P2P流量检测技术

摘 要:当前,P2P技术迅猛发展,当然在P2P给人们带来欣喜的时候,也给人们带来了烦恼.据调查统计,P2P流量占整个互联网流量达到60%-80%以上,对Web、e-mail等其他网络怎么写作构成了严重的威胁,而如果仅仅是进行带宽的扩容并不能实质地解决网络的拥塞状况.

关 键 词:端口分析特征值分析流量控制

中图分类号:TP39文献标识码:A文章编号:1007-3973(2010)05-052-02

1引言

自1999年开始,Napster出现至今,短短的时间里,P2P发展迅速,而同时P2P用户的规模,应用类型和流量均呈现出增长的趋势.P2P技术的出现,丰富了人们对于网络资源的获取方式,使人们获取大容量的文件变得更加容易.我们可以肯定,P2P的出现使得我们对整个网络观念有了新的改革与变化:它允许一个用户直接链接到另一个用户的计算机,并进行文件共享与交换,一改以往通过怎么写作器浏览或下载的方式.不过,大量下载文件,占用了大量的网络带宽.据调查与统计,P2P流量已占整个互联网流量的60%以上,对Web、e-mail等其他网络怎么写作构成了严重的威胁.而增加带宽是一个解决类似问题的办法,但是由于P2P应用的吞噬特性,新增的带宽仍然可能会被下载等应用占满,仅仅进行带宽的扩容是不能解决网络的拥塞状况的.

2P2P概述

P2P(PeertoPeer)即对等计算或对等网络,也可以定义为通过直接交换,共享计算机资源和怎么写作,是一种资源分布利用与共享的网络体系架构与目前网络中占据主导地位的客户机怎么写作器体系架构相对应.

对于P2P技术的解释是P2P即PeertoPeer(国内一般称为点对点).与传统的C/S模式不同的是,P2P是一种分布式网络,网络的参与者共享他们所拥有的一部分硬件资源(主要包括处理能力、存储能力、网络连接能力、打印机等),这些共享资源需要由网络提供怎么写作和内容,能被其它的对等节点(Peer)直接访问而无需经过中间实体.整个网络一般来讲不依赖于专用集中怎么写作器,在此网络中的参与者有着双重角色,既是资源的提供者(Server),又是资源获取者(Client).通常这些资源和怎么写作包括信息的共享与交换、计算资源的共享、存储资源的使用等.

P2P技术具有快速高效的文件共享,低成本高可用的计算资源和存储资源共享、强大的网络连通性和灵活的信息沟通能力.P2P数据流量则是呈现出更大的任意性,据统计,P2P流量超过链接总流量的60%,给网络运营带来了很大的压力,同时带宽不合理占用和网络资源的滥用.对于Inter而言,带宽是最宝贵的资源,而在带宽有限的情况下,如何充分地利用带宽则更为关键.P2P网络中没有C/S模式下的怎么写作器,所以也就不会存在C/S模式下怎么写作器造成的“效率瓶颈”:没有不必要的中间环节,也不会因为怎么写作器繁忙和不得不等待,也不会出现由于怎么写作器“单点失效”导致整个网络通信中断的情形.

对于P2P流也有属于它的特点:它的分布呈现出明显的非均衡性,网络中大部分节点的数据流量都是从为数不多的一些节点的数据获取,同时表现出上下行流量的对称性,这就成为P2P网络流量区别于其他流量的主要特征.

3检测技术

笔者对P2P技术做了相关的介绍,阐述了P2P流量在给人们带来喜悦的时候,同时本身的问题也是压抑着一些企业的相关部门,造成了很大不便.所以需要对P2P流量进行适度的控制.但是,在进行流量控制之前,首先需要做的是要识别出P2P流量,只有我们能够成功的识别出是否是P2P流量,我们才能够进行下一步的控制策略,所以检测技术理所当然的成了关键.

目前对于P2P流量检测方法包括几种:第一种是基于端口的P2P流量识别技术.所谓基于端口的P2P流量识别技术,,就是根据目标流量的特有协议端口号来识别目标流量,如具有TCP80端口的流量可以认为是HTTP流量等.早期的P2P应用采用默认的端口来进行通信和数据传输,网络管理者只需要根据数据包头中的五元组(源/目的IP地址,源/目的端口号,传输层协议)将数据包分类为不同的业务流,将其中的源或目的端口号与默认端口号的P2P应用进行匹配,如果匹配成功则表明这个流之P2P流.该方法比较简单、实用.并且精确度很好,大部分应用都可以通过该方法予以区分.如表1注释显示的端口号:

但是现在越来越多的流量没有办法通过端口来定位,因特网流量中无法确定的部分差不多有50%以上.有些原因是个别用户有意隐藏自己的身份,而部分的P2P系统采用的是私有协议,这些往往就是流量管控的主要目标,因此单用此方法来识别,分析有一定的难度.

第二种是基于特征值的分析:为了应对随机端口技术和协议伪装技术,出现了基于应用层特征字段匹配的P2P流量分类方法.Karagiannis等人分析不同P2P系统的数据包特征时,发现不同P2P控制包有者不同的特征值字符串,而且这些特征都在TCP/UDP载荷开头的某个固定位置上,还有大部分P2P系统都采用固定的数据块大小来传输数据,表2是国内的一些常用P2P应用的特征字符串:

采用这种方法,我们可以在识别出相应的P2P流量的时候,也可以知道此P2P流量数据协议以及相应的特征字符串.然而,现在一些数据包采用数据加密的形式,这样就致使单独采用基于应用层特征值匹配的方法的不适用.

第三种是DPI(DeepPacketInspection)技术:即深度报文检测技术,就是利用数据包应用层信息中报文的协议指纹、协议签名等惟一性信息,实现对应用类型的精确识别.DPI主要是以会话中的协议指纹、协议签名进行流量识别,无法识别类似非标准P2P、加密应用流量、VPN等应用,无法识别UDP协议封装的网络病毒.

而第四种就是DFI技术,即深层流检测技术,该技术由美国Caspian公司提出,其核心思想是在流识别的基础上做出基于流行为的管理和控制.DFI技术增加了流状态属性,如平均速率、流时长、流字节数、包大小等,以此实现对流的识别和分类.DFI以单向流作为流量识别的对象,主要是对流量进行统计来总结有关P2P流量的特征,无需监控数据流TCP会话分析信息特征来做业务识别的依据,DFI实时监控网络上流经其的流量,实时分析每个单向流的行为,并基于行为指定策略,实施网络带宽的管理.

4流量检测设计

以上,笔者对流量识别技术分别进行了分析说明,同时总结出它们的优点和不足,因此根据以上的几种识别方法,来实现流量的识别,识别模型如下图1所示:

对于来自Inter上的数据包,可以通过几种方法(基于端口分析,基于特征值分析,DFI技术)的相结合来实现.第一步是对来自Inter的数据包进行过滤和捕捉,第二步是关键:在这里我们设计了一个优先级:基于端口识别和基于特征值识别均处于第一优先级,而DFI技术识别放在第二优先级上,当然基于端口和基于特征值识别两种技术的地位是同等的.这些数据包先是进行基于端口识别和基于特征值识别,只要通过时两种方法有一种能够识别出P2P流量的即可,如果这两个方法都没有识别出是否是P2P流量,或者对于那些根据端口和特征值分析方法识别出是非P2P流量的也要进行下一步的识别(以防是那些伪装的P2P流量),即进行DFI检测.最后一步是对那些识别出的P2P流量准备下一步的控制策略,而对那些非P2P流量则允许通过,当然那些未识别出来的流量我们一律当成P2P流量.这样会提高识别的精确度,准确度.

5总结

P2P应用正在迅猛发展,用户也是呈现出明显的指数增长趋势,所以有效进行P2P流量的识别是当前需要解决的问题.本文虽然设计了识别的模型,但是也是存在一些缺点,所以这需要我们进一步的寻找新的、有效地识别技术.

注释:

延平利.基于NP的P2P协议识别及流量控制[D].北京:北京邮电大学,2006.

PPLive..省略/.

倪冰,陈运清.P2P流量监控技术的研究及现网试验[J].吉林大学学报(信息科学版),2009,27(5):544-549.

BertramGanz.WebDynproJatablepagingunleashed:Optimizingheytableperformance[EB/OL]..省略/china/index.epx,2008:1-34.

李玉行,宋传志.P2P流量识别与监测[EB/OL]..xllw.xn/n1836c12.aspx,2007.

李君,王攀,孙雁飞,等.P2P业务流量识别、分析和控制研究[J].计算机工程,2006,32(11):122-124.