CN115150285A - 网络拓扑关系确定方法、网络系统、设备及存储介质 - Google Patents

Abstract

本申请实施例提供一种网络拓扑关系确定方法、网络系统、设备及存储介质。在本申请实施例中，可基于容器网络数据，生成容器的上层资源对象的网络拓扑关系。由于容器的上层资源对象的生命周期相较于容器要长很多，不会频繁失效，容器的上层资源对象的网络拓扑关系是长期有效的。对于网络安全维护人员来说，可基于上层资源对象的网络拓扑关系，对上层资源对象进行网络安全维护，有助于提高网络安全信息的有效性和易用性。

Description

网络拓扑关系确定方法、网络系统、设备及存储介质

技术领域

本申请涉及云计算技术领域，尤其涉及一种网络拓扑关系确定方法、网络系统、设备及存储介质。

背景技术

随着云计算技术的不断发展，工作负载从主机向容器化发展，越来越多的服务迁移到容器化平台。容器网络可视化是容器安全的门户和轴心，是打造面向未来的云原生安全平台和构建容器应用纵深防御能力的过程中的关键节点。

目前的容器网络方案可确定容器与容器之间的网络拓扑。但是，由于容器特有的短生命周期特性和复杂的容器网络拓扑结构，导致现有容器网络确定方式无法满足实际安全应用要求。

发明内容

本申请的多个方面提供一种网络拓扑关系确定方法、网络系统、设备及存储介质，用以确定多层资源的网络拓扑关系，有助于网络安全的维护。

本申请实施例提供一种网络拓扑关系确定方法，包括：

获取容器网络数据；

根据所述容器网络数据，生成所述容器网络拓扑关系；

确定所述容器网络拓扑关系包含的容器的上层资源对象；

根据容器网络拓扑关系中容器与容器之间的连接，确定所述上层资源对象之间的连接关系；

基于所述上层资源对象之间的连接关系，生成所述上层资源对象的网络拓扑关系。

本申请实施例还提供一种网络系统，包括：管控节点和工作集群；所述工作集群包括多个工作节点；所述多个工作节点部署有容器；

所述多个工作节点，用于获取所述多个工作节点上部署的容器的网络数据；并将所述网络数据提供给所述管控节点；

所述管控节点，用于根据所述网络数据，生成容器网络拓扑关系；确定所述容器网络拓扑关系包含的容器的上层资源对象；根据容器网络拓扑关系中容器与容器之间的连接，确定所述上层资源对象之间的连接关系；基于所述上层资源对象之间的连接关系，生成所述上层资源对象的网络拓扑关系。

本申请实施例还提供一种计算设备，包括：存储器和处理器；其中，所述存储器，用于存储计算机程序；

所述处理器耦合至所述存储器，用于执行所述计算机程序以用于执行上述网络拓扑关系确定方法中的步骤。

本申请实施例还提供一种存储有计算机指令的计算机可读存储介质，当所述计算机指令被一个或多个处理器执行时，致使所述一个或多个处理器执行上述网络拓扑关系确定方法中的步骤。

在本申请实施例中，可基于容器网络数据，生成容器的上层资源对象的网络拓扑关系。由于容器的上层资源对象的生命周期相较于容器要长很多，不会频繁失效，容器的上层资源对象的网络拓扑关系是长期有效的。对于网络安全维护人员来说，可基于上层资源对象的网络拓扑关系，对上层资源对象进行网络安全维护，有助于提高网络安全信息的有效性和易用性。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例提供的网络系统的结构示意图；

图2为本申请实施例提供的网络系统进行网络拓扑关系确定的过程示意图；

图3为本申请实施例提供的另一网络系统的架构示意图；

图4为本申请实施例提供的网络链接匹配过程示意图；

图5为本申请实施例提供的网络系统进行网络拓扑查询过程示意图；

图6为本申请实施例提供的网络拓扑关系确定方法的流程示意图；

图7为本申请实施例提供的计算设备的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

容器是根据实际资源需求弹性扩容或缩容的，容器的生命周期特别短，导致容器与容器之间的网络拓扑是动态变化的，容器网络拓扑关系中点、边频繁失效。因此，基于容器与容器之间的网络拓扑关系设置的安全维护措施频繁失效，影响容器安全。

针对上述技术问题，本申请一些实施例可基于容器网络数据，生成容器的上层资源对象的网络拓扑关系。由于容器的上层资源对象的生命周期相较于容器要长很多，不会频繁失效，容器的上层资源对象的网络拓扑关系是长期有效的。对于网络安全维护人员来说，可基于上层资源对象的网络拓扑关系，对上层资源对象进行网络安全维护，有助于提高网络安全信息的有效性和易用性。

以下结合附图，详细说明本申请各实施例提供的技术方案。

应注意到：相同的标号在下面的附图以及实施例中表示同一物体，因此，一旦某一物体在一个附图或实施例中被定义，则在随后的附图和实施例中不需要对其进行进一步讨论。

图1为本申请实施例提供的网络系统的结构示意图。如图1所示，该网络系统主要包括：管控节点10和工作集群20。其中，工作集群20包括：多个工作节点(workers)201。多个是指2个或2个以上。

在本实施例中，管控节点10是指可以进行工作节点管理，可响应用户端的服务请求，通过调度工作节点201为用户提供计算服务的计算设备，一般具备承担服务并保障服务的能力。管控节点10可部署于中心云中。管控节点10可以为单一服务器设备，也可以云化的服务器阵列，或者为云化的服务器阵列中运行的虚拟机(Virtual Machine，VM)、容器等。另外，服务端设备也可以指具备相应服务能力的其他计算设备，例如电脑等终端设备(运行服务程序)等。在本实施例中，管控节点10可部署于云端，例如边缘云系统的中心云中。

工作节点201是指提供计算资源的计算设备。关于工作节点201的具体实现形态，可参见管控节点10的实现形态，在此不再赘述。在本实施例中，工作节点201除了提供计算资源之外，还可提供其他硬件资源和软件资源。其中，硬件资源可包括：处理器等计算资源，内存、磁盘等存储资源。其中，处理器可以为CPU、GPU、FPGA等等。软件资源可包括：带宽、网段、网卡配置等网络资源以及操作系统等。

在本实施例中，工作节点201可部署于中心云中，也可实现为边缘云网络中的边缘云节点。一个边缘节点可为一个机房、一个数据中心(Data Center，DC)或者互联网数据中心(Internet Data Center，IDC)等。对于边缘云网络来说，一个工作节点201可包括一个或多个边缘节点。多个是指2个或2个以上。每个边缘节点可包括一系列的边缘基础设施，这些边缘基础设施包括但不限于：分布式数据中心(DC)、无线机房或集群，运营商的通信网络、核心网设备、基站、边缘网关、家庭网关、计算设备或存储设备等边缘设备及对应的网络环境等等。在此说明，不同边缘节点的位置、能力以及包含的基础设施可以相同，也可以不相同。

其中，管控节点10和工作节点201之间可以是无线或有线连接。可选地，管控节点10和工作节点201可以通过移动网络通信连接，相应地，移动网络的网络制式可以为2G(GSM)、2.5G(GPRS)、3G(WCDMA、TD-SCDMA、CDMA2000、UTMS)、4G(LTE)、4G+(LTE+)、5G、WiMax等中的任意一种。可选地，管控节点10和工作节点201也可以通过蓝牙、WiFi、红外线等方式通信连接。不同的工作节点201之间还可通过内网通信连接等等。

在本申请实施例中，工作节点201上部署有容器。在本申请实施例中，管控节点10可响应用户端的服务请求，通过调度工作节点201，并利用工作节点201的资源部署服务对应的容器，向用户端提供容器化服务。容器化服务需要依赖容器网络才能够服务。在本申请实施例中，容器网络包括：东西向网络和南北向网络。其中，如图1所示，工作集群20内容器间互相访问的网络为东西向网络，工作集群20外访问容器的网络为南北向网络。例如，图1中管控节点10访问工作集群20中的容器对应的网络，即为南北向网络。

容器网络可视化是容器安全的关键节点，可便于容器安全维护人员基于容器网络设置安全维护策略。在一些容器网络方案中，专注于展示实时的容器东西向的网络拓扑形态，而无法采集容器南北向的网络数据，导致容器网络拓扑关系只包括容器与容器之间的网络拓扑。但是，由于容器是根据实际资源需求弹性扩容或缩容的，容器的生命周期特别短，导致容器与容器之间的网络拓扑是动态变化的，容器网络拓扑关系中点、边频繁失效。因此，基于容器与容器之间的网络拓扑关系设置的安全维护措施频繁失效，影响容器安全。

为了解决上述问题，在本申请一些实施例中，采用云-端结合，利用客户端的数据采集能力和云上的数据处理能力，生成容器对应的多层资源对象的网络拓扑关系。在本申请实施例中，客户端是指工作节点201。下面结合具体实施方式进行示例性说明。

如图2所示，工作节点201可采集该工作节点201上部署的容器的网络数据，也可称为容器网络数据。容器网络数据可包括：容器数据及容器对应的网络链接数据。容器数据可包括：容器标识(如容器ID等)、容器运行的镜像标识等。容器对应的网络链接数据是指该容器接收或发出的访问请求的相关数据，可包括：访问请求的源地址和目的地址、网络链接的流量方向。其中，源地址可以源IP地址和源端口号进行表示；目的地址可以目的IP地址和目的端口号进行表示。网络链接的流量方向是指对该容器而言是发出访问请求，还是接收访问请求。网络链接的流量方向为入(In)方向，表示容器接收访问请求；网络链接的流量方向为出(Out)方向，表示容器发出访问请求。例如，图2中容器1为发出访问请求的容器，其网络链接的流量方向为出方向；容器2为接收容器1发出的访问请求的容器，其网络链接的流量方向为入方向。

在本申请实施例中，工作节点201可按照设定的采集周期，周期性地采集该工作节点201部署的容器的网络数据。或者，工作节点201可响应于容器事件，采集该工作节点201部署的容器的网络数据。其中，容器事件可为容器创建事件、容器删除事件或容器更新事件等。

对于工作节点201，可将采集到的容器网络数据提供给管控节点10。可选地，工作节点201向管控节点10提供的容器网络数据可为一条条的日志。其中，每条日志包括：一个容器的网络数据。如图3所示，对于管控节点10来说，可将容器网络数据存储于日志服务中。在日志服务中，容器网络数据可按照一条条日志进行存储。

在本申请实施例中，结合图2和图3，管控节点10可根据容器网络数据，生成容器网络拓扑关系。具体地，如图3所示，管控节点10可从日志服务中获取接收到的容器网络数据，并根据容器网络数据，生成容器网络拓扑关系。

具体地，管控节点10可从容器网络数据中，获取容器网络数据包含的网络链接的流量方向。进一步，可根据网络链接的流量方向，对网络链接进行匹配，以得到网络链接对。

具体地，如图4所示，针对任一容器A，可根据网络链接的流量方向，从容器网络数据中获取容器A的入方向的第一网络链接；并从容器网络数据中获取源地址和目的地址与第一网络链接相同的出方向的第二网络链接。其中，第二网络链接的数量为1个或多个。第二网络链接可能属于同一容器，也可能属于不同的容器。进一步，可以第一网络链接的接收时间为时间起点，以设定的时间窗口在第二网络链接的发送时间中逆向滑动。其中，逆向滑动是指沿时间倒转的方向滑动。

进一步，可确定处于时间窗口内的发送时间对应的第二网络链接(如图4中容器B处于时间窗口内的第二网络链接)，与上述容器A的第一网络链接为一个网络链接对。其中，网络链接对可以链接对四元组进行表示。链接对四元组可表示为：

(源IP地址，源端口号，目的IP地址，目的端口号)。

按照相同的方式，对容器网络数据包含的网络链接进行匹配，以得到网络链接对。其中，以流量方向为入方向的网络链接为基准，查找与入方向的网络链接匹配的另一出方向的网络链接，可保证源IP地址和目的IP地址均为容器。

如图3所示，对于上述对容器网络数据包含的网络链接进行匹配的过程，可由管控节点10中的计算引擎进行处理，得到网络链接对。该网络链接对可以链接对四元组进行表示。进一步，计算引擎可将得到的链接对四元组存储于日志服务。在日志服务中，每个网络链接对可以链接对四元组进行表示。

进一步，在得到网络链接对之后，结合图2和图3管控节点10可根据网络链接对，生成容器网络拓扑关系。该过程对应图3的“容器网络数据分析”。具体地，可以网络链接对包含的容器为节点，并在网络链接对包含的容器之间添加关系，得到容器的网络拓扑图。在容器网络拓扑图中，节点表示容器，节点与节点之间的连线表示两个节点之间的网络链接关系。

在一些实施例中，对于上述网络链接对包含的容器，可能已创建有网络拓扑关系，也可能尚未有网络拓扑关系。如图3所示，对于已创建的网络拓扑关系可存储于数据库中。

基于此，在本申请实施例中，管控节点10可根据网络链接对中入方向的目标容器的标识，在存储的网络拓扑关系中进行匹配；若匹配到包含目标容器的网络拓扑关系，确定已创建有网络链接对包含的容器的网络拓扑关系。对于已创建有网络拓扑关系的实施例，可根据网络链接对对容器网络拓扑关系进行更新。具体地，可根据网络链接对中入方向的目标容器的标识，获取目标容器的当前网络拓扑关系；并根据网络链接对，对当前网络拓扑关系进行更新，以得到容器网络拓扑关系。

相应地，若未在存储的网络拓扑关系中匹配到目标容器对应的网络拓扑关系，则确定网络链接对包含的容器尚未创建网络拓扑关系，可根据网络链接对，创建容器网络拓扑关系。

进一步，如图3所示，管控节点10可将最新得到的容器网络拓扑关系存储于数据库中。

在本申请实施例中，管控节点10还可确定容器网络拓扑关系包含的容器的上层资源对象。其中，容器的上层资源对象是指以容器为底层资源的资源对象，可包括：容器组(如Pod等)、应用、工作节点及集群等。容器组包含一个或多个容器。多个是指2个或2个以上。应用是指由多个容器提供资源的应用程序，如SaaS服务等。集群是指工作集群。

在本申请实施例中，由于容器创建、启动或删除是由管控节点10调度和控制的，因此，容器的上层资源对象对于管控节点10来说是已知的。基于此，在一些实施例中，可将容器网络拓扑关系包含的容器的标识在预置的容器标识与上层资源对象的关系中进行匹配，以确定容器网络拓扑关系包含的容器的上层资源对象。

在另一些实施例中，对于工作节点201来说，可采集到该工作节点201上部署的容器的上层资源对象，如属于哪个容器组、对应哪个应用、部署于哪个工作节点及工作节点所属的集群等等。对于工作节点201来说，可将采集到的容器的上层资源对象信息提供给管控节点10。如图3所示，管控节点10可将工作节点201提供的上层资源对象信息存储于日志服务中。这样，管控节点10可将容器网络拓扑关系包含的容器的标识，在预先接收到的容器上层资源对象信息中进行匹配，以得到容器网络拓扑关系包含的容器的上层资源对象。

进一步，管控节点10可根据容器网络拓扑关系中容器与容器之间的连接，确定上层资源对象之间的连接关系。确切地，针对容器网络拓扑关系中具有连接关系的容器，可确定具有连接关系的容器对应的上层资源对象存在连接关系。例如，针对容器网络拓扑关系中具有连接关系的任意两个容器B和C，可确定容器B的上层资源对象和容器C的上层资源对象存在连接关系。

进一步，可基于上层资源对象之间的连接关系，生成上层资源对象的网络拓扑关系。例如，图3所示的容器组的网络拓扑关系、应用的网络拓扑关系及集群的网络拓扑关系等。

进一步，如图3所示，管控节点10可将上层资源对象的网络拓扑关系存储于数据库中。

在本申请实施例中，管控节点10除了可存储容器网络拓扑关系及上层资源对象的网络拓扑关系等多层网络拓扑之外，还可实现网络拓扑的可视化。

具体地，针对容器网络可视化，管控节点10可以容器网络拓扑关系包含的容器为节点，在具有连接关系容器与容器对应的节点之间添加边，得到容器网络拓扑图(Graph)。其中，容器网络拓扑图可为有向图，也可为无向图。对于有向图来说，对于连接两个容器之间的边，根据两个容器之间的网络链接的流量方向，设置边的方向。具体地，两个容器之间的边，由出方向指向入方向。

相应地，对于上层资源对象的网络可视化，管控节点10可以上层资源对象的网络拓扑关系包含的上层资源对象为节点，在具有连接关系上层资源对象对应的节点之间添加边，得到上层资源对象的网络拓扑图(Graph)。其中，上层资源对象的网络拓扑图可为有向图，也可为无向图。对于连接两个上层资源对象之间的边，可根据两个上层资源对象对应的容器的网络链接的流量方向，设置边的方向。

进一步，可展示容器拓扑图和/或上层资源对象的网络拓扑图。在本申请实施例中，如图3所示，可在控制台展示容器网络拓扑图和/或上层资源对象的网络拓扑图，实现容器网络和上层资源网络的可视化。

在本申请实施例中，可基于容器网络数据，生成容器的上层资源对象的网络拓扑关系。由于容器的上层资源对象的生命周期相较于容器要长很多，不会频繁失效，容器的上层资源对象的网络拓扑关系是长期有效的。对于网络安全维护人员来说，可基于上层资源对象的网络拓扑关系，对上层资源对象进行网络安全维护，有助于提高网络安全信息的有效性和易用性。

在本申请实施例中，管控节点10还可获取容器网络拓扑关系包含的容器及上层资源对象的安全信息；并建立容器网络拓扑关系及上层资源对象的网络拓扑关系中各节点与安全信息之间的对应关系，实现网络拓扑与安全信息之间的关联，可降低容器安全运维成本，提高易用性。

进一步，管控节点10还可根据上述容器网络拓扑关系及上层资源对象的网络拓扑关系中各节点与安全信息之间的对应关系，将各节点的安全信息添加于容器网络拓扑关系及上层资源对象的网络拓扑关系中，实现网络拓扑与安全信息之间的关联，可降低容器安全运维成本，提高易用性。进一步，还可将关联有安全信息的容器网络拓扑关系及上层资源对象的网络拓扑关系存储于数据库中。

在本申请实施例中，容器网络拓扑关系包含的容器及上层资源对象的安全信息可包括实时安全信息及历史安全信息，这样，在对容器网络进行安全审计时，可从数据库中获取容器和/或容器的上层资源对象的历史安全信息，并根据历史安全信息，进行网络行为回溯或复盘等。

现有容器网络方案是确定容器与容器之间的网络拓扑的，由于容器的生命周期较短，导致容器拓扑关系频繁失效，因此，现有容器网络方案中容器安全信息无法实现网络行为溯源或复盘。而本申请实施例中，基于容器网络数据，生成容器的上层资源对象的网络拓扑关系。由于容器的上层资源对象的生命周期相较于容器要长很多，不会频繁失效，容器的上层资源对象的网络拓扑关系是长期有效的，因此，在本申请实施例中，可根据上层资源对象的历史安全信息，对网络行为进行回溯或复盘，以发现安全异常原因，进而有利于网络安全维护。

本申请实施例提供的网络系统，除了可提供网络可视化服务之外，还可提供拓扑查询服务。具体地，如图5所示，用户可利用用户端30提供拓扑查询请求。该拓扑查询请求可包含待查询对象的标识。待查询对象可为容器和/或容器的上层资源对象。待查询对象可为一个或多个维度的上层资源对象。例如，待查询对象可为应用、容器组、工作节点及集群中的一种多种。多种是指2种或2种以上。

相应地，管控节点10可获取拓扑查询请求；并根据拓扑查询请求，确定待查询对象。具体地，管控节点10可从拓扑查询请求中解析出待查询对象的标识。

进一步。管控节点10可利用待查询对象的标识，在容器网络拓扑关系及上层资源对象的网络拓扑关系中进行查询，以确定待查询对象的网络拓扑关系；进一步，管控节点10可输出待查询对象的网络拓扑关系对应的网络拓扑图。

具体地，如图5所示，管控节点10可将待查询对象的网络拓扑图提供给用户端30。用户端30可展示待查询对象的网络拓扑图，实现待查询对象的网络拓扑的查询和网络拓扑可视化。

除了上述网络系统之外，本申请实施例还提供网络拓扑关系确定方法，下面对本申请实施例提供的网络拓扑关系确定方法进行示例性说明。

图6为本申请实施例提供的网络拓扑关系确定方法的流程示意图。如图6所示，该方法主要包括：

601、获取容器网络数据。

602、根据容器网络数据，生成容器网络拓扑关系。

603、确定容器网络拓扑关系包含的容器的上层资源对象。

604、根据容器网络拓扑关系中容器与容器之间的连接，确定上层资源对象之间的连接关系。

605、基于上层资源对象之间的连接关系，生成上层资源对象的网络拓扑关系。

在本实施例中，针对容器网络拓扑关系中点、边频繁失效，导致基于容器与容器之间的网络拓扑关系设置的安全维护措施频繁失效，影响容器安全的技术问题，在步骤601中，获取容器网络数据。关于容器网络数据的描述，可参见上述系统实施例的相关内容，在此不再赘述。

进一步，在步骤602中，可根据容器网络数据，生成容器网络拓扑关系。具体地，可从容器网络数据中，获取容器网络数据包含的网络链接的流量方向。进一步，可根据网络链接的流量方向，对网络链接进行匹配，以得到网络链接对。

可选地，针对任一容器A，可根据网络链接的流量方向，从容器网络数据中获取容器A的入方向的第一网络链接；并从容器网络数据中获取源地址和目的地址与第一网络链接相同的出方向的第二网络链接。其中，第二网络链接的数量为1个或多个。第二网络链接可能属于同一容器，也可能属于不同的容器。进一步，可以第一网络链接的接收时间为时间起点，以设定的时间窗口在第二网络链接的发送时间中逆向滑动。其中，逆向滑动是指沿时间倒转的方向滑动。进一步，可确定处于时间窗口内的发送时间对应的第二网络链接，与上述容器A的第一网络链接为一个网络链接对。其中，网络链接对可以链接对四元组进行表示。链接对四元组可表示为：

(源IP地址，源端口号，目的IP地址，目的端口号)。

按照相同的方式，对容器网络数据包含的网络链接进行匹配，以得到网络链接对。其中，以流量方向为入方向的网络链接为基准，查找与入方向的网络链接匹配的另一出方向的网络链接，可保证源IP地址和目的IP地址均为容器。

进一步，在得到网络链接对之后，可根据网络链接对，生成容器网络拓扑关系。具体地，可以网络链接对包含的容器为节点，并在网络链接对包含的容器之间添加关系，得到容器的网络拓扑图。在容器网络拓扑图中，节点表示容器，节点与节点之间的连线表示两个节点之间的网络链接关系。

在一些实施例中，对于上述网络链接对包含的容器，可能已创建有网络拓扑关系，也可能尚未有网络拓扑关系基于此，在本申请实施例中，可根据网络链接对中入方向的目标容器的标识，在存储的网络拓扑关系中进行匹配；若匹配到包含目标容器的网络拓扑关系，确定已创建有网络链接对包含的容器的网络拓扑关系。对于已创建有网络拓扑关系的实施例，可根据网络链接对对容器网络拓扑关系进行更新。具体地，可根据网络链接对中入方向的目标容器的标识，获取目标容器的当前网络拓扑关系；并根据网络链接对，对当前网络拓扑关系进行更新，以得到容器网络拓扑关系。

相应地，若未在存储的网络拓扑关系中匹配到目标容器对应的网络拓扑关系，则确定网络链接对包含的容器尚未创建网络拓扑关系，可根据网络链接对，创建容器网络拓扑关系。

在本申请实施例中，在步骤603中，还可确定容器网络拓扑关系包含的容器的上层资源对象。其中，容器的上层资源对象是指以容器为底层资源的资源对象，可包括：容器组(如Pod等)、应用、工作节点及集群等。关于步骤603的具体实施方式，可参见上述系统实施例的相关内容，在此不再赘述。

进一步，在步骤604中，可根据容器网络拓扑关系中容器与容器之间的连接，确定上层资源对象之间的连接关系。确切地，针对容器网络拓扑关系中具有连接关系的容器，可确定具有连接关系的容器对应的上层资源对象存在连接关系。

进一步，在步骤605中，可基于上层资源对象之间的连接关系，生成上层资源对象的网络拓扑关系。例如，容器组的网络拓扑关系、应用的网络拓扑关系及集群的网络拓扑关系等。

在本申请实施例中，除了可存储容器网络拓扑关系及上层资源对象的网络拓扑关系等多层网络拓扑之外，还可实现网络拓扑的可视化。

具体地，针对容器网络可视化，可以容器网络拓扑关系包含的容器为节点，在具有连接关系容器与容器对应的节点之间添加边，得到容器网络拓扑图(Graph)。

相应地，对于上层资源对象的网络可视化，可以上层资源对象的网络拓扑关系包含的上层资源对象为节点，在具有连接关系上层资源对象对应的节点之间添加边，得到上层资源对象的网络拓扑图(Graph)。其中，上层资源对象的网络拓扑图可为有向图，也可为无向图。对于连接两个上层资源对象之间的边，可根据两个上层资源对象对应的容器的网络链接的流量方向，设置边的方向。进一步，可展示容器拓扑图和/或上层资源对象的网络拓扑图。

在本申请实施例中，可基于容器网络数据，生成容器的上层资源对象的网络拓扑关系。由于容器的上层资源对象的生命周期相较于容器要长很多，不会频繁失效，容器的上层资源对象的网络拓扑关系是长期有效的。对于网络安全维护人员来说，可基于上层资源对象的网络拓扑关系，对上层资源对象进行网络安全维护，有助于提高网络安全信息的有效性和易用性。

在本申请实施例中，还可获取容器网络拓扑关系包含的容器及上层资源对象的安全信息；并建立容器网络拓扑关系及上层资源对象的网络拓扑关系中各节点与安全信息之间的对应关系，实现网络拓扑与安全信息之间的关联，可降低容器安全运维成本，提高易用性。

进一步，还可根据上述容器网络拓扑关系及上层资源对象的网络拓扑关系中各节点与安全信息之间的对应关系，将各节点的安全信息添加于容器网络拓扑关系及上层资源对象的网络拓扑关系中，实现网络拓扑与安全信息之间的关联，可降低容器安全运维成本，提高易用性。进一步，还可将关联有安全信息的容器网络拓扑关系及上层资源对象的网络拓扑关系存储于数据库中。

在本申请实施例中，还可其中，容器网络拓扑关系包含的容器及上层资源对象的安全信息可包括实时安全信息及历史安全信息，这样，在对容器网络进行安全审计时，可从数据库中获取容器和/或容器的上层资源对象的历史安全信息，并根据历史安全信息，进行网络行为回溯或复盘等。

本申请实施例提供的网络系统，除了可提供网络可视化服务之外，还可提供拓扑查询服务。具体地，用户可利用用户端提供拓扑查询请求。该拓扑查询请求可包含待查询对象的标识。待查询对象可为容器和/或容器的上层资源对象。待查询对象可为一个或多个维度的上层资源对象。例如，待查询对象可为应用、容器组、工作节点及集群中的一种多种。多种是指2种或2种以上。

相应地，可获取拓扑查询请求；并根据拓扑查询请求，确定待查询对象。具体地，管控节点10可从拓扑查询请求中解析出待查询对象的标识。

进一步，可利用待查询对象的标识，在容器网络拓扑关系及上层资源对象的网络拓扑关系中进行查询，以确定待查询对象的网络拓扑关系；进一步，可输出待查询对象的网络拓扑关系对应的网络拓扑图。

具体地，可将待查询对象的网络拓扑图提供给用户端。用户端可展示待查询对象的网络拓扑图，实现待查询对象的网络拓扑的查询和网络拓扑可视化。

需要说明的是，上述实施例所提供方法的各步骤的执行主体均可以是同一设备，或者，该方法也由不同设备作为执行主体。比如，步骤601和602的执行主体可以为设备A；又比如，步骤601的执行主体可以为设备A，步骤602的执行主体可以为设备B；等等。

另外，在上述实施例及附图中的描述的一些流程中，包含了按照特定顺序出现的多个操作，但是应该清楚了解，这些操作可以不按照其在本文中出现的顺序来执行或并行执行，操作的序号如602、603等，仅仅是用于区分开各个不同的操作，序号本身不代表任何的执行顺序。另外，这些流程可以包括更多或更少的操作，并且这些操作可以按顺序执行或并行执行。

相应地，本申请实施例还提供一种存储有计算机指令的计算机可读存储介质，当计算机指令被一个或多个处理器执行时，致使一个或多个处理器执行上述网络拓扑关系确定方法中的步骤。

图7为本申请实施例提供的计算设备的结构示意图。如图7所示，计算设备包括：存储器70a和处理器70b。

处理器70b耦合至存储器70a，用于执行计算机程序以用于：获取容器网络数据；根据容器网络数据，生成容器网络拓扑关系；确定容器网络拓扑关系包含的容器的上层资源对象；根据容器网络拓扑关系中容器与容器之间的连接，确定上层资源对象之间的连接关系；以及，基于上层资源对象之间的连接关系，生成上层资源对象的网络拓扑关系。

可选地，处理器70b在生成容器的网络拓扑关系时，具体用于：从容器网络数据中，获取容器网络数据包含的网络链接的流量方向；根据网络链接的流量方向，对网络链接进行匹配，以得到网络链接对；根据网络链接对，生成容器网络拓扑关系。

可选地，处理器70b在根据容器网络数据的流量方向，对网络链接进行匹配时，具体用于：针对容器网络数据对应的容器中的第一容器，根据网络链接的流量方向，从容器网络数据中获取第一容器的入方向的第一网络链接；第一容器为容器网络数据对应的容器中的任一容器；从容器网络数据中获取源地址和目的地址与第一网络链接相同的出方向的第二网络链接；以第一网络链接的接收时间为时间起点，以设定的时间窗口在第二网络链接的发送时间中逆向滑动；确定处于时间窗口内的发送时间对应的第二网络链接与第一网络链接，为一个网络链接对。

可选地，处理器70b在生成容器网络拓扑关系时，具体用于：根据网络链接对中入方向的目标容器的标识，获取目标容器的当前网络拓扑关系；根据网络链接对，对当前网络拓扑关系进行更新，以得到容器网络拓扑关系。

在一些实施例中，处理器70b在确定容器网络拓扑关系包含的容器的上层资源对象时，具体用于：根据容器网络拓扑关系包含的容器的标识，在日志服务中进行匹配，以得到容器网络拓扑关系包含的容器的标识对应的上层资源对象。

可选地，处理器70b在根据容器网络拓扑关系中容器与容器之间的连接，确定上层资源对象之间的连接关系时，具体用于：针对容器网络拓扑关系中连接的第二容器与第三容器，确定第二容器的上层资源对象与第三容器的上层资源对象存在连接关系；第二容器与第三容器为容器网络拓扑关系中连接的任意两个容器。

在一些实施例中，处理器70b还用于：获取容器网络拓扑关系包含的容器及上层资源对象的安全信息；建立容器网络拓扑关系及上层资源对象的网络拓扑关系中各节点与安全信息之间的对应关系。

在另一些实施例中，处理器70b还用于：通过通信组件70c获取拓扑查询请求；根据拓扑查询请求，确定待查询对象；利用待查询对象的标识，在容器网络拓扑关系及上层资源对象的网络拓扑关系中进行查询，以确定待查询对象的网络拓扑关系；以及，通过通信组件70b输出待查询对象的网络拓扑关系对应的拓扑图。

可选地，处理器70b还用于：以容器网络拓扑关系中容器为节点，以容器与容器之间的连接关系为边，绘制容器网络拓扑图；以上层资源对象的网络拓扑关系中上层资源对象为节点，以上层资源对象与上层资源对象之间的连接关系为边，绘制上层资源对象的网络拓扑图；并通过显示组件70d展示容器拓扑图和上层资源对象的网络拓扑图。

在一些可选实施方式中，如图7所示，该计算设备还可以包括：电源组件70e、音频组件70f等可选组件。图7中仅示意性给出部分组件，并不意味着计算设备必须包含图7所示全部组件，也不意味着计算设备只能包括图7所示组件。

本实施例提供的计算设备，可基于容器网络数据，生成容器的上层资源对象的网络拓扑关系。由于容器的上层资源对象的生命周期相较于容器要长很多，不会频繁失效，容器的上层资源对象的网络拓扑关系是长期有效的。对于网络安全维护人员来说，可基于上层资源对象的网络拓扑关系，对上层资源对象进行网络安全维护，有助于提高网络安全信息的有效性和易用性。

在本申请实施例中，存储器用于存储计算机程序，并可被配置为存储其它各种数据以支持在其所在设备上的操作。其中，处理器可执行存储器中存储的计算机程序，以实现相应控制逻辑。存储器可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。

在本申请实施例中，处理器可以为任意可执行上述方法逻辑的硬件处理设备。可选地，处理器可以为中央处理器(Central Processing Unit，CPU)、图形处理器(GraphicsProcessing Unit，GPU)或微控制单元(Microcontroller Unit，MCU)；也可以为现场可编程门阵列(Field-Programmable Gate Array，FPGA)、可编程阵列逻辑器件(ProgrammableArray Logic，PAL)、通用阵列逻辑器件(General Array Logic，GAL)、复杂可编程逻辑器件(Complex Programmable Logic Device，CPLD)等可编程器件；或者为先进精简指令集(RISC)处理器(Advanced RISC Machines，ARM)或系统芯片(System on Chip，SOC)等等，但不限于此。

在本申请实施例中，通信组件被配置为便于其所在设备和其他设备之间有线或无线方式的通信。通信组件所在设备可以接入基于通信标准的无线网络，如WiFi，2G或3G，4G，5G或它们的组合。在一个示例性实施例中，通信组件经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，所述通信组件还可基于近场通信(NFC)技术、射频识别(RFID)技术、红外数据协会(IrDA)技术、超宽带(UWB)技术、蓝牙(BT)技术或其他技术来实现。

在本申请实施例中，显示组件可以包括液晶显示器(LCD)和触摸面板(TP)。如果显示组件包括触摸面板，显示组件可以被实现为触摸屏，以接收来自用户的输入信号。触摸面板包括一个或多个触摸传感器以感测触摸、滑动和触摸面板上的手势。所述触摸传感器可以不仅感测触摸或滑动动作的边界，而且还检测与所述触摸或滑动操作相关的持续时间和压力。

在本申请实施例中，电源组件被配置为其所在设备的各种组件提供电力。电源组件可以包括电源管理系统，一个或多个电源，及其他与为电源组件所在设备生成、管理和分配电力相关联的组件。

在本申请实施例中，音频组件可被配置为输出和/或输入音频信号。例如，音频组件包括一个麦克风(MIC)，当音频组件所在设备处于操作模式，如呼叫模式、记录模式和语音识别模式时，麦克风被配置为接收外部音频信号。所接收的音频信号可以被进一步存储在存储器或经由通信组件发送。在一些实施例中，音频组件还包括一个扬声器，用于输出音频信号。例如，对于具有语言交互功能的设备，可通过音频组件实现与用户的语音交互等。

需要说明的是，本文中的“第一”、“第二”等描述，是用于区分不同的消息、设备、模块等，不代表先后顺序，也不限定“第一”和“第二”是不同的类型。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机的存储介质为可读存储介质，也可称为可读介质。可读存储介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (12)

1.一种网络拓扑关系确定方法，其特征在于，包括：

获取容器网络数据；

根据所述容器网络数据，生成所述容器网络拓扑关系；

确定所述容器网络拓扑关系包含的容器的上层资源对象；

根据容器网络拓扑关系中容器与容器之间的连接，确定所述上层资源对象之间的连接关系；

基于所述上层资源对象之间的连接关系，生成所述上层资源对象的网络拓扑关系。

2.根据权利要求1所述的方法，其特征在于，所述根据所述容器网络数据，生成所述容器的网络拓扑关系，包括：

从所述容器网络数据中，获取所述容器网络数据包含的网络链接的流量方向；

根据所述网络链接的流量方向，对所述网络链接进行匹配，以得到网络链接对；

根据所述网络链接对，生成所述容器网络拓扑关系。

3.根据权利要求2所述的方法，其特征在于，所述根据所述容器网络数据的流量方向，对所述网络链接进行匹配，以得到网络链接对，包括：

针对第一容器，根据所述网络链接的流量方向，从所述容器网络数据中获取所述第一容器的入方向的第一网络链接；所述第一容器为所述容器网络数据对应的容器中的任一容器；

从所述容器网络数据中获取源地址和目的地址与所述第一网络链接相同的出方向的第二网络链接；

以所述第一网络链接的接收时间为时间起点，以设定的时间窗口在所述第二网络链接的发送时间中逆向滑动；

确定处于所述时间窗口内的发送时间对应的第二网络链接与所述第一网络链接，为一个网络链接对。

4.根据权利要求2所述的方法，其特征在于，所述根据所述网络链接对，生成所述容器网络拓扑关系，包括：

根据所述网络链接对中入方向的目标容器的标识，获取所述目标容器的当前网络拓扑关系；

根据所述网络链接对，对所述当前网络拓扑关系进行更新，以得到所述容器网络拓扑关系。

5.根据权利要求1所述的方法，其特征在于，所述确定所述容器网络拓扑关系包含的容器的上层资源对象，包括：

根据所述容器网络拓扑关系包含的容器的标识，在日志服务中进行匹配，以得到所述容器网络拓扑关系包含的容器的标识对应的上层资源对象。

6.根据权利要求1所述的方法，其特征在于，所述根据容器网络拓扑关系中容器与容器之间的连接，确定所述上层资源对象之间的连接关系，包括：

针对所述容器网络拓扑关系中连接的第二容器与第三容器，确定所述第二容器的上层资源对象与所述第三容器的上层资源对象存在连接关系；

所述第二容器与所述第三容器为所述容器网络拓扑关系中连接的任意两个容器。

7.根据权利要求1所述的方法，其特征在于，还包括：

获取所述容器网络拓扑关系包含的容器及所述上层资源对象的安全信息；

建立所述容器网络拓扑关系及所述上层资源对象的网络拓扑关系中各节点与安全信息之间的对应关系。

8.根据权利要求1所述的方法，其特征在于，还包括：获取拓扑查询请求；

根据所述拓扑查询请求，确定待查询对象；

利用所述待查询对象的标识，在所述容器网络拓扑关系及所述上层资源对象的网络拓扑关系中进行查询，以确定所述待查询对象的网络拓扑关系；

输出所述待查询对象的网络拓扑关系对应的拓扑图。

9.根据权利要求1-8任一项所述的方法，其特征在于，还包括：

以所述容器网络拓扑关系中容器为节点，以容器与容器之间的连接关系为边，绘制容器网络拓扑图；

以所述上层资源对象的网络拓扑关系中上层资源对象为节点，以上层资源对象与上层资源对象之间的连接关系为边，绘制所述上层资源对象的网络拓扑图；

展示所述容器拓扑图和所述上层资源对象的网络拓扑图。

10.一种网络系统，其特征在于，包括：管控节点和工作集群；所述工作集群包括多个工作节点；所述多个工作节点部署有容器；

所述多个工作节点，用于获取所述多个工作节点上部署的容器的网络数据；并将所述网络数据提供给所述管控节点；

所述管控节点，用于根据所述网络数据，生成容器网络拓扑关系；确定所述容器网络拓扑关系包含的容器的上层资源对象；根据容器网络拓扑关系中容器与容器之间的连接，确定所述上层资源对象之间的连接关系；基于所述上层资源对象之间的连接关系，生成所述上层资源对象的网络拓扑关系。

11.一种计算设备，其特征在于，包括：存储器和处理器；其中，所述存储器，用于存储计算机程序；

所述处理器耦合至所述存储器，用于执行所述计算机程序以用于执行权利要求1-9任一项所述方法中的步骤。

12.一种存储有计算机指令的计算机可读存储介质，其特征在于，当所述计算机指令被一个或多个处理器执行时，致使所述一个或多个处理器执行权利要求1-9任一项所述方法中的步骤。

Images