技术领域
[0001] 本
发明的
实施例总体涉及网络流量监测、分析和/或报告。更具体而言，一些实施例指向例如用于被网络监测系统监测的物理节点的节点去重的方法、系统和
计算机程序。
背景技术
[0002] 网络管理包括与联网系统的操作、管理、维护和/或供应相关的活动、方法、程序和工具。可作为网络管理的一部分被执行的功能例如可以包括规划、控制、部署、分配、协调和监测网络的资源。进一步的功能可以与网络规划、
频率分配、负载均衡、配置管理、故障管理、安全管理、性能管理、带宽管理、路由分析和计费管理相关。
[0003] 如以上提及的，网络管理的子集包括网络流量的网络监测。网络管理员对网络流量数据感兴趣是出于若干原因，包括分析新应用对网络的影响、故障诊断网络痛点、检测缓慢或故障的网络设备、检测带宽的重度用户和防护网络。网络交通流数据的多种协议已经被开发。这些协议可以包括多种类型的信息，例如源互联网协议(IP)地址、目的地IP地址、源端口、目的地端口、IP协议、进入
接口、服务的IP类型、开始和结束时间、字节数和下一跳(hop)。
[0004] 随着网络变得更大和更加复杂，监测、分析和报告交通流数据的系统在处置日益增加的网络设备数量和关于网络流量生成的信息量方面必须变得更加高效。
发明内容
[0005] 某些实施例指向用于节点去重的方法、装置和计算机程序产品。一种方法包括由网络监测装置发现网络中的节点。该方法可以进一步包括针对在网络中所发现的节点中的每个节点来收集互联网协议(IP)地址、媒体
访问控制(MAC)地址、域名系统(DNS)名称以及系统名称(sysname)的列表，将发现的节点中的每个节点的IP地址与当前节点和其他发现的节点的IP地址进行比较，将发现的节点中的每个节点的MAC地址与当前节点和其他发现的节点的MAC地址进行比较，将发现的节点中的每个节点的DNS名称与当前节点和其他发现的节点的DNS名称进行比较，将发现的节点中的每个节点的系统名称与当前节点和其他发现的节点的系统名称进行比较，以及基于对IP地址、MAC地址、DNS名称和系统名称的比较来确定重复其他发现的节点和/或当前节点的重复节点。
附图说明
[0006] 为了恰当地理解本发明，应当参考附图，其中：
[0007] 图1图示了根据一个实施例的系统的
框图；
[0008] 图2图示了根据一个实施例的系统的框图；
[0009] 图3图示了根据一个实施例的方法的
流程图；
[0010] 图4图示了根据另一实施例的方法的流程图；
[0011] 图5图示了根据实施例的装置的框图；以及
[0012] 图6图示了根据另一实施例的方法的流程图。
具体实施方式
[0013] 将容易理解，本发明的组件，如一般性地进行描述和在附图中所图示的，可以以多种配置被布置和设计。因此，以下对用于节点去重的系统、方法、装置和计算机程序产品的实施例的详细描述，如附图中所表示的，并不旨在于限制本发明的范围，而仅代表本发明的选择的实施例。
[0014] 本
说明书通篇所述的本发明的特性、结构或特征可以以任何适当的方式被结合在一个或多个实施例中。例如，词组“某些实施例”、“一些实施例”等的使用，在本说明书通篇指代这一事实，即关于实施例所述的特定的特征、结构或特性可以被包括在本发明的至少一个实施例中。因此，词组“在某些实施例中”、“在一些实施例中”、“在其他实施例中”或其他类似语言的出现，本说明书通篇不一定全部指代同一组实施例，并且所述的特征、结构或特性可以以任何适当的方式被结合在一个或多个实施例中。此外，如果需要，以下讨论的不同功能可以按不同的顺序和/或彼此同时被执行。此外，如果需要，所述功能中的一个或多个功能可以是可选的或者可以组合。就此而言，以下描述应当被认为仅是对本发明的原理、教导和实施例的说明，而并不在于对其进行限制。
[0015] 应当注意，本说明书通篇，术语——网络设备和网络节点，或仅设备或节点，可以可互换地使用用于指代能够在互联网上连接和/或进行通信的任何物理设备。这些设备或节点的示例可以包括，但不限于，路由器、交换机、
服务器、计算机、膝上型计算机、
平板电脑、电话、
打印机、移动设备以及任何其他能够通过通信信道发送、接收或转发信息的目前或将来的组件。
[0016] 图1图示了根据一个实施例的系统的示例。该系统包括网络监测系统100、网络监测系统存储110、交换机设备130和一个或多个网络设备120。网络监测系统存储110能够存储网络监测数据。网络监测系统存储110可以是
数据库或任何其他合适的存储设备。网络设备120可以是被网络流量监测器100监测的网络中的节点。应当注意到，在该系统中任意数目和类型的网络设备120可以受到支持。因此，实施例并不限于图1中所示的网络设备的数目和类型。在实施例中，网络监测系统存储110可以存储发现结果数据库表，该数据库表存储和组织关于在网络中发现的网络设备的信息。
[0017] 在一些情况下，网络设备能够在多个互联网协议(IP)地址上可接入。例如，一些设备可以同时具有多于一个IP地址。另外，一些节点是动态的因为它们具有随时间变化的IP地址。这种动态IP地址对去重逻辑带来问题，因为它可能将来自发现结果的过期的主IP地址与动态节点的当前IP地址相匹配。
[0018] 目前，系统通常在一个IP地址等于一个网络节点处应用逻辑。作为结果，具有多个IP地址绑定的节点可能不被识别为单个节点。这一行为可以导致其中一个物理设备被监测多于一次的状态，该状态在网络监测系统中可以明显地导致额外的开销和低效。
[0019] 因此，用户通常希望使在多个IP地址上响应的设备在网络中作为单个节点而被监测。本发明的实施例实现了能够检测这种情况并避免对同一物理节点处理多次(例如每次使用不同的IP地址)的自动网络发现。一个实施例包括被配置为自动识别重复节点从而单个节点不被监测多次的去重逻辑。
[0020] 某些实施例标识一条或多条信息，其用作唯一标识网络节点所需的节点标识符。有了这一唯一节点标识符，某些实施例能够继续定义逻辑，该逻辑检测在发现过程期间找到的节点(例如不同IP地址下的相同物理网络节点)和/或在不同IP地址下已经正在被监测的节点中的重复。
[0021] 根据某些实施例，被用于唯一标识节点的信息包括可以容易地被轮询的信息，对于大多数设备(即，供应商独立的)可用，对于互联网控制消息协议(ICMP)节点及其他类型节点(例如，ICMP节点可以被认为是通过SNMP或WMI不可达到的节点)可用，并且是在高效的同时仍然能够提供准确结果的最小信息集合。
[0022] 某些实施例能够处理至少两种典型的
用例。例如，一个用例可以包括在子网络上运行自动网络发现，该子网络包括在多个IP地址上可访问的设备。众所周知，属于一个子网络的设备被它们IP地址中共同的、相同、最高有效位组定址。另一个用例可以包括在已经正在被监测的子网上运行自动网络发现。
[0023] 某些实施例能够标识作为网络重复的网络节点，即使一组信息在不同于另一组信息的时
帧内被收集。例如，当用户决定导入用于定期的发现简档的发现结果时，这种情况可能发生。在这种情况下，一些实施例可能需要使用在发现期间收集的可能过期的信息并且将它与针对所有监测的节点正在被持续收集的新信息作对比。因此，根据某些实施例的去重可以发生在发现工作期间，其中发现的节点被相互比较以使得重复被去除，和/或可以发生在发现结果导入期间，其中发现的节点被导入并且与现有节点相比较以使得重复节点被标识出并去除。
[0024] 根据一个实施例，由针对每个网络节点的DNS名称、系统名称、IP地址和MAC地址组成的数据收集组被用来帮助标识重复节点。一个实施例包括对来自信息收集组的多条信息进行互相比较(例如DNS与DNS、MACs与MACs等)的逻辑。逻辑可以在重复检测器组件中被实现。来自检测的结果是匹配索引，该匹配索引指示是否存在匹配、无匹配或未知。某些实施例也提供用于聚合来自检测器的部分结果并计算对于节点是否是重复的最终结论的逻辑。例如，在实施例中，节点去重可以包括若干子
迭代，每个子迭代负责发现
选定的IP范围。在每个迭代结束时，去重被执行以在节点(例如端点)被认为是重复节点时就立即省略该节点。在对于一个迭代的未知或非重复的结果的情况下，该节点被传递到下一个步骤或迭代以用于处理。
[0025] 在实施例中，可以提供两组重复检测器。一组检测器可以在自动发现过程期间被使用以滤除新发现的设备并去除重复节点。另一组检测器可以在发现结果导入期间被使用以避免将重复节点添加到被监测的节点组中。
[0026] 在一个实施例中，系统被配置为针对所有所发现的节点收集所有的DNS名称、系统名称、IP地址和MAC地址的列表，并存储它们，例如作为发现工作结果的一部分。这一信息可以被存储在网络系统监测存储或数据库110中。如以上提及的，该信息可以在发现的至少两个阶段期间被使用。例如，DNS名称、系统名称、IP地址和MAC地址可以在运行发现以检查当前发现的节点是否重复任何其他已找到的节点时被使用，和/或在发现结果导入期间它们可以被使用以将发现结果和被系统监测的现有节点进行比较。在一个实施例中，MAC信息被存储到一个永久性存储例如作为发现结果的一部分。
[0027] 图2图示了根据一个实施例的系统200，该系统可以包括IP地址重复检测器201、DNS重复检测器203、MAC地址重复检测器202和系统名称重复检测器204。在实施例中，数据库210可以与IP地址重复检测器201、DNS重复检测器203、MAC地址重复检测器202和系统名称重复检测器204进行通信从而所述检测器中的每个检测器能够收集存储在数据库210中的相关地址。在实施例中，数据库210可以被存储在如图1所示的网络流量数据存储110中。应当注意到，系统200可以完全以
硬件实现，或者以硬件和
软件的组合实现。
[0028] 重复检测器201、202、203、204中的每个重复检测器可以具有经定义的执行顺序的优先级(priority)(例如，更低的数字指示更早的执行)、指示由重复检测器提供的结果的可靠性的权重(例如，权重0将对最终结果没有影响)、以及被用作最高优先级以确定节点是否是重复的否决权。
[0029] DNS重复检测器203可以被配置为将发现的节点的DNS与所有其他发现的节点和正在被监测的当前节点进行比较。在实施例中，DNS重复检测器203可以做出结论，即如果发现的节点的DNS和被任意监测的节点或任意其他发现的节点使用的DNS相同，则该节点为重复节点。
[0030] MAC地址通常被设计为唯一的(尽管存在相同MAC地址被用在两个不同设备上的情况，例如克隆的
虚拟机主控在两个分离的虚拟主机中)。MAC地址重复检测器202可以被配置为将发现的节点的MAC地址和所有之前收集的节点的MAC地址相比较，所有之前收集的节点的MAC地址可以被存储在数据库210的节点MAC地址数据库表中。MAC地址重复检测器202可以被配置为做出结论，即如果一组发现的MAC地址是针对节点的当前监测的MAC地址的子集或者如果一组监测的MAC地址是发现的MAC地址的子集，则该节点为重复节点。
[0031] 下表1示出了其中根据MAC地址重复检测器202节点被视为是相等的示例，其中A、B、C…代表MAC地址。同时，下表2示出了其中(例如，基于MAC地址)节点不被视为是相等的示例。
[0032]节点A 节点B 节点C 节点D
A A A A
B B B B
C C C
D
[0033] 表1
[0034]节点A 节点B 节点C 节点D
A A D A
B B E D
C D F
[0035] 表2
[0036] 两个都具有恰好两个MAC地址的节点，例如0000000000000000和00000000000000E0应当被认为是相等的。例如，当且仅当节点A的MAC地址列表是节点B的MAC地址列表的子集或节点B的MAC列表是节点A的MAC列表的子集时，节点A和节点B是相等的。在这种情况下，系统可以依靠不同的重复检测器或不同的去重方法(例如，系统名称匹配)，因为根据MAC地址两节点是相等的。
[0037] 系统名称重复检测器204可以被配置为将发现的节点的系统名称和所有其他发现的节点以及正在被监测的当前节点进行比较。在实施例中，系统名称重复检测器204可以做出结论，即如果发现的节点的系统名称和被任意监测的节点或任意其他发现的节点使用的系统名称相同，则该节点为重复节点。在实施例中，系统名称例如可以是用于简单网络管理协议(SNMP)节点的系统名称或者可以是窗口管理规范(WMI)节点的完整计算机名称。应当注意到，实施例将数据源限于SNMP和/或WMI，并且根据某些实施例(例如，通过SSH在路由器/交换机或远程登录上的CLI)其他类型的数据源同样适用。
[0038] 如以上提及的，每个重复检测器可以从设置数据库表单加载关联的权重。权重代表由相关联的重复检测器提供的结果的可靠性。设置权重为-1以停用相关联的重复检测器是可能的。根据实施例，权重值可以在从0到100的范围上，其中0代表最不可靠而100代表最可靠。
[0039] 如以上所讨论的，所有重复检测器(d1,…,dn)可以按照优先级所定义的顺序被顺序执行。每个重复检测器可以设置‘IsAuthoritative(是权威的)’标记为真，这可以随后终止后面的重复检测器的执行。在这种情况下，通过‘IsAuthoritative’标记被设为真而对重复检测器的投票被认为是最终的，忽略所有其他投票。根据一个实施例，如果没有‘IsAuthoritative’标记被设为真，关于节点是否为重复节点的最终结果被计算为所有重复检测器投票结果值的总和，如下：
[0040] 最终决定＝
[0041] d1.IsDuplicate()*d1.Priority+…+dn.IsDuplicate()*dn.Priority,[0042] 其中d1指第一重复检测器，d2指第二重复检测器，…以及dn指第n个重复检测器。因此，dn.IsDuplicate()是代表第n个重复检测器关于节点是否为重复节点的结论的函数。
[0043] 如下表3中所示，每个重复检测器可以针对所有它找到的重复节点返回节点ID的列表。每个节点ID可以分配有相关联的匹配指数(MatchIndex)，其指示匹配的可能性。在实施例中，匹配指数值的范围从0到100，其中0表示匹配的最小可能性而100表示匹配的最大可能性。根据实施例，系统200可以被配置为通过节点ID对表3中所述的重复节点信息进行分组，并对同一节点ID的匹配指数进行求和。然后，系统200可以被配置为选择具有最高合计的总匹配指数的节点ID以便丢弃。
[0044]重复检测器 重复节点ID 匹配指数
Dns 5 90
Mac 1 60
Mac 5 80
系统名称 5 85
最终决定： 5 90
[0045] 表3
[0046] 下表4示出根据一个实施例的示例结果表。在该示例中，表的每一行可以代表一个节点。‘DnsDuplicateDetector’列展示了DNS重复检测器关于节点是否为重复节点的结论。类似地，‘MacAddressDuplicateDetector’列展示了MAC地址重复检测器关于节点是否为重复节点的结论，以及‘NameDuplicateDetector’列展示了系统名称重复检测器关于节点是否为重复节点的结论。随后，最终的‘ExpectedResult’列展示了对于节点的期望的结果。
[0047]
[0048]
[0049] 表4
[0050] 图3图示了根据一个实施例的节点去重的方法的流程图。在图3的示例中，在300，发现一个或多个节点。在310，发现节点的相关联的IP地址。在320，检测用于获得设备信息的支持的技术，诸如SNMP、WMI等。在330，经由(检测到的)支持的技术获得关于节点的信息。在340，执行发现的节点的去重。在350，确定节点是否为重复的。如果是，则在360，从发现的结果组中省略重复的节点。如果节点不是重复节点，则在370，将发现的节点保存到数据库。
在380，准备与发现的节点相关联的数据以用于发现导入。
[0051] 图4图示了根据另一个实施例的用于节点去重的方法的流程图。在图4的示例中，在400，保存发现工作的结果。在405，从数据库加载并反序列化发现结果。在410，重复的检测主要通过与节点相关联的主IP地址来完成。在415，检测具有相同IP的节点是否已经被任何引擎监测。如果具有相同IP的节点已经被监测，则在420，更新现有的节点信息。如果具有相同IP的节点没有已经被监测，则在425执行针对忽略的节点的去重检测。在430，确定节点是否为重复的。如果是，则在435，记录该状况并且丢弃重复节点。如果不被确定为重复节点，则在440针对所有监测的节点执行重复检查。在445，确定节点是否为重复节点。如果被确定为重复节点，则在450记录该情况并且丢弃重复节点。如果不被确定为重复节点，则在455将节点信息保存到永久性存储。在460，发现导入的结果是节点连同相关联的IP地址及MAC地址的列表。
[0052] 图5图示了可以实现本发明的一个实施例的装置10的框图。装置10可以包括总线12或者用于在装置10的组件之间传达信息的其他通信机构。装置10还包括处理器22，其耦合至总线12，用于处理信息和执行指令或操作。处理器22可以任意类型的通用或专用处理器。装置10进一步包括
存储器14以用于存储信息和以供处理器22执行的指令。存储器14可以由随机访问存储器(“RAM”)、
只读存储器(“ROM”)、静态存储(例如磁盘或光盘)、或任意其他类型的机器或计算机可读介质的任意组合构成。装置10进一步包括通信设备20，诸如网络接口卡或其他
通信接口，以提供对网络的访问。作为结果，用户可以通过网络或任何其他方法直接地或远程地与装置10对接。
[0053] 计算机可读介质可以是能够被处理器22访问的任何可用的介质并且包括易失和非易失性介质、可擦除和不可擦除介质以及通信介质。通信介质可以包括计算机可读指令、数据结构、程序模
块或其他在诸如载波或其他传送机制之类的调制数据
信号中的数据并且包括任何信息传递介质。
[0054] 处理器22经由总线12被进一步耦合至呈现设备24，该呈现设备24诸如显示器、监视器、屏幕或网页浏览器以用于向用户显示信息，例如网络流量信息。用户输入组件25，例如
键盘，计算机
鼠标或网页浏览器，被进一步耦合至总线12以使得用户可以与装置10对接。处理器22和存储器14还可以经由总线12被耦合至数据库系统30，从而可以能够访问和获取存储在数据库系统30中的信息。在一个实施例中，数据库系统30是图1所示的网络监测系统存储110。虽然仅在图5中示出单个数据库，但是可以根据某些实施例使用任意数目的数据库。
[0055] 在一个实施例中，存储器14存储当被处理器22执行时提供功能的
软件模块。所述模块可以包括为装置10提供
操作系统功能的操作系统15。如以上所讨论的，存储器还可以存储支持节点去重功能的一个或多个重复检测器16。该一个或多个重复检测器16例如可以包括IP地址重复检测器201、DNS重复检测器203、MAC地址重复检测器202和系统名称重复检测器204，如以上讨论而在图2中描绘的。装置10还可以包括一个或多个其他功能模块18以提供额外的功能。
[0056] 数据库系统30可以包括数据库服务器和任意类型的数据库，例如关系数据库或平面文件数据库。数据库系统30可以存储有关网络中每个实体的网络交通流的数据，和/或与装置10或它相关联的模块和组件相关联的任何数据。
[0057] 在某些实施例中，处理器22，重复检测器16和其他功能模块18可以作为分离的物理和逻辑单元被实现或可以在单个物理和逻辑单元中被实现。此外，在一些实施例中，处理器22、重复检测器16和其他功能模块18可以被实现在硬件中，或被实现为硬件和软件的任意适当的组合。
[0058] 在一些实施例中，处理器22被配置为控制装置10来发现网络中的节点。根据实施例，标识发现的节点的信息例如可以被存储在数据库110中。处理器22可以被配置为控制装置10来针对在网络中发现的节点中的每个节点来收集IP地址、MAC地址、DNS名称和系统名称的列表。
[0059] 根据一个实施例，处理器22可以被配置为控制装置10来执行被配置为将所发现的节点中的每个节点的IP地址与当前节点和其他发现的节点的IP地址进行比较的IP重复检测器、被配置为将所发现的节点中的每个节点的MAC地址与当前节点和其他发现的节点的MAC地址进行比较的MAC重复检测器、被配置为将所发现的节点中的每个节点的DNS名称与当前节点和其他发现的节点的DNS名称进行比较的DNS重复检测器，以及被配置为将所发现的节点中的每个节点的系统名称与当前节点和其他发现的节点的系统名称进行比较的名称重复检测器。处理器22可以然后被配置为基于IP重复检测器、MAC重复检测器、DNS重复检测器和名称重复检测器的比较来确定重复其他发现的节点和/或当前节点的重复节点。
[0060] 在实施例中，处理器22可以被配置为控制装置10来丢弃重复节点。根据一个实施例，处理器22可以被配置为控制装置10来向IP重复检测器、MAC重复检测器、DNS重复检测器和名称重复检测器中的每个重复检测器分配确定运行顺序的优先级。装置10可以被控制用于例如通过执行如下公式确定重复节点：
[0061] d1.IsDuplicate()*d1.Priority+…+dn.IsDuplicate()*dn.Priority。
[0062] 在实施例中，所发现的节点中的每个节点可以被分配有节点ID。处理器22可以被配置为控制装置10来向每个节点ID分配匹配指数，其中匹配指数指示所发现的节点和当前节点和其他发现的节点中的任何节点之间匹配的可能性。根据一个实施例，处理器22可以被配置为控制10来通过节点ID对重复节点进行分组，并针对相同节点ID对匹配指数进行求和。此外，向IP重复检测器、MAC重复检测器、DNS重复检测器和名称重复检测器中的每个重复检测器分配权重。该权重指示由相应的重复检测器提供的结果的可靠性。
[0063] 图6图示了根据一个实施例的方法的示例流程图。该方法包括，在600，例如由网络监测装置发现网络中的节点。该方法然后可以包括，在610，针对在网络中所发现的节点中的每个节点来收集互联网协议(IP)地址、媒体访问控制(MAC)地址、域名系统(DNS)名称以及系统名称的列表。在620，该方法包括将所发现的节点中的每个节点的IP地址与当前节点和其他发现的节点的IP地址进行比较。在630，该方法包括将所发现的节点中的每个节点的MAC地址与当前节点和其他发现的节点的MAC地址进行比较。在640，该方法包括将所发现的节点中的每个节点的DNS名称与当前节点和其他发现的节点的DNS名称进行比较。在650，该方法包括将所发现的节点中的每个节点的系统名称与当前节点和其他发现的节点的系统名称进行比较。该方法可以进一步包括，在660，基于IP地址、MAC地址、DNS名称和系统名称的比较来确定重复其他发现的节点和/或当前节点的重复节点。
[0064] 在一些实施例中，本文所述的任何方法的功能，例如图3、4和6中的功能，可以通过存储在存储器或其他计算机可读介质或有形介质中的软件和/或计算机程序代码被实现，并被处理器执行。在其他实施例中，所述功能可以通过硬件执行，例如通过使用专用集成
电路(ASIC)、可编程
门阵列(PGA)、
现场可编程门阵列(FPGA)或硬件和软件的任意其他组合来执行。
[0065] 本领域技术人员将容易地理解到以上所讨论的本发明可以通过不同顺序的步骤，并且/或者使用不同于所公开的配置的硬件元件来实践。因此，虽然本发明已经基于这些优选实施例被描述，但是对于本领域技术人员而言是明显的是某些
修改、变化和可替代的构建是明显的，而其保持在本发明的精神和范围内。为了确定本发明的边界和界限，因而应当参考所附
权利要求。
