CN104871529B - 网络发现装置 - Google Patents

Abstract

一种网络设备具有分组输入单元、检查单元和发现单元。分组输入单元被配置为接收进入分组。检查单元被配置为确定接收的进入分组的标识特性是否匹配被存储在存储器中的分组流的存储的标识特性，在接收的进入分组的标识特性匹配存储的标识特性时执行网络动作。发现单元被配置为截获从控制平面处理器接收的外出分组以确定由在控制平面处理器处的处理导致的接收的进入分组的报头部分的选定部分中的一个或多个区别，以及基于一个或多个区别在存储器中存储新的网络动作，该外出分组对应于接收的进入分组。

Description

网络发现装置

相关申请的交叉引用

本申请要求于2012年12月17日提交的第61/738,280号美国临时专利申请的优先权和权益，其公开内容通过引用的方式并入于此。

技术领域

本公开涉及处理分组的网络设备。

背景技术

这里提供的背景技术描述是为了一般性地呈现本公开的上下文的目的。当前所称的发明人的工作(到在此背景技术部分中描述的工作的程度)以及在提交时可能无法以其他方式作为现有技术衡量的本描述的诸多方面，既不被明确地也不被暗含地承认为本公开的现有技术。

网络设备通常包括控制平面处理器，其实现用于做出与转发、路由、访问控制列表等相关的确定的处理操作。位于最终目的地的网络上流中的控制平面处理器通常更新传入分组的分组报头信息。分组流当多个接收的分组被标识为具有相同或相似的特性时存在，例如分组在相同端口上被接收或者来自相同的源、将被转发至相同的目的地，为相同类型的分组以及将以相同的服务质量来处置。网络设备遇到其中多个、不同的流需要同时被处置的情形。

发明内容

本公开的一个或多个示例实施例总体上涉及网络发现装置，其随着分组进入和外出网络设备的控制平面而监测分组。这样的观察被用于检测分组流以及学***面对分组做出什么改变的信息一起被存储。对于匹配特定分组流的新接收的分组网络发现装置截获所述分组并且对所述分组做出控制平面之前已经做出的同类改变。不匹配任何定义的流的新接收的分组随着它们被传递至控制平面而简单地由网络发现设备监测。

在示例实施例中，一种网络设备包括：分组输入单元，该分组输入单元被配置为接收进入分组，该进入分组具有进入分组标识特性；检查单元，该检查单元被配置为确定接收的进入分组的标识特性是否匹配被存储在存储器中的分组流的存储的标识特性，在接收的进入分组的标识特性匹配存储的标识特性时对接收的进入分组执行与存储的标识特性相关联的网络动作，以及在接收的进入分组的标识特性不匹配存储的标识特性时向被配置为处理接收的进入分组的控制平面处理器提供接收的进入分组以确定要对接收的进入分组执行的网络动作；以及发现单元，该发现单元被配置为截获从控制平面处理器接收的外出分组以确定由在控制平面处理器处的处理导致的接收的进入分组的报头部分的选定部分中的一个或多个区别，以及基于一个或多个区别在存储器中存储新的网络动作，外出分组对应于接收的进入分组。

在另一示例实施例中，一种网络设备方法，包括：接收进入分组，该进入分组具有进入分组标识特性；利用检查单元检测标识特性是否匹配存储的第一分组流信息的存储的标识特性；在检测到匹配时，使用检查单元对接收的进入分组执行存储的网络动作以输出外出分组，存储的网络动作对应于存储的标识特性；在未检测到匹配时，向被配置为处理进入分组的控制平面处理器传达进入分组；利用发现单元从控制平面处理器截获对应于传达的进入分组的外出分组；利用发现单元检测传达的进入分组的报头部分和截获的外出分组的报头部分的至少一部分之间的一个或多个区别；以及基于一个或多个区别在存储器中与不匹配的标识特性相关联地存储新的网络动作作为第二分组流信息。

附图说明

图1至图4是示出根据示例实施例被配置和操作的网络设备的高度简化图示性绘图。

图5是根据示例实施例的示例机器的状态图。

图6是示出根据示例实施例的操作的概念的高度简化图示性绘图。

图7是根据示例实施例的示例方法的流程图。

图8是根据示例实施例的示例方法的流程图。

图9是根据示例实施例的示例方法的流程图。

图10是根据示例实施例的示例方法的流程图。

图11是根据示例实施例的示例方法的流程图。

图12是根据示例实施例的示例方法的流程图。

图13是根据示例实施例的示例方法的流程图。

图14至图17是示出根据示例实施例的操作的概念的高度简化图示性绘图。

具体实施方式

在以下论述中，可以省略公知的功能和构建的描述以用于增加清楚性和简洁性。

图1示出了网络设备1000，其包括控制平面处理器200、检查单元40、发现单元50和处理内核(未示出)。根据示例实施例，网络设备1000还包括分组输入单元20、分组输出单元30和处理器60。根据示例实施例，存储器60在网络设备1000的单元之间被共享，然而，例如在图16中，存储器60被拆分成具有个性化的单元访问的多个存储器。在图1中，发现装置100的元件与控制平面处理器200是分离的，但是这一布置仅仅是示例实施例，并且例如在图15中，在示例实施例中网络设备100被集成为具有控制平面处理器200的片上***(SoC)。

分组输入单元20在进入分组10的流的进入端口处被连接至进入分组10的流。分组输入单元20向检查单元40传达进入分组10。

检查单元40经由连接70a与控制平面处理器200和发现单元50进行通信，并且经由连接70c与分组输出单元30进行通信。检查单元40与存储器60交互并且在其上执行读取/写入操作。根据示例实施例，检查单元40具有被***在分组输出单元30、发现单元50、存储器60和控制平面处理器200之间的其他部件，例如处理内核(未示出)被***在元件之间并且操作为控制分组输入单元20、检查单元40、发现单元50、存储器60、分组输出单元30和控制平面处理器200的总体操作的中介器。

发现单元50和分组输出单元30经由连接70b从控制平面处理器200接收通信。发现单元50被连接至存储器60。根据示例实施例，发现单元50与存储器60交互并且在其处执行读取/写入操作，该存储器60在检查单元40和发现单元50之间被共享。根据一个示例实施例，发现单元50包括被***在控制平面处理器200、分组输出单元30和存储器60之间的附加部件。

图1还示出了进入分组11、12的流10。流10包括各自具有初始进入分组报头11a和初始进入分组有效载荷11b的分组。初始进入分组报头11a包括初始分组特性α。各自包含相同的初始分组特性α的分组的流组成分组流15，该相同的初始分组特性α例如是相同的源、相同的目的地、相同的分组类型和相同的服务质量指派。虽然图1图示了单个流的分组，但是要理解，存在其他流的分组被互织到流10中，例如见图2，其中各自包含与初始分组特性α不同的后续进入分组特性γ的一个或多个其他进入分组在进入分组11和12之间被接收。

返回图1，在示例实施例中，初始进入分组报头11a的初始分组特性α包括，例如以下中的任何项：ETH报头信息、IP报头信息、UDP/TCP报头信息等。报头信息的这些示例为非限制性的。

在图1中可见分组流15的分组。此处，多个进入分组10包括对应的初始分组特性α。这仅仅为示例，并且要注意给定流的分组可以但不需要按紧接着的连续性到达。

根据示例实施例，控制平面处理器200经由连接70b可通信地耦合到发现单元50和分组输出单元30。根据示例实施例，控制平面处理器200包括***在发现单元50和分组输出单元30之间的其他元件。在示例实施例中，控制平面处理器200被实现在可编程处理器中并且包含与桥接、路由、NAT、PPPoE、VLAN、IPSec、层7ALG、L2TP、访问控制列表、过滤、防火墙、客户拓展以及QoS等的处理相关的各种网络配置和例程。这些示例为非限制性的。

控制平面处理器200接收初始进入分组11并且在处理之后输出对应于初始进入分组11的初始外出分组13。控制平面处理器基于各种报头信息处理进入分组；该处理导致将进入分组作为外出分组转发至外出端口。进入分组的各种报头信息不同于外出分组的对应的报头信息，因为外出分组反映控制平面过程的处理决定。根据示例实施例，控制平面处理器200将初始分组特性α变成具有初始外出分组特性β的初始外出分组报头13a，并且将初始进入分组有效载荷11b与初始外出分组13一起传递。

根据示例实施例，存储器60存储进入特性61、外出特性62、网络动作63、监测阈值64、已学习阈值65和状态66。根据一些示例实施例，存储器60存储比元素61-65更多的数据，并且根据其他示例实施例，存储器60存储比元素61-65更少的数据

在图1的下部，图示了根据示例实施例的存储器60的更详细的视图。这一存储器60的更详细的表示被示出为包含对应于之前论述的元素61-66的六列的表格。存储器60存储由检查单元40接收的分组流的进入特性61。存储器60还存储从控制平面处理器200输出的分组流的外出特性62。这些外出特性62由发现单元50和检查单元40使用以做出处理决定。存储器60还存储将进入特性61联系到外出特性62的网路动作63。存储器60还与状态66对应地存储监测阈值64和已学习阈值65。流状态66将马上论述。以上示例是非限制性的，然而根据其他示例实施例的存储器60包含备选的数据并且在表格之外的结构中保持数据。

根据非限制性示例，流状态66涉及分组流15已经被确定为监测状态、已学***面处理器在分组报头的各种特性之上做出(enact)的改变。处于已学***面处理器但不被监测以去确定报头改变特性。

网络设备1000对被设置为不同状态的分组流做出不同反应。分组流将由网络设备1000接收，由检查单元40分析，并且当分组流是新的流或者处于监测状态时被发送至控制平面处理器200和发现装置50。根据示例实施例，进入分组的仅特性被发送至发现装置50。分组的分析涉及到由分组报头指定的一个或多个分组特性的发现，该特性与存储在存储器60中的分组特性进行比较。

如果检查单元40确定分组特性未被存储在存储器60中，则向表格添加对应于该特性的条目并且对应的流被设置为监测状态，然而如果分组特性被存储在存储器中，则网络设备1000做出关于分组特性是否要被监测的确定。

在检查单元40做出分组要被监测的确定时，分组被发送至控制平面处理器200，控制平面处理器200指派对应于分组报头的一些网络动作。网络动作有发现单元50回顾，发现单元50截获来自控制平面处理器200的分组并将动作存储器在对应于分组特性的存储器中。

如果检查单元40确定分组特性与被设置为已学***面处理器200的输出。

根据示例实施例，网络动作指派分组要被丢弃。参照从控制平面处理器已学习的网络动作，与这一网络动作和已学习状态的流两者对应的进入分组被对应地指派为要被丢弃。

根据另一示例实施例，网络动作由发现单元学***面处理器的外出端口。

网络设备1000还递增计数器等以做出关于对应于分组流的切换状态的确定。计数器对应于例如对应于相同条目和网络动作的、已经由网络设备1000接收的分组的数目或者收到不同的流的分组之间的定时等。网络设备1000被配置为经由计数器计数至用于从监测状态切换到已学习状态的阈值等等。

网络设备1000处理进入分组10。返回图1，在分组输入单元20接收到进入分组11。初始进入分组11包含初始进入分组报头11a和初始进入分组有效载荷11b两者。图1图示了其中初始进入分组11具有初始进入分组特性α的示例。另外，初始进入分组11是分组流15的，该分组流15还包括拥有具有对应于初始进入分组的初始进入分组特性的后续进入分组特性α的初始进入分组报头11a的后续进入分组12，但是这仅仅是示例实施例并且根据另一示例实施例后续进入分组与进入分组11不属于相同的分组流15。另外在一个实施例中进入分组11的分组有效载荷11b通常与后续进入分组12的分组有效载荷11b不同。分组输入单元20将分组传递到网络设备1000。

分组输入单元20将初始进入分组11传递至检查单元40。检查单元40确定何时初始进入分组11的初始进入分组特性α匹配存储在存储器60中的任何进入特性61。

根据示例实施例，检查单元40确定初始进入分组特性α匹配存储在存储器60中的进入分组特性。检查单元40通过检查状态66来进一步确定分组流15的状态。在检查单元40确定分组流的状态处于监测状态时，分组被检查单元40发送至控制平面处理器200和发现单元50。在检查单元确定分组流的状态处于已学***面处理器200但不发送至发现单元50。

图2图示了具有后续进入分组特性γ的后续进入分组12。后续进入分组12在分组输入单元20处被接收并且被提供至检查单元40，该检查单元40确定后续进入分组特性γ未被存储在存储器60中。检查单元40将后续进入分组特性γ存储在存储器60中。检查单元40将后续进入分组沿着连接70a传递至控制平面处理器200和发现单元50。控制平面处理器200将后续进入分组14沿着连接70b传递至发现单元50和分组输出单元30。发现单元50确定关于后续外出分组14的由控制平面处理器200指派给后续进入分组12的网络动作。发现单元50确定网络动作为将后续进入分组报头12a的一个或多个部分改变为后续外出分组报头14a，其中后续进入分组特性γ被改变为后续外出分组特性δ。发现单元50将网络动作存储在存储器60中。

根据示例实施例，在检查单元40确定初始进入分组特性α被存储在存储器60中并且与分组流15相关联的状态被设置为“已学***面处理器200。

根据示例实施例，在检查单元40确定初始进入分组特性α未被存储在存储器60中，检查单元40将初始进入分组特性α写入至存储器60并且将初始进入分组11沿着连接70a传递至控制平面处理器200和发现单元50，然而，这仅仅为非限制性实施例并且根据示例实施例初始进入分组11不被检查单元40传递至发现单元50，并且发现单元在将初始外出分组13与初始进入分组特性α进行比较时访问存储器60。

根据示例实施例，发现单元50从检查单元40接收初始进入分组11的一部分。

根据示例实施例，发现单元50访问存储器50的进入特性61以确定初始进入分组特性α。

发现单元50在一个实施例中被进一步配置为在由控制平面处理器200的处理之后接收初始外出分组13。由发现装置从控制平面处理器200接收的初始外出分组13对应于从检查单元40被传递至控制平面处理器200的初始进入分组12。发现单元50通过将初始进入分组特性α与初始外出分组特性β进行比较来确定来自控制平面处理器的网络动作。发现单元50将网络动作存储在存储器60中。

根据示例实施例，控制平面处理器200将初始外出分组传递至分组输出单元30。根据示例实施例，发现单元50将初始外出分组传递至分组输出单元30。

根据示例实施例，处理内核(图6中的附图标记610，在下面详细论述)在检查单元40确定后续进入分组特性γ未被存储在存储器60中时，将存储器60中的与初始进入分组11的流相关联的流状态设置为处于监测状态510。

根据示例实施例，处理内核(未示出)在检查单元40确定后续进入分组特性γ未被存储在存储器60中时，将存储器60中的与后续进入分组13的流相关联的流状态设置为处于监测状态510。

根据示例实施例，处理内核递增存储器60的监测阈值64、已学习阈值65和定时的阈值67。

根据示例实施例，当发现单元50针对对应的初始外出分组13确定从初始进入分组特性α到初始外出分组特性β的改变匹配存储在存储器60中的对应于分组流15的网络动作时，处理内核在分组流状态被设置为监测状态510时递增与分组流15对应的监测阈值64。

图3图示了处理内核(未示出)确定对应于分组流15的递增的监测阈值65已经达到可配置阈值N(在这一示例中阈值N为10)。处理内核随后将分组流15的状态从监测状态510改变为已学习状态520。

根据示例实施例，当检查单元40针对初始进入分组11确定其对应的初始进入分组特性α匹配存储在存储器60中的进入特性时，处理内核在分组流状态被设置为已学习状态520时递增与分组流15对应的已学习阈值65。

根据示例实施例，处理内核确定对应于分组流15的递增的已学习阈值65已经达到可配置阈值M。处理内核随后将分组流15的状态从已学习状态520改变为监测状态510。

图4图示了处理内核递增定时的阈值67。定时的阈值67的递增对应于自从分组流从监测状态改变为已学习状态而流逝的时间段。根据示例实施例，处理内核递增定时的阈值67以对应于从分组流状态被设置为已学习状态时的时间段。根据示例实施例，处理内核610递增定时的阈值以对应于从对应的分组流15的最新分组由检查对应40接收时的时间段。

根据示例实施例，在处理内核确定递增的定时的阈值67已经达到可配置阈值T时，处理内核随后将分组流15的状态从已学习状态改变为监测状态。

图5图示了示出用于分组流的状态和转变状态两者的状态图500。在示例实施例中，状态图500包括监测状态510、已学习状态520和不稳定状态530。在流状态被设置为监测状态510时，对应于分组流15的任何进入分组12被“监测”。

根据示例实施例，发现单元50确定控制平面处理器对与初始进入分组特性α和初始外出分组特性β相关联的分组的网络动作，如图1所示。发现单元50随后将网络动作存储在存储器60中作为网络动作63之一。

图5还图示了处于已学习状态520的分组流15的流状态。对应于分组流的初始进入分组12被确定为“已学习”。

在已学***面处理器200，然而此为非限制性实施例，并且已学***面处理器200以用于验证目的等。根据示例实施例，在处理内核确定转变条件501被满足时，与对应于分组流的网络动作匹配的数字N小于或者等于第一可配置阈值。在处理内核确定转变条件501被满足时，分组流状态保持在监测状态510中。

根据示例实施例，在处理内核确定转变条件502被满足时，N已经超过阈值T1，分组流15的状态被改变为已学习状态520。

根据示例实施例，当处理内核确定转变条件502被满足时，对应于处于已学习状态520的分组流的计数器M小于或等于第二可配置阈值T2。在转变条件502被满足时，对应的分组流保持在已学习状态520中。

根据示例实施例，在处理内核确定转变条件504被满足时，M已经超过T2，分组流被改变为监测状态510。

根据示例实施例，计数器M对应于当对应的分组流处于已学习状态时由检查单元40接收的分组的数目。根据另一示例实施例，计数器M对应于自从分组流被改变为已学习状态所经过的时间。根据另一示例实施例，计数器M对应于自从对应的分组流的最新分组由检查单元40接收所经过的时间。根据另一示例实施例，计数器M可以是以上示例实施例的组合。

根据示例实施例，在处理内核确定分组的外出特性不匹配相同流的另一分组的外出特性时，处理单元递增计数器X。在X达到可配置阈值T0时，处理内核实现转变条件500由此将对应的分组流设置为不稳定状态530。

根据示例实施例，存储在存储器60中的对应于分组流15的任何阈值数据在分组流15的状态改变时被擦除。根据示例实施例，存储器60中的对应于分组流15的任何阈值数据在分组流15的状态改变时不被擦除。根据示例实施例，可配置阈值在任何时间被配置。

图6描绘了片上***实现方式600，其中网络设备1000的部件通过处理内核610彼此对应。

网络设备1000包括检查单元620、输入存储单元630,、计数控制单元640、发现单元650和存储I/O 670。网络设备1000还包括各种存储器，诸如ROM 685、RAM 686和其他存储器687。存储器存储于网络动作相关的数据并且对于网络设备1000的其他部件可访问。

输入存储单元630和存储I/O 670访问存储器以执行与至少网络设备1000相关的读取/写入操作，并且进一步进行与执行递增的计数操作的计数控制单元640相关的读取/写入操作。网络设备1000的部件经由处理内核610彼此通信，该处理内核610发射对应于监测的和学习的分组流的各种指示符和信号。

根据示例实施例，处理内核610允许网络设备1000操作为网络设备1000的硬件部件。根据示例实施例，处理内核610允许网络设备1000操作为网络设备1000的软件部件。根据示例实施例，检查单元620是硬件单元，并且根据另一示例实施例，检查单元620是例如在Linux软件中的软件单元。

图6还图示了输入存储单元630。根据示例实施例，处理内核610使用输入存储单元630来执行对应于可后续访问的存储器687的存储器操作。

图6还图示了计数控制单元640。根据示例实施例，处理内核610使用计数控制单元640来递增与状态图500的转变条件以及与分组流相关联的各种状态对应的计数操作。

图6还图示了存储I/O 670。根据示例实施例，处理内核610使用存储I/O 670来访问各种存储器，诸如ROM 685、RAM 686和其他存储器687。

图7是在分组由检查单元接收时的根据示例实施例的示例算法和方法的流程图。图7的示例方法可以适用于其中利用网络设备的多个示例实施例。在S701处，网络设备接收初始进入分组。

在S702处，网络设备确定初始进入分组报头的分组的进入特性。处理然后继续至S703。

在S703处，如果在存储器中找到进入特性，则处理继续至S705。另一方面，如果在存储器中没有找到进入特性，则处理继续至S704。

在S704处，由于进入特性没有被存储，其被写入在存储器中作为新的行。跟随这一步骤，在S706，对应于新录入的进入特性的流状态被设置为监测状态。处理然后经由连接符B继续至图8所示的内容。

返回S705，当在存储器中找到进入特性时，确定对应的状态处于监测状态还是已学习状态。如果对应于所找到的状态特性的状态时监测状态，则处理经由连接符B继续至图8所示的内容。另一方面，如果对应的状态为已学习状态，则处理经由连接符D继续至图10所示的内容。

图8是根据其中利用网络设备的实施例的用于被设置为监测状态的分组的示例算法和方法的流程图。图8的示例方法可以适用于多个示例实施例。在S801处，网络设备将初始进入分组传递至控制平面处理器。

在S802处，网络设备截获去往控制平面处理器的外出分组。对应于初始进入分组的外出分组在S801处被发送至控制平面处理器。根据实施例，外出分组还被发送至发现装置。在S803处，网络设备通过将初始进入分组与外出分组的对应特性比较来并且确定由控制平面处理器对分组做出的改变(例如对分组报头的改变)，来确定什么网络动作已被应用于初始进入分组。

在S803处，根据多个非限制性示例实施例，网络设备基于图11至图13中所示的任何方法或方法的任何组合，图11至图13图示多个算法以各自确定对分组报头的特定类型的改变。

在S804处，网络设备确定针对对应的流确定的网络动作是否被发现存储在存储器中。

在S805处，在网络动作没有被存储时，网络设备存储网络动作，并且在S808处将基于由控制平面处理器指派的网络动作来转发分组，并且经由图7中所示的连接符E继续处理。

在S806处，在网络动作被存储时，网络设备将确定存储的网络动作是否匹配确定的网络动作。

在S808处，在存储的网络动作不匹配确定的网络动作时，网络设备将基于由控制平面处理器指派的网络动作来转发分组，并且处理将经由图7中所示的连接符E继续。

返回S806，在存储的网络动作匹配确定的网络动作时，则处理经由连接符C继续至图9所示的内容。

图9是根据示例实施例的示例算法和方法的流程图。图9的示例方法可以适用于其中利用网络设备的多个示例实施例。在S901处，网络设备确定存储的网络动作是否匹配目前针对对应的流确定的网络动作并且随后递增计数器N。

在S902处，网络设备1000确定存储在存储器60中的计数器N是否已经达到可配置阈值。

在S903处，在网络设备1000确定计数器N已经达到可配置阈值时，网络设备1000与确定的网络动作对应地将流状态改变为已学习状态520，在S904处转发分组，并且经由图7中所示的连接符E继续处理。

在S903处，在网络设备1000确定计数器N还没有达到可配置阈值时，在S904处，网络设备1000转发分组并且处理经由图7中所示的连接符E继续。

图10是根据示例实施例的示例算法和方法的流程图。图10的示例方法可以适用于多个示例实施例。在S1001处，在检查单元确定进入分组属于被分类为处于已学习状态520的分组流时，检查单元将存储的网络动作应用于与流对应的进入分组。在S1002处，网络设备然后执行对应的动作并且与网络动作对应地转发分组，并且与S1002并行地，在S1003处网络设备递增已学习状态阈值计数器M。

在S1005处，网络设备确定已学习状态阈值计数器M达到已学习状态阈值T2并且将流状态改变为监测状态。处理经由图7中所示的连接符E继续，其中网络设备等待另一进入分组。

图11是根据示例实施例的示例算法和方法的流程图，其中网络设备监测控制平面处理之前和之后的分组的VLAN标签特性。图11的示例方法可以适用于多个示例实施例。在S1100处，如关于S803所论述的，发现装置网络设备尝试发现网络动作。

在S1101处，网络设备确定进入分组是否具有VLAN标签。

在S1102处，网络设备确定进入分组具有VLAN标签，并且确定外出分组是否具有VLAN标签。

在S1103处，在网络设备确定外出分组不具有VLAN标签时，它定义用以移除VLAN标签的新的网络动作，并且在S1110处存储新的动作。

在S1106处，在网络设备确定外出分组具有VLAN标签时，它还确定进入和外出VLAN标签是否相等。

在S1107处，在网络设备确定VLAN标签相等时，它定义用以不做任何事的新的网络动作，并且在S1110处存储新的动作。

在S1109处，在网络设备确定VLAN标签不相等时，它定义用以改变VLAN标签的新的网络动作，并且在S1110处存储新的动作。

返回S1101，在网络设备确定进入分组不具有VLAN标签时，在S1104处，网络设备确定外出分组是否具有VLAN标签。

在S1105处，在网络设备确定外出分组不具有VLAN标签时，它定义用以不做任何事的新的网络动作，并且在S1110处存储新的动作。

在S1108处，在网络设备确定外出分组确实具有VLAN标签时，它定义用以添加VLAN标签的新的网络动作，并且在S1110处存储新的动作。

图12是根据示例实施例的示例算法和方法的流程图，其中网络设备监测控制平面处理之前和之后的分组的目的地IP和端口特性。图12的示例方法可以适用于多个示例实施例。在S1200处，如关于S803所论述的，发现装置网络设备尝试发现网络动作。

在S1201处，网络设备接收在进入分组的报头中找到的目的地IP和端口地址。

在S1202处，网络设备接收在对应于进入分组的外出分组的报头中找到的目的地IP和端口地址，该进入分组已经从控制平面处理器传递至发现装置。

在S1203处，网络设备确定进入分组的目的地IP地址是否匹配对应的外出分组的目的地IP地址。

在S1204处，在网络设备确定针对对应的进入和外出分组目的地IP地址不匹配时，它定义用于基于外出分组报头中的IP地址改变进行路由的新的网络动作，并且在S1208处存储该网络动作。

在S1205处，在对应的进入和外出分组的目的地IP地址匹配时，网络设备确定针对对应的进入和外出分组目的地端口是否也匹配。

在S1206处，在网络设备确定针对进入和外出分组目的地端口不匹配时，它定义用于基于外出分组报头中的端口改变进行路由的新的网络动作，并且在S1208处存储该网络动作。

在S1207处，在网络设备确定针对进入和外出分组目的地端口确实匹配时，它定义用以不做任何事的新的网络动作，并且在S1208处存储该网络动作。

图13是根据示例实施例的示例算法和方法的流程图，其中网络设备监测控制平面处理之前和之后的分组的PPPoE通道特性。图13的示例方法可以适用于如论述的其中利用网络设备的多个示例实施例。在S1300处，如关于S803所论述的，发现装置网络设备1000尝试发现关于PPPoE通道特性的网络动作。

在S1301处，网络设备确定进入分组是否具有PPPoE报头。

在S1302处，网络设备确定外出分组是否具有PPPoE报头。

在S1303处，在网络设备确定外出分组不具有PPPoE报头时，因为存在进入分组和对应的外出分组的PPPoE报头之间的差别，它定义用以移除PPPoE通道的新的网络动作，并且在S1310处存储该网络动作。

在S1306处，在网络设备确定外出分组确实具有PPPoE报头时，它还确定进入和外出PPPoE报头是否匹配。

在S1307处，在网络设备确定进入和外出PPPoE报头匹配时，它定义用以不做任何事的新的网络动作，并且在S1310处存储该网络动作。

在S1309处，在网络设备确定进入和外出PPPoE报头不匹配时，它定义用以基于外出分组来转换(translate)PPPoE报头的新的网络动作，并且在S1310处存储该网络动作。

返回S1301，在网络设备确定进入分组不具有PPPoE报头时，在S1304处，网络设备1000确定外出分组是否具有PPPoE报头。

在S1305处，在网络设备确定外出分组不具有PPPoE报头时，在进入和对应的外出分组都不具有PPPoE报头的情况下，它定义用以不做任何事的新的网络动作，并且在S1310处存储该网络动作。

在S1308处，在网络设备确定外出分组确实具有PPPoE报头时，即使对应的进入分组不具有PPPoE报头，它定义用以向外出分组添加PPPoE通道的新的网络动作，并且在S1310处存储该网络动作。

图14示出了网络设备1000，其中网络设备1000已经进入可配置测试模式。根据示例实施例，处理内核(未示出)使得检查单元40产生仿效处于已学***面处理器200。根据示例实施例，发现单元50从控制平面处理器200接收后续的初始外出分组13。处理内核610确定被应用于伪进入分组14的网络动作。

根据示例实施例，伪进入分组14从控制平面处理器200接收到由存储器60存储的相同的网络动作，并且处理内核610使网络设备1000返回到正常操作。

根据示例实施例，伪进入分组14视由存储器60存储的网络动作而从控制平面处理器200接收不同的网络动作。处理内核610将对应的流的状态改变为监测状态510，并且网络设备1000返回到正常操作。

注意到网络设备1000在其中存在分组流的情形下允许增加的网络吞吐率。网络设备1000消除了通过由控制平面处理器200代表的通常更慢的路径来向每个分组应用网络动作的要求。在已学习分组流时，通过检查单元向流中的后续分组应用适当的网络动作，产生通常快得多的处理路径。

通过上文，注意到网络设备1000将控制平面处理器视为一个单元，网络设备1000因此允许对控制规则的发现，所述控制规则从原始分组流来推断。网络设备1000还允许了不依赖于控制平面处理器的特质及其实现方式细节的对网络动作的非侵入式发现。因此，在实施例中，诸如定制拓展、内核版本之类的特质(所有这些与控制平面处理器紧密相关)在控制平面处理器中被实现和更新而完全无需发现装置处的改变。此外，网络设备1000的存储器允许了控制平面信息的统一表示而同时减小了描述网络拓扑结构的数据结构的复杂度。这就是说，控制平面处理器包含用于处置流的分组的复杂规则，但是网络设备1000简化了控制平面处理器的复杂规则。

图15图示了其中网络设备1000被集成为片上***(SoC)100的示例实施例。SoC100包括与关于图1论述的那些部件基本上相似的部件，包括分组输入单元20、分组输出单元30、检查单元40、发现单元50、存储器60和控制平面处理器200。分组输入单元20的进入端口被图示为在分组输入单元20的左侧并且位于SoC 100的边界处，然而这仅仅是示例实施例，并且在一个示例实施例中分组输入单元20的进入端口整***于网络设备1000内，并且在一个示例实施例中分组输入单元的进入端口整***于网络设备1000之外。

图16图示了其中网络设备1000与图3中所示的基本上相似的示例实施例。后续进入分组13到达分组输入单元20处。后续进入分组特性γ对应于存储在存储器60中、在进入特性61列中的特性。发现单元50从控制平面接收后续外出分组，然而，后续外出分组特性不对应于存储在存储器中、在外出特性列62中的后续外出分组特性。处理内核610(未示出)被配置为将对应的流的流状态设置为不稳定状态，如状态66列所示。根据实施例，对应于被设置为不稳定状态的分组流的任何分组被网络设备1000发送至控制平面处理器并且不被发送至发现装置50。网络设备1000实现与用于已学习状态的计数器相似的计数器以用于将处于不稳定状态的流设置成处于监测状态的流。另外，网络设备1000计数至阈值数目的多个后续外出分组，所述后续外出分组具有不对应于存储在存储器60中的特性的特性。

图17图示了其中网络设备1000利用分离的存储器——分别对应于检查单元40和发现单元50的存储器82和存储器84进行操作的示例实施例。图17的网络设备1000还图示了处理内核610，其可通信地耦合到分组输入单元20、分组输出单元30、检查单元40、发现单元50、存储器82、存储器84和控制平面处理器200。

虽然已经在上文关于各种示例实施例描述了具有创造性的概念，要理解到能够存在由熟悉本领域的人员所作出的对描述的特征的广泛的置换和修改，而不偏离所述特征的技术思想和范围，所述特征的技术思想和范围将由所附权利要求限定。

此外，虽然本说明书包含许多特征，但是所述特征不应当被理解为对本公开的范围或所附权利要求的限制。在单独的实施例的上下文中描述的某些特征还能够组合地实现。相反地，在单个实施例的上下文中描述的各种特征还能够分离地在多个实施例中实现或者按照适合的子组合来实现。

虽然附图按照特定顺序描述操作和/或示出部件的特定布置，但不应当解释为这样的特定顺序和/或布置时限制性的，或者需要公开的所有执行的操作和部件来获得理想的结果。因此，其他实现方式在以下权利要求的范围内。

Claims (20)

1.一种网络设备，包括：

分组输入单元，所述分组输入单元被配置为接收进入分组，所述进入分组具有进入分组标识特性；

检查单元，所述检查单元被配置为确定接收的进入分组的所述标识特性是否匹配被存储在存储器中的分组流的存储的标识特性，在所述接收的进入分组的所述标识特性匹配所述存储的标识特性时对所述接收的进入分组执行与所述存储的标识特性相关联的网络动作，所述网络动作使得所述接收的进入分组具有匹配所述存储的标识特征的标识特性以绕过控制平面处理器，而不将所述接收的进入分组传达给所述控制平面处理器，其中所述接收的进入分组将根据转发地址被传输；以及

所述检查单元还被配置为在所述接收的进入分组的所述标识特性不匹配所述存储的标识特性时向所述控制平面处理器提供所述接收的进入分组，所述控制平面处理器被配置为执行所述网络动作，包括将一个或多个区别添加到所述接收的进入分组的报头部分，所述区别指示至少所述转发地址；以及

发现单元，所述发现单元被配置为截获从所述控制平面处理器接收的外出分组以确定由在所述控制平面处理器处的处理导致的所述接收的进入分组的所述报头部分的选定部分中的所述一个或多个区别，以及基于所述一个或多个区别在所述存储器中存储新的网络动作，所述外出分组对应于所述接收的进入分组。

2.根据权利要求1所述的网络设备，其中所述检查单元被进一步配置为响应于所述接收的进入分组中的一个接收的进入分组的所述标识特性不匹配任何所述存储的标识特性的指示而将所述分组流设置为第一状态。

3.根据权利要求1所述的网络设备，其中所述发现单元被进一步配置为确定是否将所述新的网络动作应用于从所述控制平面处理器接收的后续外出分组。

4.根据权利要求3所述的网络设备，其中处理内核被进一步配置为确定是否将所述新的网络动作应用于多个后续外出分组。

5.根据权利要求4所述的网络设备，其中所述检查单元被进一步配置为响应于所述网络动作被应用于所述多个后续外出分组的指示，将所述分组流设置为第二状态，在所述第二状态中所述发现单元不从所述控制平面处理器截获所述分组流的后续分组。

6.根据权利要求1所述的网络设备，其中：

处理内核被配置为生成具有所述存储的标识特性的伪分组以用于向所述控制平面处理器传达；

所述发现单元被进一步被配置为从所述控制平面处理器截获对应于所述伪分组的所述外出分组以及确定由所述控制平面处理器向所述伪分组应用的结果网络动作；以及

所述处理器内核被进一步被配置为参照与所述存储的标识特性相关联地存储的所述网络动作来验证所述结果网络动作。

7.根据权利要求5所述的网络设备，其中所述检查单元被进一步配置为在多个网络动作已经被应用于与所述存储的标识特性相关联的所述分组流的分组时重置数据流状态。

8.根据权利要求1所述的网络设备，其中所述一个或多个区别对应于所述报头的多个不同的字段中的继所述控制平面处理器的处理之后的区别。

9.根据权利要求8所述的网络设备，其中所述报头的所述多个不同的字段对应于VLAN标签、目的地IP、端口和PPPoE通道中的任意项。

10.根据权利要求1所述的网络设备，其中所述检查单元被进一步配置为响应于与所述分组流的后续分组相关联的后续网络动作不匹配所述存储的网络动作的指示而将所述分组流设置为第三状态，在所述第三状态中所述发现单元不从所述控制平面处理器截获所述分组流的后续分组。

11.一种网络设备方法，包括：

接收进入分组，所述进入分组具有进入分组标识特性；

利用检查单元检测所述标识特性是否匹配存储的第一分组流信息的存储的标识特性；

在检测到所述匹配时，对所述接收的进入分组执行存储的网络动作并且使得所述接收的进入分组绕过控制平面处理器，而不将所述接收的进入分组传达给所述控制平面处理器，并且根据转发地址来传输所述接收的进入分组，所述存储的网络动作对应于所述存储的标识特性；

在未检测到所述匹配时，向所述控制平面处理器传达所述进入分组，所述控制平面处理器被配置为通过对所述进入分组执行所述网络动作来处理所述接收的进入分组，所述网络动作包括将一个或多个区别添加到所述接收的进入分组的报头部分，所述区别指示至少所述转发地址；

在发现单元处从所述控制平面处理器截获对应于所述接收的所述进入分组的外出分组；

利用所述发现单元检测所述接收的所述进入分组的报头部分的至少一部分和截获的所述外出分组的报头部分之间的所述一个或多个区别；以及

基于所述一个或多个区别在存储器中与不匹配的所述标识特性相关联地存储新的网络动作作为第二分组流信息。

12.根据权利要求11所述的方法，进一步包括通过将所述分组流设置为第一状态来响应所述接收的进入分组中的一个接收的进入分组的所述标识特性不匹配任何所述存储的标识特性的指示。

13.根据权利要求11所述的方法，进一步包括确定是否将所述新的网络动作应用于从所述控制平面处理器接收的后续外出分组。

14.根据权利要求13所述的方法，进一步包括确定是否将所述新的网络动作应用于多个后续外出分组。

15.根据权利要求14所述的方法，进一步包括通过将所述分组流设置为第二状态来响应所述网络动作被应用于所述多个后续外出分组的指示，在所述第二状态中所述发现单元不从所述控制平面处理器截获所述分组流的后续分组。

16.根据权利要求14所述的方法，进一步包括：

利用所述检查单元生成具有所述存储的标识特性的伪分组以用于向所述控制平面处理器传达；

利用所述发现单元从所述控制平面处理器截获对应于所述伪分组的所述外出分组；

利用所述发现单元检测由所述控制平面处理器向所述伪分组应用的结果网络动作；以及

参照与所述存储的标识特性相关联地存储的所述网络动作来验证所述结果网络动作。

17.根据权利要求15所述的方法，进一步包括当所述接收的进入分组的所述标识特性匹配所述存储的标识特性时，在多个网络动作已经被应用于与所述存储的标识特性相关联的所述分组流的分组时重置数据流状态。

18.根据权利要求11所述的方法，进一步包括所述发现单元检测对应于所述报头的多个不同的字段中的继所述控制平面处理器的处理之后的区别的所述一个或多个区别。

19.根据权利要求18所述的方法，其中所述报头的所述多个不同的字段对应于VLAN标签、目的地IP、端口和PPPoE通道中的任意项。

20.根据权利要求11所述的方法，进一步包括通过将所述分组流设置为第三状态来响应与所述分组流的后续分组相关联的后续网络动作不匹配所述存储的网络动作的指示，在所述第三状态中所述发现单元不从所述控制平面处理器截获所述分组流的后续分组。