CN111684439A

CN111684439A - 网络保证数据库版本兼容性

Info

Publication number: CN111684439A
Application number: CN201980011496.3A
Authority: CN
Inventors: 科利瓦卡姆·拉格哈文
Original assignee: Cisco Technology Inc
Current assignee: Cisco Technology Inc
Priority date: 2018-02-06
Filing date: 2019-02-04
Publication date: 2020-09-18
Anticipated expiration: 2039-02-04
Also published as: CN111684439B; EP3750077A1; US20190243915A1; WO2019156927A1; US10572495B2

Abstract

用于对由网络工具生成的数据进行版本控制以提供跨网络工具的不同版本的兼容性的系统、方法和计算机可读介质。在一些实施例中，一种方法可以包括由处于第一特定版本状态的网络工具的第一实例(504‑1)生成包括网络事件的网络保证数据。与第一特定版本状态唯一对应的版本标识符可以被附加到网络保证数据(506)。可以从处于第二特定版本状态的网络工具的第二实例(504‑2)接收(502)对网络保证数据的查询。随后，可以使用与第一特定版本状态唯一对应并被附加到网络保证数据的版本标识符根据针对由网络工具生成的数据的版本约束，向网络工具的第二实例提供对网络保证数据的访问。

Description

网络保证数据库版本兼容性

相关申请的交叉引用

本申请要求于2018年2月6日提交的美国申请第15/890,022号的优先权，通过引用将该申请的全部内容合并于此。

技术领域

本技术涉及对由网络工具生成的数据进行版本控制(versioning)，并且具体地涉及对由网络工具生成的数据进行版本控制以提供跨网络工具的不同版本的兼容性。

背景技术

在网络环境中，可以将传感器放置在网络中的各种设备或元件上，以从不同位置收集流数据和网络统计信息。可以对从传感器收集的数据进行分析以监视网络并对网络进行故障排除。从传感器收集的数据可以提供有关网络的状态、安全性或性能以及有关任何网络元素的有价值的详细信息。有关传感器的信息还可以帮助解释来自传感器的数据，以便从所收集的数据中推断或确定另外的细节。例如，了解传感器在网络中相对于其他传感器的放置可以为传感器所报告的数据提供上下文，这可以进一步帮助识别网络中的特定模式或条件。网络工具可用于生成与流数据和网络统计信息有关的数据。通常会更新此类网络工具以创建工具的较新版本。更新后的网络工具通常是向后兼容的。更具体地，新版本的网络工具通常可以读取由较旧版本的网络工具生成或收集的数据。但是，网络工具通常不是向前兼容的。更具体地，较旧版本的网络工具通常无法读取由较新版本的网络工具生成或收集的数据。因此，较旧版本的网络工具将无法按设计运行，因为它们无法读取由较新版本的网络工具生成或收集的数据。用户经常回滚(roll back)网络工具的版本的事实进一步加剧了该问题。

附图说明

为了描述可以获得本公开的上述和其他优点和特征的方式，将通过参考在附图中示出的上面简要描述的原理的特定实施例来呈现对这些原理的更具体的描述。应理解，这些附图仅描绘了本公开的示例性实施例，因此不应认为是对其范围的限制，通过使用附图，利用附加特征和细节描述和解释了本文的原理，在附图中：

图1A和1B示出了示例网络环境；

图2A示出了网络的示例对象模型；

图2B示出了来自图2A的示例对象模型中的租户对象(tenant object)的示例对象模型；

图2C示出了来自图2A的示例对象模型中的各对象的示例关联；

图2D示出了用于实现来自图2A的示例对象模型的示例模型的示意图；

图3A示出了示例网络保证设备(network assurance appliance)；

图3B示出了用于网络保证的示例系统；

图3C示出了用于网络中的静态策略分析的示例系统的示意图。

图4示出了用于网络保证的示例方法实施例；

图5示出了用于对由网络工具针对网络环境生成或收集的保证数据进行版本控制的环境；

图6示出了对由网络工具生成的数据进行版本控制以提供跨网络工具的不同版本的兼容性的示例方法的流程图；

图7示出了根据各种实施例的示例网络设备；以及

图8示出了根据各种实施例的示例计算设备。

具体实施方式

下面详细讨论本公开的各种实施例。虽然讨论了具体实现方式，但应该理解，仅是出于说明目的而这样做的。相关领域的技术人员将认识到，在不脱离本公开的精神和范围的情况下，可以使用其他组件和配置。因此，以下描述和附图是说明性的而不应被解释为限制性的。描述了许多具体细节以提供对本公开的透彻理解。然而，在某些情形下，没有描述众所周知的或传统的细节以避免模糊本描述。在本公开中参考一个实施例或参考实施例可以是参考相同的实施例或任意实施例；并且，这样的参考指的是实施例中的至少一个。

对“一个实施例”或“实施例”的参考意味着结合该实施例描述的特定特征、结构或特性被包括在本公开的至少一个实施例中。在说明书中各处出现的短语“在一个实施例中”不一定都指代相同的实施例，也不是与其他实施例互斥的单独或替代的实施例。此外，描述了可以由一些实施例而不由其他实施例展示的各种特征。

本说明书中使用的术语在本公开的上下文中以及在其中每个术语被使用的特定上下文中通常具有其在本领域中的普通含义。替代语言和同义词可以用于本文所讨论的任何一个或多个术语，并且本文是否详述或论述某一术语不应被看作具有特殊意义。在一些情况下，提供了某些术语的同义词。对一个或多个同义词的记载不排除对其他同义词的使用。本说明书中任何地方的对示例(包括本文所讨论的任何术语的示例)的使用仅是说明性的，并且不旨在进一步限制本公开或任何示例术语的范围和含义。同样地，本公开不限于本说明书中给出的各种实施例。

不意图限制本公开的范围，下面给出根据本公开的实施例的工具、装置、方法、及其相关结果的示例。注意，为了方便读者，可能在示例中使用标题或副标题，这绝不应限制本公开的范围。除非另有定义，否则本文使用的技术和科学术语具有本公开所属领域的普通技术人员通常理解的含义。在发生冲突的情况下，以包括定义的本文档为准。

将在下面的描述中阐述本公开的其他特征和优点，并且其部分将从描述中变得清晰可见，或者可以通过实践本文公开的原理来进行学习。借助于所附权利要求中具体指出的工具和组合，可以实现和获得本公开的特征和优点。根据以下描述和所附权利要求，本公开的这些和其他特征将变得更加完全地显现出来，或者可以通过实践本文阐述的原理来进行学习。

概述

在独立权利要求中陈述了本发明的方面，并在从属权利要求中陈述了优选特征。一个方面的特征可以单独地或与其他方面结合地应用于每个方面。

一种方法可以包括由处于第一特定版本状态的网络工具的第一实例生成包括网络事件的网络保证数据。与网络工具的第一特定版本状态唯一对应的版本标识符可以被附加到由网络工具的第一实例生成的网络保证数据。此外，该方法可以包括从处于第二特定版本状态的网络工具的第二实例接收对由网络工具的第一实例生成的网络保证数据的查询。随后，可以使用版本标识符根据针对由网络工具生成的数据的版本约束，向网络工具的第二实例提供由网络工具的第一实例生成的网络保证数据，其中该版本标识符与网络工具的第一特定版本状态唯一对应并且被附加到由网络工具的第一实例生成的网络保证数据。

一种系统可以由处于特定版本状态的网络工具的第一实例生成包括网络事件的网络保证数据。网络工具可以是保证设备。该系统可以将与网络工具的第一特定版本状态唯一对应的版本标识符附加到由网络工具的第一实例生成的网络保证数据。此外，可以从处于第二特定版本状态的网络工具的第二实例接收对由网络工具的第一实例生成的网络保证数据的查询。随后，该系统可以使用版本标识符根据针对由网络工具生成的数据的版本约束，向网络工具的第二实例提供对由网络工具的第一实例生成的网络保证数据的访问，其中该版本标识符与网络工具的第一特定版本状态唯一对应并且被附加到由网络工具的第一实例生成的网络保证数据。

一种系统可以包括由处于特定版本状态的网络工具的第一实例生成包括网络事件的网络保证数据。该系统可以将与网络工具的第一特定版本状态唯一对应的版本标识符附加到由网络工具的第一实例生成的网络保证数据。与网络工具的第一版本状态唯一对应的版本标识符可以通过基于单调增加序列的版本控制方案被分配给网络工具的第一版本状态。此外，可以从处于第二特定版本状态的网络工具的第二实例接收对由网络工具的第一实例生成的网络保证数据的查询。随后，该系统可以使用版本标识符根据针对由网络工具生成的数据的版本约束，向网络工具的第二实例提供对由网络工具的第一实例生成的网络保证数据的访问，其中该版本标识符与网络工具的第一特定版本状态唯一对应并且被附加到由网络工具的第一实例生成的网络保证数据。

示例实施例

所公开的技术解决了本领域中对提供网络保证的需求。本技术涉及用于对由网络工具生成的数据进行版本控制以提供跨网络工具的不同版本的兼容性的系统、方法和计算机可读介质。本技术将在下面的公开内容中被描述如下。

本讨论开始于对网络保证的介绍性讨论和对示例计算环境的描述，如图1A和图1B所示。然后接下来是对用于网络保证的网络模型(如图2A至2D所示)以及网络保证系统和方法(如图3A-C和图4所示)的讨论。本讨论以版本控制保证数据的描述和示例继续，如图5和图6所示。本讨论以对示例网络设备(如图7中所示)和示例计算设备(如图8中所示)的描述结束，这些设备包括适合于容宿软件应用和执行计算操作的示例硬件组件。本公开现在转向对网络保证的介绍性讨论。

网络保证是确保或确定网络正在按照网络运营商的意图行动并且已经被恰当配置(例如，网络正在实现网络和各个网络元件(例如，交换机、路由器、应用、资源等))。然而，经常地，网络运营商所定义的配置、策略等是不正确的或者未能准确地反映在网络的实际行为中。例如，网络运营商为一种或多种类型的流量指定配置A，但后来发现网络实际上正在将配置B应用于该流量或以与配置A不一致的方式处理该流量。这可能是许多不同原因导致的结果，例如硬件错误、软件缺陷、变化的优先级、配置冲突、一个或多个设置的误配置、设备不适当的规则呈现、意外错误或事件、软件升级、配置更改、失败等。作为另一示例，网络运营商实现配置C，但一个或多个其他配置导致网络以与配置C的实现方式所反映的意图不一致的方式行动。例如，当配置C与网络中的其他配置冲突时会导致这样的情形。

本文中的方法可以通过对网络的各个方面建模和/或执行一致性检查以及其他网络保证检查来提供网络保证。可以在各种类型的网络中实现本文的网络保证方法，所述各种类型的网络包括私有网络，例如局域网(LAN)；企业网络；独立的或传统的网络，例如数据中心网络；包括物理或底层以及逻辑或覆盖层的网络，例如VXLAN或软件定义的网络(SDN)(例如，以应用为中心的基础设施(ACI)或VMware NSX网络)；等等。

可以针对网络构建网络模型并且针对网络保证实现网络模型。网络模型可以提供对网络的一个或多个方面的表示。包括但不限于网络的策略、配置、要求、安全性、路由、拓扑结构、应用、硬件、过滤器、契约、访问控制列表、基础设施，等等。如下面将进一步解释的，可以为网络生成不同类型的模型。

可以实现这样的模型以确保网络的行为将与通过由网络运营商实现的具体配置(例如，策略、设置、定义等)所反映的预期行为一致(或保持一致)。与涉及发送和分析数据分组并观察网络行为的传统网络监视不同，可以通过建模执行网络保证，而不必摄取分组数据或监视流量或网络行为。这可产生先见之明、洞悉、和后见之明：可以在问题发生之前加以预防，在发生问题时识别问题，并在问题发生后立即修复问题。

因此，网络保证可以涉及网络的建模性质以确定性地预测网络的行为。如果(一个或多个)模型指示适当的行为(例如，没有不一致、冲突、错误等)，则可以确定网络是健康的。如果建模指示适当的行为但有点不一致，则可以确定网络是可实现功能的，但不是完全健康的。如果建模指示不适当的行为和错误，则可以确定网络是不能实现功能的并且不健康。如果通过建模检测到不一致或错误，则对相应的(一个或多个)模型的详细分析可以允许非常准确地识别出一个或多个基础或根本问题。

建模可能会消耗多种类型的智能事件(smart event)，其对网络的大量行为方面进行建模。智能事件可能影响网络的各个方面，例如底层服务、覆盖服务、租户连通性、租户安全性、租户端点(EP)移动性、租户策略、租户路由、资源等。

已经描述了网络保证的各种方面，本公开现在转到对用于网络保证的示例网络环境的讨论。

图1A示出了示例网络环境100(例如，数据中心)的图示。网络环境100可以包括可以表示网络环境100的物理层或基础设施(例如，底层)的结构120。结构120可以包括脊节点(spine)102(例如，脊路由器或交换机)和叶节点(leaf)104(例如，叶路由器或交换机)，它们可以互连以在结构120中路由或交换流量。脊节点102可以互连结构120中的叶节点104，并且叶节点104可以将结构120连接到网络环境100的覆盖或逻辑部分，其可以包括应用服务、服务器、虚拟机、容器、端点等。因此，结构120中的网络连通性可以从脊节点102流向叶节点104，反之亦然。叶节点104和脊节点102之间的互连可以是冗余的(例如，多个互连)以避免路由失败。在一些实施例中，叶节点104和脊节点102可以完全连接，使得任何给定的叶节点都连接到每个脊节点102，并且任何给定的脊节点都连接到每个叶节点104。叶节点104可以是例如架顶式(top-of-rack，“ToR”)交换机、聚合交换机、网关、入口和/或出口交换机、提供者边缘设备、和/或任何其他类型的路由或交换设备。

叶节点104可以负责路由和/或桥接租户或客户分组以及应用网络策略或规则。网络策略和规则可以由一个或多个控制器116驱动，和/或由诸如叶节点104之类的一个或多个设备实现或实施。叶节点104可以将其他元件连接到结构120。例如，叶节点104可以将服务器106、管理程序108、虚拟机(VM)110、应用112、网络设备114等与结构120连接。这些元件可以驻留在一个或多个逻辑或虚拟层或网络中，例如覆盖网络。在一些情况下，叶节点104可以对去往和来自这种元件(例如，服务器106)的分组进行封装和解封装，以便使得能够进行整个网络环境100和结构120内的通信。叶节点104还可以向任何其他设备、服务、租户、或工作负载提供对结构120的接入。在一些情况下，连接到叶节点104的服务器106可以类似地对去往和来自叶节点104的分组进行封装和解封装。例如，服务器106可以包括一个或多个虚拟交换机或路由器或隧道端点，用于在由服务器106容宿或连接到服务器106的覆盖层或逻辑层与由结构120表示并通过叶节点104访问的底层之间用隧道传输分组。

应用112可以包括软件应用、服务、容器、设备、功能、服务链等。例如，应用112可以包括防火墙、数据库、CDN服务器、IDS/IPS、深度分组检查服务、消息路由器、虚拟变换机等。来自应用112的应用可以由多个端点(例如，服务器106、VM 110等)分发、链接或容宿，或者可以完全从单个端点运行或执行。

VM 110可以是由管理程序108容宿的虚拟机或在服务器106上运行的虚拟机管理器。VM 110可以包括在相应服务器上的访客操作系统上运行的工作负载。管理程序108可以提供创建、管理和/或运行VM 110的软件、固件和/或硬件层。管理程序108可以允许VM 110共享服务器106上的硬件资源，并且允许服务器106上的硬件资源显示为多个单独的硬件平台。此外，服务器106上的管理程序108可以容宿一个或多个VM 110。

在一些情况下，VM 110和/或管理程序108可以迁移到其他服务器106。服务器106可以类似地迁移到网络环境100中的其他位置。例如，连接到特定叶节点的服务器可以改变为连接到不同的或额外的叶节点。此类配置或部署更改可涉及对应用于正在迁移的资源以及其他网络组件的设置、配置和策略的修改。

在一些情况下，一个或多个服务器106、管理程序108和/或VM 110可以表示或驻留在租户或客户空间中。租户空间可以包括与一个或多个客户端或订户相关联的工作负载、服务、应用、设备、网络和/或资源。因此，可以基于特定租户策略、空间、协议、配置等来路由网络环境100中的流量。此外，寻址可以在一个或多个租户之间变化。在一些配置中，租户空间可以被划分为逻辑段和/或网络，并且与跟其他租户相关联的逻辑段和/或网络分开。租户之间的寻址、策略、安全性和配置信息可以由控制器116、服务器106、叶节点104等管理。

可以在逻辑级、硬件级(例如，物理级)和/或两者处实现网络环境100中的配置。例如，可以通过软件定义的网络(SDN)框架(例如，以应用为中心的基础设施(ACI)或VMWARENSX)，基于端点或资源属性(例如，端点类型和/或应用组或简档)来在逻辑和/或硬件级实现配置。为了说明，一个或多个管理员可以通过控制器116在逻辑级(例如，应用或软件级)定义配置，控制器116可以通过网络环境100实现或传播这样的配置。在一些示例中，控制器116可以是ACI框架中的应用策略基础设施控制器(APIC)。在其他示例中，控制器116可以是与其他SDN解决方案相关联的一个或多个管理组件，例如，NSX管理器。

这样的配置可以定义用于在网络环境100中路由和/或分类流量的规则、策略、优先级、协议、属性、对象等。例如，这样的配置可以定义用于基于端点组(EPG)、安全组(SG)、VM类型、桥接域(BD)、虚拟路由和转发实例(VRF)、租户、优先级、防火墙规则等来分类和处理流量的属性和对象。下面进一步描述其他示例网络对象和配置。可以基于流量的标签、属性或其他特性来实施流量策略和规则，诸如与流量相关联的协议、与流量相关联的EPG、与流量相关联的SG、与流量相关联的网络地址信息等。这样的策略和规则可以由网络环境100中的一个或多个元件(例如，叶节点104、服务器106、管理程序108、控制器116等)实施。如前所述，可以根据一个或多个特定软件定义的网络(SDN)解决方案(例如，CISCO ACI或VMWARENSX)来配置网络环境100。下面简要描述这些示例SDN解决方案。

ACI可以通过可缩放的分布式实施来提供以应用为中心或基于策略的解决方案。ACI支持在针对网络、服务器、服务、安全性、要求等的声明性配置模型下集成物理和虚拟环境。例如，ACI框架实现EPG，EPG可以包括共享通用配置要求(例如，安全性、QoS、服务等)的端点或应用的集合。端点可以是虚拟/逻辑或物理设备，例如，连接到网络环境100的VM、容器、主机或物理服务器。端点可以具有一个或多个属性，例如，VM名称、访客OS名称、安全标签、应用简档等。应用配置可以以契约的形式在EPG之间应用，而不是直接应用于端点之间。叶节点104可以将传入的流量分类为不同的EPG。分类可以基于例如网络段标识符，例如，VLAN ID、VXLAN网络标识符(VNID)、NVGRE虚拟子网标识符(VSID)、MAC地址、IP地址等。

在一些情况下，ACI结构中的分类可以由应用虚拟交换机(AVS)实现，其可以在诸如服务器或交换机之类的主机上运行。例如，AVS可以基于指定的属性对流量进行分类，并且对具有不同标识符(例如，网络段标识符(例如，VLAN ID))的不同属性EPG的分组进行标记。最后，叶节点104可以基于其标识符和实施策略来将分组与其属性EPG捆绑，这可以由一个或多个控制器116实现和/或管理。叶节点104可以对来自主机的流量属于哪个EPG进行分类并且相应地实施策略。

另一示例SDN解决方案基于VMWARE NSX。使用VMWARE NSX，主机可以运行分布式防火墙(DFW)，其可以对流量进行分类和处理。考虑将三种类型的VM(即，应用、数据库和webVM)放入单个第2层网络段的情况。可以基于VM类型在网络段内提供流量保护。例如，可以在web VM之间允许HTTP流量，并且在web VM与应用或数据库VM之间不允许HTTP流量。为了对流量进行分类并实现策略，VMWARE NSX可以实现安全组，该安全组可用于对特定VM(例如，web VM、应用VM、数据库VM)进行分组。可以配置DFW规则以实现针对特定安全组的策略。为了说明，在先前的示例的上下文中，DFW规则可以被配置为阻止web、应用和数据库安全组之间的HTTP流量。

现在回到图1A，网络环境100可以通过叶节点104、服务器106、管理程序108、VM110、应用112和控制器116来部署不同的主机，例如VMWARE ESXi主机、WINDOWS HYPER-V主机、裸金属物理主机等。网络环境100可以与各种管理程序108、服务器106(例如，物理和/或虚拟服务器)、SDN编排平台等进行互操作。网络环境100可以实现声明性模型以允许其与应用设计和整体网络策略的集成。

控制器116可以提供对软件定义的网络(SDN)基础设施的结构信息、应用配置、资源配置、应用级配置建模的集中访问，与管理系统或服务器的集成等。控制器116可以形成通过上行(northbound)API与应用平面进行接口，并且通过下行(southbound)API与数据平面进行接口的控制平面。

如前所述，控制器116可以定义和管理网络环境100中的针对配置的(一个或多个)应用级模型。在一些情况下，还可以由网络中的其他组件管理和/或定义应用或设备配置。例如，管理程序或虚拟设备(例如，VM或容器)可以运行服务器或管理工具来管理网络环境100中的软件和服务，包括虚拟设备的配置和设置。

如上所示，网络环境100可以包括一个或多个不同类型的SDN解决方案、主机等。为了清楚和解释的目的，将参考ACI框架描述本公开中的各种示例，并且控制器116可以可互换地被称为控制器、APIC或APIC控制器。然而，应该注意，本文的技术和概念不限于ACI解决方案，并且可以在其他架构和场景中实现，包括其他SDN解决方案以及可以不部署SDN解决方案的其他类型的网络。

此外，如本文所引用的，术语“主机”可以指代服务器106(例如，物理的或逻辑的)、管理程序108、VM 110、容器(例如，应用112)等，并且可以运行或包括任何类型的服务器或应用解决方案。“主机”的非限制性示例可以包括虚拟交换机或路由器，例如分布式虚拟交换机(DVS)、应用虚拟交换机(AVS)、矢量分组处理(VPP)交换机；VCENTER和NSX管理器；裸金属物理主机；HYPER-V主机；VM；DOCKER容器；等等。

图1B示出了网络环境100的另一示例。在该示例中，网络环境100包括连接到结构120中的叶节点104的端点122。端点122可以是物理和/或逻辑或虚拟实体，诸如服务器、客户端、VM、管理程序、软件容器、应用、资源、网络设备、工作负载等。例如，端点122可以是表示下列项的对象：物理设备(例如，服务器、客户端、交换机等)、应用(例如，web应用、数据库应用等)、逻辑或虚拟资源(例如，虚拟交换机、虚拟服务设备、虚拟化网络功能(VNF)、VM、服务链等)、运行软件资源的容器(例如，应用、设备、VNF、服务链等)、存储设备、工作负载或工作负载引擎等。端点122可以具有地址(例如，身份)、位置(例如，主机、网络段、虚拟路由和转发(VRF)实例、域等)、一个或多个属性(例如，名称、类型、版本、补丁级别、OS名称、OS类型等)、标签(例如，安全性标签)、简档等。

端点122可以与相应的逻辑组118相关联。逻辑组118可以是包含根据以下各项分组在一起的端点(物理和/或逻辑或虚拟)的逻辑实体：一个或多个属性(例如，端点类型(例如，VM类型、工作负载类型、应用类型等))，一个或多个要求(例如，策略要求、安全性要求、QoS要求、客户要求、资源要求等)，资源名称(例如，VM名称、应用名称等)，简档，平台或操作系统(OS)特性(例如，包括访客和/或主机OS的OS类型或名称等)，关联的网络或租户，一个或多个策略，标签等。例如，逻辑组可以是表示分组在一起的端点集合的对象。为了说明，逻辑组1可以包含客户端端点，逻辑组2可以包含web服务器端点，逻辑组3可以包含应用服务器端点，逻辑组N可以包含数据库服务器端点等。在一些示例中，逻辑组118是ACI环境中的EPG和/或另一SDN环境中的其他逻辑组(例如，SG)。

可以基于逻辑组118对去往端点122和/或来自端点122的流量进行分类、处理、管理等。例如，逻辑组118可以用于对去往端点122或者来自端点122的流量进行分类，将策略应用于去往端点122或者来自端点122的流量，定义端点122之间的关系，定义端点122的角色(例如，端点是消费还是提供服务等)，将规则应用于去往端点122或来自端点122的流量，对去往端点122或来自端点122的流量应用过滤器或访问控制列表(ACL)，为去往端点122或来自端点122的流量定义通信路径，实施与端点122相关联的要求，实现与端点122相关联的安全性以及其他配置等。

在ACI环境中，逻辑组118可以是用于在ACI中定义契约的EPG。契约可以包括指定EPG之间发生什么通信和如何发生通信的规则。例如，契约可以定义提供服务的是什么，消费服务的是什么以及什么策略对象与该消费关系相关。契约可以包括定义如下内容的策略：通信路径以及端点或EPG之间的通信或关系的所有相关元素。例如，Web EPG可以提供客户端EPG所消费的服务，并且该消费可以受制于过滤器(ACL)和包括一个或多个服务(例如，防火墙检验服务和服务器负载平衡)的服务图。

图2A示出了诸如网络环境100之类的SDN网络的示例管理信息模型200的图示。以下对管理信息模型200的讨论提及了各种术语，在整个公开中也将使用这些术语。因此，为清楚起见，本公开首先将在下面提供术语列表，随后将对管理信息模型200进行更详细的讨论。

如本文所使用的，“别名(Alias)”可以指代给定对象的可变名称。因此，即使对象的名称一旦创建就无法更改，别名也可以是可以更改的字段。

如本文所使用的，术语“别名化(Aliasing)”可以指代与一个或多个其他规则重叠的规则(例如，契约、策略、配置等)。例如，如果在网络的逻辑模型中定义的契约1与在网络的逻辑模型中定义的契约2重叠，则可以说契约1别名化契约2。在此示例中，通过别名化契约2，契约1可使得契约2冗余或不可操作。例如，如果契约1具有比契约2更高的优先级，则这种别名化可基于契约1的重叠和更高优先级特性而致使契约2冗余。

如本文所使用的，术语“APIC”可以指代ACI框架中的一个或多个控制器(例如，控制器116)。APIC可以为ACI多租户结构提供统一的自动化和管理点、策略编程、应用部署、健康监控。APIC可以实现为单个控制器，分布式控制器，或复制的、同步的和/或集群的控制器。

如本文所使用的，术语“BDD”可以指代二元决策树。二元决策树可以是表示函数(例如，布尔函数)的数据结构。

如本文所使用的，术语“BD”可以指代桥接域。桥接域可以是一组共享相同洪泛或广播特性的逻辑端口。与虚拟LAN(VLAN)一样，桥接域可以跨越多个设备。桥接域可以是L2(第2层)构造。

如本文所使用的，“消费者”可以指代消费服务的端点、资源和/或EPG。

如本文所使用的，“情境”可以指代L3(第3层)地址域，其允许路由表的多个实例存在并同时工作。这通过允许在不使用多个设备的情况下对网络路径进行分段来提高功能性。情境或L3地址域的非限制性示例可以包括虚拟路由和转发(VRF)实例、私有网络等。

如本文所使用的，术语“契约”可以指代指定在网络中进行什么通信以及如何进行通信(例如，允许、拒绝、过滤、处理通信等)的规则或配置。在ACI网络中，契约可以指定端点和/或EPG之间的通信如何发生。在一些示例中，契约可以提供类似于访问控制列表(ACL)的规则和配置。

如本文所使用的，术语“可辨别名称”(DN)可以指代描述诸如MO之类的对象并且定位其在管理信息模型200中的位置的唯一名称。在一些情况下，DN可以是(或等同于)全限定域名(FQDN)。

如本文所使用的，术语“端点组”(EPG)可以指代与端点的集合或组相关联的逻辑实体或对象，如先前参考图1B所描述的。

如本文所使用的，术语“过滤器”可以指代用于允许通信的参数或配置。例如，在其中默认情况下所有通信都被阻止的白名单模型中，必须给予通信明确的许可，以防止此类通信被阻止。过滤器可以定义针对一个或多个通信或分组的(一个或多个)许可。因此，过滤器的功能可以类似于ACL或防火墙规则。在一些示例中，过滤器可以在分组(例如，TCP/IP)头部字段中实现，例如，L3协议类型、L4(第4层)端口等，其例如用于允许端点或EPG之间的入站或出站通信。

如本文所使用的，术语“L2输出”可以指代桥接连接。桥接连接可以连接同一网络的两个或更多个段，使得它们可以通信。在ACI框架中，L2输出可以是ACI结构(例如，结构120)和外部第2层网络(例如，交换机)之间的桥接(第2层)连接。

如本文所使用的，术语“L3输出”可以指代路由连接。路由第3层连接使用一组协议，该组协议确定数据所遵循的路径以便跨网络地从其源行进到其目的地。路由连接可以根据所选择的协议(例如，BGP(边界网关协议)、OSPF(开放式最短路径优先)、EIGRP(增强型内部网关路由协议)等)来执行转发(例如，IP转发)。

如本文所使用的，术语“管理对象”(MO)可以指代在网络(例如，网络环境100)中管理的对象的抽象表示。对象可以是具体对象(例如，交换机、服务器、适配器等)或逻辑对象(例如，应用简档、EPG、故障等)。MO可以是在网络中管理的网络资源或元素。例如，在ACI环境中，MO可以包括ACI结构(例如，结构120)资源的抽象。

如本文所使用的，术语“管理信息树”(MIT)可以指代包含系统的MO的分层管理信息树。例如，在ACI中，MIT包含ACI结构(例如，结构120)的MO。MIT也可以被称为管理信息模型(MIM)，例如管理信息模型200。

如本文所使用的，术语“策略”可以指代用于控制系统或网络行为的某些方面的一个或多个规范。例如，策略可以包括命名实体，该命名实体包含用于控制系统行为的一些方面的规范。为了说明，第3层外部网络策略可以包含BGP协议，以在将结构120连接到外部第3层网络时使能BGP路由功能。

如本文所使用的，术语“简档”可以指代与策略相关联的配置细节。例如，简档可以包括命名实体，该实体包含用于实现策略的一个或多个实例的配置细节。为了说明，针对路由策略的交换机节点简档可以包含特定于交换机的配置细节以实现BGP路由协议。

如本文所使用的，术语“提供者”指代提供服务的对象或实体。例如，提供者可以是提供服务的EPG。

如本文所使用的，术语“主体”指代用于定义通信的契约中的一个或多个参数。例如，在ACI中，契约中的主体可以指定什么信息可以被传送以及如何被传送。主体的功能类似于ACL。

如本文所使用的，术语“租户”指代网络中的隔离单元。例如，租户可以是安全且排他的虚拟计算环境。在ACI中，租户可以是从策略角度看的隔离单元，但不一定代表私有网络。实际上，ACI租户可以包含多个私有网络(例如，VRF)。租户可以代表服务提供者设置中的消费者、企业设置中的组织或领域、或仅代表策略组。

如本文所使用的，术语“VRF”指代虚拟路由和转发实例。VRF可以定义第3层地址域，其允许路由表的多个实例存在并同时工作。这通过允许在不使用多个设备的情况下对网络路径进行分段来提高功能性。其也被称为情境或私有网络。

已经描述了本文使用的各种术语，本公开现在返回到对图2A中的管理信息模型(MIM)200的讨论。如前所述，MIM 200可以是分层管理信息树或MIT。此外，MIM 200可以由控制器116(例如，ACI中的APIC)管理和处理。控制器116可以通过将其可管理特性呈现为可以根据对象在模型的分层结构内的位置而继承的对象性质来实现对被管理资源的控制。

MIM 200的分层结构从位于顶部(根)的策略全集202开始并且包含双亲(parent)节点和子节点116、204、206、208、210、212。树中的节点116、202、204、206、208、210、212表示管理对象(MO)或对象组。结构(例如，结构120)中的每个对象具有唯一的可辨别名称(DN)，其描述对象并定位其在树中的位置。节点116、202、204、206、208、210、212可以包括如下所述的各种MO，其包含统管系统的操作的策略。

控制器116

控制器116(例如，APIC控制器)可以为结构120提供管理、策略编程、应用部署和健康监控。

节点204

节点204包括用于使管理员能够执行基于域的访问控制的策略的租户容器。租户的非限制性示例可以包括：

管理员根据用户的需求定义的用户租户。它们包含统管资源(例如，应用、数据库、web服务器、网络附接存储、虚拟机等)的操作的策略。

共同租户由系统提供，但是可以由管理员配置。它包含统管所有租户可访问资源(例如，防火墙、负载平衡器、第4层到第7层服务、入侵检测设备等)的操作的策略。

基础设施租户由系统提供，但是可以由管理员配置。它包含统管基础设施资源(例如，结构覆盖(例如，VXLAN))的操作的策略。它还使得结构提供者能够选择性地将资源部署到一个或多个用户租户。基础设施租户策略可由管理员进行配置。

管理租户由系统提供，但是可以由管理员配置。它包含统管结构管理功能的操作的策略，这些功能用于对结构节点的带内和带外配置。管理租户包含用于控制器/结构内部通信的私有界外(out-of-bound)地址空间，该地址空间位于通过交换机的管理端口提供访问的结构数据路径之外。管理租户使能与虚拟机控制器的通信的发现和自动化。

节点206

节点206可以包含统管交换机访问端口的操作的访问策略，交换机访问端口提供到诸如存储、计算、第2层和第3层(桥接和路由)连通性、虚拟机管理程序、第4层到第7层设备等之类的资源的连接。如果租户需要除默认链路、思科发现协议(Cisco DiscoveryProtocol，CDP)、链路层发现协议(LLDP)、链路聚合控制协议(LACP)或生成树协议(STP)中提供的接口配置以外的接口配置，则管理员可以配置访问策略以在叶节点104的访问端口上使能此类配置。

节点206可以包含统管交换机结构端口的操作的结构策略，包括诸如网络时间协议(NTP)服务器同步、中间系统到中间系统协议(IS-IS)、边界网关协议(BGP)路由反射器、域名系统(DNS)等之类的功能。结构MO包含诸如电源、风扇、底座等之类的对象。

节点208

节点208可以包含VM域，其将具有类似的联网策略要求的VM控制器聚集起来。VM控制器可以共享虚拟空间(例如，VLAN或VXLAN空间)和应用EPG。控制器116与VM控制器通信以发布网络配置，例如随后应用于虚拟工作负载的端口组。

节点210

节点210可以包含第4层到第7层服务集成生命周期自动化框架，其使得系统能够在服务在线或离线时动态地做出响应。策略可以提供服务设备包和库存管理功能。

节点212

节点212可以包含统管结构120的用户权限、角色和安全域的访问、认证和计费(AAA)策略。

分层策略模型可以很好地适合API，例如REST API接口。调用时，API可以读取或写入MIT中的对象。URL可以直接映射到标识MIT中的对象的可辨别名称。例如，MIT中的数据可以被描述为以XML或JSON编码的自包含结构化树文本文档。

图2B示出了用于MIM 200的租户部分的示例对象模型220。如前所述，租户是用于使管理员能够执行基于域的访问控制的应用策略的逻辑容器。因此，租户代表了从策略角度看的隔离单元，但它不一定代表私有网络。租户可以代表服务提供者设置中的客户、企业设置中的组织或域、或者仅代表方便的策略分组。此外，租户可以彼此隔离或可以共享资源。

MIM 200的租户部分204A可以包括各种实体，并且租户部分204A中的实体可以从双亲实体继承策略。租户部分204A中的实体的非限制性示例可以包括过滤器240、契约236、外部网络222、桥接域230、VRF实例234、和应用简档224。

桥接域230可以包括子网232。契约236可以包括主体238。应用简档224可以包含一个或多个EPG 226。一些应用可以包含多个组件。例如，电子商务应用可能需要web服务器、数据库服务器、位于存储区域网络中的数据、以及对允许实现金融交易的外部资源的访问。应用简档224包含与提供应用的能力在逻辑上相关的尽可能多(或少)的EPG。

EPG 226可以以各种方式来组织，例如基于它们提供的应用、它们提供的功能(例如基础设施)、它们在数据中心(例如DMZ)的结构中的位置、或者结构或租户管理员选择使用的任何组织原则。

结构中的EPG可以包含各种类型的EPG，例如，应用EPG、第2层外部网络外实例EPG、第3层外部网络外实例EPG、用于带外或带内访问的管理EPG等。EPG 226还可以包含属性228，例如基于封装的EPG、基于IP的EPG、或基于MAC的EPG。

如前所述，EPG可以包含具有共同特性或属性(例如，共同策略要求(例如，安全性、虚拟机移动性(VMM)、QoS、或第4层到第7层服务)的端点(例如，EP 122)。不是单独配置和管理端点，而是可以将它们放在EPG中并作为群组进行管理。

策略应用于EPG，包括它们所包含的端点。EPG可以由管理员在控制器116中静态配置，或者由诸如VCENTER或OPENSTACK之类的自动系统动态地配置。

为在租户部分204A中激活租户策略，应配置结构访问策略并将其与租户策略相关联。访问策略使管理员能够配置其他网络配置，例如，端口信道和虚拟端口信道，诸如LLDP、CDP或LACP之类的协议，以及诸如监控或诊断之类的特征。

图2C示出了MIM 200中的租户实体和访问实体的示例关联260。策略全集202包含租户部分204A和访问部分206A。因此，租户部分204A和访问部分206A通过策略全集202相关联。

访问部分206A可以包含结构和基础设施访问策略。通常，在策略模型中，EPG与VLAN耦合。例如，为使流量流过，EPG被部署在具有在物理、VMM、L2输出、L3输出或光纤信道域中的VLAN的叶端口上。

因此，访问部分206A包含域简档236，其可以定义例如要与EPG相关联的物理、VMM、L2输出、L3输出或光纤信道域。域简档236包含VLAN实例简档238(例如，VLAN池)和可附接访问实体简档(AEP)240，它们直接与应用EPG相关联。AEP 240将关联的应用EPG部署到它所附接的端口，并自动执行分配VLAN的任务。虽然大型数据中心可以在数百个VLAN上配有数千个活动的VM，但结构120可以自动从VLAN池分配VLAN ID。与在传统数据中心中中继(trunkdown)VLAN相比，这节省了时间。

图2D示出了用于实现MIM 200的示例模型的示意图。网络保证模型可以包括L_模型270A(逻辑模型)、LR_模型270B(逻辑呈现模型或逻辑运行时模型)、Li_模型272(针对i的逻辑模型)、Ci_模型274(针对i的具体模型)、和Hi_模型276(针对i的硬件模型或TCAM模型)。

L_模型270A是MIM 200中的对象和它们的关系的逻辑表示。控制器116可以基于针对网络而输入在控制器116中的配置来生成L_模型270A，并且因此L_模型270A表示控制器116处的网络的配置。这是对在网络实体(例如，应用)的元素被连接并且结构120被控制器116配设时所期望的“最终状态(end-state)”表述的声明。换言之，因为L_模型270A表示输入在控制器116中的配置(包括MIM 200中的对象和关系)，所以它还可以反映管理员的“意图”：管理员希望网络和网络元件如何运作。

LR_模型270B是控制器116(例如，ACI中的APIC)从L_模型270A中解析出的抽象模型表述。LR_模型270B因此可以提供将被递送到物理基础设施(例如，结构120)以执行一个或多个策略的基本配置组件。例如，LR_模型270B可以被递送到结构120中的叶节点104，以将叶节点104配置用于与附接的端点122通信。

Li_模型272是从逻辑模型270A和/或解析出的模型270B获得的交换机级或特定于交换机的模型。例如，Li_模型272可以表示L_模型270A和/或LR_模型270B的与特定的交换机或路由器i有关的部分。为了说明，Li_模型272L₁可以表示L_模型270A和/或LR_模型270B的与叶节点1(104)有关的部分。因此，对于结构120上的一个或多个交换机或路由器(例如，叶节点104和/或脊节点102)，可以从L_模型270A和/或LR_模型270B生成Li_模型272。

Ci_模型274是在单独的结构成员i(例如，交换机i)处的实际状态内(in-state)配置。换句话说，Ci_模型274是基于Li_模型272的交换机级或特定于交换机的模型。例如，控制器116可以将Li_模型272递送到叶节点1(104)。叶节点1(104)可以采用Li_模型272(其可以特定于叶节点1(104))，并且叶节点1(104)可以将Li_模型272中的策略呈现为在叶节点1(104)上运行的具体模型Ci_模型274。例如，叶节点1(104)可以通过叶节点1(104)上的OS来呈现Li_模型272。因此，Ci_模型274可以类似于经编译的软件，因为它采用叶节点1(104)处的交换机OS可以执行的Li_模型272的形式。

Hi_模型276也是针对交换机i的交换机级或特定于交换机的模型，但是基于针对交换机i的Ci_模型274。Hi_模型276是在单独的结构成员i(例如，交换机i)处的硬件或存储器(例如，TCAM存储器)上存储或呈现的实际配置(例如，规则)。例如，Hi_模型276可以表示叶节点1(104)基于叶节点1(104)处的Ci_模型274在叶节点1(104)的硬件(例如，TCAM存储器)上存储或呈现的配置(例如，规则)。叶节点1(104)处的交换机OS可以呈现或执行Ci_模型274，并且叶节点1(104)可以存储或呈现来自存储设备(例如，叶节点1(104)处的存储器或TCAM)中的Ci模型的配置。来自由叶节点1(104)存储或呈现的Hi_模型276的配置表示在处理流量时将由叶节点1(104)实现的配置。

虽然模型272、274、276被示出为特定于设备的模型，但是类似的模型可以针对结构120中的结构成员(例如，叶节点104和/或脊节点102)的集合而生成或聚合。当被组合时，特定于设备的模型(例如模型272、模型274和/或模型276)可以提供超出特定设备的结构120的表示。例如，在一些情况下，可以组合或聚合与一些或所有各个结构成员(例如，叶节点104和脊节点102)相关联的Li_模型272、Ci_模型274和/或Hi_模型276，以基于各个结构成员生成一个或多个聚合模型。

如本文所提及的，术语H模型、T模型和TCAM模型可以互换使用以指代硬件模型，例如Hi_模型276。例如，Ti模型、Hi模型和TCAMi模型可以互换使用，以指代Hi_模型276。

模型270A、270B、272、274、276可以提供网络的各个方面或MIM200的各个配置阶段的表示。例如，模型270A、270B、272、274、276中的一个或多个可以用于生成表示结构120的一个或多个方面(例如，底层拓扑、路由等)的底层模型278，表示网络环境100的覆盖或(一个或多个)逻辑段的一个或多个方面(例如，COOP、MPBGP、租户、VRF、VLAN、VXLAN、虚拟应用、VM、管理程序、虚拟交换等)的覆盖模型280，表示MIM 200中的租户部分204A的一个或多个方面(例如，安全性、转发、服务链、QoS、VRF、BD、契约、过滤器、EPG、子网等)的租户模型282，表示网络环境100中的一个或多个资源(例如，存储、计算、VM、端口信道、物理元件等)的资源模型284，等等。

通常，L_模型270A可以是存在于LR_模型270B中的内容的高级表述，其应当在具体设备上被呈现为Ci_模型274和Hi_模型276表述。如果模型之间存在任何间隙，则可能存在不一致的配置或问题。

图3A示出了用于网络保证的示例保证设备300的图。在该示例中，保证设备300可以包括以集群模式操作的k个VM 110。在此示例中为了解释的目的而使用VM。然而，应该理解，本文还设想了其他配置，例如，使用容器、裸金属设备、端点122、或任何其他物理或逻辑系统。此外，例如，虽然图3A示出了集群模式配置，但是本文还设想了其他配置，例如单模式配置(例如，单个VM、容器或服务器)或服务链。

保证设备300可以在一个或多个服务器106、资源110、管理程序108、EP 122、叶节点104、控制器116或任何其他系统或资源上运行。例如，保证设备300可以是在网络环境100中的一个或多个VM 110上运行的逻辑服务或应用。

保证设备300可以包括数据框架308，其可以基于例如APACHE APEX和HADOOP。在一些情况下，保证检查可以被编写为驻留在数据框架308中的个体操作器(operator)。这允许实现本地水平扩展架构，其能够扩展到结构120(例如，ACI结构)中的任意数量的交换机。

保证设备300可以以可配置的周期性(例如，时段)轮询结构120。分析工作流可以被设置为操作器310的DAG(有向无环图)，其中数据从一个操作器流向另一操作器，并且最终生成结果并且针对每个间隔(例如，每个时段)将结果永久保存到数据库302。

上层(north-tier)实现API服务器(例如，APACHE Tomcat、Spring框架)304和Web服务器306。图形用户界面(GUI)经由暴露给客户的API进行交互。客户还可以使用这些API来从保证设备300收集数据，以进一步集成到其他工具中。

数据框架308(例如，APEX/Hadoop)中的操作器310可以一起支持保证操作。以下是保证设备300可以通过操作器310执行的保证操作的非限制性示例。

安全性策略遵守

保证设备300可以检查以确保来自可以反映用户对网络的意图的L_模型270A的配置或规范(包括例如安全性策略和客户配置的契约)被正确地实现和/或呈现在Li_模型272、Ci_模型274和Hi_模型276中并且因此由结构成员(例如，叶节点104)适当地实现和呈现，并且报告任何发现的错误、契约违反或不规则。

静态策略分析

保证设备300可以检查用户的一个或多个意图的规范中的问题(例如，识别L_模型270A中的矛盾或冲突的策略)。

TCAM利用率

TCAM是结构(例如，结构120)中的稀缺资源。然而，保证设备300可以通过网络数据(例如，最长前缀匹配(LPM)表、路由表、VLAN表、BGP更新等)、契约、逻辑组118(例如，EPG)、租户、脊节点102、叶节点104、和网络环境100中的其他维度和/或MIM 200中的对象来分析TCAM利用率，以向网络运营商或用户提供对该稀缺资源的利用率的可见性。这对规划和其他优化目的有很大帮助。

端点检查

保证设备300可以验证结构(例如，结构120)在所注册的端点信息中没有不一致(例如，两个叶节点宣告相同的端点、重复的子网等)，以及其他这样的检查。

租户路由检查

保证设备300可以验证BD、VRF、子网(内部和外部两者)、VLAN、契约、过滤器、应用、EPG等被正确地编程。

基础设施路由

保证设备300可以验证基础设施路由(例如，IS-IS协议)没有导致黑洞、环路、振荡(flap)的收敛问题和其他问题。

MP-BGP路由反射检查

网络结构(例如，结构120)可以与其他外部网络接口连接，并通过一个或多个协议(例如，边界网关协议(BGP)、开放式最短路径优先(OSPF)等)提供到它们的连接。通过例如MP-BGP在网络结构内通告已获知的路由。这些检查可以保证通过例如MP-BGP(例如，来自边界叶节点)的路由反射服务不具有健康问题。

逻辑线头(Lint)和实时变化分析

保证设备300可以验证网络的规范(例如，L_模型270A)中的规则是完整的并且没有不一致或其他问题。可以由保证设备300通过在L_模型270A和/或MIM 200中的MO的相关联的配置上执行的语法和语义检查来检查MIM 200中的MO。保证设备300还可以验证不必要的、陈旧的、未使用的或冗余的配置(例如契约)被移除。

图3B示出了用于网络保证的示例系统350的架构图。在一些情况下，系统350可以对应于先前关于图3A所讨论的操作器310的DAG。在该示例中，拓扑探测器312与控制器116(例如，APIC控制器)通信，以便发现或以其他方式构建结构120的综合拓扑视图(例如，脊节点102、叶节点104、控制器116、端点122、和任何其他组件及其互连)。虽然各种架构组件以单个盒装方式来表示，但是应理解，给定的架构组件(例如，拓扑探测器312)可对应于一个或多个个体操作器310，并且可以包括一个或多个节点或端点，例如一个或多个服务器、VM、容器、应用、服务功能(例如，服务链中的功能或虚拟化网络功能)等。

拓扑探测器312被配置为发现结构120中的节点，例如，控制器116、叶节点104、脊节点102等。拓扑探测器312还可以检测在控制器116之间执行的多数选举，并确定控制器116之间是否存在规定数量(quorum)。如果不存在规定数量或多数，则拓扑探测器312可以触发事件并警告用户控制器116之间存在配置或其他错误，其阻止达到规定数量或多数。拓扑探测器312可以检测作为结构120的一部分的叶节点104和脊节点102，并将其相应的带外管理网络地址(例如，IP地址)发布到下游服务。这可以是在拓扑探测器312发现时段(例如，5分钟或某个其他指定间隔)结束时发布到下游服务的拓扑视图的一部分。

统一收集器314可以从拓扑探测器312接收拓扑视图，并使用拓扑信息以收集来自结构120的用于网络保证的信息。这样的信息可以包括来自控制器116的L_模型270A和/或LR_模型270B，来自叶节点104和/或脊节点102的交换机软件配置(例如，Ci_模型274)，来自叶节点104和/或脊节点102的硬件配置(例如，Hi_模型276)等。统一收集器314可以收集来自各个结构成员(例如，叶节点104和脊节点102)的Ci_模型274和Hi_模型276。

统一收集器314可以轮询拓扑探测器312发现的设备，以便从结构120(例如，从结构的组成成员)收集数据。统一收集器314可以使用由控制器116和/或交换机软件(例如，交换机OS)暴露的接口(包括例如表示状态转移(REST)接口和安全外壳(SSH)接口)来收集数据。

在一些情况下，统一收集器314经由REST API收集L_模型270A、LR_模型270B和/或Ci_模型274，并且经由SSH、使用交换机软件所提供的实用程序(例如，用于访问交换机命令行接口(CLI)的虚拟壳(VSH或VSHELL)或用于访问线卡的运行时状态的VSH_LC壳)收集硬件信息(例如，配置、表、结构卡信息、规则、路由等)。

统一收集器314可以轮询来自控制器116的其他信息，包括：拓扑信息、租户转发/路由信息、租户安全性策略、契约、接口策略、物理域或VMM域信息、结构中的节点的OOB(带外)管理IP等。

统一收集器314还可以轮询来自叶节点104和脊节点102的其他信息，例如，用于VLAN、BD、安全性策略的Ci_模型274，叶节点104和/或脊节点102的链路层发现协议(LLDP)连通性信息，来自EPM/COOP的端点信息，来自脊节点102的结构卡信息，路由信息库(RIB)表，来自叶节点104和/或脊节点102的转发信息库(FIB)表，来自交换机的安全组硬件表(例如，TCAM表)，等等。

保证设备300可以运行统一收集器314的一个或多个实例。例如，保证设备300可以运行统一收集器314的一个、两个、三个或更多实例。可以将针对拓扑(例如，包括脊节点102、叶节点104、控制器116等的结构120)中的每个节点的数据收集任务分片(shard)或负载平衡到统一收集器314的唯一实例。因此，跨节点的数据收集可以由统一收集器314的一个或多个实例并行执行。在给定节点内，可以串行地执行命令和数据收集。保证设备300可以控制统一收集器314的每个实例用来轮询来自结构120的数据的线程的数量。

统一收集器314所收集的数据可以被压缩并发送到下游服务。在一些示例中，统一收集器314可以以在线方式或实时方式收集数据，并随着数据被收集，向下游发送数据以供进一步分析。在一些示例中，统一收集器314可以以离线方式收集数据，并且编译数据以供稍后分析或传输。

保证设备300可以联系控制器116、脊节点102、叶节点104和其他节点以收集各种类型的数据。在一些场景中，保证设备300可能经历失败(例如，连通性问题、硬件或软件错误等)，这使其在一段时间内无法收集数据。保证设备300可以无缝地处理这种失败，并基于这样的失败生成事件。

交换机逻辑策略生成器316可以从统一收集器314接收L_模型270A和/或LR_模型270B，并且为结构120中的每个网络设备i(例如，交换机i)计算Li_模型272。例如，交换机逻辑策略生成器316可以接收L_模型270A和/或LR_模型270B并通过为结构120中的每个单独节点i(例如，脊节点102和/或叶节点104)投射逻辑模型来生成Li_模型272。交换机逻辑策略生成器316可以为结构120中的每个交换机生成Li_模型272，从而为每个交换机创建基于L_模型270A的交换机逻辑模型。

交换机逻辑策略生成器316还可以执行变化分析并生成针对在L_模型270A和/或LR_模型270B中发现的问题的线头事件(lint event)或记录。线头事件或记录可用于为用户或网络运营商生成警报。

策略操作器318可以针对每个交换机从统一收集器314接收Ci_模型274和Hi_模型276，并且针对每个交换机从交换机逻辑策略生成器316接收Li_模型272，并且基于Ci_模型274、Hi_模型276和Li_模型272执行保证检查和分析(例如，安全性遵守检查、TCAM利用率分析等)。策略操作器318可以通过比较模型中的一个或多个来逐个交换机地执行保证检查。

返回到统一收集器314，统一收集器314还可以将L_模型270A和/或LR_模型270B发送到路由策略解析器320，并且将Ci_模型274和Hi_模型276发送到路由解析器326。

路由策略解析器320可以接收L_模型270A和/或LR_模型270B，并解析(一个或多个)模型以获得与下游操作器(例如端点检查器322和租户路由检查器324)相关的信息。类似地，路由解析器326可以接收Ci_模型274和Hi_模型276，并解析每个模型以获得针对下游操作器(端点检查器322和租户路由检查器324)的信息。

在解析Ci_模型274、Hi_模型276、L_模型270A和/或LR_模型270B之后，路由策略解析器320和/或路由解析器326可以将清理的协议缓冲区(Proto Buff)发送到下游操作器(端点检查器322和租户路由检查器324)。然后，端点检查器322可以生成与端点违规相关的事件(例如重复的IP、APIPA等)，并且租户路由检查器324可以生成与BD、VRF、子网、路由表前缀等的部署相关的事件。

图3C示出了用于网络(例如，网络环境100)中的静态策略分析的示例系统的示意图。静态策略分析器360可以执行保证检查，以检测配置违规、逻辑线头事件、矛盾或冲突的策略、未使用的契约、不完整的配置等。静态策略分析器360可以检查L_模型270A中用户的一个或多个意图的规范，以确定控制器116中是否有任何配置与用户的一个或多个意图的规范不一致。

静态策略分析器360可以包括在保证设备300中执行或容宿的操作器310中的一个或多个。然而，在其他配置中，静态策略分析器360可运行与操作器310和/或保证设备300分离的一个或多个操作器或引擎。例如，静态策略分析器360可以是VM、VM集群、或服务功能链中的端点的集合。

静态策略分析器360可以从逻辑模型收集过程366接收L_模型270A并且接收为L_模型270A中的每个特征(例如，对象)定义的规则368作为输入。规则368可以基于MIM 200中的对象、关系、定义、配置、以及任何其他特征。规则368可以指定条件、关系、参数、和/或用于识别配置违规或问题的任何其他信息。

此外，规则368可以包括用于识别语法违规或问题的信息。例如，规则368可包括用于执行语法检查的一个或多个规则。语法检查可以验证L_模型270A的配置是否完整，并且可以帮助识别未使用的配置或规则。语法检查还可验证分层MIM 200中的配置是否完整(已定义)，并识别已定义但未使用的任何配置。为进行说明，规则368可以指定L_模型270A中的每个租户都应被配置一个情境；L_模型270A中的每个契约都应指定提供者EPG和消费者EPG；L_模型270A中的每个契约都应指定主体、过滤器和/或端口；等等。

规则368还可以包括用于执行语义检查和识别语义违规或问题的规则。语义检查可以检查冲突的规则或配置。例如，规则1和规则2可能有别名化问题，规则1可能比规则2更具体，从而产生冲突/问题，等等。规则368可以定义可能导致别名化规则、冲突规则等的条件。为进行说明，规则368可以指定如果针对两个对象之间的特定通信的允许策略的优先级高于针对两个对象之间的同一通信的拒绝策略，则该允许策略可能与该拒绝策略相冲突，或者针对对象的一种规则使得另一规则显得不必要。

静态策略分析器360可以将规则368应用于L_模型270A，以检查L_模型270A中的配置，并基于检测到的任何问题而输出配置违规事件370(例如，警报、日志、通知等)。配置违规事件370可以包括语义或语义问题，例如，不完整的配置、冲突的配置、别名化规则、未使用的配置、错误、策略违反、配置错误的对象、不完整的配置、不正确的契约范围、不恰当的对象关系等。

在一些情况下，静态策略分析器360可以迭代遍历基于L_模型270A和/或MIM 200生成的树中的每个节点，并在树中的每个节点上应用规则368以确定是否有任何节点发生违规(例如，不完整的配置、不恰当的配置、未使用的配置等)。当静态策略分析器360检测到任何违规时，它可以输出配置违规事件370。

图4示出了示例网络保证方法的流程图。图4所示的方法是通过示例的方式提供的，因为存在多种执行该方法的方式。另外，尽管以特定顺序的框示出了示例方法，但是本领域普通技术人员将理解，图4和其中示出的框可以以任何顺序执行，并且可以包括比所示更少或更多的框。

图4中所示的每个框表示该方法中的一个或多个步骤、过程、方法或例程。为了清楚和说明的目的，参考如图1A-B、2D和3A中所示的保证设备300、模型270A-B、272、274、276和网络环境100来描述图4中的框。

在步骤400，保证设备300可以收集数据并获得与网络环境100相关联的模型。这些模型可以包括模型270A-B、272、274、276。数据可以包括结构数据(例如，拓扑结构、交换机、接口策略、应用策略、EPG等)、网络配置(例如，BD、VRF、L2输出、L3输出、协议配置等)、安全性配置(例如，契约、过滤器等)、服务链配置、路由配置等。收集或获得的其他信息可以包括例如网络数据(例如，RIB/FIB、VLAN、MAC、ISIS、DB、BGP、OSPF、ARP、VPC、LLDP、MTU、QoS等)、规则和表(例如，TCAM规则、ECMP表等)、端点动态(例如，EPM、COOP EP DB等)、统计信息(例如，TCAM规则命中、接口计数器、带宽等)。

在步骤402，保证设备300可以对接收到的数据和模型进行分析和建模。例如，保证设备300可以执行形式的建模和分析，这可以涉及确定模型之间的对等性(equivalency)，包括配置、策略等。

在步骤404，保证设备300可以生成一个或多个智能事件。保证设备300可以使用深度对象层次结构生成智能事件以进行详细分析，例如租户、交换机、VRF、规则、过滤器、路由、前缀、端口、契约、主体等。

在步骤406，保证设备300可以使智能事件、分析和/或模型可视化。保证设备300可以在用户友好的GUI中显示问题和警报以供分析和调试。

网络工具可用于生成与流数据和网络统计信息有关的数据。通常会更新此类网络工具以创建工具的较新版本。更新后的网络工具通常是向后兼容的。更具体地，新版本的网络工具通常可以读取由较旧版本的网络工具生成或收集的数据。但是，网络工具通常不是向前兼容的。更具体地，较旧版本的网络工具通常无法读取由较新版本的网络工具生成或收集的数据。因此，较旧版本的网络工具将无法按设计运行，因为它们无法读取/解析由较新版本的网络工具生成或收集的数据。用户在升级不是按预期执行时会回滚网络工具的版本这一事实进一步加剧该问题。这种回滚可能在任何时候被执行，包括但不限于在较新版本的工具已经生成了数据的时候。在这些情况下，数据库可能包含由不同版本的软件生成的数据的混合。此外，当这种回滚被执行时，通常的要求是在升级/回滚之前和之后都不会丢失数据。结果，较早版本的网络工具无法读取由较新版本的网络工具创建或收集的保证数据，从而导致较早版本的网络工具中的故障。

为了解决这些挑战，可以对由网络工具创建的保证数据进行版本控制。更具体地，可以根据被用于创建保证数据的网络工具的实例的版本状态来对由网络工具创建的保证数据进行版本控制。随后，可以根据被用于创建保证数据的网络工具的实例的版本状态和请求访问保证数据的网络工具的实例的版本状态来控制对保证数据的访问。更具体地，如果网络工具的实例具有与创建保证数据的网络工具的实例相同的版本状态或更高的版本状态，则可以允许其访问该保证数据。这确保了仅允许网络工具的实例访问该网络工具的实例能够读取的保证数据，从而减少或消除了如下变化：网络工具的实例由于访问与该网络工具的实例不兼容的保证数据而崩溃或故障。

图5示出了用于对由网络工具针对网络环境生成或收集的保证数据进行版本控制的环境500。更具体地，环境500可以将保证数据与用于收集和/或生成该数据的网络工具的实例的特定版本状态相关联。随后，环境500可以例如基于网络工具的实例的版本状态和用于收集和/或生成保证数据的网络工具的实例的版本状态来控制网络工具的实例对该数据的访问。

图5所示的环境包括保证数据版本控制系统502、第一网络工具实例504-1、第二网络工具实例504-2、和第三网络工具实例504-3(在本文中称为“网络工具实例504”)、以及保证数据存储装置506。网络工具实例504作用于监视网络环境。网络工具实例504可以是用于监视网络的适用网络工具的实例。更具体地，网络工具实例504可以是被配置为在网络环境中提供保证的网络工具的实例，例如保证设备300。

在用作用于在网络环境中提供保证的网络工具时，网络工具实例504可以生成、收集和读取保证数据。保证数据包括用于为网络环境提供保证的适用数据。更具体地，保证数据可以从在网络环境中所生成的网络事件中生成或以其他方式包括在网络环境中所生成的网络事件。网络事件可以包括与网络环境的操作有关的事件，例如本文描述的事件。例如，网络事件可以包括在特定路由器上的特定逻辑租户空间内发生的事件，该事件指示该路由器未能通过策略测试。

网络事件可以与事件状态相关联。事件状态可以指示与网络事件相关联的等级或主体。例如，网络事件的事件状态可以指示网络事件是通过事件、失败事件、信息事件还是错误事件。

网络事件可以由控制器、应用或设备(例如，保证设备300)生成并且从其接收。更具体地，可以响应于(例如，以可配置的周期性)在网络环境中执行的检查或查询而生成网络事件。例如，可以响应于在网络环境中对EPG执行策略检查，而在控制器处生成网络事件。另外，可以基于网络环境的操作来生成网络事件。例如，网络事件可以指示在网络环境中的租户空间中的特定逻辑位置内的网络环境操作期间发生的错误。网络事件可以包括定义如下项的参数值中的一个或其组合：该网络事件、与该网络事件相关联的事件状态、所生成的错误或警告、日志、以及导致该网络事件创建的刺激和环境。

网络事件和相应的事件状态可以与事件类别相关联或以其他方式以事件类别分类。可以根据操作中导致创建相应网络事件的网络环境的特性来定义事件类别。事件类别的示例包括策略事件、租户路由事件、配置违规事件、逻辑线头事件和转发事件。例如，如果失败事件是响应于桥接域在策略检查期间未遵守策略而创建的，则该事件可以被分类为失败策略事件。在另一示例中，如果租户逻辑空间中的网络设备通过了转发或路由检查，则该事件可以被表征为通过转发事件。

网络工具实例504是一个或多个网络工具的不同执行。可以根据时间来定义和/或分离网络工具实例504。例如，第一网络工具实例504-1可以是早晨在保证设备被执行以在网络环境中提供保证时的会话，而第二网络工具实例504-2可以是下午在保证设备被执行以进一步在网络环境中提供保证时的另一会话。另外，可以通过一个或多个网络工具的实际执行来定义和/或分离网络工具实例504。例如，第一网络工具实例504-1可以随着网络工具被操作而发生并且在网络工具被关闭时结束。此外，在该示例中，第二网络工具实例504-2可以在网络工具关闭之后再次被执行时发生并且持续到网络工具再次被关闭。

另外，网络工具实例504可以对应于网络工具的特定版本状态。网络工具的版本状态是与网络工具的特定版本相对应的网络工具的唯一状态。例如，网络工具的版本状态可以与网络工具的第一发布版本唯一对应。在另一示例中，网络工具的版本状态可以与网络工具的经更新的发布版本唯一对应。更具体地，如果网络工具的初始发布版本被更新以包括附加特征作为相对于初始发布版本的后续发布版本的一部分，那么第一版本状态可以与网络工具的初始发布版本唯一对应，并且第二版本状态可以与网络工具的后续发布版本唯一对应，该后续发布版本包括具有附加特征的经更新的网络工具。

版本状态可以相对于彼此进行排名。例如，第一版本状态可以被排名为高于第二版本状态，反之亦然，第二版本状态可以被排名为低于第一版本状态。特别地，可以根据与版本状态相对应的网络工具的特定版本来对这些版本状态进行相对于彼此的排名。可以基于如下项中的一者或其组合来对版本状态进行相对于彼此的排名：与这些版本状态相对应的网络工具的版本的发布日期，与这些版本状态相对应的网络工具的版本之间的特征差异，以及与这些版本状态相对应的网络工具的版本所共享的特征共性。例如，在第一网络工具版本之后发布的第二网络工具版本可以对应于第二版本状态，该第二版本状态高于对应于第一网络工具版本的第一版本状态。在另一示例中，包括第一网络工具版本中不存在的附加特征的第二网络工具版本可以对应于第二版本状态，该第二版本状态高于对应于第一网络工具版本的第一版本状态。

另外，版本状态可以与版本标识符唯一对应。更具体地，第一版本状态可以与第一版本标识符唯一对应，而第二版本状态可以与第二版本标识符唯一对应，该第二版本标识符例如作为单调增加版本标识符的一部分。因此，版本标识符可以用于标识与版本标识符唯一对应的版本状态。可以使用适用的版本控制方案将版本标识符分配给版本状态。更具体地，可以使用基于序列的版本控制方案将版本标识符分配给版本状态。例如，网络工具的初始发布的第一版本可以被分配“1.0”，而网络工具的初始发布的第二版本可以被分配“1.0.1”。

网络工具实例504可以具有如下项中的一者或其组合：不同的版本状态(例如，较高和较低版本状态)，以及相同的版本状态。例如，第一网络工具实例504-1可以是网络工具的较新版本/较高版本状态，而当与第一网络工具实例504-1相比时，第二网络工具实例504-2可以是网络工具的较旧版本/较低版本状态。进一步在该示例中，用户可以将网络工具从处于网络工具的较新版本的第一网络工具实例504-1回滚到处于网络工具的较旧版本的第二网络工具实例504-2。这在实践中是很常见的，因为通常用户不想为网络工具的新版本支付许可费用，例如，在检测出网络工具的较新版本之后，随后回滚到网络工具的较旧版本。

在网络工具实例504的版本状态的另一示例中，第三网络工具实例504-3和第一网络工具实例504-1可以是网络工具的(一个或多个)较新版本/(一个或多个)较高版本状态，而当与第一网络工具实例504-1和第三网络工具实例504-3相比时，第二网络工具实例504-2可以是网络工具的较旧版本/较低版本状态。进一步在该示例中，第三网络工具实例504-3可以具有与第一网络工具实例504-1相同或比第一网络工具实例504-1更高的版本状态。又进一步在该示例中，用户还可以将网络工具从处于网络工具的较新版本的第一网络工具实例504-1回滚到处于网络工具的较旧版本的第二网络工具实例504-2。随后，用户可以将网络工具从第二网络工具实例504-2处的较旧版本前滚到第三网络工具实例504-3处的网络工具的较新版本。这在实践中是很常见的，因为通常用户会在用户所使用的网络工具的不同许可和不同版本之间进行切换。

保证数据版本控制系统502可以对保证数据进行版本控制，并基于网络工具的版本状态控制对保证数据的访问。更具体地，保证数据版本控制系统502可以对接收到的保证数据进行版本控制，并基于网络工具的版本状态控制对保证数据的访问，以便在网络工具的不同版本之间提供兼容性。例如，版本保证数据版本控制系统502可以确保处于特定版本状态的网络工具的实例能够基于该特定版本状态读取保证数据。随后，如果保证数据版本控制系统502确定网络工具的实例能够在网络工具的实例的特定版本状态下读取保证数据，则保证数据版本控制系统502可以允许网络工具的实例访问保证数据。

保证数据版本控制系统502可以从适用的源接收保证数据，例如，网络工具实例504之一或其组合。例如，保证数据版本控制系统502可以从第一网络工具实例504-1接收包括由保证设备在网络环境中生成的网络事件的保证数据。随后，保证数据版本控制系统502可以将从第一网络工具实例504-1接收到的保证数据存储在保证数据存储装置506中。

此外，保证数据版本控制系统502可以对接收到的保证数据进行版本控制。更具体地，保证数据版本控制系统502可以将接收到的保证数据与创建保证数据的网络工具和/或保证数据所接收自的网络工具的实例的版本状态相关联。例如，保证数据版本控制系统502可以将从第一网络工具实例504-1接收的保证数据与第一网络工具实例504-1的版本状态相关联。

在将接收到的保证数据与网络工具实例的版本状态相关联时，保证数据版本控制系统502可以将与版本状态唯一对应的版本标识符附加到保证数据。例如，如果第一网络工具实例504-1是网络工具的第二版本，则保证数据版本控制系统502可以将指示网络工具的第二版本的标识符附加到从第一网络工具实例504-1接收到的保证数据。更具体地，在将与版本状态唯一对应的版本标识符附加到接收到的保证数据时，保证数据版本控制系统502可以将版本标识符添加到作为接收到的保证数据的一部分而被包括的数据的一个或多个头部中。随后，保证数据版本控制系统502可以将附加有版本标识符的保证数据存储在保证数据存储装置506中。

保证数据版本控制系统502可以控制网络工具实例504对接收到的保证数据的访问，以作为提供跨网络工具的不同版本的兼容性的一部分。更具体地，保证数据版本控制系统502可以基于网络工具实例504的版本状态来控制网络工具实例504对接收到的保证数据的访问。例如，保证数据版本控制系统502可以基于第二网络工具实例504-2的版本状态和第一网络工具实例504-1的版本状态中的一者或两者，拒绝第二网络工具实例504-2访问由第一网络工具实例504-1生成的保证数据。进一步在该示例中，保证数据版本控制系统502可以基于第三网络工具实例504-3的版本状态和第一网络工具实例504-1的版本状态中的一者或两者，允许第三网络工具实例504-3访问由第一网络工具实例504-1生成的保证数据。

此外，保证数据版本控制系统502可以根据版本约束基于网络工具实例504的版本状态来控制对接收到的保证数据的访问。版本约束是指示网络工具实例是否可以基于版本状态访问保证数据的约束。更具体地，版本约束可以依赖于或以其他方式合并版本状态相对于彼此的排名。例如，版本约束可以指定：如果实例的版本状态(例如网络工具的先前版本)的排名低于创建保证数据的网络工具实例的版本状态，则阻止网络工具实例访问保证数据。相反地，版本约束可以指定：如果实例的版本状态大于或等于创建保证数据的网络工具实例的版本状态，则允许网络工具实例访问保证数据。例如，版本约束可以指定：如果实例的版本与被用于收集保证数据的网络工具的实例的版本相比是网络工具的相同版本或更新版本，则允许网络工具实例访问保证数据。

用于控制对保证数据的访问的版本约束可以特定于保证数据、用于生成保证数据的网络工具的实例、以及用于生成保证数据的网络工具。例如，版本约束可以特定于网络工具，并指定只有处于如下版本状态的网络工具实例才能实际访问保证数据：该版本状态高于或等于创建保证数据的网络工具的实例的版本状态。在另一示例中，版本约束对于特定保证数据可以是唯一的，并且指示被允许访问该特定保证数据的网络工具的实例的特定版本状态。

保证数据版本控制系统502可以从网络工具实例接收用于访问保证数据的查询。此外，保证数据版本控制系统502可以响应于从网络工具实例504接收到的查询来确定是否要向网络工具实例504提供对保证数据的访问。例如，保证数据版本控制系统502可以从第二网络工具实例504-2接收对由第一网络工具实例504-1生成的保证数据的查询。随后，保证数据版本控制系统502可以响应于接收到的查询来确定是否要允许第二网络工具实例504-2访问保证数据。保证数据版本控制系统502可以基于针对保证数据的版本约束，响应于接收到的对保证数据的查询来确定是否要允许网络工具实例504访问保证数据。例如，保证数据版本控制系统502可以从第二网络工具实例504-2接收对由第一网络工具实例504-1生成的保证数据的查询。进一步在该示例中，保证数据版本控制系统502可以基于针对网络工具的版本约束，响应于该查询来确定是否要向第二网络工具实例504-2提供对保证数据的访问。

保证数据版本控制系统502可以使用版本标识符来确定是否要向网络工具实例504提供对保证数据的访问。更具体地，保证数据版本控制系统502可以使用版本标识符和版本约束来确定是否要向网络工具实例提供对保证数据的访问。例如，保证数据版本控制系统502可以使用附加到保证数据的版本标识符来确定生成该保证数据的始发网络工具实例的版本状态。进一步在该示例中，基于请求访问保证数据的网络工具实例的版本状态和始发网络工具实例的版本状态，保证数据版本控制系统502可以确定请求访问的网络工具实例是否满足与保证数据相关联的版本约束的要求。又进一步在该示例中，如果保证数据版本控制系统502确定请求访问的网络工具实例确实满足版本约束的要求，则保证数据版本控制系统502可以向网络工具实例提供对保证数据的访问。

在基于网络工具实例504的版本状态控制对保证数据的访问时，保证数据版本控制系统502可以减少网络工具实例504无法按设计运行的机会。更具体地，保证数据版本控制系统502可以减少由于网络工具实例504没有读取保证数据的能力但仍被授予对保证数据的访问而导致网络工具实例504无法按设计运行的机会。例如，如果第二网络工具实例504-2与第一网络工具实例504-1相比是网络工具的较早版本，并且无法读取由第一网络工具实例504-1生成的保证数据。进一步在该示例中，保证数据版本控制系统502可以拒绝第二网络工具实例504-2访问由第一网络工具实例504-1生成的保证数据，从而消除如下变化：第二网络工具实例504-2由于尝试读取但无法读取由第一网络工具实例504-1生成的保证数据而导致将无法按设计运行。因此，保证数据版本控制系统502可以提供跨网络工具的不同版本的兼容性，例如，通过拒绝网络工具的版本访问将导致网络工具的版本无法按设计运行或者网络工具的版本以其他方式无法读取的数据。

图6示出了对由网络工具生成的数据进行版本控制以提供跨网络工具的不同版本的兼容性的示例方法的流程图。图6所示的方法是通过示例的方式提供的，因为存在多种执行该方法的方式。另外，尽管以特定顺序的框示出了示例方法，但是本领域普通技术人员将理解，图6和其中示出的框可以以任何顺序执行，并且可以包括比所示更少或更多的框。

图6中所示的每个框表示该方法中的一个或多个步骤、过程、方法或例程。为了清楚和说明的目的，参照图5所示的环境500描述图6中的框。

在步骤600，处于第一特定版本状态的网络工具的第一实例504-1生成包括网络事件的网络保证数据。网络工具的第一实例504-1可以将生成的网络保证数据提供给保证数据版本控制系统502。网络工具的第一实例504-1可以以可配置的周期性生成和/或提供网络保证数据。例如，网络工具的第一实例504-1可以在可配置的时段提供网络保证数据。

在步骤602，保证数据版本控制系统502将与网络工具的第一特定版本状态唯一对应的版本标识符附加到由网络工具的第一实例504-1生成的网络保证数据。更具体地，保证数据版本控制系统502可以向保证数据添加头部，该头部包括对与网络工具的第一实例504-1的第一特定版本状态唯一对应的版本标识符的指示符。保证数据版本控制系统502可以根据适用的版本控制方案将版本标识符分配给与网络工具的第一实例504-1相对应的网络工具的第一特定版本状态。例如，保证数据版本控制系统502可以使用基于序列的版本控制方案将版本标识符分配给网络工具的第一实例504-1的第一特定版本状态。

在步骤604，保证数据版本控制系统502从网络工具的第二实例504-2接收对由网络工具的第一实例504-1生成的网络保证数据的查询。网络工具的第二实例504-2可以处于与网络工具的第一实例504-1的版本状态不同的版本状态。例如，网络工具的第二实例504-2可以处于比网络工具的第一实例504-1更高的版本状态。在另一示例中，网络工具的第二实例504-2可以处于与网络工具的第一实例504-1相同的版本状态。在又一示例中，网络工具的第二实例504-2可以处于比网络工具的第一实例504-1的版本状态更低的版本状态。

在步骤606，保证数据版本控制系统502向网络工具的第二实例504-2提供对由网络工具的第一实例504-1生成的网络保证数据的访问。更具体地，保证数据版本控制系统502可以使用如下版本标识符根据针对由网络工具生成的数据的版本约束来向网络工具的第二实例504-2提供对网络保证数据的访问：该版本标识符与网络工具的第一实例504-1的版本状态唯一对应并被附加到由网络工具的第一实例504-1生成的网络保证数据。例如，如果网络工具的第二实例504-2的版本状态大于或等于网络工具的第一实例504-1的版本状态，则保证数据版本控制系统502可以向网络工具的第二实例504-2提供对保证数据的访问。

总之，描述了用于对由网络工具生成的数据进行版本控制以提供跨网络工具的不同版本的兼容性的系统、方法和计算机可读介质。在一些实施例中，一种方法可以包括由处于第一特定版本状态的网络工具的第一实例生成包括网络事件的网络保证数据。可以将与第一特定版本状态唯一对应的版本标识符附加到网络保证数据。可以从处于第二特定版本状态的网络工具的第二实例接收对网络保证数据的查询。随后，可以使用与第一特定版本状态唯一对应并被附加到网络保证数据的版本标识符根据针对由网络工具生成的数据的版本约束，向网络工具的第二实例提供对网络保证数据的访问。

本公开现在转向图7和图8，其示出了示例网络设备和计算设备，例如，交换机、路由器、负载平衡器、客户端设备等。

图7示出了适用于执行交换、路由、负载平衡、和其他联网操作的示例网络设备700。网络设备700包括中央处理单元(CPU)704、接口702和总线710(例如，PCI总线)。当在适当的软件或固件的控制下动作时，CPU 704负责执行分组管理、错误检测和/或路由功能。CPU 704优选地在包括操作系统和任何适当的应用软件的软件的控制下完成所有这些功能。CPU 704可以包括一个或多个处理器708，例如来自INTEL X86系列微处理器的处理器。在一些情况下，处理器708可以是用于控制网络设备700的操作的专门设计的硬件。在一些情况下，存储器706(例如，非易失性RAM、ROM等)也形成CPU 704的一部分。然而，有许多不同的方式可以将存储器耦合到系统。

接口702通常作为模块化接口卡(有时被称为“线卡”)提供。通常，它们控制通过网络发送和接收数据分组，并且有时支持与网络设备700一起使用的其他外围设备。可以提供的接口包括以太网接口、帧中继接口、线缆接口、DSL接口、令牌环接口等等。此外，可提供各种非常高速的接口，例如，快速令牌环接口、无线接口、以太网接口、千兆以太网接口、ATM接口、HSSI接口、POS接口、FDDI接口、WIFI接口、3G/4G/5G蜂窝接口、CAN总线、LoRA等。一般而言，这些接口可以包括适合于与适当介质通信的端口。在一些情况下，它们还可以包括独立处理器，并且在一些情况下，还包括易失性RAM。独立处理器可以控制诸如分组交换、介质控制、信号处理、加密处理、和管理之类的通信密集型任务。通过为通信密集型任务提供分离的处理器，这些接口允许主微处理器704高效地执行路由计算、网络诊断、安全性功能等。

尽管图7中所示的系统是本发明的一个特定网络设备，但它决不是可以在其上实现本发明的唯一网络设备架构。例如，经常使用具有处理通信以及路由计算等的单个处理器的架构。此外，其他类型的接口和介质也可以与网络设备700一起使用。

无论网络设备的配置如何，它都可以采用一个或多个存储器或存储器模块(包括存储器706)，其被配置为存储用于本文所描述的漫游、路由优化和路由功能的通用网络操作和机制的程序指令。例如，程序指令可以控制操作系统和/或一个或多个应用的操作。一个或多个存储器还可以被配置为存储诸如移动性绑定、注册和关联表等之类的表。存储器706还可以保存各种软件容器和虚拟化的执行环境和数据。

网络设备700还可以包括专用集成电路(ASIC)，其可以被配置为执行路由和/或交换操作。例如，ASIC可以经由总线710与网络设备700中的其他组件通信，以交换数据和信号并协调网络设备700的各种类型的操作，例如路由、交换、和/或数据存储操作。

图8示出了计算系统架构800，其中该系统的组件使用诸如总线之类的连接805彼此电通信。示例性系统800包括处理单元(CPU或处理器)810和系统连接805，系统连接805将包括系统存储器815在内的各种系统组件(例如，只读存储器(ROM)820和随机存取存储器(RAM)825)耦合到处理器810。系统800可以包括高速存储器的缓存，其与处理器810直接连接、靠近处理器810、或者集成作为处理器810的一部分。系统800可以将数据从存储器815和/或存储设备830复制到缓存812以供处理器810快速访问。以这种方式，缓存可以提供性能提升，避免处理器810在等待数据时的延迟。这些和其他模块可以控制或被配置为控制处理器810以执行各种动作。也可以使用其他系统存储器815。存储器815可以包括具有不同性能特性的多个不同类型的存储器。处理器810可以包括任何通用处理器和被配置为控制处理器810的硬件或软件服务(例如，存储在存储设备830中的服务1 832、服务2 834和服务3836)以及其中将软件指令包含在实际的处理器设计中的专用处理器。处理器810可以是完全自包含的计算系统，包含多个核或处理器、总线、存储器控制器、缓存等。多核处理器可以是对称的或非对称的。

为了使能与计算设备800的用户交互，输入设备845可以表示任何数量的输入机构，诸如用于语音的麦克风、用于手势或图形输入的触敏屏幕、键盘、鼠标、运动输入、语音等等。输出设备835也可以是本领域技术人员已知的多种输出机构中的一种或多种。在一些情况下，多模式系统可以使用户能够提供多种类型的输入以与计算设备800通信。通信接口840通常可以控制和管理用户输入和系统输出。对任何特定硬件布置进行的操作没有限制，因此这里的基本特征可以很容易地随着改进的硬件或固件布置被开发而被替换为这些改进的硬件或固件布置。

存储设备830是非易失性存储器，并且可以是硬盘或其他类型的计算机可读介质，其可以存储可由计算机访问的数据，例如磁带盒、闪存卡、固态存储器设备、数字通用盘、盒式磁带、随机存取存储器(RAM)825、只读存储器(ROM)820及其混合。

存储设备830可以包括用于控制处理器810的服务832、834、836。可以预期其他硬件或软件模块。存储设备830可以连接到系统连接805。在一个方面，执行特定功能的硬件模块可以包括存储在与必要的硬件组件(例如，处理器810、连接805、输出设备835等)相连的计算机可读介质中的软件组件以执行功能。

为了解释的清楚起见，在一些实例中，本技术可以被呈现为包括个体的功能块，其包括包含以下项的功能块：设备、设备组件、在软件中体现的方法中的步骤或例程、或者硬件和软件的组合。

在一些实施例中，计算机可读存储设备、介质和存储器可以包括包含比特流等的有线或无线信号。然而，当提及时，非暂时性计算机可读存储介质明确地排除诸如能量、载波信号、电磁波和信号本身之类的介质。

可以使用存储在计算机可读介质中或以其他方式可从计算机可读介质获得的计算机可执行指令来实现根据上述示例的方法。这样的指令可以包括例如使得或以其他方式配置通用计算机、专用计算机或专用处理设备以执行特定功能或功能组的指令和数据。可以通过网络访问所使用的计算机资源的部分。计算机可执行指令可以是例如二进制指令、诸如汇编语言之类的中间格式指令、固件、或源代码。可用于存储指令、所使用的信息和/或在根据所描述的示例的方法期间创建的信息的计算机可读介质的示例包括磁盘或光盘、闪存、具有非易失性存储器的USB设备、联网的存储设备等等。

实现根据这些公开内容的方法的设备可以包括硬件、固件和/或软件，并且可以采用各种形式因子中的任何形式因子。这种形式因子的典型示例包括膝上型计算机、智能电话、小型个人计算机、个人数字助理、机架设备、独立设备等。本文描述的功能也可以实现在外围设备或附加卡中。作为进一步的示例，这样的功能还可以在不同芯片之间的电路板上实现，或者在单个设备中执行的不同处理过程中实现。

指令、用于传达这些指令的介质、用于执行它们的计算资源以及用于支持这种计算资源的其他结构是用于提供这些公开内容中所描述的功能的手段。

尽管使用各种示例和其他信息来解释所附权利要求范围内的各个方面，但是不应基于这些示例中的特定特征或布置来暗示对权利要求的限制，因为普通技术人员将能够使用这些示例来导出各种各样的实现方式。此外，尽管可能已经用特定于结构特征和/或方法步骤的示例的语言描述了一些主题，但是应该理解，所附权利要求中定义的主题不必限于这些描述的特征或动作。例如，这种功能可以在本文标识的那些组件之外的组件中以不同的方式分布或者在本文标识的那些组件之外的组件中执行。相反，所描述的特征和步骤被公开为所附权利要求范围内的系统和方法的组分的示例。

记载“……中的至少一个”的权利要求语言指的是集合中的至少一个，并且指示该集合中的一个成员或该集合中的多个成员满足该权利要求。例如，记载“A和B中的至少一个”的权利要求语言意思是A、B、或A和B。

Claims

1.一种方法，包括：

由处于第一特定版本状态的网络工具的第一实例生成包括网络事件的网络保证数据；

将与所述网络工具的所述第一特定版本状态唯一对应的版本标识符附加到由所述网络工具的第一实例生成的所述网络保证数据；

从处于第二特定版本状态的所述网络工具的第二实例接收对由所述网络工具的第一实例生成的所述网络保证数据的查询；以及

使用所述版本标识符根据针对由所述网络工具生成的数据的版本约束，向所述网络工具的第二实例提供对由所述网络工具的第一实例生成的所述网络保证数据的访问，其中所述版本标识符与所述网络工具的所述第一特定版本状态唯一对应并且被附加到由所述网络工具的第一实例生成的所述网络保证数据。

2.根据权利要求1所述的方法，其中，与所述网络工具的第一实例相对应的所述第一特定版本状态和与所述网络工具的第二实例相对应的所述第二特定版本状态相同，并且所述网络工具的第二实例被允许访问由处于所述第一特定版本状态的所述网络工具的第一实例生成的所述网络保证数据，以作为根据针对由所述网络工具生成的数据的所述版本约束向所述网络工具的第二实例提供对由所述网络工具的第一实例生成的所述网络保证数据的访问的一部分。

3.根据权利要求1所述的方法，其中，相比于与所述网络工具的第二实例相对应的所述第二特定版本状态，与所述网络工具的第一实例相对应的所述第一特定版本状态是所述网络工具的较低版本状态，并且所述网络工具的第二实例被允许访问由处于所述第一特定版本状态的所述网络工具的第一实例生成的所述网络保证数据，以作为根据针对由所述网络工具生成的数据的所述版本约束向所述网络工具的第二实例提供对由所述网络工具的第一实例生成的所述网络保证数据的访问的一部分。

4.根据权利要求3所述的方法，其中，与所述网络工具的第一实例相比，所述网络工具的第二实例是所述网络工具的更新版本。

5.根据权利要求1所述的方法，其中，相比于与所述网络工具的第二实例相对应的所述第二特定版本状态，与所述网络工具的第一实例相对应的所述第一特定版本状态是所述网络工具的较高版本状态，并且所述网络工具的第二实例被拒绝访问由处于所述第一特定版本状态的所述网络工具的第一实例生成的所述网络保证数据，以作为根据针对由所述网络工具生成的数据的所述版本约束向所述网络工具的第二实例提供对由所述网络工具的第一实例生成的所述网络保证数据的访问的一部分。

6.根据权利要求5所述的方法，其中，与所述网络工具的第一实例相比，所述网络工具的第二实例是所述网络工具的先前版本。

7.根据权利要求5所述的方法，其中，所述网络工具的第二实例是从所述网络工具的第一实例回滚的，从而导致相比于与所述网络工具的第二实例相对应的所述第二特定版本状态，与所述网络工具的第一实例相对应的所述第一特定版本状态是所述网络工具的较高版本状态。

8.根据权利要求5-7中任一项所述的方法，其中，所述网络工具的第二实例不能读取由所述网络工具的第一实例生成的所述网络保证数据。

9.根据权利要求8所述的方法，其中，拒绝所述网络工具的第二实例访问由处于所述第一特定版本状态的所述网络工具的第一实例生成的所述网络保证数据，防止了由所述网络工具的第二实例无法读取所述网络工具的第一实例所生成的所述网络保证数据引起的所述网络工具的第二实例的崩溃故障。

10.根据权利要求5-9中任一项所述的方法，还包括：

从处于第三特定版本状态的所述网络工具的第三实例接收对由所述网络工具的第一实例生成的所述网络保证数据的另一查询；以及

使用所述版本标识符根据针对由所述网络工具生成的数据的所述版本约束，向所述网络工具的第三实例提供对由所述网络工具的第一实例生成的所述网络保证数据的访问，其中所述版本标识符与所述网络工具的所述第一特定版本状态唯一对应并且被附加到由所述网络工具的第一实例生成的所述网络保证数据。

11.根据权利要求10所述的方法，其中，相比于与所述网络工具的第三实例相对应的所述第三特定版本状态，与所述网络工具的第一实例相对应的所述第一特定版本状态是所述网络工具的较高版本状态，并且所述网络工具的第三实例被拒绝访问由处于所述第一特定版本状态的所述网络工具的第一实例生成的所述网络保证数据，以作为根据针对由所述网络工具生成的数据的所述版本约束向所述网络工具的第三实例提供对由所述网络工具的第一实例生成的所述网络保证数据的访问的一部分。

12.根据权利要求10或11所述的方法，其中，相比于与所述网络工具的第三实例相对应的所述第三特定版本状态，与所述网络工具的第一实例相对应的所述第一特定版本状态是所述网络工具的相同版本状态或所述网络工具的较低版本状态，并且所述网络工具的第三实例被允许访问由处于所述第一特定版本状态的所述网络工具的第一实例生成的所述网络保证数据，以作为根据针对由所述网络工具生成的数据的所述版本约束向所述网络工具的第三实例提供对由所述网络工具的第一实例生成的所述网络保证数据的访问的一部分。

13.根据权利要求12所述的方法，其中，所述网络工具的第二实例是从所述网络工具的第一实例回滚的，并且所述网络工具的第三实例是从所述网络工具的第二实例更新的，从而导致相比于与所述网络工具的第二实例相对应的所述第二特定版本状态，与所述网络工具的第三实例相对应的所述第三特定版本状态是所述网络工具的较高版本状态。

14.根据权利要求1-13中任一项所述的方法，其中，与所述网络工具的所述第一版本状态唯一对应的所述版本标识符通过基于序列的版本控制方案被分配给所述网络工具的所述第一版本状态。

15.一种系统，包括：

一个或多个处理器；和

至少一个计算机可读存储介质，其中存储有指令，这些指令当由所述一个或多个处理器执行时使所述一个或多个处理器执行操作，所述操作包括：

由处于第一特定版本状态的网络工具的第一实例生成包括网络事件的网络保证数据，其中所述网络工具是保证设备；

16.根据权利要求15所述的系统，其中，与所述网络工具的第一实例相对应的所述第一特定版本状态和与所述网络工具的第二实例相对应的所述第二特定版本状态相同，并且所述网络工具的第二实例被允许访问由处于所述第一特定版本状态的所述网络工具的第一实例生成的所述网络保证数据，以作为根据针对由所述网络工具生成的数据的所述版本约束向所述网络工具的第二实例提供对由所述网络工具的第一实例生成的所述网络保证数据的访问的一部分。

17.根据权利要求15所述的系统，其中，相比于与所述网络工具的第二实例相对应的所述第二特定版本状态，与所述网络工具的第一实例相对应的所述第一特定版本状态是所述网络工具的较低版本状态，并且所述网络工具的第二实例被允许访问由处于所述第一特定版本状态的所述网络工具的第一实例生成的所述网络保证数据，以作为根据针对由所述网络工具生成的数据的所述版本约束向所述网络工具的第二实例提供对由所述网络工具的第一实例生成的所述网络保证数据的访问的一部分。

18.根据权利要求17所述的系统，其中，相比于与所述网络工具的第二实例相对应的所述第二特定版本状态，与所述网络工具的第一实例相对应的所述第一特定版本状态是所述网络工具的较高版本状态，并且所述网络工具的第二实例被拒绝访问由处于所述第一特定版本状态的所述网络工具的第一实例生成的所述网络保证数据，以作为根据针对由所述网络工具生成的数据的所述版本约束向所述网络工具的第二实例提供对由所述网络工具的第一实例生成的所述网络保证数据的访问的一部分。

19.根据权利要求18所述的系统，其中，所述指令当由所述一个或多个处理器执行时还使所述一个或多个处理器执行操作，所述操作包括：

20.一种非暂态计算机可读存储介质，其中存储有指令，所述指令当由处理器执行时使所述处理器执行操作，所述操作包括：

将与所述网络工具的所述第一特定版本状态唯一对应的版本标识符附加到由所述网络工具的第一实例生成的所述网络保证数据，其中与所述网络工具的所述第一版本状态唯一对应的所述版本标识符通过基于序列的版本控制方案被分配给所述网络工具的所述第一版本状态；

21.一种设备，包括：

用于由处于第一特定版本状态的网络工具的第一实例生成包括网络事件的网络保证数据的装置；

用于将与所述网络工具的所述第一特定版本状态唯一对应的版本标识符附加到由所述网络工具的第一实例生成的所述网络保证数据的装置；

用于从处于第二特定版本状态的所述网络工具的第二实例接收对由所述网络工具的第一实例生成的所述网络保证数据的查询的装置；以及

用于使用所述版本标识符根据针对由所述网络工具生成的数据的版本约束来向所述网络工具的第二实例提供对由所述网络工具的第一实例生成的所述网络保证数据的访问的装置，其中所述版本标识符与所述网络工具的所述第一特定版本状态唯一对应并且被附加到由所述网络工具的第一实例生成的所述网络保证数据。

22.根据权利要求21所述的设备，还包括：用于实现根据权利要求2-14中任一项所述的方法的装置。

23.一种计算机程序、计算机程序产品或计算机可读介质，包括指令，这些指令当由计算机执行时使所述计算机执行权利要求1-14中任一项所述的方法的步骤。