CN113783752B - 一种内网跨网段间业务系统相互访问时网络质量监控方法 - Google Patents

Abstract

本发明公开了一种内网跨网段间业务系统相互访问时网络质量监控方法，属于网络安全技术领域，解决了现有技术中想要达到高覆盖率的话，人力成本投入较高，无法保障网络层面100％的监控覆盖，除了WEB请求外仍有很多其他的网络使用请求需要监控的问题，本方案以网络拓扑中的网络区域为分析对象，只要网络策略允许，则部署两两访问的监控脚本。首先可以覆盖全部WEB请求的链路，其次如果没有WEB请求但网络策略互通，也仍可对其网络质量进行监控，不排除有除了WEB请求外其他的网络请求使用网络需要进行监控的场景。其次由于网络拓扑在一般企业很少更改，因此网络区域会在很长时段时间内不会发生改变，因此只要分析一次后续基本无需再投入人力更新和维护。

Description

一种内网跨网段间业务系统相互访问时网络质量监控方法

技术领域

本发明属于网络安全技术领域，具体涉及一种内网跨网段间业务系统相互访问时网络质量监控方法。

背景技术

局域网又称内网，是指在某一区域内由多台计算机互联成的计算机组，可以实现文件管理、应用软件共享、打印机共享、工作组内的日程安排、电子邮件和传真通信服务等功能。内网与公网是隔离的，一般需要通过虚拟专用网络(Virtual Private Network，VPN)来访问内网，而VPN作为内网的入口，一般也是病毒、网络攻击的入口，所以对于内网的网络访问监控非常必要。

目前内网业务系统相互调用访问时，大多通过http请求日志监控访问调用的质量情况，如出现访问异常时通过抓包等工具进行进一步检查，该种方式存在以下缺点：1.日志排查依赖日志本身信息完整性，如日志有缺失则影响异常发现；2.日志反映的内容容易受到其他因素影响，比如有其他关联的应用性能本身出现异常，也会导致应用日志异常，因而无法准确的判断是网络问题，影响排查进度。

一些旁路网络监控工具可实时抓流量包来检查当时网络访问情况；该种方式存在以下缺点：1.旁路监控工具一般采用商用产品，价格成本较高，因此此工具主要部署在重要的网络干路上。如果要实现内部网络区域之间全面的旁路监控覆盖，需要在网络区域之间再部署旁路监控，则成本会呈几何式增长(一条干路可能含有多个网络区域)，预估成本价至少在百万级以上。2.旁路监控依赖流量包经过旁路监控设备，如果流量包本身就被防火墙故障拦截则无法监控此类异常情况

在WEB访问链路上区域与区域之间，设备与设备之间设置探点进行访问探测；该种方式存在以下缺点：1.依赖对WEB访问链路的掌握情况，如果不在WEB访问覆盖内的网路区域或设备之间的监控则监控不到；2.如果有新增加的WEB访问有可能会需要投入人力去检视是否需要增加探测点。

发明内容

为解决现有技术中存在的技术问题，本发明提供一种内网跨网段间业务系统相互访问时网络质量监控方法。

本发明采用的技术发明如下：

一种内网跨网段间业务系统相互访问时网络质量监控方法，其特征在于，包括以下步骤：

步骤1：获取网络拓扑，找到各网络区域以及各网络区域之间的网络设备；

步骤2：通过网络拓扑分析获取整体网络分区情况，统计所有分区数量记录为N个，为后续每个分区内部署埋点机器做准备；

步骤3：根据整体网络访问策略设计，梳理出N个分区之间访问策略明细，获知N个区域相互访问的关系，则可以获知每一个区域访问其他区域的策略清单，为后续部署监控脚本做准备；完成此步则可以判断出有多少个网络区域，以此为监控覆盖的维度的话，并不依赖实际访问的链路，只要做到每个网络区域两两监控检测，就可以达到100％覆盖链路和设备的目的，

步骤4：监控部署，在N个网络区域各搭建一台低配主机,基于步骤3中的相互访问策略和原则，并在每一个主机上部署监控脚本，N个分区任意两个分区都会有监控脚本做监控探测；完成此步为了确保网络区域之间策略互通，只有策略互通的区域之间才可以相互访问，如不做策略检查盲目部署区域之间两两访问的监控，则会出现很多区域访问不通的误告警，因为本身其区域之间网络策略就不互通。

步骤5：监控脚本运行，当有任意监控脚本告警时，可及时获取相互访问异常的网络区域信息；

步骤6：告警消息通过企业提供的接入方式接入到企业内部的告警平台，通过邮件，短信，电话等方式发送告警内容。

优选的，所述步骤3中策略明细具体为：排除区域之间网络策略就不互通的区域，只允许策略互通的区域之间相互访问。

优选的，所述步骤4中的低配主机参数为CPU1核、内存1G、磁盘5G。此步骤为了进一步减低成本也可以将部署埋点选择现有的主机资源上，由于本技术方案监控脚本资源占用量极低可以忽略，因此完全可以选择现有机器资源作为埋点，则成本可以约等于0。

优选的，所述步骤4中的监控脚本逻辑为：每一个埋点机器都会实时探测其他的埋点机器的网络性能情况，获取延时、丢包、错误等数据。

优选的，所述步骤4部署监控脚本需要根据区域网络策略调整监控脚本内容，屏蔽掉区域之间原本策略不通的情况，依照“准备工作—网络拓扑分析”中分析的网络区域拓扑关系来部署监控脚本，以达到一次部署100％覆盖的目的。

优选的，所述步骤6中的告警消息还可以写入本地的告警消息文件中

综上所述，由于采用了上述技术发明，本发明的有益效果是：

1.本发明是真实的网络访问，只检查网络质量情况，不依赖于其他因素，一旦出现告警则一定可以判断出是网络出现问题。

2.每个网络区域之间选择已有的机器资源部署脚本执行即可，脚本资源使用率极低可以忽略使用此方式部署成本几乎为0；亦或在每个网络区域新建机器资源使用最低配置虚拟机1核CPU和500M内存即可满足要求，极大的节省了成本。

3.本发明是主动从源头触发模拟实际访问，因此不管在任何一个故障点流量包被拦截都会从流量包的返回情况判断当时网络的质量情况，不会出现未检测到的场景。

4.本发明是先对网络拓扑进行分析，筛选出所有网络区域，然后对每个区域部署监控脚本实现每个区域之间两两访问监控，不只能检测到所有WEB访问链路间的网络质量，对于网络上联通没有web访问的链路仍可监控其链路上的网络质量和网络设备运行情况。

5.本发明只需一次部署可实现长期100％覆盖，只要网络拓扑层不增加新的网络区域则无需再投入人力建设，而增加网络区域的情况在一般企业都是平时很少发生的。

附图说明

本发明将通过例子并参照附图的方式说明，其中：

图1是具体实施方式中的A,B,C,D四个网络区域的网络拓扑图；

具体实施方式

为使本申请实施例的目的、技术发明和优点更加清楚，下面将结合本申请实施例中附图，对本申请实施例中的技术发明进行清楚、完整地描述，显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本申请实施例的组件可以各种不同的配置来布置和设计。因此，以下对在附图中提供的本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。

在本申请实施例的描述中，需要说明的是，术语“上”、“下”、“左”、“右”、“竖直”、“水平”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，或者是该发明产品使用时惯常摆放的方位或位置关系，仅是为了便于描述本申请和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本申请的限制。此外，术语“第一”、“第二”、“第三”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

下面结合图1对本发明作详细说明。

一种内网跨网段间业务系统相互访问时网络质量监控方法，其特征在于，包括以下步骤：

准备工作—网络拓扑分析

步骤1：获取网络拓扑，找到各网络区域以及区域之间的网络设备。完成此步骤后将会通过网络拓扑分析获取整体网络分区情况，如业务区、存储区、数据库区、外联区等等；

步骤2：统计所有分区数量记录为N个，为后续每个分区内部署埋点机器做准备。完成此步则可以判断出有多少个网络区域，以此为监控覆盖的维度的话，并不依赖实际访问的链路，只要做到每个网络区域两两监控检测，就可以达到100％覆盖链路和设备的目的；

步骤3：根据整体网络访问策略设计，梳理出N个分区之间访问策略明细。如业务区与存储区可以相互访问，存储区与数据库区可以相互访问，存储区与外联区不能访问等等。完成此步后可以获知N个区域相互访问的关系，则可以很容易获知每一个区域访问其他区域的策略清单，为后续部署监控脚本做准备。完成此步为了确保网络区域之间策略互通，只有策略互通的区域之间才可以相互访问，如不做策略检查盲目部署区域之间两两访问的监控，则会出现很多区域访问不通的误告警，因为本身其区域之间网络策略就不互通；

监控部署—埋点主机设置

步骤4：在N个网络区域搭建一台低配主机，CPU1核内存1G磁盘5G即可,如共计N个分区则共计搭建N个埋点主机。此步为了在每台主机上设置监控脚本做准备。此步骤为了进一步减低成本也可以将部署埋点选择现有的主机资源上，由于本技术方案监控脚本资源占用量极低可以忽略，因此完全可以选择现有机器资源作为埋点，则成本可以约等于0；

监控部署--脚本部署

基于步骤3中的相互访问策略和原则，在N个主机上部署以下监控脚本，该脚本不局限于编写语言，可通过参考其运行逻辑使用其他编程语言实现。该脚本的逻辑为：每一个埋点机器都会实时探测其他的埋点机器的网络性能情况，获取延时、丢包、错误等数据，也就是说N个分区任意两个分区都会有监控脚本做监控探测。此步骤部署探测关系时，可参考“一、准备工作”中“可以很容易获知每一个区域访问其他区域的策略清单”，避免对设置了本应不能相互访问的区域进行监控。正式部署监控脚本，部署完成之后则可以正常使用本监控技术方案了。此步需要根据区域网络策略调整监控脚本内容，屏蔽掉区域之间原本策略不通的情况；

如图1所示，网络拓扑分为A,B,C,D四个网络区域，则在区域A中寻找一台机器作为埋点，部署监控脚本访问区域B,C,D三个区域；同样在区域B中寻找一台作为埋点部署监控脚本，监控访问A,C,D区域；以此类推每个区域都部署埋点访问另外三个区域，即可达到所有链路全部覆盖监控。

上述步骤中部署的监控脚本如下：

#！/bin/bash

#for i in`ifconfig eth0|grep'inet'|awk'{print$2}'`

for i in`cat/ip`

do

ping＝`ping-c 1$i|grep loss|awk'{print$6}'|awk-F"％"'{print$1}'`

Avg＝"$i平均延迟(ms):`ping$i-c 3|grep avg|gawk-F/'{print$5}'`"

now_time＝`date+％Y％m％d-％H:％M:％S`

cat>>/wow2.txt<<E0F

时间:$now_time$Avg丢包:$ping

E0F

Done

上述脚本为linux操作系统下的示意脚本，具备一定shell编程技能的人员可依照脚本内的逻辑修改补充做企业内部个性化接入，例如选用其他编程语言或者增加告警消息推送等。

监控运行—监控使用

步骤5：当有任意监控脚本告警时，可及时获取具体是哪些网络区域相互访问有异常。比如区域A和区域B之间出现网络丢包的情况，则可以通过本技术方案立即发现丢包率；

步骤6：本发明告警形式是写入本地的告警消息文件，或者是如果企业内有对应的告警消息平台，则本技术方案告警消息可以通过企业提供的接入方式接入到企业内部的告警平台，达到告警内容灵活推送的目的，例如通过邮件，短信，电话等方式发送告警内容。

目前最接近的现有技术为分析WEB或者URL请求所经过的链路和设备，在设备与设备之间，区域与区域之间设置探点进行质量监控。此技术方案以WEB访问为分析对象，想要达到高覆盖率的话势必要对所有WEB请求逐一进行分析设置，人力成本投入较高，后续如有新的WEB请求需要再投入更新维护的成本。另外只以WEB请求为分析对象，无法保障网络层面100％的监控覆盖，除了WEB请求外仍有很多其他的网络使用请求需要监控，比如邮件，视频等等。

本技术方案以网络拓扑中的网络区域为分析对象，只要网络策略允许，则部署两两访问的监控脚本。首先可以覆盖全部WEB请求的链路，其次如果没有WEB请求但网络策略互通，也仍可对其网络质量进行监控，不排除有除了WEB请求外其他的网络请求使用网络需要进行监控的场景。其次由于网络拓扑在一般企业很少更改，因此网络区域会在很长时段时间内不会发生改变，因此只要分析一次后续基本无需再投入人力更新和维护。

本技术方案使用网络命令主动探测网络质量，因此可以屏蔽应用性能影响；另外本技术方案从网络区域内部主动发起，延迟收到结束包或者没有收到结束包都判定为网络质量异常，因此不依赖是否有流量访问以及中间是否有设备异常。

以上所述实施例仅表达了本申请的具体实施方式，其描述较为具体和详细，但并不能因此而理解为对本申请保护范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请技术发明构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。

Claims (5)

1.一种内网跨网段间业务系统相互访问时网络质量监控方法，其特征在于，包括以下步骤：

步骤1：获取网络拓扑，找到各网络区域以及各网络区域之间的网络设备；

步骤2：通过网络拓扑分析获取整体网络分区情况，统计所有分区数量记录为N个，为后续每个分区内部署埋点机器做准备；

步骤3：根据整体网络访问策略设计，梳理出N个分区之间访问策略明细，获知N个区域相互访问的关系，则可以获知每一个区域访问其他区域的策略清单，为后续部署监控脚本做准备；

步骤4：监控部署，在N个网络区域各搭建一台低配主机,基于步骤3中的相互访问策略和原则，并在每一个主机上部署监控脚本，N个分区任意两个分区都会有监控脚本做监控探测；

步骤5：监控脚本运行，当有任意监控脚本告警时，可及时获取相互访问异常的网络区域信息；

步骤6：告警消息通过企业提供的接入方式接入到企业内部的告警平台，通过邮件，短信，电话方式发送告警内容；

所述步骤3中策略明细具体为：排除区域之间网络策略就不互通的区域，只允许策略互通的区域之间相互访问。

2.根据权利要求1所述的一种内网跨网段间业务系统相互访问时网络质量监控方法，其特征在于，所述步骤4中的低配主机参数为CPU1核、内存1G、磁盘5G。

3.根据权利要求1所述的一种内网跨网段间业务系统相互访问时网络质量监控方法，其特征在于，所述步骤4中的监控脚本逻辑为：每一个埋点机器都会实时探测其他的埋点机器的网络性能情况，获取延时、丢包、错误数据。

4.根据权利要求1所述的一种内网跨网段间业务系统相互访问时网络质量监控方法，其特征在于，所述步骤4部署监控脚本需要根据区域网络策略调整监控脚本内容，屏蔽掉区域之间原本策略不通的情况。

5.根据权利要求1所述的一种内网跨网段间业务系统相互访问时网络质量监控方法，其特征在于，所述步骤6中的告警消息还可以写入本地的告警消息文件中。

Images