[发明专利]基于流信息对网络设备上的ACL进行配置的方法

说明书

技术领域

本发明涉及使用从网络路由器导出的网络流数据来提供关于进入/离开设备的业务的信息。网络路由器可以配置用于授权或者拒绝经由路由器传送其业务的两个网络设备之间各种类型的网络业务。所提出的方法描述了根据从由网络路由器导出的网络流信息衍生的信息来动态创建和应用路由器上的访问控制列表。

背景技术

网络使用数据对于很多重要的商业功能而言是有用的，诸如订户计费、营销和客户关怀、产品开发、网络操作管理、网络和系统能力规划以及安全性。网络使用数据不包括在各方之间的通信会话中交换的实际信息，而是包括多个称为“流记录”的使用明细记录，其包含一种或多种类型的元数据(即，“关于数据的数据”)。已知的网络流记录协议包括或者在此使用的“流记录”被定义为在一段时间期间共享共用资源和目的地参数的IP分组的流对单向网络使用的小测量单元。

包括在每个流记录内的元数据的类型基于服务和网络的类型而变化，并且在某些情况下，基于提供流记录的特定网络设备而变化。通常，流记录提供与各方之间的特定事件或者通信连接有关的详细使用信息，诸如连接开始时间和停止时间、所传送数据的源(或者发起者)、数据的目的地或者接收者以及传送的数据量。流记录概括非常短的时段(从几毫秒到几秒，偶尔是几分钟)内的使用信息。根据涉及的服务和网络的类型，流记录还可以包括与传输协议、传输数据的类型、所提供的服务类型(ToS)等有关的信息。在电话网络中，组成使用信息的流记录称为呼叫明细记录(CDR)。

在网络监测中，收集、存储和分析网络流记录以产生有意义的结果。网络使用分析系统对这些流记录进行处理，并且生成支持各种业务功能的报告或者综合数据文件。网络使用分析系统提供与网络服务如何使用以及由谁使用有关的信息。网络使用分析系统还可以用于标识(或者预测)与客户满意度相关的问题，诸如由网络拥塞和网络安全滥用而引起的那些问题。在一个示例中，可以监测基于订户使用行为的网络利用和性能，以跟踪用户体验，预测将来的网络能力，或者标识指示网络滥用、诈骗和盗窃的使用行为。

在计算机安全中，访问控制列表(ACL)是附加到对象的许可的列表。更具体地，在联网中，ACL是指详述业务过滤规则的规则列表。ACL可以许可或者拒绝通过网络设备的业务。仅路由器和防火墙可以具有网络ACL。访问控制列表通常可以配置用于控制入站业务和出站业务二者。

ACL是通过限制去往和来自不期望的地址和/或端口的用户和设备访问来控制网络业务的一种方式。ACL通过通常在路由器接口处控制是否转发或者阻止路由的分组，来过滤网络业务，但是其他设备可以过滤分组。在访问列表内指定的标准的基础上，路由器检查每个分组以确定是否转发或者丢弃该分组。访问控制列表标准可以是业务的源地址或者业务的目的地地址、目标端口或者协议或者其中某些组合。通常，网际协议(IP)地址充当源设备在基于IP的网络中的标识符。访问控制列表基于网络内该IP标识符而允许差异化访问。

虽然ACL提供了有利的功能，但是建立ACL可能是费力的。特别地，ACL当前人工编程的。另外，选择IP地址以放置在ACL上可能是任意和不可预测的。

特别地，多种自治或者企业IP网络是大型、复杂和动态的，使得其难于管理。网络管理任务(诸如，监测网络中的业务、分析网络的性能或者重新配置网络以便改进性能)需要关于网络的信息。然而，因为大型IP网络是高度动态的，所以难以获得针对多种网络管理任务而言有用的信息。考虑到，大型IP网络可能具有数以万计的节点和数以百计的路由器和网关。大型公司网络可能具有300,000个节点和2,500个路由器。路由器、网关、交换机和其他设备时常发生故障、离线或者恢复使用。链路通常发生故障、恢复使用或者性能下降。例如，微波或者卫星链路可能经历减少其带宽的干扰。用于在大型IP网络中路由业务的诸如OSPF和BGP的协议是动态的，并且大型网络中的路由路径随着网络中状态的改变而改变。即使是相对稳定的网络，到达路由收敛的状态也会花费较长的时间。按照设计，IP网络上的两台计算机之间的通信路径在其之间的单个连接期间甚至也可能改变。鉴于这些因素以及以下讨论的其他因素，网络管理工具获得随着时间描绘网络的稍微完整和精确的网络图片的信息是很困难的。