[发明专利]分析网络流的装置和方法

说明书

技术领域

本发明涉及分析网络流的装置、方法和计算机程序。

背景技术

通信网络(例如根据互联网协议(IP)的网络)是复杂的并且难以对 也表示为网络流的端对端网络业务流进行分析和监视。分析网络流的一种 已知协议是NetFlow协议，目前其通过互联网工程任务组(IETF)被标准 化。在http://www.ieft.org/html.charters/ipfix-charter.html的IETF IP流 信息输出(IPFIX)中提供了详细信息。

NetFlow协议提供了网络会计、带宽使用分析、网络异常检测、业务 工程和容量管理的技术。

在路由器、交换机、测量仪器和基于软件的业务测量仪处支持 NetFlow。某些高端路由器和交换机借助专用硬件扩展支持NetFlow。

典型地，针对NetFlow或其他网络分析协议在路由器或交换机中实现 扩展是昂贵的，因为这种扩展必须很好地集成到路由器或交换机的特定转 发和路由架构中。

本发明的目的在于提供网络流分析的改进方案。本发明的另一目的在 于提供分析网络流的改进装置、改进方法、改进计算机系统和改进计算机 程序。

发明内容

本发明涉及如独立权利要求中限定的一种装置、一种计算机系统、一 种计算机程序和一种方法。在附加的从属权利要求中提供了本发明的进一 步的实施例。

根据本发明的第一方面，提供了一种分析网络流的装置，包括：

解析器，用于从所述网络流提取流识别信息；

流测量单元，用于测量所述网络流；

可编程控制器，用于控制所述流测量单元和所述解析器。

根据本发明的此方面的装置的架构允许能够支持大量配置选项的流测 量功能的有效、灵活和快速实现。这种配置选项可覆盖如今的或未来的标 准的各种版本。这种架构提供了高性能的优点，而没有仅支持一个标准的 固定测量功能和接口的缺陷。

此架构的模块化方案包括解析器，提供所述解析器以便接收网络流以 及从此网络流提取流识别信息。所述解析器可被编程为从所述网络流提取 流识别信息的任意期望组合。所述流识别信息例如可包含在网络流的分组 标头的字段中。作为实例，所述解析器可被编程为提取与特定协议标准相 关的对应标头字段。所述流识别信息可包括例如源和目的IP地址、源和目 的端口以及所分析的网络流的IP协议。

通过流测量单元测量由所述流识别信息识别的网络流。所述流识别信 息的测量例如可包括各个网络流的开始和结束时间的时间戳、在各个网络 流中观察的字节和分组的数目以及所观察的网络流的各种其他特性。

通过可编程控制器并行控制所述流测量单元和所述解析器。所述可编 程控制器可被单独编程，以用于各个应用环境、网络流所使用的协议标准 (例如NetFlow v5、v7、v9、IPFIX)、要支持的网络流的数目或各个网 络的速度。因此，所述解析器和所述流测量单元是通用单元。通过所述可 编程控制器来确定这些通用单元的特定功能。

根据本发明的此方面的实施例，提供了所述流测量单元以便向所述可 编程控制器发送流状态信息，以及提供所述可编程控制器以便根据所述流 状态信息向所述流测量单元发送流测量指令。

在所述流测量单元和所述可编程控制器之间的这种控制环路便于有 效、快速和灵活的流测量过程和处理。

根据本发明的此方面的另一实施例，提供所述解析器以便向所述可编 程控制器发送解析信息，以及提供所述可编程控制器以便根据所述解析信 息向所述解析器发送解析指令。

在所述解析器和所述可编程控制器之间的这种控制环路便于有效、快 速和灵活的解析过程和处理。

根据本发明的此方面的另一实施例，提供所述可编程控制器以便：

并行评估所述流测量单元的两个或更多个流状态信息值；

向所述流测量单元并行发送两个或更多个流测量指令。

这种并行处理结构进一步便于有效、快速和灵活的流测量过程和处理。

根据本发明的此方面的另一实施例，所述可编程控制器包括程序存储 器，其包含两个或更多个流测量程序。

例如，可针对网络分析协议的不同版本、不同应用环境、要支持的流 的不同数目和网络的不同速度对两个或更多个流测量程序编程。