淺談ip網(wǎng)絡(luò)流量分析

1、<p>　　淺談IP網(wǎng)絡(luò)流量分析</p><p>　　【摘要】本文闡述了網(wǎng)絡(luò)流量的特性，網(wǎng)絡(luò)流量的分析預(yù)測(cè)模型，同時(shí)，重點(diǎn)分析了網(wǎng)絡(luò)流量分析的具體應(yīng)用，最后，介紹了網(wǎng)絡(luò)流量的識(shí)別的方法和和技術(shù)，為更好的分析IP網(wǎng)絡(luò)流量提供了基礎(chǔ)。 </p><p>　　【關(guān)鍵詞】IP網(wǎng)絡(luò)流量；分析 </p><p>　　中圖分類號(hào)： U467.4+6 文獻(xiàn)標(biāo)識(shí)碼： A 文

2、章編號(hào)： </p><p><b>　　一、前言 </b></p><p>　　隨著網(wǎng)絡(luò)的普及，網(wǎng)站數(shù)量的增加，對(duì)網(wǎng)絡(luò)流量的分析就變得更加的重要，這是確保網(wǎng)站健康運(yùn)營(yíng)的關(guān)鍵所在，同時(shí)，也是維護(hù)互聯(lián)網(wǎng)健康的一個(gè)重要方面，IP網(wǎng)絡(luò)流量的分析已經(jīng)成為了網(wǎng)絡(luò)快速發(fā)展必須重視的一個(gè)關(guān)鍵環(huán)節(jié)。 </p><p>　　二、網(wǎng)絡(luò)流量的特性分析 </p&g

3、t;<p>　　在經(jīng)過(guò)對(duì)互聯(lián)網(wǎng)通信流量的長(zhǎng)期監(jiān)測(cè)與測(cè)量，從現(xiàn)有的技術(shù)水平來(lái)說(shuō)，我們把網(wǎng)絡(luò)流量的主要特性歸結(jié)為以下4個(gè)方面： </p><p>　　1數(shù)據(jù)流雙向和非對(duì)稱性：即，從互聯(lián)網(wǎng)上的應(yīng)用來(lái)看，其實(shí)質(zhì)就是數(shù)據(jù)的雙向交換，因此網(wǎng)絡(luò)流量體現(xiàn)出雙向性的特點(diǎn)；但同時(shí)這種雙向的數(shù)據(jù)交流并非是對(duì)等的，上行和下載的流量并不相同，而是表現(xiàn)出非對(duì)稱性的特點(diǎn)。 </p><p>　　2大部分T

4、CP會(huì)話是短期的。在互聯(lián)網(wǎng)通信中，從時(shí)間的角度來(lái)看，TCP會(huì)話時(shí)間只有數(shù)秒十分之短，這是由于會(huì)話中交換的數(shù)據(jù)量超過(guò)90%的比例都是小于10K字節(jié)的。3包的到達(dá)過(guò)程不是泊松過(guò)程。隨著技術(shù)的進(jìn)步，研究發(fā)現(xiàn)這種理論解釋存在著不足，它難以精確地描述包的到達(dá)過(guò)程，人們開(kāi)始從網(wǎng)絡(luò)通信量模型展開(kāi)研究，進(jìn)而來(lái)豐富網(wǎng)絡(luò)流量的理論原理。 </p><p>　　4網(wǎng)絡(luò)流量體現(xiàn)出局域性。從現(xiàn)有技術(shù)應(yīng)用特點(diǎn)來(lái)看，網(wǎng)絡(luò)通信量表現(xiàn)出在時(shí)間和空

5、間兩個(gè)維度的局域性。 </p><p>　　三、網(wǎng)絡(luò)流量分析預(yù)測(cè)模型 </p><p><b>　　1確立預(yù)測(cè)對(duì)象 </b></p><p>　　某公司網(wǎng)絡(luò)中出口防火墻的流量信息是進(jìn)行預(yù)測(cè)分析的基礎(chǔ)，我們采取對(duì)防火墻流量的流入和流出情況進(jìn)行系統(tǒng)分析，選用適合的方法進(jìn)行預(yù)測(cè)，進(jìn)而產(chǎn)生預(yù)測(cè)結(jié)果。 </p><p>　　盡

6、管導(dǎo)致網(wǎng)絡(luò)設(shè)備上實(shí)際帶寬變化的條件具有多重性和量化困難，但是帶寬變化的態(tài)勢(shì)在時(shí)間上是一種逐步推進(jìn)的過(guò)程，有一定的規(guī)律可循?；诰W(wǎng)絡(luò)流量帶寬的這一特征，我們通過(guò)預(yù)測(cè)網(wǎng)絡(luò)節(jié)點(diǎn)端口帶寬占有率，從而間接達(dá)到網(wǎng)絡(luò)節(jié)點(diǎn)端口流量預(yù)測(cè)的目的。 </p><p>　　2預(yù)測(cè)模型的構(gòu)造設(shè)計(jì) </p><p>　　公司為了達(dá)到網(wǎng)絡(luò)管理的有效性，通常網(wǎng)絡(luò)流量模式是它們所運(yùn)用的一個(gè)非常必要的方法，因此，準(zhǔn)確、嚴(yán)

7、格的數(shù)據(jù)采集方式，是能夠建立一個(gè)很好的模型為網(wǎng)絡(luò)流量，這樣才能夠滿足模型對(duì)數(shù)據(jù)的采集的需求。 </p><p>　　以預(yù)測(cè)模型為例，它的核心網(wǎng)絡(luò)系統(tǒng)能夠分為三個(gè)獨(dú)立的模塊，這是按照系統(tǒng)的功能來(lái)劃分，它們是：流量數(shù)據(jù)采集、流量圖生成、流量預(yù)測(cè)。 </p><p>　　四、流量分析的應(yīng)用 </p><p>　　NTE（NetTraffic Exporter）負(fù)責(zé)流量的

8、采集和發(fā)送；NTC（NetTraffic Collector）設(shè)備負(fù)責(zé)收集和存儲(chǔ)NTE發(fā)來(lái)的流量統(tǒng)計(jì)數(shù)據(jù)信息；NTP（NetTraffic Processor）從數(shù)據(jù)庫(kù)中獲取收集到的數(shù)據(jù)，經(jīng)分析加工后以直觀的圖表、報(bào)表等方式為網(wǎng)絡(luò)規(guī)劃、網(wǎng)絡(luò)優(yōu)化、網(wǎng)絡(luò)監(jiān)控、流量趨勢(shì)分析、異常檢測(cè)等提供直接的數(shù)據(jù)依據(jù)。 </p><p>　　各組成部分的關(guān)系如下圖所示： </p><p>　　1.流量監(jiān)控

9、網(wǎng)管人員可按照系統(tǒng)提供的參數(shù)來(lái)設(shè)定監(jiān)控條件,系統(tǒng)根據(jù)設(shè)定的監(jiān)控條件過(guò)濾得來(lái)流量記錄(Flow Record)并將符合監(jiān)控條件的統(tǒng)計(jì)資料存入系統(tǒng)數(shù)據(jù)庫(kù)中。最后,系統(tǒng)便可以從數(shù)據(jù)庫(kù)里讀取數(shù)據(jù)做成各種圖表(Report)。因此,網(wǎng)絡(luò)管理員可針對(duì)網(wǎng)絡(luò)的重要鏈路進(jìn)行流量監(jiān)控, 掌握不同鏈路的流量基線,及時(shí)了解鏈路的負(fù)載和發(fā)現(xiàn)問(wèn)題。 </p><p>　　2.流量分析 網(wǎng)管人員可以開(kāi)啟實(shí)時(shí)監(jiān)控功能, 針對(duì)所設(shè)定的范圍做流量

10、數(shù)據(jù)的收集與分析。在同一時(shí)間里,可以開(kāi)啟多個(gè)實(shí)時(shí)監(jiān)控窗口,每一窗口獨(dú)立監(jiān)控一項(xiàng)設(shè)定,并根據(jù)搜集得來(lái)的資料自動(dòng)排序,做成各種報(bào)表。 </p><p>　　3.異常流量分析 現(xiàn)在隨著IP 網(wǎng)絡(luò)不斷擴(kuò)大, 網(wǎng)絡(luò)中也經(jīng)常會(huì)出現(xiàn)黑客攻擊、病毒泛濫的情況,而這些網(wǎng)絡(luò)突發(fā)事件從設(shè)備和網(wǎng)管的角度看卻很難發(fā)現(xiàn)問(wèn)題,經(jīng)常也讓網(wǎng)絡(luò)管理員感到棘手,因此,針對(duì)網(wǎng)絡(luò)中突發(fā)性的異常流量分析將有助于網(wǎng)絡(luò)管理員發(fā)現(xiàn)和解決問(wèn)題。 </p&g

11、t;<p>　　五、常見(jiàn)流量識(shí)別方法與技術(shù) </p><p>　　1針對(duì)網(wǎng)絡(luò)帶寬消耗大戶P2P的DPI技術(shù) Deep Packet Inspection簡(jiǎn)稱DPI技術(shù)，中文意思是深度報(bào)文檢測(cè)。由于傳統(tǒng)的檢測(cè)技術(shù)獲得的業(yè)務(wù)應(yīng)用信息很少，只是包括協(xié)議號(hào)、源/目的IP地址、底層的連接狀態(tài)、源/目的傳輸層端口號(hào)等這些存放于數(shù)據(jù)包當(dāng)中網(wǎng)絡(luò)層和傳輸層的基本信息，而這些檢測(cè)出的參數(shù)對(duì)現(xiàn)行的P2P（點(diǎn)對(duì)點(diǎn)）和VO

12、IP（網(wǎng)絡(luò)語(yǔ)音）、IPTV（網(wǎng)絡(luò)電視）等已經(jīng)不再適用和滿足檢測(cè)管理的需要了。DPI作為一種先進(jìn)的包檢測(cè)技術(shù)，不僅僅能夠識(shí)別P2P，還能夠檢測(cè)上述的VOIP、IPTV和在線游戲、流量封裝協(xié)議、流媒體以及在線游戲等大部分主流應(yīng)用協(xié)議、流控設(shè)備。 </p><p>　　對(duì)P2P應(yīng)用進(jìn)行判定如果僅僅通過(guò)端口對(duì)其進(jìn)行判斷是不足的，因?yàn)橥ǔ2P是技術(shù)常盜用一些常用的協(xié)議端口或者使用端口跳變技術(shù)來(lái)傳輸數(shù)據(jù)，因此進(jìn)行P2P應(yīng)

13、用樣本查找時(shí)不能疏忽大意，要使用第7層協(xié)議對(duì)網(wǎng)絡(luò)中所有的數(shù)據(jù)進(jìn)行探測(cè)，那樣不管它使用的是那個(gè)端口話都逃部出檢測(cè)；而要檢測(cè)P2P可以檢測(cè)其某種特征的應(yīng)用識(shí)別，要檢測(cè)一種應(yīng)用識(shí)別有時(shí)要檢測(cè)它是否匹配多個(gè)代碼樣本的特征，而這些樣本特征的取得可以通過(guò)對(duì)傳輸協(xié)議的載荷部分進(jìn)行檢查，即讓所有的數(shù)據(jù)包在應(yīng)用層進(jìn)行檢查的復(fù)雜的第7層識(shí)別技術(shù)來(lái)實(shí)現(xiàn)。 </p><p>　　當(dāng)網(wǎng)絡(luò)中使用P2P時(shí)，就相當(dāng)于產(chǎn)生了一個(gè)新的會(huì)話，那么其會(huì)

14、話的一個(gè)唯一的協(xié)議簽名如果能被找到并且和已知的協(xié)議代碼樣本匹配，就當(dāng)表我們對(duì)P2P的檢測(cè)初步成功，因?yàn)镻2P一般不會(huì)只是單一的連接和會(huì)話，這需要我們能夠聰多個(gè)會(huì)話中提出信息并關(guān)聯(lián)相關(guān)代碼樣本，如果匹配的則是P2P的連接。而此方法的實(shí)現(xiàn)基礎(chǔ)是因?yàn)榈?層的協(xié)議代碼樣本能夠進(jìn)行會(huì)話標(biāo)記的請(qǐng)求并且標(biāo)識(shí)好會(huì)話中所有的數(shù)據(jù)包。只要能夠識(shí)別好第7層的數(shù)據(jù)流，那么對(duì)P2P的判斷和控制都是很簡(jiǎn)單的了。 </p><p>　　2DF

15、I技術(shù) Deep Flow Inspection 是DFI的簡(jiǎn)稱，中文翻譯是深度流行為檢測(cè)，其也是一種典型的業(yè)務(wù)識(shí)別技術(shù)。針對(duì)于DPI技術(shù)的升級(jí)頻繁、加密流量識(shí)別難、執(zhí)行效率不高等問(wèn)題，DFI的出現(xiàn)更符合用戶的要求，其獲取業(yè)務(wù)類型、業(yè)務(wù)狀態(tài)的方法是通過(guò)對(duì)網(wǎng)絡(luò)層和傳輸層信息、平均流速率、網(wǎng)絡(luò)流量的狀態(tài)、字節(jié)長(zhǎng)度分布、業(yè)務(wù)流持續(xù)時(shí)間等參數(shù)的統(tǒng)計(jì)分析來(lái)獲得，如此DFI技術(shù)不用網(wǎng)絡(luò)流量深度報(bào)文檢測(cè)，而更關(guān)注于網(wǎng)絡(luò)流量特征的通用性。 </

16、p><p>　　3流量控制 在流量控制方式上，LotWan流量管理系統(tǒng)（行為特征檢測(cè)技術(shù)）雖然仍有部分網(wǎng)絡(luò)流量不能做到精確識(shí)別，但還是能讓校園流量上下行基本實(shí)現(xiàn)均衡，而Panabit流控系統(tǒng)（報(bào)文特征字檢測(cè)技術(shù)）主要是對(duì)視頻點(diǎn)播、多進(jìn)程下載的P2P技術(shù)進(jìn)行抑制，并且能夠很好的對(duì)網(wǎng)絡(luò)的上行流量進(jìn)行更好的控制。 </p><p>　　具體實(shí)現(xiàn)上，筆者對(duì)校園網(wǎng)內(nèi)部流量控制理論、控制機(jī)制進(jìn)行了一定的

17、研究，并結(jié)合工作實(shí)際，分析了我院校園網(wǎng)流量產(chǎn)生的因素及控制方面存在的一些問(wèn)題，針對(duì)我院自身特點(diǎn)，提出了一套適用的流量控制方法。譬如，為了減輕核心設(shè)備的負(fù)載，我們對(duì)應(yīng)的制定了多層次的流量控制策略，在各樓棟普遍使用了流量控制服務(wù)器或其它簡(jiǎn)單的流量控制設(shè)備，將每個(gè)單獨(dú)的IP都進(jìn)行了初步的流量限制，在核心流控設(shè)備上再對(duì)這些已經(jīng)初步處理過(guò)的數(shù)據(jù)進(jìn)行具體的類別鑒定及策略匹配，解決了核心設(shè)備負(fù)載過(guò)大的問(wèn)題，合理的分配了流量資源。 </p>

18、<p><b>　　六、結(jié)束語(yǔ) </b></p><p>　　IP網(wǎng)絡(luò)流量的分析需要在掌握了IP網(wǎng)絡(luò)流量的基礎(chǔ)上才能夠科學(xué)的展開(kāi)，與此同時(shí)，對(duì)于IP網(wǎng)絡(luò)流量的分析，相關(guān)人員需要采用先進(jìn)科學(xué)的方法進(jìn)行分析，這樣才能夠取得更好的分析效果。 </p><p><b>　　參考文獻(xiàn) </b></p><p>　　[1