WO2009117920A1 - 网络流量采样方法和系统 - Google Patents

网络流量采样方法和系统 Download PDF

Info

Publication number
WO2009117920A1
WO2009117920A1 PCT/CN2009/070746 CN2009070746W WO2009117920A1 WO 2009117920 A1 WO2009117920 A1 WO 2009117920A1 CN 2009070746 W CN2009070746 W CN 2009070746W WO 2009117920 A1 WO2009117920 A1 WO 2009117920A1
Authority
WO
WIPO (PCT)
Prior art keywords
network
network traffic
function
traffic
forwarding device
Prior art date
Application number
PCT/CN2009/070746
Other languages
English (en)
French (fr)
Inventor
武绍芸
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2009117920A1 publication Critical patent/WO2009117920A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/022—Capturing of monitoring data by sampling

Definitions

  • the present invention relates to the field of communications, and in particular, to a network traffic sampling method and system. Background technique
  • sampling technology can classify and collect traffic and resource usage in the network.
  • Typical sampling technologies such as network stream sampling technology (Netstream) can be based on various services.
  • NWC Network Stream Data Collection
  • NDA Network Stream Data Analysis
  • the DE function is used to collect network traffic statistics according to time or packet data conditions.
  • the flow statistics can be the number of streams or the body of the text, and the statistics are output to the device with DC function. Perform some processing on the data, such as aggregation.
  • the NDC function is implemented by the application. It can collect data processed by multiple NDE-enabled devices, parse the data, and then filter and aggregate the data. The processed data is collected in the database and can be parsed by devices with DA function.
  • the device with DA function has the function of network traffic analysis, and extracts statistical data from DC-enabled devices for subsequent processing. Provides evidence, such as network planning, attack monitoring, etc., with a graphical user interface that allows users to capture, display, and analyze data collected from DC-enabled devices.
  • network forwarding devices support the sampling function, and the functions of the DE are performed on these network forwarding devices such as routers or switches, and the functions of the NDC are placed on other servers on the network.
  • network traffic collection needs to be completed according to certain rules. For example, one packet is received for every 1000 packets or one packet is collected for each lms. After the acquisition is completed, the collected packets are pressed according to certain conditions.
  • the package specification is sent out from the specified observing port. Pass to a DC-enabled device.
  • the specified observing port is a directly connected port and cannot be transmitted to the far end through the public network.
  • the device with DC function After receiving the packets from the NDE-capable device, the device with DC function aggregates the original flows according to certain rules, for example, by TCP port number aggregation, and then forms an aggregated stream, which is then stored in the database. , waiting for NDA analysis.
  • This sampled stalk can be considered as a simple distributed, DE function is mainly responsible for acquisition, DC function is mainly responsible for aggregation.
  • the main problem in the above sampling process is that the processing capability is insufficient.
  • the DC function is generally completed by the server, and the processing capability is limited.
  • the traffic collected by the NDE-capable device is large, it is difficult to process in time. As the network scale continues to expand, this The methods gradually fail to meet the requirements.
  • the DE function is completed first, that is, the acquisition function is completed;
  • the network forwarding device also implements a part of the DC function.
  • the collected original stream is directly aggregated on the network forwarding device, and then aggregated and sent to the DC server.
  • the DC server mainly implements the storage function at this time, waiting for the NDA function.
  • Equipment for analysis Since the NDE function and the function of the NDC are to be completed on one device at the same time, the requirements on the device are high.
  • the functions of the DC are concentrated on one aggregation board, and in the current distributed forwarding system. , forwarding and other related functions are implemented on different boards.
  • the improved sampling technology has the following problems:
  • the cost is increased because of the need to purchase additional high-performance aggregation boards.
  • each device that needs to support aggregation needs to add a single aggregation board, when users need to improve sampling capacity, they need to
  • the network forwarding device is modified, which affects the scalability and flexibility.
  • the functions of DE and NDC are completed on one device at the same time, and the function of NDC in remote aggregation cannot be realized, so that network resources cannot be reasonably used to reduce operating costs. Summary of the invention
  • the network traffic sampling method and system are provided in the embodiment of the present invention, in order to implement the function of the network traffic sampling, when the user needs to improve the sampling capability, without changing the network forwarding device, improving the scalability and flexibility, and reducing the cost. .
  • the technical solution is as follows:
  • a network traffic sampling method comprising:
  • the embodiment of the invention further provides a network traffic sampling system, the system comprising:
  • the second network forwarding device is connected to the first network forwarding device by using an external network, and is configured to receive the network traffic, and aggregate the network traffic according to a preset rule.
  • a network traffic analysis device is configured to analyze aggregated network traffic according to user requirements.
  • the embodiments of the present invention support the DE and DC functions through multiple network forwarding devices, and the two functions are not required to be completed on one network forwarding device, and it is not necessary to add a high-performance aggregation board to each device to reduce the cost; When the sampling capability is improved, it is not necessary to change each network forwarding device. As long as the devices with different functions are added as needed, it is advantageous for expansion and flexible application. Since the NDE function and the NDC function are not required to be completed on one device, it can be realized through the network. The function of NDC to aggregate at the remote end makes full use of network resources to reduce operating costs. DRAWINGS
  • FIG. 1 is a flowchart of a network traffic sampling method according to Embodiment 1 of the present invention.
  • FIG. 2 is a schematic structural diagram of a network traffic sampling system according to Embodiment 2 of the present invention.
  • FIG. 3 is a schematic diagram of a specific application provided by Embodiment 2 of the present invention. detailed description
  • the technical solution provided by the embodiment of the present invention supports the DE function and the DC function through multiple network forwarding devices, and the two functions are not required to be completed on one network forwarding device, and no high-performance aggregation board is added for each device. Reduce the cost; Because the NDE function and the DC function are not required to be completed on one device, the NDC can be aggregated at the remote end through the network, and the network resources can be fully utilized to reduce the operation cost.
  • the methods include:
  • the external network is a public network, and the network traffic may be transmitted through a multi-protocol label switching tunnel, or may be transmitted through a tunnel carried by a network protocol.
  • the aggregated network traffic of the DC-capable device is stored in the NDC server (NDC Sever) with storage function, which realizes the distributed function of the aggregation function and the storage function, and performs the sampling function distributedly with DE and DC.
  • NDC server NDC Sever
  • Example 1 Referring to FIG. 1, a flowchart of a network traffic sampling method provided by this embodiment includes:
  • Step 101 The device with DE function collects network traffic according to the setting rules.
  • the DE function is enabled by the network forwarding device by configuring the corresponding parameters of the DE function, or by the network management input command, and the network forwarding device can select a router or a switch.
  • the network forwarding device collects traffic according to the logic function of the DE according to a set rule, for example, one message per 1000 packets, or a time or quantity rule of one message every 1 ms; multiple network forwarding devices may have DE Features, and can complete NDE functions in parallel at the same time.
  • Step 102 The traffic collected by the device with the DE function is tunneled to the device with DC function through a multi-protocol label switch (MPLS) tunnel.
  • MPLS multi-protocol label switch
  • the traffic collected by the DE-enabled device is re-encapsulated along with the packet information.
  • the encapsulation can be performed through a protocol such as manual static configuration or dynamic learning. After being encapsulated, it can be transmitted to the DC-enabled device through the MPLS tunnel.
  • the external network is used to transmit the traffic collected by the DE function to the DC function end, and realize the distributed structure of the DE function and the NDC function.
  • Step 103 The DC-enabled device receives the traffic sent by the DE-enabled device and aggregates according to the rules.
  • the DC function is enabled by the network forwarding device by configuring the corresponding parameters of the NDC function, or by inputting commands through the network management.
  • the network forwarding device can select a router or a switch.
  • the network forwarding device aggregates the traffic sent by the DE-enabled device according to the setting rule according to the logic function of the NDC.
  • the rule may be the same TCP port number or the same destination IP address.
  • multiple network forwarding devices can support the NDC function, and the DC function can be implemented in parallel on these network forwarding devices.
  • both the DE function and the NDC function are implemented by the network forwarding device, and the NDE function or the NDC function is supported by multiple network forwarding devices.
  • Different network forwarding devices can perform different NDE or NDC functions, and the DE function performs traffic collection.
  • the NDC function performs traffic aggregation.
  • different tasks can be distributed in different areas, implementing a distributed structure of DE functions and DC functions, and implementing remote aggregation.
  • Step 104 The DC-enabled device sends the aggregated traffic to the DC server, and the DC server stores the aggregated traffic.
  • the network forwarding device supporting the NDC function sends the aggregated traffic directly to the DC server (NDC Sever).
  • the NDC Sever can be a normal server, and the number can be one or a group; one or a group of NDC Sever will The aggregated traffic is collected into the database for storage and is awaiting the execution of subsequent steps.
  • Step 105 The device with the DA function analyzes the aggregated network traffic.
  • the DA has a network traffic analysis function to extract statistics from the NDC Sever that supports the NDC storage function.
  • the NDA performs subsequent processing according to the needs of the user, providing basis for various services, such as network planning and attack monitoring.
  • the NDE-capable device and the DC-capable device support the M:N mode, where ⁇ and ⁇ are both positive integers greater than or equal to 1, that is, a device supporting the NDE function corresponds to one support.
  • the NDC-enabled device can also be an NDE-capable device that supports multiple NDC-capable devices. It can also be a device that supports NDE-capable devices that support NDC, or multiple NDE-capable devices. The device corresponds to multiple devices that support the NDC function.
  • the above modes can be flexibly implemented by artificially configuring the device.
  • the sampling mode combining the functions of DE, NDC and NDA can be extended to a large-scale network such as a telecommunication operator, or a distributed network such as a company distributed in several different regions.
  • the traffic is sent to the device with the DC function through the MPLS tunnel, so that the public network connection DE function device and the DC function device have good versatility and confidentiality, and the configuration is simple.
  • this embodiment provides a network traffic sampling system, including:
  • a first network forwarding device 21 configured to collect network traffic according to a set rule
  • the second network forwarding device 22 is connected to the first network forwarding device 21 through an external network, and is configured to receive network traffic, and aggregate network traffic according to a preset rule.
  • the network traffic analysis device 23 is configured to analyze the aggregated network traffic according to user requirements.
  • the first network forwarding device 21 is a device with an NDE function
  • the second network forwarding device 22 is a device with an NDC function.
  • the two functions are not implemented on the same network forwarding device. In the specific implementation process, you can configure the parameters of the network forwarding device to complete different functions.
  • the first network forwarding device 21 and the second network forwarding device 22 communicate via an external network connection. Both the first network forwarding device 21 and the second network forwarding device 22 can be implemented by a router or a switch.
  • the system may also include a network traffic storage device for storing the aggregated network traffic, waiting for the network traffic analysis device to analyze, that is, completing the function of the NDC Sever, which may be implemented by the server, and the number of the servers is not limited, and may be multiple .
  • FIG. 3 is a schematic diagram of a specific application according to an embodiment of the present invention.
  • the distributed traffic sampling method is mainly composed of NDE, NDC, and NDA.
  • the NDE and NDC functions are implemented by network forwarding devices. Different devices perform different functions.
  • the DE function implements traffic collection.
  • the function is to aggregate traffic.
  • the function of NDC Sever is to store the traffic after aggregation and analyze the NDA function.
  • the head office can set up NDC Sever and NDA-capable equipment only in Shanghai, and use the router maintained by the head office as having NDC function.
  • NDE1 with NDE function can be realized by routers used by Beijing Branch, DE2 and NDE3 are implemented by routers used by Guangzhou Branch;
  • VPN Virtal Private Network
  • the sampling data of the branch company can also be transmitted to the head office for unified processing.
  • the transmission between the DE-enabled device and the DC-enabled device is implemented by a public network.
  • the selection of the transmission mode of the network traffic may be various.
  • the MPLS tunnel carried by the telecommunication network may be selected, or the Generic Routing Encapsulation (GRE) tunnel or the Layer 2 tunneling protocol (L2TP) carried by the IP network may be selected. Layer 2 Tunneling Protocol) and so on.
  • GRE Generic Routing Encapsulation
  • L2TP Layer 2 tunneling protocol
  • each device since collection, aggregation, storage, and analysis are all distributed, each device only processes a part of it, so the performance of each part of the function can be guaranteed at this time; Distributed sampling model, rational use of network resources, reduce operating costs. Since the collection and aggregation are not required to be performed on one device, but are distributed on each node of the network, each device that does not require the user supports all sampling functions, and fully utilizes resources of each device in the network.
  • the DE, NDC, NDC server, and DA functions support multiple devices. Because the NDC server and DA can cache data in the database, there is no need to add devices to increase the processing rate. At the same time, these devices that perform different functions can be dispersed in different regions. , flexible application.
  • Embodiments of the invention may be implemented in software, and the corresponding software may be stored in a readable storage medium, such as a hard disk, optical disk or floppy disk of a computer.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

网络流量采样方法和系统 本申请要求于 2008年 03月 28日提交中国专利局、 申请号为 200810084268.2、 发明名 称为 "网络流量采样方法和系统" 的中国专利申请的优先权， 其全部内容通过引用结合在 本申请中。 技术领域
本发明涉及通信领域， 特别涉及网络流量采样方法和系统。 背景技术
Internet 的高速发展为用户提供了更高的带宽和可预测的服务质量 （QoS， Quality of Service) , 同时用户也需要对网络进行更细致的管理和计费， 为此需要相应的技术支持这种 需求。 采样技术作为一种基于网络流信息的统计与发布技术， 可以对网络中的通信量和资 源使用情况进行分类和统计， 典型的采样技术如网络流采样技术（Netstream) , 它可以基于 各种业务和不同的 QoS进行管理和计费。 Netstream技术主要包括二个逻辑功能： 网络流数 据输出 （NDE， Netstream Data Export ) 网络流数据收集 （NDC， Netstream Data Collect )、 网络流数据分析（NDA， Netstream Data Analyze )。 DE功能用于对网络流按照符合时间或 包数据条件的流统计信息进行采集， 流统计信息可以是流的数量或报文本身， 并将统计信 息输出给具有 DC功能的设备， 输出前也可以对数据进行一些处理， 例如聚合； NDC功 能由应用程序实现， 可以收集多个经过具有 NDE功能的设备处理后输出的数据， 并对这些 数据进行解析， 之后对数据进行过滤和聚合， 再把经过处理的数据收集到数据库中， 可供 具有 DA功能的设备进行解析； 具有 DA功能的设备即具备网络流量分析的功能， 从具 有 DC功能的设备中提取统计数据，进行后续处理， 为各种业务提供依据，例如网络规划， 攻击监测等， 具有图形化用户界面， 使用户可以获取、 显示和分析从具有 DC功能的设备 收集的数据。
现有技术中， 很多网络转发设备支持采样功能， DE的功能在这些网络转发设备如路由 器或交换机上完成， NDC的功能则放置在网络上的其他服务器完成。 对具有 DE功能的设 备来说， 需要按一定规则完成网络流量的采集， 例如每 1000个包采一个报文或者每 lms采一 个报文等， 完成采集后， 将采集到的报文按一定的封装规范从指定的观察端口中发送出去， 传递至具有 DC功能的设备。 该指定的观察端口为直连的端口， 不能通过公共网络传送至 远端。 具有 DC功能的设备在收到来自具有 NDE功能的设备输出的报文之后， 对这些原始 流按照一定规则进行聚合操作， 例如按 TCP的端口号做聚合等， 形成聚合流， 然后存储在数 据库中， 等待 NDA分析。 这种采样过稈可以认为是一个简单的分布式， DE功能主要负责 采集， DC功能主要负责聚合。
上述采样过程存在的主要问题是处理能力不足， DC功能一般由服务器完成，处理能力 有限， 当具有 NDE功能的设备采集得到的流量很大时， 难以及时处理， 随着网络规模的不 断扩大， 这种方法逐渐不能符合要求。
为克服上述缺点， 很多网络转发设备提供商都在自身的转发设备上提供了 DC的功能， 采样模型对应地发生了变化： 对网络转发设备而言， 首先完成 DE的功能， 即完成采集功 能； 其次， 网络转发设备还实现了部分 DC的功能， 这时采集到的原始流在网络转发设备 上直接进行聚合， 聚合后发给 DC服务器； DC服务器此时主要实现存储的功能， 等待具 有 NDA功能的设备进行分析。 由于 NDE功能和 NDC的功能要在一台设备上同时完成， 因此 对设备要求较高， 一般来说， 都会把 DC的功能集中在一块聚合单板上实现， 而在目前的 分布式转发系统中， 转发和其他相关功能是在不同的单板上实现的。
改进后的采样技术存在如下问题： 由于需要购买额外的高性能聚合单板而使成本提高； 因为每台需要支持聚合的设备都需要增加一块聚合单板， 所以当用户需要提高采样能力时， 需要改动网络转发设备，影响扩展性和灵活性; DE与 NDC的功能在一台设备上同时完成， 无法实现 NDC在远端聚合的功能， 从而不能合理运用网络资源来降低运营成本。 发明内容
为了实现当用户需要提高采样能力时， 无需改动网络转发设备， 提高扩展性和灵活性， 降低成本， 同时实现 NDC在远端聚合的功能， 本发明实施例提供了一种网络流量采样方法 和系统。 所述技术方案如下：
—种网络流量采样方法， 所述方法包括：
根据设定规则采集网络流量， 通过外部网络发送所述网络流量；
接收所述网络流量， 根据预设规则对所述网络流量进行聚合；
根据用户需要对聚合后的网络流量进行分析。
本发明实施例还提供了一种网络流量采样系统， 所述系统包括：
第一网络转发设备， 用于根据设定规则采集网络流量； 第二网络转发设备， 与所述第一网络转发设备通过外部网络连接， 用于接收所述网络 流量， 根据预设规则对所述网络流量进行聚合；
网络流量分析设备， 用于根据用户需要对聚合后的网络流量进行分析。
本发明实施例提供的技术方案的有益效果是：
本发明实施例通过多台网络转发设备支持 DE与 DC功能， 且此二种功能不要求在 一台网络转发设备上完成， 无需为每台设备增加高性能聚合单板， 降低成本； 当用户需要 提高采样能力时， 无需改动每台网络转发设备， 只要按需增加不同功能的设备即可， 有利 于扩展与灵活应用； 由于 NDE功能与 NDC功能不要求在一台设备上完成， 通过网络可以 实现 NDC在远端聚合的功能， 充分使用网络资源从而降低运营成本。 附图说明
图 1是本发明实施例 1提供的网络流量采样方法流程图；
图 2是本发明实施例 2提供的网络流量采样系统结构示意图；
图 3是本发明实施例 2提供的具体应用示意图。 具体实施方式
为使本发明的目的、 技术方案和优点更加清楚， 下面将结合附图对本发明实施方式作 进一步地详细描述。
本发明实施例提供的技术方案， 通过多台网络转发设备支持 DE功能与 DC功能， 且此二种功能不要求在一台网络转发设备上完成， 无需为每台设备增加高性能聚合单板， 降低成本； 由于 NDE功能与 DC功能不要求在一台设备上完成， 通过网络可以实现 NDC 在远端聚合的功能， 充分使用网络资源从而降低运营成本。 其中， 方法包括：
根据设定规则采集网络流量， 通过外部网络发送该网络流量；
接收该网络流量， 根据预设规则对该网络流量进行聚合；
根据用户需要对聚合后的网络流量进行分析。
其中， 外部网络为公共网， 可以通过多协议标签交换隧道传送该网络流量， 也可以通 过网络协议承载的隧道传送该网络流量。
将具有 DC功能的设备聚合后的网络流量存储至具有存储功能的 NDC服务器 （NDC Sever) ,实现了聚合功能与存储功能的分布式进行，与 DE、 DC分布式地完成采样功能。
实施例 1 参见图 1， 为本实施例提供的网络流量采样方法流程图， 该方法包括：
步骤 101: 具有 DE功能的设备根据设定规则采集网络流量。
DE功能由网络转发设备通过配置 DE功能的对应参数，或通过网络管理输入命令对 该功能进行使能， 网络转发设备可以选择路由器或交换机。 网络转发设备按照 DE的逻辑 功能根据设定规则， 例如每 1000个包采一个报文， 或者每 1ms采一个报文等时间或数量的 规则对流量进行采集； 多台网络转发设备可均具有 DE功能， 且可以同时并行完成 NDE 功能。
步骤 102: 将具有 DE 功能的设备采集到的流量通过多协议标签交换 （MPLS, Multiprotocol Label Switch) 隧道传至具有 DC功能的设备端。
由具有 DE功能的设备采集到的流量连同报文信息一起重新封装， 封装可以通过人工 静态配置或动态学习等协议进行，封装之后才能通过 MPLS隧道传至具有 DC功能的设备 端。本步骤中利用外网将由 DE功能采集到的流量传递至 DC功能端， 实现 DE功能与 NDC功能的分布式结构。
步骤 103:具有 DC功能的设备接收具有 DE功能的设备发来的流量，并按照规则进 行聚合。
DC功能由网络转发设备通过配置 NDC功能的对应参数， 或通过网络管理输入命令 对该功能进行使能， 网络转发设备可以选择路由器或交换机。 网络转发设备按照 NDC的逻 辑功能根据设定规则对具有 DE 功能的设备发来的流量进行聚合， 该规则可以是相同的 TCP端口号或相同的目的 IP地址等。 本步骤中多台网络转发设备均可以支持 NDC功能， 且 DC功能可在这些网络转发设备上并行实现。
上述步骤中， DE功能与 NDC功能均由网络转发设备实现，且均由多台网络转发设备 支持 NDE功能或 NDC功能， 不同的网络转发设备可以完成不同的 NDE或者 NDC功能， DE功能进行流量采集， NDC功能进行流量聚合。 由此， 不同的任务可以分布在不同的区 域完成， 实现 DE功能与 DC功能的分布式结构， 并实现远端聚合。
步骤 104: 具有 DC功能的设备将聚合后的流量发给 DC服务器， DC服务器存储 聚合后的流量。
其中， 支持 NDC功能的网络转发设备将聚合后的流量直接发送至 DC服务器 （NDC Sever) , NDC Sever可以是普通的服务器，其数量可以是一台或一组；一台或一组 NDC Sever 将聚合后的流量收集到数据库中进行存储， 等待后续步骤的执行。
步骤 105: 具有 DA功能的设备对聚合后的网络流量进行分析。 DA具有网络流量分析功能， 从支持 NDC存储功能的 NDC Sever中提取统计数据， NDA根据用户的需要进行后续处理， 为各种业务提供依据， 例如网络规划， 攻击监测等。
上述实施例中， 具有 NDE功能的设备与具有 DC功能的设备支持 M:N的模式， 其中 Μ,Ν均为大于等于 1的正整数， 即可以是一台支持 NDE功能的设备对应一台支持 NDC功 能的设备， 也可以是一台支持 NDE功能的设备对应多台支持 NDC功能的设备， 还可以是 多台支持 NDE功能的设备对应一台支持 NDC功能的设备，或者是多台支持 NDE功能的设 备对应多台支持 NDC功能的设备。 以上模式可以通过人为对设备的配置灵活实现。 如此进 行， 可以使结合 DE、 NDC及 NDA三种功能的采样模式扩展到大规模的网络例如某个电 信运营商， 或者分布式的网络例如在几个不同的地域都有分布的公司。 另外， 具有 DE功 能的设备采集流量后， 通过 MPLS隧道将流量发送到具有 DC功能的设备， 这样利用公网 连接 DE功能设备与 DC功能设备有较好的通用性与保密性， 配置简单。
实施例 2
如图 2所示， 本实施例提供了一种网络流量采样系统， 包括：
第一网络转发设备 21， 用于根据设定规则采集网络流量；
第二网络转发设备 22，与第一网络转发设备 21通过外部网络连接，用于接收网络流量， 根据预设规则对网络流量进行聚合；
网络流量分析设备 23， 用于根据用户需要对聚合后的网络流量进行分析。
其中， 第一网络转发设备 21 为具有 NDE功能的设备， 第二网络转发设备 22为具有 NDC功能的设备， 此二功能不在同一网络转发设备上实现。 在具体实现过程中， 可以通过 配置网络转发设备的参数使其完成不同的功能。 第一网络转发设备 21与第二网络转发设备 22通过外部网络连接通信。 第一网络转发设备 21与第二网络转发设备 22均可以由路由器 或交换机实现。
系统还可以包括网络流量存储设备， 用于存储聚合后的网络流量， 等待网络流量分析 设备分析， 即完成了 NDC Sever的功能， 具体可以由服务器实现， 且服务器的数量不限， 可以是多台。
图 3为本发明实施例提供的的具体应用示意图。 如图 3所示， 分布式流量采样方法主 要由 NDE、 NDC和 NDA三部分组成， NDE和 NDC功能均由网络转发设备实现， 不同的 设备完成不同的功能， DE功能实现对流量进行采集， DC功能实现对流量进行聚合， NDC Sever的功能是实现对聚合后流量进行存储， NDA功能进行分析。其中， 总公司可以只在上 海设置 NDC Sever和具有 NDA功能的设备， 利用总公司维护的路由器作为具有 NDC功能 的设备 NDC1、 NDC2及 NDC3等； 具有 NDE功能的设备 NDE1可由北京分公司使用的路 由器实现， DE2和 NDE3由广州分公司使用的路由器实现； 通过租用运营商的承载网， 在 实现公司虚拟专用网 （VPN， Virtal Private Network) 通信的同时， 也可以将分公司的采样 数据传递到总公司进行统一处理。 具有 DE功能的设备与具有 DC功能的设备之间的传 输由公共网络实现。 网络流量的传送方式的选择可以是多样的， 本应用中选用电信网承载 的 MPLS 隧道， 也可以选用 IP 网络承载的通用路由封装 （GRE， Generic Routing Encapsulation) 隧道或第二层隧道协议 （L2TP， Layer 2 Tunneling Protocol) 等实现。
本实施例由于采集、 聚合、 存储和分析都是分布式进行的， 每台设备只处理其中的一部 分， 因此此时每部分功能的性能可以得到保障； 通过使用 DE功能在远端聚合的方式形成 分布式采样模型， 合理运用网络资源， 降低运营成本。 由于采集与聚合不要求在一台设备 上完成， 而是分布在网络各个结点上， 因此不需要用户的每台设备都支持全部的采样功能， 充分使用网络中各个设备的资源； 本实施例的 DE、 NDC、 NDC server, DA功能均支持 多台设备， 由于 NDC server和 DA可以将数据缓存于数据库， 不需要增设设备提高处理速 率； 同时这些完成不同功能的设备可以分散在各个不同的区域， 应用灵活。 另外， 当用户 需要提高采样能力时， 也只需按需增加 DE功能设备或者 DC功能设备， 不需改动全部的 网络设备， 利于扩展。 本发明实施例可以通过软件实现， 相应的软件可以存储在可读取的存储介质中， 例如计 算机的硬盘、 光盘或软盘中。
以上所述仅为本发明的较佳实施例， 并不用以限制本发明， 凡在本发明的精神和原则 之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明的保护范围之内。

Claims

权 利 要 求 书
1 . 一种网络流量采样方法， 其特征在于， 所述方法包括：
根据设定规则采集网络流量， 通过外部网络发送所述网络流量；
接收所述网络流量， 根据预设规则对所述网络流量进行聚合；
根据用户需要对聚合后的网络流量进行分析。
2. 根据权利要求 1所述的网络流量采样方法， 其特征在于， 所述通过外部网络发送所 述网络流量包括：
通过多协议标签交换隧道传送所述网络流量。
3. 根据权利要求 1所述的网络流量采样方法， 其特征在于， 所述通过外部网络发送所 述网络流量包括：
通过网络协议承载的隧道传送所述网络流量。
4. 根据权利要求 1所述的网络流量采样方法， 其特征在于， 所述根据用户需要对聚合 后的网络流量进行分析之前还包括：
存储所述聚合后的网络流量， 等待分析。
5. 一种网络流量采样系统， 其特征在于， 所述系统包括：
第一网络转发设备， 用于根据设定规则采集网络流量；
第二网络转发设备， 与所述第一网络转发设备通过外部网络连接， 用于接收所述网络 流量， 根据预设规则对所述网络流量进行聚合；
网络流量分析设备， 用于根据用户需要对聚合后的网络流量进行分析。
6. 根据权利要求 5所述的网络流量采样系统， 其特征在于， 所述第一网络转发设备具 体为路由器或交换机。
7. 根据权利要求 5所述的网络流量采样系统， 其特征在于， 所述第二网络转发设备具 体为路 ώ器或交换机。
8. 根据权利要求 5所述的网络流量采样系统， 其特征在于， 所述系统还包括： 网络流量存储设备， 用于存储所述聚合后的网络流量， 等待所述网络流量分析设备分 析。
9. 根据权利要求 5所述的网络流量采样系统， 其特征在于， 所述系统包括至少一个第 一网络转发设备和至少一个第二网络转发设备。
PCT/CN2009/070746 2008-03-28 2009-03-11 网络流量采样方法和系统 WO2009117920A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200810084268.2 2008-03-28
CN200810084268A CN101547112A (zh) 2008-03-28 2008-03-28 网络流量采样方法和系统

Publications (1)

Publication Number Publication Date
WO2009117920A1 true WO2009117920A1 (zh) 2009-10-01

Family

ID=41112951

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/070746 WO2009117920A1 (zh) 2008-03-28 2009-03-11 网络流量采样方法和系统

Country Status (2)

Country Link
CN (1) CN101547112A (zh)
WO (1) WO2009117920A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111695150A (zh) * 2020-05-15 2020-09-22 浙江信网真科技股份有限公司 一种动态粒度自聚合的安全过滤方法及装置

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102143070B (zh) * 2011-03-04 2014-11-05 中兴通讯股份有限公司 远程流量采集的方法、装置和系统
CN105282050B (zh) * 2015-10-28 2018-11-16 北京华为数字技术有限公司 聚合数据流的方法和装置
CN106453434A (zh) * 2016-12-20 2017-02-22 北京启明星辰信息安全技术有限公司 一种网络流量的监测方法及监测系统
CN110138600A (zh) * 2019-04-28 2019-08-16 北京大米科技有限公司 一种提示信息输出方法、装置、存储介质及服务器
CN113347258B (zh) * 2021-06-04 2023-02-07 上海天旦网络科技发展有限公司 云流量下的数据采集监控分析的方法及系统

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1897541A (zh) * 2005-07-15 2007-01-17 华为技术有限公司 一种网络实现采样的方法
CN1925423A (zh) * 2005-08-30 2007-03-07 飞塔信息科技（北京）有限公司 具有对网络流量进行解析功能的日志装置、系统与方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1897541A (zh) * 2005-07-15 2007-01-17 华为技术有限公司 一种网络实现采样的方法
CN1925423A (zh) * 2005-08-30 2007-03-07 飞塔信息科技（北京）有限公司 具有对网络流量进行解析功能的日志装置、系统与方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111695150A (zh) * 2020-05-15 2020-09-22 浙江信网真科技股份有限公司 一种动态粒度自聚合的安全过滤方法及装置
CN111695150B (zh) * 2020-05-15 2023-07-28 浙江信网真科技股份有限公司 一种动态粒度自聚合的安全过滤方法及装置

Also Published As

Publication number Publication date
CN101547112A (zh) 2009-09-30

Similar Documents

Publication Publication Date Title
US10911355B2 (en) Multi-site telemetry tracking for fabric traffic using in-band telemetry
JP5300076B2 (ja) コンピュータシステム、及びコンピュータシステムの監視方法
US11233720B2 (en) Hierarchical time stamping
EP3151470B1 (en) Analytics for a distributed network
US7512705B2 (en) Truncating data units
CN109362085B (zh) 通过openflow数据平面在云计算机中实现epc
US9787593B2 (en) Performing path-oriented systems management
CN102340447B (zh) 一种远程端口镜像实现系统及方法
WO2012098786A1 (ja) ネットワークシステム、コントローラ、スイッチ、及びトラフィック監視方法
US7801130B2 (en) Methods, systems and computer program products for integrating network traffic
CN104811393B (zh) 组播报文复制处理方法、装置及开放流控制器
WO2009117920A1 (zh) 网络流量采样方法和系统
JP4823156B2 (ja) リモートトラフィック監視方法
CN109743211A (zh) 基于sdn的ip网络与光网络协同路径开通系统与方法
CN103414594A (zh) 一种用于计费和监控的ip流信息统计方法
US20060034319A1 (en) Remote circuit provisioning
Hu et al. Design and demonstration of SDN-based flexible flow converging with protocol-oblivious forwarding (POF)
CN111953661A (zh) 一种基于sdn的东西向流量安全防护方法及其系统
Feng et al. OpenRouteFlow: Enable legacy router as a software-defined routing service for hybrid SDN
Tang et al. Realizing video streaming multicast over SDN networks
US9143580B2 (en) Brokering and provisioning in high-speed networks
CN106100960A (zh) 跨存储区域网络Fabric互通的方法、装置及系统
WO2012062106A1 (zh) 线性保护组隧道复用方法和隧道尾节点
CN105119795B (zh) 一种组播隧道的建立方法及装置
JP2004260285A (ja) 通信品質管理システムおよび方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09724765

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09724765

Country of ref document: EP

Kind code of ref document: A1