CN112887164B - 广播风暴诊断方法、装置和计算机存储介质 - Google Patents

Abstract

本公开提供了一种广播风暴诊断方法、装置和介质，属于通信领域。该方法用于对局域网中的广播风暴进行诊断，所述局域网包括骨干网和业务子网，所述业务子网与所述骨干网连接，不同的业务子网对应不同的IP地址段，所述骨干网包括多个网络设备，该方法包括：确定各个网络设备的监测端口中的第一监测端口，所述监测端口为所属的网络设备与所述骨干网中的另一网络设备连接的端口，所述第一监测端口为在第一单位时长内发送的数据包的数量超过第一阈值的监测端口；根据所述第一监测端口在所述第一单位时长内发送的数据包的源IP地址，确定广播风暴的成因。

Description

广播风暴诊断方法、装置和计算机存储介质

技术领域

本公开涉及通信技术领域，特别涉及一种广播风暴诊断方法、装置和计算机可读存储介质。

背景技术

广播风暴是一种网络故障，当广播数据包在网络中大量传输或者循环传输时，会引起网络性能明显下降，甚至会导致网络整体瘫痪。

相关技术中，通过在网络设备(例如交换机)的端口上设置广播包传送阈值，以限制广播包的数量。然而，这种方式只能限制广播风暴的传播，但无法确定广播风暴的形成原因，需要通过人工排查等方式才能确定广播风暴的形成原因，效率较低。

发明内容

本公开实施例提供了一种广播风暴诊断方法、装置和计算机存储介质，能够准确确定出不同类型的广播风暴的形成原因。所述技术方案如下：

一方面，本公开实施例提供了一种广播风暴诊断方法，用于对局域网中的广播风暴进行诊断，所述局域网包括骨干网和业务子网，所述业务子网与所述骨干网连接，所述骨干网包括多个网络设备，所述方法包括：

确定各个网络设备的监测端口中的第一监测端口，所述监测端口为所属的网络设备与所述骨干网中的另一网络设备连接的端口，所述第一监测端口为在第一单位时长内发送的数据包的数量超过第一阈值的监测端口；

根据所述第一监测端口在所述第一单位时长内发送的数据包的源IP地址，确定广播风暴的成因。

可选地，所述根据所述第一监测端口在所述第一单位时长内发送的数据包的源IP地址，确定广播风暴的成因，包括：

响应于所述源IP地址单一，确定广播风暴的成因是所述外部引入；或者，

响应于所述源IP地址的数量大于1且包括来自于不同的所述业务子网的源IP地址，确定广播风暴的成因为骨干网内部成环；或者，

响应于第二数量未超过第二阈值，且所述源IP地址的数量大于1且所述源IP地址属于一个所述业务子网，确定广播风暴的成因为业务子网内部成环；或者，

响应于第二数量超过第二阈值，且所述源IP地址的数量大于1且所述源IP地址属于一个所述业务子网，确定广播风暴的成因为骨干网边缘成环，所述骨干网边缘成环指业务子网和骨干网内存在重复的业务传输链路；

其中，所述第二数量为所述第一监测端口在第二单位时长内接收到的数据包的数量。

可选地，所述方法还包括：

对于成因为外部引入的广播风暴，将所述源IP地址对应的终端确定为故障源；或者，

对于成因为外部引入、业务子网内部成环或者骨干网边缘成环的广播风暴，将所述源IP地址所属的业务子网确定为故障源。

可选地，所述方法还包括：

对于成因为外部引入、业务子网内部成环或者骨干网边缘成环的广播风暴，将所述IP地址对应的接入端口断开，以对所述广播风暴的故障源进行隔离，所述接入端口为所述IP地址所属的业务子网所连接的网络设备的端口。

可选地，所述方法还包括：

对于成因为骨干网内部成环的广播风暴，将第二监测端口所属的网络设备确定为广播风暴的故障源，所述第二监测端口为满足以下条件的第一监测端口：在第二单位时长内接收到的数据包的第二数量超过第二阈值。

可选地，所述方法还包括：

对于成因为骨干网内部成环的广播风暴，断开所述第二监测端口，以对所述广播风暴的故障源进行隔离。

可选地，所述方法还包括：

输出广播风暴告警信息，所述广播风暴告警信息用于指示广播风暴的成因和故障源中的至少一种。

另一方面，本公开实施例提供了一种广播风暴监测装置，用于对局域网中的广播风暴进行诊断，所述局域网包括骨干网和业务子网，所述业务子网与所述骨干网连接，所述骨干网包括多个网络设备，所述装置包括：

第一监测端口确定模块，用于确定各个网络设备的监测端口中的第一监测端口，所述监测端口为所属的网络设备与所述骨干网中的另一网络设备连接的端口，所述第一监测端口为在第一单位时长内发送的数据包的数量超过第一阈值的监测端口；

诊断模块，用于根据所述第一监测端口在所述第一单位时长内发送的数据包的源IP地址，确定广播风暴的成因。

另一方面，本公开实施例提供了一种广播风暴监测装置，包括：存储器和处理器，存储器和处理器之间互相通信连接，存储器存储有计算机指令，处理器通过执行计算机指令，从而执行如上述实施例中的广播风暴诊断方法。

另一方面，本公开实施例提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使所述计算机执行如上述实施例中的广播风暴诊断方法。

本公开实施例提供的技术方案至少包括以下的有益效果是：

对于包含骨干网和至少两个业务子网的局域网而言，当网络设备的监测端口在第一单位时长内发送的数据包的数量超过第一阈值，表示局域网中出现了网络风暴，由于局域网中不同的业务子网对应不同的IP地址段，所以当广播风暴出现时，根据该第一监测端口在第一单位时长内发送的数据包的源IP地址，即可判断出广播风暴的成因，无需通过人工排查，提高了广播风暴的诊断效率。

附图说明

为了更清楚地说明本公开实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本公开实施例适用的局域网的网络结构示意图；

图2是本公开实施例提供的一种广播风暴诊断方法的流程示意图；

图3是本公开实施例提供的一种广播风暴的形成原因的示意图；

图4是本公开实施例提供的另一种广播风暴的形成原因的示意图；

图5是本公开实施例提供的另一种广播风暴的形成原因的示意图；

图6是本公开实施例提供的另一种广播风暴的形成原因的示意图；

图7是本公开实施例提供的另一种广播风暴诊断方法的流程示意图；

图8是本公开实施例提供的另一种广播风暴诊断方法的流程示意图；

图9是本公开实施例提供的另一种广播风暴诊断方法的流程示意图；

图10是本公开实施例提供的另一种广播风暴诊断方法的流程示意图；

图11是是本公开实施例提供的另一种广播风暴诊断方法的流程示意图；

图12是本公开实施例提供的一种广播风暴诊断装置的结构示意图；

图13是本公开实施例提供的一种广播风暴诊断装置的结构示意图。

具体实施方式

为使本公开的目的、技术方案和优点更加清楚，下面将结合附图对本公开实施方式作进一步地详细描述。

本公开实施例提供了一种广播风暴诊断方法，适用于监测局域网中的广播风暴。图1为本公开实施例适用的局域网的网络结构示意图。如图1所示，该局域网包括骨干网和两个业务子网，两个业务子网分别为业务子网1和业务子网2。

骨干网包括多个网络设备，也被称为网元，例如图1中的网元A～网元E，用于承载不同的业务子网之间的数据传输。业务子网1和业务子网2均包括接入设备、以及终端和服务器中的至少一种，接入设备与骨干网中的一个网络设备连接，例如，业务子网1的接入设备与网元A连接，业务子网2的接入设备与网元B连接，终端和服务器通过对应的接入设备与骨干网连接。在本公开实施例中，接入设备与对应的网络设备的接入端口连接，例如，业务子网2中的接入设备与网元B的接入端口B0连接。

不同的业务子网对应不同的IP地址段，每个业务子网中的终端和服务器采用的IP地址均属于所属的业务子网对应的IP地址段。这里，IP地址段可以在网络建设初期，由网络运营方划分，然后保存在网络管理设备中。

该局域网还包括网络监测设备，该网络监测设备主要用于对跨子网的业务进行监测。例如，监测各个网络设备的监测端口接收和发送数据包的数量是否超过对应的阈值，分析接收到的和/或发送的数据包的源IP地址、目的IP地址等。

在本公开实施例中，监测端口为所属的网络设备与所述骨干网中的其他网络设备连接的端口，也即是，监测端口是所属的网络设备的NNI(Network to Network Interface，网络侧接口)。例如，网元B的与网元D连接的端口B1，网元B与网元E连接的端口B2，网元E与网元B连接的端口E1，网元D与网元B连接的端口B1等。

在本公开实施例中，网络设备为交换机、路由器等，接入设备为交换机、路由器等，终端为台式计算机、笔记本电脑、移动终端等。网络监测设备为计算机设备，例如刀架服务器等。

需要说明的是，图1中的业务子网的数量以及各个业务子网中终端的数量仅为示例，实际应用中，局域网可以包括少于2个的业务子网或者多于2个的业务子网，例如，1个，3个，4个等。每个业务子网中也可以包括多个终端和/或服务器。

图2是本公开一实施例提供的广播风暴诊断方法的流程示意图。如图2所示，该方法可以由网络管理设备执行，该方法包括以下步骤：

在S201中，确定各个网络设备的监测端口中的第一监测端口，第一监测端口为在第一单位时长内发送的数据包的第一数量超过第一阈值的监测端口。

其中，监测端口为所属的网络设备与骨干网中的另一网络设备连接的端口。

其中，第一单位时长和第一阈值均是在执行该方法之前预先设置在网络监测设备中的。第一单位时长和第一阈值的取值可以根据实际需要设置，本公开实施例对第一单位时长和第一阈值的取值不做限制。例如，第一单位时长为1S、2S等，第一阈值为1000个等。当第一单位时长设置为1S时，该第一数量即为第一监测端口在发方向上的数据包的发送速率。

在一种可能的实施方式中，该S201包括：第一步、获取各个网络设备的各个监测端口在第一单位时长内发送的数据包的第一数量；第二步、将各个监测端口对应的第一数量与第一阈值进行比较；第三步、将第一数量大于第一阈值的监测端口确定为第一监测端口。

在另一种可能的实施方式中，该S201包括：接收网络监测设备发送的指示信息，该指示信息用于指示在第一单位时长内发送的数据包的数量超过第一阈值的第一监测端口。示例性地，该指示信息包括第一监测端口的标识，例如端口号等。可选地，该指示信息还包括第一监测端口在第一单位时长内发送的数据包或者，第一监测端口在第一单位时长内发送的数据包的源IP地址、目的IP地址等信息。

在S202中，根据第一监测端口在第一单位时长内发送的数据包的源IP地址，确定广播风暴的成因。

对于包含骨干网和至少两个业务子网的局域网而言，当网络设备的监测端口在第一单位时长内发送的数据包的数量超过第一阈值，表示局域网中出现了网络风暴，由于局域网中不同的业务子网对应不同的IP地址段，所以当广播风暴出现时，根据该第一监测端口在第一单位时长内发送的数据包的源IP地址，即可判断出广播风暴的成因，无需通过人工排查，提高了广播风暴的诊断效率。

在本公开实施例中，网络风暴的成因包括以下四种：外部引入、业务子网内部成环、骨干网内部成环和骨干网边缘成环。

其中，外部引入主要是指因病毒、人为破坏和环境等多种因素，造成大量重复恶意数据通过业务子网内的终端进入骨干网传输，造成网络劣化，影响用户正常使用。例如，跟骨干网对接的业务子网的某终端存在蠕虫病毒，例如I-Worm/Blaster冲击波病毒、I-Worm/Chian冲击波杀手等，该蠕虫病毒采用广播数据包的形式向外发送大量邮件，实现对特定IP地址段的疯狂扫描，或者，人为采用某些黑客软件，发送大量广播数据包造成局域网近似于瘫痪。另一方面，设备工作在不合适的温度、湿度、震动和电磁干扰等，尤其是电磁干扰比较严重的环境，可能会使业务子网的设备变得不稳定，造成数据传输错误，引发广播风暴。

例如，如图3所示，业务子网1内的某终端产生大量数据包，这些数据包的源IP地址均为该终端的IP地址。通过业务子网1的接入设备将这些数据包发送至网络设备(即网元-B)的接入端口B0，该网元-B将从该接入端口B0接收到的数据包从监测端口B1转发至骨干网中其他的网络设备(例如网元-D)，形成广播风暴。

业务子网内部成环，是指业务子网内的两个接入设备之间由于配置不当，形成了环路，导致传输业务在子网内形成广播风暴。例如，如图4所示，因为人为误操作等原因，对业务子网1内的接入设备a1和接入设备a2进行了额外的对接，即存在链路L2，导致两个接入设备a1和a2成环。业务子网1内与接入设备a2连接的终端发送的数据包分别沿着链路L1和L2从接入设备a2传输到接入设备a1，产生大量的数据包发送至接入端口B0。另外，接入设备a1连接的终端发送的每个数据包除了经过接入设备a1直接发往接入端口B0之外，会分别复制一份经过第一路径(由链路L1、接入设备a2、以及链路L2依次连接而成)和第二路径(由链路L2、接入设备a2、以及链路L1依次连接而成)后发往接入端口B0，接入端口B0接收到大量源IP地址不同的数据包，该网元-B将从该接入端口B0接收到的数据包从监测端口B1转发至骨干网中其他的网络设备(例如网元-D)，形成广播风暴。

骨干网内部成环，是指由于网络设备之间链路配置不正确，导致骨干网内部至少两个网络设备出现环路，进而导致广播风暴。例如，如图5所示，网元B、网元E和网元D形成环路。当网元B从接入端口B0接收到来自业务子网2的数据包后，会将数据包从监测端口B1和B2发送，从监测端口B1发送的数据包会经过网元D和网元E回到网元B，同样地，从监测端口B2发送的数据包会经过网元E和网元D回到网元B。对于网元D和网元E所连接的业务子网发送至骨干网的数据包也会出现相同的情况，这些数据包会在网元B、网元E和网元D之间循环传输，形成广播风暴。

骨干网边缘成环，是指对于某业务，业务子网内部有能够传输该业务的传输链路，骨干网内部也有能够传输该业务的传输链路，业务子网内部的传输链路和骨干网内部的传输链路形成环路。例如，如图6所示，业务子网1内的接入设备a1和接入设备a2之间存在位于业务子网1内部的链路L1，同时，骨干网中的网元B和网元C又在接入设备a1和接入设备a2之间形成了链路L2。当接入设备a1连接的终端产生数据包时，接入设备a1会分别将数据包发往网元B和接入设备a2，接入设备a2将接收到的数据包发往网元C，网元C再将该数据包发往网元B。同样的，当接入设备a2连接的终端产生数据包时，接入设备a2会分别将数据包发往网元C和接入设备a1，接入设备a1将接收到的数据包发往网元B，网元B再将该数据包发往网元C，大量数据包重复传输，形成网络风暴。

图7是本公开另一实施例提供的广播风暴诊断方法的流程示意图，在图7所示实施例中，广播风暴的成因为外部引入，如图7所示，该方法包括以下过程：

在S301中，确定各个网络设备的监测端口中的第一监测端口。

相关内容参见S201，在此省略详细描述。

在S302中，若第一监测端口在第一单位时长内发送的数据包的源IP地址单一，则确定广播风暴的成因为外部引入。

也即是，第一监测端口在第一单位时长内发送的大量数据包均由同一终端产生，表示这些数据包的产生原因是该终端受病毒、环境或者人为因素影响。

可选地，在该步骤S302之前，该方法还包括：确定第一监测端口在第二单位时长内接收到的数据包的第二数量是否超过第二阈值。如果第二数量没有超过第二阈值，再执行S302。

该第二单位时长和第二阈值根据实际需要设置，例如，第二单位时长为1S、2S等，第二阈值为1000个等。当第二单位时长设置为1S时，该第二数量即为第一监测端口在收方向上的数据包的接收速率。

由于在外部引入导致广播风暴的情况下，大量数据包均由同一终端产生，并且经过骨干网中的网元发送至目标IP地址，导致第一监测端口在其发方向上的数据包的第一数量超过第一阈值，而在第一监测端口的收方向上，大概率流量正常，即第二单位时长内接收到的数据包的第二数量较小，不会超过第二阈值，通过确定第一监测端口在收方向上的数据包的数量是否正常，能够进一步准确判断出外部引入导致的广播风暴。

在S303中，根据源IP地址和物理端口的映射关系，确定源IP地址对应的接入端口。

其中，物理端口为网络设备的与其他设备(包括其他网络设备和接入设备)连接的端口，接入端口为该源IP地址所属的业务子网中的接入设备所连接的网络设备的端口。例如，图3中的网元B的接入端口B0。

示例性地，S303包括：确定源IP地址所属的IP地址段，不同的IP地址段对应不同的业务子网；根据预先配置的IP地址段与物理端口的映射关系，将源IP地址所属的IP地址段对应的物理端口作为源IP地址对应的接入端口。

其中，IP地址段和物理端口的映射关系在局域网组网完成后，由运维人员根据网络规划在执行本公开实施例提供的方法之前预先保存在网络管理设备中。例如，该映射关系可以为列表的形式，每个表项均包括业务子网的标识、业务子网对应的接入端口的标识以及IP地址段。

示例性地，IP地址段和物理端口的映射关系如下表一所示：

表一

业务子网标识	IP地址段	物理端口标识
			业务子网1	10.20.1.xxx	网元B的B0
业务子网2	10.20.2.xxx	待定

在S304中，断开该接入端口。

其中，断开该接入端口是指向接入端口所属的网络设备发送控制指令，该控制指令用于指示网络设备对于从该接入端口接收到的数据包均不执行转发操作。

通过S303和S304，可以实现对由于外部引入导致的广播风暴的故障源进行自动隔离。

在一些示例中，该方法还包括：在执行S303之前，判断故障隔离功能是否启用，如果故障隔离功能启用，才执行S303和S304。

可选地，该方法还包括：输出广播风暴告警信息，所述广播风暴告警信息用于指示广播风暴的成因和故障源中的至少一种。通过输出广播风暴告警信息，通知维护人员广播风暴的故障信息，以便维护人员及时采取相应的措施。例如，在S302后，输入该广播风暴告警信息，以便维护人员决定是否开启故障隔离功能。

可选地，该方法还包括：根据该源IP地址确定广播风暴的故障源。例如，将该源IP地址对应的终端确定为故障源，或者，将该源IP地址所属的业务子网确定为故障源。需要说明的是，如果输出的广播风暴告警信息中包含故障源的信息，则执行该确定故障源的步骤，反之，如果输出的广播风暴告警信息中不包含该故障源的信息，可以不执行该确定故障源的步骤。

图8是本公开另一实施例提供的广播风暴诊断方法的流程示意图，在图8所示实施例中，广播风暴的成因为业务子网内部成环，如图8所示，该方法包括以下过程：

在S401中，确定各个网络设备的监测端口中的第一监测端口。

相关内容参见S201，在此省略详细描述。

在S402中，获取所述第一监测端口在第二单位时长内接收的数据包的第二数量。

即切换为监测第一监测端口的收方向的数据包。

在S403中，若第二数量未超过第二阈值，所述源IP地址的数量大于1且所述源IP地址属于同一个所述业务子网，则确定广播风暴的成因为业务子网内部成环。

在S404中，根据源IP地址和物理接口的映射关系，确定源IP地址对应的接入端口。

相关内容参见S303，在此省略详细描述。

在S405中，断开该接入端口。

相关内容参见S304，在此省略详细描述。

通过S404和S405，可以实现对由于业务子网内部成环导致的广播风暴的故障源进行自动隔离。

在一些示例中，该方法还包括：在执行S404之前，判断故障隔离功能是否启用，如果故障隔离功能启用，才执行S404和S405。

可选地，该方法还包括：输出广播风暴告警信息，所述广播风暴告警信息用于指示广播风暴的成因和故障源中的至少一种。通过输出广播风暴告警信息，通知维护人员广播风暴的故障信息，以便维护人员及时采取相应的措施。例如，在S402后，输入该广播风暴告警信息，以便维护人员决定是否开启故障隔离功能。

可选地，该方法还包括：根据该源IP地址确定广播风暴的故障源。例如将该源IP地址所属的业务子网确定为故障源。需要说明的是，如果输出的广播风暴告警信息中包含故障源的信息，则执行该确定故障源的步骤，反之，如果输出的广播风暴告警信息中不包含该故障源的信息，可以不执行该确定故障源的步骤。

图9是本公开另一实施例提供的广播风暴诊断方法的流程示意图，在图9所示实施例中，广播风暴的成因为骨干网内部成环，如图9所示，该方法包括以下过程：

在S501中，确定各个网络设备的监测端口中的第一监测端口。

相关内容参见S201，在此省略详细描述。

在S502中，若源IP地址的数量大于1且包括来自于不同的所述业务子网的源IP地址，确定广播风暴的成因为骨干网内部成环。

例如，如图5所示，从网元B、网元D和网元E连接的业务子网发送至骨干网的数据包在网元B、网元D和网元E之间循环传输，导致网元B的监测端口B1、B2、网元D的监测端口D1和网元E的监测端口E1在收方向和发方向上均存在大量的数据包，并且这些数据包的源IP地址属于不同的业务子网，因此，可以根据源IP地址对应的业务子网的数量确定广播风暴的成因为骨干网内部成环。

可选地，在S502之前，该方法还包括：确定第一监测端口在第二单位时长内接收到的数据包的第二数量是否超过第二阈值。如果第二数量超过第二阈值，再执行S502。

在S503中，确定第二监测端口，该第二监测端口为在第二单位时长内接收到的数据包的第二数量超过第二阈值的第一监测端口。

在S504中，断开第二监测端口。

通过S503和S504，可以实现对由于骨干网内部成环导致的广播风暴的故障源进行自动隔离。

在一些示例中，该方法还包括：在执行S503之前，判断故障隔离功能是否启用，如果故障隔离功能启用，才执行S503和S504。

可选地，该方法还包括：输出广播风暴告警信息，所述广播风暴告警信息用于指示广播风暴的成因和故障源中的至少一种。通过输出广播风暴告警信息，通知维护人员广播风暴的故障信息，以便维护人员及时采取相应的措施。例如，在S502后，输入该广播风暴告警信息，以便维护人员决定是否开启故障隔离功能。

可选地，该方法还包括：将第二监测端口所属的网络设备确定为广播风暴的故障源。需要说明的是，如果输出的广播风暴告警信息中包含故障源的信息，则执行该确定故障源的步骤，反之，如果输出的广播风暴告警信息中不包含该故障源的信息，可以不执行该确定故障源的步骤。

图10是本公开另一实施例提供的广播风暴诊断方法的流程示意图，在图10所示实施例中，广播风暴的成因为骨干网边缘成环，如图10所示，该方法包括以下过程：

在S601中，确定各个网络设备的监测端口中的第一监测端口。

相关内容参见S201，在此省略详细描述。

在S602中，获取所述第一监测端口在第二单位时长内接收的数据包的第二数量。

即切换为监测第一监测端口的收方向的数据包。

在S603中，若第二数量超过第二阈值，所述源IP地址的数量大于1且所述源IP地址属于一个所述业务子网，确定广播风暴的成因为骨干网边缘成环。

在S604中，根据源IP地址和物理接口的映射关系，确定源IP地址对应的接入端口。

相关内容参见S303，在此省略详细描述。

在S605中，断开该接入端口。

相关内容参见S304，在此省略详细描述。

通过S604和S605，可以实现对由于骨干网边缘成环导致的广播风暴的故障源进行自动隔离。

在一些示例中，该方法还包括：在执行S604之前，判断故障隔离功能是否启用，如果故障隔离功能启用，才执行S604和S605。

可选地，该方法还包括：输出广播风暴告警信息，所述广播风暴告警信息用于指示广播风暴的成因和故障源中的至少一种。通过输出广播风暴告警信息，通知维护人员广播风暴的故障信息，以便维护人员及时采取相应的措施。例如，在S603后，输入该广播风暴告警信息，以便维护人员决定是否开启故障隔离功能。

可选地，该方法还包括：根据该源IP地址确定广播风暴的故障源。例如将该源IP地址所属的业务子网确定为故障源。需要说明的是，如果输出的广播风暴告警信息中包含故障源的信息，则执行该确定故障源的步骤，反之，如果输出的广播风暴告警信息中不包含该故障源的信息，可以不执行该确定故障源的步骤。

需要说明的是，在图2至图10所示实施例中，均以先监测各个监测端口的发方向上的数据包的传输速率为例进行了说明，在其他实施例中，也可以同时监测各个监测端口收方向和发方向上的数据包的传输速率。当收方向和发方向上数据包的传输速率满足对应的条件时，根据发方向的数据包的源IP地址得到广播风暴的成因。

图11是本公开另一实施例提供的广播风暴诊断方法的流程示意图，在图11所示实施例中，如图11所示，该方法包括以下过程：

在S701中，设置第一阈值和第二阈值。

可选地，该S701包括：接收设置指令，该设置指令包括第一阈值和第二阈值中的至少一个。

需要说明的是，该步骤801为可选步骤，第一阈值和第二阈值设置好之后，可以多次执行后续步骤。

在S702中，监测各个监测端口在第一单位时长发送的数据包的数量。

即监测各个监测端口在发方向上的数据包的数量。

在S703中，确定数据包发送速率超过第一阈值的第一监测端口。

这里，数据包发送速率即第一单位时长内发送的数据包的数量。

在S704中，判断第一监测端口在第一单位时长内发送的多个数据包的源IP地址是否单一。

若第一监测端口在第一单位时长内发送的多个数据包的源IP地址单一，则执行S705a；若第一监测端口在第一单位时长内发送的多个数据包的源IP地址不单一，即包括来自于不同的业务子网的源IP地址，则执行S705b；

在S705a中，确定该源IP地址对应的接入端口。

在S706a中，输出第一告警信息，该第一告警信息用于指示广播风暴的成因为外部引入。

可选地，该第一告警信息还用于指示S705a中确定出的接入端口。

在S707a中，判断故障隔离功能是否启用；若故障隔离功能启用，则执行S708a，若故障隔离功能未启用，则退出当前流程。

在S708a中，断开该接入端口。

S705b，判断第一单位时长内发送的数据包对应的各个IP地址是否属于同一个业务子网；若各个IP地址不属于同一个业务子网，则执行S706b；若各个IP地址属于同一个业务子网，则执行S706c。

在S706b中，监测各个第一监测端口在第二单位时长内接收到的数据包的数量。

即切换为监测各个第一监测端口在发方向上的数据包的数量。

在S707b中，确定在第二单位时长内接收到的数据包的数量超过第二阈值的第二监测端口。

在S708b中，确定第二监测端口所属的网络设备。

在S709b中，输出第二告警信息，该第二告警信息用于指示广播风暴的成因为骨干网内部成环。

可选地，该第一告警信息还用于指示S708b中确定出的网络设备。

在S710b中，判断故障隔离功能是否启用；若故障隔离功能启用，则执行S711b，若故障隔离功能未启用，则退出当前流程。

在S711b中，断开第二监测端口。

在S706c中，确定第一监测端口在第二单位时长内接收到的数据包的第二数量超过第二阈值。如果第二数量超过第二阈值，则执行S707c；如果第二数量未超过第二阈值，则执行S707d。

在S707c中，确定该源IP地址所属的业务子网的IP地址段所对应的接入端口。

在S708c中，输出第三告警信息，该第三告警信息用于指示广播风暴的成因为骨干网边缘成环。

可选地，该第三告警信息还用于指示S707c中确定出的接入端口。

在S709c中，判断故障隔离功能是否启用；若故障隔离功能启用，则执行S710d，若故障隔离功能未启用，则退出当前流程。

在S710c中，断开该接入端口。

在S707d中，确定该源IP地址所属的业务子网的IP地址段所对应的接入端口。

在S708d中，输出第四告警信息，该第四告警信息用于指示广播风暴的成因为子网内部成环。

可选地，该第四告警信息还用于指示S707d中确定出的接入端口。

在S709d中，判断故障隔离功能是否启用；若故障隔离功能启用，则执行S710d，若故障隔离功能未启用，则退出当前流程。

在S710d中，断开该接入端口。

需要说明的是，在执行故障隔离操作之后，需要在设定时长间隔之后再次监测第一监测端口在第一单位时长内发送的数据包的第一数量是否超过第一阈值，如果第一数量仍然超过第一阈值，在需要再次执行S704以及之后的过程。示例性地，设定时长间隔根据需要设置，例如30S。

可选地，除了再次执行S704以及之后的过程之外，还可以输出额外的告警信息，以提示进行人工排查。

图12是本公开一实施例提供的广播风暴诊断装置的结构示意图，该装置可以通过软件、硬件或者两者的结合实现成为广播风暴诊断装置中的部分或者全部。如图12所示，该广播风暴诊断装置用于对局域网中的广播风暴进行诊断，所述局域网包括骨干网和至少两个业务子网，所述至少两个业务子网通过所述骨干网连接，所述骨干网包括多个网络设备。

该广播风暴诊断装置包括：第一监测端口确定模块1201和诊断模块1202。其中，第一监测端口确定模块1201用于确定各个网络设备的监测端口中的第一监测端口，所述监测端口为所属的网络设备与所述骨干网中的另一网络设备连接的端口，所述第一监测端口为在第一单位时长内发送的数据包的数量超过第一阈值的监测端口。诊断模块1202用于根据所述第一监测端口在所述第一单位时长内发送的数据包的源IP地址，确定广播风暴的成因。

可选地，诊断模块1202用于响应于所述源IP地址单一，确定广播风暴的成因是所述外部引入；或者，响应于所述源IP地址的数量大于1且包括来自于不同的所述业务子网的源IP地址，确定广播风暴的成因为骨干网内部成环；或者，响应于第二数量未超过第二阈值，所述源IP地址的数量大于1且所述源IP地址属于一个所述业务子网，确定广播风暴的成因为业务子网内部成环；或者，响应于第二数量超过第二阈值，所述源IP地址的数量大于1且所述源IP地址属于一个所述业务子网，确定广播风暴的成因为骨干网边缘成环，所述骨干网边缘成环为业务子网和骨干网内存在重复的业务传输链路；其中，所述第二数量为所述第一监测端口在第二单位时长内接收到的数据包的数量。

可选地，该广播风暴诊断装置还包括：故障源确定模块1203。

在一些实施方式中，该故障源确定模块1203用于对于成因为外部引入的广播风暴，将所述源IP地址对应的终端确定为故障源；或者，对于成因为外部引入、业务子网内部成环或者骨干网边缘成环的广播风暴，将所述源IP地址所属的业务子网确定为故障源。

在另一些实施方式中，该故障源确定模块1203用于对于成因为骨干网内部成环的广播风暴，将第二监测端口所属的网络设备确定为广播风暴的故障源，所述第二监测端口为满足以下条件的第一监测端口：在第二单位时长内接收到的数据包的第二数量超过第二阈值。

可选地，该广播风暴诊断装置还包括：隔离模块1204，用于对广播风暴的故障源进行隔离。

在一些实施方式中，该隔离模块1204用于对于成因为外部引入、业务子网内部成环或者骨干网边缘成环的广播风暴，将所述IP地址对应的接入端口断开，以对所述广播风暴的故障源进行隔离，所述接入端口为所述IP地址所属的业务子网所连接的网络设备的端口。

在一些实施方式中，该隔离模块1204用于对于成因为骨干网内部成环的广播风暴，断开所述第二监测端口，以对所述广播风暴的故障源进行隔离。

可选地，该广播风暴诊断装置还包括：告警模块1205，用于输出广播风暴告警信息，所述广播风暴告警信息用于指示广播风暴的成因和故障源中的至少一种。

对于包含骨干网和至少两个业务子网的局域网而言，当网络设备的监测端口在第一单位时长内发送的数据包的数量超过第一阈值，表示局域网中出现了网络风暴，由于局域网中不同的业务子网对应不同的IP地址段，所以当广播风暴出现时，根据该第一监测端口在第一单位时长内发送的数据包的源IP地址，即可判断出广播风暴的成因，无需通过人工排查，提高了广播风暴的诊断效率。

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

图13是本公开一实施例提供的一种广播风暴诊断装置的结构示意图。如图13所示，所述广播风暴诊断装置可以为计算机设备1300，计算机设备1300包括中央处理单元(CPU)1301、包括随机存取存储器(RAM)1302和只读存储器(ROM)1303的系统存储器1304，以及连接系统存储器1304和中央处理单元1301的系统总线1305。所述计算机设备1300还包括帮助计算机内的各个器件之间传输信息的基本输入/输出系统(I/O系统)1306，和用于存储操作系统1313、应用程序1314和其他程序模块1315的大容量存储设备1307。

所述基本输入/输出系统1306包括有用于显示信息的显示器1308和用于用户输入信息的诸如鼠标、键盘之类的输入设备1309。其中所述显示器1308和输入设备1309都通过连接到系统总线1305的输入输出控制器1310连接到中央处理单元1301。所述基本输入/输出系统1306还可以包括输入输出控制器1310以用于接收和处理来自键盘、鼠标、或电子触控笔等多个其他设备的输入。类似地，输入输出控制器1310还提供输出到显示屏、打印机或其他类型的输出设备。

所述大容量存储设备1307通过连接到系统总线1305的大容量存储控制器(未示出)连接到中央处理单元1301。所述大容量存储设备1307及其相关联的计算机可读介质为计算机设备1300提供非易失性存储。也就是说，所述大容量存储设备1307可以包括诸如硬盘或者CD-ROM驱动器之类的计算机可读介质(未示出)。

不失一般性，所述计算机可读介质可以包括计算机存储介质和通信介质。计算机存储介质包括以用于存储诸如计算机可读指令、数据结构、程序模块或其他数据等信息的任何方法或技术实现的易失性和非易失性、可移动和不可移动介质。计算机存储介质包括RAM、ROM、EPROM、EEPROM、闪存或其他固态存储其技术，CD-ROM、DVD或其他光学存储、磁带盒、磁带、磁盘存储或其他磁性存储设备。当然，本领域技术人员可知所述计算机存储介质不局限于上述几种。上述的系统存储器1304和大容量存储设备1307可以统称为存储器。

根据本发明的各种实施例，所述计算机设备1300还可以通过诸如因特网等网络连接到网络上的远程计算机运行。也即计算机设备1300可以通过连接在所述系统总线1305上的网络接口单元1311连接到网络1312，或者说，也可以使用网络接口单元1311来连接到其他类型的网络或远程计算机系统(未示出)。

所述存储器还包括一个或者一个以上的程序，所述一个或者一个以上程序存储于存储器中，中央处理器1301通过执行该一个或一个以上程序来实现图2或图7至图11中任一幅所示的广播风暴诊断方法。

在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器，上述指令可由计算机设备的处理器执行以完成本发明各个实施例所示的通信方法。例如，所述非临时性计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上仅为本公开的可选实施例，并不用以限制本公开，凡在本公开的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本公开的保护范围之内。

Claims (9)

1.一种广播风暴诊断方法，其特征在于，用于对局域网中的广播风暴进行诊断，所述局域网包括骨干网和业务子网，所述业务子网通过所述骨干网的一个网络设备与所述骨干网连接，不同的业务子网对应不同的IP地址段，所述骨干网包括多个网络设备，所述方法包括：

确定各个网络设备的监测端口中的第一监测端口，所述监测端口为所属的网络设备与所述骨干网中的另一网络设备连接的端口，所述第一监测端口为在第一单位时长内发送的数据包的数量超过第一阈值的监测端口，所述第一单位时长为1S或2S，所述第一阈值为1000；

根据所述第一监测端口在所述第一单位时长内发送的数据包的源IP地址，确定广播风暴的成因；

所述根据所述第一监测端口在所述第一单位时长内发送的数据包的源IP地址，确定广播风暴的成因，包括：

响应于所述源IP地址的数量大于1且包括来自于不同的所述业务子网的源IP地址，确定广播风暴的成因为骨干网内部成环，所述骨干网内部成环是指所述骨干网内的网络设备之间链路配置不正确导致所述骨干网内部至少两个网络设备出现环路，在所述骨干网内形成广播风暴；或者，

响应于第二数量未超过第二阈值，所述源IP地址的数量大于1且所述源IP地址属于一个所述业务子网，确定广播风暴的成因为业务子网内部成环，所述业务子网内部成环是指所述业务子网内的两个接入设备之间由于配置不当形成环路，导致传输业务在所述业务子网内形成广播风暴；或者，

响应于第二数量超过第二阈值，所述源IP地址的数量大于1且所述源IP地址属于一个所述业务子网，确定广播风暴的成因为骨干网边缘成环，所述骨干网边缘成环指业务子网和骨干网内存在重复的业务传输链路，所述骨干网边缘成环是指所述业务子网内部的传输链路和所述骨干网内部的传输链路形成环路；

其中，所述第二数量为所述第一监测端口在第二单位时长内接收到的数据包的数量，所述第一单位时长为1S或2S，所述第一阈值为1000；

或者，响应于所述源IP地址单一，确定广播风暴的成因为外部引入，所述外部引入是指因病毒、人为破坏和环境因素，造成大量重复恶意数据通过所述业务子网内的终端进入所述骨干网传输。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

对于成因为外部引入的广播风暴，将所述源IP地址对应的终端确定为故障源；或者，

对于成因为外部引入、业务子网内部成环或者骨干网边缘成环的广播风暴，将所述源IP地址所属的业务子网确定为故障源。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

对于成因为外部引入、业务子网内部成环或者骨干网边缘成环的广播风暴，将所述IP地址对应的接入端口断开，以对所述广播风暴的故障源进行隔离，所述接入端口为所述IP地址所属的业务子网所连接的网络设备的端口。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

对于成因为骨干网内部成环的广播风暴，将第二监测端口所属的网络设备确定为广播风暴的故障源，所述第二监测端口为满足以下条件的第一监测端口：在第二单位时长内接收到的数据包的第二数量超过第二阈值。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

对于成因为骨干网内部成环的广播风暴，断开所述第二监测端口，以对所述广播风暴的故障源进行隔离。

6.根据权利要求1至5任一项所述的方法，其特征在于，所述方法还包括：

输出广播风暴告警信息，所述广播风暴告警信息用于指示广播风暴的成因和故障源中的至少一种。

7.一种广播风暴诊断装置，其特征在于，用于对局域网中的广播风暴进行诊断，所述局域网包括骨干网和业务子网，所述业务子网通过所述骨干网的一个网络设备与所述骨干网连接，所述骨干网包括多个网络设备，所述装置包括：

第一监测端口确定模块，用于确定各个网络设备的监测端口中的第一监测端口，所述监测端口为所属的网络设备与所述骨干网中的另一网络设备连接的端口，所述第一监测端口为在第一单位时长内发送的数据包的数量超过第一阈值的监测端口，所述第一单位时长为1S或2S，所述第一阈值为1000；

诊断模块，用于根据所述第一监测端口在所述第一单位时长内发送的数据包的源IP地址，确定广播风暴的成因；

所述根据所述第一监测端口在所述第一单位时长内发送的数据包的源IP地址，确定广播风暴的成因，包括：

响应于所述源IP地址的数量大于1且包括来自于不同的所述业务子网的源IP地址，确定广播风暴的成因为骨干网内部成环，所述骨干网内部成环是指所述骨干网内的网络设备之间链路配置不正确导致所述骨干网内部至少两个网络设备出现环路，在所述骨干网内形成广播风暴；或者，

响应于第二数量未超过第二阈值，所述源IP地址的数量大于1且所述源IP地址属于一个所述业务子网，确定广播风暴的成因为业务子网内部成环，所述业务子网内部成环是指所述业务子网内的两个接入设备之间由于配置不当形成环路，导致传输业务在所述业务子网内形成广播风暴；或者，

响应于第二数量超过第二阈值，所述源IP地址的数量大于1且所述源IP地址属于一个所述业务子网，确定广播风暴的成因为骨干网边缘成环，所述骨干网边缘成环指业务子网和骨干网内存在重复的业务传输链路，所述骨干网边缘成环是指所述业务子网内部的传输链路和所述骨干网内部的传输链路形成环路；

其中，所述第二数量为所述第一监测端口在第二单位时长内接收到的数据包的数量，所述第一单位时长为1S或2S，所述第一阈值为1000；

或者，响应于所述源IP地址单一，确定广播风暴的成因为外部引入，所述外部引入是指因病毒、人为破坏和环境因素，造成大量重复恶意数据通过所述业务子网内的终端进入所述骨干网传输。

8.一种广播风暴诊断装置，其特征在于，包括：存储器和处理器，存储器和处理器之间互相通信连接，存储器存储有计算机指令，处理器通过执行计算机指令，从而执行如权利要求1至6任一项所述的广播风暴诊断方法。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使所述计算机执行如权利要求1至6任一项所述的广播风暴诊断方法。