[发明专利]网络中的阻塞访问列表ID和匹配声明的自动发现

说明书

技术领域

本发明一般涉及网络中的阻塞访问控制列表(ACL)标识和匹配声明 (match statement)的自动发现。

背景技术

在传统网络中，当分组由于访问列表拒绝而在网络中的某处被丢弃 时，可能很难发现阻塞所述分组的特定路由器。此外，可能很难确定阻塞 所述分组的ACL中的访问控制列表(ACL)号和/或匹配声明。因此，对 于系统管理员而言，ACL管理会变成代价相对高的任务。

传统的用于处理网络中被丢弃的分组的方法包括：(i)用来确认分组 是否被阻塞的远程乒(remote ping)；(ii)源路由器中的远程登录，以及 用于返回对分组进行阻塞的中间路由器而非ACL标识和匹配声明的乒/跟 踪路由实用程序(utilities)的使用；(iii)可以返回对分组进行阻塞的路 由器而非ACL标识和匹配声明的网际协议(IP)服务水平协议(SLA)操 作(例如，用户数据报协议(UDP))；以及(iv)直到ACL逻辑能够被 建立到网络管理系统(NMS)中才会返回确切的匹配声明的ACL管理信 息库(MIB)的使用。

附图说明

图1示出在网络中穿越的被丢弃分组的示例。

图2示出网络中的探测(probe)分组路径的示例。

图3示出网络设备内的探测分组处理的示例。

图4示出用于网络设备内的探测分组处理的示例概要流程。

图5示出朋于网络设备内的探测分组处理的示例详细流程。

具体实施方式

【概览】

在一个实施例中，一种方法可以包括：(i)在网络设备中接收进入 的探测分组；(ii)对进入的探测分组去除封装以提供分组内容部分和丢 弃结果部分；(iii)对照本地访问控制列表(ACL)对分组内容部分进行 检测以确定本地丢弃结果；以及(iv)插入本地丢弃结果并且对出去的探 测分组进行封装。

在一个实施例中，一种装置可以包括：(i)分组修改器，其用于接 收进入的探测分组，并且用于从进入的探测分组中获取分组内容部分和丢 弃结果部分；(ii)访问控制列表(ACL)检测器，其用于从分组修改器 接收分组内容部分，并且用于确定ACL丢弃情况(condition)是否存 在；以及(iii)结果更新器，其用于接收来自ACL检测器的输出和来自 分组修改器的丢弃结果部分，并且用于提供出去的探测分组。

【示例实施例】

现在参见图1，在网络中穿越的被丢弃分组的示例被示出并由总参考 标号100指示。进入的分组可以在路由器102处被接收到，并且被传递给 路由器104。然后，路由器104可以将该分组传递给路由器106，以去到 预期的目的地路由器108。然而，由于访问控制列表(ACL)阻塞，分组 可能在路由器106处被丢弃，并且不能到达路由器108。此外，进入的分 组的发送器可能不知道或者不能够容易地确定分组事实上已被路由器106 丢弃了，和/或为什么被路由器106丢弃了。

在具体实施例中，可以使用感兴趣的分组(即，探测分组或发现分 组)来检测网络以发现可能正阻塞分组的路由器以及引起该阻塞的ACL 标识(ID)和确切的匹配声明。此外，具体实施例还可以用于等价多路径 (ECMP)网络中的ACL发现，有效地为网络中的许多或所有ECMP检 测ACL。该方法与传统的方法相反，其中，可以应用每目的地的负荷均 衡，因此乒或跟踪路由可以只采用所有ECMP中的一条路径。

现在参考图2，网络中的探测分组路径示例被示出并且由总参考标号 200指示。在该具体示例中，检测分组或探测分组可以在路由器202处被 接收到，并且之后被沿途传递给路由器204、路由器206并且到达目的地 路由器208。探测分组210可以包括原始的进入的分组内容212以及分组 丢弃或丢弃结果信息214。利用探测分组210，可以确定哪个路由器(例 如，路由器206)对丢弃或阻塞原始的分组负责。

在具体实施例中，网络中的许多或所有路由器可以被配置为运行用于 ACL发现的代理。网际操作系统(IOS)中的代码可以允许利用特定分组 (例如，探测分组)来检测访问列表。此外，应用程序编程接口(API) 可以判定分组是否与本地ACL相匹配，但是该API可能无法确定该ACL 中的哪个具体声明正在阻塞。