CN108900384A - 网络流量监控方法、装置及***、计算机可读存储介质 - Google Patents

Abstract

本申请涉及网络技术领域，尤其涉及一种网络流量监控方法、装置及***、计算机可读存储介质，用以降低配置复杂度，提升流量监控的适用性。上述网络流量监控方法包括：在第一虚拟交换机上，存在第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网VLAN之间的第一预先配置关系，多个源端口包括第一虚拟交换机的除去目的端口的其它所有端口；且存在VLAN与目的端口之间的第二预先配置关系；当在第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于第一预先配置关系，将监控报文通过该任一源端口镜像至配置的VLAN；基于第二预先配置关系，将镜像的监控报文通过VLAN传输至目的端口，并通过该目的端口将监控报文传输给监控设备。

Description

网络流量监控方法、装置及***、计算机可读存储介质

技术领域

本申请涉及网络技术领域，具体而言，涉及一种网络流量监控方法、装置及***、计算机可读存储介质。

背景技术

随着网络技术的飞速发展，云计算技术被广泛的应用，应用云技术的私有云、公有云的网络流量也不断增大，对于网络中的管理控制，运行维护等的要求也越来越高，因此对于整网流量的监控也就越来越重要。

在不影响网络中正常的数据发送的前提下，为了能够对网络流量进行监控，通常采用的是端口镜像技术，端口镜像技术指的是通过配置虚拟交换机，将一个或多个源端口的数据流量转发到某一个指定端口来实现对网络流量的监控，其中指定端口常称为“镜像端口”或“目的端口”，且该指定端口可以与监控设备相连，以通过该监控设备对网络流量进行监控。

在云计算技术领域，一个物理机可以运行多台虚拟机，这样，在意图对接入虚拟交换机的所有虚拟机进行流量监控时，需要在虚拟交换机的镜像列表中配置每台虚拟机所对应的源端口与目的端口之间的镜像关系，配置复杂，且一旦发生虚拟机的增删操作，需要对上述镜像列表进行更新，适用性较差。

发明内容

有鉴于此，本申请的目的在于提供一种网络流量监控方法、装置及***、计算机可读存储介质，以降低配置复杂度，提升流量监控的适用性。

第一方面，提供一种网络流量监控方法，所述方法应用于第一虚拟交换机，在所述第一虚拟交换机上，存在所述第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网VLAN之间的第一预先配置关系，所述多个源端口包括所述第一虚拟交换机的除去所述目的端口的其它所有端口；且存在所述VLAN与目的端口之间的第二预先配置关系，所述方法包括：

当在所述第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于所述第一预先配置关系，将所述监控报文通过该任一源端口镜像至配置的所述VLAN；

基于所述第二预先配置关系，将镜像的所述监控报文通过所述VLAN传输至所述目的端口，并通过该目的端口将所述监控报文传输给监控设备。

第二方面，提供一种网络流量监控方法，所述方法应用于第一虚拟交换机，在所述第一虚拟交换机上，存在所述第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网VLAN之间的第一预先配置关系，所述多个源端口包括所述第一虚拟交换机的除去所述目的端口的其它所有端口；且为目的端口配置该目的端口仅属的目的VLAN；所述方法包括：

当在所述第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于所述第一预先配置关系，将所述监控报文通过该任一源端口镜像至仅配置所述目的VLAN的目的端口；

通过所述目的端口将所述监控报文传输给监控设备。

第三方面，提供一种网络流量监控装置，所述装置包括：

配置模块，用于在第一虚拟交换机上，生成第一预先配置关系和第二预先配置关系；所述第一预先配置关系为所述第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网VLAN之间的配置关系，所述多个源端口包括所述第一虚拟交换机的除去所述目的端口的其它所有端口；且所述第二预先配置关系为所述VLAN与目的端口之间的配置关系；

镜像模块，用于当在所述第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于所述第一预先配置关系，将所述监控报文通过该任一源端口镜像至配置的所述VLAN；

监控模块，用于基于所述第二预先配置关系，将镜像的所述监控报文通过所述VLAN传输至所述目的端口，并通过该目的端口将所述监控报文传输给监控设备。

第四方面，提供一种网络流量监控装置，所述装置包括：

配置模块，用于在第一虚拟交换机上，生成第一预先配置关系；所述第一预先配置关系为所述第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网VLAN之间的配置关系，所述多个源端口包括所述第一虚拟交换机的除去所述目的端口的其它所有端口；且为目的端口配置该目的端口仅属的目的VLAN；

镜像模块，用于当在所述第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于所述第一预先配置关系，将所述监控报文通过该任一源端口镜像至仅配置所述目的VLAN的目的端口；

监控模块，用于通过所述目的端口将所述监控报文传输给监控设备。

第五方面，提供一种网络流量监控***，包括第一虚拟交换机和第二虚拟交换机；所述第一虚拟交换机上设置有第一虚拟通信端口，所述第二虚拟交换机上设置有与所述第一虚拟通信端口配对的第二虚拟通信端口以及与所述监控设备建立有通信连接的第二物理端口；

所述第一虚拟交换机，用于建立所述第一虚拟通信端口与所述第二虚拟通信端口之间的通信连接，将镜像的监控报文通过VLAN传输至所述第一虚拟通信端口，并通过所述第一虚拟通信端口与所述第二虚拟通信端口之间的通信连接，将所述监控报文从所述第一虚拟通信端口传输给所述第二虚拟通信端口；

所述第二虚拟交换机，用于通过所述第二虚拟通信端口接收所述第一虚拟交换机的第一虚拟通信端口传输的监控报文，并将所述监控报文传输至所述第二物理端口，以便通过所述第二物理端口将所述监控报文传输给所述监控设备。

第六方面，提供一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行如第一方面、第一方面的第一种可能的实施方式至第三种可能的实施方式中任一种可能的实施方式所述的网络流量监控方法的步骤。

本申请实施例提供的上述方案中，在第一虚拟交换机上存在从多个源端口到达虚拟局域网VLAN的第一预先配置关系，以及从VLAN到达目的端口的第二预先配置关系，这样，在第一虚拟交换机的任一源端口上存在待处理的监控报文时，便可以基于上述第一预先配置关系将监控报文通过源端口镜像至配置的VLAN，并基于上述第二预先配置关系通过VLAN传输监控报文至目的端口，以便该目的端口将监控报文传输给监控设备进行报文监控。

采用该方案，基于第一预先配置关系，可以将第一虚拟交换机上除去目的端口的其它所有源端口均映射至同一VLAN，这里，源端口与VLAN之间的映射关系不受源端口增删的影响，比如当存在新增源端口时，也无需更改该映射关系，新增的源端口可以自动映射至相同的VLAN，另外，基于第二预先配置关系，又可以将该VLAN镜像后的监控报文传输至目的端口。也即，本申请实施例仅需一次第一预先配置关系和第二预先配置关系的配置，即可实现对整个第一虚拟交换机的各端口网络流量的镜像，这样，再基于VLAN与目的端口的映射关系，即可进一步实现对各端口网络流量的监控，配置简单，适用性更佳。

为使本申请的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1示出了相关技术中的网络流量监控原理示意图；

图2示出了本申请一种实施例所提供的网络流量监控方法的流程图；

图3示出了本申请一种实施例所提供的网络流量监控方法的具体实现示意图；

图4示出了本申请另一种实施例所提供的网络流量监控方法的流程图；

图5示出了本申请另一种实施例所提供的网络流量监控方法的具体实现示意图；

图6示出了本申请又一种实施例所提供的网络流量监控方法的具体实现示意图；

图7示出了本申请再一种实施例所提供的网络流量监控方法的具体实现示意图；

图8示出了本申请再一种实施例所提供的网络流量监控方法的流程图；

图9示出了本申请一种实施例所提供的网络流量监控装置的结构示意图；

图10示出了本申请另一种实施例所提供的网络流量监控装置的结构示意图；

图11示出了本申请一种实施例所提供的虚拟交换机的结构示意图；

图12示出了本申请另一种实施例所提供的虚拟交换机的结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。

考虑到相关技术中在意图对接入虚拟交换机的所有虚拟机进行流量监控时，需要在虚拟交换机的镜像列表中配置每台虚拟机所对应的源端口与目的端口之间的镜像关系，配置复杂，且一旦发生虚拟机的增删操作，需要对上述镜像列表进行更新，如图1(a)所示，与虚拟交换机连接的有一台虚拟机VM1，则对应的镜像列表包括由源端口S1到目的端口D之间的镜像关系，如图1(b)所示，与虚拟交换机连接的不仅有虚拟机VM1，还有虚拟机VM2，也即发生了虚拟机的增添操作，这样，虚拟交换机的源端口也随之增添，对应的镜像列表则不仅包括由源端口S1到目的端口D之间的镜像关系，还包括由源端口S2到目的端口D，可见，镜像列表需要随着源端口的增删操作而修改，且在针对增删操作的源端口进行镜像列表修改时，其他虚拟的镜像关系有可能无法生效，从而导致无法进行正常的流量监控，适用性较差。基于此，本申请实施例提供了一种网络流量监控方法，详见下述实施例的描述。

值得说明的是，考虑到OpenvSwitch(OVS)作为一款实现虚拟机交换机的开源软件，其功能强大，且最为流行，基于此，本申请实施例提供的网络流量监控方法可以以OVS为运行环境进行示例说明。

如图2所示，为本申请一种实施例提供的网络流量监控方法的流程图。该网络流量监控方法的执行主体是第一虚拟交换机，在该第一虚拟交换机上存在第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网(VLAN)之间的第一预先配置关系，多个源端口包括第一虚拟交换机的除去目的端口的其它所有端口；且存在VLAN与目的端口之间的第二预先配置关系，也即，本申请实施例不仅预先配置了报文经过多个源端口中的每个源端口处理后，是到达VLAN的，还预先配置了报文经过VLAN后，是到达目的端口的。这样，基于上述第一预先配置关系和第二预先配置关系，即可实现对第一虚拟交换机上的除去目的端口的其它所有端口的网络流量监控，该网络流量监控方法具体通过如下步骤实现：

S201、当在第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于第一预先配置关系，将监控报文通过该任一源端口镜像至配置的VLAN。

这里，本申请的监控报文可以仅是虚拟机通过第一虚拟交换机的源端口发送给第一虚拟交换机的第一报文，还可以仅是虚拟交换机通过其上设置的源端口发送给虚拟机的第二报文，还可以是既包括第一报文又包括第二报文。其中，上述监控报文的存在形式主要依赖于在进行第一预先配置时，指定源端口的出，和/或，入的方向，且在指定方向为出时，对应的监控报文为第二报文，在指定方向为入时，对应的监控报文为第一报文，在指定方向为出和入时，对应的监控报文为第一报文和第二报文。

本申请实施例中的第一虚拟交换机在确定源端口上存在监控报文时，将基于第一预先配置关系，将监控报文通过该源端口镜像至配置的VLAN。其中，在不影响虚拟机和虚拟交换机的业务实现的情况下，本申请实施例中的上述镜像过程可以是指对监控报文的复制操作或者重发操作。可见，本申请实施例仅需一次第一预先配置关系的配置，即可实现对整个第一虚拟交换机的各端口网络流量的镜像，配置简单，易于实现，且无需关注是否存在由于虚拟机的增删操作所带来的源端口的增删，源端口与VLAN之间的映射关系不受源端口增删的影响，适用性较佳。

值得提出的是，本申请实施例在进行第一预先配置时，可以首先基于OVS配置端口到虚拟局域网(Virtual Local Area Network，VLAN)(Port to VLAN，P2V)镜像时，提供的select_all选项将第一虚拟交换机的所有端口都作为镜像的源端口配置至VLAN，也即，如果存在select_all＝true，即表明选中了所有端口可以进行镜像，这样，再通过将第一虚拟交换机上的目的端口与VLAN的配置删除即可实现第一预先配置。

S202、基于第二预先配置关系，将镜像的监控报文通过VLAN传输至目的端口，并通过该目的端口将监控报文传输给监控设备。

这里，本申请实施例在进行第二预先配置时，可以基于OVS配置VLAN到目的端口(VLAN to Port，V2P)的镜像，将VLAN接收的监控报文传输至目的端口，并通过该目的端口将监控报文传输给监控设备，以通过监控设备对监控报文进行分析处理，从而实现整个第一虚拟交换机的网络流量监控，适用性更强。

考虑到监控设备可能会对外发送广播包或者发送其他与虚拟机业务无关的报文，对于虚拟机环境中的各虚拟机，通常并不知道外部有监控设备的存在。一来监控设备对外报文不需要进入虚拟交换机的内部转发流程，二来监控设备发出的报文如果进入虚拟交换机环境，会增加无用的广播流量，占用网络带宽，从而可能影响虚拟交换机的相关业务功能。因此，本申请实施例可以丢弃所有从第一虚拟交换机的目的端口接收到的其他设备(如监控设备)所发送的报文，避免影响第一虚拟交换机本身业务的转发，适用性更强。

为了便于进一步理解如何经过上述第一预先配置过程和第二预先配置过程来实现网络流量监控，现结合一个具体的示例进行说明。

如图3所示，第一虚拟交换机上虚拟出了两个虚拟端口vnet0和vnet1，其中，vnet0可以与虚拟机VM1上虚拟出的ens0连接，vnet1可以与虚拟机VM2上虚拟出的ens1连接，从而实现虚拟机与虚拟交换机的通信连接。这样，在vnet0或vnet1上存在监控报文时，基于第一预先配置关系所对应的P2V配置，将vnet0或vnet1上存在的监控报文镜像至VLAN，然后再基于第二预先配置关系所对应的V2P，将监控报文通过VLAN传输至目的端口eth1，并通过监控设备与上述目的端口eth1的通信连接对第一虚拟交换机的网络流量进行监控。

其中，上述目的端口eth1可以为第一物理端口，该第一物理端口是与物理机的物理网卡相对应的端口，这样，本申请实施例可以先建立第一物理端口与监控设备之间的通信连接，在将镜像的监控报文通过VLAN传输至第一物理端口后，便可以通过上述通信连接，将镜像的监控报文从第一物理端口传输给监控设备。

另外，本申请实施例中的第一虚拟交换机除了可以设置上述第一物理端口，还可以设置其他物理端口，并通过该其他物理端口与***网络进行通信。但是，考虑到虚拟交换机在实际的运行环境下，为了最大化该虚拟交换机的功能，除了必须要设置的与***网络进行通信的物理接口外，有可能会限制不能添加更多的物理接口，为了兼顾这种应用场景，本申请另一种实施例提供了一种基于虚拟通信端口实现网络流量监控的方法。

如图4所示，为本申请另一种实施例提供的网络流量监控方法的流程图。该网络流量监控方法具体包括如下步骤：

S401、第一虚拟交换机建立第一虚拟通信端口与第二虚拟通信端口之间的通信连接。

这里，第一虚拟通信端口和第二虚拟通信端口是配对设置的，用于实现第一虚拟交换机与第二虚拟交换机之间的通信，且在建立第一虚拟通信端口与第二虚拟通信端口之间的通信连接之前，需要为第一虚拟交换机配置第一虚拟通信端口，且该第一虚拟通信端口可以是指向第二虚拟通信端口的。

其中，在OVS这一运行环境中，上述第一虚拟通信端口和第二虚拟通信端口可以是patch口，也即，第一虚拟交换机和第二虚拟交换机通过两个patch口实现互通。

其中，patch口是用于连接两个桥(即两个虚拟交换机)的一对端口，是成对设置的，从一个patch口发出的报文可以直接传输到与该patch口配对的另一个patch口，适用于定向传输。本申请实施例利用配对设置的两个patch口实现了第一虚拟交换机与第二虚拟交换机之间的通信，再通过第二虚拟交换机与监控设备的连接关系，便可以在监控设备通过第二虚拟交换机与第一虚拟交换机间接相连时，实现对第一虚拟交换机的网络流量监控。

值得说明的是，本申请实施例中的第一虚拟通信端口和第二虚拟通信端口并不仅仅限定于上述patch口，针对不同的运行环境可以有不同的描述。综上，本申请实施例中，仅仅限定第一虚拟通信端口和第二虚拟通信端口为连接两个虚拟交换机，并能够实现两者通信连接的一对端口，对端口类型并不做具体限制，以应对不同运行环境的需求。

S402、第一虚拟交换机将镜像的监控报文通过VLAN传输至第一虚拟通信端口，并通过第一虚拟通信端口与第二虚拟通信端口之间的通信连接，将监控报文从第一虚拟通信端口传输给第二虚拟通信端口；

S403、第二虚拟交换机通过第二虚拟通信端口将监控报文传输至第二虚拟交换机中与监控设备建立有通信连接的第二物理端口。

这里，与上述实施例在进行第二预先配置时，可以基于OVS配置V2P的镜像，将VLAN接收的监控报文传输至目的端口相类似的是，本申请实施例也是可以基于OVS配置V2P的镜像，但将VLAN接收的监控报文传输的是第一虚拟通信端口，这样，第一虚拟交换机中的第一虚拟通信端口便可以通过第一虚拟通信端口与第二虚拟通信端口之间的通信连接，将监控报文传输给第二虚拟交换机的第二虚拟通信端口。对于第二虚拟交换机而言，由于其上设置有与监控设备建立有通信连接的第二物理端口，因此，还需要将第二虚拟通信端口接收的监控报文传输至该第二物理端口，再通过监控设备与第二物理端口之间的通信连接，接收并分析监控报文，从而实现整个第一虚拟交换机的网络流量监控，适用性更强。

为了便于进一步理解如何经过上述第一虚拟通信端口和第二虚拟通信端口来实现网络流量转发，现结合一个具体的示例进行说明。

如图5所示，第一虚拟交换机上虚拟出了两个虚拟端口vnet0和vnet1，其中，vnet0可以与虚拟机VM1上虚拟出的ens0连接，vnet1可以与虚拟机VM2上虚拟出的ens1连接，从而实现虚拟机与虚拟交换机的通信连接。这样，在vnet0或vnet1上存在监控报文时，基于第一预先配置关系所对应的P2V配置，将vnet0或vnet1上存在的监控报文镜像至VLAN，然后再基于第二预先配置关系所对应的V2P配置，将监控报文通过VLAN传输至第一虚拟通信端口，并通过第二虚拟交换机上的第二虚拟通信端口与该第一虚拟通信端口之间的通信连接，先将监控报文传输至第二虚拟通信端口，再将第二虚拟通信端口接收的监控报文传输至第二物理端口，再通过监控设备与第二物理端口之间的通信连接，接收并分析监控报文，从而实现对整个第一虚拟交换机的网络流量监控，适用性更强。

其中，上述第二虚拟交换机可以为openflow虚拟交换机，这样，本申请便可以利用openflow虚拟交换机引入的流表转发模式，通过统一的“流表匹配/执行动作”方式将第二虚拟通信端口接收到监控报文转发至第二物理端口。可见，本申请可以根据流表规则中多样化的匹配字段组合实现比传统网路技术更灵活的转发策略，实现用户多样化的流量控制需求，适用性更佳。

基于上述第一虚拟交换机和第二虚拟交换机，本申请实施例提供了一种网络流量监控***，其中，第一虚拟交换机上设置有第一虚拟通信端口，第二虚拟交换机上设置有与第一虚拟通信端口配对的第二虚拟通信端口以及与监控设备建立有通信连接的第二物理端口；

第一虚拟交换机，用于建立第一虚拟通信端口与第二虚拟通信端口之间的通信连接，将镜像的监控报文通过VLAN传输至第一虚拟通信端口，并通过第一虚拟通信端口与第二虚拟通信端口之间的通信连接，将监控报文从第一虚拟通信端口传输给第二虚拟通信端口；

第二虚拟交换机，用于通过第二虚拟通信端口接收第一虚拟交换机的第一虚拟通信端口传输的监控报文，并将监控报文传输至第二物理端口，以便通过第二物理端口将监控报文传输给监控设备。

可见，本申请实施例提供的网络流量监控***通过第一虚拟通信端口与第二虚拟通信端口之间的通信连接，实现了第一虚拟交换机和第二虚拟交换机之间的报文转发，使得监控设备能够间接通过第二虚拟交换机对第一虚拟交换机的网络流量进行监控。

本申请实施例不仅可以间接通过一个第二虚拟交换机对一个第一虚拟交换机的网络流量进行监控，还可以同时对多个第一虚拟交换机的网络流量进行监控。接下来以同时对两个第一虚拟交换机的网络流量进行监控进行具体示例。如图6所示，在两个第一虚拟交换机上均虚拟出了两个虚拟端口vnet0和vnet1，其中，一个第一虚拟交换机的vnet0可以与虚拟机VM1上虚拟出的ens0连接，vnet1可以与虚拟机VM2上虚拟出的ens1连接，另一个第一虚拟交换机的vnet0可以与虚拟机VM3上虚拟出的ens0连接，vnet1可以与虚拟机VM4上虚拟出的ens1连接，从而实现虚拟机与虚拟交换机的通信连接。这样，在任一第一虚拟交换机的vnet0或vnet1上存在监控报文时，基于第一预先配置关系所对应的P2V配置，将vnet0或vnet1上存在的监控报文镜像至VLAN，然后再基于第二预先配置关系所对应的V2P配置，将监控报文通过VLAN传输至第一虚拟通信端口，并通过第二虚拟交换机上的第二虚拟通信端口与该第一虚拟通信端口之间的通信连接，先将监控报文传输至第二虚拟通信端口，再将第二虚拟通信端口接收的监控报文传输至第二物理端口，再通过监控设备与第二物理端口之间的通信连接，分别接收并分析从两个第一虚拟交换机传输的监控报文，从而实现对两个第一虚拟交换机的网络流量监控，适用性更强。值得说明的是，本申请实施例还可以对两个以上的第一虚拟交换机的网络流量进行监控，方法类似，在此不再赘述。

考虑到相关技术中无法通过虚拟交换机自身虚拟出来的虚拟端口(如vnet0)进行两个虚拟交换机的直接通信，基于此，除了可以基于上述配对的第一虚拟通信端口和第二虚拟通信端口实现报文转发外，本申请又一种实施例提供了一种基于利用转发专用虚拟机实现报文转发以进行流量监控的方法。该流量监控方法首先建立虚拟输出端口与转发专用虚拟机之间的通信连接；然后将镜像的监控报文通过VLAN传输至虚拟输出端口，并通过虚拟输出端口与转发专用虚拟机之间的通信连接，将监控报文从虚拟输出端口传输给转发专用虚拟机，以便通过转发专用虚拟机将监控报文传输至第三虚拟交换机中与转发专用虚拟机建立有通信连接的虚拟输入端口，并通过虚拟输入端口将监控报文传输至第三虚拟交换机中与监控设备建立有通信连接的第三物理端口。接下来以一个具体的示例进行说明。

与图5相对应的示例相类似，第一虚拟交换机上虚拟出了两个虚拟端口vnet0和vnet1，其中，vnet0可以与虚拟机VM1上虚拟出的ens0连接，vnet1可以与虚拟机VM2上虚拟出的ens1连接，从而实现虚拟机与虚拟交换机的通信连接。除此之外，上述转发专用虚拟机上虚拟出了两个虚拟端口ens0和ens1。如图7所示，在vnet0或vnet1上存在监控报文时，基于第一预先配置关系所对应的P2V，将vnet0或vnet1上存在的监控报文镜像至VLAN，然后再基于第二预先配置关系所对应的V2P，将监控报文通过VLAN传输至虚拟输出端口，并通过虚拟输出端口与转发专用虚拟机之间的通信连接，先监控报文从虚拟输出端口传输给转发专用虚拟机，再通过转发专用虚拟机将监控报文传输至第三虚拟交换机中与转发专用虚拟机建立有通信连接的虚拟输入端口，再通过监控设备与第三物理端口之间的通信连接，接收并分析监控报文，从而实现对整个第一虚拟交换机的网络流量监控，适用性更强。

基于上述第一虚拟交换机、转发专用虚拟机和第三虚拟交换机，本申请实施例提供了一种网络流量监控***，其中，第一虚拟交换机上设置有虚拟输出端口，转发专用虚拟机上设置有第一转发专用虚拟接入端口(如图7所示的ens0)和第二转发专用虚拟输出接口(如图7所示的ens1)，第三虚拟交换机上设置有虚拟接入端口，以及与监控设备建立有通信连接的第三物理端口；

第一虚拟交换机，用于建立虚拟输出端口与转发专用虚拟机之间的通信连接；将镜像的监控报文通过VLAN传输至虚拟输出端口，并通过虚拟输出端口与转发专用虚拟机之间的通信连接，将监控报文从虚拟输出端口传输给转发专用虚拟机；

转发专用虚拟机，用于通过转发专用虚拟机的第一转发专用虚拟接入端口接收第一虚拟交换机的虚拟输出端口发送的监控报文，并将该监控报文通过第二转发专用虚拟输出接口转发给第三虚拟交换机的虚拟接入端口；

第三虚拟交换机，用于通过虚拟接入端口接收转发专用虚拟机的第二转发专用虚拟输出接口转发的监控报文，并通过虚拟接入端口将监控报文传输至第三虚拟交换机中与监控设备建立有通信连接的第三物理端口，以便通过第三物理端口将接收的监控报文传输给监控设备。

可见，本申请实施例提供的网络流量监控***通过转发专用虚拟机与第一虚拟交换机的通信连接，以及与第三虚拟交换机的通信连接，在实现了第一虚拟交换机至转发专用虚拟机的报文转发后，又实现了转发专用虚拟机至第二虚拟交换机的报文转发，使得监控设备能够间接通过转发专用虚拟机对第一虚拟交换机的网络流量进行监控。

上述各个实施例均是依赖于第一预先配置关系和第二预先配置关系实现网络流量监控的，而考虑到在OVS配置P2V时，是可以将源端口的报文镜像到目的VLAN中的所有端口的，如果能够将源端口的报文镜像直接镜像到目的端口，也能够解决相关技术所带来的配置复杂度高，适用性差的问题。基于此，本申请再一种实施例中提供了一种网络流量监控方法。

如图8所示，为本申请再一种实施例提供的网络流量监控方法的流程图。该网络流量监控方法的执行主体也是第一虚拟交换机，在该第一虚拟交换机上存在第一虚拟交换机的多个源端口中的每个源端口与VLAN之间的第一预先配置关系，多个源端口包括第一虚拟交换机的除去目的端口的其它所有端口；且为目的端口配置该目的端口仅属的目的VLAN，也即，本申请实施例不仅预先配置了报文经过多个源端口中的每个源端口处理后，是到达VLAN的，还预先为目的端口配置该目的端口仅属的目的VLAN。其中，该目的VLAN与上述第一预先配置关系配置的VLAN为同一VLAN。这样，基于上述第一预先配置关系，即可实现对第一虚拟交换机上的除去目的端口的其它所有端口的网络流量监控，该网络流量监控方法具体包括通过如下步骤实现：

S801、当在第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于第一预先配置关系，将监控报文通过该任一源端口镜像至仅配置目的VLAN的目的端口。

这里，本申请实施例中的第一虚拟交换机在确定源端口上存在监控报文时，将基于第一预先配置关系，将监控报文通过该源端口镜像至仅配置目的VLAN的目的端口。

其中，对于目的端口而言，通过预先为该目的端口配置仅属的目的VLAN(如VLAN10)，对于其他的端口而言，在不进行特殊配置的前提下，是可以属于所有VLAN(即VLAN 1至VLAN 4094)的。为了进一步确保报文镜像的准确性，本申请实施例中，对于除去目的端口的其他源端口不会配置为仅属于目的VLAN(即VLAN 10)。这样，在具体实现P2V配置时，将第一虚拟交换机的任一源端口的监控报文直接镜像到仅属于VLAN 10的目的端口即可。可见，基于上述第一预先配置关系，本申请实施例无需关注虚拟机是否发生增删操作，配置简单，易于实现。

值得提出的是，本申请实施例在进行第一预先配置时，也可以首先基于OVS配置P2V镜像时，提供的select_all选项将第一虚拟交换机的所有端口都作为镜像的源端口配置至VLAN，也即，如果存在select_all＝true，即表明选中了所有端口可以进行镜像，这样，再通过将第一虚拟交换机上的目的端口与VLAN的配置删除即可实现第一预先配置。

S802、通过目的端口将监控报文传输给监控设备。

这里，本申请实施例通过目的端口即可将监控报文传输给监控设备，以通过监控设备对监控报文进行分析处理，从而实现整个第一虚拟交换机的网络流量监控，适用性更强。

值得说明的是，上述仅配置第一预先配置关系，而未配置第二预先配置关系来实现网络流量监控的方法与既配置第一预先配置关系，又未配置第二预先配置关系来实现网络流量监控的方法相类似的是，目的端口可以为第一虚拟交换机的第一物理端口，还可以为第一虚拟交换机的第一虚拟通信端口，还可以为第一虚拟交换机的虚拟输出端口，具体实施方案参见前述实施例，在此不再赘述。

基于同一发明构思，本申请实施例提供了一种与网络流量监控方法对应的网络流量监控装置，由于本申请实施例中的装置解决问题的原理与本申请实施例上述网络流量监控方法相似，因此装置的实施可以参见方法的实施，重复之处不再赘述。

如图9所示，本申请一种实施例所提供的网络流量监控装置的结构示意图，包括：

配置模块901，用于在第一虚拟交换机上，生成第一预先配置关系和第二预先配置关系；第一预先配置关系为第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网VLAN之间的配置关系，多个源端口包括第一虚拟交换机的除去目的端口的其它所有端口；且第二预先配置关系为VLAN与目的端口之间的配置关系；

镜像模块902，用于当在第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于第一预先配置关系，将监控报文通过该任一源端口镜像至配置的VLAN；

监控模块903，用于基于第二预先配置关系，将镜像的监控报文通过VLAN传输至目的端口，并通过该目的端口将监控报文传输给监控设备。

在一种实施方式中，目的端口为第一虚拟交换机的第一物理端口；监控模块903，具体用于：

建立第一物理端口与监控设备之间的通信连接；

将镜像的监控报文通过VLAN传输至第一物理端口，并通过第一物理端口与监控设备之间的通信连接，将镜像的监控报文从第一物理端口传输给监控设备。

在另一种实施方式中，目的端口为第一虚拟交换机的第一虚拟通信端口，第一虚拟通信端口与第二虚拟交换机的第二虚拟通信端口配对设置，用于实现第一虚拟交换机与第二虚拟交换机之间的通信；监控模块903，具体用于：

建立第一虚拟通信端口与第二虚拟通信端口之间的通信连接；

将镜像的监控报文通过VLAN传输至第一虚拟通信端口，并通过第一虚拟通信端口与第二虚拟通信端口之间的通信连接，将监控报文从第一虚拟通信端口传输给第二虚拟通信端口，以便通过第二虚拟通信端口将监控报文传输至第二虚拟交换机中与监控设备建立有通信连接的第二物理端口。

如图10所示，本申请另一种实施例所提供的网络流量监控装置的结构示意图，包括：

配置模块1001，用于在第一虚拟交换机上，生成第一预先配置关系；第一预先配置关系为第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网VLAN之间的配置关系，多个源端口包括第一虚拟交换机的除去目的端口的其它所有端口；且为目的端口配置该目的端口仅属的目的VLAN；

镜像模块1002，用于当在第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于第一预先配置关系，将监控报文通过该任一源端口镜像至仅配置目的VLAN的目的端口；

监控模块1003，用于通过目的端口将监控报文传输给监控设备。

如图11所示，为本申请一种实施例所提供的虚拟交换机的结构示意图，该虚拟交换机包括：处理器1101、存储器1102和总线1103，存储器1102存储有处理器1101可执行的机器可读指令，当虚拟交换机运行时，处理器1101与存储器1102之间通过总线1103通信，机器可读指令被处理器1101执行时执行如下处理：

在第一虚拟交换机上，生成第一预先配置关系和第二预先配置关系；第一预先配置关系为第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网VLAN之间的配置关系，多个源端口包括第一虚拟交换机的除去目的端口的其它所有端口；且第二预先配置关系为VLAN与目的端口之间的配置关系；

当在第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于第一预先配置关系，将监控报文通过该任一源端口镜像至配置的VLAN；

基于第二预先配置关系，将镜像的监控报文通过VLAN传输至目的端口，并通过该目的端口将监控报文传输给监控设备。

在一种实施方式中，目的端口为第一虚拟交换机的第一物理端口；上述处理器1101执行的处理中，将镜像的监控报文通过VLAN传输至目的端口，并通过该目的端口将监控报文传输给监控设备，包括：

建立第一物理端口与监控设备之间的通信连接；

将镜像的监控报文通过VLAN传输至第一物理端口，并通过第一物理端口与监控设备之间的通信连接，将镜像的监控报文从第一物理端口传输给监控设备。

在另一种实施方式中，目的端口为第一虚拟交换机的第一虚拟通信端口，第一虚拟通信端口与第二虚拟交换机的第二虚拟通信端口配对设置，用于实现第一虚拟交换机与第二虚拟交换机之间的通信；上述处理器1101执行的处理中，将镜像的监控报文通过VLAN传输至目的端口，并通过该目的端口将监控报文传输给监控设备，包括：

建立第一虚拟通信端口与第二虚拟通信端口之间的通信连接；

将镜像的监控报文通过VLAN传输至第一虚拟通信端口，并通过第一虚拟通信端口与第二虚拟通信端口之间的通信连接，将监控报文从第一虚拟通信端口传输给第二虚拟通信端口，以便通过第二虚拟通信端口将监控报文传输至第二虚拟交换机中与监控设备建立有通信连接的第二物理端口。

如图12所示，为本申请另一种实施例所提供的虚拟交换机的结构示意图，该虚拟交换机包括：处理器1201、存储器1202和总线1203，存储器1202存储有处理器1201可执行的机器可读指令，当虚拟交换机运行时，处理器1201与存储器1202之间通过总线1203通信，机器可读指令被处理器1201执行时执行如下处理：

在第一虚拟交换机上，生成第一预先配置关系；第一预先配置关系为第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网VLAN之间的配置关系，多个源端口包括第一虚拟交换机的除去目的端口的其它所有端口；且为目的端口配置该目的端口仅属的目的VLAN；

当在第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于第一预先配置关系，将监控报文通过该任一源端口镜像至仅配置目的VLAN的目的端口；

通过目的端口将监控报文传输给监控设备。

本申请实施例还提供了一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行上述网络流量监控方法的步骤。

具体地，该存储介质能够为通用的存储介质，如移动磁盘、硬盘等，该存储介质上的计算机程序被运行时，能够执行上述网络流量监控方法，从而解决目前网络流量监控方法配置复杂度高，适用性较差的问题，进而达到降低配置复杂度，配置简单，易于实现，适用性较佳的效果。

本申请实施例所提供的网络流量监控方法的计算机程序产品，包括存储了程序代码的计算机可读存储介质，程序代码包括的指令可用于执行前面方法实施例中的方法，具体实现可参见方法实施例，在此不再赘述。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的***和装置的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (11)

1.一种网络流量监控方法，其特征在于，所述方法应用于第一虚拟交换机，在所述第一虚拟交换机上，存在所述第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网VLAN之间的第一预先配置关系，所述多个源端口包括所述第一虚拟交换机的除去所述目的端口的其它所有端口；且存在所述VLAN与目的端口之间的第二预先配置关系，所述方法包括：

当在所述第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于所述第一预先配置关系，将所述监控报文通过该任一源端口镜像至配置的所述VLAN；

基于所述第二预先配置关系，将镜像的所述监控报文通过所述VLAN传输至所述目的端口，并通过该目的端口将所述监控报文传输给监控设备。

2.根据权利要求1所述的方法，其特征在于，所述第一虚拟交换机的多个源端口中的每个源端口与同一VLAN之间具有所述第一预先配置关系。

3.根据权利要求1所述的方法，其特征在于，所述目的端口为所述第一虚拟交换机的第一物理端口；所述将镜像的所述监控报文通过所述VLAN传输至所述目的端口，并通过该目的端口将所述监控报文传输给监控设备，包括：

建立所述第一物理端口与所述监控设备之间的通信连接；

将镜像的所述监控报文通过所述VLAN传输至所述第一物理端口，并通过所述第一物理端口与所述监控设备之间的通信连接，将镜像的所述监控报文从所述第一物理端口传输给所述监控设备。

4.根据权利要求1所述的方法，其特征在于，所述目的端口为所述第一虚拟交换机的第一虚拟通信端口，所述第一虚拟通信端口与第二虚拟交换机的第二虚拟通信端口配对设置，用于实现所述第一虚拟交换机与所述第二虚拟交换机之间的通信；所述将镜像的所述监控报文通过所述VLAN传输至所述目的端口，并通过该目的端口将所述监控报文传输给监控设备，包括：

建立所述第一虚拟通信端口与所述第二虚拟通信端口之间的通信连接；

将镜像的所述监控报文通过所述VLAN传输至所述第一虚拟通信端口，并通过所述第一虚拟通信端口与所述第二虚拟通信端口之间的通信连接，将所述监控报文从所述第一虚拟通信端口传输给所述第二虚拟通信端口，以便通过所述第二虚拟通信端口将所述监控报文传输至所述第二虚拟交换机中与所述监控设备建立有通信连接的第二物理端口。

5.一种网络流量监控方法，其特征在于，所述方法应用于第一虚拟交换机，在所述第一虚拟交换机上，存在所述第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网VLAN之间的第一预先配置关系，所述多个源端口包括所述第一虚拟交换机的除去所述目的端口的其它所有端口；且为目的端口配置该目的端口仅属的目的VLAN；所述方法包括：

当在所述第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于所述第一预先配置关系，将所述监控报文通过该任一源端口镜像至仅配置所述目的VLAN的目的端口；

通过所述目的端口将所述监控报文传输给监控设备。

6.一种网络流量监控装置，其特征在于，所述装置包括：

配置模块，用于在第一虚拟交换机上，生成第一预先配置关系和第二预先配置关系；所述第一预先配置关系为所述第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网VLAN之间的配置关系，所述多个源端口包括所述第一虚拟交换机的除去所述目的端口的其它所有端口；且所述第二预先配置关系为所述VLAN与目的端口之间的配置关系；

镜像模块，用于当在所述第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于所述第一预先配置关系，将所述监控报文通过该任一源端口镜像至配置的所述VLAN；

监控模块，用于基于所述第二预先配置关系，将镜像的所述监控报文通过所述VLAN传输至所述目的端口，并通过该目的端口将所述监控报文传输给监控设备。

7.根据权利要求6所述的装置，其特征在于，所述目的端口为所述第一虚拟交换机的第一物理端口；所述监控模块，具体用于：

建立所述第一物理端口与所述监控设备之间的通信连接；

将镜像的所述监控报文通过所述VLAN传输至所述第一物理端口，并通过所述第一物理端口与所述监控设备之间的通信连接，将镜像的所述监控报文从所述第一物理端口传输给所述监控设备。

8.根据权利要求6所述的装置，其特征在于，所述目的端口为所述第一虚拟交换机的第一虚拟通信端口，所述第一虚拟通信端口与第二虚拟交换机的第二虚拟通信端口配对设置，用于实现所述第一虚拟交换机与所述第二虚拟交换机之间的通信；所述监控模块，具体用于：

建立所述第一虚拟通信端口与所述第二虚拟通信端口之间的通信连接；

将镜像的所述监控报文通过所述VLAN传输至所述第一虚拟通信端口，并通过所述第一虚拟通信端口与所述第二虚拟通信端口之间的通信连接，将所述监控报文从所述第一虚拟通信端口传输给所述第二虚拟通信端口，以便通过所述第二虚拟通信端口将所述监控报文传输至所述第二虚拟交换机中与所述监控设备建立有通信连接的第二物理端口。

9.一种网络流量监控装置，其特征在于，所述装置包括：

配置模块，用于在第一虚拟交换机上，生成第一预先配置关系；所述第一预先配置关系为所述第一虚拟交换机的多个源端口中的每个源端口与虚拟局域网VLAN之间的配置关系，所述多个源端口包括所述第一虚拟交换机的除去所述目的端口的其它所有端口；且为目的端口配置该目的端口仅属的目的VLAN；

镜像模块，用于当在所述第一虚拟交换机的任一源端口上存在待处理的监控报文时，基于所述第一预先配置关系，将所述监控报文通过该任一源端口镜像至仅配置所述目的VLAN的目的端口；

监控模块，用于通过所述目的端口将所述监控报文传输给监控设备。

10.一种网络流量监控***，其特征在于，包括第一虚拟交换机和第二虚拟交换机；所述第一虚拟交换机上设置有第一虚拟通信端口，所述第二虚拟交换机上设置有与所述第一虚拟通信端口配对的第二虚拟通信端口以及与所述监控设备建立有通信连接的第二物理端口；

所述第一虚拟交换机，用于建立所述第一虚拟通信端口与所述第二虚拟通信端口之间的通信连接，将镜像的监控报文通过VLAN传输至所述第一虚拟通信端口，并通过所述第一虚拟通信端口与所述第二虚拟通信端口之间的通信连接，将所述监控报文从所述第一虚拟通信端口传输给所述第二虚拟通信端口；

所述第二虚拟交换机，用于通过所述第二虚拟通信端口接收所述第一虚拟交换机的第一虚拟通信端口传输的监控报文，并将所述监控报文传输至所述第二物理端口，以便通过所述第二物理端口将所述监控报文传输给所述监控设备。

11.一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行如权利要求1～5任一所述的网络流量监控方法的步骤。