API160来执行被发送至网络设备155的命令。例 如，用户应用125可以配置多个网络设备155上的防火墙设置。用户应用125可以向每个 网络设备155发送相同的指令，然后各个API160基于网络设备155的具体固件被转化成 指令。
[0029] 如图所示，用户应用125包括身份嗅探器130、定位搜索器（location finder) 135、和资源管理器140。身份嗅探器130可以被用于基于监测API160提供的数据 来辨认客户的身份（即，客户ID)。本文使用"客户ID"来将一个客户（或共享相同属性的 客户群）与访问SDN使能网络150的其它客户进行区分。例如，通过监测网络设备155中 的网络流，身份嗅探器130可以检测客户访问802.IX无线LAN时使用的某些登录信息。每 当客户使用802.IX登录信息时，身份嗅探器130能够将该登录信息与代表客户的客户ID 关联起来。此外，由API160报告的网络流的类型可以使身份嗅探器130能够推断出客户 ID。例如，身份嗅探器130可以确定特定网络流与高速交易相关联。因此，用户应用125可 以将高速交易网络流与表示股票经纪人的客户ID相关联。
[0030] 定位搜索器135可以被用于确定客户的地理位置。也就是说，当客户ID被指派给 网络流时，定位搜索器135确定生成网络流的客户的当前位置。在一个实施例中，定位搜索 器135可以基于由身份嗅探器130检测到的客户ID来设置事件过滤器。事件过滤器可以 利用SDN使能网络150中的不同网络流基于识别客户ID来检测客户何时改变地理位置。 也就是说，当不同的网络流包含映射到客户ID的识别数据时，定位搜索器135可以追踪客 户。这些流可以包括被提供以认证客户的登录信息、IP地址、MAC地址等。当这些识别数据 在SDN使能网络150上传输时，过滤器可以获取这些信息并且将这些信息传输至定位搜索 器135,定位搜索器135能够基于包含识别数据的网络流识别客户的当前地理位置。定位搜 索器135可以使用API 160来例如，发现网络拓扑并且确定客户当前使用的网络设备155。 定位搜索器135可以将客户的地理位置链接至网络设备155的位置。
[0031] 资源管理器140可以基于客户的地理移动重新分配资源。在一个实施例中，用户 应用125可以是使用API160提供的信息在接近客户的当前位置的存储元件中缓存客户通 常请求的内容的内容分发网络（CDN)。因为在定位搜索器135识别出客户的当前位置时CDN 能够尽快地开始缓存数据，所以资源管理器140甚至能够在客户实际发送对于来自⑶N的 数据的请求之前缓存接近客户的数据。除了缓存数据以外，资源管理器140还可以被配置 为分配其它资源（例如，与客户相关联的存储空间或虚拟资源）。例如，如果客户在旅行时 通常使用虚拟桌面服务来工作，那么资源管理器140可以指示接近客户的桌面服务的服务 器预留用于向客户提供虚拟桌面的资源。这么做可以减小桌面服务和客户之间的延时，并 且可以使资源管理器140能够在不同服务器之间进行负载均衡。
[0032] 在一个实施例中，SDN使能网络150包括网络设备155,其中网络设备155的控制 平面被提取从而使得该控制平面可以由软件应用（例如，用户应用125)控制。网络150可 以只是包括其它SDN使能网络或非SDN使能网络的更大网络（例如，因特网）的一部分。网 络设备155可以是任何类型的网络元件，比如路由器、交换机、桥接器等。网络设备155可 以由不同的供应商销售，并且因此可以使用不同的专用固件来配置控制平面。然而，如上面 所讨论的，每个网络设备155可以包括向用户应用暴露出设备155的各种功能的一个或多 个监测API160。在一个实施例中，用户应用125可以配置监测API160来适应用户应用 125的特定需求。然而，在其它实施例中，API160可能已经被网络管理应用120进行了配 置。然后，用户应用125可以利用预先配置的API160来监测网络设备155的功能，并且向 网络设备155发送指令以重新配置设备155的设置。
[0033] 图2示出了根据一个实施例的通过监测客户的地理移动来分配资源的方法200。 在块205处，身份嗅探器可以基于在SDN使能的网络设备的入端口处过滤数据流量来识别 客户ID。身份嗅探器可以在例如，SDN使能网络中的一个或多个交换机或路由器的入端口 上安装输入过滤器。在一个实施例中，身份嗅探器可以选择性地只在网络中的某些网络设 备（例如，边缘设备）上安装输入过滤器。在一个实施例中，输入过滤器可以使用由网络管 理应用建立的监测API来监测流经入端口的数据。
[0034] 输入过滤器可以评估接收到的分组，以检测使身份嗅探器能够向特定客户ID指 派网络流的信息。例如，身份嗅探器可以配置输入过滤器来查找含有以下各项的分组：IEEE 802.IX认证信息、邮件连接（SMTP、POP、IMAP、或Activesync流量）、VPN连接、DHCP发现 和注册分组、轻量目录访问协议（LDAP)数据库信息等。例如，输入过滤器可以在使用IEEE 802.IX来认证客户的机制的无线路由器上被执行。或者，输入过滤器可以在能够监测VPN 流量并且识别客户的初始IP的边缘设备上。也就是说，尽管在使用VPN时客户的初始IP 地址被隐藏，输入过滤器也能够识别初始IP地址。例如，客户可以身体位于纽约，但是访问 服务器位于加利福尼亚的VPN。当从⑶N请求内容时，⑶N可能错误地将由VPN指派的IP 地址作为初始IP，并且因此在客户实际在纽约时开始在加利福尼亚缓存内容。相反，输入过 滤器可以使用监测API来准确地查明初始IP，从而确定客户的正确客户ID。
[0035] 在另一示例中，LDAP数据库或活动目录可以被查询，以将使用上述技术收集的任 意信息与客户ID相关联。这些资源可以包含列出一组属性（例如，名字、电话号码、邮箱地 址、职位说明等）的条目。身份嗅探器可以使用例如，由输入过滤器取回的邮箱地址或MAC 地址来通过LDAP数据库进行解析，以获得与网络流相关联的客户ID。
[0036] 在一个实施例中，身份嗅探器可以在具有相同的IP地址或使用相同的计算设备 的多个客户之间进行区分。例如，住宅无线路由器可以向所有的出站流量指派相同的IP地 址，即使这些流量源自不同的客户。连接到住宅路由器的网络设备上的输入过滤器可以确 定，来自路由器的网络流量包括多个不同的MAC地址。然后，身份嗅探器可以基于MAC地址 向从路由器流出的网络流量指派两个不同的客户ID。另外，即使两个客户使用相同的设备 (并且因此具有相同的MAC地址），输入过滤器仍然可以在客户访问各自的邮箱账户时使用 诸如SMTP或POP流量的信息来区分客户。
[0037]在一个实施例中，客户ID可以被直接绑定到具体的人类客户。相反，身份嗅探器 可以基于客户的特点来利用输入过滤器向客户ID指派网络流。例如，客户ID可以是组织 内的具体职位或级别。因此，多个客户可以与相同的客户ID相关联。在一个示例中，单个 客户ID可以表示公司里的所有网络管理员。此处，输入过滤器可以使用用户名为"admin" 的802. IX认证消息来识别与"网络管理员"客户ID相关联的网络流。实体内的若干人可 以被集合到该客户ID ;即使如此，用户应用也可以将这些个体与公司内的其它用户区分开 来，并且相应地重新分配资源。在另一示例中，用户应用可以使用相同的客户ID来表示公 司里所有的部门领导。部门领导可以使用独立的、更安全的服务器来托管它们的虚拟桌面 连接。当输入过滤器识别出具有去往该服务器的分组的网络流时，不论是哪个部门领导实 际生成的网络流，身份嗅探器都可以将网络流与客户ID相关联。这样，在不曾明确地分别 识别用户的情况下（例如，基于共享或共同的属性可以将一组客户与其它客户进行区分）， 身份嗅探器可以基于网络流的属性猜出人的身份。
[0038] 身份嗅探器可以维护客户ID的列表。这些ID可以是预先定义的条目（例如，表 示公司中的所有部门领导的客户ID)，或者是基于（例如）通过查询LDAP数据库取回客户 的具体名称找出的身份而添加的条目。此外，身份嗅探器可以存储用于确定客户ID何时能 够与特定的网络流相关联的标准。例如，如果多个客户可以使用相同的设备（并且因此生 成具有相同MAC地址的网络流），那么标准可以规定在含有识别数据的网络流能与具体人 的客户ID相关联之前，网络流必须包括含有用户名称的802.IX认证消息或邮件连接。可 替换地，如果客户ID是针对一群人（例如，家庭）的，则识别MAC地址就足以将特定的网络 流与代表群组的客户ID相关联。
[0039] 有利地是，利用输入过滤器并且监测API来评估接收到的分组使得身份嗅探器能 够访问用户应用不能从非SDN使能网络访问的数据。例如，为了在没有API的情况下监测 入端口上的流量，系统管理员将需要使用多个命令行界面（CLI)命令或者脚本来利用网络 设备的固件取回数据。这种处理可能不得不对网络管理员希望监测的每个网络设备重复进 行。此外，当网络设备上的固件升级时，脚本也必须进行更新。相反，使用API提供的抽象 层，程序员能够生成可以与SDN使能网络中的任意类型的网络设备相兼容的单个输入过滤 器。
[0040] 在块210,定位搜索器可以基于与客户相关联的数据流量来确定客户的拓扑位置 或地理位置（或这两种位置）。在一个实施例中，定位搜索器可以基于身份嗅探器找出的客 户ID来设置应用事件过滤器。一旦身份嗅探器识别出客户ID，其就会触发应用事件过滤器 识别客户的地理或拓扑位置。也