CN115883509A - 使用源标识符进行源标识的边缘设备 - Google Patents

Abstract

本申请涉及使用源标识符进行源标识的边缘设备。一种设备，包括被配置为标识遥测分组的处理电路，该遥测分组指示用于由多个网络设备中的网络设备输出的多个分组的遥测数据，并且从多个源标识符中选择用于网络设备的源标识符。处理电路进一步被配置为修改遥测分组以进一步指示选定源标识符并输出修改后的遥测分组。

Description

使用源标识符进行源标识的边缘设备

本申请要求于2021年9月27日提交的美国申请第17/449,067号的权益，其全部内容通过引用并入本文。

技术领域

本公开涉及计算机网络，并且更具体地，涉及管理网络设备。

背景技术

网络设备通常包括用于本地或远程地配置设备的机制，例如管理接口。通过与管理接口交互，客户端可以执行配置任务以及执行操作命令来收集和查看受管设备的操作数据。例如，客户端可以配置设备的接口卡，调整用于所支持网络协议的参数，指定设备内的物理组件，修改由路由器维护的路由信息，访问驻留在设备上的软件模块和其他资源，以及执行其他配置任务。此外，客户端可以允许用户查看当前操作参数、系统日志、与网络连接相关的信息、网络活动或来自设备的其他状态信息，以及查看和响应从设备接收的事件信息。

网络配置服务可以由多个不同设备执行，例如具有服务卡和/或专用服务设备的路由器。这些服务包括连接服务，例如第三层虚拟专用网(L3VPN)、虚拟专用局域网服务(VPLS)和点对点(P2P)服务。其他服务包括网络配置服务，例如Dot1q VLAN服务。网络管理系统(NMS)和NMS设备，也称为控制器或控制器设备，可以支持这些服务，使得管理员可以轻松创建和管理这些高级网络配置服务。

具体地，设备的用户配置可以被称为“意图”。基于意图的网络系统允许管理员描述所预期的网络/计算/存储状态。用户意图可以分类为有状态意图(例如，业务策略)或无状态意图。可以基于网络的当前状态来解决有状态意图。无状态意图可以是描述预期网络/计算/存储状态的完全声明性方式，而无需考虑当前网络状态。

意图可以被表示为意图数据模型，其可以使用统一图形模型来建模。意图数据模型可以表示为连接图，使得可以跨业务计算架构实现有状态意图。例如，数据模型可以使用数据结构来表示，举例而言，例如具有与有边和参考(ref)边相连的顶点的连接图。控制器设备可以将意图数据模型建模为统一图形模型。通过这种方式，可以跨意图数据模型实现有状态意图。当使用统一图形模型建模意图时，扩展新的意图支持可能会扩展图形模型和编译逻辑。

为了配置设备以执行意图，用户(例如网络管理员)可以编写翻译程序，其将高级配置指令(例如，根据意图数据模型的指令，其可以被表示为统一图形模型)翻译成低级配置指令(例如，根据设备配置模型的指令)。作为配置服务支持的一部分，用户/管理员可以提供意图数据模型以及意图数据模型到设备配置模型之间的映射。

传感器设备可以在业务进入和/或离开接口时收集互联网协议(IP)网络业务，并且可以基于IP网络业务输出遥测分组。通过分析由遥测分组提供的数据，用户(如网络管理员)可以确定遥测数据，例如网络业务的源和目的地、网络业务的服务类别以及网络业务拥塞的原因。用户和/或控制器设备可以使用意图来使用遥测数据修改网络设备的配置。

发明内容

总体上，本公开描述了一种标识由遥测传感器生成的遥测数据的源的技术。一些收集器设备(例如，被配置为聚合用于分组的遥测数据的设备)可以使用源互联网协议(IP)地址来标识源设备(例如，网络设备)。然而，例如当网络地址转换器(NAT)将源地址从源设备的源IP地址转换为另一个源IP地址时，这种收集器可能会错误地标识源设备。此外，一些基于云的收集器可能包括NAT以将源地址从源设备的源IP地址转换为基于云的收集器的节点的源地址，这可能会混淆源设备。

不是仅依靠源IP地址来标识源设备，而是如本文所述，一种系统可以包括被布置为通过添加设备标识符(例如，设备ID)的“边缘设备”。在一些示例中，设备标识符可以是由网络管理员预先配置的源设备的唯一标识符。例如，一种边缘设备可以将设备标识符附加到每个遥测分组。在该示例中，收集器设备可以使用设备标识符来标识源设备，这与仅使用源IP地址的系统相比，可以提高标识源设备的准确性。提高标识源设备的准确性可以帮助提高由网络管理员和/或控制器可以使用来管理网络设备的遥测信息的准确性。例如，网络管理员和/或控制器可以标识网络中最大的资源消耗带宽。

在一个示例中，一种方法包括由实现在电路中的边缘设备标识遥测分组，其指示用于由多个网络设备的网络设备输出的多个分组(例如，分组流量或分组流)的遥测数据，并且由边缘设备从多个源标识符中选择用于网络设备的源标识符。该方法还包括由边缘设备修改遥测分组以进一步指示选定源标识符并且由边缘设备输出修改后的遥测分组。

在另一个示例中，一种设备包括被配置为标识遥测分组的处理电路，该遥测分组指示用于由多个网络设备中的网络设备输出的多个分组的遥测数据，并且从多个网络设备的源标识符中选择用于网络设备的源标识符。处理电路还被配置为修改遥测分组以进一步指示选定源标识符并输出修改后的遥测分组。

在一个示例中，一种非瞬态计算机可读存储介质，包括使处理电路标识遥测分组的一个或多个指令，该遥测分组指示用于由多个网络设备中的网络设备输出的多个分组的遥测数据，并且从多个源标识符中选择用于网络设备的源标识符。一个或多个指令进一步使处理电路修改遥测分组以进一步指示选定源标识符并输出修改后的遥测分组。

在附图和以下描述中阐述了一个或多个示例的细节。其他特征、目的和优点将是从描述和附图以及从权利要求中显而易见的。

附图说明

图1是说明根据本公开的技术的包括使用控制器设备管理的企业网络的网络元件的示例的框图。

图2是说明用于图1的控制器设备的示例组件集的框图。

图3是说明根据本公开的技术的网络设备、边缘设备、一个或多个网络地址转换器(NAT)和用于处理遥测分组的收集器设备的示例的框图。

图4A是说明根据本公开的技术的由示例遥测传感器生成的遥测分组的示例报头的概念图。

图4B是说明根据本公开的技术的针对图4A的报头的示例细节的概念图。

图5是说明根据本公开的技术的网络设备、边缘设备、一个或多个NAT以及用于网络设备的速率控制的收集器设备的示例的框图。

图6是说明根据本公开的技术的用于处理来自不同租户的遥测分组的网络设备、边缘设备、一个或多个NAT以及收集器设备的示例的框图。

图7是说明根据本公开的技术的用于资源的示例过程的流程图。

在整个附图和描述中，相同的附图标记指代相同的元件。

具体实施方式

总体上，本公开描述了标识遥测传感器的遥测数据源的技术。一些收集器设备(例如，被配置为聚合用于分组的遥测数据的设备)可以使用源互联网协议(IP)地址来标识源设备(例如，网络设备或用于网络设备的遥测传感器)。然而，仅使用源IP地址来标识源设备的收集器设备在可靠地标识遥测传感器的遥测数据的源方面可能存在“差距”。例如，遥测分组在有效载荷中可能不包含主机名或管理IP。例如，用于遥测分组的源IP可能不会跨网络地址转换器(NAT)被保留。附加地，或可选地，仅使用源IP地址来标识源设备的收集器设备可能容易出错，因为用户数据报协议(UDP)不可靠、没有流量控制、并且与传输控制协议(TCP)相比不安全。此外，当第一租户的源IP地址可能与第二租户冲突时，仅使用源IP地址来标识源设备的收集器设备可能不适合多租户解决方案。

本文描述的技术可以帮助解决在收集器设备处不可靠地标识遥测源的问题。例如，当使用举例而言例如NetFlow和其他协议(其中可以从设备侧(例如，遥测传感器或网络设备)发起遥测收集并且使遥测数据(例如UDP消息)流向收集器设备)的协议时，可能会出现源的不可靠标识。收集器设备可以标识遥测数据的源(例如，遥测传感器或网络设备)，这由于例如源IP地址的NAT，因此对于像NetFlow的一些协议来说可能是不可能的。

在一些示例中，将收集器设备配置为仅使用UDP消息的源IP地址来标识源设备可能存在缺点。例如，与传输控制协议(TCP)相比，UDP传输可能不太可靠(可靠性、分组丢失、流量/速率控制角度)。在一些示例中，UDP并不安全。在一些示例中，像NetFlow的协议可能不包含在收集器侧唯一标识源设备的任何内容。在收集器侧可能存在一个或多个部署困难，必须为NetFlow实施变通方法以在收集器处标识分组，这可能会使用像可能无法扩展的守护进程集、节点端口的机制阻止源IP地址的NAT。

并非仅依赖源IP地址来标识源设备或依赖于阻止源IP地址的NAT的限制，一种系统可以包括被布置为通过添加源标识符来修改遥测分组(例如，设备ID)的“边缘设备”。在一些示例中，源标识符可以是用于由网络管理员预先配置的源设备的唯一标识符。例如，边缘设备可以将源标识符附加到每个遥测分组。在该示例中，收集器可以使用源标识符来标识源设备，这与仅使用源IP地址的系统相比，可以提高标识源设备的准确性。如果没有源标识符，则可能有使用相同源地址(私有地址)的两个设备(例如，用于不同网络设备的两个不同遥测传感器)，并且两个设备可能属于两个不同的客户。此外，如果收集器设备被配置为使用分组的源IP地址，则可能有这样的时机，即源IP地址可能会在到达收集器设备的途中和/或在处理之前在收集器设备处被NAT更改，从而可能丢失源身份。

可以在不修改协议本身或设备侧行为的情况下实现本文描述的用于用源标识符修饰遥测分组的技术。例如，边缘设备可以提供覆盖机制来通过添加源标识符(例如，设备ID和自定义字段)修饰遥测分组。边缘设备可以提供覆盖机制来使用grpc远程过程调用(gRPC)或HTTP 2.0(均基于TCP)，这与UDP相比可能是相对可靠和安全的传输。例如，边缘设备可以“填充”整个UDP分组或在有效负载中多路复用多个分组，以及通过添加像源标识符(例如，设备ID)以及每个UDP分组的自定义字段来扩展有效负载。在该示例中，收集器设备可以从边缘设备接收用于遥测数据的协议数据单元(PDU)并且可以对PDU进行解分组来可靠地标识用于遥测数据的遥测传感器集。以这种方式，本文描述的技术可以将边缘设备和/或收集器设备配置为使用具有源标识符的遥测分组，使得系统可以“承受”网络地址转换(NAT)操作。

本文描述的使用源标识符的技术可以允许网络设备执行流量控制以允许边缘设备减少或回拨(或可选地，增加)在网络设备上的采样率并且保证遥测分组的统计学采样而不是随机丢弃。此外，本文描述的技术包括用源标识符和租户标识符修饰遥测分组，这可以支持多租户。在一些示例中，设备ID还可用于通过将租户标识符(例如，orgID)配置作为源标识符(例如，设备ID)的一部分来支持多租户，使得收集器设备可以确定源设备属于哪个租户。以这种方式，收集器设备可以被配置为明确地确定哪个租户发送了指示遥测数据的消息。用于配置边缘设备以使用源标识符修饰遥测分组的技术可以支持多个供应商(例如，配置有不同操作软件的网络设备或支持不同协议的网络设备)。

虽然上述示例包括NetFlow，但也可以使用其他流量协议，举例而言，例如采样流量(sflow)、Juniper流量(Jflow)或其他流量协议。附加地，虽然本文描述的技术可以将边缘设备描述为与网络设备分离，但是一些示例可以实现用于用在源设备(本地或作为扩展)和/或作为边缘设备的一部分的源标识符修饰遥测分组的技术。

图1是说明包括使用控制器设备10管理的企业网络2的网络设备的示例的框图。企业网络2的网络元件14A-14G(统称为“网络元件14”或“网络设备14”)包括经由通信链路互连来形成通信拓扑以便交换资源和信息的网络元件。网络元件14(通常也称为网络设备)可以包括例如路由器、交换机、网关、网桥、集线器、服务器、防火墙或其他入侵检测系统(IDS)或入侵防御系统(IDP)、计算设备、计算终端、打印机、其他网络设备或这些设备的组合。网络元件14可以包括被配置为生成遥测分组的一个或多个传感器设备，该遥测分组指示由相应网络元件输出的用于多个分组的遥测数据。在一些示例中，每个网络元件14可以与和网络元件14分开(例如，单独的电路板或单独的处理设备)的相应一组传感器设备相关联。虽然在本公开中描述为传输、传送或以其他方式支持分组，但是企业网络2可以根据由任何其他协议定义的任何其他离散数据单元(例如由异步传输模式(ATM)协议定义的单元，或由用户数据报协议(UDP)定义的数据报)来传输数据。互连网络元件14的通信链路可以是物理链路(例如，光、铜线等)、无线或其任何组合。

企业网络2被示出为经由通信链路耦合到公共网络18(例如，因特网)。公共网络18可以包括例如一个或多个客户端计算设备。公共网络18可以提供对网络服务器、应用服务器、公共数据库、媒体服务器、最终用户设备和其他类型的网络资源设备和内容的访问。如图所示，公共网络18可以提供对收集器设备20的访问。收集器设备20可以表示一个或多个计算设备(例如，服务器、计算机或云)。

控制器设备10经由企业网络2通信地耦合到网络元件14。在一些示例中，控制器设备10形成设备管理系统的一部分，尽管在图1中出于示例之目的仅示出了设备管理系统的一个设备。控制器设备10可以是中央控制器的示例。控制器设备10可以直接或间接地耦合到各种网络元件14。一旦部署和激活网络元件14，管理员12就可以使用控制器设备10(或多个这样的管理设备)来使用设备管理协议管理网络设备。一个示例设备协议是简单网络管理协议(SNMP)，其允许控制器设备10遍历和修改将配置数据存储在每个受管网络元件14内的管理信息库(MIB)。另一个示例设备协议可以包括NETCONF，然而，本文描述的技术可以与其他设备协议一起使用。有关SNMP协议的更多详细信息，可在Harrington等人的网络工作组于2002年12月的互联网工程任务组草案，RFC3411，“用于描述简单网络管理协议(SNMP)管理框架的架构(An Architecture for Describing Simple Network ManagementProtocol(SNMP)Management Frameworks)”(可从http://tools.ietf.org/html/rfc3411获得)中找到，其全部内容通过引用并入本文。另一个示例设备协议可以包括NETCONF，然而，本文描述的技术可以与其他设备协议一起使用。有关NETCONF协议的更多详细信息，可在Enns等人的网络工作组于2011年6月的互联网工程任务组草案，RFC6241，“网络配置协议(NETCONF)(Network Configuration Protocol(NETCONF))”(可从https://tools.ietf.org/html/rfc6241获得)中找到，其全部内容通过引用并入本文。

在通常的实践中，控制器设备10，也称为网络管理系统(NMS)或NMS设备，以及网络元件14由企业的IT组集中维护。管理员12与控制器设备10交互以远程监控和配置网络元件14。例如，管理员12可以从控制器设备10接收关于网络元件14中的任何一个的警报、查看网络元件14的配置数据、修改网络元件14的配置数据、向企业网络2添加新网络设备、从企业网络2移除现有网络设备，或以其他方式操纵企业网络2和其中的网络设备。尽管关于企业网络进行了描述，但是本公开的技术适用于其他网络类型、公共和私有网络，包括LAN、VLAN、VPN等。

在一些示例中，管理员12使用控制器设备10或本地工作站例如通过telnet、安全外壳(SSH)或其他这样的通信会话来与网络元件14直接交互。也就是，网络元件14通常提供用于直接交互的接口，例如命令行接口(CLI)、基于网络的接口、图形用户接口(GUI)等，用户可以通过这些接口与设备交互以直接发出基于文本的命令。例如，这些接口通常允许用户例如通过telnet、安全外壳(SSH)、超文本传输协议(HTTP)或其他网络会话直接与设备交互，以根据定义的语法输入文本来向受管元件提交命令。在一些示例中，用户使用控制器设备10发起与其中一个网络元件14例如网络元件14F的SSH会话15，以直接配置网络元件14F。以这样的方式，用户可以直接向网络元件14提供执行格式形式的命令。

此外，管理员12还可以创建可由控制器设备10向任何或所有网络元件14提交的脚本。例如，除了CLI接口之外，网络元件14还提供用于接收根据脚本语言指定命令的脚本的接口。在某种意义上，脚本可由控制器设备10输出以自动调用受管网络元件14上的相应远程过程调用(RPC)。脚本可以符合例如可扩展标记语言(XML)或另一种数据描述语言。

管理员12使用控制器设备10配置网络元件14来指定某些操作特性，其进一步实现管理员12的目标。例如，管理员12可以为网络元件14A指定关于安全性、设备可访问性、业务工程、服务质量(QoS)、网络地址转换(NAT)、分组过滤、分组转发、速率限制或其他策略的具体操作策略。控制器设备10使用设计用于管理网络元件14内的配置数据的一种或多种网络管理协议，例如SNMP协议或网络配置协议(NETCONF)协议或其派生(例如Juniper网络设备管理接口)，来执行配置。通常，NETCONF提供用于配置网络设备的机制，并使用基于可扩展标记语言(XML)的数据编码来配置可能包括策略数据的数据。NETCONF在Enns的网络工作组于2006年12月的RFC4741，“NETCONF配置协议(NETCONF Configuration Protocol)”(可从tools.ietf.org/html/rfc4741获得)中进行了描述。控制器设备10可以与一个或多个网络元件14建立NETCONF会话。

控制器设备10可以被配置为将新意图数据模型与现有(或旧)意图数据模型进行比较，确定新意图数据模型与现有意图数据模型之间的差异，并将反应映射器应用于新意图数据模型与旧意图数据模型之间的差异。具体地，控制器设备10确定新配置数据集是否包括相对于旧意图数据模型的任何附加配置参数，以及新配置数据集是否修改或省略旧意图数据模型中包括的任何配置参数。

意图数据模型可以是统一图形模型，而低级配置数据可以用YANG表达，这在Bjorklund的Internet工程任务组于2010年10月的RFC 6020，“YANG-网络配置协议的数据建模语言(NETCONF)(YANG—A Data Modeling Language for the NetworkConfiguration Protocol(NETCONF))”(可从tools.ietf.org/html/rfc6020获得)中描述。在一些示例中，意图数据模型可以用YAML Ain't Markup Language(YAML)来表达。控制器设备10可以包括用于转换意图数据模型差异的各种反应映射器。这些函数被配置为接受意图数据模型(其可以例如根据YANG或YAML被表示为结构化输入参数)。这些功能还被配置为输出相应多组的低级设备配置数据更改，例如设备配置添加和删除。也就是，y₁＝f₁(x),y₂＝f₂(x),...y_N＝f_N(x)。

控制器设备10可以将YANG建模用于意图数据模型和低级设备配置模型。该数据可能包含跨YANG实体的关系，例如列表项和容器。传统上，控制器设备不支持实时配置管理功能。如下文更详细讨论的，控制器设备10可以将YANG数据模型转换为数据库模型，并将YANG验证转换为数据验证。在2017年3月17日提交的美国专利申请第15/462,465号“CONFIGURING AND MANAGING NETWORK DEVICES USING PROGRAM OVERLAY ON YANG-BASEDGRAPH DATABASE(使用在基于YANG的图形数据库上的程序覆盖配置和管理网络设备)”中描述了使用用于高级配置数据的图形模型管理网络设备的技术，其全部内容通过参考并入本文。

控制器设备10可以从其中一个管理员12接收表示关于统一意图数据模型的任何或所有创建、更新和/或删除动作的数据。控制器设备10可以被配置为对如应用于图形模型时的创建、更新和删除中的每一个使用相同的编译逻辑。

通常，像控制器设备10的控制器使用用于意图的分层数据模型、低级数据模型和资源。分层数据模型可以基于YANG或YAML。如上所述，分层数据模型可以表示为图形。现代系统已经支持简化网络管理的意图。意图是声明性的。为了实现意图，控制器设备10尝试选择最佳资源。

根据本公开的技术，网络元件14A(例如，网络元件14A的传感器设备)可以生成遥测分组，其指示由网络元件14的网络元件14A输出的多个分组的遥测数据。遥测数据可以包括可使用遥测传感器(举例而言，例如OpenConfig、Juniper遥测接口(JTI)本地、netconf、SNMP、系统日志、sFlow、NetFlow或其他遥测传感器)从网络元件14收集的任何信息。遥测数据中的示例度量可以包括，但不限于，例如接口状态、路由状态(包括bgp、isis、mpls等的路由协议信息)、系统状态(cpu使用率、内存使用率等)、系统告警状态(温度警报、严重警报)、安全相关状态、硬件机箱相关状态(风扇、电源、温度)、网络业务/流量详情或其他遥测数据。例如，网络元件14可以向边缘设备16发送遥测分组。

一个或多个边缘设备16(这里简称为“边缘设备16”)可以标识遥测分组并且从多个源标识符中选择用于网络元件14A的源标识符。在一些示例中，边缘设备16中的每一个可以与相应的租户相关联(见图6)。

例如，边缘设备16可以被配置为为网络元件14的每个网络元件存储预先配置的和唯一的源标识符并且将每个源标识符与网络元件14的网络元件相关联。例如，网络元件14A可以被分配第一源标识符并且网络元件14B可以被分配第二源标识符。例如，管理员12可以将第一源标识符分配给网络元件14A并且可以将第二源标识符分配给网络元件14B。

在该实例下，边缘设备16可以被配置为为由网络元件14A输出的遥测分组选择第一源标识符并且为由网络元件14B输出的遥测分组选择第二源标识符。例如，响应于确定遥测分组包括对应于(例如匹配)网络元件14A的源IP地址并且该网络元件14A被分配了第一源标识符，边缘设备16可以选择用于遥测分组的第一源标识符。然而，响应于确定遥测分组包括对应于(例如，匹配)网络元件14B的源IP地址并且网络元件14A被分配了第二源标识符，边缘设备16可以选择用于遥测分组的第二源标识符。

边缘设备16可以修改遥测分组以进一步指示选定源标识符。网络元件14可以向收集器设备20输出修改后的遥测分组。收集器设备20可以基于选定源标识符将遥测分组与网络元件14A相关联并且可以处理遥测分组以生成遥测信息。收集器设备20可以向控制器设备10输出遥测信息的指示。例如，控制器设备10可以在显示器上输出遥测信息。遥测信息可帮助管理员12了解网络元件14的行为，其可进一步用于采取行动或馈送至其他控制器组件(例如，控制器设备10)。如果分布式拒绝服务(DDoS)攻击发生在网络2或其他遥测信息上，遥测信息的示例可以包括可视化网络2中的前N个谈话者、网络2的接口状态、服务器的健康状况、路由信息、网络元件14其中一个的硬件状态。

图2是说明用于图1的控制器设备10的示例组件集的框图。在该示例中，控制器设备10包括控制单元22、网络接口34和用户接口36。网络接口34表示可以将控制器设备10通信地耦合到外部设备(例如图1的网络元件14其中一个)的示例接口。网络接口34可以表示无线和/或有线接口，例如以太网接口或无线无线电，其被配置为根据例如一个或多个IEEE802.11无线电网络协议(例如802.11a/b/g/n或其他这种无线电协议)的无线电标准进行通信。在各种示例中，控制器设备10可以包括多个网络接口，尽管出于示例之目的仅示出了一个网络接口。

控制单元22表示用于实现归属于本文的控制单元22及其组成模块和元件的功能的硬件、软件和/或固件的任何组合。当控制单元22包括软件或固件时，控制单元22还包括用于存储和执行软件或固件的任何必要硬件，例如一个或多个处理器或处理单元。通常，处理单元可以包括一个或多个微处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或任何其他等效的集成或离散逻辑电路，以及任何这些组件的组合。此外，处理单元通常使用固定和/或可编程逻辑电路来实现。

用户接口36表示一个或多个接口，诸如管理员12(图1)的用户通过该接口与控制器设备10交互，例如以提供输入和接收输出。例如，用户接口36可以表示监视器、键盘、鼠标、触摸屏、触摸板、触控板、扬声器、相机、麦克风等中的一个或多个。此外，虽然在该示例中控制器设备10包括用户接口，但管理员12不需要直接与控制器设备10交互，而是可以例如经由网络接口34远程访问控制器设备10。

控制单元22包括用户接口模块38、网络接口模块32和管理模块24。控制单元22执行用户接口模块38来从用户接口36接收输入和/或向用户接口36提供输出。控制单元22还执行网络接口模块32来通过网络接口34发送和接收数据(例如，分组)。用户接口模块38、网络接口模块32和管理模块24可以再次被实现为相应的硬件单元，或者软件或固件，或者它们的组合。

控制单元22的功能可以被实现为固定或可编程数字逻辑电路中的一个或多个处理单元。这种数字逻辑电路可以包括一个或多个微处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或任何其他等效的集成或离散逻辑电路，以及这些组件的任意组合。当实现为可编程逻辑电路时，控制单元22还可以包括一个或多个计算机可读存储介质，其存储将由控制单元22的处理单元执行的硬件或固件指令。

控制单元22执行管理模块24来管理各种网络设备，例如图1的网络元件14。网络设备的管理包括，例如，根据从用户(例如，图1的管理员12)接收的指令配置网络设备并向用户提供提交指令以配置网络设备的能力。网络设备的管理还包括用更新的软件(例如更新的软件映像)升级网络设备。

管理模块24被配置为从用户(例如管理员12)接收用于受管网络设备集的意图统一图形建模配置数据。这种意图统一图形建模配置数据可以被称为“意图数据模型”。随着时间的推移，用户可以更新配置数据，例如以添加新服务、移除现有服务或修改由受管设备执行的现有服务。统一意图数据模型可以根据例如YANG或YAML来构造。图形模型可以包括以分层方式由边连接的多个顶点。在YANG中，图形模型的边通过“leafref”元素表示。在YAML的情况下，这样的边可以用“ref”边来表示。类似地，父子顶点关系可以用“有”边表示。例如，元素A的顶点使用有边引用元素B的顶点可以理解为“元素A具有元素B”。在一些示例中，管理模块24还向用户提供提交反应映射器的能力，翻译模块28执行该反应映射器来将意图数据模型转换为设备特定的低级配置指令。

控制器设备10还包括配置数据库40。配置数据库40可以包括描述例如网络元件14的受管网络设备的数据结构。配置数据库40可以用作意图数据存储，其可以用于持久化和管理意图数据模型的集合。例如，配置数据库40可以包括指示设备标识符(例如MAC和/或IP地址)、设备类型、设备供应商、设备种类(例如，路由器、交换机、桥接器、集线器等)等的信息。配置数据库40还存储用于受管设备(例如，网络元件14)的当前配置信息(例如，意图数据模型，或者在一些情况下，意图数据模型和低级配置信息两者)。配置数据库40可以包括包含统一意图数据模型的数据库。在一些示例中，配置数据库40可以存储低级配置，其对于拥有资源集中的每个相应拥有资源，包括指示网络元件14的相应拥有资源的拥有者的指针。

管理模块24可以在配置数据库40中维护数据结构。该数据结构可以包括多个顶点和多个边，多个顶点中的每个顶点表示多个网络设备中的相应网络设备(例如，网络元件14)或多个无状态意图中的相应无状态意图，以及定义多个顶点之间关系的多个边。管理模块24可以接收有状态意图的指示。例如，管理模块24可以从例如管理员12的用户接收受管理网络设备集的意图统一图形建模配置数据。

尽管出于示例之目的将用户接口36描述为允许管理员12(图1)与控制器设备10交互，但是在其他示例中可以使用其他接口。例如，控制器设备10可以包括表示性的状态转移(REST)客户端(未示出)，其可以用作到另一个设备的接口，管理员12可以通过该接口来配置控制器设备10。同样，管理员12可以通过REST客户端与控制器设备10交互来配置网络元件14。

管理模块24可以将配置数据库40建模为表示YANG配置数据元素的图形数据库。YANG指定了各种类型的数据结构，包括列表、叶列表、容器、具有存在性的容器和特征。管理模块24可以将列表、容器、具有存在性的容器和特征以及顶级容器中的每一个建模为图形数据库中的顶点。可选地，配置数据库40可以表示YAML配置数据元素。

在构建图数据库之后，管理模块24可以对图数据库的数据进行操作。例如，管理模块24可以将诸如get-config、带有过滤器的get-config和edit-config的基于Netconf的操作映射到诸如Gremlin查询的图形查询语言查询。Gremlin在gremlindocs.spmallette.documentup.com的GremlinDocs中和github.com/tinkerpop/gremlin/wiki中进行了描述。如果条件属性改变，则管理模块24可以执行被映射到图形数据库的顶点和边的条件。响应于这些条件，管理模块24可以处理附加的改变，作为如下更详细讨论的功能来处理。管理模块24可以进一步更新事务语义中的所有改变。

遥测传感器25可以被配置为生成遥测分组，其指示由网络元件14的网络元件14A输出的多个分组的遥测数据。遥测数据可以包括可使用遥测传感器(举例而言，例如OpenConfig、Juniper遥测接口(JTI)本地、netconf、SNMP、系统日志、sFlow、NetFlow或其他遥测传感器)从网络元件14收集的任何信息。遥测数据中的示例度量可以包括，但不限于，例如接口状态、路由状态(包括bgp、isis、mpls等的路由协议信息)、系统状态(cpu使用率、内存使用率等)、系统告警状态(温度警报、严重警报)、安全相关状态、硬件机箱相关状态(风扇、电源、温度)、网络业务/流量详情或其他遥测数据。

图3是说明根据本公开的技术的用于处理遥测分组的网络设备14、边缘设备16、一个或多个网络地址转换器(NAT)60和收集器设备20的示例的框图。在图3的示例中，示出了两个网络元件14，一个(14A)与第一供应商(“供应商A”)相关联，另一个(14B)与第二供应商(“供应商B”)相关联。在图3的示例中，并且为了便于说明，仅示出了两个元件14，但是在其他示例中可以使用任意数量的元件14。

网络元件14A可以生成遥测分组60A，其指示由网络元件14A输出的多个分组的遥测数据。在一些示例中，网络元件14A可以生成遥测分组60A以指示网络元件14A的源IP地址。网络元件14B可以生成遥测分组60B，其指示由网络元件14B输出的多个分组的遥测数据。在一些示例中，网络元件14B可以生成遥测分组60B以指示网络元件14B的源IP地址。

边缘设备16可以标识遥测分组60A并且从多个源标识符中选择用于网络元件14A的第一源标识符。类似地，边缘设备16可以标识遥测分组60B并且从多个源标识符中选择用于网络元件14B的第二源标识符。边缘设备16可以修改遥测分组60A以进一步指示第一选定源标识符来生成修改后的遥测分组62A。类似地，边缘设备16可以修改遥测分组60B以进一步指示第二选择的源标识符来生成修改的遥测分组62B。NAT 66可以将用于网络元件14A的源IP地址转换成与用于网络元件14A的源IP地址不同的修改后的IP地址。因此，NAT 66从遥测分组62A生成遥测分组64A。在一些示例中，NAT 66可以将用于网络元件14B的源IP地址转换成与用于网络元件14B的源IP地址不同的修改后的IP地址。因此，NAT 66从遥测分组62B生成遥测分组64B。

收集器设备20可以基于遥测分组64A的第一选定源标识符将遥测分组64A与网络元件14A相关联，并且可以处理遥测分组64A以生成用于网络元件14A的遥测信息。类似地，收集器设备20可以基于遥测分组64B的第二选定源标识符将遥测分组64B与网络元件14B相关联，并且可以处理遥测分组64B以生成用于网络元件14B的遥测信息。

如图所示，用于配置边缘设备16以使用源标识符修饰遥测分组的技术可以支持多个供应商(例如，配置有不同操作软件的网络设备或支持不同协议的网络设备)。例如，网络元件14A可由第一供应商(“供应商A”)配置并且网络元件14B可由与第一供应商不同的第二供应商(“供应商B”)配置。

图4A是说明根据本公开的技术的用于由示例遥测传感器(例如，NetFlow传感器)生成的遥测分组的示例报头400的概念图。图4B是说明根据本公开的技术的针对图4A的报头的示例细节410的概念图。在图4A、图4B的示例中，收集器设备20可以被配置为使用源IP地址加上源ID 402来将遥测分组与特定设备的唯一实例相关联。然而，如果没有源标识符，则可能有使用相同源地址(私有地址)的两个设备(例如，用于不同网络设备的两个不同遥测传感器)，并且两个设备可能属于两个不同的客户。此外，如果收集器设备20被配置为使用分组的源IP地址(和源ID402)，则可能有这样的时机，即源IP地址可能会在到达收集器设备的途中和/或在处理之前在收集器设备处被NAT更改，从而可能丢失源身份。

虽然在NetFlow的上下文中描述了前述示例，但是可以使用其他流量协议，举例而言，例如采样流量(sflow)、Juniper流量(Jflow)或其他流量协议。附加地，虽然本文描述的技术可以将边缘设备描述为与网络设备分离，但是一些示例可以实现用于用在源设备(本地或作为扩展)和/或作为边缘设备的一部分的源标识符修饰遥测分组的技术。

图5是说明根据本公开的技术的用于网络设备的速率控制的网络设备14、边缘设备16、一个或多个NAT 60和收集器设备20的示例的框图。在该示例中，边缘设备16可以基于遥测分组60B向网络元件14B输出反馈信息61。网络元件14B可以被配置为基于反馈信息61修改用于多个分组的采样率。配置网络元件14B以修改采样率可用于帮助减轻丢弃的分组和/或套接字拥塞，这可能在网络元件14B上设置的激进采样率下发生。利用反馈信息61，网络元件14B可以根据遥测协议的需要和支持配置采样率或分组导出率，这可以帮助避免分组的随机丢弃并且可以帮助减少由于遥测引起的拥塞。例如，响应于从1:1000到1:10000的sFlow或NetFlow分组采样率变化，网络元件14B可以被配置为将流式本地遥测分组导出率从60秒的频率更改为120秒。如本文所使用的，分组导出率可以是指遥测信息以其从设备导出到收集器设备20的间隔。

图6是说明根据本公开的技术的用于处理来自不同租户的遥测分组的网络设备14、边缘设备16、一个或多个NAT 60和收集器设备20的示例的框图。在图6的示例中，网络元件14A可以生成遥测分组60A，其指示由网络元件14A输出的多个分组的遥测数据。网络元件14B可以生成遥测分组60B，其指示由网络元件14B输出的多个分组的遥测数据。

在图6的示例中，一个或多个边缘设备16可以包括与租户A相关联(例如，分配给租户A)的边缘设备16A和与租户B相关联(例如，分配给租户B)的边缘设备16B。边缘设备16A可以标识遥测分组60A并且从多个源标识符中选择用于网络元件14A的第一源标识符。类似地，边缘设备16B可以标识遥测分组60B并且从多个源标识符中选择用于网络元件14B的第二源标识符。此外，边缘设备16A可以从多个租户标识符中选择用于网络元件14A的第一租户标识符。边缘设备16B可以从多个租户标识符中选择用于网络元件14B第二租户标识符。边缘设备16A可以修改遥测分组60A以进一步指示第一选定源标识符和第一租户标识符来生成修改的遥测分组72A。类似地，边缘设备16B可以修改遥测分组60B以进一步指示第二选定源标识符和第二租户标识符来生成修改的遥测分组72B。

NAT 66可以将用于网络元件14A的源IP地址转换成与用于网络元件14A的源IP地址不同的修改后的IP地址。因此，NAT 66从遥测分组72A生成遥测分组74A。在一些示例中，NAT 66可以将用于网络元件14B的源IP地址转换成与用于网络元件14B的源IP地址不同的修改后的IP地址。因此，NAT 66从遥测分组62B生成遥测分组74B。在一些示例中，可以省略NAT 66。

收集器设备20可以基于第一选定源标识符和遥测分组74A的第一租户标识符将遥测分组74A与网络元件14A相关联，并且可以处理遥测分组74A来生成用于网络元件14A的遥测信息。类似地，收集器设备20可以基于遥测分组74B的第二选定源标识符和第二租户标识符将遥测分组74B与网络元件14B相关联，并且可以处理遥测分组74B来生成用于网络元件14B的遥测信息。

图7是说明根据本公开的技术的用于资源的示例过程的流程图。图7是参考图1至图6讨论的，仅用于示例目的。在图7的示例中，用于网络元件14A的传感器设备可以生成遥测分组，其指示由网络设备14的网络设备14A输出的多个分组的遥测数据(702)。例如，网络元件14A(例如，包括在网络元件14A内的遥测传感器)可以将多个分组分配给源IP地址和目的地地址，并且网络设备14A可以生成多个分组中的每个分组以包括源IP地址和目的地地址。遥测分组可能符合NetFlow。然而，遥测分组也可以符合其他流量协议，例如采样流量(sflow)、Juniper流量(Jflow)或其他流量协议。

边缘设备16可以标识遥测分组，其指示由网络设备14A输出的多个分组的遥测数据(704)。边缘设备16可以从多个源标识符中选择用于网络元件14A的源标识符(706)。例如，边缘设备16可以被配置为为网络元件14的每个网络元件存储预先配置和唯一的源标识符。在一些示例中，边缘设备16可以使用接收到的遥测分组的源IP地址作为生成选定源标识符的函数(例如，查找表)的输入。

边缘设备16可以修改遥测分组以进一步指示选定源标识符(708)。例如，边缘设备16可以修改遥测分组的分组有效载荷(例如，图4A的源ID 402)以包括选定源标识符。边缘设备16(例如，利用网络元件14)可以向收集器设备20输出修改后的遥测分组。在一些示例中，边缘设备16可以使用无连接协议接收遥测分组。无连接协议的示例可以包括，例如，使用UDP传输的遥测机制(例如，sFlow、Juniper网络遥测接口(JTI)本地，系统日志等)，其可能本质上不如面向连接的协议(例如，TCP-基于协议)可靠并且可能会丢弃分组，并且与面向连接的协议相比可能不安全。在一些示例中，边缘设备16可以在边缘设备16和收集器设备20之间建立连接并且经由该连接向收集器设备16输出修改后的遥测分组。例如，边缘设备16可以将遥测分组从UDP转换为面向连接的协议，举例而言，例如gRPC或HTTP 2.0(基于TCP的可靠和安全传输)。

收集器设备20可以基于选定源标识符将遥测分组与网络元件14A相关联(710)。收集器设备20可以处理与源设备(例如，网络元件14A)相关联的一个或多个流量和/或流以生成遥测信息。收集器设备20可以向控制器设备10输出遥测信息的指示。例如，控制器设备10可以在显示器上输出遥测信息。

在一些示例中，遥测分组可以进一步指示用于网络设备14A的源IP地址。在该示例中，NAT可以被配置为将用于网络设备14A的源IP地址改变为与用于网络设备14A的源IP地址不同的转换后的IP地址。根据本公开的技术，边缘设备16可以输出指示选定源标识符的修改后的遥测分组，并且收集器设备20可以基于选定源标识符将遥测分组与网络元件14A相关联。以此方式，特别是在使用NAT的情况下，边缘设备16可以帮助提高将遥测分组与网络元件相关联的准确度。

在一些示例中，边缘设备16可以基于遥测分组向网络设备14A输出反馈信息。在该示例中，网络设备14A可以能够(例如，被配置为)基于反馈信息修改(例如，增加或减少)控制遥测导出率(例如，采样率或感测率)的参数集。例如，网络设备14A可以被配置为基于反馈信息改变流式遥测传感器(举例而言，例如juniper网络本地遥测(JTI)、openconfig或其他流式遥测传感器)的采样率。在一些示例中，网络设备14A可以被配置为基于反馈信息改变配置用于sFlow、NetFlow的传感器或其他遥测传感器的传感器速率。

边缘设备16可以从多个租户标识符中选择用于多个分组的租户标识符。在该示例中，边缘设备16可以修改遥测分组以指示选定源标识符并进一步指示选定租户标识符。选定租户标识符可由管理员12预先配置。例如，管理员12可以向与租户“A”相关联的网络设备14A分配第一租户标识符并且可以向与租户“B”相关联的网络设备14B分配第二租户标识符。第一租户标识符和第二租户标识符可以不同(例如，唯一的)。除了源标识符和/或租户标识符之外，边缘设备16可以被配置为使用零个或多个标识符。

本公开中描述的技术可以至少部分地实现在硬件、软件、固件或其任何组合中。例如，所描述的技术的各个方面可以在包括一个或多个微处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或任何其他等效的集成或分立逻辑电路以及这些组件的任何组合的一个或多个处理器内实现。术语“处理器”或“处理电路”通常可以指单独任何前述逻辑电路，或与其他逻辑电路结合，或任何其他等效电路。包括硬件的控制单元也可以执行本公开的一种或多种技术。

这样的硬件、软件和固件可以在相同设备内或在单独的设备内实现以支持本公开中描述的各种操作和功能。此外，所描述的单元、模块或组件中的任一个可以一起或单独地实现为分立但可互操作的逻辑设备。将不同特征描述为模块或单元旨在强调不同的功能方面，并不一定暗示这些模块或单元必须由单独的硬件或软件组件实现。相反，与一个或多个模块或单元相关联的功能可以由单独的硬件或软件组件来执行，或者集成在公共或单独的硬件或软件组件中。

本公开中描述的技术还可以被体现或编码在包含指令的计算机可读介质(例如计算机可读存储介质)中。嵌入或编码在计算机可读介质中的指令可以使可编程处理器或其他处理器例如当指令被执行时执行该方法。计算机可读介质可以包括非瞬态计算机可读存储介质和瞬态性通信介质。有形和非瞬态计算机可读存储介质可包括随机存取存储器(RAM)、只读存储器(ROM)、可编程只读存储器(PROM)、可擦除可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM)、闪存、硬盘、CD-ROM、软盘、盒式磁带、磁性介质、光学介质或其他计算机可读存储介质。术语“计算机可读存储介质”是指物理存储介质，而不是信号、载波或其他瞬态介质。

Claims (20)

1.一种方法，包括：

通过在电路中实现的边缘设备标识遥测分组，所述遥测分组指示由多个网络设备中的网络设备输出的多个分组的遥测数据；

由所述边缘设备从多个源标识符中选择用于所述网络设备的源标识符；

由所述边缘设备修改所述遥测分组以进一步指示选定源标识符；以及

由所述边缘设备输出修改后的遥测分组。

2.根据权利要求1所述的方法，其中，所述遥测分组由遥测传感器输出。

3.根据权利要求2所述的方法，其中，所述遥测传感器被包括在所述网络设备内。

4.根据权利要求1所述的方法，其中，所述遥测分组进一步指示用于所述网络设备的源IP地址，并且其中，网络地址转换器(NAT)被配置为将用于所述网络设备的所述源IP地址改变为与用于所述网络设备的所述源IP地址不同的转换后的IP地址。

5.根据权利要求1所述的方法，还包括由所述边缘设备基于所述遥测分组向所述网络设备输出反馈信息，并使所述网络设备能够基于所述反馈信息修改用于所述多个分组的采样率和传感器速率中的一个或多个。

6.根据权利要求1所述的方法，还包括由所述边缘设备从多个租户标识符中选择用于所述多个分组的租户标识符，其中，修改所述遥测分组进一步包括修改所述遥测分组以指示选定源标识符并且以进一步指示选定租户标识符。

7.根据权利要求6所述的方法，其中，选定租户标识符由管理员预先配置。

8.根据权利要求1所述的方法，其中，选定源标识符不同于所述多个源标识符中的其他源标识符。

9.根据权利要求1所述的方法，其中，选定源标识符由管理员预先配置。

10.根据权利要求1所述的方法，其中，输出所述修改后的遥测分组包括在所述边缘设备与收集器设备之间建立连接并且经由所述连接向所述收集器设备输出所述修改后的遥测分组。

11.根据权利要求1所述的方法，其中，所述遥测分组符合NetFlow、OpenConfig、Juniper遥测接口(JTI)本地、netconf、SNMP、系统日志或sFlow。

12.根据权利要求1至11中任一项所述的方法，其中，所述网络设备被配置为将所述多个分组分配给源IP地址和目的地地址，并且其中，所述网络设备被配置为生成所述多个分组中的每个分组以包括所述源IP地址和所述目的地地址。

13.一种包括处理电路的设备，所述处理电路被配置为：

标识遥测分组，所述遥测分组指示由多个网络设备中的网络设备输出的多个分组的遥测数据；

从多个源标识符中选择用于所述网络设备的源标识符；

修改所述遥测分组以进一步指示选定源标识符；以及

输出修改后的遥测分组。

14.根据权利要求13所述的设备，其中，所述遥测分组由遥测传感器输出。

15.根据权利要求14所述的设备，其中，所述遥测传感器被包括在所述网络设备内。

16.根据权利要求13所述的设备，其中，所述遥测分组进一步指示所述网络设备的源IP地址，并且其中，网络地址转换器(NAT)被配置为将所述网络设备的所述源IP地址改变为与所述网络设备的所述源IP地址不同的转换后的IP地址。

17.根据权利要求13所述的设备，其中，所述处理电路被配置为基于所述遥测分组向所述网络设备输出反馈信息，并且使所述网络设备能够基于所述反馈信息修改所述多个分组的采样率。

18.根据权利要求12所述的设备，其中，所述处理电路被配置为从多个租户标识符中选择用于所述多个分组的租户标识符，其中，为了进一步修改所述遥测分组，所述处理电路被配置为修改所述遥测分组来指示选定源标识符并进一步指示选定租户标识符。

19.根据权利要求13至18中任一项所述的设备，其中，所述网络设备被配置为将所述多个分组分配给源IP地址和目的地地址，并且其中，所述网络设备被配置为生成所述多个分组的每个分组以包括所述源IP地址和所述目的地地址。

20.一种计算机可读存储介质，编码有用于使一个或多个可编程处理器执行根据权利要求1至12中任一项所述的方法的指令。

Images