CN111181799A - 一种网络流量监控方法及设备 - Google Patents

Abstract

本申请提供一种网络流量监控方法及设备，涉及通信技术领域，方法包括：通过连接在网络服务器与网络路由设备之间的网络分光器采集实时监控流量，所述实时监控流量是所述分光器复制所述网络服务器与所述网络路由设备之间传输的实时流量数据得到的；根据所述实时监控流量的字段信息，确定所述实时监控流量的多维度属性信息；根据所述实时监控流量的多维度属性信息进行实时监控流量的多维度汇总计算。本申请提供的网络流量监控方法及设备能够进行实时网络流量监控，满足了网络流量监控实时性的要求。

Description

一种网络流量监控方法及设备

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种网络流量监控方法及设备。

背景技术

随着科学技术的发展，云计算平台服务器规模越来越大、网络设备量级越来越高，并且网络流量中包含了大量重要有价值的信息。因此需要对网络中的流量进行监控，以便当网络流量突增时，能够及时定位流量突增的设备或者链路。

在现有技术中的对网络流量监控通常是基于简单网络管理协议SNMP进行的，需要通过网络设备采集SNMP数据，并将采集到的SNMP数据上报到网管***。

但是现有技术中考虑到网络设备的性能，所以会通过周期上报的方式进行网络流量的上报，所以现有技术不能满足网络流量监控实时性的要求。

发明内容

本申请实施例提供一种网络流量监控方法及设备，能够对实时网络流量进行监控，且不增加网络设备性能负载。

一方面，本申请实施例提供一种网络流量监控方法，所述方法包括：

通过连接在网络服务器与网络路由设备之间的网络分光器采集实时监控流量，所述实时监控流量是所述分光器复制所述网络服务器与所述网络路由设备之间传输的实时流量数据得到的；

根据所述实时监控流量的字段信息，确定所述实时监控流量的多维度属性信息；

根据所述实时监控流量的多维度属性信息进行实时监控流量的多维度汇总计算。

一方面，本申请实施例提供一种网络流量监控设备，包括：

采集单元，用于通过连接在网络服务器与网络路由设备之间的网络分光器采集实时监控流量，所述实时监控流量是所述分光器复制所述网络服务器与所述网络路由设备之间传输的实时流量数据得到的；

属性信息确定单元，用于根据所述实时监控流量的字段信息，确定所述实时监控流量的多维度属性信息；

流量计算单元，用于根据所述实时监控流量的多维度属性信息进行实时监控流量的多维度汇总计算。

可选的，所述设备还包括：

告警单元，用于确定实时监控流量的多维度汇总计算结果是否与预设告警条件匹配，若匹配，则触发告警。

可选的，所述告警单元具体用于：

确定所述汇总计算结果是否与预设的告警阈值匹配；或者

根据所述汇总计算结果确定所述实时监控流量的波动信息，确定所述波动信息是否与预设的波动告警信息匹配；或者

将所述汇总计算结果输入至已训练的告警模型中，根据告警模型的结果确定是否与告警模型的预设告警结果匹配。

一方面，本申请实施例提供了一种网络流量监控***，所述***包括分光器、网络流量监控设备、网络服务器以及网络路由设备；

所述网络服务器与所述网络路由设备通过所述分光器连接，所述分光器还与所述网络流量监控设备连接；

所述网络流量监控设备用于通过所述光器采集实时监控流量并对采集的实时监控流量进行多维度汇总计算。

一方面，本申请实施例提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其中，处理器执行计算机程序时实现上述任一种网络流量监控方法的步骤。

一方面，本申请实施例提供了一种计算机可读存储介质，其存储有可由计算机设备执行的计算机程序，当所述程序在计算机设备上运行时，使得所述计算机设备执行上述任一种网络流量监控方法的步骤。

本申请实施例提供的网络流量监控方法，通过分光器获取网络服务器与网络路由设备之间的网络分光器采集实时监控流量，分光器是在网络流量经过时，进行复制得到的，不会影响网络流量的传输，并且不会增加网络设备的性能负载。由于不会增加网络设备的性能负载，且分光器能够按照细粒度的秒级甚至毫秒级进行网络流量采集，所以能够进行实时网络流量监控，满足了网络流量监控实时性的要求。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的一种网络流量监控方法的应用场景示意图；

图2为本申请实施例提供的一种网络流量监控方法的流程示意图；

图3为本申请实施例提供的一种网络流量监控界面示意图；

图4为本申请实施例提供的一种网络流量监控界面示意图；

图5为本申请实施例提供的一种网络流量监控方法的应用场景示意图；

图6为本申请实施例提供的一种网络流量监控方法的流程示意图；

图7为本申请实施例提供的一种网络流量监控装置的结构示意图；

图8为本申请实施例提供的一种计算机设备的结构示意图。

具体实施方式

为了使本发明的目的、技术方案及有益效果更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

为了方便理解，下面对本申请实施例中涉及的名词进行解释：

网络设备：指的是网络中的物理实体。例如集线器、交换机、网桥、路由器、网关、网络接口卡(NIC)、无线接入点(WAP)等。

分光器：分光器是一种无源器件，通过在物理层上进行光复制来进行网络流量数据的采集。

SNMP：是一种标准协议，适用于网络管理网络节点(服务器、工作站、路由器、交换机等)，它是一种应用层协议。SNMP能够使网络管理员能够管理网络效能，发现并解决网络问题以及规划网络增长。

五元组：五元组是通信术语。通常是指源网际协议IP地址，源端口，目的IP地址，目的端口和传输层协议。

终端设备：可以安装各类应用，并且能够进行网络通信，该电子设备可以是移动的，也可以是固定的。例如，手机、平板电脑、各类可穿戴设备、车载设备、个人数字助理(personal digital assistant，PDA)、销售终端(point of sales，POS)或其它能够实现上述功能的电子设备等。

在具体实践过程中，本申请的发明人发现，现有技术是通过SNMP协议来获取网络流量的，具体的，通过SNMP协议建立了网络管理***，网络管理***周期性采集网络设备的上报数据。但是现有技术中，网络设备是按照分钟级的时间粒度上报给网络管理***的，如要以更细化的时间粒度上报，例如秒级的时间粒度上报给网络管理***时，由于网络设备除了上报的功能外，还需要执行网络设备自身的任务，例如转发、传输、分流等任务，所以在更细化的时间粒度上报网络流量会影响网络设备的功能，增加网络设备的负载，影响正常业务数据的传输与处理过程。

基于上述现有技术的缺点，本申请的发明人构思了一种网络流量监控方法，在本申请中，通过分光器来采集经过分光器的网络流量，采集的网络流量既可以从网络服务器流入网络路由设备的，也可以是通网络路由设备发送给网络路由设备的。分光器是将经过的网络流量进行复制的，复制的网络流量用于进行网络流量监控，而被复制的网络流量则正常传输与处理，不会影响正常业务数据的传输。

进一步地，由于不需要网络设备向网络管理***上报数据，网络设备不会产生额外的负载，可以以秒级甚至毫秒级的时间粒度进行采集，可以实现网络流量的实时监控。

在介绍完本申请实施例的设计思想之后，下面对本申请实施例的技术方案能够适用的应用场景做一些简单介绍，需要说明的是，以下介绍的应用场景仅用于说明本申请实施例而非限定。在具体实施时，可以根据实际需要灵活地应用本申请实施例提供的技术方案。

为进一步说明本申请实施例提供的技术方案，下面结合附图以及具体实施方式对此进行详细的说明。虽然本申请实施例提供了如下述实施例或附图所示的方法操作步骤，但基于常规或者无需创造性的劳动在所述方法中可以包括更多或者更少的操作步骤。在逻辑上不存在必要因果关系的步骤中，这些步骤的执行顺序不限于本申请实施例提供的执行顺序。

参考图1，其为本申请实施例提供的网络流量监控方法的应用场景示意图。该应用场景包括终端设备101、网络服务器102、网络路由设备103以及网络流量监控设备104，网络流量监控设备104既可以是实体终端设备，也可以是一种在网络路由设备103中执行的应用。其中，终端设备101与网络路由设备103之间通过无线或有线网络连接，网络服务器102与网络路由设备103之间通过有线网络连接，且在网络服务器102与网络路由设备103之间设置了分光器105，分光器105还与网络流量监控设备104连接。

在本申请中，终端设备101包括但不限于桌面计算机、移动电话、移动电脑、平板电脑等电子设备。用户可通过终端设备101中安装的浏览器或相关应用，打开用于与网络服务器102交互的界面，通过终端设备101向网络服务器102发送相关请求。

分光器105用于采集网络服务器102以及网络路由设备103之间传输的流量数据，并将采集到的流量数据发送给网络流量监控设备104，网络流量监控设备104根据采集到的流量数据进行流量监控。

在本申请实施例中，可选的，多个终端设备101与网络路由设备103之间通过无线或有线网络连接，多个终端设备101可以对应多个用户，多个用户使用多个终端设备101与网络服务器102进行通信。

在本申请实施例中，可选的，多个网络路由设备103与网络服务器102之间通过有线网络连接，且在各网络路由设备103与网络服务器102之间设置了分光器105，多个分光器105既可以都与网络流量监控设备104连接，也可以通过设置多个网络流量监控设备104，并分别与每个分光器105进行连接。

当然，本申请实施例提供的方法并不限用于图1所示的应用场景中，还可以用于其它可能的应用场景，本申请实施例并不进行限制。对于图1所示的应用场景的各个设备所能实现的功能将在后续的方法实施例中一并进行描述，在此先不过多赘述。

为进一步说明本申请实施例提供的技术方案，下面结合附图以及具体实施方式对此进行详细的说明。虽然本申请实施例提供了如下述实施例或附图所示的方法操作步骤，但基于常规或者无需创造性的劳动在所述方法中可以包括更多或者更少的操作步骤。在逻辑上不存在必要因果关系的步骤中，这些步骤的执行顺序不限于本申请实施例提供的执行顺序。

下面结合图1所示的应用场景，对本申请实施例提供的技术方案进行说明。

参考图2，本申请实施例提供一种网络流量监控方法，包括以下步骤：

步骤S201，通过连接在网络服务器与网络路由设备之间的网络分光器采集实时监控流量，所述实时监控流量是所述分光器复制所述网络服务器与所述网络路由设备之间传输的实时流量数据得到的。

在本申请中，分光器在有网络流量经过时，将网络流量进行复制，并将复制的网络流量作为实时监控流量。在一种可选的实施例中，在分光器采集到实时监控流量后，通过高速抓包网卡获取分光器采集的实时监控流量。实际应用中，由于网络流量监控设备并不是实时加监控流量实际的目的地址或者源地址，所以可将高速抓包网卡设置为混杂模式，以获取所有经过高速抓包网卡的实时监控流量，高速抓包网卡可采用基于DPDK(Data PlaneDevelopment Kit，数据平面开发套件)技术开发的高速抓包网卡。

可选的，在本申请实施例中，分光器的采集周期时按照网络流量监控的监控需求进行设置，例如，网络流量监控的监控需求是获取秒级数据，则分光器可以按照秒级时间粒度进行采集。可选的，分光器的采集周期也可以按照网络流量监控设备的处理性能来设置的，例如网络流量监控设备的处理性能较高，则可以加快分光器的采集频率，当网络流量监控设备的处理性能较低时，则可以降低分光器的采集频率。

可选的，在本申请实施例中，网络流量监控设备具有分布式结构，每个分布式子网络流量监控设备执行部分操作功能，可以认为，通过高速抓包网卡获取分光器采集的实时监控流量为分布式子网络流量监控设备执行的功能，所以将高速抓包网卡获取分光器采集的实时监控流量加入到任务队列中，并按照抓取顺序确定实施监控流量的顺序标识信息。

可选的，在本申请实施例中，在任务队列中的实时监控流量可以被其它分布式子网络流量监控设备处理，也可以在任务队列达到设定长度或者任务队列达到设定时间时，被其它分布式子网络流量监控设备处理。

步骤S202，根据所述实时监控流量的字段信息，确定所述实时监控流量的多维度属性信息。

在本申请实施例中，确定实时监控流量的字段信息，根据字段信息能够确定实时监控流量的多维度属性信息。在本申请实施例中，多维度属性信息指的是实时监控流量的多种属性信息，这些属性信息都是与实时监控流量的特性相关，例如，多维度属性信息指的是实时监控流量的源端口信息、实时监控流量的目的端口信息、实时监控流量的协议信息等。

一种可选的实施例中，解析实时监控流量的协议包头，确定实时监控流量的五元组字段信息，然后通过实时监控流量的五元组字段信息来确定实时监控流量对应的多维度属性信息。

在本申请实施例中，一种可选的实施例中，可以将实时监控流量的五元组字段信息解析出来后，写入自定义包头中，然后将已经写入自定义包头的实时监控流量加入到任务队列中，然后在通过其它分布式子网络流量监控设备执行其它操作。

一种可选的实施例中，在本申请实施例中，除了根据实时监控流量的五元组字段信息确定多维度属性信息以外，还可以通过一些自定义字段信息确定更多的多维度属性信息，例如，可以通过自定义时间字段信息来确定实时监控流量的接收时间、处理时间等，或者通过自定义转发依据字段来确定实时监控流量的转发依据等。

所以在本申请实施例中，还可以将实时监控流量的五元组字段信息以及获取的针对实时监控流量的自定义字段信息加入到自定义包头中，便于通过自定义包头解析实时监控流量对应的多维度属性信息。

一种可选的实施例中，可以根据实时监控流量的监控需求，设置监控条件，汇总计算满足监控条件的实时监控流量，所以在确定了实时监控流量的五元组字段信息后，还需要确定实时监控流量的五元组是否满足监控条件，监控条件可以是设置了过滤字段信息，当实时监控流量的五元组与过滤字段信息匹配时，则确定实时监控流量是监控需求需要的。

例如分光器采集的实时监控流量的五元组信息为，实时监控流量1的五元组信息为源IP地址10.1.1.1，源端口1000，目的IP地址ip10.2.1.1，目的端口2000和传输层协议传输控制协议TCP；实时监控流量2的五元组信息为源IP地址10.1.1.2，源端口1000，目的IP地址ip10.2.1.2，目的端口2000和传输层协议传输控制协议TCP；实时监控流量3的五元组信息为源IP地址10.1.1.1，源端口1000，目的IP地址ip10.2.1.1，目的端口2000和传输层协议传输控制协议TCP。

设置的过滤字段信息为将IP地址10.1.1.1，源端口1000，目的IP地址ip10.2.1.1，目的端口2000和传输层协议传输控制协议TCP的实时监控流量作为流量监控需要的实时监控流量，所以将实时监控流量1以及实时监控流量3作为流量监控需要的实时监控流量。

可选的，在本申请实施例中，还可以设置其他过滤字段信息，可以根据网络流量监控的监控需求设置，也可以是根据其他需求进行设置，在此不做限定。

在本申请实施例中，由于分光器采集的实时监控流量的数据量可能巨大，会影响多维度汇总计算的实时性以及会增加网络流量监控设备的设备负载，所以在本申请实施例中，还可以通过抽样规则来对分光器采集的实时监控流量进行抽样。

在本申请实施例中，既可以在根据实时监控流量的字段信息，确定实时监控流量的多维度属性信息的步骤之前，根据抽样规则进行抽样；也可以在根据实时监控流量的字段信息，确定实时监控流量的多维度属性信息的步骤之后进行抽样。

一种可选的实施例中，可以将分光器采集的实时监控流量中的部分作为抽样后的结果，例如，将分光器采集的实时监控流量的十分之一或者五分之一作为抽样后的结果，则抽样规则为十分之一或者五分之一。

另一种可选的实施例中，抽样规则是按照实时监控流量的五元组字段信息进行抽样的，所以在根据实时监控流量的字段信息，确定实时监控流量的多维度属性信息的步骤之后，获取抽样规则，抽样规则至少是根据五元组字段信息设置的，例如，设置的抽样规则为将目的端口2000的实时监控流量，则所有目的端口200的实时监控流量作为抽样结果。

在本申请实施例中，还可以设置其他的抽样规则，例如按照网络流量监控的需求或者按照网络流量监控设备的处理能力来设置抽样规则，在此不做限定。

可选的，在本申请实施例中，由于实时监控流量的字段信息与多维度属性信息的格式可能不是同一格式，所以在本申请实施例中，还需要将实时监控流量的字段信息进行格式转换，例如，在本申请实施例中，在确定多维度属性信息，并且进行多维度汇总计算时，需要使用逗号分隔值文件格式CSV，所以将实时监控流量的字段信息转换为CSV格式。

在本申请实施例中，根据实时监控流量的自定义包头，能够解析出实时监控流量的五元组字段信息以及自定义字段信息，然后根据五元组字段信息以及自定义字段信息确定这些字段信息对应的多维度属性信息，这些多维度属性信息至少包括IP属性信息、协议属性信息、出入方向属性信息、运营商属性信息以及时间属性信息、地域属性信息。

示例性的，根据实时监控流量的五元组字段信息，能够确定IP属性信息、协议属性信息、出入方向属性信息以及地域属性信息，具体的，能够根据五元组字段信息中的源IP地址或者目的IP地址确定IP属性信息，根据五元组字段信息中的源IP地址或者目的IP地址与IP地址对应的地域之间的关联关系，确定地域属性信息，例如源IP地址为IP地址1，IP地址1对应的地域为地理位置1，则可以确定地域属性信息为地理位置1；可以规定由网络路由设备向网络服务器进行传输的传输方向作为流量出方向，将由网络服务器向网络路由设备进行传输的方向作为流量入方向，根据五元组字段信息中源IP地址以及目的IP地址能够确定出入方向属性信息；同样的，可以根据五元组字段信息中源IP地址或者目的IP地址确定运营商属性信息，例如源IP地址是属于运营商A，则可以确定运营商属性信息为A；进一步地，还可以根据五元组字段信息中的传输协议来确定协议属性信息。

可选的，在本申请实施例中，每个IP地址对应的地域属性信息可精确到省级、市级或区级或者更下一级，可以根据网络流量监控的需求来设置。

步骤S203，根据所述实时监控流量的多维度属性信息进行实时监控流量的多维度汇总计算。

具体的，在确定了实时监控流量的多维度属性信息后，可以进行每个维度属性信息的汇总计算。

在一种可选的实施例中，分光器是按照第一时间周期进行采集的，则可以在确定第一时间周期内采集的实时监控流量的多维度属性信息后，将第一时间周期内的多维度属性信息进行汇总计算。

另一种可选的实施例中，分光器是按照第一时间周期进行采集的，且第一时间周期的时间粒度较小，则可以在确定多个时间周期内采集的实时监控流量的多维度属性信息后，将多个时间周期内的多维度属性信息进行汇总计算。

示例性的，分光器采集第一时间周期内采集了第一实时监控流量，并确定了第一实时监控流量的字段信息以及第一实时监控流量的多维度属性信息后，将第一实时监控流量的多维度属性信息存储；分光器采集第二时间周期内采集了第二实时监控流量，并确定了第二实时监控流量的字段信息以及第二实时监控流量的多维度属性信息后，将第二实时监控流量的多维度属性信息存储；分光器采集第三时间周期内采集了第三实时监控流量，并确定了第三实时监控流量的字段信息以及第三实时监控流量的多维度属性信息后，将第三实时监控流量的多维度属性信息存储。

对第一实时监控流量的多维度属性信息、第二实时监控流量的多维度属性信息以及第三实时监控流量的多维度属性信息进行汇总计算。

在本申请实施例中，汇总计算的结果可以是设定时间段内各维度属性信息的总量，也可以是将各维度属性信息与时间信息进行关联，即确定随着时间变化的各维度属性信息，例如，在第一时刻时，各维度属性信息为属性信息1，在第二时刻时，各维度属性信息为属性信息2。

一种可选的实施例中，在本申请实施例中，每个维度属性信息还可以进行更细力度的汇总计算，例如，针对地域属性信息，就可以按照省级地域属性信息、市级地域属性信息以及区级地域属性信息进行汇总计算，或者还可以按照各园区进行汇总计算。

在本申请实施例中，在将各多维度属性信息进行汇总计算后，可以按照每个维度属性信息进行保存，便于进行查询，示例性的，按照五个维度的属性信息进行汇总计算的，则可以把五个维度的汇总计算结果分别保存。

可选的，在本申请实施例中，由于在确定实时监控流量的字段信息时，会通过抽样规则进行抽样处理，所以在进行多维度汇总计算时，需要考虑抽样规则，例如，在本申请实施例中，抽样规则是抽取十分之一的分光器采集的实时监控流量作为抽样监控流量，则在确定了针对抽样监控流量的多维度汇总计算结果后，还需要乘以十，以便得到实时监控流量的多维度汇总计算结果。

一种可选的实施例中，可以将汇总计算结果保存在时序数据库中，并且按照各次汇总计算结果的计算时间来进行排序，即在时序数据库按照时间序列保存了各个批次汇总计算结果，便于查询以及调用。

在本申请实施例中，在确定了多维度汇总计算结果后，还可以将多维度汇总计算结果进行展示，可以使用网络流量监控界面将多维度汇总计算结果进行展示。

例如在本申请实施例中，通过网络流量监控界面将设定时间内的出入流量进行汇总统计，并将出入流量按照时间序列进行展示，如图3所示，将不同时刻的出入流量进行汇总统计，并形成波形数据，其中第一波形表示的是进入到网络路由设备的流量，第二波形表示的是发送给网络服务器的流量，在图3中，可以展示基于不同时刻统计的第一波形上的数据以及第二波形上的数据，还可以展示，在设定时间段内，第一波形的峰值数据以及第二波形的峰值数据。

另一种可选的实施例中，还可以在接收到用户的查询数据指令后，将查询数据指令对应的查询数据展示网络流量监控界面中，如图4所示，在图4中示例性的表示一种网络流量监控界面，在网络流量监控界面中，包括了多个维度的属性信息，包括时间属性信息、运营商属性信息、地域属性信息等，在用户选择了某个维度的属性信息，并触发“查询”按钮后，则获取与查询请求对应的维度的汇总计算结果，并进行展示。在图4中，用户查询的是2019年6月30日16时40分至16时45分内的出入流量数据，图4显示的第一波形表示的是进入到网络路由设备的流量，第二波形表示的是发送给网络服务器的流量。

在图4中，还可以看到，在网络流量监控界面中，还包括运营商属性信息、地域属性信息以及协议属性信息，通过用户的不同需求进行查询，并将查询结果展示在网络流量监控界面中。

在本申请实施例中，还可以通过汇总计算结果确定是否触发告警。当实时监控流量的多维度汇总计算结果与预设告警条件匹配时，则触发告警。

在本申请实施例中，网络流量监控设备与报警***连接，并进行报警处理。报警***可包括报警服务器和报警终端，报警服务器可以是一台服务器、若干台服务器组成的服务器集群或云计算中心，报警终端可以是专用的报警设备，或运维人员、监管人员等使用的终端设备。

报警***可以获取实时监控流量的多维度汇总计算结果，然后与预设告警条件进行比对，确定是否匹配，并触发告警；或者网络流量监控设备获取实时监控流量的多维度汇总计算结果，然后与预设告警条件进行比对，确定是否匹配，并在确定匹配后通知报警***进行报警。

可选的，在本申请实施例中，可以直接在报警设备的显示屏上弹出报警窗口，在报警窗口中展示报警信息，报警信息可以是预设的，也可以是将多维度汇总结果进行处理后得到的，同时可通过报警设备发出报警提示音。若报警终端为运维人员、监管人员等使用的终端设备，如智能手机等，可通过邮件、短信、电话等任意一种通讯方式将报警信息发送至报警终端，以提醒运维人员或监管人员尽快进行相关处理，运维人员或监管人员可通过邮件、短信中的内容查看报警信息。

在本申请实施例中，确定实时监控流量的多维度汇总计算结果是否与预设告警条件匹配，至少可以通过确定汇总计算结果是否与预设的告警阈值匹配来确定，也就是说，通过设置预设的告警阈值，并在确定汇总计算结果到达预设的告警阈值时，则触发告警。示例性的，预设的告警阈值为出流量为100ms，当汇总计算结果中出流量为110ms时，则触发告警。

或者在本申请实施例中，预设的告警阈值时预设的波动告警信息，也就是说，若根据汇总计算结果确定的波动信息与波动告警信息匹配，则触发告警。示例性的，根据汇总计算结果确定的波动信息为第一波形，第一波形与波动告警信息的波形相似，则触发告警。

或者在本申请实施例中，通过已训练的告警模型来确定是否触发告警，将汇总结果输入至已训练的告警模型中，得到告警模型的结果，该结果可以为告警或者不告警，若结果为告警，则触发告警。

在本申请实施例中，已训练的告警模式是深度学习模型或者机器学习模型，通过历史告警数据进行训练得到的，在此不做模型以及模型结构的限定。

在本申请实施例中，可以周期性确定是否需要进行告警，告警的周期可以与分光器采集的周期相同，也可以不同。

由于本申请实施例可实现秒级甚至更细时间粒度的网络流量监测，因此，能够实时监测各地域或各运营商的网络流量，并实现秒级报警处理。

为了更好的解释本申请实施例，下面结合一种具体的实施场景描述本申请实施例提供的网络流量监控方法，在本申请实施例中，网络流量监控方法适用于网络流量监控***中，网络流量监控***具体如图5所示，包括网络流量监控设备、告警设备、分光器、网络服务器、网络路由设备以及用户终端设备。

在本申请实施例中，用户终端设备与网络路由设备、分光器、网络服务器依次相连，网络路由设备以及网络服务器之间还连接了网络流量监控设备，网络流量监控设备与告警设备相连，且网络流量监控设备与告警设备都可以从云存储器中保存或者获取数据。

具体的，在本申请实施例中，用户使用用户终端设备进行上网业务，分光器将经过的实时流量数据进行复制，并发送给网络流量监控设备。

网络流量监控设备由多个网络流量监控子设备构成，每个网络流量监控子设备进行部分处理操作，具体的，如图6所示，本申请实施例中的网络流量监控方法包括网络监控流量抓包解处理过程、流计算处理过程、查询展示处理过程以及告警处理过程，其中，第一网络流量监控子设备执行网络抓包解析处理过程，第二网络流量监控子设备执行流计算处理过程，第三网络流量监控子设备执行查询展示处理过程，第四网络流量监控子设备执行告警处理过程。

具体的，在本申请实施例中，各网络流量监控子设备也具有分布式结构，第一网络流量监控子设备包括五个分布式子设备，分别为第一设备、第二设备、第三设备、第四设备以及第五设备，其中第一设备通过DPDK高速抓包网卡获取分光器采集的实时监控流量，然后按照抓取顺序在实时监控流量的自定义包头中加入抓取顺序序号，然后将实时监控流量加入到任务队列中。

第二设备从任务队列中获取实时监控流量，解析实时监控流量的五元组字段信息，并将五元组字段信息写入自定义包头中，将处理完毕的实时监控流量加入到任务队列中。

第三设备从任务队列中获取实时监控流量，根据自定义包头中的字段信息以及预设的过滤字段信息进行实时监控流量的过滤，将过滤后的实时监控流量加入到任务队列中。

第四设备从任务队列中获取实时监控流量，根据抽样规则对实时监控流量进行抽样，并将抽样后的实时监控流量加入到任务队列中。

第五设备从任务队列中获取实时监控流量，并将实时监控流量的格式转换为CSV格式，并将CSV格式的实时监控流量加入到任务队列中。

第二网络流量监控子设备包括三个分布式子设备，分别为第一设备、第二设备以及第三设备，第一设备从任务队列中获取CSV格式的实时监控流量，并确定实时监控流量中的字段信息，例如源IP端口信息、目的IP端口信息、协议信息、流方向信息以及时间戳信息等，将获取的字段信息加入任务队列中。

第二设备将获取的字段信息进行翻译，例如，将源IP端口信息翻译为地域信息以及运营商信息等，并将翻译后的结果加入到任务队列中。

第三设备将翻译后的结果进行汇总，并将汇总的结果加入到云存储器的时序数据库中。

第三网络流量监控子设备包括两个分布式子设备，分别为第一设备以及第二设备，第三网络流量监控子设备执行查询展示处理过程中，第一设备从时序数据库中获取与用户的查询请求对应的汇总结果，并将汇总结果发送给第二设备。

第二设备在获取到汇总结果后，将汇总结果通过展示页面展示给用户。

在本申请实施例中，第四网络流量监控子设备包括两个分布式子设备，分别为第一设备以及第二设备，第一设备周期性从时序数据库中获取汇总结果，并根据预设的告警阈值或者预设的告警模型来确定是否触发告警，若第一设备确定需要进行告警，则通知第二设备，第二设备通过短信、即使通信软件等进行报警。

基于上述实施例，参阅图7所示，本发明实施例提供一种网络流量监控设备700，包括：

采集单元701，用于通过连接在网络服务器与网络路由设备之间的网络分光器采集实时监控流量，所述实时监控流量是所述分光器复制所述网络服务器与所述网络路由设备之间传输的实时流量数据得到的；

属性信息确定单元702，用于根据所述实时监控流量的字段信息，确定所述实时监控流量的多维度属性信息；

流量计算单元703，用于根据所述实时监控流量的多维度属性信息进行实时监控流量的多维度汇总计算。

可选的，所述属性信息确定单元702具体用于：

解析所述实时监控流量的协议包头，确定所述实时监控流量的五元组字段信息；

根据所述实时监控流量的五元组字段信息以及获取的针对所述实时监控流量的自定义字段信息确定所述实时监控流量对应的多维度属性信息。

可选的，所述属性信息确定单元702还用于：

确定所述实时监控流量的五元组字段信息与预设的过滤字段信息匹配。

可选的，所述属性信息确定单元702具体用于：

按照抽样规则从所述实时监控流量中确定抽样流量数据；

解析抽样流量数据的协议包头，确定所述抽样流量数据的五元组字段信息；

所述流量计算单元703具体用于：

根据所述抽样流量数据的五元组字段信息、所述抽样规则以及获取的针对所述实时监控流量的自定义字段信息确定所述实时监控流量对应的多维度属性信息。

可选的，所述设备还包括：

查询单元704，用于响应输入的查询流量数据操作，获取与所述查询流量数据操作对应的维度的汇总计算结果；将与所述查询流量数据操作对应的维度的汇总计算结果展示在网络流量监控界面中。

可选的，所述装置还包括：

告警单元705，用于确定实时监控流量的多维度汇总计算结果是否与预设告警条件匹配，若匹配，则触发告警。

可选的，所述告警单元705具体用于：

确定所述汇总计算结果是否与预设的告警阈值匹配；或者

根据所述汇总计算结果确定所述实时监控流量的波动信息，确定所述波动信息是否与预设的波动告警信息匹配；或者

将所述汇总计算结果输入至已训练的告警模型中，根据告警模型的结果确定是否与告警模型的预设告警结果匹配。

基于相同的技术构思，本申请实施例提供了一种计算机设备，如图8所示，包括至少一个处理器801，以及与至少一个处理器连接的存储器802，本申请实施例中不限定处理器801与存储器802之间的具体连接介质，图8中处理器801和存储器802之间通过总线连接为例。总线可以分为地址总线、数据总线、控制总线等。

在本申请实施例中，存储器802存储有可被至少一个处理器801执行的指令，至少一个处理器801通过执行存储器802存储的指令，可以执行前述的网络流量监控方法中所包括的步骤。

其中，处理器801是计算机设备的控制中心，可以利用各种接口和线路连接终端设备的各个部分，通过运行或执行存储在存储器802内的指令以及调用存储在存储器802内的数据，从而获得客户端地址。可选的，处理器801可包括一个或多个处理单元，处理器801可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作***、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器801中。在一些实施例中，处理器801和存储器802可以在同一芯片上实现，在一些实施例中，它们也可以在独立的芯片上分别实现。

处理器801可以是通用处理器，例如中央处理器(CPU)、数字信号处理器、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件，可以实现或者执行本申请实施例中公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。

存储器802作为一种非易失性计算机可读存储介质，可用于存储非易失性软件程序、非易失性计算机可执行程序以及模块。存储器802可以包括至少一种类型的存储介质，例如可以包括闪存、硬盘、多媒体卡、卡型存储器、随机访问存储器(Random AccessMemory，RAM)、静态随机访问存储器(Static Random Access Memory，SRAM)、可编程只读存储器(Programmable Read Only Memory，PROM)、只读存储器(Read Only Memory，ROM)、带电可擦除可编程只读存储器(Electrically Erasable Programmable Read-Only Memory，EEPROM)、磁性存储器、磁盘、光盘等等。存储器802是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。本申请实施例中的存储器802还可以是电路或者其它任意能够实现存储功能的装置，用于存储程序指令和/或数据。

基于相同的技术构思，本申请实施例提供了一种计算机可读存储介质，其存储有可由计算机设备执行的计算机程序，当所述程序在计算机设备上运行时，使得所述计算机设备执行网络流量监控方法的步骤。

上述计算机可读存储介质可以是计算机能够存取的任何可用介质或数据存储设备，包括但不限于磁性存储器(例如软盘、硬盘、磁带、磁光盘(MO)等)、光学存储器(例如CD、DVD、BD、HVD等)、以及半导体存储器(例如ROM、EPROM、EEPROM、非易失性存储器(NANDFLASH)、固态硬盘(SSD))等。

本领域内的技术人员应明白，本发明的实施例可提供为方法、***、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明实施例进行各种改动和变型而不脱离本发明实施例的精神和范围。这样，倘若本发明实施例的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (15)

1.一种网络流量监控方法，其特征在于，所述方法包括：

通过连接在网络服务器与网络路由设备之间的网络分光器采集实时监控流量，所述实时监控流量是所述分光器复制所述网络服务器与所述网络路由设备之间传输的实时流量数据得到的；

根据所述实时监控流量的字段信息，确定所述实时监控流量的多维度属性信息；

根据所述实时监控流量的多维度属性信息进行实时监控流量的多维度汇总计算。

2.根据权利要求1所述的方法，其特征在于，所述根据所述实时监控流量的字段信息，确定所述实时监控流量的多维度属性信息，包括：

解析所述实时监控流量的协议包头，确定所述实时监控流量的五元组字段信息；

根据所述实时监控流量的五元组字段信息以及获取的针对所述实时监控流量的自定义字段信息确定所述实时监控流量对应的多维度属性信息。

3.根据权利要求2所述的方法，其特征在于，所述根据所述实时监控流量的五元组字段信息以及获取的针对所述实时监控流量的自定义字段信息确定所述实时监控流量对应的多维度属性信息前，还包括：

确定所述实时监控流量的五元组字段信息与预设的过滤字段信息匹配。

4.根据权利要求2或3所述的方法，其特征在于，所述解析所述实时监控流量的协议包头，确定所述实时监控流量的五元组字段信息，包括：

按照抽样规则从所述实时监控流量中确定抽样监控流量；

解析抽样监控流量的协议包头，确定所述抽样监控流量的五元组字段信息；

所述根据所述实时监控流量的五元组字段信息以及获取的针对所述实时监控流量的自定义字段信息确定所述实时监控流量对应的多维度属性信息，包括：

根据所述抽样监控流量的五元组字段信息、所述抽样规则以及获取的针对所述实时监控流量的自定义字段信息确定所述实时监控流量对应的多维度属性信息。

5.根据权利要求1所述的方法，其特征在于，所述根据所述实时监控流量的多维度属性信息进行实时监控流量的多维度汇总计算后，还包括：

响应输入的查询流量数据操作，获取与所述查询流量数据操作对应的维度的汇总计算结果；

将与所述查询流量数据操作对应的维度的汇总计算结果展示在网络流量监控界面中。

6.根据权利要求1所述的方法，其特征在于，所述根据所述实时监控流量的多维度属性信息进行实时监控流量的多维度汇总计算后，还包括：

确定实时监控流量的多维度汇总计算结果是否与预设告警条件匹配，若匹配，则触发告警。

7.根据权利要求6所述的方法，其特征在于，所述确定实时监控流量的多维度汇总计算结果是否与预设告警条件匹配，包括：

确定所述汇总计算结果是否与预设的告警阈值匹配；或者

根据所述汇总计算结果确定所述实时监控流量的波动信息，确定所述波动信息是否与预设的波动告警信息匹配；或者

将所述汇总计算结果输入至已训练的告警模型中，根据告警模型的结果确定是否与告警模型的预设告警结果匹配。

8.一种网络流量监控设备，其特征在于，包括：

采集单元，用于通过连接在网络服务器与网络路由设备之间的网络分光器采集实时监控流量，所述实时监控流量是所述分光器复制所述网络服务器与所述网络路由设备之间传输的实时流量数据得到的；

属性信息确定单元，用于根据所述实时监控流量的字段信息，确定所述实时监控流量的多维度属性信息；

流量计算单元，用于根据所述实时监控流量的多维度属性信息进行实时监控流量的多维度汇总计算。

9.根据权利要求8所述的设备，其特征在于，所述属性信息确定单元具体用于：

解析所述实时监控流量的协议包头，确定所述实时监控流量的五元组字段信息；

根据所述实时监控流量的五元组字段信息以及获取的针对所述实时监控流量的自定义字段信息确定所述实时监控流量对应的多维度属性信息。

10.根据权利要求9所述的设备，其特征在于，所述属性信息确定单元还用于：

确定所述实时监控流量的五元组字段信息与预设的过滤字段信息匹配。

11.根据权利要求9或10所述的设备，其特征在于，所述属性信息确定单元具体用于：

按照抽样规则从所述实时监控流量中确定抽样流量数据；

解析抽样流量数据的协议包头，确定所述抽样流量数据的五元组字段信息；

所述流量计算单元具体用于：

根据所述抽样流量数据的五元组字段信息、所述抽样规则以及获取的针对所述实时监控流量的自定义字段信息确定所述实时监控流量对应的多维度属性信息。

12.根据权利要求8所述的设备，其特征在于，所述装置还包括：

查询单元，用于响应输入的查询流量数据操作，获取与所述查询流量数据操作对应的维度的汇总计算结果；将与所述查询流量数据操作对应的维度的汇总计算结果展示在网络流量监控界面中。

13.一种网络流量监控***，其特征在于，所述***包括分光器、如权利要求9-12任一所述的网络流量监控设备、网络服务器以及网络路由设备；

所述网络服务器与所述网络路由设备通过所述分光器连接，所述分光器还与所述网络流量监控设备连接；

所述网络流量监控设备用于通过所述光器采集实时监控流量并对采集的实时监控流量进行多维度汇总计算。

14.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1～7任一权利要求所述方法的步骤。

15.一种计算机可读存储介质，其特征在于，其存储有可由计算机设备执行的计算机程序，当所述程序在计算机设备上运行时，使得所述计算机设备执行权利要求1～7任一所述方法的步骤。

Images