专利名称：展现访问业务流量分布的方法
技术领域：
本发明涉及一种展现访问业务流量分布的方法，特别适用于展现客户端访问某业 务所产生的流量。
背景技术：
从上世纪90年代中期到本世纪初，各国企业尤其是中国沿海发达地区的大中型 企业，已基本完成了 IT信息化的基础平台建设。以前信息系统运维人员关注的重心是保障 网络设备的运转，现在的重心是保障业务应用的正常运行。现有计算机网管软件所生成的真实物理拓扑图上(该图网上可查到)，能够在线 路上实时展现线路的流量，包括上行流量、下行流量、广播包流量等各种信息。在这个物理 拓扑图上可以实时展现网络设备以及主机的连接方式，在线路上可以显示真实的网络流量值。现有技术对于线路上流量的计算方法是(1)采用网管协议(SNMP)从网络设备上读取数据进行分析；(2)通过计算确定设备DA与设备DB之间存在的物理线路L ；(3)通过计算确定线路所连接的端口 如设备DA上的端口 PA和设备DB上的端口 PB ；(4)定时读取设备DA端口 PA的流入字节数和流出字节数，通过计算即可以得到线 路L的上行、下行流量；(5)还可以定时读取设备DA端口 PA的其它信息如广播包字节数、丢包率等信 息，通过计算即可以得到线路L的广播包流量等信息。通过上述的方法，可以得到线路上的流量值。但不能细分线路上具体的流量内容， 存在问题是1)线路L上的流量都是谁发起的访问，访问谁(源IP是什么，目的IP是什么)？2)线路L上是些什么应用造成的流量(如目的IP协议端口是什么？是110-P0P3 邮件、或是80-WEB网页访问、或是21-FTP访问？)？在用户越来越关心业务运行状况的背景下，用户期望也越来越高，花了大价钱建 设了各种应用服务，但有很多情况根本不了解。如1.这些业务到底有没有人来访问？有多少人来访问？2.这些访问人分布在网络的什么地方？3.访问这些业务所造成的网络流量有多大？分布情况怎么样(各条线路上业务 流量各是多少)？4.每天网络上流量负载很高，但其中有多少是正常业务所产生的流量呢？这些问题使用上述通过SNMP采数计算线路流量的方法是无法解决的。总之，企业花巨资建设了多种业务应用系统，但有多少人访问这些应用系统，对于 管理人员来说是个黑盒子。虽然有些应用系统提供了监控工具，但这些监控工具都是专用的，不统一，使用起来非常麻烦。另外业务管理人员迫切需要了解某项核心业务在流经网络的时候所产生的流 量——业务流量。在传统的网络物理拓扑图上，无法从网络流量中“剥离”出某指定业务流 量，也无法了解访问指定业务的用户数量和分布情况，更无法实时了解在该业务流量分布 的关键路径上各核心设备的健康运行状况。
发明内容
本发明的目的是在网管软件物理拓扑图的线路上，将业务流量从简单的线路数据 流量中剥离出来单独分析，显示某业务或某些业务的流量值。帮助用户(各应用服务器) 了解访问业务的情况，以及访问业务所造成的网络流量分布情况。本发明为了达到上述的目的，所采取的技术方案是提供一种展现访问业务流量 分布的方法，包括的步骤有(1)以网管软件的物理拓扑图为基础，在物理拓扑图上显示有核心网路交换机，分 别与核心网路交换机相连接的的网管服务器、各应用服务器以及局域网；(2)采用数据流分析器监听各应用服务器的网络流量信息，统计访问各应用服务 器的流量数据包，并将统计结果通过核心网路交换机发送给网管服务器；(3)网管服务器通过访问客户端与核心网路交换机所连接的设备和所连接的端 口，定位访问客户端与所述各应用服务器之间在所述应用服务器的物理拓扑图上的相对位 置以及访问客户端访问指定应用服务器的路径；(4)网管服务器将接收上述数据流分析器所发送的流量数据包记录在对应的上述 定位的访问客户端与各应用服务器之间在物理拓扑图上的线路上，并对同一条线路上所访 问相同业务的流量数据包进行叠加，突显出访问客户端在线路上所访问业务的流量。本发明展现访问业务流量分布的方法效果显著。 如上述本发明的方法，因为本发明采用了数据流分析器对网络流量数据包进行 监听，能够将访问指定业务的数据包分离出来，单独进行统计，并采用网络访问路径寻找方 法，找出各个访问客户端访问所要了解的(或指定的)业务所经过的网络线路，并在线路上 进行记录(标注)这些流量。 如上述本发明的方法，因为通过各访问客户端与核心网路交换机所连接的设备 和所连接的端口，定位了访问客户端在网络(物理拓扑图)上的位置以及确定了访问客户 端与各应用服务器之间在上述物理拓扑图上的线路。所以在物理拓扑图上某一业务流量的 分布中，支持从网络流量中剥离出某特定业务的实时业务流量。可以清晰展现访问客户端 访问应用服务器(如营销系统)所造成的网络流量信息，以及展现访问各应用服务器(如 营销系统)的访问客户端(或用户)所在的位置。使访问客户端(如业务用户)的分布， 在各网络节点对业务的流动的影响“一目了然”。 如上述本发明的方法，因为了解了访问客户端在网络上的位置，了解了访问客 户端访问指定业务所经过网络线路的流量信息。所以可以轻松地分析业务的应用情况。并 且，在故障情况下为快速恢复业务的正常运行也建立了快速的分析机制。
图1是本发明方法所采用的网路物理拓扑图一实施例的示意图；图2是一应用服务器(营销系统)所采用的物理拓扑图一实施例的示意图；图3是图2应用本发明的方法后显示访问客户端的分布以及所访问线路上的流量 示意图；图4是确定访问客户端至指定应用服务器路径的方法流程图。
具体实施例方式本发明方法的步骤有步骤(1)以网管软件的物理拓扑图为基础。在本实施例中，采用如图1所示的物 理拓扑图。在图1的物理拓扑图上显示有核心网路交换机2，分别与核心网路交换机2相连 接的的网管服务器1、各应用服务器3以及局域网5。企业一般是将多个应用服务器(其中 包括营销系统服务器)连接在核心网络交换机上，这样可以提高用户的访问速度。在本实 施例中，如图1所示，各应用服务器3中包括营销系统、邮件(Mail)系统、文件(TFS)系统 以及电子商务(进出口)系统等应用服务器。步骤(2)采用数据流分析器4监听各应用服务器3的网络流量信息，统计访问各 应用服务器3的流量数据包，并将统计结果通过核心网路交换机2发送给网管服务器1。如 图1所示，数据流分析器4分别与核心网路交换机2和局域网5相连接。在本实施例中，所 采用的数据流分析器4内至少置放两块网卡，其中一块网卡与各应用服务器3—同连接在 同一个核心网路交换机2上，另一块网卡与局域网5相连接。在本实施例中，在数据流分析 器4上配置二块非光纤网卡。一块网卡用于监听网络流量数据包，与企业中所需要分析的 各应用服务器3连接在同一个核心网络交换机2上；另一块网卡用于正常网络通信，与局域 网5(如企业局域网)相连接。在各应用服务器3中假设营销系统所连核心网络交换机2的物理端口为01 ；邮件 系统所连核心网络交换机2的物理端口为02 ；文件系统所连核心网络交换机2的物理端口 为03 ；电子商务系统所连核心网络交换机2的物理端口为04 ；而数据流分析器4用于监听 网络流量数据包的网卡连接在同一个核心网络交换机2的物理端口为20。在核心网络交换机2上进行物理端口镜像设置操作(可网管的网络交换机都具有 该功能)，将物理端口 01、02、03、04的流量都镜像到物理端口 20上。这样流经物理端口 01、 02,03,04的网络流量数据包将会自动复制一份发送到物理端口 20上。所述数据流分析器4所能实现的功能为1、由于用于监听网络流量数据包的网卡连接在核心网络交换机2的物理端口 20 上，这样它就可以捕获所有流经核心网络交换机2物理端口 01、02、03、04等的流量数据包， 也就是说能够捕获所有访问这些应用服务器的流量数据包。因此，所述数据流分析器4能 够监听到所有访问这些应用服务器的流量数据包。2、所述数据流分析器解析数据包，提取数据包头的信息，包括以太帧类型ARP、IP......；IP 协议类型TCP、UDP、ICMP......；源IP地址、目的IP地址；
5
源IP协议端口、目的IP协议端口 ；数据帧长度。3、因为各应用服务器所提供的服务一般都是通过指定的TCP或UDP端口对外提供 服务。因此所述数据流分析器可以根据IP地址和TCP或UDP端口号来区分各个不同应用 服务器的应用。4、数据流分析器根据各应用服务器的IP地址和端口号(TCP或UDP)，分别统计访 问这些应用服务器的访问客户端的IP地址和这些访问客户端所产生的流量。所形成的统 计结果样式如下所示a)例如，访问营销系统的信息，访问客户端IP-11，访问营销系统的流量为80kbit/s访问客户端IP-12，访问营销系统的流量为50kbit/s访问客户端IP-13，访问营销系统的流量为70kbit/sb)访问其它应用服务器的形式均如上所述形式。5、数据流分析器通过用于正常通信的网卡定时将统计结果发送给网管服务器。如 图1所示，各企业(如管理人员)可通过局域网5与数据流分析器4通信监听6 (查询或监 听)访问客户端访问业务的路线、流量以及访问客户端的位置等信息。步骤⑶网管服务器通过访问客户端与核心网路交换机所连接的设备和所连接的端 口，定位访问客户端与所述各应用服务器之间在所述应用服务器的物理拓扑图上的相对位置以 及访问客户端访问指定应用服务器的路径。在本实施例中，所述应用服务器的物理拓扑图是由上 海北塔软件股份有限公司提供的BTNM3. 6网管软件(以下简称网管软件)中的物理拓扑图(图2 所示)。在该物理拓扑图上显示了网络设备的分布，以及这些网络设备之间的物理线路的连接关 系。如图2所示，所述应用服务器以营销系统21为例，通过网路交换机25依次连接地方路由器 24、总路由器23和分路由器22。如图2所示，所述网路交换机25包括各地区的交换机，如A楼2F 交换机、A楼3F交换机、A楼4F交换机、A楼5F交换机等；所述地方路由器24包括办公楼A路由 器、办公楼B路由器等；所述总路由器23可以是集团总部网络出口或是总公司网络出口等；所述 分路由器22包括西南分公司、华南分公司、华北分公司、东北分公司等路由器。如上所述，本发明采用数据流分析器监听各应用服务器的网络流量信息，定时统 计网络上访问指定应用服务器的流量数据包，根据访问客户端的IP地址和所造成的网络 流量进行统计，并将统计结果通过核心网路交换机发送到网管服务器进行分析。网管服务器利用网管软件现有的(如上海北塔软件股份有限公司提供的)IP地址 簿(表1所示)的功能确定各个访问客户端所连接的设备和所连接的端口。因此，根据IP 地址簿可以明确定位访问客户端的IP信息，即连节在网络交换机的哪个端口上。网管服务器通过网络访问路径寻找访问客户端访问指定应用服务器时在物理拓 扑图上所经过的线路。网络访问路径寻找方法的描述a)网管服务器根据网管软件的IP地址簿(表1)确定应用服务器Sl所在应用服 务器的IP地址所连的网络交换机(sw_si)和端口，并在物理拓扑图上以显著图标标识；b)网管服务器开始累计访问客户端IP_11访问指定业务的应用服务器Sl所生成 的线路流量；
c)网管服务器根据网管软件的IP地址簿(表1)功能确定访问客户端IP_11所连 接的网络交换机(端口 SW_C1)，并在物理拓扑图上以显著图标标识(通常以一个小人的图 标表示)，此时还可以确定IP_11的MAC地址MAC_11 ；d)网管服务器下一步确定流量数据包从应用服务器Sl到访问客户端IP_11所经 过的物理线路，具体方法如图4所示的流程；如图4所示，第一步31，确定访问客户端的IP地址为IP_11，访问客户端的MAC地址为MAC_11， 访问客户端所连接的设备(网络交换机)为SW_C1 ；所指定的应用服务器所连接的设备(网 络交换机)为SW_S1 ；其SW_S = Sff_Sl ；第二步32，在SW_S的MAC表(表2)中查找MAC_11出现在SW_S的那个端口，如果 没有找到，说明出现异常，则放弃该访问客户端路径的查找；如果找到了，则进行下一步；第三步33，如果找到了，而且是连接在端口 P上，端口 P所连接的线路为L，则L线 路就是所找到的一条路径，保存到路径列表LList (表3)中；第四步34，L线路所连接的对端设备(网络交换机)为SW_C，即查找访问客户 端所连接的网络交换机SW_C1，如果找到访问客户端所连接的网络交换机，查找完毕，并在 LList列表(表3)中的这条线路上标注访问客户端访问所造成的流量；如果，没找到，则继 续查找下一条线路上的SW_S = SW_C。e)网管服务器根据上述a)，b)，c)，d)的寻找方法可以列出LList表(如表3)， LList表(表3)是访问客户端访问应用服务器的线路路径表。f) 一直重复步骤b，寻找其它访问客户端IP-12，IP_13，.....，访问指定业务的应
用服务器Si所生成的线路流量。表1、IP地址簿 上述表1是网管软件现有的IP地址簿(由上海北塔软件股份有限公司提供)。IP 地址簿置于网管服务器中。表1中，IP为可被网管软件确定位置的机器(如PC机或网络 设备等)，MAC为机器(如PC机或网络设备等)的MAC地址，Vlan为机器(如PC机或网络 设备等)所对应的VLAN号，所连设备为机器(如PC机或网络设备)所连的网络设备(如 路由器或交换机等)，所连端口为所连的网络设备(如路由器或者交换机等)的端口，设备 名称是机器(如PC机或网络设备等)的机器名。表2、MAC地址表 表2为MAC地址表。通常网络交换机的内部会自动维护一张表格，网络交换机的 每个端口都对应一系列MAC地址，当收到网络数据包时，根据数据包目的的MAC地址在各个 端口的MAC表中查找，看看该MAC地址出现在哪个端口的MAC表中，则将数据包通过该端口 转发出去。表2中，端口索引为网络交换机上的端口号，端口描述为网络交换机上的端口的 描述，Vlan为网络交换机所对应的VLAN号，MAC地址为连在网络交换机上的设备的MAC地址。表 3、LList 表..... 上述表3为LList表，是访问客户端访问应用服务器的线路路径表。表3中，线路始末端为应用服务器与访问客户端的唯一标识，路径(Link为线路编号)为应用服务器到 访问客户端所经过的线路的集合。步骤(4)网管服务器将接收上述数据流分析器所发送的流量数据包记录在对应 的上述定位的访问客户端与各应用服务器之间在物理拓扑图上的线路上，并对同一条线 路上所访问相同业务的流量数据包进行叠加，突显出访问客户端在线路上所访问业务的流量。在物理拓扑图上，将重叠线路的流量进行相加，即可将各个访问客户端访问应用 服务器S 1所经过的线路和所造成的流量显示出来。如图2所示的物理拓扑图上，以应用服务器中的营销系统为例，说明展现访问营 销系统的网络流量分布的实现方法是网管服务器接收数据流分析器送过来的“访问应用服务器的流量统计信息”，用上 述步骤(3)的方法分离出访问营销系统的访问客户端和流量信息；网管服务器利用网管软件现有的IP地址簿的功能，确定访问营销系统的各个访 问客户端IP地址的定位信息(连接在哪个交换机的哪个端口上)；网管服务器通过上述网络寻找访问路径，确定各个访问客户端访问指定业务的应 用服务器所经过的网络线路，并在线路上标注这些流量；网管服务器在物理拓扑图上将重叠线路上的流量进行相加，即可将各个访问客户 端访问营销系统所经过的线路和所造成的流量显示出来。在本实施例中，利用图2的物理 拓扑图，以营销系统为例(这是一个简单的展现示例)，展现出来的访问客户端访问营销系 统所经过的线路及所造成的流量如图3所示。图3中的营销系统21到网络交换机25中的 A楼2F交换机之间的流量是200Kbit/s，这是通过数据流分析器从网络上采集得到。因为， 网管服务器已知营销系统的IP地址或者URL端口号，通过分析网络中流量数据包可以知道 有哪些访问客户端(IP)访问了营销系统。所以，网管服务器从数据流分析器那里接收到数 据流，将相同线路上访问营销系统的数据流相加，就在图2所示的物理拓扑图上显示出访 问客户端访问营销系统的线路及访问该线路上的数据流，得到图3。如图3所示，通过A楼 5F交换机有访问营销系统客户端2人。这就表示通过A楼5F交换机访问营销系统的访问 客户端(IP)有2人。同样，如图3所示，访问地方路由器24中的办公楼B路由器的线路上 有访问营销系统的访问客户端1人；在地方路由器24中办公楼A路由器与办公楼B路由器 之间的线路上有访问营销系统的流量是50Kbit/s ；通过A楼2F交换机对于办公楼A路由 器访问的数据流为50Kbit/s分别通过A楼2F交换机与A楼3F交换机、A楼3F交换机与 A楼4F交换机、A楼4F交换机与A楼5F交换机之间的线路上有访问客户端访问的数据流 分别为 150Kb i t/s、150Kb it/s、70Kb it/s。如图3展示的业务流量的分布图中，说明本发明的方法完全支持从网络流量中剥 离出某特定业务的实时业务流量，将其投射到网络物理拓扑图中，可以清晰展现访问客户 端访问营销系统(或其它应用服务器)所造成的网络流量信息，以及访问营销系统(各应 用服务器)的用户(访问客户端)所在位置。使业务用户(访问客户端)的分布，各网络 节点对业务的流动的影响“一目了然”。在此基础上，可以轻松分析业务应用情况，在故障情 况下为快速恢复业务的正常运行建立了快速的分析机制。
9
权利要求
展现访问业务流量分布的方法，包括的步骤有(1)以网管软件的物理拓扑图为基础，在物理拓扑图上显示有核心网路交换机，分别与核心网路交换机相连接的网管服务器、各应用服务器以及局域网；其特征在于包括步骤(2)采用数据流分析器监听各应用服务器的网络流量信息，统计访问各应用服务器的流量数据包，并将统计结果通过核心网路交换机发送给网管服务器；(3)网管服务器通过访问客户端与核心网路交换机所连接的设备和所连接的端口，定位访问客户端与所述各应用服务器之间在所述应用服务器的物理拓扑图上的相对位置以及访问客户端访问指定应用服务器的路径；(4)网管服务器将接收上述数据流分析器所发送的流量数据包记录在对应的上述定位的访问客户端与各应用服务器之间在物理拓扑图上的线路上，并对同一条线路上所访问相同业务的流量数据包进行叠加，突显出访问客户端在线路上所访问业务的流量。
2.根据权利要求1所述的展现访问业务流量分布的方法，其特征在于所述采用的数据 流分析器内至少置放两块网卡，其中一块网卡与各应用服务器一同连接在同一个核心网路 交换机上，另一块网卡与局域网相连接。
全文摘要
展现访问业务流量分布的方法，以网管软件的物理拓扑图为基础，采用数据流分析器监听各应用服务器的网络流量信息，统计访问各应用服务器的流量数据包，通过访问客户端与核心网路交换机所连接的设备和所连接的端口，定位访问客户端与所述各应用服务器之间在所述应用服务器的物理拓扑图上的相对位置以及访问客户端访问指定应用服务器的路径和流量。能够将访问指定业务的数据包分离出来，单独进行统计，可以清晰展现访问客户端访问应用服务器所造成的网络流量信息，以及展现访问各应用服务器的访问客户端所在的位置。
文档编号H04L12/56GK101931559SQ20101027232
公开日2010年12月29日 申请日期2010年9月2日 优先权日2010年9月2日
发明者王俊 申请人:上海北塔软件股份有限公司