作。以下是保证设备300可以通过操作器310执行的保证操作的非限制性示例。
安全性策略遵守
保证设备300可以检查以确保来自可以反映用户对网络的意图的L_模型270A的配置或规范(包括例如安全性策略和客户配置的契约)被正确地实现和/或呈现在Li_模型272、Ci_模型274和Hi_模型276中并且因此由结构成员(例如,叶节点104)适当地实现和呈现,并且报告任何发现的错误、契约违反或不规则。
静态策略分析
保证设备300可以检查用户的一个或多个意图的规范中的问题(例如,识别L_模型270A中的矛盾或冲突的策略)。
TCAM利用率
TCAM是结构(例如,结构120)中的稀缺资源。然而,保证设备300可以通过网络数据(例如,最长前缀匹配(LPM)表、路由表、VLAN表、BGP更新等)、契约、逻辑组118(例如,EPG)、租户、脊节点102、叶节点104、和网络环境100中的其他维度和/或MIM 200中的对象来分析TCAM利用率,以向网络运营商或用户提供对该稀缺资源的利用率的可见性。这对规划和其他优化目的有很大帮助。
端点检查
保证设备300可以验证结构(例如,结构120)在所注册的端点信息中没有不一致(例如,两个叶节点宣告相同的端点、重复的子网等),以及其他这样的检查。
租户路由检查
保证设备300可以验证BD、VRF、子网(内部和外部两者)、VLAN、契约、过滤器、应用、EPG等被正确地编程。
基础设施路由
保证设备300可以验证基础设施路由(例如,IS-IS协议)没有导致黑洞、环路、振荡(flap)的收敛问题和其他问题。
MP-BGP路由反射检查
网络结构(例如,结构120)可以与其他外部网络接口连接,并通过一个或多个协议(例如,边界网关协议(BGP)、开放式最短路径优先(OSPF)等)提供到它们的连接。通过例如MP-BGP在网络结构内通告已获知的路由。这些检查可以保证通过例如MP-BGP(例如,来自边界叶节点)的路由反射服务不具有健康问题。
逻辑线头(Lint)和实时变化分析
保证设备300可以验证网络的规范(例如,L_模型270A)中的规则是完整的并且没有不一致或其他问题。可以由保证设备300通过在L_模型270A和/或MIM 200中的MO的相关联的配置上执行的语法和语义检查来检查MIM 200中的MO。保证设备300还可以验证不必要的、陈旧的、未使用的或冗余的配置(例如契约)被移除。
图3B示出了用于网络保证的示例系统350(例如,保证设备300)的架构图。在一些情况下,系统350可以对应于先前关于图3A所讨论的操作器310的DAG。
在该示例中,拓扑探测器312与控制器116(例如,APIC控制器)通信,以便发现或以其他方式构建结构120的综合拓扑视图(例如,脊节点102、叶节点104、控制器116、端点122、和任何其他组件及其互连)。虽然各种架构组件以单个盒装方式来表示,但是应理解,给定的架构组件(例如,拓扑探测器312)可对应于一个或多个个体操作器310,并且可以包括一个或多个节点或端点,例如一个或多个服务器、VM、容器、应用、服务功能(例如,服务链中的功能或虚拟化网络功能)等。
拓扑探测器312被配置为发现结构120中的节点,例如,控制器116、叶节点104、脊节点102等。拓扑探测器312还可以检测在控制器116之间执行的多数选举,并确定控制器116之间是否存在规定数量(quorum)。如果不存在规定数量或多数,则拓扑探测器312可以触发事件并警告用户控制器116之间存在配置或其他错误,其阻止达到规定数量或多数。拓扑探测器312可以检测作为结构120的一部分的叶节点104和脊节点102,并将其相应的带外管理网络地址(例如,IP地址)发布到下游服务。这可以是在拓扑探测器312发现时段(例如,5分钟或某个其他指定间隔)结束时发布到下游服务的拓扑视图的一部分。
在一些示例中,拓扑探测器312可以接收与网络/结构(例如,结构120)相关联的控制器116(例如,APIC控制器)的列表作为输入。拓扑探测器312还可以接收相应的证书以登录到每个控制器。拓扑探测器312可以使用例如REST调用从每个控制器取回信息。拓扑探测器312可以从每个控制器获得该控制器知道的节点列表(例如,叶节点104和脊节点102)及其相关联的属性。拓扑探测器312可以从控制器116获得节点信息,包括但不限于,IP地址、节点标识符、节点名称、节点域、节点URI、节点_dm、节点角色、节点版本等。
拓扑探测器312还可以确定控制器116是否是规定数量的,或者它们之间是否充分地以通信方式耦合。例如,如果存在n个控制器,则当(n/2+1)个控制器知道彼此和/或以通信方式耦合时,可以满足规定数量的条件。拓扑探测器312可以通过解析从控制器返回的数据并识别其组成节点之间的通信耦合来确定规定数量(或识别任何失败的节点或控制器)。拓扑探测器312可以识别网络中每个节点的类型,例如,脊节点、叶节点、APIC等,并将该信息包括在所生成的拓扑信息中(例如,拓扑图或模型)。
如果不存在规定数量,则拓扑探测器312可以触发事件并警告用户需要重新配置或适当注意。如果存在规定数量,则拓扑探测器312可以将网络拓扑信息编译为JSON对象,并将其向下游传递给其他操作器或服务,例如统一收集器314。
统一收集器314可以从拓扑探测器312接收拓扑视图或模型,并使用拓扑信息以从结构120收集用于网络保证的信息。统一收集器314可以轮询结构120中的节点(例如,控制器116、叶节点104、脊节点102等)以从这些节点收集信息。
统一收集器314可以包括一个或多个收集器(例如,收集器设备、操作器、应用、VM等),其被配置为从拓扑探测器312和/或结构120中的节点收集信息。例如,统一收集器314可以包括收集器集群,并且可以将每个收集器分配给拓扑模型和/或结构120内的节点的子集,以便从其被分配的节点的子集收集信息。为提高性能,统一收集器314可以以并行、多线程方式运行。
统一收集器314可以跨各个收集器实现负载平衡,以提高整个收集过程的效率。可以通过管理节点的子集到收集器的分布来优化负载平衡,例如通过随机地将节点散布到收集器。
在一些情况下,保证设备300可以运行统一收集器314的多个实例。这还可以允许保证设备300通过分片(sharding)和/或负载平衡来针对拓扑结构(例如,包括脊节点102、叶节点104、控制器116等的结构120)中的每个节点分布收集数据的任务,以及将收集任务和/或节点映射到统一收集器314的特定实例,其中跨越节点的数据收集由统一收集器314的各个实例并行执行。在给定节点内,可以串行地执行命令和数据收集。保证设备300可以控制统一收集器314的每个实例用于从结构120轮询数据的线程的数量。
统一收集器314可以收集来自控制器116的模型(例如,L_模型270A和/或LR_模型270B),来自结构120中的节点(例如,叶节点104和/或脊节点102)的交换机软件配置和模型(例如,Ci_模型274),来自结构120中的节点(例如,叶节点104和/或脊节点102)的硬件配置和模型(例如,Hi_模型276)等。统一收集器314可以收集来自各个节点或结构成员(例如,叶节点104和脊节点102)的Ci_模型274和Hi_模型276,以及来自网络环境100中的一个或多个控制器(例如,控制器116)的L_模型270A和/或LR_模型270B。
统一收集器314可以轮询拓扑探测器312发现的设备,以便从结构120(例如,从结构的组成成员)收集数据。统一收集器314可以使用由控制器116和/或交换机软件(例如,交换机OS)暴露的接口(包括例如表示状态转移(REST)接口和安全外壳(SSH)接口)来收集数据。
在一些情况下,统一收集器314经由REST API收集L_模型270A、LR_模型270B和/或Ci_模型274,并且经由SSH、使用交换机软件所提供的实用程序(例如,用于访问交换机命令行接口(CLI)的虚拟壳(VSH或VSHELL)或用于访问线卡的运行时状态的VSH_LC壳)收集硬件信息(例如,配置、表、结构卡信息、规则、路由等)。
统一收集器314可以轮询来自控制器116的其他信息,包括但不限于:拓扑信息、租户转发/路由信息、租户安全性策略、契约、接口策略、物理域或VMM域信息、结构中的节点的OOB(带外)管理IP等。
统一收集器314还可以轮询来自结构120中的节点(例如,叶节点104和脊节点102)的信息,包括但不限于:用于VLAN、BD和安全性策略的Ci_模型274;节点(例如,叶节点104和/或脊节点102)的链路层发现协议(LLDP)连通性信息;来自EPM/COOP的端点信息;来自脊节点102的结构卡信息;来自结构120中的节点的路由信息库(RIB)表;来自结构120中的节点的转发信息库(FIB)表;来自结构120中的节点的安全组硬件表(例如,TCAM表);等等。
在一些情况下,统一收集器314可以从网络获得运行时状态并且将运行时状态信息合并到L_模型270A和/或LR_模型270B中。统一收集器314还可以从控制器116获得多个逻辑模型,并基于逻辑模型生成综合或网络范围的逻辑模型(例如,L_模型270A和/或LR_模型270B)。统一收集器314可以比较来自控制器116的逻辑模型,解决依赖性,移除冗余等,并为整个网络或结构生成单个L_模型270A和/或LR_模型270B。
统一收集器314可以跨控制器116和结构节点或成员(例如,叶节点104和/或脊节点102)收集整个网络状态。例如,统一收集器314可以使用REST接口和SSH接口来收集网络状态。统一收集器314收集的该信息可以包括与链路层、VLAN、BD、VRF、安全性策略等有关的数据。可以在LR_模型270B中表示状态信息,如前所述。然后,统一收集器314可以将收集的信息和模型发布给对此类信息感兴趣或需要此类信息的任何下游操作器。统一收集器314可以在接收到信息时发布信息,使得数据被流送到下游操作器。
统一收集器314所收集的数据可以被压缩并发送到下游服务。在一些示例中,统一收集器314可以以在线方式或实时方式收集数据,并在收集数据时向下游发送数据以供进一步分析。在一些示例中,统一收集器314可以以离线方式收集数据,并且编译数据以供稍后分析或传输。
保证设备300可以联系控制器116、脊节点102、叶节点104和其他节点以收集各种类型的数据。在一些场景中,保证设备300可能经历失败(例如,连通性问题、硬件或软件错误等),这使其在一段时间内无法收集数据。保证设备300可以无缝地处理这种失败,并基于这样的失败生成事件。
交换机逻辑策略生成器316可以从统一收集器314接收L_模型270A和/或LR_模型270B,并且为结构120中的每个网络设备i(例如,交换机i)计算Li_模型272。例如,交换机逻辑策略生成器316可以接收L_模型270A和/或LR_模型270B并通过为结构120中的每个单独节点i(例如,脊节点102和/或叶节点104)投射逻辑模型来生成Li_模型272。交换机逻辑策略生成器316可以为结构120中的每个交换机生成Li_模型272,从而为每个交换机创建基于L_模型270A和/或LR_模型270B的交换机逻辑模型。
每个Li_模型272可以表示在结构120中的相应网络设备i(例如,交换机i)处投射或应用的L_模型270A和/或LR_模型270B。在一些情况下,可以以与相应网络设备兼容的方式将Li_模型272标准化或格式化。例如,可以以可由相应网络设备读取或执行的方式将Li_模型272格式化。为进行说明,Li_模型272可以包括可由相应网络设备解析的特定标识符(例如,控制器116用作分类符的硬件平面标识符等)或标签(例如,策略组标签)。在一些情况下,Li_模型272可以包括JSON对象。例如,Li_模型272可以包括JSON对象来表示规则、过滤器、条目、范围等。
用于Li_模型272的格式可以与Ci_模型274的格式相同或一致。例如,Li_模型272和Ci_模型274两者都可以基于JSON对象。类似或匹配的格式可以使Li_模型272和Ci_模型274能够进行对等性或一致性的比较。这种对等性检查可以有助于网络分析和保证,如本文进一步解释的。
交换机逻辑策略生成器316还可以执行变化分析并生成针对在L_模型270A和/或LR_模型270B中发现的问题的线头事件(lint event)或记录。线头事件或记录可用于经由事件生成器来为用户或网络运营商生成警报,该事件生成器被耦合以从交换机逻辑策略生成器316接收线头事件。
策略操作器318可以针对每个交换机从统一收集器314接收Ci_模型274和Hi_模型276,并且针对每个交换机从交换机逻辑策略生成器316接收Li_模型272,并且基于Ci_模型274、Hi_模型276和Li_模型272执行保证检查和分析(例如,安全性遵守检查、TCAM利用率分析等)。策略操作器318可以通过比较模型中的一个或多个来逐个交换机地执行保证检查。策略操作器318的输出可被传递到事件生成器(未示出),该事件生成器可以针对外部消耗生成警告事件,其中这些事件与包括策略违规的安全性违规或利用率统计(例如TCAM使用)相对应。此类事件由网络生成器确定的异常或意外网络事件触发,而通知事件可能是在没有任何违规的情况下在执行使用率分析和安全性遵守检查的正常过程中触发的。
返回到统一收集器314,统一收集器314还可以将L_模型270A和/或LR_模型270B发送到路由策略解析器320(针对L模型),并且将Ci_模型274和Hi_模型276发送到路由解析器326(针对C模型和H模型)。路由策略解析器320可以接收L_模型270A和/或LR_模型270B,并解析(一个或多个)模型以获得与下游操作器(例如端点检查器322和租户路由检查器324)相关的信息。类似地,路由解析器326可以接收Ci_模型274和Hi_模型276,并解析每个模型以获得针对下游操作器(端点检查器322和租户路由检查器324)的信息。
在解析Ci_模型274、Hi_模型276、L_模型270A和/或LR_模型270B之后,路由策略解析器320和/或路由解析器326可以将清理的协议缓冲区(Proto Buff)发送到下游操作器(端点检查器322和租户路由检查器324)。然后,端点检查器322可以向事件生成器传送与端点违规相关的信息,例如重复的IP、APIPA等,该事件生成器能够针对外部消耗或监视生成事件。类似地,租户路由检查器324可以向同一或不同事件生成器传送与BD、VRF、子网、路由表前缀等的部署相关的信息,该事件生成器能够针对外部消耗或监视生成事件。
图3C示出了用于网络(例如,网络环境100)中的静态策略分析的示例系统的示意图。静态策略分析器360可以执行保证检查,以检测配置违规、逻辑线头事件、矛盾或冲突的策略、未使用的契约、不完整的配置等。静态策略分析器360可以检查L_模型270A中用户的一个或多个意图的规范,以确定控制器116中是否有任何配置与用户的一个或多个意图的规范不一致。
静态策略分析器360可以包括在保证设备300中执行或容宿的操作器310中的一个或多个。然而,在其他配置中,静态策略分析器360可运行与操作器310和/或保证设备300分离的一个或多个操作器或引擎。例如,静态策略分析器360可以是VM、VM集群、或服务功能链中的端点的集合。
静态策略分析器360可以从逻辑模型收集过程366接收L_模型270A并且接收为L_模型270A中的每个特征(例如,对象)定义的规则368作为输入。规则368可以基于MIM 200中的对象、关系、定义、配置、以及任何其他特征。规则368可以指定条件、关系、参数、和/或用于识别配置违规或问题的任何其他信息。
此外,规则368可以包括用于识别语法违规或问题的信息。例如,规则368可包括用于执行语法检查的一个或多个规则。语法检查可以验证L_模型270A的配置是否完整,并且可以帮助识别未使用的配置或规则。语法检查还可验证分层MIM 200中的配置是否完整(已定义),并识别已定义但未使用的任何配置。为进行说明,规则368可以指定L_模型270A中的每个租户都应被配置一个情境;L_模型270A中的每个契约都应指定提供者EPG和消费者EPG;L_模型270A中的每个契约都应指定主体、过滤器和/或端口;等等。
规则368还可以包括用于执行语义检查和识别语义违规或问题的规则。语义检查可以检查冲突的规则或配置。例如,规则1和规则2可能有影子问题,规则1可能比规则2更具体,从而产生冲突/问题,等等。规则368可以定义可能导致影子规则、冲突规则等的条件。为进行说明,规则368可以指定如果针对两个对象之间的特定通信的允许策略的优先级高于针对两个对象之间的同一通信的拒绝策略,则该允许策略可能与该拒绝策略相冲突,或者针对对象的一种规则使得另一规则显得不必要。
静态策略分析器360可以将规则368应用于L_模型270A,以检查L_模型270A中的配置,并基于检测到的任何问题而输出配置违规事件370(例如,警报、日志、通知等)。配置违规事件370可以包括语义或语义问题,例如,不完整的配置、冲突的配置、别名/影子规则、未使用的配置、错误、策略违反、配置错误的对象、不完整的配置、不正确的契约范围、不正确的对象关系等。
在一些情况下,静态策略分析器360可以迭代遍历基于L_模型270A和/或MIM 200生成的树中的每个节点,并在树中的每个节点上应用规则368以确定是否有任何节点发生违规(例如,不完整的配置、不恰当的配置、未使用的配置等)。当静态策略分析器360检测到任何违规时,它可以输出配置违规事件370。
图4示出了网络保证模型的示例流程图。在步骤400,该方法涉及数据收集。数据收集可以包括针对运营商意图的数据的收集,例如,结构数据(例如,拓扑结构、交换机、接口策略、应用策略、端点组等)、网络策略(例如,BD、VRF、L2输出(L2Out)、L3输出(L3Out)、协议配置等)、安全性策略(例如,契约、过滤器等)、服务链策略等等。数据收集还可包括针对具体硬件模型的数据,例如,网络配置(例如,RIB/FIB、VLAN、MAC、ISIS、DB、BGP、OSPF、ARP、VPC、LLDP、MTU、QoS等)、安全性策略(例如,TCAM、ECMP表等)、端点动态(例如,EPM、COOP EPDB等)、统计信息(例如,TCAM规则命中、接口计数器、带宽等)。
在步骤402,该方法可以涉及形式建模和分析。形式建模和分析可以涉及确定逻辑模型与硬件模型之间的对等关系,例如,模型之间的安全性策略等。
在步骤404,该方法可以涉及智能事件生成。可以使用深度对象分层结构来生成智能事件以进行详细分析,例如:租户,叶节点,VRF,规则;过滤器,路由,前缀,端口号。
在步骤406,该方法可以涉及可视化。可以在用户友好的GUI中使用形式模型来识别问题以进行分析和调试。
每个先前描述的模型(Li、Ci和Hi)都是以一种方式或另一方式从初始L模型得出的,该初始L模型是由用户或网络运营商在APIC或网络控制器处配置的。例如,Li模型是结构范围的L模型到网络结构中每个叶节点、脊节点、交换机、节点等i的逻辑投影;Ci模型是使L模型具体地呈现为与上述结构元素兼容的格式;以及Hi模型是Ci模型的硬件表示,由交换机存储器控制器存储在交换机存储器中。
因此,用于得出Li、Ci和Hi模型的每个变换都提供了错误或错误配置的机会,这从网络运营商的角度来看是不期望的。这些错误可能是由于软件缺陷、用户错误、硬件差异、存储器错误、溢出问题、以及本领域普通技术人员应理解的其他原因导致的。在一些实施例中,每个模型可以由数千个或数万个不同的规则组成,这些规则共同表示原始L模型中所配置的意图,并且当在不同的模型之间进行转换时,必须保留这些不同的规则中的每一者。
验证Li、Ci和Hi模型的先前方法依赖于蛮力,将每个模型视为黑匣子,并在给定相同输入的情况下简单地比较模型的输出。如果两个模型针对同一给定输入产生不同的输出,则这种方法可能指示缺乏对等性,但无法提供任何关于为何存在冲突的见解。具体地,黑匣子方法无法提供有关每个模型中存在冲突的特定规则的特定信息,或有关最终导致冲突发生的由用户或网络运营商配置的特定契约或意图的特定信息。
与其使用蛮力来确定网络意图的两个输入模型的对等性,不如将网络意图模型表示为精简的有序二元决策图(ROBDD),其中每个ROBDD对输入规则及其优先级排序都是正则的(唯一的)。首先将每个网络意图模型转换为优先级排序规则的扁平列表(例如,由客户或网络运营商定义的契约是在EPG之间定义的,并且规则是这些契约的特定节点到节点实现方式)。在图5A中描绘的示例架构500中,在形式分析引擎502的ROBDD生成器530处接收针对多个网络意图的模型506(这里示出为模型Li、Hi和Ci)的经优先级排序的规则的扁平列表作为输入。这些规则可以表示为布尔函数,其中每个规则包括动作(例如,允许(Permit)、允许_日志(Permit_Log)、拒绝(Deny)、拒绝_日志(Deny_Log))和将触发该动作的条件集合(例如,分组源、目的地、端口、头部等的各种配置)。例如,简单规则可以被设计为允许端口80上的所有流量。在一些实施例中,每个规则可能是147位字符串,其中有13个键值对字段。
如图所示,ROBDD生成器530针对每个输入模型506生成ROBDD,即,Li的LBDD、Hi的HBDD、以及Ci的CBDD。从这些ROBDD中,可以通过对等性检查器540检查网络意图模型的任何两个或多个ROBDD的形式对等性,该对等性检查器构建对输入ROBDD之间的冲突区域进行编码的ROBDD 542,例如,所示的输入对(LBDD,HBDD)、(LBDD,CBDD)和(HBDD,CBDD)。特别地,冲突ROBDD对输入ROBDD之间的冲突区域进行编码。例如,对等性检查器540可以通过计算LBDD、与HBDD之间的异或(作为LBDD⊕HBDD被给出)来检查LBDD与HBDD的形式等效性。
对等性检查器540然后将冲突ROBDD 542发送到冲突规则标识器550。如图所示,冲突规则标识器550可以另外接收网络意图的底层模型506(例如,Li、Hi、和Ci),这些底层模型是作为到形式分析引擎502的输入被接收的。继续先前的示例,其中针对LBDD和HBDD计算了冲突ROBDD,通过在HBDD上进行迭代并计算HBDD的每个个体构成规则与冲突ROBDD LBDD⊕HBDD之间的交集而识别特定冲突规则552。如果交集不为零,则HBDD的给定规则为冲突规则。可以对LBDD的每个个体构成规则执行类似的处理,从而形成针对在特定冲突ROBDD 542中表示的(在多个模型506中的)每个模型的冲突规则的列表。冲突规则标识器550也可能将网络意图的模型506之一作为参考标准,其中该模型被假定为是正确的。因此,冲突规则标识器550仅需要计算冲突ROBDD 542和来自非参考模型的规则集的交集。例如,用户意图的Li模型可以视为参考或标准,因为它是直接从用户输入(例如是在网络控制器或APIC处接收到的)得出的。另一方面,Hi模型在最终由交换机存储器控制器呈现为硬件形式之前,经过了几次转换,因此更有可能出错。因此,冲突规则标识器550将仅对于Hi模型中的每个规则j计算(LBDD⊕HBDD)*Hj,这可以将所需的计算时间减少大约一半。
无论是针对网络意图的两个输入模型识别出冲突规则,还是仅针对网络意图的非参考模型识别出冲突规则,冲突规则标识器550随后都将计算出的冲突规则552输出到事件生成器570。如图所示,事件生成器570还可以从对等性检查器540接收冲突ROBDD 542的副本,该副本与在计算出的冲突规则552内编码的网络意图的相同模型相对应。根据这两个输入,事件生成器570可操作来生成针对外部消费的各种事件572。下面列出了可以由事件生成器570响应于来自形式分析引擎502的输入而生成的各种事件,但该列表并不作为限制被呈现。在此示例中,列出的事件对应于两个主要的等效性检查情景。首先是Li模型与Ci模型的比较(LBDD与CBDD,如对等性检查器540的输入所示),这验证在逻辑Li模型中编码的意图是否被正确推入如在Ci模型中表示的交换机软件。然后是Li模型与Hi模型的比较(LBDD与HBDD,如对等性检查器540的输入所示),这验证在在逻辑Li模型中编码的意图是否被正确地呈现在如Hi模型中表示的交换机硬件中。
PERMIT_TRAFFIC_MAY_BE_BLOCKED(允许流量可被阻止)。当包括具有动作允许(PERMIT)的主体、过滤器或过滤器条目(filter_entry)的契约未被完全正确实施时,将引发此事件。错误实施可能是由于在交换机TCAM中发生冲突的过时规则(即Li与Hi模型冲突),或者规则未被正确推送到交换机软件(Li与Ci模型冲突)而引起的。
DENY_TRAFFIC_MAY_BE_PERMITTED(拒绝流量可被允许)。当包括具有拒绝(DENY)动作的主体、过滤器或过滤器条目的契约未被完全正确实施时,将引发此事件。错误实施可能是由于在交换机TCAM中发生冲突的过时规则(即Li与Hi模型冲突),或者规则未被正确推送到交换机软件中(Li与Ci模型冲突)而引起的。
PERMIT_LOG_ACTION_VIOLATION(允许日志动作违规)。当包括具有允许、日志(LOG)动作的主体、过滤器或过滤器条目的契约未被完全正确实施时,将引发此事件。错误实施可能是由于在交换机TCAM中发生冲突的过时规则(即Li与Hi模型冲突),或者规则未被正确推送到交换机软件中(Li与Ci模型冲突)而引起的。
DENY_LOG_ACTION_VIOLATION(拒绝日志动作违规)。当包括具有拒绝、日志动作的主体、过滤器或过滤器条目的契约未被完全正确实施时,将引发此事件。错误实施可能是由于在交换机TCAM中发生冲突的过时规则(即Li与Hi模型冲突),或者规则未被正确推送到交换机软件中(Li与Ci模型冲突)而引起的。
ENFORCED_VRF_POLICY_VIOLATION(实施VRF策略违规)。当给定的VRF处于实施(ENFORCED)状态中时,将引发此事件,但是会发现应该正确编程的默认规则实际上包含违规。这种错误的规则编程可能是由于在交换机TCAM中发生冲突的过时规则(即Li与Hi模型冲突),或者在规则未被正确推送到交换机软件中的情况下(Li与Ci模型冲突)导致的。
UNENFORCED_VRF_POLICY_VIOLATION(未实施VRF策略违规)。当给定的VRF处于未实施(UNENFORCED状态中时),将引发此事件,但是会发现应该正确编程的默认规则实际上包含违规。这种错误的规则编程可能是由于在交换机TCAM中发生冲突的过时规则(即Li与Hi模型冲突),或者在规则未被正确推送到交换机软件中的情况下(Li与Ci模型冲突)导致的。
*_ENFORCED(*实施)。对于上述事件中的每一者,还存在发信号通知已在TCAM中正确实施了契约(即Li和Hi一致)的相关联肯定事件,(也可能存在发信号通知已将契约正确地推送到交换机软件中(即Li和Ci一致)的相关联肯定事件)。例如,PERMIT_TRAFFIC_POLICY_ENFORCED(允许流量策略实施)发信号通知具有允许动作规则的契约已被正确表示。
应当理解,对应于网络保证的附加事件572也可以由事件生成器570生成,并且上面的列表是出于示例性目的而提供的,并非是详尽的。此外,应当理解,所生成的事件可以额外地包括所建议的修复,其中事件生成器570利用网络状态的可用的综合特征以及网络底层的网络意图的构成模型506,以确定将解决触发该事件的任何冲突的一个或多个所建议的修复。
对于每个事件572,事件生成器570可以调整调查或触发事件的粒度级别,以避免向下游泛滥过多的事件。例如,事件可以在提供者EPG、消费者EPG、契约、主体、过滤器和过滤器条目级别处被生成,上面列出的列表按粒度递增的顺序显示(即过滤器条目是最精细级别)。另外,事件生成器570还可以基于诸如提供商EPG或消费者EPG之类的因素来聚合事件,以便进一步减少事件泛滥。
尽管未示出,但形式分析引擎502可以额外地包括语义分析引擎,该语义分析引擎在单个模型内定位被影子的和影子规则。例如,语义分析引擎可以通过两个较高优先级规则L1和L2的组合来确定规则L3被完全影子(使冗余)。事件生成器570可以例如以网络意图的给定模型内的所有规则(这些规则被影子或用于影子其他规则)的列表的形式接收来自语义分析引擎的输出。下面提供了由事件生成器570生成的各种影子事件的列表,但该列表是示例性而非限制性的。
PERMIT_OVERSPECIFICATION(允许过度指定)。当较高优先级的允许与较低优先级的允许规则完全或部分重叠时,将生成此事件,从而使较低优先级的规则中的至少一部分变得冗余,并且可能需要进行移除。
PERMIT_CONTRADICTION(允许矛盾)。当较高优先级的拒绝与较低优先级的允许规则完全或部分重叠时,将生成此事件,从而使较低优先级的规则中的至少一部分未被使用,并且可能需要进行移除或进一步检查以解决矛盾。
DENY_OVERSPECIFICATION(拒绝过度指定)。当较高优先级的拒绝与较低优先级的拒绝规则完全或部分重叠时,将生成此事件,从而使较低优先级的规则中的至少一部分变得冗余,并且可能需要进行移除。
DENY_CONTRADICTION(拒绝冲突)。当较高优先级的允许与较低优先级的拒绝规则完全或部分重叠,将生成此事件,从而使较低优先级的规则的至少一部分未使用,并且可能需要进行移除或进一步检查以解决矛盾。
上面描述的示例事件针对一个模型与另一个模型的比较,或模型内规则之间的比较。在一些实施例中,事件生成器570可以负责生成针对比较的比较(例如,Li与Hi比较的结果与Li与Ci比较的结果的比较)的事件。现在转到图5B,其中呈现了示例图表580,其示出了这种比较的比较的类别的广泛特性。第一列582指示Li与Hi的比较的结果-复选标记(√)指示Li和Hi模型传达相同的网络意图,而×指示Li和Hi模型未能传达相同的网络意图。类似地,第二列584以相同的方式指示Li对Ci比较的结果。由列582和584表示的每个成对结果与事件586相关联,以使得图表580呈现在所呈现的Li、Hi和Ci模型对中的每个类别的结果的事件。
当Li与Hi比较582为肯定(意味着Li模型被正确地实现在交换机硬件或TCAM中),并且Li与Ci比较584也为肯定(意味着Li模型被正确地推送到交换软件中)时,发生第一事件586a。所生成的事件586a指示“全部清除”,因为此处由于网络运行正常而无需采取进一步的动作。
当Li与Hi比较582为肯定(意味着Li模型被正确地实现在交换机硬件或TCAM中),但是Li与Ci比较584为否定(意味着Li模型未被正确推送到交换机软件中)时,发生第二事件586b。该第二事件586b可以触发警告或通知,该警告或通知将不匹配告知用户或网络操作器。但是,此警告并不是即刻严重的,因为此特定事件不会影响流量-流量最终仅受网络硬件模型的影响且Li与Hi比较582是肯定的。在这种情况下,尽管用户或网络操作器可能会希望解决将Li呈现在交换机硬件Ci中时导致对等性失败的任何问题,但这不一定会对网络产生任何直接的可见影响。在某些情况下,可以简单地更紧密地监视该情形,以查看Li与Hi比较582是否在某些时刻也失败了。通常,第二事件586b值得调查,因为当Li与Ci比较584失败时看到Li与Hi比较582通过是不寻常的。通常,如果Li与Ci比较失败,通常会期望Li与Hi比较也会失败,除非存在不经意地解决了Li与Ci中的冲突的错误。
当Li与Hi比较582为否定(意味着Li模型被不正确地实现在交换机硬件或TCAM中),但是Li与Ci比较584为肯定(意味着Li模型被正确推送到交换机软件中)时,发生第三事件586c。该第三事件586c可能会触发错误或紧急冲突警告,因为此特定事件正在影响流量-交换机和网络结构未按照与用户或网络操作器通过Li模型指定的意图等效的方式来处理流量。对此类事件的响应可能是重新启动与Li、Hi和Ci模型相对应的交换机或节点i,否则将导致交换机TCAM或存储器被刷新。最终结果是使交换机存储器清除,并被呈现Hi的新副本。该第三事件最常发生在TCAM中徘徊有过时规则时,这使得一旦TCAM或交换存储器达到其全部存储容量,规则就无法使其变为Hi。
当Li与Hi比较582为否定(意味着Li模型被不正确地实现在交换机硬件或TCAM中),并且Li与Ci比较584也为否定(意味着Li模型被正确推送到交换机软件中)时,发生第四事件586d。该第四事件586d可以触发到与Li、Hi和Ci模型相对应的交换机i中的自动的新推送,其中APIC或网络控制器将Li的副本推送到交换机,或者以其他方式使交换机重新确定Ci。该推入可能是自动的,因为最经常预期到的是,Li与Ci等效性检查584的失败也将导致Li与Hi等效性检查582的失败。如果到交换机的该新的推送不能解决该问题,则可能需要进一步调查和干预。
本公开现在转向图6和图7,其示出了示例网络设备和计算设备,例如,交换机、路由器、负载平衡器、客户端设备等。
图6示出了适用于执行交换、路由、负载平衡、和其他联网操作的示例网络设备600。网络设备600包括中央处理单元(CPU)604、接口602和总线610(例如,PCI总线)。当在适当的软件或固件的控制下动作时,CPU 604负责执行分组管理、错误检测和/或路由功能。CPU 604优选地在软件的控制下完成所有这些功能,该软件包括操作系统和任何适当的应用软件。CPU 604可以包括一个或多个处理器608,例如来自INTEL x86系列微处理器的处理器。在一些情况下,处理器608可以是用于控制网络设备600的操作的专门设计的硬件。在一些情况下,存储器606(例如,非易失性RAM、ROM等)也形成CPU 604的一部分。然而,有许多不同的方式可以将存储器耦合到系统。
接口602通常作为模块化接口卡(有时被称为“线卡”)提供。通常,它们控制通过网络发送和接收数据分组,并且有时支持与网络设备600一起使用的其他外围设备。可以提供的接口包括以太网接口、帧中继接口、线缆接口、DSL接口、令牌环接口等等。此外,可提供各种非常高速的接口,例如,快速令牌环接口、无线接口、以太网接口、千兆以太网接口、ATM接口、HSSI接口、POS接口、FDDI接口、WiFi接口、3G/4G/5G蜂窝接口、CAN总线、LoRA等。一般而言,这些接口可以包括适合于与适当介质通信的端口。在一些情况下,它们还可以包括独立处理器,并且在一些情况下,还包括易失性RAM。独立处理器可以控制诸如分组交换、介质控制、信号处理、加密处理、和管理之类的通信密集型任务。通过为通信密集型任务提供分离的处理器,这些接口允许CPU 604高效地执行路由计算、网络诊断、安全性功能等。
尽管图6中所示的系统是本发明的一个特定网络设备,但它决不是可以在其上实现本公开的概念的唯一网络设备架构。例如,经常使用具有处理通信以及路由计算等的单个处理器的架构。此外,其他类型的接口和介质也可以与网络设备600一起使用。
无论网络设备的配置如何,它都可以采用一个或多个存储器或存储器模块(包括存储器606),其被配置为存储用于本文所描述的漫游、路由优化和路由功能的通用网络操作和机制的程序指令。例如,程序指令可以控制操作系统和/或一个或多个应用的操作。一个或多个存储器还可以被配置为存储诸如移动性绑定、注册和关联表之类的表。存储器606还可以保存各种软件容器和虚拟化的执行环境和数据。
网络设备600还可以包括专用集成电路(ASIC),其可以被配置为执行路由和/或交换操作。例如,ASIC可以经由总线610与网络设备600中的其他组件通信,以交换数据和信号并协调网络设备600的各种类型的操作,例如路由、交换、和/或数据存储操作。
图7示出了计算系统架构700,其中该系统的组件使用诸如总线之类的连接705彼此电通信。计算系统架构700包括处理单元(CPU或处理器)710和系统连接705,系统连接705将包括系统存储器715在内的各种系统组件(例如,只读存储器(ROM)720和随机存取存储器(RAM)725)耦合到处理单元710。计算系统架构700可以包括高速存储器的缓存,其与处理单元710直接连接、靠近处理单元710、或者集成作为处理单元710的一部分。计算系统架构700可以将数据从存储器715和/或存储设备730复制到缓存712以供处理单元710快速访问。以这种方式,缓存可以提供性能提升,避免处理单元710在等待数据时的延迟。这些和其他模块可以控制或被配置为控制处理单元710以执行各种动作。也可以使用其他系统存储器715。存储器715可以包括具有不同性能特性的多个不同类型的存储器。处理单元710可以包括任何通用处理器和被配置为控制处理单元710的硬件或软件服务(例如,存储在存储设备730中的MOD 1732、MOD 2 734和MOD 3 736)以及其中将软件指令包含在实际的处理器设计中的专用处理器。处理单元710可以是完全自包含的计算系统,包含多个核或处理器、总线、存储器控制器、缓存等。多核处理器可以是对称的或非对称的。
为了实现与计算系统架构700的用户交互,输入设备745可以表示任何数量的输入机制,诸如用于语音的麦克风、用于手势或图形输入的触敏屏幕、键盘、鼠标、运动输入、语音等等。输出设备735也可以是本领域技术人员已知的多种输出机构中的一种或多种。在一些情况下,多模式系统可以使用户能够提供多种类型的输入以与计算系统架构700通信。通信接口740通常可以控制和管理用户输入和系统输出。对任何特定硬件布置进行的操作没有限制,因此这里的基本特征可以很容易地随着改进的硬件或固件布置被开发而被替换为这些改进的硬件或固件布置。
存储设备730是非易失性存储器,并且可以是硬盘或其他类型的计算机可读介质,其可以存储可由计算机访问的数据,例如磁带盒、闪存卡、固态存储器设备、数字通用盘、盒式磁带、随机存取存储器(RAM)725、只读存储器(ROM)720及其混合。
存储设备730可以包括用于控制处理单元710的MOD 732、734、736。可以预期其他硬件或软件模块。存储设备730可以连接到系统连接705。在一个方面,执行特定功能的硬件模块可以包括存储在与必要的硬件组件(例如,处理单元710、连接705、输出设备735等)相连的计算机可读介质中的软件组件以执行功能。
总而言之,描述了用于接收对对等性失败的指示的系统、方法和计算机可读介质,该对等性失败对应于一个或多个网络意图模型。对对等性失败的指示被分析并且导致对等性失败的一个或多个构成意图被标识,其中,一个或多个构成意图与一个或多个网络意图模型中的模型相关联。对等性失败的粒度和所标识的一个或多个构成意图被确定,并且针对外部消费的事件被生成,该事件至少部分基于对等性失败、对等性失败的粒度以及所标识的一个或多个构成意图。
为了解释的清楚起见,在一些实例中,本技术可以被呈现为包括个体的功能块,其包括包含以下项的功能块:设备、设备组件、在软件中体现的方法中的步骤或例程、或者硬件和软件的组合。
在一些实施例中,计算机可读存储设备、介质和存储器可以包括包含比特流等的有线或无线信号。然而,当提及时,非暂态计算机可读存储介质明确地排除诸如能量、载波信号、电磁波和信号本身之类的介质。
可以使用存储在计算机可读介质中或以其他方式可从计算机可读介质获得的计算机可执行指令来实现根据上述示例的方法。这样的指令可以包括例如使得或以其他方式配置通用计算机、专用计算机或专用处理设备以执行特定功能或功能组的指令和数据。可以通过网络访问所使用的计算机资源的部分。计算机可执行指令可以是例如二进制指令、诸如汇编语言之类的中间格式指令、固件、或源代码。可用于存储指令、所使用的信息和/或在根据所描述的示例的方法期间创建的信息的计算机可读介质的示例包括磁盘或光盘、闪存、具有非易失性存储器的USB设备、联网的存储设备等等。
实现根据这些公开内容的方法的设备可以包括硬件、固件和/或软件,并且可以采用各种形式因子中的任何形式因子。这种形式因子的典型示例包括膝上型计算机、智能电话、小型个人计算机、个人数字助理、机架设备、独立设备等。本文描述的功能也可以实现在外围设备或附加卡中。作为进一步的示例,这样的功能还可以在不同芯片之间的电路板上实现,或者在单个设备中执行的不同处理过程中实现。
指令、用于传达这些指令的介质、用于执行它们的计算资源以及用于支持这种计算资源的其他结构是用于提供这些公开内容中所描述的功能的手段。
尽管使用各种示例和其他信息来解释所附权利要求范围内的各个方面,但是不应基于这些示例中的特定特征或布置来暗示对权利要求的限制,因为普通技术人员将能够使用这些示例来导出各种各样的实现方式。此外,尽管可能已经用特定于结构特征和/或方法步骤的示例的语言描述了一些主题,但是应该理解,所附权利要求中定义的主题不必限于这些描述的特征或动作。例如,这种功能可以在本文标识的那些组件之外的组件中以不同的方式分布或者在本文标识的那些组件之外的组件中执行。相反,所描述的特征和步骤被公开为所附权利要求范围内的系统和方法的组分的示例。
记载“……中的至少一个”的权利要求语言指的是集合中的至少一个,并且指示该集合中的一个成员或该集合中的多个成员满足该权利要求。例如,记载“A和B中的至少一个”的权利要求语言意思是A、B或A和B。
Claims (20)
1.一种用于响应于网络意图形式对等性失败而生成事件的方法,包括:
接收对对等性失败的指示,所述对等性失败与网络意图的一个或多个模型相对应;
分析对所述对等性失败的所述指示和网络意图的所述一个或多个模型,并标识导致所述对等性失败的一个或多个构成意图;
确定所述对等性失败的粒度以及所标识的一个或多个构成意图;以及
生成针对外部消费的事件,所述事件至少部分基于所述对等性失败、所述对等性失败的所述粒度、以及所标识的一个或多个构成意图;
其中,所述对等性失败与对网络意图的第一模型的所述构成意图的语义分析的失败相对应,并且所述指示包括:网络意图的所述第一模型中的被完全影子和部分影子的规则的列表。
2.根据权利要求1所述的方法,其中,所述对等性失败与对网络意图的第一模型和网络意图的第二模型的形式对等性分析的失败相对应,并且所述指示包括:网络意图的所述第一模型与网络意图的所述第二模型之间的冲突规则的列表。
3.根据权利要求1至2中任一项所述的方法,其中,所述对等性失败与对网络意图的第一模型和网络意图的第二模型的形式对等性分析的结果相对于对网络意图的所述第一模型和网络意图的第三模型的形式对等性分析的结果的比较相对应,并且所述指示包括以上两个结果。
4.根据权利要求3所述的方法,其中,所述第一模型是网络意图的逻辑模型,所述第二模型是网络意图的具体模型,并且所述第三模型是网络意图的硬件模型。
5.根据权利要求1至2中任一项所述的方法,其中,所述对等性失败的所述粒度是基于以下各项中的一者或多者的:提供者EPG、消费者EPG、契约、主体、过滤器、或过滤器条目。
6.根据权利要求1至2中任一项所述的方法,其中,生成针对外部消费的事件还包括:确定与所述事件的所述对等性失败相对应的所建议的修复。
7.一种用于响应于网络意图形式对等性失败而生成事件的系统,包括:
一个或多个处理器;以及
至少一个计算机可读存储介质,其中存储有指令,所述指令在由所述一个或多个处理器执行时使得所述系统执行以下操作:
接收对对等性失败的指示,所述对等性失败与网络意图的一个或多个模型相对应;
分析对所述对等性失败的所述指示,并标识导致所述对等性失败的一个或多个构成意图,其中,所述一个或多个构成意图与网络意图的所述一个或多个模型中的模型相关联;
确定所述对等性失败的粒度以及所标识的一个或多个构成意图;以及
生成针对外部消费的事件,所述事件至少部分基于所述对等性失败、所述对等性失败的所述粒度、以及所标识的一个或多个构成意图;
其中,所述对等性失败与对网络意图的第一模型的所述构成意图的语义分析的失败相对应,并且所述指示包括:网络意图的所述第一模型中的被完全影子和部分影子的规则的列表。
8.根据权利要求7所述的系统,其中,所述对等性失败与对网络意图的第一模型和网络意图的第二模型的形式对等性分析的失败相对应,并且所述指示包括:网络意图的所述第一模型与网络意图的所述第二模型之间的冲突规则的列表。
9.根据权利要求7至8中任一项所述的系统,其中,所述对等性失败与对网络意图的第一模型和网络意图的第二模型的形式对等性分析的结果相对于对网络意图的所述第一模型和网络意图的第三模型的形式对等性分析的结果的比较相对应,并且所述指示包括以上两个结果。
10.根据权利要求9所述的系统,其中,所述第一模型是网络意图的逻辑模型,所述第二模型是网络意图的具体模型,并且所述第三模型是网络意图的硬件模型。
11.根据权利要求7至8中任一项所述的系统,其中,所述对等性失败的所述粒度是基于以下各项中的一者或多者的:提供者EPG、消费者EPG、契约、主体、过滤器、或过滤器条目。
12.如权利要求7所述的系统,其中,生成针对外部消费的事件还包括:使得所述系统确定与所述事件的所述对等性失败相对应的所建议的修复的指令。
13.一种非暂态计算机可读存储介质,其上存储有指令,所述指令在由一个或多个处理器执行时,使得所述一个或多个处理器执行以下操作:
接收对对等性失败的指示,所述对等性失败与网络意图的一个或多个模型相对应;
分析对所述对等性失败的所述指示,并标识导致所述对等性失败的一个或多个构成意图,其中,所述一个或多个构成意图与网络意图的所述一个或多个模型中的模型相关联;
确定所述对等性失败的粒度以及所标识的一个或多个构成意图;以及
生成针对外部消费的事件,所述事件至少部分基于所述对等性失败、所述对等性失败的所述粒度、以及所标识的一个或多个构成意图;
其中,所述对等性失败与对网络意图的第一模型的所述构成意图的语义分析的失败相对应,并且所述指示包括:网络意图的所述第一模型中的被完全影子和部分影子的规则的列表。
14.根据权利要求13所述的非暂态计算机可读存储介质,其中,所述对等性失败与对网络意图的第一模型和网络意图的第二模型的形式对等性分析的失败相对应,并且所述指示包括:网络意图的所述第一模型与网络意图的所述第二模型之间的冲突规则的列表。
15.根据权利要求13至14中任一项所述的非暂态计算机可读存储介质,其中,所述对等性失败与对网络意图的第一模型和网络意图的第二模型的形式对等性分析的结果相对于对网络意图的所述第一模型和网络意图的第三模型的形式对等性分析的结果的比较相对应,并且所述指示包括以上两个结果。
16.根据权利要求15所述的非暂态计算机可读存储介质,其中,所述第一模型是网络意图的逻辑模型,所述第二模型是网络意图的具体模型,并且所述第三模型是网络意图的硬件模型。
17.根据权利要求13至14中任一项所述的非暂态计算机可读存储介质,其中,生成针对外部消费的事件还包括:使得所述一个或多个处理器确定与所述事件的所述对等性失败相对应的所建议的修复的指令。
18.一种用于响应于网络意图形式对等性失败而生成事件的设备,包括:
用于接收对对等性失败的指示的装置,所述对等性失败与网络意图的一个或多个模型相对应;
用于分析对所述对等性失败的所述指示和网络意图的所述一个或多个模型的装置,以及用于标识导致所述对等性失败的一个或多个构成意图的装置;
用于确定所述对等性失败的粒度和所标识的一个或多个构成意图的装置;以及
用于生成针对外部消费的事件的装置,所述事件至少部分基于所述对等性失败、所述对等性失败的所述粒度、以及所标识的一个或多个构成意图;
其中,所述对等性失败与对网络意图的第一模型的所述构成意图的语义分析的失败相对应,并且所述指示包括:网络意图的所述第一模型中的被完全影子和部分影子的规则的列表。
19.根据权利要求18所述的设备,还包括用于实现根据权利要求2至6中任一项所述的方法的装置。
20.一种计算机可读介质,其上存储有指令,所述指令在由计算机执行时,使得所述计算机执行权利要求1至6中任一项所述的方法的步骤。
Applications Claiming Priority (5)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US201762520722P | 2017-06-16 | 2017-06-16 | |
US62/520,722 | 2017-06-16 | ||
US15/662,906 US10547715B2 (en) | 2017-06-16 | 2017-07-28 | Event generation in response to network intent formal equivalence failures |
US15/662,906 | 2017-07-28 | ||
PCT/US2018/035811 WO2018231566A1 (en) | 2017-06-16 | 2018-06-04 | Event generation in response to network intent formal equivalence failures |
Publications (2)
Publication Number | Publication Date |
---|---|
CN110741602A CN110741602A (zh) | 2020-01-31 |
CN110741602B true CN110741602B (zh) | 2022-10-28 |
Family
ID=64658545
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201880039063.4A Active CN110741602B (zh) | 2017-06-16 | 2018-06-04 | 响应于网络意图形式对等性失败的事件生成 |
Country Status (4)
Country | Link |
---|---|
US (3) | US10547715B2 (zh) |
EP (1) | EP3639476A1 (zh) |
CN (1) | CN110741602B (zh) |
WO (1) | WO2018231566A1 (zh) |
Families Citing this family (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US11645131B2 (en) * | 2017-06-16 | 2023-05-09 | Cisco Technology, Inc. | Distributed fault code aggregation across application centric dimensions |
US10812336B2 (en) * | 2017-06-19 | 2020-10-20 | Cisco Technology, Inc. | Validation of bridge domain-L3out association for communication outside a network |
US10554477B2 (en) * | 2017-09-13 | 2020-02-04 | Cisco Technology, Inc. | Network assurance event aggregator |
EP4213456A1 (en) | 2017-12-05 | 2023-07-19 | Google LLC | Automated network change system |
US10868828B2 (en) * | 2018-03-19 | 2020-12-15 | Fortinet, Inc. | Mitigation of NTP amplification and reflection based DDoS attacks |
CN114095330B (zh) * | 2020-07-29 | 2023-05-02 | 华为技术有限公司 | 一种意图协商方法及装置 |
US11516087B2 (en) * | 2020-11-30 | 2022-11-29 | Google Llc | Connecting processors using twisted torus configurations |
US11411833B1 (en) * | 2021-04-23 | 2022-08-09 | Vmware, Inc. | Methods and apparatus to model and verify a hybrid network |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN105284135A (zh) * | 2013-03-15 | 2016-01-27 | 思科技术公司 | 支持软件定义网络环境中任意事件的可编程性 |
Family Cites Families (153)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US5204829A (en) | 1992-07-10 | 1993-04-20 | Lsi Logic Corporation | Interleaving operations in a floating-point numeric processor |
US6763380B1 (en) | 2000-01-07 | 2004-07-13 | Netiq Corporation | Methods, systems and computer program products for tracking network device performance |
WO2002046928A1 (en) | 2000-12-04 | 2002-06-13 | Rensselaer Polytechnic Institute | Fault detection and prediction for management of computer networks |
AU2002234258A1 (en) | 2001-01-22 | 2002-07-30 | Sun Microsystems, Inc. | Peer-to-peer network computing platform |
ITTO20010180A1 (it) | 2001-03-01 | 2002-09-01 | Cselt Centro Studi Lab Telecom | Procedimento e sistema per il controllo della configurazione dei nodidi una rete per telecomunicazione. |
US7003562B2 (en) | 2001-03-27 | 2006-02-21 | Redseal Systems, Inc. | Method and apparatus for network wide policy-based analysis of configurations of devices |
DE10143101A1 (de) | 2001-09-03 | 2003-04-03 | Infineon Technologies Ag | Verfahren zur Validierung von Simulationsergebnissen eines Systems sowie darauf aufbauender Äquivalenzvergleich digitaler Schaltungen |
US20030229693A1 (en) | 2002-06-06 | 2003-12-11 | International Business Machines Corporation | Self-correcting monitor |
US8073935B2 (en) | 2002-07-25 | 2011-12-06 | Oracle America, Inc. | Pluggable semantic verification and validation of configuration data |
ITTO20020742A1 (it) | 2002-08-23 | 2004-02-24 | Telecom Italia Lab Spa | Procedimento e sistema per il controllo della |
GB0224187D0 (en) | 2002-10-17 | 2002-11-27 | Mitel Knowledge Corp | Interactive conflict resolution for personalised policy-based services |
US7453886B1 (en) | 2003-03-11 | 2008-11-18 | Nortel Networks Limited | Verification of communications paths between devices |
US7089369B2 (en) | 2003-03-31 | 2006-08-08 | Sun Microsystems, Inc. | Method for optimizing utilization of a double-data-rate-SDRAM memory system |
EP2270622B1 (en) | 2003-06-05 | 2016-08-24 | Intertrust Technologies Corporation | Interoperable systems and methods for peer-to-peer service orchestration |
US9264922B2 (en) | 2003-08-05 | 2016-02-16 | Mobileum Inc. | Method and system for ensuring service continuity in case of a proxy profile gateway failure or interruption |
US20050108389A1 (en) | 2003-11-13 | 2005-05-19 | International Business Machines Corporation | Network endpoint health check |
US7360064B1 (en) | 2003-12-10 | 2008-04-15 | Cisco Technology, Inc. | Thread interleaving in a multithreaded embedded processor |
US7609647B2 (en) | 2004-05-12 | 2009-10-27 | Bce Inc. | Method and apparatus for network configuration validation |
US8010952B2 (en) | 2004-06-08 | 2011-08-30 | Cisco Technology, Inc. | Method and apparatus for configuration syntax and semantic validation |
US7505463B2 (en) | 2004-06-15 | 2009-03-17 | Sun Microsystems, Inc. | Rule set conflict resolution |
US7698561B2 (en) | 2004-08-12 | 2010-04-13 | Cisco Technology, Inc. | Method and system for detection of aliases in a network |
JP4192877B2 (ja) | 2004-09-29 | 2008-12-10 | ブラザー工業株式会社 | 設定データ伝送プログラム、設定データ伝送装置、および設定データ伝送システム |
US8024568B2 (en) | 2005-01-28 | 2011-09-20 | Citrix Systems, Inc. | Method and system for verification of an endpoint security scan |
US7619989B2 (en) | 2005-08-26 | 2009-11-17 | Alcatel Lucent | Routing configuration validation apparatus and methods |
US7765093B2 (en) | 2005-09-19 | 2010-07-27 | Itt Manufacturing Enterprises, Inc. | Network modeling system and method of simulating network operation with configurable node models |
US20070124437A1 (en) | 2005-11-30 | 2007-05-31 | Cisco Technology, Inc. | Method and system for real-time collection of log data from distributed network components |
JP2007241533A (ja) | 2006-03-07 | 2007-09-20 | Oki Electric Ind Co Ltd | システム構成情報比較装置およびコンピュータプログラム |
US8040895B2 (en) | 2006-03-22 | 2011-10-18 | Cisco Technology, Inc. | Method and system for removing dead access control entries (ACEs) |
US20080031147A1 (en) | 2006-08-01 | 2008-02-07 | Siemens Communications, Inc. | Network status determination |
US20080172716A1 (en) | 2006-09-12 | 2008-07-17 | Rajesh Talpade | IP network vulnerability and policy compliance assessment by IP device analysis |
US20080117827A1 (en) | 2006-11-17 | 2008-05-22 | Nec Corporation | Method and system for verifying connectivity of logical link |
US8719375B2 (en) | 2007-03-22 | 2014-05-06 | Microsoft Corporation | Remote data access techniques for portable devices |
US8484693B2 (en) | 2007-04-27 | 2013-07-09 | Gregory W. Cox | Efficient policy conflict detection |
US8782182B2 (en) | 2007-05-24 | 2014-07-15 | Foundry Networks, Llc | Generating device-specific configurations |
US8209738B2 (en) | 2007-05-31 | 2012-06-26 | The Board Of Trustees Of The University Of Illinois | Analysis of distributed policy rule-sets for compliance with global policy |
US8499331B1 (en) | 2007-06-27 | 2013-07-30 | Emc Corporation | Policy based network compliance |
US7992201B2 (en) | 2007-07-26 | 2011-08-02 | International Business Machines Corporation | Dynamic network tunnel endpoint selection |
US7743274B2 (en) | 2007-09-12 | 2010-06-22 | International Business Machines Corporation | Administering correlated error logs in a computer system |
US8494977B1 (en) | 2007-09-28 | 2013-07-23 | Emc Corporation | IT policy violation views |
JP4872945B2 (ja) | 2008-02-25 | 2012-02-08 | 日本電気株式会社 | 運用管理装置、運用管理システム、情報処理方法、及び運用管理プログラム |
WO2009108943A2 (en) | 2008-02-29 | 2009-09-03 | Doyenz Incorporated | Automation for virtualized it environments |
US8082290B2 (en) | 2008-03-19 | 2011-12-20 | Verizon Patent And Licensing Inc. | Intelligent establishment of peer-to-peer communication |
US8630192B2 (en) | 2009-01-28 | 2014-01-14 | Headwater Partners I Llc | Verifiable and accurate service usage monitoring for intermediate networking devices |
US8554883B2 (en) | 2008-08-06 | 2013-10-08 | Cisco Technology, Inc. | Apparatus and method for sharing a generic configuration across a group of network devices |
CN100592315C (zh) * | 2008-08-29 | 2010-02-24 | 中国科学院软件研究所 | 一种xacml策略规则检测方法 |
US8441941B2 (en) | 2008-10-06 | 2013-05-14 | Cisco Technology, Inc. | Automating identification and isolation of loop-free protocol network problems |
US8103480B2 (en) | 2008-10-31 | 2012-01-24 | Hewlett-Packard Development Company, L.P. | Evaluating service level agreement violations |
US8627328B2 (en) | 2008-11-14 | 2014-01-07 | Oracle International Corporation | Operation control for deploying and managing software service in a virtual environment |
US9319300B2 (en) | 2008-12-09 | 2016-04-19 | Glue Networks, Inc. | Systems and methods for determining endpoint configurations for endpoints of a virtual private network (VPN) and deploying the configurations to the endpoints |
US20100198909A1 (en) | 2009-02-03 | 2010-08-05 | Fluke Corporation | Method and apparatus for the continuous collection and correlation of application transactions across all tiers of an n-tier application |
US8479267B2 (en) | 2009-06-30 | 2013-07-02 | Sophos Limited | System and method for identifying unauthorized endpoints |
JP2011087302A (ja) | 2009-10-19 | 2011-04-28 | Ip Infusion Inc | Bgp経路監視装置、bgp経路監視方法、およびプログラム |
US8416696B2 (en) | 2010-01-04 | 2013-04-09 | Cisco Technology, Inc. | CFM for conflicting MAC address notification |
US8689307B2 (en) | 2010-03-19 | 2014-04-01 | Damaka, Inc. | System and method for providing a virtual peer-to-peer environment |
US8375117B2 (en) | 2010-04-28 | 2013-02-12 | Juniper Networks, Inc. | Using endpoint host checking to classify unmanaged devices in a network and to improve network location awareness |
US8606847B2 (en) | 2010-05-28 | 2013-12-10 | Juniper Networks, Inc. | Application-layer traffic optimization service map updates |
US8842679B2 (en) | 2010-07-06 | 2014-09-23 | Nicira, Inc. | Control system that elects a master controller instance for switching elements |
US20120054163A1 (en) | 2010-08-27 | 2012-03-01 | Motorola, Inc. | Policy conflict classifier |
US9389993B1 (en) | 2010-09-03 | 2016-07-12 | Cisco Technology, Inc. | System and method for whitelist management |
US8910143B2 (en) | 2010-09-20 | 2014-12-09 | General Electric Company | Conversion system and method for use in upgrading a monitoring system |
EP2437470A1 (en) | 2010-09-30 | 2012-04-04 | British Telecommunications Public Limited Company | Network element and method for deriving quality of service data from a distributed hierarchical naming system |
EP2668600A4 (en) | 2011-01-27 | 2014-08-06 | Computenext Inc | DYNAMIC RESOURCE ORGANIZATION OF CLOUD COMPUTING TO FACILITATE DISCOVERY |
US8589934B2 (en) | 2011-04-01 | 2013-11-19 | Arm Limited | Controlling priority levels of pending threads awaiting processing |
US8935389B2 (en) | 2011-05-17 | 2015-01-13 | Guavus, Inc. | Method and system for collecting and managing network data |
US8693344B1 (en) | 2011-09-27 | 2014-04-08 | Big Switch Network, Inc. | Systems and methods for generating packet forwarding rules based on network policy |
US8914843B2 (en) | 2011-09-30 | 2014-12-16 | Oracle International Corporation | Conflict resolution when identical policies are attached to a single policy subject |
US20130097660A1 (en) | 2011-10-17 | 2013-04-18 | Mcafee, Inc. | System and method for whitelisting applications in a mobile network environment |
US8930756B2 (en) | 2011-12-22 | 2015-01-06 | International Business Machines Corporation | Grouping related errors in a distributed computing environment |
US9106555B2 (en) | 2012-01-25 | 2015-08-11 | Cisco Technology, Inc. | Troubleshooting routing topology based on a reference topology |
US9405553B2 (en) | 2012-01-30 | 2016-08-02 | International Business Machines Corporation | Processing element management in a streaming data system |
US20150019756A1 (en) | 2012-02-10 | 2015-01-15 | Nec Corporation | Computer system and virtual network visualization method |
CN103258067B (zh) * | 2012-02-20 | 2016-05-25 | 京微雅格(北京)科技有限公司 | 一种可配置片上系统中保持架构、软件及硬件一致性的方法 |
US9444842B2 (en) | 2012-05-22 | 2016-09-13 | Sri International | Security mediation for dynamically programmable network |
US9571523B2 (en) | 2012-05-22 | 2017-02-14 | Sri International | Security actuator for a dynamically programmable computer network |
US9898317B2 (en) | 2012-06-06 | 2018-02-20 | Juniper Networks, Inc. | Physical path determination for virtual network packet flows |
US8874704B2 (en) | 2012-07-11 | 2014-10-28 | Bmc Software, Inc. | Semi-automatic discovery and generation of useful service blueprints |
US9571502B2 (en) | 2012-09-14 | 2017-02-14 | International Business Machines Corporation | Priority resolution for access control list policies in a networking device |
US9264301B1 (en) | 2012-09-20 | 2016-02-16 | Wiretap Ventures, LLC | High availability for software defined networks |
US9055000B1 (en) | 2012-12-17 | 2015-06-09 | Juniper Networks, Inc. | Distributed network subnet |
EP2951952B1 (en) | 2013-01-30 | 2021-06-02 | Hewlett Packard Enterprise Development LP | Controlling a topology of a network |
US9860140B2 (en) | 2013-02-05 | 2018-01-02 | Cisco Technology, Inc. | Dynamically adjusting a set of monitored network properties using distributed learning machine feedback |
US8966637B2 (en) | 2013-02-08 | 2015-02-24 | PhishMe, Inc. | Performance benchmarking for simulated phishing attacks |
US9596141B2 (en) | 2013-03-15 | 2017-03-14 | Cisco Technology, Inc. | Representing software defined networks using a programmable graph model |
US10291515B2 (en) | 2013-04-10 | 2019-05-14 | Huawei Technologies Co., Ltd. | System and method for a control plane reference model framework |
US10021027B2 (en) | 2013-04-30 | 2018-07-10 | Comcast Cable Communications, Llc | Network validation with dynamic tunneling |
US9225601B2 (en) | 2013-06-17 | 2015-12-29 | The Board Of Trustees Of The University Of Illinois | Network-wide verification of invariants |
US20140379915A1 (en) | 2013-06-19 | 2014-12-25 | Cisco Technology, Inc. | Cloud based dynamic access control list management architecture |
US9246818B2 (en) | 2013-06-24 | 2016-01-26 | Cisco Technology, Inc. | Congestion notification in leaf and spine networks |
CN104348757B (zh) | 2013-07-31 | 2018-03-16 | 华为技术有限公司 | 一种流表交互方法、交换机及系统 |
US9531676B2 (en) | 2013-08-26 | 2016-12-27 | Nicira, Inc. | Proxy methods for suppressing broadcast traffic in a network |
KR101455167B1 (ko) | 2013-09-03 | 2014-10-27 | 한국전자통신연구원 | 화이트리스트 기반의 네트워크 스위치 |
US9553845B1 (en) | 2013-09-30 | 2017-01-24 | F5 Networks, Inc. | Methods for validating and testing firewalls and devices thereof |
US20150113143A1 (en) | 2013-10-18 | 2015-04-23 | Hewlett-Packard Development Company, L.P | Network resource automation management |
US9686180B2 (en) | 2013-11-05 | 2017-06-20 | Cisco Technology, Inc. | Managing routing information for tunnel endpoints in overlay networks |
EP3605971B1 (en) | 2013-11-05 | 2021-10-13 | Cisco Technology, Inc. | Network fabric overlay |
US9374294B1 (en) | 2013-11-05 | 2016-06-21 | Cisco Technology, Inc. | On-demand learning in overlay networks |
US9590914B2 (en) | 2013-11-05 | 2017-03-07 | Cisco Technology, Inc. | Randomized per-packet port channel load balancing |
CN103701926B (zh) | 2013-12-31 | 2017-06-16 | 小米科技有限责任公司 | 一种获取故障原因信息的方法、装置和系统 |
US9660886B1 (en) | 2014-03-07 | 2017-05-23 | Google Inc. | Scalable network route analysis |
US10476698B2 (en) | 2014-03-20 | 2019-11-12 | Avago Technologies International Sales Pte. Limited | Redundent virtual link aggregation group |
US9654361B2 (en) | 2014-05-13 | 2017-05-16 | Cisco Technology, Inc. | Dynamic collection of network metrics for predictive analytics |
US9935831B1 (en) | 2014-06-03 | 2018-04-03 | Big Switch Networks, Inc. | Systems and methods for controlling network switches using a switch modeling interface at a controller |
KR101886291B1 (ko) | 2014-06-30 | 2018-09-06 | 후아웨이 테크놀러지 컴퍼니 리미티드 | 흐름 엔트리 구성 방법, 장치, 및 시스템 |
US9813312B2 (en) | 2014-07-21 | 2017-11-07 | Big Switch Networks, Inc. | Systems and methods for performing debugging operations on networks using a controller |
CN104104615B (zh) | 2014-07-21 | 2017-07-07 | 华为技术有限公司 | 策略冲突解决方法以及装置 |
US10050842B2 (en) | 2014-07-23 | 2018-08-14 | Cisco Technology, Inc. | Network control and management using semantic reasoners in a network environment |
US9497215B2 (en) | 2014-07-23 | 2016-11-15 | Cisco Technology, Inc. | Stealth mitigation for simulating the success of an attack |
JP6419967B2 (ja) | 2014-07-30 | 2018-11-07 | フォワード・ネットワークス・インコーポレテッド | ネットワーク管理のためのシステムおよび方法 |
US20160164748A1 (en) | 2014-12-04 | 2016-06-09 | Belkin International, Inc. | Identifying and resolving network device rule conflicts and recursive operations at a network device |
US9497207B2 (en) | 2014-08-15 | 2016-11-15 | International Business Machines Corporation | Securing of software defined network controllers |
WO2016039730A1 (en) | 2014-09-09 | 2016-03-17 | Hewlett Packard Enterprise Development Lp | Auto-configuration and management of storage resources |
CN105471830A (zh) | 2014-09-10 | 2016-04-06 | 中国电信股份有限公司 | 用于消解安全策略冲突的方法、装置和系统 |
US9641249B2 (en) | 2014-09-18 | 2017-05-02 | Lenovo Enterprise Solutions (Singapore) Pte, Ltd. | Support for converged fiber channel over ethernet (FCoE) traffic on software defined networks (SDNs) |
US9787572B2 (en) | 2014-10-07 | 2017-10-10 | Cisco Technology, Inc. | Conflict avoidant traffic routing in a network environment |
US9781004B2 (en) | 2014-10-16 | 2017-10-03 | Cisco Technology, Inc. | Discovering and grouping application endpoints in a network environment |
US9690644B2 (en) | 2014-11-06 | 2017-06-27 | International Business Machines Corporation | Cognitive analysis for healing an IT system |
US10992520B2 (en) | 2014-11-06 | 2021-04-27 | Hewlett Packard Enterprise Development Lp | Network policy graphs |
US10116493B2 (en) | 2014-11-21 | 2018-10-30 | Cisco Technology, Inc. | Recovering from virtual port channel peer failure |
US9594640B1 (en) | 2014-11-25 | 2017-03-14 | VCE IP Holding Company LLC | Backup/recovery system and method for a computing environment |
US10425282B2 (en) | 2014-11-28 | 2019-09-24 | Hewlett Packard Enterprise Development Lp | Verifying a network configuration |
CN105721193B (zh) | 2014-12-05 | 2020-04-28 | 方正国际软件(北京)有限公司 | 一种系统信息监控的方法和设备 |
WO2016093861A1 (en) | 2014-12-12 | 2016-06-16 | Nokia Solutions And Networks Oy | Alarm correlation in network function virtualization environment |
US9680875B2 (en) | 2015-01-20 | 2017-06-13 | Cisco Technology, Inc. | Security policy unification across different security products |
CN105991332A (zh) | 2015-01-27 | 2016-10-05 | 中兴通讯股份有限公司 | 告警处理方法及装置 |
US10411951B2 (en) | 2015-02-10 | 2019-09-10 | Hewlett Packard Enterprise Development Lp | Network policy conflict detection and resolution |
US10530697B2 (en) | 2015-02-17 | 2020-01-07 | Futurewei Technologies, Inc. | Intent based network configuration |
CN104615840B (zh) * | 2015-03-05 | 2017-08-11 | 北京润科通用技术有限公司 | 一种数字仿真模型的修正方法及系统 |
US10504025B2 (en) | 2015-03-13 | 2019-12-10 | Cisco Technology, Inc. | Parallel processing of data by multiple semantic reasoning engines |
WO2016161127A1 (en) | 2015-04-01 | 2016-10-06 | Neutrona Networks International Llc | Network management system with traffic engineering for a software defined network |
US10601642B2 (en) | 2015-05-28 | 2020-03-24 | Cisco Technology, Inc. | Virtual network health checker |
US9929949B2 (en) | 2015-06-29 | 2018-03-27 | Google Llc | Systems and methods for inferring network topology and path metrics in wide area networks |
US20170026292A1 (en) | 2015-07-20 | 2017-01-26 | Schweitzer Engineering Laboratories, Inc. | Communication link failure detection in a software defined network |
US10243778B2 (en) | 2015-08-11 | 2019-03-26 | Telefonaktiebolaget L M Ericsson (Publ) | Method and system for debugging in a software-defined networking (SDN) system |
CN106488487A (zh) | 2015-08-27 | 2017-03-08 | 中兴通讯股份有限公司 | 故障检测方法及装置 |
EP3272073A4 (en) | 2015-08-31 | 2018-11-14 | Hewlett-Packard Enterprise Development LP | Control channel usage monitoring in a software-defined network |
US10148489B2 (en) | 2015-09-01 | 2018-12-04 | At&T Intellectual Property I, L.P. | Service impact event analyzer for cloud SDN service assurance |
US9929924B2 (en) | 2015-09-25 | 2018-03-27 | Telefonaktiebolaget Lm Ericsson (Publ) | SDN controller logic-inference network troubleshooter (SDN-LINT) tool |
WO2017058657A1 (en) | 2015-09-28 | 2017-04-06 | Evenroute, Llc | Automatic qos optimization in network equipment |
US9882833B2 (en) | 2015-09-28 | 2018-01-30 | Centurylink Intellectual Property Llc | Intent-based services orchestration |
US9729582B2 (en) * | 2015-09-29 | 2017-08-08 | The Trustees Of The University Of Pennsylvania | Methods, systems, and computer readable media for generating software defined networking (SDN) policies |
US10291654B2 (en) | 2015-09-30 | 2019-05-14 | Symantec Corporation | Automated construction of network whitelists using host-based security controls |
CN106603264A (zh) | 2015-10-20 | 2017-04-26 | 阿里巴巴集团控股有限公司 | 一种定位故障根源的方法和设备 |
US10643149B2 (en) | 2015-10-22 | 2020-05-05 | Oracle International Corporation | Whitelist construction |
US10419530B2 (en) | 2015-11-02 | 2019-09-17 | Telefonaktiebolaget Lm Ericsson (Publ) | System and methods for intelligent service function placement and autoscale based on machine learning |
US10135841B2 (en) | 2015-11-03 | 2018-11-20 | Juniper Networks, Inc. | Integrated security system having threat visualization and automated security device control |
US10069646B2 (en) | 2015-12-02 | 2018-09-04 | Nicira, Inc. | Distribution of tunnel endpoint mapping information |
US10623339B2 (en) | 2015-12-17 | 2020-04-14 | Hewlett Packard Enterprise Development Lp | Reduced orthogonal network policy set selection |
US10979311B2 (en) | 2016-01-05 | 2021-04-13 | Schneider Electric USA, Inc. | System and method for validating network configuration changes in a client environment |
US10261858B2 (en) | 2016-01-20 | 2019-04-16 | Intel Corporation | TCAM soft-error detection method and apparatus |
CN105721297B (zh) | 2016-01-28 | 2019-04-09 | 北京国电通网络技术有限公司 | 基于sdn网络中路由环路的检测方法及系统 |
CN106130766B (zh) | 2016-09-23 | 2020-04-07 | 深圳灵动智网科技有限公司 | 一种基于sdn技术实现自动化网络故障分析的系统和方法 |
US20170187577A1 (en) | 2017-03-14 | 2017-06-29 | Nuviso Networks Inc | System for configuring network devices |
US10581694B2 (en) * | 2017-05-31 | 2020-03-03 | Cisco Technology, Inc. | Generation of counter examples for network intent formal equivalence failures |
-
2017
- 2017-07-28 US US15/662,906 patent/US10547715B2/en active Active
-
2018
- 2018-06-04 WO PCT/US2018/035811 patent/WO2018231566A1/en active Application Filing
- 2018-06-04 EP EP18735447.7A patent/EP3639476A1/en active Pending
- 2018-06-04 CN CN201880039063.4A patent/CN110741602B/zh active Active
-
2020
- 2020-01-24 US US16/752,198 patent/US11102337B2/en active Active
-
2021
- 2021-08-02 US US17/392,241 patent/US11563833B2/en active Active
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN105284135A (zh) * | 2013-03-15 | 2016-01-27 | 思科技术公司 | 支持软件定义网络环境中任意事件的可编程性 |
Also Published As
Publication number | Publication date |
---|---|
US20180367652A1 (en) | 2018-12-20 |
CN110741602A (zh) | 2020-01-31 |
US11102337B2 (en) | 2021-08-24 |
EP3639476A1 (en) | 2020-04-22 |
US20200162590A1 (en) | 2020-05-21 |
US10547715B2 (en) | 2020-01-28 |
US11563833B2 (en) | 2023-01-24 |
US20210368031A1 (en) | 2021-11-25 |
WO2018231566A1 (en) | 2018-12-20 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN110754064B (zh) | 网络结构中的路由信息的验证 | |
CN110741603B (zh) | 拓扑探测器 | |
CN110692227B (zh) | 识别网络意图形式对等性失败中的冲突规则 | |
CN110612702B (zh) | 针对不一致的意图规范检查 | |
CN110612706B (zh) | 网络中服务质量配置的保证 | |
US11178009B2 (en) | Static network policy analysis for networks | |
CN110710159B (zh) | 用于网络配置和故障排除的方法、系统、设备和介质 | |
CN112219382B (zh) | 网络中的安全规则的保证 | |
CN110785965B (zh) | 对结构中配置的正确部署执行网络保证检查的系统和方法 | |
CN110741602B (zh) | 响应于网络意图形式对等性失败的事件生成 | |
CN110710161B (zh) | 生成网络的设备级逻辑模型 | |
CN110785964B (zh) | 网络中第3层桥接域子网的验证 | |
CN110785963B (zh) | 从网络收集网络模型和节点信息 | |
CN110754065B (zh) | 网络的逻辑级和硬件级之间的网络验证 | |
CN111034123B (zh) | 用于执行网络保证检查的系统、方法及计算机可读介质 | |
CN112470431A (zh) | 使用自动布尔学习的网络的模型的合成 | |
CN110754063B (zh) | 验证节点之间的端点配置 | |
US10623271B2 (en) | Intra-priority class ordering of rules corresponding to a model of network intents | |
CN111684439A (zh) | 网络保证数据库版本兼容性 | |
CN110800259B (zh) | 跨以应用为中心的维度的分布式故障代码聚合 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |