[發明專利]一種快速發現并處理網絡故障的方法

有效

• 申請號: 201711241849.8
• 申請日: 2017-11-30
• 公開（公告）號: CN107819633B
• 公開（公告）日: 2021-05-28
• 發明（設計）人: 石軍;吳建輝;劉偉;姬曉明
• 申請（專利權）人: 國網河南省電力公司商丘供電公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L12/26
• 代理公司: 鄭州紅元帥專利代理事務所(普通合伙) 41117
• 代理人: 楊妙琴

1.一種快速發現并處理網絡故障系統的處理方法，所述系統包括目標網絡設備及服務器，其特征在于：

所述服務器包括：

觸發條件單元（104），用于設定目標網絡設備的IP流量及其閾值、端口流量及其閾值、CPU負載及其利用率、內存負載及其利用率中的一種或者多種作為主觸發條件；還用于設定單個IP流量、單個目標設備端口的流量、單個IP的連接數中的一種或者多種作為次觸發條件；次觸發條件為當所述主觸發條件被觸發時，次被觸發的次觸發條件，單獨設定主觸發條件，或者同時設定主觸發條件和次觸發條件；

所述目標網絡設備包括：

流量監測單元（101），用于根據所述觸發條件單元（104）設定的觸發條件，對所述IP流量、端口流量中的一種或者多種進行實時監測，建立流量數據庫，并將監測數據發送給上傳單元（103）；

負載監測單元（102），用于根據所述觸發條件單元（104）設定的觸發條件，對CPU負載利用率、內存負載利用率中的一種或者多種進行實時監測，并將監測數據發送給所述上傳單元（103）；

所述上傳單元（103），用于將所述監測數據實時上傳到服務器，

所述服務器還包括：

流量分析單元（105），用于判斷所述監測數據是否觸發了設定的所述觸發條件，并根據所觸發的相應條件分析被攻擊的對象和被攻擊的類型，確定故障源；

故障源分析單元（106），用于根據所述故障源被攻擊的類型選擇執行相應的處理規則，故障源分析單元（106）包括報警單元，用于根據所述故障源被攻擊的類型，向用戶進行攻擊報警；判斷單元，用于根據所述故障源被攻擊的類型，判斷應當采取的相應的處理規則；

所述目標網絡設備還包括：

處理單元（107），用于根據選擇的所述處理規則對相應的故障源進行隔離和修復；

輔助單元，通過目標網絡設備的端口鏡像或Trunk端口對網絡的流量進行實時監測，并將監測數據上傳至服務器，

所述處理方法，包括以下步驟：

S301：在服務器設定目標網絡設備的IP流量及其閾值、端口流量及其閾值、CPU負載及其利用率、內存負載及其利用率中的一種或者多種作為觸發條件，根據網絡的實際情況，單獨設定觸發條件，或者同時設定觸發條件和次觸發條件，次觸發條件設定為單個IP流量、單個目標設備端口的流量、單個IP的連接數中的一種或者多種，所述次觸發條件為當所述觸發條件被觸發時，次被觸發的次觸發條件；

上述觸發條件為觸發處理規則的必要條件，路由器的CPU實時負載到達設定的百分比后滿足觸發條件，則觸發指定的處理規則；

上述次觸發條件為當觸發條件被激活時，次觸發的條件，與觸發條件并行，觸發條件設定為路由器CPU利用率，次觸發條件設定為單IP流量或端口流量；

觸發條件包括以下條件中的一個或者多個：IP及其相應的MAC與IP_MAC審批表不匹配或未核準、MAC地址與MAC審批表不匹配或未核準、IP地址與IP審批表不匹配或未核準、多個IP地址對應同一MAC地址、多個MAC地址對應同一IP地址、一個網段內出現多個DHCP服務器、一個網段內不存在DHCP服務、測試單臺DHCP服務器失敗或者測試單臺DNS服務器失敗，

上述IP_MAC審批表：通過審核的IP與MAC地址都記錄在IP_MAC審批表中，只有當網絡設備的IPMAC綁定地址與IP_MAC審批表中的IPMAC完全匹配，系統才允許該網絡設備接入網絡，否則根據處理規則進行相應的報警或屏蔽處理；

上述MAC審批表：通過審核的所有MAC地址都是記錄在MAC審批表中，只有接入網絡的MAC地址與MAC審批表中的MAC完全匹配，系統才允許該網絡設備接入網絡，否則根據處理規則進行相應的報警或屏蔽處理；

上述IP審批表：通過審核的所有IP地址都是記錄在IP審批表中，只有網絡設備的IP地址與IP審批表中的IP完全匹配，系統才允許該網絡設備接入網絡，否則根據處理規則進行相應的報警或屏蔽處理；

服務器對接入終端進行檢查，防止非法終端接入網絡；

S302：目標網絡設備根據設定的所述觸發條件，對所述IP流量、端口流量、CPU負載利用率、內存負載利用率中的一種或者多種進行實時監測，并建立流量數據庫，并將監測數據上傳至服務器；

根據觸發條件進行監測的類型，包括以下三種：

1）自定義監測：通過所采集目標設備的監測數據來分析判斷網絡狀況；

2）自定義其他設備監測：在網絡中，所有的網絡設備都是相關聯的，其中一臺設備出現故障，另一臺設備就出現異常， PC機中病毒成為傀儡機向外發出大量攻擊數據包，此時網關路由器的CPU利用率會異常，同時該PC機接入的交換機對應端口的流入數據包也會出現異常；

3）網絡設備IP流量、端口流量以及IP連接數的監測：主要用于用戶數較多，要監控交換機是接入二層交換機或采用DHCP分配，IP地址與交換機端口沒有固定對應關系時，設定交換機端口發送/接收的流量、數據包數、廣播包數作為主觸發條件，表現在交換機某個端口發送/接收的流量、數據包數、廣播包數三個指標中其中一個或多個不正常，將交換機的單個端口流量或數據包數或廣播包數設為主觸發條件；

路由器的一個接口連接到一個子網，某個子網發生異常時，表現在路由器的某個端口發送/接收的流量、數據包數、廣播包數三個指標中的其中一個指標不正常，將路由器的單個端口流量設為主觸發條件；

根據次觸發條件進行監測的類型，包括以下三種：

1）IP進出流量：單個IP地址發送/接收的流量、數據包數、廣播包數和連接數發生異常時，是發生網絡大規模網絡故障的前兆，計算機感染病毒或被黑客攻擊成為其發起DDOS攻擊的目標，其網絡表現為流量、數據包數和連接數三個指標中其中一個不正常；

2）交換機的單個端口流量：主要用于用戶數較多，要監控交換機是連接二層交換機時或采用DHCP分配，IP地址與交換機端口沒有固定對應關系時，通過設定交換機端口發送/接收的流量、數據包數、廣播包數作為次觸發條件；表現在交換機的某個端口的流量、數據包數、廣播包數三個指標中其中一個指標不正常；

3）路由器的單個端口流量：主要用于監控某個子網段是否正常，路由器的一個端口連接到一個子網，某個子網發生異常時，表現在路由器的某個端口的流量、數據包數、廣播包數三個指標中其中一個不正常；

CPU實時負載主要為路由器和交換機的CPU負載情況，根據需要監測的設備的IP地址實時監測CPU負載，

目標設備內存實時負載，根據需要監測的設備的IP地址實時監測內存負載，

目標網絡設備通過端口鏡像或Trunk端口對網絡的流量進行實時監測，并將監測數據上傳至服務器，當路由器受到攻擊時，造成CPU利用率過高，無法發出netflow數據或響應SNMP信息時，系統將受到限制，此時目標網絡設備通過端口鏡像或Trunk端口接收來自交換機或路由器的鏡像流量，為用戶提供有效的網絡故障定位和處理規則；

交換機端口流量或者路由器端口流量監測的數據類型為以下任意一種：發送包數量、接收包數量、發送包和接收包數量、發送流量數量、接收流量數量、發送流量和接收流量數量、發送會話數量、接收會話數量、發送會話和接收會話數量；

總出口進/出流量：總出口設置為所管理網絡出口的核心交換機或者路由器上聯端口，服務器采集網絡進出流量數值并進行存儲，方便網絡流量查詢和網絡故障排除；

流量追溯：在對歷史流量進行分析時，通過流量數據庫對過去某個時段內的流量進行深入分析；或者利用交換機/路由器端口流量分析在過去某一時間段各IP地址的流量分布狀況；路由器端口流量主要便于對某個指定IP地址在過去某一時間段內的流量進行分析；交換機端口流量主要便于對某個指定交換機端口在過去某一時間段內的流量進行分析；

S303：服務器根據所述監測數據判斷是否觸發了設定的所述觸發條件，若是，則進行步驟S304，若否，則返回步驟S302；

S304：根據所述步驟S303中所觸發的相應條件分析被攻擊的對象和被攻擊的類型，確定故障源，根據所述故障源被攻擊的類型選擇執行相應的處理規則；

在短時間內路由器和交換機在CPU實時負載和內存實時負載這兩項指標激增，代表網絡出現異常流量，或者觀察交換機和路由器各端口的實時流量判斷是否觸發了設定的所述觸發條件；

S305：目標網絡設備根據所述處理規則對網絡進行隔離和修復，

交換機端口流量監測異常，如果無法通過遠程方式遠程訪問到交換機，通過關閉/恢復交換機相應端口來排除和檢查網絡故障的發生源；服務器檢測到該異常狀況后，執行屏蔽交換端口fa0/46端口的操作，及時的阻斷該異常行為；

路由器端口流量監測包括當前站點路由器接口包括子接口流量進行監測，這個流量是通過SNMP采集到的，服務器檢測到該異常狀況后，執行屏蔽路由器端口fa0/0端口的操作，及時的阻斷該異常行為；

處理規則包括以下規則中的一種或者多種：

1）路由器屏蔽物理端口：對相應的物理端口或子接口進行操作的，使故障源從現網絡中隔離；

2）路由器屏蔽IP：服務器通過向故障源網關所在路由器發送ARP欺騙信息，使故障源從現網絡中隔離，且只能將故障源隔離在子網內；

3）定位交換機屏蔽IP對應物理端口：對于多級交換網絡組成的大型網絡，如果所有接入的交換機都支持SNMP功能，通過IP和MAC準確定位其接入對應交換機的物理端口并對故障源進行隔離；

4）定位交換機屏蔽IP對應MAC地址：對于多級交換網絡組成的大型網絡，通過故障源IP準確定位其接入交換機的物理端口，同時核對當前IP對應的MAC使用命令以及交換機屏蔽故障源IP相對應的MAC地址；

5）ARP阻斷IP：采用ARP方法，在指定子網內隔離IP，達到隔離目的；

6）旁路式限制帶寬：某些大流量操作影響到網絡性能，選擇直接屏蔽該終端，或通過旁路式限制帶寬操作將其帶寬限制到一定值，在不屏蔽該用戶的情況下使網絡恢復正常，以防止其非法占用帶寬影響到網絡的性能，其中服務器屬于所在子網；

7）生成報警記錄：如果所監測的信息不足以影響到網絡的穩定性，在觸發監測條件時生成報警信息；

8）短信報警：當接入設備觸發處理規則，服務器向指定手機發送報警信息；

9）自定義路由器/交換機動作腳本。