[发明专利]用于分析通过网络的数据通信量的方法和系统

说明书

本发明提供用于分析通过网络的数据通信量的机制。机制采样通过该网络的网络转发设备的正常端口的数据流的数据分组。至少通过配置该网络转发设备以实施该网络转发设备的该正常端口至指定镜像端口的端口镜像来执行该采样。机制将凭借该端口镜像而复制到该镜像端口的已采样数据分组转发到收集器计算设备。机制通过该收集器计算设备处理该已采样数据分组以分析通过该网络转发设备的该正常端口的该数据流。机制通过该收集器计算设备执行基于该分析的结果的操作。

技术领域

本申请一般地涉及一种改进的数据处理装置及方法，并且更具体而言，涉及用于使用端口镜像来获得网络流的低延时和高容量采样的机制。

背景技术

为了测量数据流特性的目的而从网络交换机获得信息，已设计出通常可被分类成以计数器为基础的技术/协议和以采样为基础的技术/协议的各种技术和协议。关于以计数器为基础的技术，交换机的每一端口可具有与其相关联的一个或多个计数器，该一个或多个计数器测量自重新启动该交换机或重置该计数器以来发送及丢弃的字节、分组等的数目。虽然这些端口计数器维持在交换机的专用集成电路(ASIC)上，且因此以高速运行，但这些端口计数器必须将计数器值数据提供到交换机的通用处理器以供处理，此处理通常是大约每秒进行一次。此外，该技术监视交换机上的固定数目的端口，并且因此在所提供信息的粒度方面受到限制。

另一以计数器为基础的技术是由思科系统(Cisco Systems)所开发的NetFlow网络协议提供。NetFlow协议使用通常由包含源地址、目的地地址、源端口、目的地端口和协议的5元组(tuple)指定的当前数据流的高速缓存来收集IP和其他通信量信息。也就是说，当从特定数据流接收到数据分组时，执行高速缓存结构中的查找以确定是否存在用于该特定数据流的条目(也就是说，数据分组经由源设备与目的地设备之间的已建立连接的流动)，并且如果存在该条目，则更新该条目中的一个或多个计数器值以反映数据分组的存在。如果不存在条目，则在该高速缓存中建立新条目且相应地递增计数器值。当高速缓存变得满载时，将高速缓存中的条目收回(evict)至收集器以供存储和/或处理。替代地，可使用最多大约每30秒收回高速缓存条目的以计时器为基础的收回。因为NetFlow协议是以高速缓存为基础，所以不存在可与端口计数器相反地被监视的固定数目的数据流。

又一以计数器为基础的技术是在OpenFlow协议流计数器中提供。OpenFlow为由开放网络基金会(Open Networking Foundation,ONF)公布的协议规格，ONF为致力于软件定义网络功能(SDN)的促进及采用并且管理OpenFlow标准的用户主导型组织。OpenFlow允许通过在编程交换机的一个或多个控制器上执行的软件而运用转发规则来确定通过交换机的网络的网络分组的路径。控制与转发的分离允许比通常使用存取控制列表(accesscontrol list,ACL)及路由协议而可行的通信量管理更复杂的通信量管理。OpenFlow流计数器给出以用户指定粒度(例如，每5元组数据流规格、每源ID等等)而发送的字节/分组。这些流计数器通常可被读取为不快于大约每秒一次。

关于采样技术，sFlow为由sFlow.org协会公布的工业标准技术。sFlow标准提供用于监视高速交换式网络的技术。就sFlow标准而言，执行统计采样，其中采样每N中的1个分组且将分组转发到收集器，该收集器可分析样本且提供关于网络的状态的信息，其包括数据流的列表、数据流正采取的路径、数据流的长度等等。然而，因为通常必须将样本转发到交换机的控制CPU，所以sFlow技术限于相对小数目的样本，例如，大约每秒300个样本。此外，采样速率必须被先验地设定，且缓慢地变更。因此，采样速率被强制设定至极低速率，以便适应高负载，例如，采样大约每400,000中的1个分组以在64端口的10Gbps交换机上以列速率处理最小型(例如，64字节)分组，同时使样本的数目保持小于每秒300个。

发明内容