CN104904160B - 用于数据流的应用流的***和方法 - Google Patents
用于数据流的应用流的***和方法 Download PDFInfo
- Publication number
- CN104904160B CN104904160B CN201380063831.7A CN201380063831A CN104904160B CN 104904160 B CN104904160 B CN 104904160B CN 201380063831 A CN201380063831 A CN 201380063831A CN 104904160 B CN104904160 B CN 104904160B
- Authority
- CN
- China
- Prior art keywords
- request
- server
- response
- database
- network
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/02—Capturing of monitoring data
- H04L43/026—Capturing of monitoring data using flow identification
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/12—Discovery or management of network topologies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/12—Network monitoring probes
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/50—Network service management, e.g. ensuring proper service fulfilment according to agreements
- H04L41/5061—Network service management, e.g. ensuring proper service fulfilment according to agreements characterised by the interaction between service providers and their network customers, e.g. customer relationship management
- H04L41/5067—Customer-centric QoS measurements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
- Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
- Y02D30/00—Reducing energy consumption in communication networks
- Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate
Landscapes
- Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本公开涉及用于为由服务器集群服务的数据库应用监控应用层流的***和方法。应用流监控器可基于负载平衡或类似的策略,接收客户机的写请求并且将其分发到至少一个主服务器,以及接收客户机的读请求并且将其分发到一个或多个从服务器。应用流监控器可接收来自接收方服务器的响应,并且可将请求和响应聚合到互联网协议流信息导出(IPFIX)消息内,该消息可描述关于应用的整个通信流。相应地,无论在任何特定请求/响应交换中涉及到哪个服务器,都可以监控应用流统计,这允许了可伸缩性而不会妨碍管理过程。
Description
相关申请
本专利申请要求在2012年11月9日提交的、名称为“SYSTEMS AND METHODS FORAPPFLOW FOR DATASTREAM”、申请号为13/673445的美国申请的权益和优先权,该美国申请通过引用被全部包含于此,以用于所有目的。
技术领域
本发明总的涉及数据通信网络。特别地,本发明涉及用于在导出网络流信息时加入更高层信息(例如传输或应用层信息)的***和方法。
背景技术
通常可以使用不同的方法来进行网络和装置的信息收集和管理。最流行的是较早的简单网络管理协议(SNMP)。然而,尽管SNMP是可扩展的并能吸收新的管理元素,但它不能给出例如在HTTP事务级别的更精细的流信息。相反,SNMP仅提供聚合的设备级信息。
类似地,较新的IP流信息导出(或IPFIX)协议也集中于较低级别流信息。IPFIX是用于从路由器、交换机、探测器和其他中间装置导出互联网协议流信息的通用标准。在互联网工程任务组(IETF)RFC 5101和RFC 5102 中对IPFIX进行了定义,RFC 5102包括超过200个标准信息元素。根据RFC 5101,流被定义为在一定时间间隔内在网络上经过观测点的IP分组集合,其中属于特定流的分组具有共同的属性。如在RFC 5101中指出的,流定义并不必然地匹配应用级端到端流。
IPFIX包括诸如基于模板的流信息定义和扩展性选项之类的特征。关键字字段也是与特定信息的模板定义一起动态地进行定义的。每个模板定义单个流数据记录及其关键字字段,并可包含一组标准信息元素(IE)和企业特定信息元素(EIE)以及它们在相应数据记录中的次序。可以使用模板ID将数据记录链接到模板。
IETF RFC 5470,“用于IP流信息导出的结构”,定义了IPFIX结构的三个关键组件。第一个组件是导出器进程,其收集、过滤和/或采样所要求的流信息并进行导出。第二个组件是收集器进程,其读取模板和关键字字段以及区分并收集不同的流记录以供用户随后消耗。第三个组件是用户,其与收集器进程进行交互以获得所要求的流记录并处理这些信息以确定智能决策点。
IPFIX最初是由思科***有限公司作为私有网络流(NetFlow)协议开发的。NetFlow和IPFIX描述用于描述第2层和第3层网络流的可扩展记录。通常,这些记录包括从多个更高层通信聚合的值,并且因此,不能访问会话或应用层事务边界或其他细节。
存在用于捕获应用层网络信息的其他技术,但各自都有缺陷。例如, HTML注入及日志在添加新元素时缺少灵活性和可扩展性,并在通信的两端要求专用应用以捕获数据。端口镜像提供精细的细节,但对网络带宽和CPU 使用量有较高要求。
发明内容
本公开涉及用于为由服务器集群服务的数据库应用监控应用层流的***和方法。应用流监控器可基于负载平衡或类似的策略,接收客户机的写请求并且将其分发到至少一个主服务器,以及接收客户机的读请求并且将其分发到一个或多个从服务器。应用流监控器可接收来自接收方服务器的响应,并且可将请求和响应聚合到互联网协议流信息导出(IPFIX)消息内,该消息可描述关于应用的整个通信流。相应地,无论在任何特定请求/响应交换中涉及到哪个服务器,都可以监控应用流统计,这允许了可伸缩性而不会妨碍管理过程。
在一个方面,本公开涉及用于经由多连接中间装置跟踪应用层流的***和方法。在一个方面,可以经由中间装置跟踪事务级或应用层信息,该信息包括下列中的一个或多个:(i)请求方法;(ii)响应码;(iii)URL;(iv)HTTP cookie;(v)在四流(quad flow)布置中事务两端的RTT;(vi)提供通信的第一个字节的服务器时间;(vii)提供通信的最后一个字节的服务器时间;(viii) 流标志;或可被捕获、导出和分析的任何其他类型和形式的事务级数据。在一些实施例中,可以IPFIX兼容的数据记录的形式来提供应用层流或事务级信息。可以这样做以提供基于模板的数据记录定义,以及提供应用或事务级粒度的数据。在一些实施例中,可以响应于应用层或事务级信息来智能地聚合信息。
在另一个方面,本公开针对用于将生成事务数据流量的虚拟服务器 (vserver)名称和/或应用名称作为应用层信息的部分进行导出的***和方法。在一些实施例中,可以由数据收集器使用该信息来按vserver或应用划分业务流数据。
在又一个方面,本公开涉及用于导出聚合数据通信信息的***和方法,该信息包括流标识符和事务标识符,包括来自代理装置的信息。经由代理装置链接到后端服务器连接的客户机连接可包括四个不同的流(到客户机的一个流、来自客户机的一个流、到服务器的一个流和来自服务器的一个流)。尽管传统基于流的监控和报告会分别地分析这些流,但本文描述的***和方法允许基于所生成的对不同的流共同的流标识符来链接或聚合流数据。在其他实施例中,可以经由所生成的事务标识符来对流内的事务进行标识和/或区分或过滤,甚至跨越多个流也可以。相应地,在一些实施例中,可以将流标识符和事务标识符作为一对来关联来自客户机侧和服务器侧流的多个数据记录。
在又一个方面,本公开涉及用于经由IPFIX模板导出事件消息的***和方法。在一些实施例中,分组引擎、服务器、用户空间进程、代理、中间装置或其他装置内的各种模块可以生成日志消息。在一些实施例中,可以利用 IPFIX来传送这些非流相关的消息。在一些实施例中,可以响应于应用于日志消息的策略来传送日志消息。在另外的实施例中,可以响应于事件的严重程度来传送日志消息,可以仅将日志消息传送到特定接收者,或者可以其他方式来处理日志消息。
在一些方面,本方案涉及用于经由多连接中间装置记录应用层流信息的方法。该方法可包括由在客户机与服务器中间的装置跨越该装置与客户机之间的第一传输层连接和该装置与服务器之间的第二传输层连接来接收客户机与服务器之间的多个流。该方法可包括由该装置的计量进程记录经过第一传输层连接的多个流中的第一应用层流的一个或多个应用层特征的第一记录集。该方法还可包括由所述计量进程记录经过第二传输层连接的多个流中的第二应用层流的一个或多个应用层特征的第二记录集。该方法还包括由该计量进程确定第一流的应用层事务对应于第二流的应用层事务。该方法还包括由所述计量进程响应于所述确定来将该应用层事务的事务id记录在一个或多个应用层特征的第一记录集和第二记录集的每一个中。
在一些实施例中,该方法包括由所述计量进程记录经过第一传输层连接的第一流的一个或多个传输层特征的第三记录集和经过第二传输层连接的第二流的一个或多个传输层特征的第四记录集。在一些实施例中,该方法包括由所述计量进程确定第一传输层连接的会话对应于第二传输层连接的会话并且将该会话的会话id记录在一个或多个传输层特征的第三记录集和第四记录集的每一个中。在一些实施例中,该方法包括由所述计量进程将流标识符关键字记录在第一记录集、第二记录集、第三记录集和第四记录集的每一个中,以链接服务器侧应用层流、服务器侧传输层会话、客户机侧应用层流和客户机侧传输层会话中的每一个。
在一些实施例中,该方法包括由该装置的收集器基于事务id来聚合第一记录集和第二记录集。在一些实施例中,该方法包括由该计量进程在第一记录集或第二记录集的其中一个中记录管理第一传输层连接或第二传输层连接的至少一个的所述装置的虚拟机服务器的名称。在一些实施例中,该方法包括由所述计量进程在第一记录集或第二记录集的其中一个中记录生成所述第一流和第二流的应用的名称。在一些实施例中,该方法包括由所述计量进程在关于第一应用层流的第一记录集或关于第二应用层流的第二记录集中记录下列应用层特征中的一个或多个:请求方法、响应码、统一资源定位符、超文本传输协议cookie、对第一个字节的服务器时间、对最后一个字节的服务器时间以及往返时间。在一些实施例中,该方法包括由该装置从该装置上存储的事件日志识别与第一应用层流或第二应用层流的其中一个相关的一个或多个事件。在一些实施例中,该方法包括由该装置将所述一个或多个事件记录在与第一应用层流和第二应用层流的应用层事务相关的流记录中。
在一些方面,本方案涉及用于经由多连接中间装置记录应用层流信息的***。该***可包括客户机和服务器中间的装置。该装置可以跨越该装置与客户机之间的第一传输层连接和该装置与服务器之间的第二传输层连接来接收客户机与服务器之间的多个流。该装置的计量进程记录经过第一传输层连接的多个流中的第一应用层流的一个或多个应用层特征的第一记录集和经过第二传输层连接的多个流中的第二应用层流的一个或多个应用层特征的第二记录集。该计量进程确定第一流的应用层事务对应于第二流的应用层事务,并响应于所述确定来将该应用层事务的事务id记录在一个或多个应用层特征的第一记录集和第二记录集的每一个中。
在一些实施例中,该计量进程记录经过第一传输层连接的第一流的一个或多个传输层特征的第三记录集和经过第二传输层连接的第二流的一个或多个传输层特征的第四记录集。在一些实施例中,该计量进程确定第一传输层连接的会话对应于第二传输层连接的会话并且将该会话的会话id记录在一个或多个传输层特征的第三记录集和第四记录集的每一个中。在一些实施例中,该计量进程将流标识符关键字记录在第一记录集、第二记录集、第三记录集和第四记录集的每一个中,以链接服务器侧应用层流、服务器侧传输层会话、客户机侧应用层流和客户机侧传输层会话中的每一个。在一些实施例中,该装置的收集器基于事务id来聚合第一记录集和第二记录集。
在一些实施例中,该计量进程在第一记录集或第二记录集的其中一个中记录管理第一传输层连接或第二传输层连接的至少一个的该装置的虚拟服务器的名称。在一些实施例中,该计量进程在第一记录集或第二记录集的其中一个中记录生成第一流和第二流的应用的名称。在一些实施例中,该计量进程在关于第一应用层流的第一记录集或关于第二应用层流的第二记录集中记录下列应用层特征中的一个或多个:请求方法、响应码、统一资源定位符、超文本传输协议cookie、对第一个字节的服务器时间、对最后一个字节的服务器时间以及往返时间。在一些实施例中,该装置从该装置上存储的事件日志识别与第一应用层流或第二应用层流的其中一个相关的一个或多个事件。在一些实施例中,该装置将所述一个或多个事件记录在与第一应用层流和第二应用层流的应用层事务相关的流记录中。
在一个方面,本公开涉及一种用于由在客户机和寄载数据库的服务器之间的中间装置监控应用层流的方法。所述方法可包括由中间装置从客户机装置接收以寄载具有第一类型的数据库的服务器为目标的第一数据库请求,所述第一数据库请求包括请求类型和请求字符串。所述方法可包括由所述中间装置识别所述第一数据库请求的参数与一个或多个策略组成的集合中的第一策略的参数相匹配。所述方法可包括由所述中间装置响应于该识别生成第一互联网协议流信息导出(IPFIX)消息,所述第一IPFIX消息包括数据库的所述第一类型的标识、所述第一数据库请求的请求类型的标识和所述第一数据库请求的请求字符串。所述方法可包括由所述中间装置向所述服务器发送所述第一数据库请求。所述方法可包括由所述中间装置从所述服务器接收对所述第一数据库请求的第一响应,所述第一响应包括响应状态和响应字符串。所述方法可包括由所述中间装置确定所述第一响应与所述第一数据库请求相对应。所述方法可包括由所述中间装置响应于该确定,生成第二IPFIX 消息,所述第二IPFIX消息包括所述第一响应的响应状态的标识和响应字符串。
在一些实施例中,所述方法包括由所述中间装置向第一客户机发送所述第一响应。在一些实施例中,在不匹配所述第一响应的参数与所述第一策略的参数的情况下,执行确定所述第一响应与所述第一数据库请求相对应并且生成所述第二IPFIX消息。在一些实施例中,所述方法包括由所述中间装置将所述第一IPFIX消息和第二IPFIX消息发送给数据收集器。在一些实施例中,所述方法包括将所述第一IPFIX消息和第二IPFIX消息聚合到应用流记录内。在一些实施例中,生成第二IPFIX消息还包括生成包括响应字符串的长度的标识的第二IPFIX消息。在一些实施例中,所述服务器包括多个计算装置,并且将所述第一数据库请求发送给所述服务器还包括识别所述多个计算装置中的第一计算装置,并且将所述第一数据库请求发送给所识别的第一计算装置。在一些实施例中,接收所述第一响应包括从所识别的第一计算装置接收所述第一响应。
在一些实施例中,所述方法包括由所述中间装置从所述客户机装置接收包括请求类型和请求字符串的第二数据库请求。在一些实施例中,所述方法包括由所述中间装置识别所述第二数据库请求的参数与所述第一策略的参数相匹配。在一些实施例中,所述方法包括由所述中间装置响应于该识别生成第三IPFIX消息,所述第三IPFIX消息包括所述第二数据库请求的请求类型的标识和所述第二数据库请求的请求字符串。在一些实施例中,所述方法包括由所述中间装置基于负载平衡策略识别所述多个计算装置中的第二计算装置。在一些实施例中,所述方法包括由所述中间装置向所识别的第二计算装置发送所述第二数据库请求。在一些实施例中,所述方法包括由所述中间装置从所识别的第二计算装置接收对所述第二数据库请求的第二响应,所述第二响应包括响应状态和响应字符串。在一些实施例中,所述方法包括由所述中间装置确定所述第二响应与所述第二数据库请求相对应。在一些实施例中,所述方法包括由所述中间装置响应于该确定生成第四IPFIX消息,所述第四IPFIX消息包括所述第二响应的响应状态的标识和响应字符串。在一些实施例中,所述方法包括将所述第一、第二、第三和第四IPFIX消息聚合到应用流记录内。
在一些实施例中,识别所述多个计算装置中的第一计算装置包括响应于具有第一请求类型的第一数据库请求识别所述第一计算装置;并且其中识别所述多个计算装置中的第二计算装置包括响应于具有第二不同请求类型的第二数据库请求识别所述第二计算装置。
在另一个方面,本公开涉及一种用于由在客户机和寄载数据库的服务器之间的中间装置监控应用层流的***。所述***可包括在客户机装置和服务器之间部署的中间装置,所述中间装置包括执行应用流监控器的处理器。所述应用流监控器可被配置为从所述客户机装置接收以寄载具有第一类型的数据库的服务器为目标的第一数据库请求,所述第一数据库请求包括请求类型和请求字符串。所述应用流监控器可被配置为识别所述第一数据库请求的参数与一个或多个策略组成的集合中的第一策略的参数相匹配。所述应用流监控器可被配置为响应于该识别生成第一互联网协议流信息导出(IPFIX) 消息,所述第一IPFIX消息包括数据库的所述第一类型的标识、所述第一数据库请求的请求类型的标识和所述第一数据库请求的请求字符串。所述应用流监控器可被配置为向所述服务器发送所述第一数据库请求。所述应用流监控器可被配置为从所述服务器接收对所述第一数据库请求的第一响应,所述第一响应包括响应状态和响应字符串。所述应用流监控器可被配置为确定所述第一响应与所述第一数据库请求相对应。所述应用流监控器可被配置为响应于该确定,生成第二IPFIX消息,所述第二IPFIX消息包括所述第一响应的响应状态的标识和响应字符串。
在一些实施例中,所述应用流监控器还被配置为向所述第一客户机发送所述第一响应。在一些实施例中,所述应用流监控器还被配置为在不匹配所述第一响应的参数与所述第一策略的参数的情况下,确定所述第一响应与所述第一数据库请求相对应并且生成所述第二IPFIX消息。在一些实施例中,所述应用流监控器还被配置为将所述第一IPFIX消息和第二IPFIX消息发送给数据收集器。在一些实施例中,所述应用流监控器或者由第二装置执行的数据收集器还被配置为将所述第一IPFIX消息和第二IPFIX消息聚合到应用流记录内。在一些实施例中,所述应用流监控器还被配置为生成包括响应字符串的长度的标识的第二IPFIX消息。在一些实施例中,所述服务器包括多个计算装置,并且所述应用流监控器还被配置为识别所述多个计算装置中的第一计算装置并且将所述第一数据库请求发送给所识别的第一计算装置。在一些实施例中,所述应用流监控器还被配置为从所识别的第一计算装置接收所述第一响应。
在一些实施例中,所述应用流监控器还被配置为从所述客户机装置接收包括请求类型和请求字符串的第二数据库请求。在一些实施例中,所述应用流监控器还被配置为识别所述第二数据库请求的参数与所述第一策略的参数相匹配。在一些实施例中,所述应用流监控器还被配置为响应于该识别生成第三IPFIX消息,所述第三IPFIX消息包括所述第二数据库请求的请求类型的标识和所述第二数据库请求的请求字符串。在一些实施例中,所述应用流监控器还被配置为基于负载平衡策略识别所述多个计算装置中的第二计算装置。在一些实施例中,所述应用流监控器还被配置为向所识别的第二计算装置发送所述第二数据库请求。在一些实施例中,所述应用流监控器还被配置为从所识别的第二计算装置接收对所述第二数据库请求的第二响应,所述第二响应包括响应状态和响应字符串。在一些实施例中,所述应用流监控器还被配置为确定所述第二响应与所述第二数据库请求相对应。在一些实施例中,所述应用流监控器还被配置为响应于该确定生成第四IPFIX消息,所述第四IPFIX消息包括所述第二响应的响应状态的标识和响应字符串。在一些实施例中,所述应用流监控器还被配置为将所述第一、第二、第三和第四 IPFIX消息聚合到应用流记录内。
在一些实施例中,所述应用流监控器还被配置为响应于具有第一请求类型的第一数据库请求识别所述第一计算装置,并且响应于具有第二不同请求类型的第二数据库请求识别所述第二计算装置。
在附图和下文描述中详细阐述本文所述的方法和***的各种实施例的细节。
附图说明
通过参考下述结合附图的描述,本发明的前述和其它目的、方面、特征和优点将会更加明显并更易于理解,其中:
图1A是客户机经由设备访问服务器的网络环境的实施例的框图;
图1B是经由设备从服务器传送计算环境到客户机的环境的实施例的框图;
图1C是经由设备从服务器传送计算环境到客户机的环境的又一个实施例的框图;
图1D是经由设备从服务器传送计算环境到客户机的环境的又一个实施例的框图;
图1E到1H是计算装置的实施例的框图;
图2A是用于处理客户机和服务器之间的通信的设备的实施例的框图;
图2B是用于优化、加速、负载平衡和路由客户机和服务器之间的通信的设备的又一个实施例的框图;
图3是用于经由设备与服务器通信的客户机的实施例的框图;
图4A是虚拟化环境的实施例的框图;
图4B是虚拟化环境的又一个实施例的框图;
图4C是虚拟设备的实施例的框图;
图5A是在多核***中实现并行机制的方式的实施例的框图;
图5B是使用多核***的***实施例的框图;
图5C是多核***方面的另一实施例的框图;
图6A是中间装置的部署场景的实施例的框图;
图6B是示出第一装置、第二装置和在第一与第二装置之间部署的中间装置之间的双向四个流的框图;
图6C是用于通过多连接中间装置跟踪应用层流的设备的实施例的框图;
图7-13B是可用于跟踪应用或传输层流的数据记录模板的实施例的表格;
图14是可用于导出***日志的数据记录模板的实施例的表格;
图15是用于通过多连接中间装置跟踪应用层流的方法的实施例的流程图;
图16是用于根据会话或事务特定的特征聚合流数据记录的方法的实施例的流程图;
图17是用于监控和记录应用层流的网络环境的实施例的框图;以及
图18是用于监控和记录应用层流的方法的实施例的流程图。
根据在下文结合附图详细阐述的更细节的描述,本发明的特征和优势将会更明显,其中同样的附图标记自始至终标识对应的元素。在附图中,同样的附图标记通常指示相同的、功能上相似的和/或结构上相似的元素。
具体实施方式
为了阅读下文各种实施例的描述,下述对于说明书的部分以及它们各自内容的描述是有用的:
-A部分描述可用于实施本文描述的实施例的网络环境和计算环境;
-B部分描述用于将计算环境传送到远程用户的***和方法的实施例;
-C部分描述用于加速客户机和服务器之间的通信的***和方法的实施例;
-D部分描述用于对应用传送控制器进行虚拟化的***和方法的实施例;
-E部分描述用于提供多核架构和环境的***和方法的实施例;
-F部分描述用于通过多连接中间装置跟踪应用层流的***和方法的实施例;以及
-G部分描述用于监控数据库应用的应用层流的***和方法的实施例。
A.网络和计算环境
在讨论设备和/或客户机的***和方法的实施例的细节之前,讨论可在其中部署这些实施例的网络和计算环境是有帮助的。现在参见图1A,描述了网络环境的实施例。概括来讲,网络环境包括经由一个或多个网络104、104’ (总的称为网络104)与一个或多个服务器106a-106n(同样总的称为服务器106,或远程机器106)通信的一个或多个客户机102a-102n(同样总的称为本地机器102,或客户机102)。在一些实施例中,客户机102通过设备200与服务器106通信。
虽然图1A示出了在客户机102和服务器106之间的网络104和网络 104’,客户机102和服务器106可以位于同一个的网络104上。网络104和 104’可以是相同类型的网络或不同类型的网络。网络104和/或104’可为局域网(LAN)例如公司内网,城域网(MAN),或者广域网(WAN)例如因特网或万维网。在一个实施例中,网络104可为专用网络并且网络104’可为公网。在一些实施例中,网络104可为专用网并且网络104’可为公网。在又一个实施例中,网络104和104’可都为专用网。在一些实施例中,客户机102 可位于公司企业的分支机构中,通过网络104上的WAN连接与位于公司数据中心的服务器106通信。
网络104和/或104’可以是任何类型和/或形式的网络,并且可包括任何下述网络:点对点网络,广播网络,广域网,局域网,电信网络,数据通信网络,计算机网络,ATM(异步传输模式)网络,SONET(同步光纤网络) 网络,SDH(同步数字体系)网络,无线网络和有线网络。在一些实施例中,网络104可以包括无线链路,诸如红外信道或者卫星频带。网络104和/或 104’的拓扑可为总线型、星型或环型网络拓扑。网络104和/或104’以及网络拓扑可以是对于本领域普通技术人员所熟知的、可以支持本文描述的操作的任何这样的网络或网络拓扑。
如图1A所示,设备200被显示在网络104和104’之间,设备200也可被称为接口单元200或者网关200。在一些实施例中,设备200可位于网络 104上。例如,公司的分支机构可在分支机构中部署设备200。在其他实施例中,设备200可以位于网络104’上。例如,设备200可位于公司的数据中心。在又一个实施例中,多个设备200可在网络104上部署。在一些实施例中,多个设备200可部署在网络104’上。在一个实施例中,第一设备200与第二设备200’通信。在其他实施例中,设备200可为位于与客户机102同一或不同网络104、104’的任一客户机102或服务器106的一部分。一个或多个设备200可位于客户机102和服务器106之间的网络或网络通信路径中的任一点。
在一些实施例中,设备200包括由位于佛罗里达州Ft.Lauderdale的CitrixSystems公司制造的被称为Citrix NetScaler设备的任何网络设备。在其他实施例中,设备200包括由位于华盛顿州西雅图的F5Networks公司制造的被称为WebAccelerator和BigIP的任何一个产品实施例。在又一个实施例中,设备205包括由位于加利福尼亚州Sunnyvale的Juniper Networks公司制造的DX加速设备平台和/或诸如SA700、SA2000、SA4000和SA6000的SSL VPN系列设备中的任何一个。在又一个实施例中,设备200包括由位于加利福尼亚州San Jose的Cisco Systems公司制造的任何应用加速和/或安全相关的设备和/或软件,例如Cisco ACE应用控制引擎模块服务(Application Control Engine Moduleservice)软件和网络模块以及Cisco AVS系列应用速度***(Application VelocitySystem)。
在一些实施例中,***可包括多个逻辑分组的服务器106。在这些实施例中,服务器的逻辑分组可以被称为服务器群38。在其中一些实施例中,服务器106可为地理上分散的。在一些情况中,群38可以作为单个实体被管理。在其他实施例中,服务器群38包括多个服务器群38。在一个实施例中,服务器群代表一个或多个客户机102执行一个或多个应用程序。
在每个群38中的服务器106可为不同种类。一个或多个服务器106可根据一种类型的操作***平台(例如,由华盛顿州Redmond的Microsoft公司制造的WINDOWS NT)操作,而一个或多个其它服务器106可根据另一类型的操作***平台(例如,Unix或Linux)操作。每个群38的服务器106 不需要与同一群38内的另一个服务器106物理上接近。因此,被逻辑分组为群38的服务器106组可使用广域网(WAN)连接或城域网(MAN)连接互联。例如,群38可包括物理上位于不同大陆或大陆的不同区域、国家、州、城市、校园或房间的服务器106。如果使用局域网(LAN)连接或一些直连形式来连接服务器106,则可增加群38中的服务器106间的数据传送速度。
服务器106可指文件服务器、应用服务器、web服务器、代理服务器或者网关服务器。在一些实施例中,服务器106可以有作为应用服务器或者作为主应用服务器工作的能力。在一个实施例中,服务器106可包括活动目录。客户机102也可称为客户端节点或端点。在一些实施例中,客户机102可以有作为客户机节点寻求访问服务器上的应用的能力,也可以有作为应用服务器为其它客户机102a-102n提供对寄载的应用的访问的能力。
在一些实施例中,客户机102与服务器106通信。在一个实施例中,客户机102与群38中的服务器106的其中一个直接通信。在又一个实施例中,客户机102执行程序邻近应用(program neighborhood application)以与群38 内的服务器106通信。在又一个实施例中,服务器106提供主节点的功能。在一些实施例中,客户机102通过网络104与群38中的服务器106通信。通过网络104,客户机102例如可以请求执行群38中的服务器106a-106n寄载的各种应用,并接收应用执行结果的输出进行显示。在一些实施例中,只有主节点提供识别和提供与寄载所请求的应用的服务器106’相关的地址信息所需的功能。
在一些实施例中,服务器106提供web服务器的功能。在又一个实施例中,服务器106a接收来自客户机102的请求,将该请求转发到第二服务器 106b,并使用来自服务器106b对该请求的响应来对客户机102的请求进行响应。在又一个实施例中,服务器106获得客户机102可用的应用的列举以及与由该应用的列举所识别的应用的服务器106相关的地址信息。在又一个实施例中,服务器106使用web接口将对请求的响应提供给客户机102。在一个实施例中,客户机102直接与服务器106通信以访问所识别的应用。在又一个实施例中,客户机102接收由执行服务器106上所识别的应用而产生的诸如显示数据的应用输出数据。
现参考图1B,描述了部署多个设备200的网络环境的实施例。第一设备200可以部署在第一网络104上,而第二设备200’部署在第二网络104’上。例如,公司可以在分支机构部署第一设备200,而在数据中心部署第二设备200’。在又一个实施例中,第一设备200和第二设备200’被部署在同一个网络104或网络104上。例如,第一设备200可以被部署用于第一服务器群38,而第二设备200可以被部署用于第二服务器群38’。在另一个实例中,第一设备200可以被部署在第一分支机构,而第二设备200’被部署在第二分支机构’。在一些实施例中,第一设备200和第二设备200’彼此协同或联合工作,以加速客户机和服务器之间的网络流量或应用和数据的传送。
现参考图1C,描述了网络环境的又一个实施例,在该网络环境中,将设备200和一个或多个其它类型的设备部署在一起,例如,部署在一个或多个WAN优化设备205,205’之间。例如,第一WAN优化设备205显示在网络104和104’之间,而第二WAN优化设备205’可以部署在设备200和一个或多个服务器106之间。例如,公司可以在分支机构部署第一WAN优化设备205,而在数据中心部署第二WAN优化设备205’。在一些实施例中,设备205可以位于网络104’上。在其他实施例中,设备205’可以位于网络104 上。在一些实施例中,设备205’可以位于网络104’或网络104"上。在一个实施例中,设备205和205’在同一个网络上。在又一个实施例中,设备205 和205’在不同的网络上。在另一个实例中,第一WAN优化设备205可以被部署用于第一服务器群38,而第二WAN优化设备205’可以被部署用于第二服务器群38’。
在一些实施例中,设备205是用于加速、优化或者以其他方式改善任何类型和形式的网络流量(例如去往和/或来自WAN连接的流量)的性能、操作或服务质量的装置。在一些实施例中,设备205是一个性能增强代理。在其他实施例中,设备205是任何类型和形式的WAN优化或加速装置,有时也被称为WAN优化控制器。在一个实施例中,设备205是由位于佛罗里达州Ft.Lauderdale的Citrix Systems公司出品的被称为WANScaler的产品实施例中的任何一种。在其他实施例中,设备205包括由位于华盛顿州Seattle 的F5Networks公司出品的被称为BIG-IP链路控制器和WANjet的产品实施例中的任何一种。在又一个实施例中,设备205包括由位于加利福尼亚州 Sunnyvale的Juniper NetWorks公司出品的WX和WXCWAN加速装置平台中的任何一种。在一些实施例中,设备205包括由加利福尼亚州SanFrancisco 的Riverbed Technology公司出品的虹鳟(steelhead)系列WAN优化设备中的任何一种。在其他实施例中,设备205包括由位于新泽西州Roseland的 Expand Networks公司出品的WAN相关装置中的任何一种。在一个实施例中,设备205包括由位于加利福尼亚州Cupertino的Packeteer公司出品的任何一种WAN相关设备,例如由Packeteer提供的PacketShaper、iShared和 SkyX产品实施例。在又一个实施例中,设备205包括由位于加利福尼亚州 San Jose的Cisco Systems公司出品的任何WAN相关设备和/或软件,例如 Cisco广域网应用服务软件和网络模块以及广域网引擎设备。
在一些实施例中,设备205为分支机构或远程办公室提供应用和数据加速服务。在一个实施例中,设备205包括广域文件服务(WAFS)的优化。在又一个实施例中,设备205加速文件的传送,例如经由通用互联网文件***(CIFS)协议。在其他实施例中,设备205在存储器和/或存储装置中提供高速缓存来加速应用和数据的传送。在一个实施例中,设备205在任何级别的网络堆栈或在任何的协议或网络层中提供网络流量的压缩。在又一个实施例中,设备205提供传输层协议优化、流量控制、性能增强或修改和/或管理,以加速WAN连接上的应用和数据的传送。例如,在一个实施例中,设备205提供传输控制协议(TCP)优化。在其他实施例中,设备205提供对于任何会话或应用层协议的优化、流量控制、性能增强或修改和/或管理。
在又一个实施例中,设备205将任何类型和形式的数据或信息编码成网络分组的定制的或标准的TCP和/或IP的报头字段或可选字段,以将其存在、功能或能力通告给另一个设备205’。在又一个实施例中,设备205’可以使用在TCP和/或IP报头字段或选项中编码的数据来与另一个设备205’进行通信。例如,设备可以使用TCP选项或IP报头字段或选项来传达在执行诸如 WAN加速的功能时或者为了彼此联合工作而由设备205,205’所使用的一个或多个参数。
在一些实施例中,设备200保存在设备205和205’之间传达的TCP和/ 或IP报头和/或可选字段中编码的任何信息。例如,设备200可以终止经过设备200的传输层连接,例如经过设备205和205’的在客户机和服务器之间的一个传输层连接。在一个实施例中,设备200识别并保存由第一设备205 通过第一传输层连接发送的传输层分组中的任何编码信息,并经由第二传输层连接来将具有编码信息的传输层分组传达到第二设备205’。
现参考图1D,描述了用于传送和/或操作客户机102上的计算环境的网络环境。在一些实施例中,服务器106包括用于向一个或多个客户机102传送计算环境或应用和/或数据文件的应用传送***190。总的来说,客户机10 通过网络104、104’和设备200与服务器106通信。例如,客户机102可驻留在公司的远程办公室里,例如分支机构,并且服务器106可驻留在公司数据中心。客户机102包括客户机代理120以及计算环境15。计算环境15可执行或操作用于访问、处理或使用数据文件的应用。可经由设备200和/或服务器106传送计算环境15、应用和/或数据文件。
在一些实施例中,设备200加速计算环境15或者其任何部分到客户机 102的传送。在一个实施例中,设备200通过应用传送***190加速计算环境15的传送。例如,可使用此处描述的实施例来加速从公司中央数据中心到远程用户位置(例如公司的分支机构)的流应用(streaming application) 及该应用可处理的数据文件的传送。在又一个实施例中,设备200加速客户机102和服务器106之间的传输层流量。设备200可以提供用于加速从服务器106到客户机102的任何传输层有效载荷的加速技术,例如:1)传输层连接池,2)传输层连接多路复用,3)传输控制协议缓冲,4)压缩和5)高速缓存。在一些实施例中,设备200响应于来自客户机102的请求提供服务器106的负载平衡。在其他实施例中,设备200充当代理或者访问服务器来提供对一个或者多个服务器106的访问。在又一个实施例中,设备200提供从客户机102的第一网络104到服务器106的第二网络104’的安全虚拟专用网络连接,诸如SSLVPN连接。在又一些实施例中,设备200提供客户机 102和服务器106之间的连接和通信的应用防火墙安全、控制和管理。
在一些实施例中,基于多个执行方法并且基于通过策略引擎195所应用的任一验证和授权策略,应用传送管理***190提供将计算环境传送到远程的或者另外的用户的桌面的应用传送技术。使用这些技术,远程用户可以从任何网络连接装置100获取计算环境并且访问服务器所存储的应用和数据文件。在一个实施例中,应用传送***190可驻留在服务器106上或在其上执行。在又一个实施例中,应用传送***190可驻留在多个服务器106a-106n 上或在其上执行。在一些实施例中,应用传送***190可在服务器群38内执行。在一个实施例中,执行应用传送***190的服务器106也可存储或提供应用和数据文件。在又一个实施例中,一个或多个服务器106的第一组可执行应用传送***190,而不同的服务器106n可存储或提供应用和数据文件。在一些实施例中,应用传送***190、应用和数据文件中的每一个可驻留或位于不同的服务器。在又一个实施例中,应用传送***190的任何部分可驻留、执行、或被存储于或分发到设备200或多个设备。
客户机102可包括用于执行使用或处理数据文件的应用的计算环境15。客户机102可通过网络104、104’和设备200请求来自服务器106的应用和数据文件。在一个实施例中,设备200可以将来自客户机102的请求转发到服务器106。例如,客户机102可能不具有本地存储或者本地可访问的应用和数据文件。响应于请求,应用传送***190和/或服务器106可以传送应用和数据文件到客户机102。例如,在一个实施例中,服务器106可以把应用作为应用流来传输,以在客户机102上的计算环境15中操作。
在一些实施例中,应用传送***190包括Citrix Systems有限公司的 CitrixAccess SuiteTM的任一部分(例如MetaFrame或Citrix Presentation ServerTM),和/或微软公司开发的Windows终端服务中的任何一个。在一个实施例中,应用传送***190可以通过远程显示协议或者以其它方式通过基于远程计算或者基于服务器计算来传送一个或者多个应用到客户机102或者用户。在又一个实施例中,应用传送***190可以通过应用流来传送一个或者多个应用到客户机或者用户。
在一些实施例中,应用传送***190包括策略引擎195,其用于控制和管理对应用的访问、应用执行方法的选择以及应用的传送。在一些实施例中,策略引擎195确定用户或者客户机102可以访问的一个或者多个应用。在又一个实施例中,策略引擎195确定应用应该如何被传送到用户或者客户机 102,例如执行方法。在一些实施例中,应用传送***190提供多个传送技术,从中选择应用执行的方法,例如基于服务器的计算、本地流式传输或传送应用给客户机120以用于本地执行。
在一些实施例中,客户机102请求应用程序的执行并且包括服务器106 的应用传送***190选择执行应用程序的方法。在一些实施例中,服务器106 从客户机102接收证书。在又一个实施例中,服务器106从客户机102接收对于可用应用的列举的请求。在一个实施例中,响应该请求或者证书的接收,应用传送***190列举对于客户机102可用的多个应用程序。应用传送*** 190接收执行所列举的应用的请求。应用传送***190选择预定数量的方法之一来执行所列举的应用,例如响应策略引擎的策略。应用传送***190可以选择执行应用的方法,使得客户机102接收通过执行服务器106上的应用程序所产生的应用输出数据。应用传送***190可以选择执行应用的方法,使得本地机器10在检索包括应用的多个应用文件之后本地执行应用程序。在又一个实施例中,应用传送***190可以选择执行应用的方法,以通过网络104流式传输应用到客户机102。
客户机102可以执行、操作或者以其它方式提供应用,所述应用可为任何类型和/或形式的软件、程序或者可执行指令,例如任何类型和/或形式的 web浏览器、基于web的客户机、客户机-服务器应用、瘦客户端计算客户机、ActiveX控件、或者Java程序、或者可以在客户机102上执行的任何其它类型和/或形式的可执行指令。在一些实施例中,应用可以是代表客户机 102在服务器106上执行的基于服务器或者基于远程的应用。在一个实施例中,服务器106可以使用任何瘦-客户端或远程显示协议来显示输出到客户机102,所述瘦-客户端或远程显示协议例如由位于佛罗里达州Ft.Lauderdale 的Citrix Systems公司出品的独立计算架构(ICA)协议或由位于华盛顿州 Redmond的微软公司出品的远程桌面协议(RDP)。应用可使用任何类型的协议,并且它可为,例如,HTTP客户机、FTP客户机、Oscar客户机或Telnet 客户机。在其他实施例中,应用包括和VoIP通信相关的任何类型的软件,例如软IP电话。在进一步的实施例中,应用包括涉及到实时数据通信的任一应用,例如用于流式传输视频和/或音频的应用。
在一些实施例中,服务器106或服务器群38可运行一个或多个应用,例如提供瘦客户端计算或远程显示表示应用的应用。在一个实施例中,服务器106或服务器群38作为一个应用来执行Citrix Systems有限公司的Citrix Access SuiteTM的任一部分(例如MetaFrame或Citrix Presentation ServerTM),和/或微软公司开发的Windows终端服务中的任何一个。在一个实施例中,该应用是位于佛罗里达州FortLauderdale的Citrix Systems有限公司开发的ICA客户机。在其他实施例中,该应用包括由位于华盛顿州 Redmond的Microsoft公司开发的远程桌面(RDP)客户机。另外,服务器 106可以运行一个应用,例如,其可以是提供电子邮件服务的应用服务器,例如由位于华盛顿州Redmond的Microsoft公司制造的Microsoft Exchange, web或Internet服务器,或者桌面共享服务器,或者协作服务器。在一些实施例中,任一应用可以包括任一类型的所寄载的服务或产品,例如位于加利福尼亚州Santa Barbara的Citrix Online Division公司提供的GoToMeetingTM,位于加利福尼亚州Santa Clara的WebEx有限公司提供的WebExTM,或者位于华盛顿州Redmond的Microsoft公司提供的Microsoft Office Live Meeting。
仍参考图1D,网络环境的一个实施例可以包括监控服务器106A。监控服务器106A可以包括任何类型和形式的性能监控服务198。性能监控服务 198可以包括监控、测量和/或管理软件和/或硬件,包括数据收集、集合、分析、管理和报告。在一个实施例中,性能监控服务198包括一个或多个监控代理197。监控代理197包括用于在诸如客户机102、服务器106或设备 200和205的装置上执行监控、测量和数据收集活动的任何软件、硬件或其组合。在一些实施例中,监控代理197包括诸如Visual Basic脚本或Javascript 任何类型和形式的脚本。在一个实施例中,监控代理197相对于装置的任何应用和/或用户透明地执行。在一些实施例中,监控代理197相对于应用或客户机不显眼地被安装和操作。在又一个实施例中,监控代理197的安装和操作不需要用于该应用或装置的任何设备。
在一些实施例中,监控代理197以预定频率监控、测量和收集数据。在其他实施例中,监控代理197基于检测到任何类型和形式的事件来监控、测量和收集数据。例如,监控代理197可以在检测到对web页面的请求或收到 HTTP响应时收集数据。在另一个实例中,监控代理197可以在检测到诸如鼠标点击的任一用户输入事件时收集数据。监控代理197可以报告或提供任何所监控、测量或收集的数据给监控服务198。在一个实施例中,监控代理 197根据时间安排或预定频率来发送信息给监控服务198。在又一个实施例中,监控代理197在检测到事件时发送信息给监控服务198。
在一些实施例中,监控服务198和/或监控代理197对诸如客户机、服务器、服务器群、设备200、设备205或网络连接的任何网络资源或网络基础结构元件的进行监控和性能测量。在一个实施例中,监控服务198和/或监控代理197执行诸如TCP或UDP连接的任何传输层连接的监控和性能测量。在又一个实施例中,监控服务198和/或监控代理197监控和测量网络等待时间。在又一个实施例中,监控服务198和/或监控代理197监控和测量带宽利用。
在其他实施例中,监控服务198和/或监控代理197监控和测量终端用户响应时间。在一些实施例中,监控服务198执行应用的监控和性能测量。在又一个实施例中,监控服务198和/或监控代理197执行到应用的任何会话或连接的监控和性能测量。在一个实施例中,监控服务198和/或监控代理197 监控和测量浏览器的性能。在又一个实施例中,监控服务198和/或监控代理 197监控和测量基于HTTP的事务的性能。在一些实施例中,监控服务198和/或监控代理197监控和测量IP电话(VoIP)应用或会话的性能。在其他实施例中,监控服务198和/或监控代理197监控和测量诸如ICA客户机或 RDP客户机的远程显示协议应用的性能。在又一个实施例中,监控服务198 和/或监控代理197监控和测量任何类型和形式的流媒体的性能。在进一步的实施例中,监控服务198和/或监控代理197监控和测量所寄载的应用或软件即服务(Software-As-A-Service,SaaS)传送模型的性能。
在一些实施例中,监控服务198和/或监控代理197执行与应用相关的一个或多个事务、请求或响应的监控和性能测量。在其他实施例中,监控服务 198和/或监控代理197监控和测量应用层堆栈的任何部分,例如任何.NET 或J2EE调用。在一个实施例中,监控服务198和/或监控代理197监控和测量数据库或SQL事务。在又一个实施例中,监控服务198和/或监控代理197 监控和测量任何方法、函数或应用编程接口(API)调用。
在一些实施例中,监控服务198和/或监控代理197对经由诸如设备200 和/或设备205的一个或多个设备从服务器到客户机的应用和/或数据的传送进行监控和性能测量。在一些实施例中,监控服务198和/或监控代理197 监控和测量虚拟化应用的传送的性能。在其他实施例中,监控服务198和/ 或监控代理197监控和测量流式应用的传送的性能。在又一个实施例中,监控服务198和/或监控代理197监控和测量传送桌面应用到客户机和/或在客户机上执行桌面应用的性能。在又一个实施例中,监控服务198和/或监控代理197监控和测量客户机/服务器应用的性能。
在一些实施例中,监控服务198和/或监控代理197被设计和构建成为应用传送***190提供应用性能管理。例如,监控服务198和/或监控代理197 可以监控、测量和管理经由Citrix表示服务器(Citrix Presentation Server)传送应用的性能。在该实例中,监控服务198和/或监控代理197监控单独的 ICA会话。监控服务198和/或监控代理197可以测量总的以及每次的会话***资源使用,以及应用和连网性能。监控服务198和/或监控代理197可以对于给定用户和/或用户会话来标识有效服务器(active server)。在一些实施例中,监控服务198和/或监控代理197监控在应用传送***190和应用和/或数据库服务器之间的后端连接。监控服务198和/或监控代理197可以测量每个用户会话或ICA会话的网络等待时间、延迟和容量。
在一些实施例中,监控服务198和/或监控代理197测量和监控对于应用传送***190的诸如总的存储器使用、每个用户会话和/或每个进程的存储器使用。在其他实施例中,监控服务198和/或监控代理197测量和监控诸如总的CPU使用、每个用户会话和/或每个进程的应用传送***190的CPU使用。在又一个实施例中,监控服务198和/或监控代理197测量和监控登录到诸如 Citrix表示服务器的应用、服务器或应用传送***所需的时间。在一个实施例中,监控服务198和/或监控代理197测量和监控用户登录应用、服务器或应用传送***190的持续时间。在一些实施例中,监控服务198和/或监控代理197测量和监控应用、服务器或应用传送***会话的有效和无效的会话计数。在又一个实施例中,监控服务198和/或监控代理197测量和监控用户会话等待时间。
在另外的实施例中,监控服务198和/或监控代理197测量和监控任何类型和形式的服务器指标。在一个实施例中,监控服务198和/或监控代理197 测量和监控与***内存、CPU使用和盘存储器有关的指标。在又一个实施例中,监控服务198和/或监控代理197测量和监控和页错误有关的指标,诸如每秒页错误。在其他实施例中,监控服务198和/或监控代理197测量和监控往返时间的指标。在又一个实施例中,监控服务198和/或监控代理197测量和监控与应用崩溃、错误和/或中止相关的指标。
在一些实施例中,监控服务198和监控代理198包括由位于佛罗里达州Ft.Lauderdale的Citrix Systems公司出品的被称为EdgeSight的任何一种产品实施例。在又一个实施例中,性能监控服务198和/或监控代理198包括由位于加利福尼亚州Palo Alto的Symphoniq公司出品的被称为TrueView产品套件的产品实施例的任一部分。在一个实施例中,性能监控服务198和/或监控代理198包括由位于加利福尼亚州San Francisco的TeaLeaf技术公司出品的被称为TeaLeafCX产品套件的产品实施例的任何部分。在其他实施例中,性能监控服务198和/或监控代理198包括由位于德克萨斯州Houston的BMC 软件公司出品的诸如BMC性能管理器和巡逻产品(BMC Performance Manager and Patrolproducts)的商业服务管理产品的任何部分。
客户机102、服务器106和设备200可以被部署为和/或执行在任何类型和形式的计算装置上,诸如能够在任何类型和形式的网络上通信并执行此处描述的操作的计算机、网络装置或者设备。图1E和1F描述了可用于实施客户机102、服务器106或设备200的实施例的计算装置100的框图。如图1E 和1F所示,每个计算装置100包括中央处理单元101和主存储器单元122。如图1E所示,计算装置100可以包括可视显示装置124、键盘126和/或诸如鼠标的指示装置127。每个计算装置100也可包括其它可选元件,例如一个或多个输入/输出装置130a-130b(总的使用附图标记130表示),以及与中央处理单元101通信的高速缓存存储器140。
中央处理单元101是响应并处理从主存储器单元122取出的指令的任何逻辑电路。在许多实施例中,中央处理单元由微处理器单元提供,例如:由加利福尼亚州MountainView的Intel公司制造的微处理器单元;由伊利诺伊州Schaumburg的Motorola公司制造的微处理器单元;由加利福尼亚州Santa Clara的Transmeta公司制造的微处理器单元;由纽约州White Plains的 International Business Machines公司制造的RS/6000处理器;或者由加利福尼亚州Sunnyvale的Advanced Micro Devices公司制造的微处理器单元。计算装置100可以基于这些处理器中的任何一种,或者能够如此处所述方式运行的任何其它处理器。
主存储器单元122可以是能够存储数据并允许微处理器101直接访问任何存储位置的一个或多个存储器芯片,例如静态随机存取存储器(SRAM)、突发SRAM或同步突发SRAM(BSRAM)、动态随机存取存储器DRAM、快速页模式DRAM(FPM DRAM)、增强型DRAM(EDRAM)、扩展数据输出RAM(EDO RAM)、扩展数据输出DRAM(EDO DRAM)、突发式扩展数据输出DRAM(BEDODRAM)、增强型DRAM(EDRAM)、同步DRAM (SDRAM)、JEDEC SRAM、PC100SDRAM、双数据速率SDRAM(DDR SDRAM)、增强型SRAM(ESDRAM)、同步链路DRAM(SLDRAM)、直接内存总线DRAM(DRDRAM)或铁电RAM(FRAM)。主存储器122可以基于上述存储芯片的任何一种,或者能够如此处所述方式运行的任何其它可用存储芯片。在图1E中所示的实施例中,处理器101通过***总线150 (在下面进行更详细的描述)与主存储器122进行通信。图1F描述了在其中处理器通过存储器端口103直接与主存储器122通信的计算装置100的实施例。例如,在图1F中,主存储器122可以是DRDRAM。
图1F描述了在其中主处理器101通过第二总线与高速缓存存储器140 直接通信的实施例,第二总线有时也称为后端总线。其他实施例中,主处理器101使用***总线150和高速缓存存储器140通信。高速缓存存储器140 通常有比主存储器122更快的响应时间,并且通常由SRAM、BSRAM或 EDRAM提供。在图1F中所示的实施例中,处理器101通过本地***总线150与多个I/O装置130进行通信。可以使用各种不同的总线将中央处理单元101连接到任何I/O装置130,所述总线包括VESA VL总线、ISA总线、 EISA总线、微通道体系结构(MCA)总线、PCI总线、PCI-X总线、PCI-Express 总线或NuBus。对于I/O装置是视频显示器124的实施例,处理器101可以使用高级图形端口(AGP)与显示器124通信。图1F说明了主处理器101 通过超传输(HyperTransport)、快速I/O或者InfiniBand直接与I/O装置130 通信的计算机100的一个实施例。图1F还描述了在其中混合本地总线和直接通信的实施例:处理器101使用本地互连总线与I/O装置130b进行通信,同时直接与I/O装置130a进行通信。
计算装置100可以支持任何适当的安装装置116,例如用于接纳诸如3.5 英寸、5.25英寸磁盘或ZIP磁盘这样的软盘的软盘驱动器、CD-ROM驱动器、 CD-R/RW驱动器、DVD-ROM驱动器、各种格式的磁带驱动器、USB装置、硬盘驱动器或适于安装像任何客户机代理120或其部分的软件和程序的任何其它装置。计算装置100还可以包括存储装置128,诸如一个或者多个硬盘驱动器或者独立磁盘冗余阵列,用于存储操作***和其它相关软件,以及用于存储诸如涉及客户机代理120的任何程序的应用软件程序。或者,可以使用安装装置116的任何一种作为存储装置128。此外,操作***和软件可从例如可引导CD的可引导介质运行,诸如一种用于GNU/Linux 的可引导CD,该可引导CD可自knoppix.net作为GNU/Linux一个分发版获得。
此外,计算装置100可以包括通过多种连接接口到局域网(LAN)、广域网(WAN)或因特网的网络接口118,所述多种连接包括但不限于标准电话线路、LAN或WAN链路(例如802.11,T1,T3、56kb、X.25)、宽带连接(如ISDN、帧中继、ATM)、无线连接、或上述任何或所有连接的一些组合。网络接口118可以包括内置网络适配器、网络接口卡、PCMCIA网络卡、卡总线网络适配器、无线网络适配器、USB网络适配器、调制解调器或适用于将计算装置100接口到能够通信并执行这里所说明的操作的任何类型的网络的任何其它设备。计算装置100中可以包括各种I/O装置130a-130n。输入装置包括键盘、鼠标、触控板、轨迹球、麦克风和绘图板。输出装置包括视频显示器、扬声器、喷墨打印机、激光打印机和热升华打印机。如图1E所示,I/O装置130可以由I/O控制器123控制。I/O控制器可以控制一个或多个I/O装置,例如键盘126和指示装置127(如鼠标或光笔)。此外,I/O 装置还可以为计算装置100提供存储装置128和/或安装介质116。在其他实施例中,计算装置100可以提供USB连接以接纳手持USB存储装置,例如由位于美国加利福尼亚州Los Alamitos的Twintech Industry有限公司生产的 USB闪存驱动系列装置。
在一些实施例中,计算装置100可以包括多个显示装置124a-124n或与其相连,这些显示装置各自可以是相同或不同的类型和/或形式。因而,任何一种I/O装置130a-130n和/或I/O控制器123可以包括任一类型和/或形式的适当的硬件、软件或硬件和软件的组合,以支持、允许或提供通过计算装置 100连接和使用多个显示装置124a-124n。例如,计算装置100可以包括任何类型和/或形式的视频适配器、视频卡、驱动器和/或库,以与显示装置 124a-124n接口、通信、连接或以其他方式使用显示装置。在一个实施例中,视频适配器可以包括多个连接器以与多个显示装置124a-124n接口。在其他实施例中,计算装置100可以包括多个视频适配器,每个视频适配器与显示装置124a-124n中的一个或多个连接。在一些实施例中,计算装置100的操作***的任一部分都可以被配置用于使用多个显示器124a-124n。在其他实施例中,显示装置124a-124n中的一个或多个可以由一个或多个其它计算装置提供,诸如例如通过网络与计算装置100连接的计算装置100a和100b。这些实施例可以包括被设计和构造为将另一个计算机的显示装置用作计算装置100的第二显示装置124a的任一类型的软件。本领域的普通技术人员应认识和理解可以将计算装置100配置成具有多个显示装置124a-124n的各种方法和实施例。
在另外的实施例中,I/O装置130可以是***总线150和外部通信总线之间的桥170,所述外部通信总线例如USB总线、Apple桌面总线、RS-232 串行连接、SCSI总线、FireWire总线、FireWire800总线、以太网总线、 AppleTalk总线、千兆位以太网总线、异步传输模式总线、HIPPI总线、超级 HIPPI总线、SerialPlus总线、SCI/LAMP总线、光纤信道总线或串行SCSI 总线。
图1E和1F中描述的那类计算装置100通常在控制任务的调度和对***资源的访问的操作***的控制下操作。计算装置100可以运行任何操作***,如Windows操作***,不同发行版本的Unix和Linux操作***,用于Macintosh计算机的任何版本的MAC任何嵌入式操作***,任何实时操作***,任何开源操作***,任何专有操作***,任何用于移动计算装置的操作***,或者任何其它能够在计算装置上运行并完成这里所述操作的操作***。典型的操作***包括:WINDOWS 3.x、WINDOWS 95、 WINDOWS 98、WINDOWS2000、WINDOWS NT 3.51、WINDOWS NT 4.0、 WINDOWS CE和WINDOWS XP,所有这些均由位于华盛顿州Redmond的微软公司出品;由位于加利福尼亚州Cupertino的苹果计算机出品的MacOS;由位于纽约州Armonk的国际商业机器公司出品的OS/2;以及由位于犹他州 SaltLake City的Caldera公司发布的可***的Linux操作***或者任何类型和/或形式的Unix操作***,以及其它。
在其他的实施例中,计算装置100可以有符合该装置的不同的处理器、操作***和输入设备。例如,在一个实施例中,计算机100是由Palm公司出品的Treo180、270、1060、600或650智能电话。在该实施例中,Treo智能电话在PalmOS操作***的控制下操作,并包括指示笔输入装置以及五向导航装置。此外,计算装置100可以是任何工作站、桌面计算机、膝上型或笔记本计算机、服务器、手持计算机、移动电话、任何其它计算机、或能够通信并有足够的处理器能力和存储容量以执行此处所述的操作的其它形式的计算或者电信装置。
如图1G所示,计算装置100可以包括多个处理器,可以提供用于对不只一个数据片同时执行多个指令或者同时执行一个指令的功能。在一些实施例中,计算装置100可包括具有一个或多个核的并行处理器。在这些实施例的一个中,计算装置100是共享内存并行设备,具有多个处理器和/或多个处理器核,将所有可用内存作为一个全局地址空间进行访问。在这些实施例的又一个中,计算装置100是分布式存储器并行设备,具有多个处理器,每个处理器访问本地存储器。在这些实施例的又一个中,计算装置100既有共享的存储器又有仅由特定处理器或处理器子集访问的存储器。在这些实施例的又一个中,如多核微处理器的计算装置100将两个或多个独立处理器组合在一个封装中,通常在一个集成电路(IC)中。在这些实施例的又一个中,计算装置100包括具有单元宽带引擎(CELL BROADBAND ENGINE)架构的芯片,并包括高能处理器单元以及多个协同处理单元,高能处理器单元和多个协同处理单元通过内部高速总线连接在一起,可以将内部高速总线称为单元互连总线。
在一些实施例中,处理器提供用于对多个数据片同时执行单个指令 (SIMD)的功能。其他实施例中,处理器提供用于对多个数据片同时执行多个指令(MIMD)的功能。又一个实施例中,处理器可以在单个装置中使用SIMD和MIMD核的任意组合。
在一些实施例中,计算装置100可包括图像处理单元。图1H所示的在这些实施例的一个中,计算装置100包括至少一个中央处理单元101和至少一个图像处理单元。在这些实施例的又一个中,计算装置100包括至少一个并行处理单元和至少一个图像处理单元。在这些实施例的又一个中,计算装置100包括任意类型的多个处理单元,多个处理单元中的一个包括图像处理单元。
在一些实施例中,第一计算装置100a代表客户计算装置100b的用户执行应用。又一个实施例中,计算装置100执行虚拟机,其提供执行会话,在该会话中,代表客户计算装置100b的用户执行应用。在这些实施例的一个中,执行会话是寄载的桌面会话。在这些实施例的又一个中,计算装置100 执行终端服务会话。终端服务会话可以提供寄载的桌面环境。在这些实施例的又一个中,执行会话提供对计算环境的访问,该计算环境可包括以下的一个或多个:应用、多个应用、桌面应用以及可执行一个或多个应用的桌面会话。
B.设备架构
图2A示出设备200的一个示例实施例。提供图2A的设备200架构仅用于示例,并不意于作为限制性的架构。如图2A所示,设备200包括硬件层206和被分为用户空间202和内核空间204的软件层。
硬件层206提供硬件元件,在内核空间204和用户空间202中的程序和服务在该硬件元件上被执行。硬件层206也提供结构和元件,就设备200而言,这些结构和元件允许在内核空间204和用户空间202内的程序和服务既在内部进行数据通信又与外部进行数据通信。如图2A所示,硬件层206包括用于执行软件程序和服务的处理单元262,用于存储软件和数据的存储器 264,用于通过网络传输和接收数据的网络端口266,以及用于执行与安全套接字协议层相关的功能处理通过网络传输和接收的数据的加密处理器260。在一些实施例中,中央处理单元262可在单独的处理器中执行加密处理器 260的功能。另外,硬件层206可包括用于每个处理单元262和加密处理器 260的多处理器。处理器262可以包括以上结合图1E和1F所述的任一处理器101。例如,在一个实施例中,设备200包括第一处理器262和第二处理器262’。在其他实施例中,处理器262或者262’包括多核处理器。
虽然示出的设备200的硬件层206通常带有加密处理器260,但是处理器260可为执行涉及任何加密协议的功能的处理器,例如安全套接字协议层 (SSL)或者传输层安全(TLS)协议。在一些实施例中,处理器260可为通用处理器(GPP),并且在进一步的实施例中,可为用于执行任何安全相关协议处理的可执行指令。
虽然图2A中设备200的硬件层206包括了某些元件,但是设备200的硬件部分或组件可包括计算装置的任何类型和形式的元件、硬件或软件,例如此处结合图1E和1F示出和讨论的计算装置100。在一些实施例中,设备 200可包括服务器、网关、路由器、开关、桥接器或其它类型的计算或网络设备,并且拥有与此相关的任何硬件和/或软件元件。
设备200的操作***分配、管理或另外分离可用的***存储器到内核空间204和用户空间204。在示例的软件架构200中,操作***可以是任何类型和/或形式的Unix操作***,尽管本发明并未这样限制。这样,设备200 可以运行任何操作***,如任何版本的Windows操作***、不同版本的Unix和Linux操作***、用于Macintosh计算机的任何版本的Mac 任何的嵌入式操作***、任何的网络操作***、任何的实时操作***、任何的开放源操作***、任何的专用操作***、用于移动计算装置或网络装置的任何操作***、或者能够运行在设备200上并执行此处所描述的操作的任何其它操作***。
保留内核空间204用于运行内核230,内核230包括任何设备驱动器,内核扩展或其他内核相关软件。就像本领域技术人员所知的,内核230是操作***的核心,并提供对资源以及设备104的相关硬件元件的访问、控制和管理。根据设备200的实施例,内核空间204也包括与高速缓存管理器232 协同工作的多个网络服务或进程,高速缓存管理器232有时也称为集成的高速缓存,其益处此处将进一步详细描述。另外,内核230的实施例将依赖于通过设备200安装、配置或其他使用的操作***的实施例。
在一些实施例中,设备200包括一个网络堆栈267,例如基于TCP/IP 的堆栈,用于与客户机102和/或服务器106通信。在一个实施例中,使用网络堆栈267与第一网络(例如网络108)以及第二网络110通信。在一些实施例中,设备200终止第一传输层连接,例如客户机102的TCP连接,并建立客户机102使用的到服务器106的第二传输层连接,例如,终止在设备200和服务器106的第二传输层连接。可通过单独的网络堆栈267建立第一和第二传输层连接。在其他实施例中,设备200可包括多个网络堆栈,例如 267或267’,并且在一个网络堆栈267可建立或终止第一传输层连接,在第二网络堆栈267’上可建立或者终止第二传输层连接。例如,一个网络堆栈可用于在第一网络上接收和传输网络分组,并且另一个网络堆栈用于在第二网络上接收和传输网络分组。在一个实施例中,网络堆栈267包括用于为一个或多个网络分组进行排队的缓冲器243,其中网络分组由设备200传输。
如图2A所示,内核空间204包括高速缓存管理器232、高速层2-7集成分组引擎240、加密引擎234、策略引擎236以及多协议压缩逻辑238。在内核空间204或内核模式而不是用户空间202中运行这些组件或进程232、 240、234、236和238提高这些组件中的每个单独的和结合的性能。内核操作意味着这些组件或进程232、240、234、236和238在设备200的操作***的核地址空间中运行。例如,在内核模式中运行加密引擎234通过移动加密和解密操作到内核可改进加密性能,从而可减少在内核模式中的存储空间或内核线程与在用户模式中的存储空间或线程之间的传输的数量。例如,在内核模式获得的数据可能不需要传输或拷贝到运行在用户模式的进程或线程,例如从内核级数据结构到用户级数据结构。在另一个方面,也可减少内核模式和用户模式之间的上下文切换的数量。另外,在任何组件或进程232、 240、235、236和238间的同步和通信在内核空间204中可被执行的更有效率。
在一些实施例中,组件232、240、234、236和238的任何部分可在内核空间204中运行或操作,而这些组件232、240、234、236和238的其它部分可在用户空间202中运行或操作。在一个实施例中,设备200使用内核级数据结构来提供对一个或多个网络分组的任何部分的访问,例如,包括来自客户机102的请求或者来自服务器106的响应的网络分组。在一些实施例中,可以由分组引擎240通过到网络堆栈267的传输层驱动器接口或过滤器获得内核级数据结构。内核级数据结构可包括通过与网络堆栈267相关的内核空间204可访问的任何接口和/或数据、由网络堆栈267接收或发送的网络流量或分组。在其他实施例中,任何组件或进程232、240、234、236和238 可使用内核级数据结构来执行组件或进程的需要的操作。在一个实例中,当使用内核级数据结构时,组件232、240、234、236和238在内核模式204 中运行,而在又一个实施例中,当使用内核级数据结构时,组件232、240、 234、236和238在用户模式中运行。在一些实施例中,内核级数据结构可被拷贝或传递到第二内核级数据结构,或任何期望的用户级数据结构。
高速缓存管理器232可包括软件、硬件或软件和硬件的任何组合,以提供对任何类型和形式的内容的高速缓存访问、控制和管理,例如对象或由源服务器106提供服务的动态产生的对象。由高速缓存管理器232处理和存储的数据、对象或内容可包括任何格式(例如标记语言)的数据,或者通过任何协议的通信的任何类型的数据。在一些实施例中,高速缓存管理器232复制存储在其他地方的原始数据或先前计算、产生或传输的数据,其中相对于读高速缓存存储器元件,需要更长的访问时间以取得、计算或以其他方式得到原始数据。一旦数据被存储在高速缓存存储元件中,通过访问高速缓存的副本而不是重新获得或重新计算原始数据即可进行后续操作,因此而减少了访问时间。在一些实施例中,高速缓存元件可以包括设备200的存储器264 中的数据对象。在其他实施例中,高速缓存存储元件可包括有比存储器264 更快的存取时间的存储器。在又一个实施例中,高速缓存元件可以包括设备200的任一类型和形式的存储元件,诸如硬盘的一部分。在一些实施例中,处理单元262可提供被高速缓存管理器232使用的高速缓存存储器。在又一个实施例中,高速缓存管理器232可使用存储器、存储区或处理单元的任何部分和组合来高速缓存数据、对象或其它内容。
另外,高速缓存管理器232包括用于执行此处描述的设备200的技术的任一实施例的任何逻辑、功能、规则或操作。例如,高速缓存管理器232包括基于无效时间周期的终止,或者从客户机102或服务器106接收无效命令使对象无效的逻辑或功能。在一些实施例中,高速缓存管理器232可作为在内核空间204中执行的程序、服务、进程或任务而操作,并且在其他实施例中,在用户空间202中执行。在一个实施例中,高速缓存管理器232的第一部分在用户空间202中执行,而第二部分在内核空间204中执行。在一些实施例中,高速缓存管理器232可包括任何类型的通用处理器(GPP),或任何其他类型的集成电路,例如现场可编程门阵列(FPGA),可编程逻辑设备 (PLD),或者专用集成电路(ASIC)。
策略引擎236可包括例如智能统计引擎或其它可编程应用。在一个实施例中,策略引擎236提供配置机制以允许用户识别、指定、定义或配置高速缓存策略。策略引擎236,在一些实施例中,也访问存储器以支持数据结构,例如备份表或hash表,以启用用户选择的高速缓存策略决定。在其他实施例中,除了对安全、网络流量、网络访问、压缩或其它任何由设备200执行的功能或操作的访问、控制和管理之外,策略引擎236可包括任何逻辑、规则、功能或操作以确定和提供对设备200所高速缓存的对象、数据、或内容的访问、控制和管理。特定高速缓存策略的其他实施例此处进一步描述。
加密引擎234包括用于操控诸如SSL或TLS的任何安全相关协议或其中涉及的任何功能的处理的任何逻辑、商业规则、功能或操作。例如,加密引擎234加密并解密通过设备200传输的网络分组,或其任何部分。加密引擎234也可代表客户机102a-102n、服务器106a-106n或设备200来设置或建立SSL或TLS连接。因此,加密引擎234提供SSL处理的卸载和加速。在一个实施例中,加密引擎234使用隧道协议来提供在客户机102a-102n和服务器106a-106n间的虚拟专用网络。在一些实施例中,加密引擎234与加密处理器260通信。在其他实施例中,加密引擎234包括运行在加密处理器 260上的可执行指令。
多协议压缩引擎238包括用于压缩一个或多个网络分组协议(例如被设备200的网络堆栈267使用的任何协议)的任何逻辑、商业规则、功能或操作。在一个实施例中,多协议压缩引擎238双向压缩在客户机102a-102n和服务器106a-106n间任一基于TCP/IP的协议,包括消息应用编程接口(MAPI) (电子邮件)、文件传输协议(FTP)、超文本传输协议(HTTP)、通用互联网文件***(CIFS)协议(文件传输)、独立计算架构(ICA)协议、远程桌面协议(RDP)、无线应用协议(WAP)、移动IP协议以及互联网协议电话(VoIP)协议。在其他实施例中,多协议压缩引擎238提供基于超文本标记语言(HTML)的协议的压缩,并且在一些实施例中,提供任何标记语言的压缩,例如可扩展标记语言(XML)。在一个实施例中,多协议压缩引擎 238提供任何高性能协议的压缩,例如设计用于设备200到设备200通信的任何协议。在又一个实施例中,多协议压缩引擎238使用修改的传输控制协议来压缩任何通信的任何载荷或任何通信,例如事务TCP(T/TCP)、带有选择确认的TCP(TCP-SACK)、带有大窗口的TCP(TCP-LW)、例如 TCP-Vegas协议的拥塞预报协议以及TCP欺骗协议(TCP spoofingprotocol)。
同样的,多协议压缩引擎238为用户加速经由桌面客户机乃至移动客户机访问应用的性能,所述桌面客户机例如Micosoft Outlook和非web瘦客户机,诸如由像Oracle、SAP和Siebel的通用企业应用所启动的任何客户机,所述移动客户机例如掌上电脑。在一些实施例中,通过在内核模式204内部执行并与访问网络堆栈267的分组处理引擎240集成,多协议压缩引擎238 可以压缩TCP/IP协议携带的任何协议,例如任何应用层协议。
高速层2-7集成分组引擎240,通常也称为分组处理引擎,或分组引擎,负责设备200通过网络端口266接收和发送的分组的内核级处理的管理。高速层2-7集成分组引擎240可包括用于在例如接收网络分组和传输网络分组的处理期间排队一个或多个网络分组的缓冲器。另外,高速层2-7集成分组引擎240与一个或多个网络堆栈267通信以通过网络端口266发送和接收网络分组。高速层2-7集成分组引擎240与加密引擎234、高速缓存管理器232、策略引擎236和多协议压缩逻辑238协同工作。更具体地,配置加密引擎234 以执行分组的SSL处理,配置策略引擎236以执行涉及流量管理的功能,例如请求级内容切换以及请求级高速缓存重定向,并配置多协议压缩逻辑238 以执行涉及数据压缩和解压缩的功能。
高速层2-7集成分组引擎240包括分组处理定时器242。在一个实施例中,分组处理定时器242提供一个或多个时间间隔以触发输入处理,例如,接收或者输出(即传输)网络分组。在一些实施例中,高速层2-7集成分组引擎240响应于定时器242处理网络分组。分组处理定时器242向分组引擎 240提供任何类型和形式的信号以通知、触发或传输时间相关的事件、间隔或发生。在许多实施例中,分组处理定时器242以毫秒级操作,例如100ms、 50ms、或25ms。例如,在一些实例中,分组处理定时器242提供时间间隔或者以其它方式使得由高速层2-7集成分组引擎240以10ms时间间隔处理网络分组,而在其他实施例中,使高速层2-7集成分组引擎240以5ms时间间隔处理网络分组,并且在进一步的实施例中,短到3、2或1ms时间间隔。高速层2-7集成分组引擎240在操作期间可与加密引擎234、高速缓存管理器232、策略引擎236以及多协议压缩引擎238连接、集成或通信。因此,响应于分组处理定时器242和/或分组引擎240,可执行加密引擎234、高速缓存管理器232、策略引擎236以及多协议压缩引擎238的任何逻辑、功能或操作。因此,在由分组处理定时器242提供的时间间隔粒度,可执行加密引擎234、高速缓存管理器232、策略引擎236以及多协议压缩引擎238的任何逻辑、功能或操作,例如,时间间隔少于或等于10ms。例如,在一个实施例中,高速缓存管理器232可响应于高速层2-7集成分组引擎240和/ 或分组处理定时器242来执行任何高速缓存的对象的终止。在又一个实施例中,高速缓存的对象的终止或无效时间被设定为与分组处理定时器242的时间间隔相同的粒度级,例如每10ms。
与内核空间204不同,用户空间202是被用户模式应用或在用户模式运行的程序所使用的操作***的存储区域或部分。用户模式应用不能直接访问内核空间204而使用服务调用以访问内核服务。如图2A所示,设备200的用户空间202包括图形用户接口(GUI)210、命令行接口(CLI)212、壳服务(shell service)214、健康监控程序216以及守护(daemon)服务218。 GUI 210和CLI212提供***管理员或其他用户可与之交互并控制设备200 操作的装置,例如通过设备200的操作***。GUI210和CLI 212可包括运行在用户空间202或内核框架204中的代码。GUI210可以是任何类型或形式的图形用户接口,可以通过文本、图形或其他形式由任何类型的程序或应用(如浏览器)来呈现。CLI 212可为任何类型和形式的命令行或基于文本的接口,例如通过操作***提供的命令行。例如,CLI 212可包括壳,该壳是使用户与操作***相互作用的工具。在一些实施例中,可通过bash、csh、 tcsh或者ksh类型的壳提供CLI 212。壳服务214包括程序、服务、任务、进程或可执行指令以支持由用户通过GUI210和/或CLI 212的与设备200或者操作***的交互。
健康监控程序216用于监控、检查、报告并确保网络***正常运行,以及用户正通过网络接收请求的内容。健康监控程序216包括一个或多个程序、服务、任务、进程或可执行指令,为监控设备200的任何行为提供逻辑、规则、功能或操作。在一些实施例中,健康监控程序216拦截并检查通过设备 200传递的任何网络流量。在其他实施例中,健康监控程序216通过任何合适的方法和/或机制与一个或多个下述设备连接:加密引擎234,高速缓存管理器232,策略引擎236,多协议压缩逻辑238,分组引擎240,守护服务218 以及壳服务214。因此,健康监控程序216可调用任何应用编程接口(API) 以确定设备200的任何部分的状态、情况或健康。例如,健康监控程序216 可周期性地查验(ping)或发送状态查询以检查程序、进程、服务或任务是否活动并当前正在运行。在又一个实施例中,健康监控程序216可检查由任何程序、进程、服务或任务提供的任何状态、错误或历史日志以确定设备200 任何部分的任何状况、状态或错误。
守护服务218是连续运行或在背景中运行的程序,并且处理设备200接收的周期***请求。在一些实施例中,守护服务可向其他程序或进程(例如合适的另一个守护服务218)转发请求。如本领域技术人员所公知的,守护服务218可无人监护的运行,以执行连续的或周期性的***范围功能,例如网络控制,或者执行任何需要的任务。在一些实施例中,一个或多个守护服务218运行在用户空间202中,而在其他实施例中,一个或多个守护服务218运行在内核空间。
现参考图2B,描述了设备200的又一个实施例。总的来说,设备200 提供下列服务、功能或操作中的一个或多个:用于一个或多个客户机102以及一个或多个服务器106之间的通信的SSL VPN连通280、交换/负载平衡 284、域名服务解析286、加速288和应用防火墙290。服务器106的每一个可以提供一个或者多个网络相关服务270a-270n(称为服务270)。例如,服务器106可以提供http服务270。设备200包括一个或者多个虚拟服务器或者虚拟互联网协议服务器,称为vServer 275、vS 275、VIP服务器或者仅是 VIP 275a-275n(此处也称为vServer 275)。vServer275根据设备200的配置和操作来接收、拦截或者以其它方式处理客户机102和服务器106之间的通信。
vServer 275可以包括软件、硬件或者软件和硬件的任何组合。vServer 275可包括在设备200中的用户模式202、内核模式204或者其任何组合中运行的任何类型和形式的程序、服务、任务、进程或者可执行指令。vServer 275包括任何逻辑、功能、规则或者操作,以执行此处所述技术的任何实施例,诸如SSL VPN 280、转换/负载平衡284、域名服务解析286、加速288 和应用防火墙290。在一些实施例中,vServer 275建立到服务器106的服务270的连接。服务275可以包括能够连接到设备200、客户机102或者vServer 275并与之通信的任何程序、应用、进程、任务或者可执行指令集。例如,服务275可以包括web服务器、http服务器、ftp、电子邮件或者数据库服务器。在一些实施例中,服务270是守护进程或者网络驱动器,用于监听、接收和/或发送应用的通信,诸如电子邮件、数据库或者企业应用。在一些实施例中,服务270可以在特定的IP地址、或者IP地址和端口上通信。
在一些实施例中,vServer 275应用策略引擎236的一个或者多个策略到客户机102和服务器106之间的网络通信。在一个实施例中,该策略与vServer 275相关。在又一个实施例中,该策略基于用户或者用户组。在又一个实施例中,策略为通用的并且应用到一个或者多个vServer 275a-275n,和通过设备200通信的任何用户或者用户组。在一些实施例中,策略引擎的策略具有基于通信的任何内容应用该策略的条件,通信的内容诸如互联网协议地址、端口、协议类型、分组中的头部或者字段、或者通信的上下文,诸如用户、用户组、vServer 275、传输层连接、和/或客户机102或者服务器106的标识或者属性。
在其他实施例中,设备200与策略引擎236通信或接口,以便确定远程用户或远程客户机102的验证和/或授权,以访问来自服务器106的计算环境 15、应用和/或数据文件。在又一个实施例中,设备200与策略引擎236通信或交互,以便确定远程用户或远程客户机102的验证和/或授权,使得应用传送***190传送一个或多个计算环境15、应用和/或数据文件。在又一个实施例中,设备200基于策略引擎236对远程用户或远程客户机102的验证和/或授权建立VPN或SSL VPN连接。一个实施例中,设备200基于策略引擎 236的策略控制网络流量以及通信会话。例如,基于策略引擎236,设备200 可控制对计算环境15、应用或数据文件的访问。
在一些实施例中,vServer 275与客户机102经客户机代理120建立传输层连接,诸如TCP或者UDP连接。在一个实施例中,vServer 275监听和接收来自客户机102的通信。在其他实施例中,vServer 275与客户机服务器 106建立传输层连接,诸如TCP或者UDP连接。在一个实施例中,vServer 275 建立到运行在服务器106上的服务器270的互联网协议地址和端口的传输层连接。在又一个实施例中,vServer 275将到客户机102的第一传输层连接与到服务器106的第二传输层连接相关联。在一些实施例中,vServer 275建立到服务器106的传输层连接池并经由所述池化(pooled)的传输层连接多路复用客户机的请求。
在一些实施例中,设备200提供客户机102和服务器106之间的SSL VPN 连接280。例如,第一网络102上的客户机102请求建立到第二网络104’上的服务器106的连接。在一些实施例中,第二网络104’是不能从第一网络 104路由的。在其他实施例中,客户机102位于公用网络104上,并且服务器106位于专用网络104’上,例如企业网。在一个实施例中,客户机代理 120拦截第一网络104上的客户机102的通信,加密该通信,并且经第一传输层连接发送该通信到设备200。设备200将第一网络104上的第一传输层连接与到第二网络104上的服务器106的第二传输层连接相关联。设备200 接收来自客户机代理102的所拦截的通信,解密该通信,并且经第二传输层连接发送该通信到第二网络104上的服务器106。第二传输层连接可以是池化的传输层连接。同样的,设备200为两个网络104、104’之间的客户机102提供端到端安全传输层连接。
在一些实施例中,设备200寄载虚拟专用网络104上的客户机102的内部网互联网协议或者IntranetIP 282地址。客户机102具有本地网络标识符,诸如第一网络104上的互联网协议(IP)地址和/或主机名称。当经设备200 连接到第二网络104’时,设备200在第二网络104’上为客户机102建立、分配或者以其它方式提供IntranetIP,其是诸如IP地址和/或主机名称的网络标识符。使用为客户机的所建立的IntranetIP 282,设备200在第二或专用网104’上监听并接收指向该客户机102的任何通信。在一个实施例中,设备200在第二专用网络104上用作或者代表客户机102。例如,在又一个实施例中, vServer 275监听和响应到客户机102的IntranetIP 282的通信。在一些实施例中,如果第二网络104’上的计算装置100发送请求,设备200如同客户机 102一样来处理该请求。例如,设备200可以响应对客户机IntranetIP 282的查验。在又一个实施例中,设备可以与请求和客户机IntranetIP 282连接的第二网络104上的计算装置100建立连接,诸如TCP或者UDP连接。
在一些实施例中,设备200为客户机102和服务器106之间的通信提供下列一个或多个加速技术288:1)压缩;2)解压缩;3)传输控制协议池; 4)传输控制协议多路复用;5)传输控制协议缓冲;以及6)高速缓存。在一些实施例中,设备200通过开启与每一服务器106的一个或者多个传输层连接并且维持这些连接以允许由客户机经因特网的重复数据访问,来为服务器106缓解由重复开启和关闭到客户机102的传输层连接所造成的大量处理负载。该技术此处称为“连接池”。
在一些实施例中,为了经池化的传输层连接无缝拼接从客户机102到服务器106的通信,设备200通过在传输层协议级修改序列号和确认号来转换或多路复用通信。这被称为“连接多路复用”。在一些实施例中,不需要应用层协议相互作用。例如,在到来分组(即,自客户机102接收的分组)的情况中,所述分组的源网络地址被改变为设备200的输出端口的网络地址,而目的网络地址被改为目的服务器的网络地址。在发出分组(即,自服务器106接收的一个分组)的情况中,源网络地址被从服务器106的网络地址改变为设备200的输出端口的网络地址,而目的地址被从设备200的网络地址改变为请求的客户机102的网络地址。分组的序列号和确认号也被转换为到客户机102的设备200的传输层连接上的客户机102所期待的序列号和确认。在一些实施例中,传输层协议的分组校验和被重新计算以计及这些转换。
在又一个实施例中,设备200为客户机102和服务器106之间的通信提供交换或负载平衡功能284。在一些实施例中,设备200根据层4或应用层请求数据来分布流量并将客户机请求定向到服务器106。在一个实施例中,尽管网络分组的网络层或者层2识别目的服务器106,但设备200通过承载为传输层分组的有效载荷的数据和应用信息来确定服务器106以便分发网络分组。在一个实施例中,设备200的健康监控程序216监控服务器的健康来确定分发客户机请求到哪个服务器106。在一些实施例中,如果设备200探测到某个服务器106不可用或者具有超过预定阈值的负载,设备200可以将客户机请求指向或者分发到另一个服务器106。
在一些实施例中,设备200用作域名服务(DNS)解析器或者以其它方式为来自客户机102的DNS请求提供解析。在一些实施例中,设备拦截由客户机102发送的DNS请求。在一个实施例中,设备200以设备200的IP 地址或其所寄载的IP地址来响应客户机的DNS请求。在此实施例中,客户机102把用于域名的网络通信发送到设备200。在又一个实施例中,设备200 以第二设备200’的或其所寄载的IP地址来响应客户机的DNS请求。在一些实施例中,设备200使用由设备200确定的服务器106的IP地址来响应客户机的DNS请求。
在又一个实施例中,设备200为客户机102和服务器106之间的通信提供应用防火墙功能290。在一个实施例中,策略引擎236提供用于探测和阻断非法请求的规则。在一些实施例中,应用防火墙290防御拒绝服务(DoS) 攻击。在其他实施例中,设备检查所拦截的请求的内容,以识别和阻断基于应用的攻击。在一些实施例中,规则/策略引擎236包括用于提供对多个种类和类型的基于web或因特网的脆弱点的保护的一个或多个应用防火墙或安全控制策略,例如下列的一个或多个脆弱点:1)缓冲区泄出,2)CGI-BIN 参数操纵,3)表单/隐藏字段操纵,4)强制浏览,5)cookie或会话中毒,6) 被破坏的访问控制列表(ACLs)或弱密码,7)跨站脚本处理(XSS),8) 命令注入,9)SQL注入,10)错误触发敏感信息泄露,11)对加密的不安全使用,12)服务器错误配置,13)后门和调试选项,14)网站涂改,15) 平台或操作***弱点,和16)零天攻击。在一个实施例中,对下列情况的一种或多种,应用防火墙290以检查或分析网络通信的形式来提供HTML格式字段的保护:1)返回所需的字段,2)不允许附加字段,3)只读和隐藏字段强制(enforcement),4)下拉列表和单选按钮字段的一致,以及5)格式字段最大长度强制。在一些实施例中,应用防火墙290确保cookie不被修改。在其他实施例中,应用防火墙290通过执行合法的URL来防御强制浏览。
在其他实施例中,应用防火墙290保护在网络通信中包含的任何机密信息。应用防火墙290可以根据引擎236的规则或策略来检查或分析任一网络通信以识别在网络分组的任一字段中的任一机密信息。在一些实施例中,应用防火墙290在网络通信中识别信用***、口令、社会保险号、姓名、病人代码、联系信息和年龄的一次或多次出现。网络通信的编码部分可以包括这些出现或机密信息。基于这些出现,在一个实施例中,应用防火墙290可以对网络通信采取策略行动,诸如阻止发送网络通信。在又一个实施例中,应用防火墙290可以重写、移动或者以其它方式掩盖该所识别的出现或者机密信息。
仍参考图2B,设备200可以包括如上面结合图1D所讨论的性能监控代理197。在一个实施例中,设备200从如图1D中所描述的监控服务198或监控服务器106中接收监控代理197。在一些实施例中,设备200在诸如磁盘的存储装置中保存监控代理197,以用于传送给与设备200通信的任何客户机或服务器。例如,在一个实施例中,设备200在接收到建立传输层连接的请求时发送监控代理197给客户机。在其他实施例中,设备200在建立与客户机102的传输层连接时发送监控代理197。在又一个实施例中,设备200 在拦截或检测对web页面的请求时发送监控代理197给客户机。在又一个实施例中,设备200响应于监控服务器198的请求来发送监控代理197到客户机或服务器。在一个实施例中,设备200发送监控代理197到第二设备200’或设备205。
在其他实施例中,设备200执行监控代理197。在一个实施例中,监控代理197测量和监控在设备200上执行的任何应用、程序、进程、服务、任务或线程的性能。例如,监控代理197可以监控和测量vServers 275A-275N 的性能与操作。在又一个实施例中,监控代理197测量和监控设备200的任何传输层连接的性能。在一些实施例中,监控代理197测量和监控通过设备 200的任何用户会话的性能。在一个实施例中,监控代理197测量和监控通过设备200的诸如SSL VPN会话的任何虚拟专用网连接和/或会话的性能。在进一步的实施例中,监控代理197测量和监控设备200的内存、CPU和磁盘使用以及性能。在又一个实施例中,监控代理197测量和监控诸如SSL卸载、连接池和多路复用、高速缓存以及压缩的由设备200执行的任何加速技术288的性能。在一些实施例中,监控代理197测量和监控由设备200执行的任一负载平衡和/或内容交换284的性能。在其他实施例中,监控代理197 测量和监控由设备200执行的应用防火墙290保护和处理的性能。
C.客户机代理
现参考图3,描述客户机代理120的实施例。客户机102包括客户机代理120,用于经由网络104与设备200和/或服务器106来建立和交换通信。总的来说,客户机102在计算装置100上操作,该计算装置100拥有带有内核模式302以及用户模式303的操作***,以及带有一个或多个层310a-310b 的网络堆栈310。客户机102可以已经安装和/或执行一个或多个应用。在一些实施例中,一个或多个应用可通过网络堆栈310与网络104通信。所述应用之一,诸如web浏览器,也可包括第一程序322。例如,可在一些实施例中使用第一程序322来安装和/或执行客户机代理120,或其中任何部分。客户机代理120包括拦截机制或者***350,用于从网络堆栈310拦截来自一个或者多个应用的网络通信。
客户机102的网络堆栈310可包括任何类型和形式的软件、或硬件或其组合,用于提供与网络的连接和通信。在一个实施例中,网络堆栈310包括用于网络协议组的软件实现。网络堆栈310可包括一个或多个网络层,例如为本领域技术人员所公认和了解的开放式***互联(OSI)通信模型的任何网络层。这样,网络堆栈310可包括用于任何以下OSI模型层的任何类型和形式的协议:1)物理链路层;2)数据链路层;3)网络层;4)传输层;5) 会话层);6)表示层,以及7)应用层。在一个实施例中,网络堆栈310可包括在互联网协议(IP)的网络层协议上的传输控制协议(TCP),通常称为 TCP/IP。在一些实施例中,可在以太网协议上承载TCP/IP协议,以太网协议可包括IEEE广域网(WAN)或局域网(LAN)协议的任何族,例如被 IEEE802.3覆盖的这些协议。在一些实施例中,网络堆栈310包括任何类型和形式的无线协议,例如IEEE 802.11和/或移动互联网协议。
考虑基于TCP/IP的网络,可使用任何基于TCP/IP的协议,包括消息应用编程接口(MAPI)(email)、文件传输协议(FTP)、超文本传输协议(HTTP)、通用因特网文件***(CIFS)协议(文件传输)、独立计算架构(ICA)协议、远程桌面协议(RDP)、无线应用协议(WAP)、移动IP协议,以及互联网协议电话(VoIP)协议。在又一个实施例中,网络堆栈310包括任何类型和形式的传输控制协议,诸如修改的传输控制协议,例如事务TCP (T/TCP),带有选择确认的TCP(TCP-SACK),带有大窗口的TCP (TCP-LW),例如TCP-Vegas协议的拥塞预测协议,以及TCP欺骗协议。在其他实施例中,网络堆栈310可使用诸如基于IP的UDP的任何类型和形式的用户数据报协议(UDP),例如用于语音通信或实时数据通信。
另外,网络堆栈310可包括支持一个或多个层的一个或多个网络驱动器,例如TCP驱动器或网络层驱动器。网络层驱动器可作为计算装置100的操作***的一部分或者作为计算装置100的任何网络接口卡或其它网络访问组件的一部分被包括。在一些实施例中,网络堆栈310的任何网络驱动器可被定制、修改或调整以提供网络堆栈310的定制或修改部分,用来支持此处描述的任何技术。在其他实施例中,设计并构建加速程序302以与网络堆栈310 协同操作或工作,上述网络堆栈310由客户机102的操作***安装或以其它方式提供。
网络堆栈310包括任何类型和形式的接口,用于接收、获得、提供或以其它方式访问涉及客户机102的网络通信的任何信息和数据。在一个实施例中,与网络堆栈310的接口包括应用编程接口(API)。接口也可包括任何函数调用、钩子或过滤机制,事件或回调机制、或任何类型的接口技术。网络堆栈310通过接口可接收或提供与网络堆栈310的功能或操作相关的任何类型和形式的数据结构,例如对象。例如,数据结构可以包括与网络分组相关的信息和数据或者一个或多个网络分组。在一些实施例中,数据结构包括在网络堆栈310的协议层处理的网络分组的一部分,例如传输层的网络分组。在一些实施例中,数据结构325包括内核级别数据结构,而在其他实施例中,数据结构325包括用户模式数据结构。内核级数据结构可以包括获得的或与在内核模式302中操作的网络堆栈310的一部分相关的数据结构、或者运行在内核模式302中的网络驱动程序或其它软件、或者由运行或操作在操作***的内核模式的服务、进程、任务、线程或其它可执行指令获得或收到的任何数据结构。
此外,网络堆栈310的一些部分可在内核模式302执行或操作,例如,数据链路或网络层,而其他部分在用户模式303执行或操作,例如网络堆栈 310的应用层。例如,网络堆栈的第一部分310a可以给应用提供对网络堆栈 310的用户模式访问,而网络堆栈310的第二部分310a提供对网络的访问。在一些实施例中,网络堆栈的第一部分310a可包括网络堆栈310的一个或多个更上层,例如层5-7的任何层。在其他实施例中,网络堆栈310的第二部分310b包括一个或多个较低的层,例如层1-4的任何层。网络堆栈310 的每个第一部分310a和第二部分310b可包括网络堆栈310的任何部分,位于任何一个或多个网络层,处于用户模式203、内核模式202,或其组合,或在网络层的任何部分或者到网络层的接口点,或用户模式203和内核模式 202的任何部分或到用户模式203和内核模式202的接口点。
***350可以包括软件、硬件、或者软件和硬件的任何组合。在一个实施例中,***350在网络堆栈310的任一点拦截网络通信,并且重定向或者发送网络通信到由***350或者客户机代理120所期望的、管理的或者控制的目的地。例如,***350可以拦截第一网络的网络堆栈310的网络通信并且发送该网络通信到设备200,用于在第二网络104上发送。在一些实施例中,***350包括含有诸如被构建和设计来与网络堆栈310对接并一同工作的网络驱动器的驱动器的任一类型的***350。在一些实施例中,客户机代理120和/或***350操作在网络堆栈310的一个或者多个层,诸如在传输层。在一个实施例中,***350包括过滤器驱动器、钩子机制、或者连接到网络堆栈的传输层的任一形式和类型的合适网络驱动器接口,诸如通过传输驱动器接口(TDI)。在一些实施例中,***350连接到诸如传输层的第一协议层和诸如传输协议层之上的任何层的另一个协议层,例如,应用协议层。在一个实施例中,***350可以包括遵守网络驱动器接口规范(NDIS)的驱动器,或者NDIS驱动器。在又一个实施例中,***350 可以包括微型过滤器或者微端口驱动器。在一个实施例中,***350或其部分在内核模式202中操作。在又一个实施例中,***350或其部分在用户模式203中操作。在一些实施例中,***350的一部分在内核模式202中操作,而***350的另一部分在用户模式203中操作。在其他实施例中,客户机代理120在用户模式203操作,但通过***350连接到内核模式驱动器、进程、服务、任务或者操作***的部分,诸如以获取内核级数据结构 225。在其他实施例中,***350为用户模式应用或者程序,诸如应用。
在一些实施例中,***350拦截任何的传输层连接请求。在这些实施例中,***350执行传输层应用编程接口(API)调用以设置目的地信息,诸如到期望位置的目的地IP地址和/或端口用于定位。以此方式,***350 拦截并重定向传输层连接到由***350或客户机代理120控制或管理的IP 地址和端口。在一个实施例中,***350把连接的目的地信息设置为客户机代理120监听的客户机102的本地IP地址和端口。例如,客户机代理120可以包括为重定向的传输层通信监听本地IP地址和端口的代理服务。在一些实施例中,客户机代理120随后将重定向的传输层通信传送到设备200。
在一些实施例中,***350拦截域名服务(DNS)请求。在一个实施例中,客户机代理120和/或***350解析DNS请求。在又一个实施例中,***发送所拦截的DNS请求到设备200以进行DNS解析。在一个实施例中,设备200解析DNS请求并且将DNS响应传送到客户机代理120。在一些实施例中,设备200经另一个设备200’或者DNS服务器106来解析DNS 请求。
在又一个实施例中,客户机代理120可以包括两个代理120和120’。在一个实施例中,第一代理120可以包括在网络堆栈310的网络层操作的***350。在一些实施例中,第一代理120拦截网络层请求,诸如因特网控制消息协议(ICMP)请求(例如,查验和跟踪路由)。在其他实施例中,第二代理120’可以在传输层操作并且拦截传输层通信。在一些实施例中,第一代理120在网络堆栈210的一层拦截通信并且与第二代理120’连接或者将所拦截的通信传送到第二代理120’。
客户机代理120和/或***350可以以对网络堆栈310的任何其它协议层透明的方式在协议层操作或与之对接。例如,在一个实施例中,***350 可以以对诸如网络层的传输层之下的任何协议层和诸如会话、表示或应用层协议的传输层之上的任何协议层透明的方式在网络堆栈310的传输层操作或与之对接。这允许网络堆栈310的其它协议层如所期望的进行操作并无需修改以使用***350。这样,客户机代理120和/或***350可以与传输层连接以安全、优化、加速、路由或者负载平衡经由传输层承载的任一协议提供的任一通信,诸如TCP/IP上的任一应用层协议。
此外,客户机代理120和/或***可以以对任何应用、客户机102的用户和与客户机102通信的诸如服务器的任何其它计算装置透明的方式在网络堆栈310上操作或与之对接。客户机代理120和/或***350可以以无需修改应用的方式被安装和/或执行在客户机102上。在一些实施例中,客户机 102的用户或者与客户机102通信的计算装置未意识到客户机代理120和/ 或***350的存在、执行或者操作。同样,在一些实施例中,相对于应用、客户机102的用户、诸如服务器的另一个计算装置、或者在由***350连接的协议层之上和/或之下的任何协议层透明地来安装、执行和/或操作客户机代理120和/或***350。
客户机代理120包括加速程序302、流客户机306、收集代理304和/或监控代理197。在一个实施例中,客户机代理120包括由佛罗里达州Fort Lauderdale的Citrix SystemsInc.开发的独立计算架构(ICA)客户机或其任一部分,并且也指ICA客户机。在一些实施例中,客户机代理120包括应用流客户机306,用于从服务器106流式传输应用到客户机102。在一些实施例中,客户机代理120包括加速程序302,用于加速客户机102和服务器106 之间的通信。在又一个实施例中,客户机代理120包括收集代理304,用于执行端点检测/扫描并且用于为设备200和/或服务器106收集端点信息。
在一些实施例中,加速程序302包括用于执行一个或多个加速技术的客户机侧加速程序,以加速、增强或者以其他方式改善客户机与服务器106的通信和/或对服务器106的访问,诸如访问由服务器106提供的应用。加速程序302的可执行指令的逻辑、函数和/或操作可以执行一个或多个下列加速技术:1)多协议压缩,2)传输控制协议池,3)传输控制协议多路复用,4) 传输控制协议缓冲,以及5)通过高速缓存管理器的高速缓存。另外,加速程序302可执行由客户机102接收和/或发送的任何通信的加密和/或解密。在一些实施例中,加速程序302以集成的方式或者格式执行一个或者多个加速技术。另外,加速程序302可以对作为传输层协议的网络分组的有效载荷所承载的任一协议或者多协议执行压缩。
流客户机306包括应用、程序、进程、服务、任务或者可执行指令,所述应用、程序、进程、服务、任务或者可执行指令用于接收和执行从服务器 106所流式传输的应用。服务器106可以流式传输一个或者多个应用数据文件到流客户机306,用于播放、执行或者以其它方式引起客户机102上的应用被执行。在一些实施例中,服务器106发送一组压缩或者打包的应用数据文件到流客户机306。在一些实施例中,多个应用文件被压缩并存储在文件服务器上档案文件中,例如CAB、ZIP、SIT、TAR、JAR或其它档案文件。在一个实施例中,服务器106解压缩、解包或者解档应用文件并且将该文件发送到客户机102。在又一个实施例中,客户机102解压缩、解包或者解档应用文件。流客户机306动态安装应用或其部分,并且执行该应用。在一个实施例中,流客户机306可以为可执行程序。在一些实施例中,流客户机306 可以能够启动另一个可执行程序。
收集代理304包括应用、程序、进程、服务、任务或者可执行指令,用于识别、获取和/或收集关于客户机102的信息。在一些实施例中,设备200 发送收集代理304到客户机102或者客户机代理120。可以根据设备的策略引擎236的一个或多个策略来配置收集代理304。在其他实施例中,收集代理304发送在客户机102上收集的信息到设备200。在一个实施例中,设备 200的策略引擎236使用所收集的信息来确定和提供到网络104的客户机连接的访问、验证和授权控制。
在一些实施例中,收集代理304包括端点检测和扫描机制,其识别并且确定客户机的一个或者多个属性或者特征。例如,收集代理304可以识别和确定任何一个或多个以下的客户机侧属性:1)操作***和/或操作***的版本,2)操作***的服务包,3)运行的服务,4)运行的进程,和5)文件。收集代理304还可以识别并确定客户机上任何一个或多个以下软件的存在或版本:1)防病毒软件;2)个人防火墙软件;3)防垃圾邮件软件,和4)互联网安全软件。策略引擎236可以具有基于客户机或客户机侧属性的任何一个或多个属性或特性的一个或多个策略。
在一些实施例中,客户机代理120包括如结合图1D和2B所讨论的监控代理197。监控代理197可以是诸如Visual Basic或Java脚本的任何类型和形式的脚本。在一个实施例中,监控代理197监控和测量客户机代理120 的任何部分的性能。例如,在一些实施例中,监控代理197监控和测量加速程序302的性能。在又一个实施例中,监控代理197监控和测量流客户机306 的性能。在其他实施例中,监控代理197监控和测量收集代理304的性能。在又一个实施例中,监控代理197监控和测量***350的性能。在一些实施例中,监控代理197监控和测量客户机102的诸如存储器、CPU和磁盘的任何资源。
监控代理197可以监控和测量客户机的任何应用的性能。在一个实施例中,监控代理197监控和测量客户机102上的浏览器的性能。在一些实施例中,监控代理197监控和测量经由客户机代理120传送的任何应用的性能。在其他实施例中,监控代理197测量和监控应用的最终用户响应时间,例如基于web的响应时间或HTTP响应时间。监控代理197可以监控和测量ICA 或RDP客户机的性能。在又一个实施例中,监控代理197测量和监控用户会话或应用会话的指标。在一些实施例中,监控代理197测量和监控ICA或 RDP会话。在一个实施例中,监控代理197测量和监控设备200在加速传送应用和/或数据到客户机102的过程中的性能。
在一些实施例中,仍参考图3,第一程序322可以用于自动地、静默地、透明地或者以其它方式安装和/或执行客户机代理120或其部分,诸如*** 350。在一个实施例中,第一程序322包括插件组件,例如ActiveX控件或 Java控件或脚本,其加载到应用并由应用执行。例如,第一程序包括由web 浏览器应用载入和运行的ActiveX控件,例如在存储器空间或应用的上下文中。在又一个实施例中,第一程序322包括可执行指令组,该可执行指令组被例如浏览器的应用载入并执行。在一个实施例中,第一程序322包括被设计和构造的程序以安装客户机代理120。在一些实施例中,第一程序322通过网络从另一个计算装置获得、下载、或接收客户机代理120。在又一个实施例中,第一程序322是用于在客户机102的操作***上安装如网络驱动的程序的安装程序或即插即用管理器。
D.用于提供虚拟化应用传送控制器的***和方法
现参考图4A,该框图描述虚拟化环境400的一个实施例。总体而言,计算装置100包括管理程序层、虚拟化层和硬件层。管理程序层包括管理程序401(也称为虚拟化管理器),其通过在虚拟化层中执行的至少一个虚拟机来分配和管理对硬件层中的多个物理资源(例如处理器421和盘428)的访问。虚拟化层包括至少一个操作***410和分配给至少一个操作***410的多个虚拟资源。虚拟资源可包括而不限于多个虚拟处理器432a、432b、432c (总称为432)和虚拟盘442a、442b、442c(总称为442),以及如虚拟存储器和虚拟网络接口的虚拟资源。可将多个虚拟资源和操作***称为虚拟机 406。虚拟机406可包括控制操作***405,该控制操作***405与管理程序 401通信,并用于执行应用以管理并配置计算装置100上的其他虚拟机。
具体而言,管理程序401可以以模拟可访问物理设备的操作***的任何方式向操作***提供虚拟资源。管理程序401可以向任何数量的客户操作***410a、410b(总称为410)提供虚拟资源。一些实施例中,计算装置100 执行一种或多种管理程序。这些实施例中,管理程序可用于模拟虚拟硬件、划分物理硬件、虚拟化物理硬件并执行提供对计算环境的访问的虚拟机。管理程序可包括由位于美国加州的Palo Alto的VMWare制造的这些程序;XEN 管理程序(一种开源产品,其开发由开源Xen.org协会监管);由微软公司提供的HyperV、VirtualServer或虚拟PC管理程序,或其他。一些实施例中,计算装置100执行创建客户操作***可在其上执行虚拟机平台的管理程序,该计算装置100被称为宿主服务器。在这些实施例的一个中,例如,计算装置100是由位于美国佛罗里达州Fort Lauderdale的Citrix Systems有限公司提供的XEN SERVER。
在一些实施例中,管理程序401在计算装置上执行的操作***之内执行。在这些实施例的一个中,执行操作***和管理程序401的计算装置可被视为具有宿主操作***(执行在计算装置上的操作***),和客户操作***(在由管理程序401提供的计算资源分区内执行的操作***)。其他实施例中,管理程序401和计算装置上的硬件直接交互而不是在宿主操作***上执行。在这些实施例的一个中,管理程序401可被视为在“裸金属(bare metal)”上执行,所述“裸金属”指包括计算装置的硬件。
在一些实施例中,管理程序401可以产生操作***410在其中执行的虚拟机406a-c(总称为406)。在这些实施例的一个中,管理程序401加载虚拟机映像以创建虚拟机406。在这些实施例的又一个中,管理程序401在虚拟机406内执行操作***410。仍在这些实施例的又一个中,虚拟机406执行操作***410。
在一些实施例中,管理程序401控制在计算装置100上执行的虚拟机406 的处理器调度和内存划分。在这些实施例的一个中,管理程序401控制至少一个虚拟机406的执行。在这些实施例的又一个中,管理程序401向至少一个虚拟机406呈现由计算装置100提供的至少一个硬件资源的抽象。其他实施例中,管理程序401控制是否以及如何将物理处理器能力呈现给虚拟机 406。
控制操作***405可以执行用于管理和配置客户操作***的至少一个应用。一个实施例中,控制操作***405可以执行管理应用,如包括如下用户接口的应用,该用户接口为管理员提供对用于管理虚拟机执行的功能的访问,这些功能包括用于执行虚拟机、中止虚拟机执行或者识别要分配给虚拟机的物理资源类型的功能。又一个实施例中,管理程序401在由管理程序401 创建的虚拟机406内执行控制操作***405。又一个实施例中,控制操作***405在被授权直接访问计算装置100上的物理资源的虚拟机406上执行。一些实施例中,计算装置100a上的控制操作***405a可以通过管理程序 401a和管理程序401b之间的通信与计算装置100b上的控制操作***405b 交换数据。这样,一个或多个计算装置100可以和一个或多个其他计算装置 100交换有关处理器或资源池中可用的其他物理资源的数据。在这些实施例的一个中,这种功能允许管理程序管理分布在多个物理计算装置上的资源池。在这些实施例的又一个中,多个管理程序管理在一个计算装置100上执行的一个或多个客户操作***。
在一些实施例中,控制操作***405在被授权与至少一个客户操作*** 410交互的虚拟机406上执行。又一个实施例中,客户操作***410通过管理程序401和控制操作***405通信,以请求访问盘或网络。仍在又一个实施例中,客户操作***410和控制操作***405可通过由管理程序401建立的通信信道通信,例如,通过由管理程序401提供的多个共享存储器页面。
在一些实施例中,控制操作***405包括用于直接与由计算装置100提供的网络硬件通信的网络后端驱动器。在这些实施例的一个中,网络后端驱动器处理来自至少一个客户操作***110的至少一个虚拟机请求。其他实施例中,控制操作***405包括用于与计算装置100上的存储元件通信的块后端驱动器。在这些实施例的一个中,块后端驱动器基于从客户操作***410 接收的至少一个请求从存储元件读写数据。
在一些实施例,控制操作***405包括工具堆栈404。其他实施例中,工具堆栈404提供如下功能:和管理程序401交互、和其他控制操作***405 (例如位于第二计算装置100b上)通信,或者管理计算装置100上的虚拟机406b、406c。又一个实施例中,工具堆栈404包括自定义应用,其用于向虚拟机群的管理员提供改进的管理功能。一些实施例中,工具堆栈404和控制操作***405中的至少一个包括管理API,其提供用于远程配置并控制计算装置100上运行的虚拟机406的接口。其他实施例中,控制操作***405 通过工具堆栈404和管理程序401通信。
在一些实施例中,管理程序401在由管理程序401创建的虚拟机406内执行客户操作***410。又一个实施例中,客户操作***410为计算装置100 的用户提供对计算环境中的资源的访问。又一个实施例中,资源包括程序、应用、文档、文件、多个应用、多个文件、可执行程序文件、桌面环境、计算环境或对计算装置100的用户可用的其他资源。又一个实施例中,可通过多个访问方法将资源传送给计算装置100,这些方法包括但不限于:常规的直接在计算装置100上安装、通过应用流的方法传送给计算装置100、将由在第二计算装置100’上执行资源产生的并通过表示层协议传送给计算装置 100的输出数据传送给计算装置100、将通过在第二计算装置100’上执行的虚拟机执行资源所产生的输出数据传送给计算装置100、或者从连接到计算装置100的移动存储装置(例如USB设备)执行或者通过在计算装置100 上执行的虚拟机执行并且产生输出数据。一些实施例中,计算装置100将执行资源所产生的输出数据传输给另一个计算装置100’。
在一些实施例中,客户操作***410和该客户操作***410在其上执行的虚拟机结合形成完全虚拟化虚拟机,该完全虚拟化虚拟机并不知道自己是虚拟机,这样的机器可称为“Domain U HVM(硬件虚拟机)虚拟机”。又一个实施例中,完全虚拟化机包括模拟基本输入/输出***(BIOS)的软件以便在完全虚拟化机中执行操作***。在又一个实施例中,完全虚拟化机可包括驱动器,其通过和管理程序401通信提供功能。这样的实施例中,驱动器可意识到自己在虚拟化环境中执行。又一个实施例中,客户操作***410和该客户操作***410在其上执行的虚拟机结合形成超虚拟化(paravirtualized) 虚拟机,该超虚拟化虚拟机意识到自己是虚拟机,这样的机器可称为“Domain U PV虚拟机”。又一个实施例中,超虚拟化机包括完全虚拟化机不包括的额外驱动器。又一个实施例中,超虚拟化机包括如上所述的被包含在控制操作***405中的网络后端驱动器和块后端驱动器。
现参考图4B,框图描述了***中的多个联网计算装置的一个实施例,其中,至少一个物理主机执行虚拟机。总体而言,***包括管理组件404和管理程序401。***包括多个计算装置100、多个虚拟机406、多个管理程序 401、多个管理组件(又称为工具堆栈404或者管理组件404)以及物理资源 421、428。多个物理机器100的每一个可被提供为如上结合图1E-1H和图 4A描述的计算装置100。
具体而言,物理盘428由计算装置100提供,存储至少一部分虚拟盘442。一些实施例中,虚拟盘442和多个物理盘428相关联。在这些实施例的一个中,一个或多个计算装置100可以与一个或多个其他计算装置100交换有关处理器或资源池中可用的其他物理资源的数据,允许管理程序管理分布在多个物理计算装置上的资源池。一些实施例中,将虚拟机406在其上执行的计算装置100称为物理主机100或主机100。
管理程序在计算装置100上的处理器上执行。管理程序将对物理盘的访问量分配给虚拟盘。一个实施例中,管理程序401分配物理盘上的空间量。又一个实施例中,管理程序401分配物理盘上的多个页面。一些实施例中,管理程序提供虚拟盘442作为初始化和执行虚拟机450进程的一部分。
在一些实施例中,将管理组件404a称为池管理组件404a。又一个实施例中,可以称为控制管理***405a的管理操作***405a包括管理组件。一些实施例中,将管理组件称为工具堆栈。在这些实施例的一个中,管理组件是上文结合图4A描述的工具堆栈404。其他实施例中,管理组件404提供用户接口,用于从如管理员的用户接收要供应和/或执行的虚拟机406的标识。仍在其他实施例中,管理组件404提供用户接口,用于从如管理员的用户接收将虚拟机406b从一个物理机器100迁移到另一物理机器的请求。在进一步的实施例中,管理组件404a识别在其上执行所请求的虚拟机406d的计算装置100b并指示所识别的计算装置100b上的管理程序401b执行所识别的虚拟机,这样,可将管理组件称为池管理组件。
现参考图4C,描述了虚拟应用传送控制器或虚拟设备450的实施例。总体而言,上文结合图2A和2B描述的设备200的任何功能和/或实施例(例如应用传送控制器)可以部署在上文结合图4A和4B描述的虚拟化环境的任何实施例中。应用传送控制器的功能不是以设备200的形式部署,而是将该功能部署在诸如客户机102、服务器106或设备200的任何计算装置100 上的虚拟化环境400中。
现在参考图4C,描述了在服务器106的管理程序401上操作的虚拟设备450的实施例的框图。如图2A和2B的设备200一样,虚拟机450可以提供可用性、性能、卸载和安全的功能。对于可用性,虚拟设备可以执行网络第4层和第7层之间的负载平衡并执行智能服务健康监控。对于通过网络流量加速实现的性能增加,虚拟设备可以执行缓存和压缩。对于任何服务器的卸载处理,虚拟设备可以执行连接复用和连接池和/或SSL处理。对于安全,虚拟设备可以执行设备200的任何应用防火墙功能和SSL VPN功能。
结合附图2A描述的设备200的任何模块可以虚拟化设备传送控制器 450的形式被打包、组合、设计或构造,虚拟化设备传送控制器450可部署成在诸如流行的服务器这样的任何服务器上的虚拟化环境300或非虚拟化环境中执行的软件模块或组件。例如,可以安装在计算装置上的安装包的形式提供虚拟设备。参考图2A,可以将高速缓存管理器232、策略引擎236、压缩238、加密引擎234、分组引擎240、GUI 210、CLI 212、壳服务214中的任一个设计和构成在计算装置和/或虚拟化环境300的任何操作***上运行的组件或模块。虚拟化设备400不使用设备200的加密处理器260、处理器 262、存储器264和网络堆栈267,而是可使用虚拟化环境400提供的任何这些资源或者服务器106上以其他方式可用的这些资源。
仍参考图4C,简言之,任何一个或多个vServer 275A-275N可以操作或执行在任意类型的计算装置100(如服务器106)的虚拟化环境400中。结合附图2B描述的设备200的任何模块和功能可以设计和构造成在服务器的虚拟化或非虚拟化环境中操作。可以将vServer275、SSL VPN 280、内网UP 282、交换装置284、DNS 286、加速装置288、APP FW 280和监控代理中的任一个打包、组合、设计或构造成应用传送控制器450的形式,应用传送控制器450可部署成在装置和/或虚拟化环境400中执行的一个或多个软件模块或组件。
在一些实施例中,服务器可以在虚拟化环境中执行多个虚拟机 406a-406b,每个虚拟机运行虚拟应用传送控制器450的相同或不同实施例。一些实施例中,服务器可以在多核处理***的一个核上执行一个或多个虚拟机上的一个或多个虚拟设备450。一些实施例中,服务器可以在多处理器装置的每个处理器上执行一个或多个虚拟机上的一个或多个虚拟设备450。
E.提供多核架构的***和方法
根据摩尔定律,每两年集成电路上可安装的晶体管的数量会基本翻倍。然而,CPU速度增加会达到一个稳定的水平(plateaus),例如,2005年以来, CPU速度在约3.5-4GHz的范围内。一些情况下,CPU制造商可能不依靠CPU 速度增加来获得额外的性能。一些CPU制造商会给处理器增加附加核以提供额外的性能。依靠CPU获得性能改善的如软件和网络供应商的产品可以通过利用这些多核CPU来改进他们的性能。可以重新设计和/或编写为单 CPU设计和构造的软件以利用多线程、并行架构或多核架构。
在一些实施例中,称为nCore或多核技术的设备200的多核架构允许设备打破单核性能障碍并利用多核CPU的能力。前文结合图2A描述的架构中,运行单个网络或分组引擎。nCore技术和架构的多核允许同时和/或并行地运行多个分组引擎。通过在每个核上运行分组引擎,设备架构利用附加核的处理能力。一些实施例中,这提供了高达七倍的性能改善和扩展性。
图5A示出根据一类并行机制或并行计算方案(如功能并行机制、数据并行机制或基于流的数据并行机制)在一个或多个处理器核上分布的工作、任务、负载或网络流量的一些实施例。总体而言,图5A示出如具有n个核的设备200'的多核***的实施例,n个核编号为1到N。一个实施例中,工作、负载或网络流量可以分布在第一核505A、第二核505B、第三核505C、第四核505D、第五核505E、第六核505F、第七核505G等上,这样,分布位于所有n个核505N(此后统称为核505)或n个核中的两个或多个上。可以有多个VIP 275,每个运行在多个核中的相应的核上。可以有多个分组引擎240,每个运行在多个核的相应的核。所使用任何方法可产生多个核中任一核上的不同的、变化的或类似的工作负载或性能级别515。对于功能并行方法,每个核运行由分组引擎、VIP 275或设备200提供的多个功能的不同功能。在数据并行方法中,数据可基于接收数据的网络接口卡(NIC)或VIP 275并行或分布在核上。又一个数据并行方法中,可通过将数据流分布在每个核上而将处理分布在核上。
图5A的进一步的细节中,一些实施例中,可以根据功能并行机制500 将负载、工作或网络流量在多个核505间分布。功能并行机制可基于执行一个或多个相应功能的每个核。一些实施例中,第一核可执行第一功能,同时第二核执行第二功能。功能并行方法中,根据功能性将多核***要执行的功能划分并分布到每个核。一些实施例中,可将功能并行机制称为任务并行机制,并且可在每个处理器或核对同一数据或不同数据执行不同进程或功能时实现。核或处理器可执行相同或不同的代码。一些情况下,不同的执行线程或代码可在工作时相互通信。可以进行通信以将数据作为工作流的一部分从一个线程传递给下一线程。
一些实施例中,根据功能并行机制500将工作分布在核505上,可以包括根据特定功能分布网络流量,所述特定功能例如为网络输入/输出管理 (NW I/O)510A、安全套接层(SSL)加密和解密510B和传输控制协议(TCP) 功能510C。这会产生基于所使用的功能量或功能级别的工作、性能或者计算负载515。一些实施例中,根据数据并行机制540将工作分布在核505上可包括基于与特定的硬件或软件组件相关联的分布数据来分布工作量515。一些实施例中,根据基于流的数据并行机制520将工作分布在核505上可包括基于上下文或流来分布数据,从而使得每个核上的工作量515A-N可以类似、基本相等或者相对平均分布。
在功能并行方法的情况下,可以配置每个核来运行由设备的分组引擎或 VIP提供的多个功能中的一个或多个功能。例如,核1可执行设备200’的网络I/O处理,同时核2执行设备的TCP连接管理。类似地,核3可执行 SSL卸载,同时核4可执行第7层或应用层处理和流量管理。每个核可执行相同或不同的功能。每个核可执行不只一个功能。任一核可运行结合附图2A 和2B识别和/或描述的功能或其一部分。该方法中,核上的工作可以粗粒度或细粒度方式按功能划分。一些情况下,如图5A所示,按功能划分会使得不同核运行在不同的性能或负载级别515。
在功能并行方法的情况下,可以配置每个核来运行由设备的分组引擎提供的多个功能中的一个或多个功能。例如,核1可执行设备200’的网络I/O 处理,同时核2执行设备的TCP连接管理。类似地,核3可执行SSL卸载,同时核4可执行第7层或应用层处理和流量管理。每个核可执行相同或不同的功能。每个核可执行不只一个功能。任何核可运行结合附图2A和2B识别和/或描述的功能或其一部分。该方法中,核上的工作可以粗粒度或细粒度方式按功能划分。一些情况下,如图5A所示,按功能划分会使得不同核运行在不同的性能或负载级别。
可以用任何结构或方案来分布功能或任务。例如,图5B示出用于处理与网络I/O功能510A相关联的应用和进程的第一核Core1 505A。一些实施例中,与网络I/O相关联的网络流量可以和特定的端口号相关联。因而,将具有与NW I/O 510A相关联的端口目的地的发出和到来的分组导引给Core1 505A,该Core1 505A专用于处理与NW I/O端口相关联的所有网络流量。类似的,Core2 505B专用于处理与SSL处理相关联的功能,Core4 505D可专用于处理所有TCP级处理和功能。
虽然图5A示出如网络I/O、SSL和TCP的功能,也可将其他功能分配给核。这些其他功能可包括此处描述的任一或多个功能或操作。例如,结合图2A和2B描述的任何功能可基于功能基础分布在核上。一些情况下,第一VIP 275A可运行在第一核上,同时,具有不同配置的第二VIP 275B可运行在第二核上。一些实施例中,每个核505可处理特定功能,这样每个核505 可处理与该特定功能相关联的处理。例如,Core2 505B可处理SSL卸载,同时Core4505D可处理应用层处理和流量管理。
其他实施例中,可根据任何类型或形式的数据并行机制540将工作、负载或网络流量分布在核505上。一些实施例中,可由每个核对分布式数据的不同片执行相同任务或功能来实现多核***中的数据并行机制。一些实施例中,单个执行线程或代码控制对所有数据片的操作。其他实施例中,不同线程或指令控制操作,但是可执行相同代码。一些实施例中,从分组引擎、 vServer(VIP)275A-C、网络接口卡(NIC)542D-E和/或设备200上包括的或者与设备200相关联的任何其他网络硬件或软件的角度实现数据并行机制。例如,每个核可运行同样的分组引擎或VIP代码或配置但是在不同的分布式数据集上进行操作。每个网络硬件或软件结构可接收不同的、变化的或者基本相同量的数据,因而可以具有变化的、不同的或相对相同量的负载 515。
在数据并行方法的情况下,可以基于VIP、NIC和/或VIP或NIC的数据流来划分和分布工作。在这些的方法的一个中,可通过使每个VIP在分布的数据集上工作来将多核***的工作划分或者分布在VIP中。例如,可配置每个核运行一个或多个VIP。网络流量可分布在处理流量的每个VIP的核上。在这些方法的又一个中,可基于哪个NIC接收网络流量来将设备的工作划分或分布在核上。例如,第一NIC的网络流量可被分布到第一核,同时第二 NIC的网络流量可被分布给第二核。一些情况下,核可处理来自多个NIC的数据。
虽然图5A示出了与单个核505相关联的单个vServer,正如VIP1 275A、 VIP2 275B和VIP3 275C的情况。但是,一些实施例中,单个vServer可以与一个或者多个核505相关联。相反,一个或多个vServer可以与单个核505 相关联。将vServer与核505关联可包括该核505处理与该特定vServer关联的所有功能。一些实施例中,每个核执行具有相同代码和配置的VIP。其他实施例中,每个核执行具有相同代码但配置不同的VIP。一些实施例中,每个核执行具有不同代码和相同或不同配置的VIP。
和vServer类似,NIC也可以和特定的核505关联。许多实施例中,NIC 可以连接到一个或多个核505,这样,当NIC接收或传输数据分组时,特定的核505处理涉及接收和传输数据分组的处理。一个实施例中,单个NIC可以与单个核505相关联,正如NIC1 542D和NIC2542E的情况。其他实施例中,一个或多个NIC可以与单个核505相关联。但其他实施例中,单个NIC 可以与一个或者多个核505相关联。这些实施例中,负载可以分布在一个或多个核505上,使得每个核505基本上处理类似的负载量。与NIC关联的核 505可以处理与该特定NIC关联的所有功能和/或数据。
虽然根据VIP或NIC的数据将工作分布在核上具有某种程度的独立性,但是,一些实施例中,这会造成如图5A的变化负载515所示的核的不平衡的使用。
一些实施例中,可根据任何类型或形式的数据流将负载、工作或网络流量分布在核505上。在这些方法的又一个中,可基于数据流将工作划分或分布在多个核上。例如,客户机或服务器之间的经过设备的网络流量可以被分布到多个核中的一个核并且由其处理。一些情况下,最初建立会话或连接的核可以是该会话或连接的网络流量所分布的核。一些实施例中,数据流基于网络流量的任何单元或部分,如事务、请求/响应通信或来自客户机上的应用的流量。这样,一些实施例中,客户机和服务器之间的经过设备200’的数据流可以比其他方式分布的更均衡。
在基于流的数据并行机制520中,数据分布和任何类型的数据流相关,例如请求/响应对、事务、会话、连接或应用通信。例如,客户机或服务器之间的经过设备的网络流量可以被分布到多个核中的一个核并且由其处理。一些情况下,最初建立会话或连接的核可以是该会话或连接的网络流量所分布的核。数据流的分布可以使得每个核505运行基本相等或相对均匀分布的负载量、数据量或网络流量。
一些实施例中,数据流基于网络流量的任何单元或部分,如事务、请求 /响应通信或源自客户机上的应用的流量。这样,一些实施例中,客户机和服务器之间的经过设备200’的数据流可以比其他方式分布的更均衡。一个实施例中,可以基于事务或一系列事务分布数据量。一些实施例中,该事务可以是客户机和服务器之间的,其特征可以是IP地址或其他分组标识符。例如,核1 505A可专用于特定客户机和特定服务器之间的事务,因此,核1505A 上的负载515A可包括与特定客户机和服务器之间的事务相关联的网络流量。可通过将源自特定客户机或服务器的所有数据分组路由到核1 505A来将网络流量分配给核1505A。
虽然可部分地基于事务将工作或负载分布到核,但是,其他实施例中,可基于每个分组的基础分配负载或工作。这些实施例中,设备200可拦截数据分组并将数据分组分配给负载量最小的核505。例如,由于核1上的负载 515A小于其他核505B-N上的负载515B-N,所以设备200可将第一到来的数据分组分配给核1 505A。将第一数据分组分配给核1 505A后,核1 505A 上的负载量515A与处理第一数据分组所需的处理资源量成比例增加。设备 200拦截到第二数据分组时,设备200会将负载分配给核4 505D,这是由于核4 505D具有第二少的负载量。一些实施例中,将数据分组分配给负载量最小的核可确保分布到每个核505的负载515A-N保持基本相等。
其他实施例中,将一部分网络流量分配给特定核505的情况下,可以每单元为基础分配负载。上述示例说明以每分组为基础进行负载平衡。其他实施例中,可以基于分组数目分配负载,例如,将每10个、100个或1000个分组分配给流量最少的核505。分配给核505的分组数量可以是由应用、用户或管理员确定的数目,而且可以为大于零的任何数。仍在其他实施例中,基于时间指标分配负载,使得在预定时间段将分组分布到特定核505。这些实施例中,可以在5毫秒内或者由用户、程序、***、管理器或其他方式确定的任何时间段将分组分布到特定核505。预定时间段过去后,在预定时间段内将时间分组传输给不同的核505。
用于将工作、负载或网络流量分布在一个或多个核505上的基于流的数据并行方法可包括上述实施例的任意组合。这些方法可以由设备200的任何部分执行,由在核505上执行的应用或者一组可执行指令执行,例如分组引擎,或者由在与设备200通信的计算装置上执行的任何应用、程序或代理执行。
图5A所示的功能和数据并行机制计算方案可以任何方式组合,以产生混合并行机制或分布式处理方案,其包括功能并行机制500、数据并行机制 540、基于流的数据并行机制520或者其任何部分。一些情况下,多核***可使用任何类型或形式的负载平衡方案来将负载分布在一个或多个核505 上。负载平衡方案可以和任何功能和数据平行方案或其组合结合使用。
图5B示出多核***545的实施例,该***可以是任何类型或形式的一个或多个***、设备、装置或组件。一些实施例中,该***545可被包括在具有一个或多个处理核505A-N的设备200内。***545还可包括与存储器总线556通信的一个或多个分组引擎(PE)或分组处理引擎(PPE)548A-N。存储器总线可用于与一个或多个处理核505A-N通信。***545还可包括一个或多个网络接口卡(NIC)552和流分布器550,流分布器还可与一个或多个处理核505A-N通信。流分布器550可包括接收侧调整器(Receiver Side Scaler-RSS)或接收侧调整(Receiver Side Scaling-RSS)模块560。
进一步参考图5B,具体而言,一个实施例中,分组引擎548A-N可包括此处所述的设备200的任何部分,例如图2A和2B所述设备的任何部分。一些实施例中,分组引擎548A-N可包括任何下列的元件:分组引擎240、网络堆栈267、高速缓存管理器232、策略引擎236、压缩引擎238、加密引擎234、GUI 210、CLI212、壳服务214、监控程序216以及能够从数据总线556或一个或多个核505A-N中的任一个接收数据分组的其他任何软件和硬件元件。一些实施例中,分组引擎548A-N可包括一个或多个vServer 275A-N 或其任何部分。其他实施例中,分组引擎548A-N可提供以下功能的任意组合:SSL VPN 280、内部网IP282、交换284、DNS286、分组加速288、APP FW 280、如由监控代理197提供的监控、和作为TCP堆栈关联的功能、负载平衡、SSL卸载和处理、内容交换、策略评估、高速缓存、压缩、编码、解压缩、解码、应用防火墙功能、XML处理和加速以及SSL VPN连接。
一些实施例中,分组引擎548A-N可以与特定服务器、用户、客户或网络关联。分组引擎548与特定实体关联时,分组引擎548可处理与该实体关联的数据分组。例如,如果分组引擎548与第一用户关联,那么该分组引擎 548将对由第一用户产生的分组或者目的地址与第一用户关联的分组进行处理和操作。类似地,分组引擎548可选择不与特定实体关联,使得分组引擎 548可对不是由该实体产生的或目的是该实体的任何数据分组进行处理和以其他方式进行操作。
一些实例中,可将分组引擎548A-N配置为执行图5A所示的任何功能和/或数据并行方案。这些实例中,分组引擎548A-N可将功能或数据分布在多个核505A-N上,从而使得分布是根据并行机制或分布方案的。一些实施例中,单个分组引擎548A-N执行负载平衡方案,其他实施例中,一个或多个分组引擎548A-N执行负载平衡方案。一个实施例中,每个核505A-N可以与特定分组引擎548关联,使得可以由分组引擎执行负载平衡。在该实施例中,负载平衡可要求与核505关联的每个分组引擎548A-N和与核关联的其他分组引擎通信,使得分组引擎548A-N可共同决定将负载分布在何处。该过程的一个实施例可包括从每个分组引擎接收对于负载的投票的仲裁器。仲裁器可部分地基于引擎投票的持续时间将负载分配给每个分组引擎 548A-N,一些情况下,还可基于与在引擎关联的核505上的当前负载量相关联的优先级值来将负载分配给每个分组引擎548A-N。
核上运行的任何分组引擎可以运行于用户模式、内核模式或其任意组合。一些实施例中,分组引擎作为在用户空间或应用空间中运行的应用或程序来操作。这些实施例中,分组引擎可使用任何类型或形式的接口来访问内核提供的任何功能。一些实施例中,分组引擎操作于内核模式中或作为内核的一部分来操作。一些实施例中,分组引擎的第一部分操作于用户模式中,分组引擎的第二部分操作于内核模式中。一些实施例中,第一核上的第一分组引擎执行于内核模式中,同时,第二核上的第二分组引擎执行于用户模式中。一些实施例中,分组引擎或其任何部分对NIC或其任何驱动器进行操作或者与其联合操作。
一些实施例中,存储器总线556可以是任何类型或形式的存储器或计算机总线。虽然在图5B中描述了单个存储器总线556,但是***545可包括任意数量的存储器总线556。一个实施例中,每个分组引擎548可以和一个或者多个单独的存储器总线556相关联。
一些实施例中,NIC 552可以是此处所述的任何网络接口卡或机制。NIC 552可具有任意数量的端口。NIC可设计并构造成连接到任何类型和形式的网络104。虽然示出单个NIC 552,但是,***545可包括任意数量的NIC 552。一些实施例中,每个核505A-N可以与一个或多个单个NIC 552关联。因而,每个核505可以与专用于特定核505的单个NIC 552关联。核505A-N可包括此处所述的任何处理器。此外,可根据此处所述的任何核505配置来配置核505A-N。另外,核505A-N可具有此处所述的任何核505功能。虽然图 5B示出七个核505A-G,但是***545可包括任意数量的核505。具体而言,***545可包括N个核,其中N是大于零的整数。
核可具有或使用被分配或指派用于该核的存储器。可将存储器视为该核的专有或本地存储器并且仅有该核可访问该存储器。核可具有或使用共享的或指派给多个核的存储器。该存储器可被视为由不只一个核可访问的公共或共享存储器。核可使用专有或公共存储器的任何组合。通过每个核的单独的地址空间,消除了使用同一地址空间的情况下的一些协调级别。利用单独的地址空间,核可以对核自己的地址空间中的信息和数据进行工作,而不用担心与其他核冲突。每个分组引擎可以具有用于TCP和/或SSL连接的单独存储器池。
仍参考图5B,上文结合图5A描述的核505的任何功能和/或实施例可以部署在上文结合图4A和4B描述的虚拟化环境的任何实施例中。不是以物理处理器505的形式部署核505的功能,而是将这些功能部署在诸如客户机102、服务器106或设备200的任何计算装置100的虚拟化环境400内。其他实施例中,不是以设备或一个装置的形式部署核505的功能,而是将该功能部署在任何布置的多个装置上。例如,一个装置可包括两个或多个核,另一个装置可包括两个或多个核。例如,多核***可包括计算装置的集群、服务器群或计算装置的网络。一些实施例中,不是以核的形式部署核505的功能,而是将该功能部署在多个处理器上,例如部署多个单核处理器上。
一些实施例中,核505可以为任何形式或类型的处理器。一些实施例中,核的功能可以基本类似此处所述的任何处理器或中央处理单元。一些实施例中,核505可包括此处所述的任何处理器的任何部分。虽然图5A示出7个核,但是,设备200内可以有任意N个核,其中N是大于1的整数。一些实施例中,核505可以安装在公用设备200内,其他实施例中,核505可以安装在彼此通信连接的一个或多个设备200内。一些实施例中,核505包括图形处理软件,而其他实施例中,核505提供通用处理能力。核505可彼此物理靠近地安装和/或可彼此通信连接。可以用以物理方式和/或通信方式耦合到核的任何类型和形式的总线或子***连接核,用于向核、从核和/或在核之间传输数据。
尽管每个核505可包括用于与其他核通信的软件,一些实施例中,核管理器(未示出)可有助于每个核505之间的通信。一些实施例中,内核可提供核管理。核可以使用各种接口机制彼此接口或通信。一些实施例中,可以使用核到核的消息传送来在核之间通信,比如,第一核通过连接到核的总线或子***向第二核发送消息或数据。一些实施例中,核可通过任何种类或形式的共享存储器接口通信。一个实施例中,可以存在在所有核中共享的一个或多个存储器单元。一些实施例中,每个核可以具有和每个其他核共享的单独存储器单元。例如,第一核可具有与第二核的第一共享存储器,以及与第三核的第二共享存储器。一些实施例中,核可通过任何类型的编程或API(如通过内核的函数调用)来通信。一些实施例中,操作***可识别并支持多核装置,并提供用于核间通信的接口和API。
流分布器550可以是任何应用、程序、库、脚本、任务、服务、进程或在任何类型或形式的硬件上执行的任何类型和形式的可执行指令。一些实施例中,流分布器550可以是用于执行此处所述任何操作和功能的任何电路设计或结构。一些实施例中,流分布器分布、转发、路由、控制和/或管理多个核505上的数据和/或在核上运行的分组引擎或VIP的分布。一些实施例中,可将流分布器550称为接口主装置(interface master)。一个实施例中,流分布器550包括在设备200的核或处理器上执行的一组可执行指令。又一个实施例中,流分布器550包括在与设备200通信的计算机器上执行的一组可执行指令。一些实施例中,流分布器550包括在如固件的NIC上执行的一组可执行指令。其他实施例,流分布器550包括用于将数据分组分布在核或处理器上的软件和硬件的任何组合。一个实施例中,流分布器550在至少一个核 505A-N上执行,而在其他实施例中,分配给每个核505A-N的单独的流分布器550在相关联的核505A-N上执行。流分布器可使用任何类型和形式的统计或概率算法或决策来平衡多个核上的流。可以将如NIC的设备硬件或内核设计或构造成支持NIC和/或核上的顺序操作。
***545包括一个或多个流分布器550的实施例中,每个流分布器550 可以与处理器505或分组引擎548关联。流分布器550可包括允许每个流分布器550和在***545内执行的其他流分布器550通信的接口机制。一个实例中,一个或多个流分布器550可通过彼此通信确定如何平衡负载。该过程的操作可以基本与上述过程类似,即将投票提交给仲裁器,然后仲裁器确定哪个流分布器550应该接收负载。其他实施例中,第一流分布器550’可识别所关联的核上的负载并基于任何下列标准确定是否将第一数据分组转发到所关联的核:所关联的核上的负载大于预定阈值;所关联的核上的负载小于预定阈值;所关联的核上的负载小于其他核上的负载;或者可以用于部分基于处理器上的负载量来确定将数据分组转发到何处的任何其他指标。
流分布器550可以根据如此处所述的分布、计算或负载平衡方法而将网络流量分布在核505上。一个实施例中,流分布器可基于功能并行机制分布方案550、数据并行机制负载分布方案540、基于流的数据并行机制分布方案520或这些分布方案的任意组合或用于将负载分布在多个处理器上的任何负载平衡方案来分布网络流量。因而,流分布器550可通过接收数据分组并根据操作的负载平衡或分布方案将数据分组分布在处理器上而充当负载分布器。一个实施例中,流分布器550可包括用于确定如何相应地分布分组、工作或负载的一个或多个操作、函数或逻辑。又一个实施例中,流分布器550 可包括可识别与数据分组关联的源地址和目的地址并相应地分布分组的一个或多个子操作、函数或逻辑。
一些实施例中,流分布器550可包括接收侧调整(RSS)网络驱动器模块560或将数据分组分布在一个或多个核505上的任何类型和形式的可执行指令。RSS模块560可以包括硬件和软件的任意组合。一些实施例中,RSS 模块560和流分布器550协同工作以将数据分组分布在核505A-N或多处理器网络中的多个处理器上。一些实施例中,RSS模块560可在NIC552中执行,其他实施例中,可在核505的任何一个上执行。
一些实施例中,RSS模块560使用微软接收侧调整(RSS)方法。一个实施例中,RSS是微软可扩展网络主动技术(Microsoft Scalable Networking initiative technology),其使得***中的多个处理器上的接收处理是平衡的,同时保持数据的顺序传送。RSS可使用任何类型或形式的哈希方案来确定用于处理网络分组的核或处理器。
RSS模块560可应用任何类型或形式的哈希函数,如Toeplitz哈希函数。哈希函数可应用到哈希类型值或者任何值序列。哈希函数可以是任意安全级别的安全哈希或者是以其他方式加密。哈希函数可使用哈希关键字(hash key)。关键字的大小取决于哈希函数。对于Toeplitz哈希,用于IPv6的哈希关键字大小为40字节,用于IPv4的哈希关键字大小为16字节。
可以基于任何一个或多个标准或设计目标设计或构造哈希函数。一些实施例中,可使用为不同的哈希输入和不同哈希类型提供均匀分布的哈希结果的哈希函数,所述不同哈希输入和不同哈希类型包括TCP/IPv4、TCP/IPv6、 IPv4和IPv6头部。一些实施例中,可使用存在少量桶时(例如2个或4个) 提供均匀分布的哈希结果的哈希函数。一些实施例中,可使用存在大量桶时 (例如64个桶)提供随机分布的哈希结果的哈希函数。在一些实施例中,基于计算或资源使用水平来确定哈希函数。在一些实施例中,基于在硬件中实现哈希的难易度来确定哈希函数。在一些实施例中,基于用恶意的远程主机发送将全部哈希到同一桶中的分组的难易度来确定哈希函数。
RSS可从任意类型和形式的输入来产生哈希,例如值序列。该值序列可包括网络分组的任何部分,如网络分组的任何头部、域或载荷或其一部分。一些实施例中,可将哈希输入称为哈希类型,哈希输入可包括与网络分组或数据流关联的任何信息元组,例如下面的类型:包括至少两个IP地址和两个端口的四元组、包括任意四组值的四元组、六元组、二元组和/或任何其他数字或值序列。以下是可由RSS使用的哈希类型示例:
-源TCP端口、源IP版本4(IPv4)地址、目的TCP端口和目的IPv4 地址的四元组。
-源TCP端口、源IP版本6(IPv6)地址、目的TCP端口和目的IPv6 地址的四元组。
-源IPv4地址和目的IPv4地址的二元组。
-源IPv6地址和目的IPv6地址的二元组。
-源IPv6地址和目的IPv6地址的二元组,包括对解析IPv6扩展头部的支持。
哈希结果或其任何部分可用于识别用于分布网络分组的核或实体,如分组引擎或VIP。一些实施例中,可向哈希结果应用一个或者多个哈希位或掩码。哈希位或掩码可以是任何位数或字节数。NIC可支持任意位,例如7位。网络堆栈可在初始化时设定要使用的实际位数。位数介于1和7之间,包括端值。
可通过任意类型和形式的表用哈希结果来识别核或实体,例如通过桶表 (buckettable)或间接表(indirection table)。一些实施例中,用哈希结果的位数来索引表。哈希掩码的范围可有效地限定间接表的大小。哈希结果的任何部分或哈希结果自身可用于索引间接表。表中的值可标识任何核或处理器,例如通过核或处理器标识符来标识。一些实施例中,表中标识多核***的所有核。其他实施例中,表中标识多核***的一部分核。间接表可包括任意多个桶,例如2到128个桶,可以用哈希掩码索引这些桶。每个桶可包括标识核或处理器的索引值范围。一些实施例中,流控制器和/或RSS模块可通过改变间接表来重新平衡网络负载。
一些实施例中,多核***575不包括RSS驱动器或RSS模块560。在这些实施例的一些中,软件操控模块(未示出)或***内RSS模块的软件实施例可以和流分布器550共同操作或者作为流分布器550的一部分操作,以将分组引导到多核***575中的核505。
一些实施例中,流分布器550在设备200上的任何模块或程序中执行,或者在多核***575中包括的任何一个核505和任一装置或组件上执行。一些实施例中,流分布器550’可在第一核505A上执行,而在其他实施例中,流分布器550”可在NIC 552上执行。其他实施例中,流分布器550’的实例可在多核***575中包括的每个核505上执行。该实施例中,流分布器550’的每个实例可和流分布器550’的其他实例通信以在核505之间来回转发分组。存在这样的状况,其中,对请求分组的响应不是由同一核处理的,即第一核处理请求,而第二核处理响应。这些情况下,流分布器550’的实例可以拦截分组并将分组转发到期望的或正确的核505,即流分布器550’可将响应转发到第一核。流分布器550’的多个实例可以在任意数量的核505或核505的任何组合上执行。
流分布器可以响应于任一个或多个规则或策略而操作。规则可识别接收网络分组、数据或数据流的核或分组处理引擎。规则可识别和网络分组有关的任何类型和形式的元组信息,例如源和目的IP地址以及源和目的端口的四元组。基于所接收的匹配规则所指定的元组的分组,流分布器可将分组转发到核或分组引擎。一些实施例中,通过共享存储器和/或核到核的消息传输将分组转发到核。
虽然图5B示出了在多核***575中执行的流分布器550,但是,一些实施例中,流分布器550可执行在位于远离多核***575的计算装置或设备上。这样的实施例中,流分布器550可以和多核***575通信以接收数据分组并将分组分布在一个或多个核505上。一个实施例中,流分布器550接收以设备200为目的地的数据分组,向所接收的数据分组应用分布方案并将数据分组分布到多核***575的一个或多个核505。一个实施例中,流分布器 550可以被包括在路由器或其他设备中,这样路由器可以通过改变与每个分组关联的元数据而以特定核505为目的地,从而每个分组以多核***575的子节点为目的地。这样的实施例中,可用CISCO的vn-tag机制来改变或标记具有适当元数据的每个分组。
图5C示出包括一个或多个处理核505A-N的多核***575的实施例。简言之,核505中的一个可被指定为控制核505A并可用作其他核505的控制平面570。其他核可以是次级核,其工作于数据平面,而控制核提供控制平面。核505A-N共享全局高速缓存580。控制核提供控制平面,多核***中的其他核形成或提供数据平面。这些核对网络流量执行数据处理功能,而控制核提供对多核***的初始化、配置和控制。
仍参考图5C,具体而言,核505A-N以及控制核505A可以是此处所述的任何处理器。此外,核505A-N和控制核505A可以是能在图5C所述***中工作的任何处理器。另外,核505A-N可以是此处所述的任何核或核组。控制核可以是与其他核不同类型的核或处理器。一些实施例中,控制核可操作不同的分组引擎或者具有与其他核的分组引擎配置不同的分组引擎。
每个核的存储器的任何部分可以被分配给或者用作核共享的全局高速缓存。简而言之,每个核的每个存储器的预定百分比或预定量可用作全局高速缓存。例如,每个核的每个存储器的50%可用作或分配给共享全局高速缓存。也就是说,所示实施例中,除了控制平面核或核1以外的每个核的2GB 可用于形成28GB的共享全局高速缓存。例如通过配置服务而配置控制平面可确定用于共享全局高速缓存的存储量(the amount of memory)。一些实施例中,每个核可提供不同的存储量供全局高速缓存使用。其他实施例中,任一核可以不提供任何存储器或不使用全局高速缓存。一些实施例中,任何核也可具有未分配给全局共享存储器的存储器中的本地高速缓存。每个核可将网络流量的任意部分存储在全局共享高速缓存中。每个核可检查高速缓存来查找要在请求或响应中使用的任何内容。任何核可从全局共享高速缓存获得内容以在数据流、请求或响应中使用。
全局高速缓存580可以是任意类型或形式的存储器或存储元件,例如此处所述的任何存储器或存储元件。一些实施例中,核505可访问预定的存储量(即32GB或者与***575相当的任何其他存储量)。全局高速缓存580 可以从预定的存储量分配而来,同时,其余的可用存储器可在核505之间分配。其他实施例中,每个核505可具有预定的存储量。全局高速缓存580可包括分配给每个核505的存储量。该存储量可以字节为单位来测量,或者可用分配给每个核505的存储器百分比来测量。因而,全局高速缓存580可包括来自与每个核505关联的存储器的1GB存储器,或者可包括和每个核505 关联的存储器的20%或一半。一些实施例,只有一部分核505提供存储器给全局高速缓存580,而在其他实施例,全局高速缓存580可包括未分配给核 505的存储器。
每个核505可使用全局高速缓存580来存储网络流量或缓存数据。一些实施例中,核的分组引擎使用全局高速缓存来缓存并使用由多个分组引擎所存储的数据。例如,图2A的高速缓存管理器和图2B的高速缓存功能可使用全局高速缓存来共享数据以用于加速。例如,每个分组引擎可在全局高速缓存中存储例如HTML数据的响应。操作于核上的任何高速缓存管理器可访问全局高速缓存来将高速缓存响应提供给客户请求。
一些实施例中,核505可使用全局高速缓存580来存储端口分配表,其可用于部分基于端口确定数据流。其他实施例中,核505可使用全局高速缓存580来存储地址查询表或任何其他表或列表,流分布器可使用这些表来确定将到来的数据分组和发出的数据分组导向何处。一些实施例中,核505可以读写高速缓存580,而其他实施例中,核505仅从高速缓存读或者仅向高速缓存写。核可使用全局高速缓存来执行核到核通信。
可以将全局高速缓存580划分成各个存储器部分,其中每个部分可专用于特定核505。一个实施例中,控制核505A可接收大量的可用高速缓存,而其他核505可接收对全局高速缓存580的变化的访问量。
一些实施例中,***575可包括控制核505A。虽然图5C将核1 505A 示为控制核,但是,控制核可以是设备200或多核***中的任何一个核。此外,虽然仅描述了单个控制核,但是,***575可包括一个或多个控制核,每个控制核对***有某种程度的控制。一些实施例中,一个或多个控制核可以各自控制***575的特定方面。例如,一个核可控制决定使用哪种分布方案,而另一个核可确定全局高速缓存580的大小。
多核***的控制平面可以是将一个核指定并配置成专用的管理核或者作为主核。控制平面核可对多核***中的多个核的操作和功能提供控制、管理和协调。控制平面核可对多核***中的多个核上存储器***的分配和使用提供控制、管理和协调,这包括初始化和配置存储器***。一些实施例中,控制平面包括流分布器,用于基于数据流控制数据流到核的分配以及网络分组到核的分配。一些实施例中,控制平面核运行分组引擎,其他实施例中,控制平面核专用于***的其他核的控制和管理。
控制核505A可对其他核505进行某种级别的控制,例如,确定将多少存储器分配给每个核505,或者确定应该指派哪个核来处理特定功能或硬件/ 软件实体。一些实施例中,控制核505A可以对控制平面570中的这些核505 进行控制。因而,控制平面570之外可存在不受控制核505A控制的处理器。确定控制平面570的边界可包括由控制核505A或***575中执行的代理维护由控制核505A控制的核的列表。控制核505A可控制以下的任一个:核初始化、确定核何时不可用、一个核出故障时将负载重新分配给其他核505、决定实现哪个分布方案、决定哪个核应该接收网络流量、决定应该给每个核分配多少高速缓存、确定是否将特定功能或元件分布到特定核、确定是否允许核彼此通信、确定全局高速缓存580的大小以及对***575内的核的功能、配置或操作的任何其他确定。
F.用于通过多连接中间装置跟踪应用层流的***和方法
本公开涉及用于通过多连接中间装置跟踪应用层流的***和方法。在一个方面,可以通过中间装置跟踪事务级或应用层信息,所述信息包括下列中的一个或多个:(i)请求方法;(ii)响应码;(iii)URL;(iv)HTTP cookie;(v)在四流布置中事务两端的RTT;(vi)提供通信的第一个字节的服务器时间;(vii) 提供通信的最后一个字节的服务器时间;(viii)流标志;或可被捕获、导出和分析的任何其他类型和形式的事务级数据。在一些实施例中,可以IPFIX兼容的数据记录的形式来提供应用层流或事务级信息。可以这样做,以提供基于模板的数据记录定义,以及提供应用或事务级粒度的数据。在一些实施例中,可以响应于应用层或事务级信息来智能地聚合信息。
在一些实施例中,可以出于下列的目的来跟踪应用层数据流或基于事务的数据流:
-流量概貌分析和管理:在一些实施例中,可以使用所记录的数据来发现基于协议及输入与输出接口的流量分布。例如,可以计算高峰流量水平、持续时间和突发性,以便可以正确执行高峰时间的资源提供。
-流问题调试:在一些实施例中,可以使用流记录来确定端到端流特征,甚至是跨越多个代理或其他中间装置的端到端流特征。这可以通过捕获额外的传输层或应用层信息来完成,该传输层或应用层信息例如协商的最大分段大小(MSS)、丢包率、重传速率或任何其他类型或形式的信息。一旦确定了端到端流量特征,***的管理员或用户,或者***的智能模块,可以实时地识别干扰正常流的问题和原因。
-计帐:尽管传统基于流的监控允许基于每个流的使用来计费,但其不能识别在什么时候单个用户与多个流相关。通过捕获额外的应用层或传输层信息,可以捕获指定的基于用户的流记录。因此,可以基于用户和用户特定的流量来进行计费和计帐。
-安全:通过捕获额外的传输层或应用层信息并根据会话而不是仅仅根据流来聚合数据,可以跟踪传输层攻击。例如,可以跟踪SYN分组的数量、速率和来源,这允许生成实时警告。类似地,可以跟踪HTTP请求的数量、速率和来源。在不能捕获这样信息的传统的基于流的监控中,不能检测到这样的高层攻击。
-QoS监控:在一些实施例中,可以在基于事务级别对流进行粒化的同时通过记录不同级别的QoS字段,例如IP差分服务字段、流标签、MPLS 标签等等,对于流执行增强的服务质量(QoS)监控。
现参考图6A,示出了部署情景的一个实施例的框图。总的来说,可以将计算装置100部署为一个或多个客户机102和服务器106之间的中间节点或第4-7层代理。对于每个客户机与服务器通信,存在4个流600a-600b(但是,如果沿客户机-服务器路径存在其他未示出的中间装置,则可以有额外的流)。相应地,仅监控这些流可能漏掉这些流的基于会话或事务的细节。例如,在传统IPFIX中,流被定义为一个单侧流。这自然与第3层流信息一致。甚至在将客户机-中间装置流和中间装置-服务器流在会话级别链接在一起的实施例中,第3层流信息也可能不会反映这一点。类似地,基于第3层的流信息可将双向流显示为分开的流。
现参考图6B,在一些实施例中,单个流600a可包括多个事务602a-602c 的分组。在许多实施例中,仅仅使用网络层流信息可能不能识别这些事务,所述网络层流信息可以仅基于输入或输出接口/路由来对流进行分类。尽管实际的流在第3层和第4层或多或少是相同的,但在许多实施例中,信息的频率和所分类的流的数量有很大不同。例如在第三层,如果基于输出接口来对流进行分类并且装置具有6个接口,则输出数据被分成6个不同的流。相反,为了正确捕获并识别流中的这些分组,在一些实施例中,捕获装置可以导出更高的4-7层信息,例如在第四层基于会话的信息(例如,TCP会话)或在第7层基于事务的信息(HTTP事务)。在一些实施例中,除非流记录需要用于近乎实时的监控或报告生成,否则可以通过采样和聚合来大大地减少所导出的数据记录的数量。
现参考图6C,示出了用于通过多连接中间装置跟踪应用层流的设备的实施例的框图。在一些实施例中,该设备可以被称为或者可包括IPFIX导出器。总的来说,计算装置100包括数据***604、多层流分类器606、流记录器608和记录导出器614。这些模块可以与包含记录模板610的一个或多个数据库或数据文件和流记录612的数据库交互,从其进行读取或者向其进行写入。
多层流分类器606、流记录器608和记录导出器614中的每一个可以包括一个或多个模块、应用、服务、守护进程、例程或在例如计算装置100或设备200的装置上执行的任何类型和形式的可执行指令。在一些实施例中,分组引擎可包括多层流分类器606、流记录器608和记录导出器614中的任何一个或全部。在一些实施例中,虚拟服务器可包括多层流分类器606、流记录器608和记录导出器614中的任何一个或全部。
多层流分类器可以被设计和构建为识别网络堆栈的一层或多层的网络业务流。多层流分类器可以被设计和构建为识别网络堆栈的第3层、第4层和第7应用层的网络业务流。多层流分类器可以被设计和构建为经由传输层连接或会话来识别传输层流。多层流分类器可以被设计和构建为识别应用层流。多层流分类器可以被设计和构建为识别由该设备建立或管理的多个传输层连接之间的流。多层流分类器可以被设计和构建为识别经过由该设备建立或管理的传输层连接的多个应用层事务之间的流。多层流分类器可以使用元组信息来识别传输层流。多层流分类器可以使用例如HTTP数据的应用层信息来识别应用层流。
响应于多层流分类器,流记录器可以被设计和构建为记录关于由多层流分类器识别的流的数据、信息和记录。在一些实施例中,多层流分类器传送或提供流标识信息给所记录的流。在一些实施例中,多层流分类器可以通过流记录器例如经由API调用来将流记录存储到记录数据库。流记录器可以将关于记录模板的记录存储到记录数据库,或者经由记录模板来将记录存储到记录数据库。流记录器可以基于对应的记录模板将关于所识别的流的记录存储到记录数据库。
记录数据库可包括任何类型和形式的数据库或存储***。在一些实施例中,记录数据库可以是基于存储器的数据库。在一些实施例中,记录数据库可以包括对象、数据结构或文件。在一些实施例中,记录数据库可以将记录存储到磁盘或其他存储介质。记录数据库可以存储关于经过该计算装置或设备的任何流的记录。在一些实施例中,在该设备或计算装置外部的装置(例如服务器)上存储或维护记录数据库。
记录导出器614可以被用于从记录数据库导出一个或多个记录。记录导出器可响应于请求来导出记录。记录导出器可以任何类型和形式的格式来导出记录,所述格式可以通过导出请求来指定。在一些实施例中,记录导出器可以在每个流的基础上导出记录。在一些实施例中,记录导出器可以基于流id、事务id和/或会话id中的任何一个或多个来导出记录聚合、记录组或记录集合。在一些实施例中,记录导出器可以基于记录模板来导出记录。在一些实施例中,记录导出器可以基于对于该导出所请求的记录模板的类型来导出记录。
记录模板610可以包括支持IPFIX标准或由IPFIX标准支持的元素。记录模板610可以包括元素来扩展或包含对第4层和第7层记录的支持。记录模板610可以被设计和构建为包括或识别图7-13B中所示出的任一记录元素或其任一部分。在一些实施例中,记录模板610可以包括用于导出第4层和第7层数据记录的模板记录。记录模板可包括用于导出第4层和第7层流的信息。在一些实施例中,记录模板610可以包括用于TCP会话级信息的一个或多个字段。在又一个实施例中,记录模板610可以包括用于HTTP事务级信息的一个或多个字段。在一些实施例中,记录模板610可以包括用于识别事务标识符的字段。事务标识符可以标识处于网络堆栈的任一层的事务或关于网络堆栈的任一层的事务。在一些实施例中,记录模板可以包括关于应用层事务的事务标识符的记录元素。在一些实施例中,记录模板可以包括关于传输层事务的事务标识符的记录元素。在一些实施例中,记录模板可以包括关于会话标识符的记录元素,例如TCP或HTTP会话。可以这样做以允许通过链接所有相关的数据记录来聚合关于单个HTTP事务或TCP会话的多个数据记录。在又一个实施例中,除了任一流计量统计之外,记录模板610 还可以包括关于一个或多个会话或事务计量统计的字段。
在一些实施例中,可以由用户或管理员来编辑记录模板610。这样做可允许管理员或用户从所支持的模板中选择和修改信息元素(IE)。在其他实施例中,管理员或用户可配置或定义由多层流分类器606、流记录器608或记录导出器614应用的策略以控制如何捕获数据、何时导出数据以及将数据导出到哪里。在一些实施例中,为了减少流记录612的大小,管理员或用户可以定义一个或多个采样或过滤参数,用于采样和过滤第4层和第7层流。
在另一个实施例中,记录导出器614和数据收集器604可以包括用于管理网络接口118的连接的用户的功能。在又一个实施例中,记录导出器614 可以通过与数据收集器604验证事务或流标识符来对流记录612进行认证。
在一些实施例中,根据记录模板610,流分类器606或记录器608可以识别和记录所计量的流的一个或多个传输层属性,包括:
1.IP版本号,例如IPv4或IPv6
2.源IP地址
3.目的IP地址
4.IP协议类型(TCP、UDP、ICMP等等)
5.源TCP/UDP端口号,在协议类型为TCP或UDP的情况下
6.目的TCP/UDP端口号,在协议类型为TCP或UDP的情况下
7.分组数。在一些实施例中,如果分组是分成段的,则将每个段作为单独的分组进行计数。
8.字节数(即,属于该流的所有IP分组的总长度的总和,以字节为单位。在一些实施例中,分组的总长度包括IP头部和IP有效载荷)
9.对于IPv4分组的服务类型八位组,或对于IPv6分组的流量分类八位组。在许多实施例中,并根据IETF RFC 2474,这些八位组可包括差分服务编码点(DiffServ CodePoint)字段。
10.对于IPv6分组的流标签
11.顶多协议标签交换(MPLS)标签或对应于该标签的转发等价类 (FEC),如IETFRFC 3031中所定义的。
12.流的第一个分组的时间戳
13.流的最后一个分组的时间戳
14.采样配置,如果曾使用采样来减少所记录的分组的数量的话
15.观测点的唯一标识符
16.导出进程的唯一标识符
17.一个或多个标志,取决于所应用的不同应用层协议或进程,包括标记的二进制控制协议(TBCP)数据、证书管理协议(CMP)数据、安全套接字层(SSL)数据等等。
18.对于SYN/FI/RST信息,保存该信息的TCP标志字段
19.最大分段大小(MSS)
20.往返时间(RTT)
21.TCP选项和参数,例如窗口缩放或选择性确认(SACK)。
在其他实施例中,根据记录模板610,流分类器606或记录器608可以识别和记录所计量的流的一个或多个应用层属性,包括:
1.请求方法
2.响应码
3.响应长度
4.统一资源定位符(URL)
5.HTTP Cookie
6.提交者
7.主机
8.用户代理
9.在四流实现(例如,如图4A中所示的)中的两端的往返时间
10.前端HTTP版本
11.后端HTTP版本
12.对第一个字节的服务器时间(TTFB)
13.对最后一个字节的服务器时间(TTLB)
在一些实施例中,可以通过将完整应用层请求/响应头部作为单个串接的可变长度信息元素进行发送来对第7层信息进行捕获和导出。在其他实施例中,可以提取上文标识的字段中的一个或多个并将其作为信息元素放置在数据记录中。在其他实施例中,可以使用下列方法的组合:从应用层头部提取上文标识的字段中的一些或全部,并且将其他字段,例如选项字段或额外头部字段,作为单个可变长度信息元素进行发送。
如上文所讨论的,在传统的客户机-中间装置-服务器部署中可以将自每个装置的进出分类为不同的流。相应地,在许多实施例中,中间装置从诸如客户机的一个装置接收数据并将该数据发送到另一个装置(例如,服务器),该中间装置的分组控制缓冲器可以具有与该数据关联的两个不同的流,即使该数据是单个事务的部分并且这两个流是被链接的。因此,在传输层通过中间装置代理的每个客户机会话可以具有四个不同的流(即,在客户机侧和服务器侧各有两个流)。在一些实施例中,可以将关于每个流的流记录与流标识符或流ID关键字相关联。接着,可以将这些记录互相进行链接。
类似地,在许多实施例中,第7层流可以同样地被分类成具有相同记录集的进入流和外出流。如上文所讨论的,第7层数据记录也可包括第7层信息元素。由于第7层流是基于事务的流,在一些实施例中,流内的事务可以通过包含事务标识符或事务ID关键字而进行区分。在另外的实施例中,流 ID和事务ID对可以被用于接合或关联既属于客户机侧流又属于服务器侧流的所有数据记录。
现简单参考图7-13B,示出了可用于跟踪应用或传输层流的数据记录模板的几个实施例。图7中所示的是IPv4第4层进入记录700的实施例,其包括头部702和有效载荷704。图8A和8B所示的是IPv4第7层进入记录 800的实施例,其包括头部802和有效载荷804(为清楚起见,分成图8A和 8B)。图9中所示的是IPv6进入记录900的实施例,其包括头部902和有效载荷904。图10A和10B所示的是IPv6第7层进入记录1000的实施例,其包括头部1002和有效载荷1004(为清楚起见,分成图10A和10B)。图 11A和11B所示的是IPv4服务器到中间装置记录1100的实施例,其包括头部1102和有效载荷1104(为清楚起见,分为图11A和11B)。图12A和12B 所示的是IPv6服务器到中间装置记录1200的实施例,其包括头部1202和有效载荷1204(为清楚起见,分为图12A和12B)。以及图13A和13B所示的是IPv6第4层外出记录1300的实施例,其包括头部1302和有效载荷1304 (为清楚起见,分为图13A和13B)。本领域技术人员可以容易地扩展图9 和13A-13B中所示进入记录和外出记录之间的区别,以为任一其他实施例实现对应的外出记录。
仍参考图7-13B,讨论这些记录的实施例中的几个共同特征可能是很有帮助的。在记录的许多实施例中,可以使用企业信息元素来提供未来扩充和可扩展性。观测点标识符可包括对于每个装置的唯一编号,或包括对于执行探测的装置内的每个网络层的唯一编号。这可允许在单个网络栈中的多个观测点。导出进程标识符可包括对于装置中的每个分组引擎的唯一标识符,这允许细粒度的过滤、采样和其他统计。
对于由导出器处理的每个单向TCP流,流标识符可包括预定长度(例如64位)的唯一标识符。对于每个数据交换会话(例如第4层模板的TCP 连接对,或第7层模板的HTTP事务),事务标识符可包括对装置的每个分组引擎唯一的标识符。例如,与TCP连接对的四个流对应的每个IPFIX数据记录对于事务ID将承载相同的值。类似地,连接标识符可包括每个TCP 连接的标识符,并且对于与单个TCP连接关联的两个流(进入和外出)的 IPFIX数据记录将具有相同的连接ID值。IP版本标识符可包括IP分组头部中的IP版本字段。IP协议号可包括IP分组头部中的协议号的值,其识别有效载荷类型并在IANA协议号注册处进行限定的。协议号可以在IPv4分组的协议字段中,或者在IPv6分组的最后一个扩展头部的下一头部字段中。
源IP和目的IP可以被记录在数据记录中。在一些实施例中,仅进入侧流可包括IP地址。当经由中间装置的分组缓冲器从对应的进入侧流传送外出侧流时可以这样做,并防止记录中间装置的IP地址。类似地,在一些实施例中,关于进入侧流可以仅记录源和目的端口号。
在一些实施例中,记录可包括对自发送了一个流的前一数据记录后所接收的分组(若有的话)的数量的分组计数,和/或对自发送了该流的前一数据记录后所接收的字节(若有的话)的数量的字节计数。在许多实施例中,记录可包括对于第一个分组的时间(TFFP),或者在进入路径上收到的第一分组的时间或在外出路径上发送的第一分组的时间。类似地,记录可包括对于最后一个分组的时间(TFLP),或者在进入路径上收到的最后一个分组的时间或在外出路径上发送的最后一个分组的时间。类似地,记录可包括对于第一个字节的时间(TTFB),或者对于要从服务器接收的第一个响应字节的时间,或者对最后一个字节的时间(TTLB),或从服务器接收最后一个响应字节的时间。
在许多实施例中,记录可包括往返时间。在另外的实施例中,可以仅记录关于外出流的往返时间(因为进入流不会具有对何时发送了分组或何时将收到响应的标识)。在其他实施例中,记录可包括HTTP请求URL、HTTP 请求Cookie、HTTP请求提交者、HTTP请求方法、HTTP请求主机、HTTP 请求用户代理中的一个或多个。在另外的实施例中,对于客户机侧进入流开始和完成,可仅将这些值记录在第7层模板中。在类似的实施例中,记录可包括HTTP响应状态和HTTP响应长度中的一个或多个。在另外的实施例中,对于服务器侧进入流开始和完成,可仅将这些值记录在第7层模板中。
在一些实施例中,记录可包括流标志。这些流标志可以被应用于一个或多个模板,并且可以被应用于这些记录中的全部或一些,例如仅结束、完成或开始记录。流标志可以被用来标识流的属性,包括窗口缩放、SACK、窗口缩放比例值、最大分段大小、端点标识、CMP、TCP缓冲、HTTP版本、推标志、RSP、高速缓存、HTTP拒绝服务保护、流控制、安全套接字层通信、消息类型、请求前响应要求、客户机输入或输出的标识、服务器输入或输出的标识以及对记录是由中间装置还是客户机侧分组控制缓冲器生成的标识。在一些实施例中,消息类型标识可包括对FIN终止流、内容长度流、分块流、字节范围流或中止事务流的标识。
在一些实施例中,事件和***日志消息可以由***内的一个或多个模块生成。这些日志消息通常不被认为是分组流的部分,但它们是经常出现在计算装置的***日志或审计日志中的事件日志。然而,在本文所讨论的***和方法的一个实施例中,可以经由IPFIX来捕获和发送这些消息,这扩展了远程监控能力。在一些实施例中,可以应用策略及相配动作来确定是否导出日志消息,以及确定向什么样的接收者导出该日志消息。在一些实施例中,这些策略可以基于与日志消息关联的事件的严重程度来指示传送该日志消息到特定的接收者。
图14示出了关于IPFIX的***事件日志模板1400的实施例,其包括头部1402和有效载荷1404。在一些实施例中,字段可包括消息优先级,例如 IETF RFC 5424中所描述的那些字段。在一些实施例中,该优先级值可包括设备号乘以8,加上事件严重程度的数字值。因此,在一些实施例中,该优先级值可以包括装置、单元、模块或其他日志生成实体的标识以及包括严重程度标识符。在又一个实施例中,字段可包括事件时间戳,例如Unix时间戳或指示事件何时发生的其他标识符。在一些实施例中,字段可包括可变长度的***日志消息或事件日志消息。在另外的实施例中,该日志消息可以为下列格式:<主机名称><进程名称>:<代理名称><消息名称><消息序列号>:< 消息>。
在一些实施例中,在第4层和第7层的聚合流记录可以类似于第3层记录。然而,由于其规模和包含来自不同事务的数据,这些记录可能是难处理的,但不基于这些聚合记录可能很难进行智能网络管理决策。因此,在一些实施例中,可以通过采样来减少生成的数据记录的数量。在又一个实施例中,可以对导出之前的输入数据或记录中的数据进行过滤来将输出记录减少成用户或管理员所期望的流量信息。例如,可以基于特定虚拟IP地址或配置的服务来进行过滤。在一些实施例中,过滤策略可以不要求显式配置,而是可以基于虚拟IP地址或服务来启用或禁用过滤策略,以提供相同的过滤能力。在一些实施例中,可以通过装置的一个或多个分组引擎来进行采样,利用相同或不同的采样参数。在许多实施例中,过滤可以与采样联合进行,例如过滤并接着采样,以进一步限制所记录的数据。
在一些实施例中,可以由收集器来处理导出的数据记录。收集器可包括用于接受来自多个流的信息并维护和存储该信息的应用、服务器、进程、服务、守护进程、例程或其他可执行逻辑,以使得用户能检索感兴趣的数据。在一些实施例中,收集器可包括从一个或多个导出器接收IPFIX记录的装置。在其他实施例中,收集器和导出器可以是由单个装置执行的模块,例如由中间装置执行的模块。在一些实施例中,收集器可将数据存储到数据库中并以关键字字段作为索引。在又一个实施例中,收集器可以以带有元数据的简单文件格式来存储数据,所述元数据包括导出器关键字字段。在一些实施例中,收集器可以将数据存储到关系数据库管理***(RDBMS)中,该关系数据库管理***被配置为对关键字字段进行索引,以方便相关数据记录的搜索。
在一些实施例中,为提供导出器和收集器之间的认证,导出器被配置有收集器的IP地址。收集器也可以被配置有导出器的IP地址。通过将所接收的记录与预先配置的IP地址进行比较,收集器可以验证来源以进行认证。在一些实施例中,收集器可包括聚合来自多个导出器的数据记录。例如,***或装置中的多个分组引擎可以各自充当导出器,在经由中间装置的双向通信的四个流的每一个上包括一个。这些导出器可以全部与同一个IP地址关联,并由中间装置来执行。因此,单个收集器可以基于该IP地址来聚合它们的数据记录。
在一些实施例中,收集器和导出器可以通过IPv4或IPv6经由UDP进行通信。尽管UDP不包括TCP的可靠性,但可以使用标识已经导出的数据记录的数量的序号来对消息进行排序。这可使收集器能检测被丢弃的或乱序的消息。在一些实施例中,为避免分段,可以在向收集器传输之前将模板分成 512字节有效载荷长度。可以用完整最大传输单元(MTU)长度发送数据记录,并带有“不分段(DF)”位设置。这避免了对模板的分段并避免在传输模板期间应用路径MTU发现。在其他实施例中,可以使用诸如数据报传输层安全(DTLS)之类的安全协议。
现参考图15,示出了用于通过多连接中间装置跟踪应用或会话层流的方法1500。总的来说,在步骤1502,由在多个客户机和/或服务器之间部署的多连接中间装置的处理器执行的计量进程可以记录第一流的传输层或应用层特征,该第一流是从多个客户机和/或服务器中的一个接收的。在步骤 1504,该计量进程装置可以记录第二流的传输层或应用层特征,第二流被发向多个客户机和/或服务器中的第二个。在步骤1506,由该处理器执行的计量进程或导出器进程可以确定第一流的会话或事务对应于第二流的会话或事务。在步骤1508,该计量进程或导出器进程可以将会话或事务标识符与所记录的第一流和第二流的特征记录在一起。
仍参考图15,并且更具体地,在一些实施例中,可以将多连接中间装置部署为多个客户机和/或服务器(统称为多个装置)之间的中间装置。该中间装置可以具有到所述多个装置中的第一装置的第一连接和到所述多个装置中的第二装置的第二连接。这些连接中的每一个可包括对应的数据流,包括经由第一连接的第一流和经由第二连接的第二流。在步骤1502和1504,由中间装置执行的监控或计量进程可记录每个流的一个或多个应用层或传输层特征。在许多实施例中,除了记录流的网络层特征之外,还可以记录这些应用层或传输层特征。在另外的实施例中,可以将这些特征记录在应用特定的流记录(AppFlow)或IPFIX记录中。
在步骤1506,由该中间装置执行的监控或计量进程或导出器可以确定第一流的会话或事务对应于第二流的会话或事务。在许多实施例中,这两个流可以相对应,因为中间装置从第一装置接收数据并且有时在执行一个或多个处理步骤之后将该数据传输到第二装置。因此,来自第一装置的数据可以被定向到第二装置。确定这两个流的会话或事务相对应或相关可以包括识别这些流的一个或多个相同的特征,例如目的IP、目的端口、源IP、源端口、事务类型、生成数据的应用或服务、HTTP请求或响应头部信息、序号,或任何其他类型和形式的信息。
在步骤1508,该计量或监控进程可以将会话或事务标识符与所记录的第一流和第二流的特征记录在一起。随每个流记录的会话或事务标识符可以是相同的,或者,在另外的实施例中,可以是基本相同的,其中设置预定一个或多个位来标识子特征,例如进入流或外出流。
在一些实施例中,还可以根据会话或事务来划分由方法1500创建的流数据记录。例如,在一个这样的实施例中,一旦检测到事务边界,例如事务的结束,FIN标志、PSH标志、超时过期、对请求的满足响应或其他类似标识,该监控或计量进程可以关闭该记录,并为下一个事务或流创建新的记录。在其他实施例中,中间装置还可监控并记录其他的流。例如,在第一和第二装置双向通信的多个实施例中,中间装置可以接收或传输对于该双向通信的总共四个流。每个流可以与同一个会话或事务相关,并由此,根据方法1500,关于双向通信的四个流中的每一个的数据记录可包括会话或事务标识符。在其他实施例中,例如在多播流中,其他多个流可对应于同一个会话或事务,并且关于这些流的数据记录可以包括同一个会话或事务标识符。
现参考图16,示出了用于根据应用或会话层特征聚合流数据记录的方法 1600。总的来说,在步骤1602,由装置执行的收集器进程可以读取第一流记录,第一流记录包括第一会话或事务标识符。在步骤1604,收集器可以读取第二流记录,其包括第一会话或事务标识符。在多个实施例中,第一流记录和第二流记录可包括AppFlow或IPFIX流记录。在另外的实施例中,第一流记录和第二流记录可包括应用或会话层特征,其包括流的事务特定的特征。在步骤1606,响应于确定第一流记录和第二流记录都包含相同的会话或事务标识符,收集器可以聚合这两个流记录。在另外的实施例中,收集器可以将聚合的流记录提供给用户、管理员或分析器,以用于确定QoS设置或其他网络配置。
G.用于跟踪数据库应用的应用层流的***和方法
在来自于上述用于监控应用流的***和方法的更进一步的概念中,诸如 MSSQL或MySQL的数据库应用可能对应用流监控提出独特的挑战,特别是在利用聚合到云或集群中的大量数据库服务器来完成客户机的数据库请求的可伸缩的实现中。例如,可能难以在试图访问远程数据库的客户机之间监控应用流,因为出于负载平衡和可伸缩性的考虑,不同的请求可能被定向到不同服务器。例如,一组服务器可用于维护单个数据库,以管理网络上的带宽。在一些实施方式中,该组服务器可包括主服务器以及一个或多个从服务器。每个服务器维护数据库的相同副本,因此可将读请求定向到任何一个服务器。然而,可将写请求定向到主服务器。主服务器可响应于写请求更新其数据库副本,并且可以接着通知从服务器相应地更新它们的数据库副本或者向每个从服务器发送更新的数据库副本或写命令。由于不同的服务器接收与数据库相关的不同请求,因此监控单个网络路径不足以捕获应用层流。相反,可在客户机和服务器之间布置中间装置,并且该中间装置可用于监控流并且恰当地定向数据库请求和响应。可收集和聚合与主服务器和写请求/响应以及从服务器和读请求/响应两者相关的应用流信息,以便不管处理任何特定请求的各个服务器如何,都能提供客户机和服务器集群之间的应用通信的全视图。相应地,无论在任何特定请求/响应交换中涉及到哪个服务器,都可监控应用流统计,这允许了可伸缩性而不会妨碍管理过程。
现参考图17,示出了用于监控和记录应用层流的网络环境1700的实施例的框图。概括而言,该网络环境1700包括经由经由中间装置1708通过一个或多个网络104、104’(总的称作网络104)与主服务器1702a-1702n和从服务器1704a-1704n通信的一个或多个客户机102a-102n。中间装置1708与记录收集器1710通信。每个服务器1702和1704维护数据库1706的副本。在一些实施方式中,主服务器1702负责接收更新数据库1706的请求,并且负责将更新的数据库1706发送给从服务器1704。相应地,在一些实施例中,一个或多个主服务器可被称作“写”服务器,而从服务器可被称作“读”服务器。该***可例如通过按照需要添加额外的读服务器来满足需求,从而允许了数据库服务器的易伸缩性。
尽管图17示出了在客户机102与服务器1702和1704之间的网络104 和另一个网络104’,但客户机102以及服务器1702和1704可在相同的网络 104上。网络104和104’可以是相同类型的网络或者不同类型的网络。网络 104和/或网络104’可以是诸如公司内部网的局域网(LAN)、城域网(MAN) 或者诸如互联网或万维网的广域网(WAN)。在一些实施例中,网络104’可以是私有网络并且网络104可以是公共网络。在一些实施例中,网络104可以是私有网络并且网络104’可以是公共网络。在另一个实施例中,网络104 和104’都可以是私有网络。在一些实施例中,客户机102可位于公司企业的分支机构处,该分支机构经由网络104上的WAN连接与位于公司数据中心处的服务器1702或1704通信。
网络104和/或104’是任何类型和/或形式的网络,并且可包括下列的任何一个:点对点网络、广播网络、广域网、局域网、通讯网络、数据通信网络、计算机网络、ATM(异步传输模式)网络、SONET(同步光网络)网络、SDH(同步数字系列)网络、无线网络和有线网络。在一些实施例中,网络104可包括无线链路,例如红外通道或卫星频带。网络104和/或104’的拓扑可以是总线形、星形或环形网络拓扑。网络104和/或104’以及网络拓扑可以是本领域普通技术人员公知的、能够支持本文描述的操作的任何此类的网络或网络拓扑。
在一些实施例中,中间装置1708可位于网络104上。例如,公司企业的分支机构可在该分支机构处部署中间装置1708。在其他实施例中,中间装置1708可位于网络104’上。例如,中间装置1708可位于公司数据中心处。
在一些实施例中,中间装置1708包括由佛罗里达州劳德代尔堡的思杰***有限公司制造的、被称作思杰NetScaler装置的任何网络装置。在其他实施例中,中间装置1708包括由华盛顿州西雅图的F5网络有限公司制造的、被称作WebAccelerator和BigIP的任何产品实施例。在另一个实施例中,中间装置1708包括DX加速装置平台和/或SSL VPN系列装置中的任何一个,例如由加利福尼亚州森尼维尔的瞻博网络有限公司制造的SA 700、SA2000、 SA 4000和SA 6000装置。在又一个实施例中,中间装置1708包括由加利福尼亚州圣何塞的思科***有限公司制造的任何应用加速和/或安全相关的设备和/或软件,例如思科ACE应用控制引擎模块服务软件和网络模块,以及思科AVS系列应用速度***。中间装置1708可以是本文描述的任何类型的计算装置,包括设备200或WAN优化装置205。
在一些实施例中,***可包括多个逻辑分组的服务器1702和1704。在这些实施例中,服务器的逻辑组可被称作服务器集群1712。在这些实施例的一些中,可在地理上分散服务器1702和1704。在一些情况下,可将集群1712 作为单个实体来管理。在其他实施例中,服务器集群1712包括多个服务器集群1712。在一些实施例中,服务器集群1712代表一个或多个客户机102 执行一个或多个应用。在其他实施方式中,服务器集群1712在数据库1706 中存储信息,以由客户机102检索。***还可以包括由主服务器1702组成的逻辑组1714以及由从服务器1704组成的逻辑组1716。客户机102可与属于组1714或者组1716的服务器进行通信。例如,客户机102可与来自组1714 的主服务器1702通信,以更改数据库1706。客户机102还可以与来自组1716 的从服务器1704通信,以从数据库1706读取数据。在一些实施方式中,每个主服务器1702可与每个从服务器1704通信(例如,以通知从服务器1704 数据库1706已被更新)。
每个集群1712内的服务器1702和1704可以是异构的。一个或多个服务器1702或1704可根据一种类型的操作***平台(例如,由华盛顿州雷德蒙德的微软公司制造的WINDOWS NT)进行操作,而一个或多个其他的服务器1702或1704可根据另一种类型的操作***平台(例如Unix或Linux) 进行操作。每个集群1712的服务器1702和1704并不需要在物理上接近相同集群1712中的另一个服务器1702或1704。因此,可使用广域网(WAN) 连接或中型区域网络(MAN)连接来互连被逻辑分组为集群1712的服务器 1702和1704。例如,集群1712可包括在物理上位于不同的大陆或者大陆、国家、州、城市、大学或房间的不同的区域的服务器1702和1704。如果使用局域网(LAN)连接或者一些直接连接形式来连接服务器1702和1704,则可以提高集群1712中服务器1702和1704之间的数据传输速度。服务器 1702和1704可包括任何类型或形式的计算装置,例如本文讨论的服务器 106。类似地,集群1712可包括任何类型和形式的服务器集群或云,包括服务器集群38。
服务器1702和1704可被称作文件服务器、应用服务器、web服务器、代理服务器或者网关服务器。在一些实施例中,服务器1702可具有充当应用服务器或者主应用服务器的能力。在一些实施例中,服务器1702或1704 可包括活动目录(Active Directory)。客户机102还可以被称作客户机节点或端点。在一些实施例中,客户机102具有充当寻求对服务器上的应用或数据的访问的客户机节点,以及为其他客户机102a-102n提供对被寄载的应用的访问的应用服务器的能力。
在一些实施例中,客户机102与服务器1702或1704通信。在一些实施例中,客户机102与集群1712中的服务器1702或1704中的一个直接通信。在另一个实施例中,客户机102执行程序邻域应用,以与集群1712中的服务器1702或1704通信。在又一个实施例中,服务器106提供主节点的功能。在一些实施例中,客户机102通过网络104与集群1712中的服务器1702或 1704通信。通过网络104,客户机102可例如请求执行由在集群1712中的服务器1702和1704寄载的各种应用,并且接收应用执行结果的输出以便进行显示。在一些实施例中,仅主节点1702提供识别和提供与寄载被请求的应用的从服务器1704相关联的地址信息所需要的功能。
在一些实施例中,服务器1702或1704提供web服务器的功能。在另一个实施例中,主服务器1702接收来自客户机102的请求、将该请求转发到从服务器1704,并且用来自服务器1704的、对于客户机102的请求的响应,来响应该请求。在又一个实施例中,服务器1702获得客户机102可用的应用清单,并且获得与寄载由该应用清单标识的应用的服务器1704相关联的地址信息。在又一个实施例中,服务器1702使用web接口将对请求的响应提供给客户机102。在一些实施例中,客户机102与服务器1704直接通信,以访问所标识的应用。在另一个实施例中,客户机102接收由在服务器1704 上执行所标识的应用而生成的应用输出数据,例如显示数据。
在一些实施例中,中间装置1708经由网络104接收来自客户机102的数据库请求。中间装置1708可确定该请求的类型(即读或写)以及与该请求相关联的字符串,并且可基于该请求的类型以及服务器利用、网络利用或任何其他这样的特征,将该请求定向到合适的主服务器或从服务器。因此,中间装置1708可对于数据库服务器集群执行负载平衡特征。可在由中间装置将请求发送给服务器1702或1704之前,由中间装置生成包括数据库、请求的类型和请求字符串的第一IPFIX消息。
在一些实施例中,中间装置1708可将读请求发送给一个或多个从服务器1704。每个从服务器可维护数据库1706的副本,使得任何从服务器1706 可以通过用被请求的一个或多个数据库值或者对应的条目进行响应,来完成读请求。中间装置1708还可以将来自客户机102的数据库写请求发送给主服务器1702。主服务器1702可更新其数据库,并且可通知每个从服务器1704 来相应地更新它们的数据库或者可将更新的数据库发送给每个从服务器 1704。因此,在许多实施例中,所有的写请求可去往主服务器,而读请求(其可能更为频繁或者更多)则由一个或多个从服务器处理。当服务器1702或 1704响应中间装置1708时,中间装置1708可生成第二IPFIX消息,该第二 IPFIX消息包括从服务器1702或1704接收的响应状态和响应字符串。接着,可由中间装置1708聚合第一和第二IPFIX消息,并且该消息被发送给记录收集器1710以进行存储。在一些实施方式中,中间装置1708和记录收集器1710可包括单个机器,例如图6C的计算装置100。客户机102可随后请求对于在记录收集器1710中存储的IPFIX消息的访问(例如,以监控一段时间内的应用流)。
现参考图18,示出了用于监控和记录应用层流的方法的实施例的流程图。概括而言,流监控器可接收数据库请求(步骤1802)、生成第一IPFIX 消息(步骤1804)并且决定该请求是否是写请求(步骤1806)。尽管以该次序描述,然而在许多实施例中,步骤1804可在步骤1806后发生。如果该请求不是写请求,则流监控器选择从服务器来接收该请求(步骤1808)并且将该请求发送给所选择的从服务器(步骤1810)。如果该请求是写清求,则流监控器将该请求发送给主服务器(步骤1812)。流监控器还接收数据库响应 (步骤1814)、生成第二IPFIX消息(步骤1816)并且聚合第一和第二IPFIX 消息(步骤1818),以及可选地,将聚合的IPFIX消息发送给记录收集器(步骤1820)。
方法1800包括接收数据库请求的步骤(步骤1802)。客户机可发起与远程服务器上寄载的数据库相关联的请求。例如,客户机可请求对数据库的访问,以便从数据库中的表中检索值,或者对于该数据库添加、更改或删除信息。请求可具有相关联的请求类型(例如,读或写)以及请求字符串(例如,将被***数据库的值或者将由数据库应用处理的查询)。位于客户机和服务器之间的中间装置可接收来自客户机的数据库请求。
方法1800包括生成第一IPFIX消息的步骤(步骤1804)。在一些实施方式中,可基于数据库请求参数和策略参数之间的匹配来生成IPFIX消息。例如,数据库请求参数可指示该请求是写请求,并且这可以与允许对数据库进行写访问的策略相匹配。可由接收数据库请求的中间装置生成IPFIX消息。在一些实施方式中,IPFIX消息的格式可基于预定的模板。IPFIX消息可包括数据库类型(例如,MSSQL或MySQL)的标识、请求的类型和请求字符串。
方法1800包括确定请求是否是写请求的步骤(步骤1806)。中间装置可基于请求的参数做出该确定。如果请求不是写请求(即请求是读请求),则该方法包括选择请求应被定向到的从服务器的步骤(步骤1808)。一组服务器可包括主服务器和从服务器。每个服务器可维护数据库的相同副本。因此,可任意选择从服务器,因为与每个从服务器相关联的数据库相同。在一些实施方式中,可基于负载平衡方案做出对从服务器的选择。中间装置可检测每个从服务器的网络活动的数量,并且可根据最小负载来选择从服务器,以平衡每个从服务器上的平均负载。在另一个实施方式中,中间装置对从服务器的选择可能意在最小化活动的从服务器的数量。在选择了从服务器之后,方法1800包括将请求发送给所选择的从服务器的步骤(步骤1810)。例如,可通过通信网络将请求发送给所选择的从服务器。
如果在步骤1806中间装置确定请求是写请求,则方法1800包括将请求发送给主服务器的步骤(步骤1812)。在一些实施方式中,一组服务器可包括单个主服务器和多个从服务器。主服务器可接收请求,以在数据库中添加、更改或删除信息(即写请求),并且可以接着通知每个从服务器相应地更改它们的数据库副本。因此,客户机可发起单个请求,并且在更新每个独立服务器的数据库副本时无需涉及到客户机。在其他实施方式中,该组服务器可包括不只一个主服务器。在这些情况下,中间装置可基于负载平衡方案来选择主服务器,并且可将请求经由网络发送给所选择的主服务器。
方法1800包括接收数据库响应的步骤(步骤1814)。可从一组服务器中的服务器发送该响应。在一些实施方式中,响应可包括响应状态。例如,如果请求的格式不正确、如果请求尝试检索在数据库中不存在的值,或者如果服务器以其他方式不能完成该请求,则响应状态可指示出现了错误。例如,如果已将指定的值***数据库,则响应状态还可以指示该请求已被满足。响应还可以包括响应字符串(例如,指示阻止了服务器满足数据库请求的特定类型的错误的消息)。
方法1800包括生成第二IPFIX消息的步骤(步骤1816)。中间装置可确定在步骤1814中接收的响应与在步骤1802中接收的请求相对应。在一些实施方式中,可以在不检查响应的参数与策略的参数的对比的情况下,做出该确定,如步骤1804中所做的。可基于预定的模板由中间装置生成第二IPFIX 消息,并且该第二IPFIX消息可包括与步骤1814中接收的响应状态和响应字符串相对应的信息。在一些实施方式中,请求模板可与响应模板不同。例如,在一个这样的实施例中,第二IPFIX消息可包括数据库类型(例如, MSSQL或MySQL)的标识、响应的类型或响应的状态标识符、响应字符串和响应字符串的长度的标识。
方法1800包括聚合第一和第二IPFIX消息的步骤(步骤1818)。例如,可将第一和第二消息中的每一个表示为字符串。接着可串联该字符串以聚合第一和第二IPFIX消息。在一些实施例中,IPFIX消息可被存储为由中间装置维护的IPFIX数据库(例如,与服务器数据库分开维护的数据库)中的行。在步骤1802接收请求之后,可将第一IPFIX消息***该IPFIX数据库。在中间装置生成第二IPFIX消息之后,可将来自第二IPFIX消息的信息作为另外的行***该IPFIX数据库。接着该IPFIX数据库将表示第一和第二IPFIX 消息的聚合。
方法1800还包括将聚合的IPFIX消息发送给记录收集器的步骤(步骤 1820)。记录收集器可以是计算装置,并且可将聚合的IPFIX消息经由计算机网络发送给该记录收集器。例如,记录收集器可包括存储单元,以存储聚合的IPFIX消息以用于后续的检索。在一些实施方式中,记录收集器和中间装置可被实现为单个计算装置。可对于许多数据库请求重复方法1800的步骤,并且记录收集器可存储与请求和相关联的响应中的每一个相对应的IPFIX消息。
尽管已经描述了该方法和***的各种实施例,但这些实施例是示例性,并不以任何方式限制所描述的方法或***的范围。相关领域技术人员可以对所描述的方法和***的形式和细节进行改变,而不脱离所描述的方法和***的最宽范围。因此,本文所述的方法和***的范围不应该由任何示例性实施例所限制,而是应该根据所附权利要求及其等价物进行限定。
Claims (20)
1.一种用于由在客户机和寄载数据库的服务器之间的中间装置监控应用层流的方法,包括:
由中间装置从客户机接收以寄载具有第一类型的数据库的服务器为目标的第一数据库请求,所述第一数据库请求包括请求类型和请求字符串,所述中间装置从所述第一数据库请求的参数识别所述第一类型的数据库、所述请求类型和所述请求字符串中的每一个,其中所述请求类型包括读类型的请求和写类型的请求的其中一个;
由所述中间装置识别所述第一数据库请求的参数与一个或多个策略组成的集合中的第一策略的参数相匹配;
由所述中间装置响应于识别所述第一数据库请求的参数与一个或多个策略组成的集合中的第一策略的参数相匹配,生成第一互联网协议流信息导出(IPFIX)消息,所述第一互联网协议流信息导出消息包括所述第一类型的数据库的标识、所述第一数据库请求的请求类型的标识和所述第一数据库请求的请求字符串;
由所述中间装置基于所述请求类型从多个服务器中选择服务器,所述中间装置被配置为对于写类型的请求选择主服务器而对于读类型的请求选择具有数据库副本的从服务器;
由所述中间装置向所选择的服务器发送所述第一数据库请求;
由所述中间装置从所述所选择的服务器接收对所述第一数据库请求的第一响应,所述第一响应包括响应状态和响应字符串;
由所述中间装置确定所述第一响应与所述第一数据库请求相对应;以及
由所述中间装置响应于该确定,生成第二IPFIX消息,所述第二IPFIX消息包括所述第一响应的响应状态的标识和响应字符串;
由所述中间装置将所述第一IPFIX消息和第二IPFIX消息聚合到应用流记录内。
2.根据权利要求1所述的方法,还包括由所述中间装置向客户机发送所述第一响应。
3.根据权利要求1所述的方法,其中,在不匹配所述第一响应的参数与所述第一策略的参数的情况下,执行确定所述第一响应与所述第一数据库请求相对应并且生成所述第二IPFIX消息。
4.根据权利要求1所述的方法,还包括由所述中间装置将所述第一IPFIX消息和第二IPFIX消息发送给数据收集器。
5.根据权利要求1所述的方法,还包括通过串接以字符串表示的第一IPFIX消息与以字符串表示的第二IPFIX消息来聚合所述第一IPFIX消息和第二IPFIX消息。
6.根据权利要求1所述的方法,其中,生成第二IPFIX消息还包括生成包括响应字符串的长度的标识的第二IPFIX消息。
7.根据权利要求1所述的方法,其中,所述所选择的服务器包括多个计算装置,并且其中将所述第一数据库请求发送给所述所选择的服务器还包括识别所述多个计算装置中的第一计算装置,并且将所述第一数据库请求发送给所识别的第一计算装置。
8.根据权利要求7所述的方法,其中,接收所述第一响应包括从所识别的第一计算装置接收所述第一响应。
9.根据权利要求7所述的方法,还包括:
由所述中间装置从所述客户机接收包括请求类型和请求字符串的第二数据库请求;
由所述中间装置识别所述第二数据库请求的参数与所述第一策略的参数相匹配;
由所述中间装置响应于识别所述第二数据库请求的参数与所述第一策略的参数相匹配,生成第三IPFIX消息,所述第三IPFIX消息包括所述第二数据库请求的请求类型的标识和所述第二数据库请求的请求字符串;
由所述中间装置基于负载平衡策略识别所述多个计算装置中的第二计算装置;
由所述中间装置向所识别的第二计算装置发送所述第二数据库请求;
由所述中间装置从所识别的第二计算装置接收对所述第二数据库请求的第二响应,所述第二响应包括响应状态和响应字符串;
由所述中间装置确定所述第二响应与所述第二数据库请求相对应;
由所述中间装置响应于确定所述第二响应与所述第二数据库请求相对应,生成第四IPFIX消息,所述第四IPFIX消息包括所述第二响应的响应状态的标识和响应字符串;以及
将所述第一、第二、第三和第四IPFIX消息聚合到应用流记录内。
10.根据权利要求9所述的方法,其中,识别所述多个计算装置中的第一计算装置包括响应于具有第一请求类型的第一数据库请求识别所述第一计算装置;并且其中识别所述多个计算装置中的第二计算装置包括响应于具有与第一请求类型不同的第二请求类型的第二数据库请求识别所述第二计算装置。
11.一种用于由在客户机和寄载数据库的服务器之间的中间装置监控应用层流的***,包括:
在客户机和服务器之间部署的中间装置,所述中间装置包括执行应用流监控器的处理器,所述应用流监控器被配置为:
从所述客户机接收以寄载具有第一类型的数据库的服务器为目标的第一数据库请求,所述第一数据库请求包括请求类型和请求字符串,其中所述请求类型包括读类型的请求和写类型的请求的其中一个;
从所述第一数据库请求的参数识别所述第一类型的数据库、所述请求类型和所述请求字符串中的每一个;
识别所述第一数据库请求的参数与一个或多个策略组成的集合中的第一策略的参数相匹配;
响应于识别所述第一数据库请求的参数与一个或多个策略组成的集合中的第一策略的参数相匹配,生成第一互联网协议流信息导出(IPFIX)消息,所述第一互联网协议流信息导出消息包括所述第一类型的数据库的标识、所述第一数据库请求的请求类型的标识和所述第一数据库请求的请求字符串;
基于所述请求类型从多个服务器中选择服务器,所述中间装置被配置为对于写类型的请求选择主服务器而对于读类型的请求选择具有数据库副本的从服务器;
向所选择的服务器发送所述第一数据库请求;
从所述所选择的服务器接收对所述第一数据库请求的第一响应,所述第一响应包括响应状态和响应字符串;
确定所述第一响应与所述第一数据库请求相对应;
响应于该确定,生成第二IPFIX消息,所述第二IPFIX消息包括所述第一响应的响应状态的标识和响应字符串;以及
将所述第一IPFIX消息和第二IPFIX消息聚合到应用流记录内。
12.根据权利要求11所述的***,其中,所述应用流监控器还被配置为向客户机发送所述第一响应。
13.根据权利要求11所述的***,其中,所述应用流监控器还被配置为在不匹配所述第一响应的参数与所述第一策略的参数的情况下,确定所述第一响应与所述第一数据库请求相对应并且生成所述第二IPFIX消息。
14.根据权利要求11所述的***,其中,所述应用流监控器还被配置为将所述第一IPFIX消息和第二IPFIX消息发送给数据收集器。
15.根据权利要求11所述的***,其中,所述应用流监控器或者由第二装置执行的数据收集器还被配置为通过串接以字符串表示的第一IPFIX消息与以字符串表示的第二IPFIX消息来聚合所述第一IPFIX消息和第二IPFIX消息。
16.根据权利要求11所述的***,其中,所述应用流监控器还被配置为生成包括响应字符串的长度的标识的第二IPFIX消息。
17.根据权利要求11所述的***,其中,所述所选择的服务器包括多个计算装置,并且其中所述应用流监控器还被配置为识别所述多个计算装置中的第一计算装置并且将所述第一数据库请求发送给所识别的第一计算装置。
18.根据权利要求17所述的***,其中,所述应用流监控器还被配置为从所识别的第一计算装置接收所述第一响应。
19.根据权利要求17所述的***,其中,所述应用流监控器还被配置为:
从所述客户机接收包括请求类型和请求字符串的第二数据库请求;
识别所述第二数据库请求的参数与所述第一策略的参数相匹配;
响应于识别所述第二数据库请求的参数与所述第一策略的参数相匹配,生成第三IPFIX消息,所述第三IPFIX消息包括所述第二数据库请求的请求类型的标识和所述第二数据库请求的请求字符串;
基于负载平衡策略识别所述多个计算装置中的第二计算装置;
向所识别的第二计算装置发送所述第二数据库请求;
从所识别的第二计算装置接收对所述第二数据库请求的第二响应,所述第二响应包括响应状态和响应字符串;
确定所述第二响应与所述第二数据库请求相对应;
响应于确定所述第二响应与所述第二数据库请求相对应,生成第四IPFIX消息,所述第四IPFIX消息包括所述第二响应的响应状态的标识和响应字符串;以及
将所述第一、第二、第三和第四IPFIX消息聚合到应用流记录内。
20.根据权利要求19所述的***,其中,所述应用流监控器还被配置为响应于具有第一请求类型的第一数据库请求识别所述第一计算装置,并且响应于具有与第一请求类型不同的第二请求类型的第二数据库请求识别所述第二计算装置。
Applications Claiming Priority (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US13/673445 | 2012-11-09 | ||
US13/673,445 US9438488B2 (en) | 2012-11-09 | 2012-11-09 | Systems and methods for appflow for datastream |
PCT/US2013/066874 WO2014074329A1 (en) | 2012-11-09 | 2013-10-25 | Systems and methods for appflow for datastream |
Publications (2)
Publication Number | Publication Date |
---|---|
CN104904160A CN104904160A (zh) | 2015-09-09 |
CN104904160B true CN104904160B (zh) | 2018-06-19 |
Family
ID=49578559
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201380063831.7A Active CN104904160B (zh) | 2012-11-09 | 2013-10-25 | 用于数据流的应用流的***和方法 |
Country Status (5)
Country | Link |
---|---|
US (1) | US9438488B2 (zh) |
EP (1) | EP2918046B1 (zh) |
CN (1) | CN104904160B (zh) |
HK (1) | HK1215626A1 (zh) |
WO (1) | WO2014074329A1 (zh) |
Families Citing this family (68)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US9628542B2 (en) * | 2012-08-24 | 2017-04-18 | Akamai Technologies, Inc. | Hybrid HTTP and UDP content delivery |
US9270765B2 (en) | 2013-03-06 | 2016-02-23 | Netskope, Inc. | Security for network delivered services |
US10091066B2 (en) * | 2013-09-13 | 2018-10-02 | Abb Schweiz Ag | Integration method and system |
GB2519516B (en) * | 2013-10-21 | 2017-05-10 | Openwave Mobility Inc | A method, apparatus and computer program for modifying messages in a communications network |
US9229795B2 (en) * | 2013-12-09 | 2016-01-05 | Hewlett Packard Enterprise Development Lp | Execution of end-to-end processes across applications |
RU2013158632A (ru) * | 2013-12-30 | 2015-07-10 | Общество С Ограниченной Ответственностью "Яндекс" | Способ предоставления данных об устройстве (варианты), способ установления сеанса связи между устройством и веб-сервером и сервер для предоставления данных |
EP2963864B1 (en) * | 2014-07-04 | 2019-04-24 | Volkswagen Aktiengesellschaft | Computing system and method for identifying files transmitted to an external network |
FR3025678B1 (fr) * | 2014-09-04 | 2020-03-27 | Bull Sas | Methodes et systemes de surveillance de serveurs informatiques |
US10469346B2 (en) * | 2015-01-30 | 2019-11-05 | Splunk Inc. | Correlating performance data of client and host to identify performance issue of a third device |
CN106294452B (zh) * | 2015-05-28 | 2019-07-23 | 阿里巴巴集团控股有限公司 | 数据获取方法和装置 |
US10536357B2 (en) | 2015-06-05 | 2020-01-14 | Cisco Technology, Inc. | Late data detection in data center |
US10142353B2 (en) | 2015-06-05 | 2018-11-27 | Cisco Technology, Inc. | System for monitoring and managing datacenters |
US10623258B2 (en) * | 2015-06-22 | 2020-04-14 | Arista Networks, Inc. | Data analytics on internal state |
CN105159114A (zh) * | 2015-08-28 | 2015-12-16 | 广州思威信息科技有限公司 | 一种智能家居控制*** |
WO2017036535A1 (en) * | 2015-09-03 | 2017-03-09 | Huawei Technologies Co., Ltd. | Distributed connection tracking |
CN108370280B (zh) * | 2015-09-21 | 2020-09-11 | 华为技术有限公司 | 快速和可扩展的数据库集群通信路径 |
US10063451B2 (en) * | 2015-09-28 | 2018-08-28 | Juniper Networks, Inc. | Providing application metadata using export protocols in computer networks |
US10601669B2 (en) * | 2015-10-27 | 2020-03-24 | Vmware, Inc. | Configurable client filtering rules |
US10084754B2 (en) * | 2015-12-11 | 2018-09-25 | Microsoft Technology Licensing, Llc | Virtual private network aggregation |
US9886324B2 (en) * | 2016-01-13 | 2018-02-06 | International Business Machines Corporation | Managing asset placement using a set of wear leveling data |
US11019101B2 (en) | 2016-03-11 | 2021-05-25 | Netskope, Inc. | Middle ware security layer for cloud computing services |
US10789223B2 (en) * | 2016-03-24 | 2020-09-29 | Microsoft Technology Licensing, Llc | Hybrid garbage collection in a distributed storage system |
US10250433B1 (en) | 2016-03-25 | 2019-04-02 | WatchGuard, Inc. | Method and system for peer-to-peer operation of multiple recording devices |
US10116630B2 (en) * | 2016-04-04 | 2018-10-30 | Bitdefender IPR Management Ltd. | Systems and methods for decrypting network traffic in a virtualized environment |
US10511542B2 (en) * | 2016-06-10 | 2019-12-17 | Microsoft Technology Licensing, Llc | Multi-interface power-aware networking |
CN107579949B (zh) * | 2016-07-05 | 2021-05-28 | 阿里巴巴集团控股有限公司 | 数据报文处理方法及装置 |
TWI608749B (zh) * | 2016-08-31 | 2017-12-11 | 群暉科技股份有限公司 | 用來控制一客戶端裝置存取一網路裝置之方法以及控制裝置 |
CN106371925A (zh) * | 2016-08-31 | 2017-02-01 | 北京中测安华科技有限公司 | 一种高速大数据的检测方法及装置 |
WO2018122640A1 (en) * | 2016-12-30 | 2018-07-05 | Redsocks Security Holdings Bv | System for preparing network traffic for fast analysis |
CN106681820B (zh) * | 2016-12-30 | 2020-05-01 | 西北工业大学 | 基于消息组合的可扩展大数据计算方法 |
US10558817B2 (en) * | 2017-01-30 | 2020-02-11 | Foley & Lardner LLP | Establishing a link between identifiers without disclosing specific identifying information |
US10200473B2 (en) * | 2017-03-23 | 2019-02-05 | Netapp, Inc. | Methods and systems for managing networked storage system resources |
US10764141B2 (en) | 2017-03-27 | 2020-09-01 | Cisco Technology, Inc. | Network agent for reporting to a network policy system |
US10873794B2 (en) | 2017-03-28 | 2020-12-22 | Cisco Technology, Inc. | Flowlet resolution for application performance monitoring and management |
US10291497B2 (en) * | 2017-03-31 | 2019-05-14 | Juniper Networks, Inc. | Session-based traffic statistics logging for virtual routers |
US10320688B2 (en) | 2017-06-30 | 2019-06-11 | Futurewei Technologies, Inc. | Aggregating flows by endpoint category |
US10389630B2 (en) * | 2017-06-30 | 2019-08-20 | Futurewei Technologies, Inc. | Monitoring, measuring, analyzing communication flows between identities in an identity-enabled network using IPFIX extensions |
US10834113B2 (en) * | 2017-07-25 | 2020-11-10 | Netskope, Inc. | Compact logging of network traffic events |
CN108289063B (zh) * | 2017-09-11 | 2021-07-27 | 上海金融期货信息技术有限公司 | 一种低延迟通讯*** |
CN107666417B (zh) * | 2017-10-18 | 2021-04-30 | 盛科网络(苏州)有限公司 | 实现ipfix随机采样的方法 |
US10645174B2 (en) * | 2017-12-07 | 2020-05-05 | Sage Intacct, Inc. | Enabling multiple sessions in a single browser |
US10585689B1 (en) | 2017-12-20 | 2020-03-10 | Cisco Technology, Inc. | Shared memory interface for application processes |
CN108183892B (zh) * | 2017-12-22 | 2021-08-06 | 新华三大数据技术有限公司 | 报文处理方法及装置 |
US10999149B2 (en) * | 2018-01-25 | 2021-05-04 | Cisco Technology, Inc. | Automatic configuration discovery based on traffic flow data |
US10574575B2 (en) * | 2018-01-25 | 2020-02-25 | Cisco Technology, Inc. | Network flow stitching using middle box flow stitching |
US11057442B2 (en) * | 2018-01-27 | 2021-07-06 | Vmware, Inc. | System and method for workspace sharing |
JP7087419B2 (ja) * | 2018-02-02 | 2022-06-21 | 富士通株式会社 | データ受信装置、データ送受信システム、及びデータ送受信システムの制御方法 |
US10467066B2 (en) * | 2018-03-06 | 2019-11-05 | Visa International Service Association | System and method for establishing common request processing |
US11106613B2 (en) * | 2018-03-29 | 2021-08-31 | Intel Corporation | Highly scalable accelerator |
US10999167B2 (en) | 2018-04-13 | 2021-05-04 | At&T Intellectual Property I, L.P. | Varying data flow aggregation period relative to data value |
US11243952B2 (en) * | 2018-05-22 | 2022-02-08 | Bank Of America Corporation | Data cache using database trigger and programmatically resetting sequence |
US20190373052A1 (en) * | 2018-05-30 | 2019-12-05 | Tigera, Inc. | Aggregation of scalable network flow events |
JP6977668B2 (ja) * | 2018-06-04 | 2021-12-08 | 日本電信電話株式会社 | 測定システム、及び測定方法 |
CN110769193B (zh) * | 2018-07-26 | 2021-10-08 | 视联动力信息技术股份有限公司 | 监控播放方法和装置 |
CN109818785B (zh) * | 2019-01-15 | 2020-04-03 | 无锡华云数据技术服务有限公司 | 一种数据处理方法、服务器集群及存储介质 |
US10951649B2 (en) * | 2019-04-09 | 2021-03-16 | Arbor Networks, Inc. | Statistical automatic detection of malicious packets in DDoS attacks using an encoding scheme associated with payload content |
US10904719B2 (en) | 2019-05-06 | 2021-01-26 | Advanced New Technologies Co., Ltd. | Message shunting method, device and system based on user mode protocol stack |
US11159400B2 (en) * | 2019-11-04 | 2021-10-26 | Juniper Networks, Inc | Systems and methods for offloading IPFIX lookup and translation operations from observation domains |
US11082531B2 (en) * | 2019-11-18 | 2021-08-03 | International Business Machines Corporation | Communication with an application flow in an integration system |
CN112887354B (zh) * | 2019-11-29 | 2023-04-21 | 贵州白山云科技股份有限公司 | 一种性能信息的获取方法和装置 |
US11265257B2 (en) | 2020-04-16 | 2022-03-01 | Cisco Technology, Inc. | Rapid network traffic telemetry exports with split templates and flow records |
CN114208258B (zh) * | 2020-04-30 | 2024-05-28 | 鹏瞰科技(上海)有限公司 | 智能控制器和传感器网络总线以及包括消息重传机制的***和方法 |
WO2021240663A1 (ja) * | 2020-05-26 | 2021-12-02 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | 通信ログ集約装置および通信ログ集約方法 |
CN112115202A (zh) * | 2020-09-18 | 2020-12-22 | 北京人大金仓信息技术股份有限公司 | 集群环境下的任务分发方法和装置 |
CN113783933B (zh) * | 2021-08-10 | 2022-05-24 | 中山大学 | 基于编码缓存的双层网络通信方法、装置及介质 |
US20230130705A1 (en) * | 2021-10-27 | 2023-04-27 | Hewlett Packard Enterprise Development Lp | Platform for privacy preserving decentralized learning and network event monitoring |
CN114301844B (zh) * | 2021-12-30 | 2024-04-19 | 天翼物联科技有限公司 | 物联网能力开放平台流量控制方法、***及其相关组件 |
CN116991674B (zh) * | 2023-08-17 | 2024-04-12 | 广西壮族自治区自然资源信息中心 | 用于不动产登记信息的高并发服务架构及其数据处理方法 |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN1875348A (zh) * | 2003-10-29 | 2006-12-06 | 国际商业机器公司 | 信息***、负载控制方法、负载控制程序和记录媒体 |
Family Cites Families (13)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US5781449A (en) * | 1995-08-10 | 1998-07-14 | Advanced System Technologies, Inc. | Response time measurement apparatus and method |
US6985944B2 (en) * | 2002-11-01 | 2006-01-10 | Fidelia Technology, Inc. | Distributing queries and combining query responses in a fault and performance monitoring system using distributed data gathering and storage |
US20050223368A1 (en) * | 2004-03-30 | 2005-10-06 | Tonic Solutions, Inc. | Instrumented application for transaction tracing |
US9537731B2 (en) * | 2004-07-07 | 2017-01-03 | Sciencelogic, Inc. | Management techniques for non-traditional network and information system topologies |
US7774793B2 (en) * | 2005-06-16 | 2010-08-10 | Sap Ag | System and method for the integration of data output by a plurality of applications |
US7954139B1 (en) * | 2005-11-30 | 2011-05-31 | At&T Intellectual Property Ii, Lp | Arrangements for efficient authentication of service request messages |
US7788371B2 (en) * | 2006-03-20 | 2010-08-31 | Cisco Technology, Inc. | Exporting management information base data using IPFIX |
US7921202B2 (en) * | 2007-04-16 | 2011-04-05 | The Boeing Company | System and method for passive information capture, cache and matching to facilitate uninterrupted transactions |
US20090168648A1 (en) * | 2007-12-29 | 2009-07-02 | Arbor Networks, Inc. | Method and System for Annotating Network Flow Information |
US8125920B2 (en) * | 2009-03-04 | 2012-02-28 | Cisco Technology, Inc. | System and method for exporting structured data in a network environment |
CN103609071B (zh) | 2011-03-28 | 2017-04-12 | 思杰***有限公司 | 用于通过多连接中间装置跟踪应用层流的***和方法 |
US9392010B2 (en) * | 2011-11-07 | 2016-07-12 | Netflow Logic Corporation | Streaming method and system for processing network metadata |
US10547674B2 (en) * | 2012-08-27 | 2020-01-28 | Help/Systems, Llc | Methods and systems for network flow analysis |
-
2012
- 2012-11-09 US US13/673,445 patent/US9438488B2/en active Active
-
2013
- 2013-10-25 WO PCT/US2013/066874 patent/WO2014074329A1/en active Application Filing
- 2013-10-25 EP EP13789650.2A patent/EP2918046B1/en active Active
- 2013-10-25 CN CN201380063831.7A patent/CN104904160B/zh active Active
-
2016
- 2016-03-03 HK HK16102462.7A patent/HK1215626A1/zh unknown
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN1875348A (zh) * | 2003-10-29 | 2006-12-06 | 国际商业机器公司 | 信息***、负载控制方法、负载控制程序和记录媒体 |
Also Published As
Publication number | Publication date |
---|---|
HK1215626A1 (zh) | 2016-09-02 |
US9438488B2 (en) | 2016-09-06 |
EP2918046A1 (en) | 2015-09-16 |
US20140136680A1 (en) | 2014-05-15 |
EP2918046B1 (en) | 2018-08-15 |
CN104904160A (zh) | 2015-09-09 |
WO2014074329A1 (en) | 2014-05-15 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN104904160B (zh) | 用于数据流的应用流的***和方法 | |
CN103609071B (zh) | 用于通过多连接中间装置跟踪应用层流的***和方法 | |
CN104365067B (zh) | 用于重组跨集群分发的分组的***和方法 | |
CN104012041B (zh) | 用于分析网络指标的***和方法 | |
CN104364761B (zh) | 用于在集群网络中转发流量的***和方法 | |
CN103765851B (zh) | 用于到任何服务的透明的层2重定向的***和方法 | |
CN105229996B (zh) | 用于减少对下一安全记录的拒绝服务攻击的***和方法 | |
CN104380660B (zh) | 用于在多核和集群***中进行陷阱监控的***和方法 | |
CN104380693B (zh) | 用于在集群中动态路由的***和方法 | |
CN105393220B (zh) | 用于在集群***中部署点状虚拟服务器的***和方法 | |
CN105190557B (zh) | 用于通过多级api集成在公共与私有云之间进行桥接的***和方法 | |
CN104365058B (zh) | 用于在多核和集群***中高速缓存snmp数据的***和方法 | |
CN110249596A (zh) | 用于saas应用的基于qos的分类和优先级排序的学习技巧 | |
CN103392321B (zh) | 用于基于策略集成横向部署的wan优化设备的***和方法 | |
CN108476231A (zh) | 用于经由中间装置维持会话的***和方法 | |
CN109792410A (zh) | 压缩流量的服务质量优先级重新排序的***和方法 | |
CN107771320A (zh) | 用于改善安全套接字层(ssl)通信安全性的***和方法 | |
CN103392320B (zh) | 对加密项目进行多层标记以提供额外的安全和有效的加密项目确定的***和方法 | |
CN103384989B (zh) | 用于对多个下一跳进行策略路由的***和方法 | |
CN104620539B (zh) | 用于通过集群支持snmp请求的***和方法 | |
CN104322010B (zh) | 用于比较配置文件和生成校正命令的***和方法 | |
CN102217273B (zh) | 用于应用流畅性策略的***和方法 | |
CN110366720A (zh) | 在绕过容器Linux网络堆栈的同时运行Docker容器内的用户空间网络堆栈的***和方法 | |
CN109154896A (zh) | 用于服务链负载平衡的***和方法 | |
CN102771086B (zh) | 用于设备的虚拟服务器的侦听策略的***和方法 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |