發(fā)布時間：2022-04-19 07:22:12
序言：寫作是分享個人見解和探索未知領(lǐng)域的橋梁，我們?yōu)槟x了8篇的網(wǎng)絡(luò)流量監(jiān)測樣本，期待這些樣本能夠為您提供豐富的參考和啟發(fā)，請盡情閱讀。
本文就網(wǎng)絡(luò)流量監(jiān)測的作用和移動互聯(lián)網(wǎng)的研究現(xiàn)狀進行分析，探討CDMA移動互聯(lián)網(wǎng)的特征，以便更好的對網(wǎng)絡(luò)流量進行監(jiān)測。
【關(guān)鍵詞】
網(wǎng)絡(luò)流量；監(jiān)測；移動互聯(lián)網(wǎng)
0 引言
隨著互聯(lián)網(wǎng)規(guī)模的不斷擴大，其應(yīng)用領(lǐng)域越來越廣泛，因此，急需要對網(wǎng)絡(luò)流量進行實時、在線的監(jiān)控和管理。對網(wǎng)絡(luò)流量特征進行研究，有利于有效的管理、規(guī)劃、發(fā)展網(wǎng)絡(luò)。其中網(wǎng)絡(luò)流量監(jiān)測是網(wǎng)絡(luò)測量技術(shù)之一，通過對網(wǎng)絡(luò)流量進行監(jiān)測和分析研究，能夠較好的掌握網(wǎng)絡(luò)流量的特征，了解網(wǎng)絡(luò)的狀況，并能夠根據(jù)詳細的流量信息，對故障進行定位和修復(fù)，能夠獲取網(wǎng)絡(luò)所承載的業(yè)務(wù)的大小，及時了解用戶應(yīng)用強度、頻度等行為模型。
1 網(wǎng)絡(luò)流量監(jiān)測的作用
其一，有利于網(wǎng)絡(luò)規(guī)劃。在移動網(wǎng)絡(luò)中出現(xiàn)擁堵的現(xiàn)象時，傳統(tǒng)的做法通常為網(wǎng)絡(luò)擴容。如果借助網(wǎng)絡(luò)流量監(jiān)測技術(shù)，能夠及時的掌握當前的移動網(wǎng)絡(luò)的流量趨勢，有效的解決網(wǎng)絡(luò)中出現(xiàn)的問題，并運用科學合理的方式進行規(guī)劃。
其二，提高網(wǎng)絡(luò)資源的利用率。由于移動網(wǎng)絡(luò)的流量比較復(fù)雜多變，目前還有大多數(shù)網(wǎng)絡(luò)特征未被外界認知，通過網(wǎng)絡(luò)流量監(jiān)測技術(shù)，能夠及時的了解當前網(wǎng)絡(luò)流量的情況和移動網(wǎng)絡(luò)業(yè)務(wù)的特征。
其三，便于移動網(wǎng)絡(luò)安全維護。隨著網(wǎng)絡(luò)的普及，越來越多的惡意程序通過網(wǎng)絡(luò)傳播，嚴重影響到用戶的隱私和財產(chǎn)安全。充分運用網(wǎng)絡(luò)流量監(jiān)測技術(shù)，能夠?qū)W(wǎng)絡(luò)流量進行分析，制定出不同移動平臺的移動網(wǎng)絡(luò)安全策略。
2 移動互聯(lián)網(wǎng)的現(xiàn)狀
近年來，隨著社交網(wǎng)絡(luò)、微博、微信等新型網(wǎng)絡(luò)應(yīng)用的發(fā)展，使得互聯(lián)網(wǎng)行業(yè)的發(fā)展充滿生機和活力。移動通信技術(shù)和互聯(lián)網(wǎng)技術(shù)的緊密結(jié)合形成了一種新的網(wǎng)絡(luò)，即移動互聯(lián)網(wǎng)。移動互聯(lián)網(wǎng)指的是通過使用手機網(wǎng)絡(luò)、平板電腦等移動終端，基于移動網(wǎng)絡(luò)聯(lián)網(wǎng)獲取圖像、語音、文字等用戶需求的隨時可接入的網(wǎng)絡(luò)。根據(jù)通訊世界網(wǎng)訊全球技術(shù)研究和咨詢公司的最新研究報告表明，我國手機用戶在2013年突破10億，預(yù)測在2014年，我國手機市場將銷售4.436億部手機，使用手機將超過10.76億部。網(wǎng)民人數(shù)達到6.15億，移動互聯(lián)網(wǎng)用戶數(shù)已達到8.38億。我國的移動互聯(lián)網(wǎng)用戶人數(shù)將會呈現(xiàn)持續(xù)增長的趨勢，同時，伴隨著平板電腦、智能手機的發(fā)展，國內(nèi)移動互聯(lián)網(wǎng)絡(luò)用戶群將會逐漸擴大。另外，在移動互聯(lián)網(wǎng)迅猛發(fā)展的同時，也會帶來一定的風險和挑戰(zhàn)。首先隨著移動互聯(lián)網(wǎng)內(nèi)容不斷的豐富，產(chǎn)生了各種寬帶負荷較大的業(yè)務(wù)，例如基于P2P業(yè)務(wù)。傳統(tǒng)的互聯(lián)網(wǎng)監(jiān)控方式不一定適用于移動互聯(lián)網(wǎng)，缺乏有針對性的移動互聯(lián)網(wǎng)監(jiān)控平臺。目前移動互聯(lián)網(wǎng)的監(jiān)控制度還不夠完善，限制了網(wǎng)絡(luò)服務(wù)質(zhì)量的提高，對未來網(wǎng)絡(luò)的發(fā)展具有嚴重的影響作用。其次，移動網(wǎng)絡(luò)運營商雖然為各種內(nèi)容提供商業(yè)支持，推廣了各種業(yè)務(wù)，但多種業(yè)務(wù)的流量特征研究不夠完善，運行質(zhì)量沒有進行深入的研究，大多互聯(lián)網(wǎng)基礎(chǔ)指標在移動互聯(lián)網(wǎng)的場景下分布比較異常。
3 CDMA移動互聯(lián)網(wǎng)特征研究
3.1網(wǎng)絡(luò)流量原始流量采集
本文使用的網(wǎng)絡(luò)數(shù)據(jù)是由本研究團隊自行研發(fā)的檢測設(shè)備TMS進行采集的。原始網(wǎng)絡(luò)流量均采用我國某大城市的骨干網(wǎng)節(jié)點。在采集CDMA實驗數(shù)據(jù)時，部署了4個采集探針在同一個城市的鏈路上，位于分組數(shù)據(jù)服務(wù)節(jié)點和城市核心節(jié)點之間并行的鏈路上。詳情如圖1所示。
另外，網(wǎng)絡(luò)流量分類技術(shù)主要包括深度包檢測和深度流檢測技術(shù)。分類時，首先使用深度包檢測技術(shù)，通常能夠達到較高的分類效果。針對不同的網(wǎng)絡(luò)應(yīng)用，比較適合使用深度流檢測技術(shù)。本文的算法中就引入了深度流檢測的技術(shù)。
3.2網(wǎng)絡(luò)流量建模
由于采集的網(wǎng)絡(luò)寬帶較大，運算和存貯資源比較有限，需要選取一個適合的時間段，采集數(shù)據(jù)子集后為后續(xù)分析充當樣本。網(wǎng)絡(luò)流量建模的原理指的是充分利用統(tǒng)計獲取的網(wǎng)絡(luò)流量特征，對其進行數(shù)學推導(dǎo)后得出的符合統(tǒng)計規(guī)律的模型來模擬實際網(wǎng)絡(luò)流量趨勢。網(wǎng)絡(luò)流量建模通常采用ARIMA模型[3]。其指的是分差整合移動平均自回歸模型，通常用于進行平穩(wěn)序列和分差后平穩(wěn)序列的建模分析。ARIMA模型分析的一般步驟為：（1）根據(jù)序列的自相關(guān)函數(shù)分布圖和偏相關(guān)函數(shù)分布圖，分析序列的平穩(wěn)性。（2）對非平穩(wěn)性序列進行平穩(wěn)化處理；根據(jù)時間序列的識別規(guī)定，對ARIMA模型的相關(guān)參數(shù)進行識別，建立相應(yīng)模型。建立分析后，需要對參數(shù)進行評估，并對參數(shù)進行檢驗，其中參數(shù)檢驗通常會采用AIC準則。AIC的計算公式為：
其中T為可使用的觀測值，RSS指的是參差平方根和，n為待估參數(shù)個數(shù)。比較不同參數(shù)時，需要采用AIC值更小的模型。
3.3網(wǎng)絡(luò)流量基本特征
其一，網(wǎng)絡(luò)協(xié)議。在互聯(lián)網(wǎng)中使用的TCP/IP協(xié)議族為傳輸層明確了兩個主要的協(xié)議，分別為TCP協(xié)議和UDP協(xié)議。TCP協(xié)議需要在兩個TCP之間建立一個虛連接，在運輸層中使用流量控制和差錯控制機制，即為面向連接的、可靠的傳輸協(xié)議。UDP協(xié)議為無連接、不可靠傳輸協(xié)議。本文對兩種網(wǎng)絡(luò)協(xié)議進行研究，如表1所示。
其二，網(wǎng)絡(luò)流長（字節(jié)）分布。網(wǎng)絡(luò)中的流量實際時由IP流來承擔的，IP流的長度在一定程度上反映了網(wǎng)絡(luò)負載的情況。圖2為CDMA網(wǎng)絡(luò)中的流長分布情況。
其三，網(wǎng)絡(luò)流持續(xù)時間分布。IP流持續(xù)的時間為IP流第一個報文達到的時間和最后一個報文達到的時間差值。對IP流持續(xù)的時間分布進行研究，可以從宏觀的角度反映出IP流在網(wǎng)絡(luò)中分布的時間，根據(jù)其他網(wǎng)絡(luò)特征，可以綜合對網(wǎng)絡(luò)流的各種行為特點進行研究。根據(jù)統(tǒng)計可知，CDMA網(wǎng)絡(luò)中平均UDP流持續(xù)的時間為62.15秒，在TCP流中持續(xù)的時間為17.85秒。
4 總結(jié)
隨著移動互聯(lián)網(wǎng)絡(luò)的飛速發(fā)展，多種移動互聯(lián)網(wǎng)絡(luò)的應(yīng)用成為人們生活中不可或缺的一部分。由于移動互聯(lián)網(wǎng)場景復(fù)雜，使得流量的多種特征還沒被發(fā)現(xiàn)。網(wǎng)絡(luò)流量監(jiān)測技術(shù)和移動互聯(lián)網(wǎng)特征的研究，能夠?qū)σ苿泳W(wǎng)絡(luò)流量進行保存，可以有效的規(guī)劃網(wǎng)絡(luò)，充分利用網(wǎng)絡(luò)資源，維護移動互聯(lián)網(wǎng)的安全。
【參考文獻】
[1]王華奎.移動通信原理與技術(shù)[M].清華大學出版社，2010.
>> 基于支持向量機的網(wǎng)絡(luò)流量分類方法 一種基于多維支持向量機的P2P網(wǎng)絡(luò)流量識別模型 基于支持向量機的地鐵客流量預(yù)測 支持向量機的半監(jiān)督網(wǎng)絡(luò)流量分類方法 基于組合優(yōu)化理論的無線網(wǎng)絡(luò)流量建模與預(yù)測 基于支持向量機的Freegate軟件流量檢測研究 基于小波神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量預(yù)測 基于徑向基神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量預(yù)測 基于小波神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量預(yù)測研究 基于改進Elman神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量預(yù)測 基于改進小波神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量預(yù)測研究 基于BP神經(jīng)網(wǎng)絡(luò)的非線性網(wǎng)絡(luò)流量預(yù)測 一種基于神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)流量組合預(yù)測模型 基于支持向量機的股指期貨合約價格預(yù)測 基于支持向量機的債券時間序列預(yù)測 基于支持向量機回歸的中國CPI預(yù)測研究 基于免疫支持向量機預(yù)測模型的研究 基于支持向量機的短期負荷預(yù)測 基于支持向量機的短期電力負荷預(yù)測 基于長相關(guān)網(wǎng)絡(luò)流量預(yù)測分析 常見問題解答 當前所在位置：l上獲得)，按5分鐘的時間尺度對該流量序列做聚集操作，獲得了用于建模的流量序列，記為TSb，長度為250。
核函數(shù)選擇徑向基函數(shù)，動態(tài)調(diào)整法選取參數(shù)后，流量預(yù)測結(jié)果如圖1所示,預(yù)測RMSE為2.5136，RRMSE為0.021。各項誤差指標對比如表1所列,在參數(shù)優(yōu)化后, RMSE和RRMSE都少了，表明參數(shù)優(yōu)化后的效果優(yōu)于優(yōu)化前。
5 結(jié)論
網(wǎng)絡(luò)流量工程對于大規(guī)模網(wǎng)絡(luò)的規(guī)劃設(shè)計、網(wǎng)絡(luò)資源管理以及實現(xiàn)網(wǎng)絡(luò)入侵檢測等方面都具有積極的意義，而流量建模與預(yù)測是網(wǎng)絡(luò)流量工程的重要組成部分。傳統(tǒng)的流量時間序列模型只適合于分析平穩(wěn)過程及特殊的非平穩(wěn)過程，難以刻畫大規(guī)模網(wǎng)絡(luò)的復(fù)雜流量行為。文中采用支持向量機回歸方法進行網(wǎng)絡(luò)流量預(yù)測，首先對觀測序列進行歸一化預(yù)處理,根據(jù)訓練樣本動態(tài)調(diào)整參數(shù)后，再進行預(yù)測。從實際預(yù)測結(jié)果來看,該方法具有較好的預(yù)測效果。
參考文獻：
[1] Kantz H.非線性時間序列分析[M].北京:清華大學出版社,2000.
[2] Chen Bor-Sen ,Peng Sen-Chueh,Wang Ku-Chen. Traffic Modeling,Prediction,and Congestion Control for High-Speed Networks:A Fuzzy AR Approach[J].IEEE Transaction on Fuzzy Systems,2000 ,8(5)
[3] Vapnik V N. Statistical Learning Theory [M].New York Wiley,1998.
[4] 劉勝,李妍妍.自適應(yīng)GA-SVM 參數(shù)選擇算法研究[J]. 哈爾濱工程大學學報,2007,28(4).
[5] 魏海坤.神經(jīng)網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計的理論與方法[M].北京：國防工業(yè)出版社,2005.
【論文摘要】:網(wǎng)絡(luò)流量性能測量是網(wǎng)絡(luò)管理和系統(tǒng)管理的一個重要組成部分,為網(wǎng)絡(luò)的運行和維護提供了重要信息,問時也是網(wǎng)絡(luò)流量具體建模、分析的必要前提和手段。網(wǎng)絡(luò)流量的測量方法分為主動測量和被動測量。兩種測量方法各有優(yōu)缺點,分別用于不同的場合。針對網(wǎng)絡(luò)流量的測量展開系統(tǒng)性的研究將對Internet行為學方面的研究取得理論突破具有重要意。
網(wǎng)絡(luò)流量性能測量與分析涉及許多關(guān)鍵技術(shù),如單向測量中的時鐘同步問題,主動測量與被動測量的抽樣算法研究,多種測量工具之間的協(xié)同工作,網(wǎng)絡(luò)測量體系結(jié)構(gòu)的搭建,性能指標的量化,性能指標的模型化分析,對網(wǎng)絡(luò)未來狀態(tài)進行趨勢預(yù)測,對海量測量數(shù)據(jù)進行數(shù)據(jù)挖掘或者利用已有的模型(petri網(wǎng)、自相似性、排隊論)研究其自相似特征,測量與分析結(jié)果的可視化,以及由測量所引起的安全性問題等等。
1.在IP網(wǎng)絡(luò)中采用網(wǎng)絡(luò)性能監(jiān)測技術(shù),可以實現(xiàn)
1.1 合理規(guī)劃和優(yōu)化網(wǎng)絡(luò)性能
為更好的管理和改善網(wǎng)絡(luò)的運行,網(wǎng)絡(luò)管理者需要知道其網(wǎng)絡(luò)的流量情況和盡量多的流量信息。通過對網(wǎng)絡(luò)流量的監(jiān)測、數(shù)據(jù)采集和分析,給出詳細的鏈路和節(jié)點流量分析報告,獲得流量分布和流向分布、報文特性和協(xié)議分布特性,為網(wǎng)絡(luò)規(guī)劃、路由策略、資源和容量升級提供依據(jù)。
1.2 基于流量的計費
現(xiàn)在lSP對網(wǎng)絡(luò)用戶提供服務(wù)絕大多數(shù)還是采用固定租費的形式,這對一般用戶和ISP來說,都不是一個好的選擇。采用這一形式的很大原因就是網(wǎng)絡(luò)提供者不能夠統(tǒng)計全部用戶的準確流量情況。這就需要有方便的手段對用戶的流量進行檢測。通過對用戶上網(wǎng)時長、上網(wǎng)流量、網(wǎng)絡(luò)業(yè)務(wù)以及目的網(wǎng)站數(shù)據(jù)分析,擺脫目前單一的包月制,實現(xiàn)基于時間段、帶寬、應(yīng)用、服務(wù)質(zhì)量等更加靈活的交費標準。
1.3 網(wǎng)絡(luò)應(yīng)用狀況監(jiān)測與分析
了解網(wǎng)絡(luò)的應(yīng)用狀況,對研究者和網(wǎng)絡(luò)提供者都很重要。通過網(wǎng)絡(luò)應(yīng)用監(jiān)測,可以了解網(wǎng)絡(luò)上各種協(xié)議的使用情況(如www,pop3,ftp,rtp等協(xié)議),以及網(wǎng)絡(luò)應(yīng)用的使用情況,研究者可以據(jù)此研究新的協(xié)議與應(yīng)用,網(wǎng)絡(luò)提供者也可以據(jù)此更好的規(guī)劃網(wǎng)絡(luò)。
1.4 實時監(jiān)測網(wǎng)絡(luò)狀況
針對網(wǎng)絡(luò)流量變化的突發(fā)性特性,通過實時監(jiān)測網(wǎng)絡(luò)狀況,能實時獲得網(wǎng)絡(luò)的當前運行狀況,減輕維護人員的工作負擔。能在網(wǎng)絡(luò)出現(xiàn)故障或擁塞時發(fā)出自動告警,在網(wǎng)絡(luò)即將出現(xiàn)瓶頸前給出分析和預(yù)測?，F(xiàn)在隨著Internet網(wǎng)絡(luò)不斷擴大,網(wǎng)絡(luò)中也經(jīng)常會出現(xiàn)黑客攻擊、病毒泛濫的情況。而這些網(wǎng)絡(luò)突發(fā)事件從設(shè)備和網(wǎng)管的角度看卻很難發(fā)現(xiàn),經(jīng)常讓網(wǎng)絡(luò)管理員感到棘手。因此,針對網(wǎng)絡(luò)中突發(fā)性的異常流量分析將有助于網(wǎng)絡(luò)管理員發(fā)現(xiàn)和解決問題。
1.5 網(wǎng)絡(luò)用戶行為監(jiān)測與分析
這對于網(wǎng)絡(luò)提供者來說非常重要,通過監(jiān)測訪問網(wǎng)絡(luò)的用戶的行為,可以了解到:
1)某一段時間有多少用戶在訪問我的網(wǎng)絡(luò)。
2)訪問我的網(wǎng)絡(luò)最多的用戶是哪些。
3)這些用戶停留了多長時間。
4)他們來自什么地方。
5)他們到過我的網(wǎng)絡(luò)的哪些部分。
通過這些信息,網(wǎng)絡(luò)提供者可以更好的為用戶提供服務(wù),從而也獲得更大的收益。
2.網(wǎng)絡(luò)流量測量有5個要素:
測量時間、測量對象、測量目的、測量位置和測量方法。網(wǎng)絡(luò)流量的測量實體,即性能指標主要包括以下幾項。 2.1 連接性
連接性也稱可用性、連通性或可達性,嚴格說應(yīng)該是網(wǎng)絡(luò)的基本能力或?qū)傩?不能稱為性能,但ITU-T建議可以用一些方法進行定量的測量。
2.2 延遲
對于單向延遲測量要求時鐘嚴格同步,這在實際的測量中很難做到,許多測量方案都采用往返延遲,以避開時鐘同步問題。
2.3 丟包率
為了評估網(wǎng)絡(luò)的丟包率,一般采用直接發(fā)送測量包來進行測量。目前評估網(wǎng)絡(luò)丟包率的模型主要有貝努利模型、馬爾可夫模型和隱馬爾可夫模型等等。
2.4 帶寬
帶寬一股分為瓶頸帶寬和可用帶寬。瓶頸帶寬是指當一條路徑(通路)中沒有其他背景流量時,網(wǎng)絡(luò)能夠提供的最大的吞吐量。
2.5 流量參數(shù)
ITU-T提出兩種流量參數(shù)作為參考:一種是以一段時間間隔內(nèi)在測量點上觀測到的所有傳輸成功的IP包數(shù)量除以時間間隔,即包吞吐量;另一種是基于字節(jié)吞吐量:用傳輸成功的IP包中總字節(jié)數(shù)除以時間間隔。
3.測量方法
Internet流量數(shù)據(jù)有三種形式:被動數(shù)據(jù)(指定鏈路數(shù)據(jù))、主動數(shù)據(jù)(端至端數(shù)據(jù))和BGP路由數(shù)據(jù),由此涉及兩種測量方法:被動測量方法和主動測量方法然而,近幾年來,主動測量技術(shù)被網(wǎng)絡(luò)用戶或網(wǎng)絡(luò)研究人員用來分析指定網(wǎng)絡(luò)路徑的流量行為。
3.1 主動測量
主動測量的方法是指主動發(fā)送數(shù)據(jù)包去探測被測量的對象。以被測對象的響應(yīng)作為性能評分的結(jié)果來分析。測量者一般采用模擬現(xiàn)實的流量(如Web Server的請求、FTP下載、DNS反應(yīng)時間等)來測量一個應(yīng)用的性能或者網(wǎng)絡(luò)的性能。由于測量點一般都靠近終究端,所以這種方法能夠代表從監(jiān)測者的角度反映的性能。
3.2 被動測量
被動測量是在網(wǎng)絡(luò)中的一點收集流量信息,如使用路由器或交換機收渠數(shù)據(jù)或者一個獨立的設(shè)備被動地監(jiān)測網(wǎng)絡(luò)鏈路的流量。被動測量可以完全取消附加流量和Heisenberg效應(yīng),這些優(yōu)點使人們更愿意使用被動測量技術(shù)。有些測度使用被動測量獲得相當困難:如決定分縮手縮腳一所經(jīng)過的路由。但被動測量的優(yōu)點使得決定測量之前應(yīng)該首先考慮被動測量。被動測量技術(shù)遇到的另一個重要問題是目前提出的要求確保隱私和安全問題。
3.3 網(wǎng)絡(luò)流量抽樣測量技術(shù)
選擇部分報文,當采樣時間間隔較大時,細微的網(wǎng)絡(luò)行為變化就無法精確探測到。反之,抽樣間隔過小時,又會占用過多的帶寬及需要更大的存儲能力。采樣方法隨采樣策略的不同而不同,如系統(tǒng)采樣或隨機采樣;也隨觸發(fā)采樣事件的不同而不同。如由報文到達時間觸發(fā)(基于時間采樣),由報文在流中所處的位置觸發(fā)(基于數(shù)目采樣)或由報文的內(nèi)容觸發(fā)(基于內(nèi)容采樣)。為了在減少采樣樣本和獲取更精確的流量數(shù)據(jù)之間達到平衡。
4.結(jié)語
【關(guān)鍵詞】網(wǎng)絡(luò)監(jiān)控 流量測量 采集技術(shù) 技術(shù)構(gòu)架 局域管理
伴隨著計算機技術(shù)的飛速發(fā)展，以網(wǎng)絡(luò)連接為主導(dǎo)的科技力量逐漸增強，并形成了多點傳輸、兼容運行的管理機制，視頻、下載、多播等技術(shù)手段日益豐富。然而在網(wǎng)絡(luò)應(yīng)用不斷擴大，線路錯綜、流量范圍不斷復(fù)雜的今天，網(wǎng)絡(luò)連接不流暢、流量堵塞、鏈接速度緩慢、網(wǎng)絡(luò)病毒傳播等現(xiàn)象凸顯出來，影響到我們的正常使用。因此，加強網(wǎng)絡(luò)流量監(jiān)控，合理規(guī)劃流量布置，調(diào)整網(wǎng)絡(luò)運用時差，有效控制網(wǎng)絡(luò)病毒傳播，研發(fā)新型網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)勢在必行。
1 分析計算機網(wǎng)絡(luò)流量監(jiān)控技術(shù)現(xiàn)狀
傳統(tǒng)的網(wǎng)絡(luò)流量監(jiān)控技術(shù)，是建立在某一區(qū)域內(nèi)，點對點的直線傳輸和管理的，它的監(jiān)控原理是：通過控制數(shù)據(jù)端口和輸出端口的IP流量，來檢測系統(tǒng)內(nèi)的流量，分析網(wǎng)絡(luò)資源?；谌藗儗ΜF(xiàn)代網(wǎng)絡(luò)技術(shù)的發(fā)展需求，開發(fā)設(shè)計新型網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)，可高效、快捷的進行局域網(wǎng)絡(luò)管理，調(diào)節(jié)網(wǎng)絡(luò)流量資源，達到快速上網(wǎng)和減少病毒傳播的目的，同時可借鑒傳統(tǒng)流量監(jiān)控技術(shù)，合理設(shè)計局域網(wǎng)絡(luò)監(jiān)控系統(tǒng)。這類設(shè)計應(yīng)用的特點是：通訊流量大、種類繁多、無固定服務(wù)端口、特征變化迅速和可控制管理等。其監(jiān)控系統(tǒng)應(yīng)具有的技術(shù)功能：TCP/IP協(xié)議，建設(shè)網(wǎng)絡(luò)的基礎(chǔ)單元；數(shù)據(jù)采集和流量測量技術(shù)，網(wǎng)絡(luò)監(jiān)控管理的必備條件等。
2 計算機網(wǎng)絡(luò)流量監(jiān)控的設(shè)計與實現(xiàn)
2.1 計算機網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)設(shè)計的技術(shù)構(gòu)架
為滿足人們?nèi)找嬖鲩L的網(wǎng)絡(luò)需求，實現(xiàn)快速、高效的網(wǎng)絡(luò)鏈接，合理調(diào)節(jié)資源配置，有效防范病毒傳播，進行可控的網(wǎng)絡(luò)管理，對局域網(wǎng)絡(luò)流量監(jiān)控進行設(shè)計（如圖1）。由圖可知，局域網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)是由系統(tǒng)管理、流量采集、實時性能監(jiān)控、站點流量管理、P2P流量及分析統(tǒng)計模塊組成，它們相互促進，協(xié)調(diào)管理，共同完成網(wǎng)絡(luò)流量監(jiān)控。
2.2 網(wǎng)絡(luò)流量的測量與采集主要模塊技術(shù)
在網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)中，最為重要的功能模塊：網(wǎng)絡(luò)流量測量與采集技術(shù)，這也是基于Net-Flow網(wǎng)絡(luò)流量監(jiān)控設(shè)計的核心組成部件。網(wǎng)絡(luò)流量測量在其形式上分為主動測量和被動測量兩種方式。所謂的主動測量方式，是指通過向網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)中，放入可探測流量的軟件或數(shù)據(jù)包，通過數(shù)據(jù)反饋或數(shù)據(jù)入庫跟蹤等，得到有效測量流量的一種方式。例如，網(wǎng)絡(luò)中綜合對寬帶信號進行定位和流程測量，具體措施就是通過植入探測流量器，來實現(xiàn)寬帶網(wǎng)絡(luò)的流量配置，它的鏈接方式就是通過主動測量方式進行的。被動測量，就是根據(jù)各個有效站點反饋的數(shù)據(jù)和記錄，進行數(shù)據(jù)分析和統(tǒng)計，從而通過計算等方式得到的間接的流量獲得方式。例如，P2P網(wǎng)絡(luò)流量系統(tǒng)中經(jīng)常通過交換機、路由器或其它監(jiān)測設(shè)備，通過之路數(shù)據(jù)采集，從而得到網(wǎng)絡(luò)流量。被動測量憑借不單獨依附特殊設(shè)備運行、可避免系統(tǒng)的不兼容等特點，略優(yōu)于主動測量方式。
網(wǎng)絡(luò)流量采集技術(shù)，是按照系統(tǒng)所反饋的信息內(nèi)容進行劃分、重組的。一般分為四個類型：第一種實現(xiàn)了直接從一個端口到另一個端口的直線連接，即傳統(tǒng)意義上的IP流量，其中包含了大量的數(shù)據(jù)信息；第二種用戶鏈接網(wǎng)絡(luò)所產(chǎn)生的流量信息，它的采集意義重大，可控制網(wǎng)絡(luò)主要病毒的獲取；第三種各個節(jié)點的網(wǎng)絡(luò)流量，其信息量包括字節(jié)、數(shù)量、容積等，主要采用MRTG技術(shù)進行采集；第四種則是企業(yè)專用的業(yè)務(wù)層流量采集，主要應(yīng)用Sniffer技術(shù)采集整理。
2.3 新型計算機網(wǎng)絡(luò)流量監(jiān)控的實現(xiàn)
基于Net-Flow網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)，主要解決了傳統(tǒng)P2P網(wǎng)絡(luò)流量的端口、IP和通信限制，實現(xiàn)了點到面的綜合流量監(jiān)控，有效防范了外網(wǎng)的技術(shù)漏洞和安全隱患，是目前網(wǎng)絡(luò)系統(tǒng)中應(yīng)用較為廣泛的流量監(jiān)測技術(shù)。無論通過路由器還是交換機連接進入網(wǎng)絡(luò)，最終都是通過流量采集模塊和嚴格的監(jiān)控管理，進行數(shù)據(jù)劃分和測量，其中間環(huán)節(jié)加大了對信息流量的監(jiān)控力度，有效的減少了網(wǎng)絡(luò)病毒傳播，促進了局域網(wǎng)的良性循環(huán)。
首先可通過系統(tǒng)結(jié)構(gòu)運行原理，具體分析數(shù)據(jù)流量的來龍去脈，高效的掌握網(wǎng)絡(luò)鏈接情況，并實時通過數(shù)據(jù)采集，快捷的確定數(shù)據(jù)包內(nèi)容，包括源IP地址、端口信息、終點地址、協(xié)議類型等服務(wù)，來實現(xiàn)具體業(yè)務(wù)類型及傳送方向等。其次，通過Net-Flow網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)，可實施監(jiān)控網(wǎng)絡(luò)資源，如寬帶高峰、低谷時間段，流量占用量，具體下載速度等，通過流量采集和網(wǎng)絡(luò)測量模塊，調(diào)節(jié)網(wǎng)絡(luò)流量運行趨勢，使之更高效、更快捷的提供數(shù)據(jù)反饋信息，強有力的控制網(wǎng)絡(luò)病毒，為合理的使用網(wǎng)絡(luò)資源提供有力的保證。
3 結(jié)束語
綜上所述，基于Net-Flow網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)設(shè)計，實現(xiàn)了局域網(wǎng)的流量鏈接管理，有效防范了外部網(wǎng)絡(luò)的惡意攻擊，對局域網(wǎng)絡(luò)連接帶來了新的突破和發(fā)展。同時網(wǎng)絡(luò)運營商為全面擴寬網(wǎng)絡(luò)業(yè)務(wù)，充分發(fā)揮網(wǎng)絡(luò)流量監(jiān)控方面的資源優(yōu)勢，必須整合網(wǎng)絡(luò)科學技術(shù)，依靠先進的計算機理論，設(shè)計更為專業(yè)、高效的網(wǎng)絡(luò)流量可控系統(tǒng)，綜合提高網(wǎng)絡(luò)運行速度和安全管理能力。
參考文獻
[1]王繼梅，金連普.基于JDBC的網(wǎng)絡(luò)管理系統(tǒng)流量統(tǒng)計研究[J].計算機工程與設(shè)計，2009（8）.
[2]梁鴻，劉芳.基于TCP/IP的網(wǎng)絡(luò)流量監(jiān)控系統(tǒng)模型的研究[J].計算機系統(tǒng)應(yīng)用，2007（6）.
[3]柯棟梁，萬燕.基于SNMP協(xié)議的流量監(jiān)控系統(tǒng)的設(shè)計與實現(xiàn)[J].微計算機信息廣西教育，2009（4）.
作者簡介
趙韜（1982-），男，湖北省鄖縣人。大學本科學歷?，F(xiàn)為湖北省鄖陽師范高等?？茖W校講師。研究方向為計算機網(wǎng)絡(luò)。
結(jié)合校園網(wǎng)絡(luò)實際面臨到的問題,我們應(yīng)借助網(wǎng)絡(luò)應(yīng)用層監(jiān)測技術(shù),使用相關(guān)流控設(shè)備,做好流量管控,既可讓教育公眾雙網(wǎng)運作順暢、有限帶寬資源得到有效應(yīng)用,又可提高網(wǎng)絡(luò)性能。
關(guān)鍵詞:DPI;智能流量管理系統(tǒng);管理策略
Campus Network Application Layer Traffic Monitoring and Flow Control Equipment to Study
TAO Wei-tian
(Network Management Center of Traditional Chinese Medicine in Gansu, Lanzhou 730000, China)
Abstract: With exports of campus network bandwidth increases and new applications development, the traditional port and IP-based traffic management difficult to meet the requirements, and has brought various problems. With quantitative analysis based on network planning and optimization is particularly important and urgent.
With the actual faces to the campus network, we should draw the network application-level monitoring technology, use-related flow control equipment, good flow control, only to allow the smooth operation of the dual network to educate the public, limited bandwidth, the effective application of resources, but also improve the network performance.
Key words: DPI; intelligent traffic management system; management strategy
隨著大學校園上網(wǎng)規(guī)模的增加,BT、P2P、視頻下載等應(yīng)用風行,盡管已經(jīng)多次升級線路帶寬,卻發(fā)現(xiàn)上網(wǎng)還是卡,帶寬還是不夠用。各式病毒攻擊也伴隨而來,更是惱人的問題。使得校園網(wǎng)流量管理變得異常困難,大量帶寬被非核心業(yè)務(wù)占用,而傳統(tǒng)的基于端口和IP的流量管理難以滿足要求;面對眾多的用戶及復(fù)雜多元的網(wǎng)絡(luò)應(yīng)用,給校園網(wǎng)絡(luò)管理帶來很大的威脅,網(wǎng)絡(luò)管理人員經(jīng)常遭遇下列問題:網(wǎng)絡(luò)占用率較高不能查明原因、帶寬不足需優(yōu)化而缺乏統(tǒng)計數(shù)據(jù)、網(wǎng)絡(luò)突然中斷不能查明原因等、希望獲得詳細的網(wǎng)絡(luò)管理報表用來網(wǎng)絡(luò)優(yōu)化或升級需要而沒有現(xiàn)成資料。
針對上述校園網(wǎng)絡(luò)實際面臨到的問題,我認為追根究底是要做好流量管控,使用應(yīng)用層流量分析管理技術(shù)和產(chǎn)品,即可實現(xiàn)這方面的管理效果,這就需要做到:1) 了解網(wǎng)絡(luò)應(yīng)用流量監(jiān)測技術(shù);2) 合理的使用流量管理產(chǎn)品。下面,分別就這兩方面做以闡述:
1 網(wǎng)絡(luò)應(yīng)用流量監(jiān)測原理及辦法
我們知道,傳統(tǒng)的流量和帶寬管理是基于OSI L2～L4層,通過IP包頭的五元組(源地址、目的地址、源端口、目的端口以及協(xié)議類型)信息進行分析,通常我們稱此為“普通報文檢測”?！捌胀▓笪臋z測”僅分析IP包的4層以下的內(nèi)容,通過端口號來識別應(yīng)用類型。而當前網(wǎng)絡(luò)上的一些應(yīng)用會采用隱藏或假冒端口號的方式躲避檢測和監(jiān)管,造成仿冒合法報文的數(shù)據(jù)流侵蝕著網(wǎng)絡(luò)(例如P2P下載軟件大多采用動態(tài)協(xié)商端口機制),此時采用L2～L4層的傳統(tǒng)檢測方法就無能為力了。
為了識別諸如基于開放端口、隨機端口甚至采用加密方式等進行傳輸?shù)膽?yīng)用類型,網(wǎng)絡(luò)流量應(yīng)用識別基本技術(shù)DPI、DFI技術(shù)應(yīng)運而生。也有文獻稱之為業(yè)務(wù)識別技術(shù)。
1.1網(wǎng)絡(luò)流量應(yīng)用識別基本技術(shù)
1.1.1 DPI
DPI全稱為“Deep Packet Inspection”,稱為“深度包檢測”。DPI技術(shù)在分析包頭的基礎(chǔ)上,增加了對應(yīng)用層的分析,是一種基于應(yīng)用層的流量檢測和控制技術(shù)。當IP數(shù)據(jù)包、TCP或UDP數(shù)據(jù)流經(jīng)過基于DPI技術(shù)的流量管理系統(tǒng)時,該系統(tǒng)通過深入讀取IP包載荷的內(nèi)容,來對OSI 7層協(xié)議中的應(yīng)用層信息進行重組,從而得到整個應(yīng)用程序的內(nèi)容,然后按照系統(tǒng)定義的管理策略對流量進行整形操作。
DPI技術(shù)通常采用如下的數(shù)據(jù)包分析方法:
傳輸層端口分析。許多應(yīng)用使用默認的傳輸層端口號,例如HTTP協(xié)議使用80端口。
特征字匹配分析。一些應(yīng)用在應(yīng)用層協(xié)議頭,或者應(yīng)用層負荷中的特定位置中包含特征字段,通過特征字段的識別實現(xiàn)數(shù)據(jù)包檢查、監(jiān)控和分析。
通信交互過程分析。對多個會話的事務(wù)交互過程進行監(jiān)控分析,包括包長度、發(fā)送的包數(shù)目等,實現(xiàn)對網(wǎng)絡(luò)業(yè)務(wù)的檢查、監(jiān)控和分析。
DPI技術(shù)是達到應(yīng)用層流控目標的基本方法,通過DPI技術(shù),把流細分為對應(yīng)具體的應(yīng)用流,在分離流量的基礎(chǔ)上,定義帶寬通道,從而使網(wǎng)絡(luò)中的流量根據(jù)應(yīng)用各行其道,優(yōu)化寬帶服務(wù),提高網(wǎng)絡(luò)運行效率和服務(wù)品質(zhì),保障關(guān)鍵應(yīng)用,獲得更好的用戶體驗。
DPI實現(xiàn)應(yīng)用粒度控制的流程是:識別分析控制報告,其中識別準確度是關(guān)鍵,是評估流控產(chǎn)品的重要指標。
1.1.2 DFI
DFI(Deep/Dynamic Flow Inspection,深度/動態(tài)流檢測)與DPI進行應(yīng)用層的載荷匹配不同,采用的是一種基于流量行為的應(yīng)用識別技術(shù),即不同的應(yīng)用類型體現(xiàn)在會話連接或數(shù)據(jù)流上的狀態(tài)各有不同。DFI更關(guān)注于網(wǎng)絡(luò)流量特征的通用性,因此,DFI技術(shù)并不對網(wǎng)絡(luò)流量進行深度的報文檢測,而僅通過對網(wǎng)絡(luò)流量的狀態(tài)、網(wǎng)絡(luò)層和傳輸層信息、業(yè)務(wù)流持續(xù)時間、平均流速率、字節(jié)長度分布等參數(shù)的統(tǒng)計分析,來獲取業(yè)務(wù)類型、業(yè)務(wù)狀態(tài)。
2 網(wǎng)絡(luò)流量管理產(chǎn)品
2.1 智能管理
早期的網(wǎng)絡(luò)流量管理方式是在路由器、防火墻或局域網(wǎng)交換機上使用簡單的帶寬管理或QOS來實現(xiàn)(至今一些單位的簡易流控需求仍沿用這種方式),但這種控制方式需要人為干涉,操作復(fù)雜,無法做到智能管理,所以不能滿足網(wǎng)絡(luò)管理中復(fù)雜策略的精細程度和靈活程度需要。
智能流量管理系統(tǒng)是一款專業(yè)的L7應(yīng)用層流量管理產(chǎn)品,適用于大中型企業(yè)、校園網(wǎng)、城域網(wǎng)等流量大、應(yīng)用復(fù)雜的網(wǎng)絡(luò)化境;通過監(jiān)控網(wǎng)絡(luò)流量,分析流量行為,設(shè)置流控策略,分時段、按用戶、按應(yīng)用實現(xiàn)流量控制和帶寬保障,全面提升帶寬利用價值。智能流量管理系統(tǒng)融合了DPI和DFI兩種技術(shù),具有四個顯著特征。
1) 精確而廣泛的應(yīng)用識別能力:對應(yīng)用的識別是進行流量控制的基礎(chǔ)。智能流量管理系統(tǒng)應(yīng)用識別庫能覆蓋各種主流應(yīng)用,特別是結(jié)合國內(nèi)網(wǎng)絡(luò)應(yīng)用的實際情況,提供對迅雷、QQ等本土應(yīng)用的識別。另外,智能流量管理系統(tǒng)能夠?qū)χT如QQ這種具有即時消息、文件傳輸、音頻視頻、游戲等多種子協(xié)議的網(wǎng)絡(luò)應(yīng)用,提供精細化的子應(yīng)用識別。
2) 優(yōu)異的產(chǎn)品性能及安全性保障:智能流量管理系統(tǒng)對用戶網(wǎng)絡(luò)中的所有流量進行處理,能夠承受巨大的流量壓力,特別是在配置復(fù)雜策略情況下,不會造成設(shè)備性能的下降。另外,設(shè)備是以串接方式接入用戶網(wǎng)絡(luò),具有良好的安全性,在設(shè)備出現(xiàn)運行斷電或異常情況時,能夠保障用戶業(yè)務(wù)的暢通。
3) 強大的控制能力:智能流量管理系統(tǒng)能夠根據(jù)用戶的實際需求,提供強大而完善的控制手段。通過不同時間段、不同用戶、不同網(wǎng)絡(luò)應(yīng)用、不同控制動作等條件,實現(xiàn)不同情景下的策略配置。我們知道任何網(wǎng)絡(luò)流量的使用都和人的因素密不可分,智能流量管理系統(tǒng)能夠?qū)τ脩暨M行靈活的分類管理,從而使控制策略更加符合實際需要。
4) 清晰而全面的信息查詢:智能流量管理系統(tǒng)不僅能實現(xiàn)對網(wǎng)絡(luò)流量的控制,而且能幫助網(wǎng)絡(luò)管理者對異常問題進行定位,以及通過網(wǎng)絡(luò)應(yīng)用現(xiàn)狀的分析實現(xiàn)對網(wǎng)絡(luò)的優(yōu)化。智能流量管理系統(tǒng)通過柱狀圖、餅狀圖、走勢圖等圖表,以及從不同的分析角度,可向用戶提供清晰而全面的實時信息查詢、歷史日志查詢、以及自動生成報表等功能。
2.2 國內(nèi)外產(chǎn)品介紹
國外廠商,以Cisco SCE、Allot、Packteer、Sendvine、 ACENET、Maxnet。產(chǎn)品特性能好,解決方案和產(chǎn)品成熟,均有用戶管理系統(tǒng)(可能為動態(tài)IP環(huán)境中使用,將用戶帳號和流量策略結(jié)合來控制流量),除ACENET外,其主流產(chǎn)品功能相對單一,但非常專業(yè)。
國內(nèi)廠商中,比較優(yōu)秀的有暢訊信通的QQSG、南京信風、寬廣、華為SIG、金御等,國內(nèi)產(chǎn)品適合國情,國內(nèi)應(yīng)用的識別率相對國外產(chǎn)品高,存在問題是產(chǎn)品性能宣傳強,但實際使用,尤其是在策略較多情況下性能差,個別產(chǎn)品有POS接口(適合部分國內(nèi)運營商),價格較國外廠商有較大優(yōu)勢,功能較多,但在流量管理領(lǐng)域,屬于發(fā)展期,不夠成熟。
2.3 設(shè)備的選擇
2.3.1 硬件技術(shù)
流量管理設(shè)備硬件技術(shù)主要有三種:Intel X86架構(gòu)、ASIC技術(shù)和NP技術(shù),由于X86架構(gòu)處理速度相對較慢,單個芯片的可擴展性較差,所以大部分廠家的低端產(chǎn)品采用X86架構(gòu),高端產(chǎn)品采用ASIC或NP技術(shù),以適用于不同的網(wǎng)絡(luò)環(huán)境需求。
2.3.2 工作模式
1) 路由模式:通過網(wǎng)關(guān)模式串接在用戶網(wǎng)絡(luò)鏈路中,所有流量都通過網(wǎng)關(guān)處理,對內(nèi)網(wǎng)用戶上網(wǎng)行為和數(shù)據(jù)包實施控制、攔截、流量管理等功能。若將設(shè)備作為Internet 出口網(wǎng)關(guān),設(shè)備的防火墻功能保障組織網(wǎng)絡(luò)安全,NAT功能內(nèi)網(wǎng)用戶上網(wǎng),實現(xiàn)基本的路由功能等。
2) 網(wǎng)橋模式:同樣串接在用戶網(wǎng)絡(luò)鏈路中,如同連接在出口網(wǎng)關(guān)和內(nèi)網(wǎng)交換機之間的“智能網(wǎng)線”,對流經(jīng)流控設(shè)備的所有數(shù)據(jù)流進行控制、攔截、流量管理等操作。網(wǎng)橋模式主要適用于不希望更改網(wǎng)絡(luò)結(jié)構(gòu)、路由配置、IP 配置的用戶。
3) 旁路模式:即在出換機中配置鏡像端口,將流控設(shè)備的廣域網(wǎng)口同鏡像端口相連,實現(xiàn)對內(nèi)網(wǎng)數(shù)據(jù)包的監(jiān)聽。
采用旁路模式部署的流控設(shè)備,將與交換機的鏡像端口相連,部署實施簡單,完全不影響原有的網(wǎng)絡(luò)結(jié)構(gòu),降低了網(wǎng)絡(luò)單點故障的發(fā)生概率。
2.3.3 性能要求
1) 應(yīng)用協(xié)議的識別與分類(種類和準確性),流控策略的普適性及長效性;
有些通過應(yīng)用層特征碼來控制P2P的流控策略,如果不能及時更新特征碼或特征碼變得不可知,就可能導(dǎo)致流控失敗,一個近期的例子:BT通訊協(xié)議加密及迅雷通訊協(xié)議發(fā)生變化導(dǎo)致專門的P2P流控設(shè)備失效。好的流控設(shè)備不依賴于應(yīng)用的特征碼,因此可以經(jīng)得起時間及應(yīng)用軟件協(xié)議變化的考驗。
2) 流控策略的全面性
普通設(shè)備的只對P2P應(yīng)用做控制,好的設(shè)備對所有流量的帶寬、會話數(shù)、總流量和應(yīng)用做控制。由于流量的多樣性,單靠一兩種策略是不能管理好的,必須實行全面的流控策略才能達到流量管理的目的。
3) 看監(jiān)控對象及流控策略的精細度
好的設(shè)備既可以監(jiān)控出口網(wǎng)關(guān)處的流量又可以監(jiān)控來源網(wǎng)絡(luò)的流量分布;
普通設(shè)備的控制精度只能達到IP一級或網(wǎng)關(guān)一級,好的設(shè)備可以對每一源IP的不同應(yīng)用分別做帶寬及會話數(shù)的控制,而且只有這樣才能保障關(guān)鍵應(yīng)用及其它應(yīng)用的服務(wù)質(zhì)量以及相同等級用戶上網(wǎng)體驗的一致性。
4) 看流量數(shù)據(jù)存儲及處理方式
好的設(shè)備可以將流量數(shù)據(jù)輸出到專門的流量分析工作站,將流量存儲、分析、統(tǒng)計、查詢功能和流量捕捉功能分開,保證了流量分析設(shè)備的運行效率和流量數(shù)據(jù)存儲的可持續(xù)性。
5) 應(yīng)盡可能使用性能可靠、管理方便、特別是在有故障時能夠自動旁路的設(shè)備,避免故障點的出現(xiàn)。
2.4 設(shè)備優(yōu)缺點
流控設(shè)備不是萬能的,還要了解其缺點。
首先,因為它的工作原理和防病毒一樣屬于事后起作用,所以其優(yōu)點是精準,其缺點是:1) 總有部分(10～30%)流量不可識別,例如IP碎片、加密流量等;2) 性能會持續(xù)下降,當特征碼越來越多時,性能就會越來越低,這種趨勢發(fā)展到一定程度就會使流控設(shè)備成為網(wǎng)絡(luò)中新的性能瓶頸;3) 由于要頻繁更新特征碼,因此一、設(shè)備后期維護難度大,總體擁有成本高;二、對廠家的依賴程度高,廠家停產(chǎn)、倒閉等不可抗力因素使得購買其產(chǎn)品成為一種賭博行為。其次,要區(qū)別對待基于應(yīng)用層的帶寬分析技術(shù)和控制技術(shù),確定有未知流量的存在對于7層帶寬分析技術(shù)來說是一種間接的成果,但是對于基于其上的帶寬控制技術(shù)來說就是現(xiàn)實的噩夢,因為它要先識別再做控制,所以這部分流量永遠無法得到有效的控制,當某種未知流量短期內(nèi)突然增大時,流控措施就會馬上失效,例如,08年新版迅雷的快速普及就導(dǎo)致了不少流控設(shè)備失效,特別是一些國外的設(shè)備。
3 總結(jié)
綜上所述,只有做到網(wǎng)絡(luò)應(yīng)用流量監(jiān)測技術(shù)和網(wǎng)絡(luò)流量管理設(shè)備的深入了解,才能針對校園網(wǎng)所面臨的問題,選擇好適合自己需要的網(wǎng)絡(luò)流量管理設(shè)備,做到“心中有數(shù)、有的放矢”。
參考文獻:
[1] 聶瑞華.基于DPI技術(shù)的校園網(wǎng)絡(luò)帶寬管理[J].計算機技術(shù)與發(fā)展,2009(4).
[2] 馬科.業(yè)務(wù)識別與管理系統(tǒng)和網(wǎng)絡(luò)流量的管理[J].現(xiàn)代電信科技,2008(4).
關(guān)鍵詞 網(wǎng)絡(luò)監(jiān)測 Cacti 系統(tǒng)研究
中圖分類號TP393 文獻標識碼：A
1 課題背景
近年來，隨著計算機網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，信息網(wǎng)絡(luò)越來越多地融入到人們的工作、學習和生活中，網(wǎng)絡(luò)管理也變得越來越重要。作為網(wǎng)絡(luò)管理人員使用傳統(tǒng)的網(wǎng)絡(luò)管理，由于缺少有效的網(wǎng)絡(luò)監(jiān)測手段，工作程序較為被動。為解決這一問題，我們應(yīng)開發(fā)一套實時、動態(tài)監(jiān)測并詳細記錄全網(wǎng)設(shè)備運行狀況、鏈路狀況、流量狀況等信息，以直觀的、圖形化方式實時反映網(wǎng)絡(luò)運行的監(jiān)測系統(tǒng)。此系統(tǒng)應(yīng)及時發(fā)現(xiàn)問題，對潛在隱患實時向管理員進行報警，使網(wǎng)絡(luò)管理由人工轉(zhuǎn)為智能、由被動轉(zhuǎn)為主動，幫助網(wǎng)絡(luò)管理員提高網(wǎng)絡(luò)管理和運行的服務(wù)質(zhì)量。
2 網(wǎng)絡(luò)監(jiān)測概述
網(wǎng)絡(luò)監(jiān)測軟件可以提供給管理員當前的網(wǎng)絡(luò)狀態(tài)、網(wǎng)絡(luò)負載和網(wǎng)絡(luò)設(shè)備的工作狀態(tài)等信息。這些監(jiān)測軟件大多來自于軟件開發(fā)公司、個人和非盈利機構(gòu)。價格從免費的開源軟件到收取高額費用的商業(yè)軟件不等，一個高效的網(wǎng)絡(luò)監(jiān)測軟件也包括網(wǎng)絡(luò)故障的報警機制，一旦監(jiān)測到網(wǎng)絡(luò)故障，監(jiān)測軟件會利用多種途徑來通知網(wǎng)絡(luò)管理員。另外，高效的監(jiān)測軟件應(yīng)該有獨立運行機制，不需要在每個被監(jiān)測設(shè)備上都安裝客戶端。
3 Cacti 概述
Cacti 是一個基于 PHP，SNMP，MySQL 和 RRDTool 開發(fā)的開源網(wǎng)絡(luò)流量監(jiān)測圖形分析軟件，它可以實現(xiàn)對當前網(wǎng)絡(luò)狀態(tài)的圖形化顯示、故障診斷、指定每個用戶查看所對應(yīng)的樹狀結(jié)構(gòu)。Cacti 的開放式系統(tǒng)框架 PIA 提供了監(jiān)測系統(tǒng)的所有基礎(chǔ)部件和函數(shù)組，自身不但具有豐富的插件，第三方的插件如Weathtermap 都可以十分方便地嵌入到Cacti 平臺中，使用者可以根據(jù)自身需求定制和安裝相應(yīng)的插件。Cacti 通過使用NET-SNMP 程序中的 snmpget 和 snmpgetnext 命令來進行數(shù)據(jù)的獲取，通過使用 RRDTool來進行數(shù)據(jù)存取、更新、繪制圖形，所采集的數(shù)據(jù)可以重復(fù)利用，并且可以定義任意時間段制圖。
Cacti 通過 snmpget 命令采集數(shù)據(jù)，利用RRDTool 來制圖，MySQL 數(shù)據(jù)庫中存放了RRDTool 繪圖時所需要的所有信息，Cacti 的操作界面簡潔直觀，用戶不需要掌握RRDTool 的復(fù)雜數(shù)據(jù)和命令的情況下就可以輕易繪制出所需要的圖形。
4 Nagios 概述
隨著計算機網(wǎng)絡(luò)規(guī)模的不斷發(fā)展，網(wǎng)絡(luò)內(nèi)的計算機主機和網(wǎng)絡(luò)設(shè)備也不斷增加，因此發(fā)生網(wǎng)絡(luò)故障的概率也不斷增加，這時就需要一款良好的監(jiān)測和管理措施，當網(wǎng)絡(luò)設(shè)備發(fā)生故障時可以在第一時間通知給網(wǎng)絡(luò)管理者，做到故障的及時發(fā)現(xiàn)和排除。Nagios是一款免費開源的網(wǎng)絡(luò)監(jiān)測軟件，其能夠有效監(jiān)測 Windows 和 Linux 主機的狀態(tài)，可以根據(jù)當前的網(wǎng)絡(luò)拓撲結(jié)構(gòu)將所有的網(wǎng)絡(luò)設(shè)備如交換機、路由器和打印機等納入到其監(jiān)測范圍之內(nèi)。當系統(tǒng)或服務(wù)的狀態(tài)發(fā)生異常時會及時通過郵件或短信的形式通知給網(wǎng)絡(luò)管理員，在所有狀態(tài)都恢復(fù)后會再一次發(fā)出通知，為故障的排除贏時間，也因此提高了網(wǎng)絡(luò)的管理效率。
5 Cacti 與 Nagios 整合
Nagios 的監(jiān)測服務(wù)器的運行狀態(tài)和報警功能十分強大，但對像流量等這種持續(xù)數(shù)據(jù)的呈現(xiàn)能力較弱；而 Cacti 比較側(cè)重于對直觀數(shù)據(jù)的監(jiān)控并成生圖形，用來監(jiān)測網(wǎng)絡(luò)流量、CPU 和內(nèi)存利用率等最為合適。比較兩個軟件，Cacti 側(cè)重于監(jiān)測持續(xù)的數(shù)據(jù)信息如網(wǎng)絡(luò)設(shè)備的流量負載并成生圖形，但在故障分析和報機制方面有待完善，而 Nagios 側(cè)重于監(jiān)測網(wǎng)絡(luò)服務(wù)和報警，而在繪制圖形方面遜色于 Cacti，通過兩者的結(jié)合可以更有效的管理網(wǎng)絡(luò)。Cacti 和 Nagios 的整合是通過NDOUtils 插件來中轉(zhuǎn)數(shù)據(jù)的，NDOUtils 負責將Nagios 所采集的數(shù)據(jù)存放在 MySQL 數(shù)據(jù)庫中，而 Cacti 的 NPC 插件負責從 MySQL 數(shù)據(jù)庫中讀取此數(shù)據(jù)，并顯示 Nagios 的監(jiān)控信息。
6系統(tǒng)體系結(jié)構(gòu)設(shè)計
本系統(tǒng)是采用 B/S 模式，系統(tǒng)由要由 Cacti 模塊、Nagios 模塊、整合模塊組成；其中 Cacti 模塊負責網(wǎng)絡(luò)設(shè)備如交換機/路由器的運行狀態(tài)和流量監(jiān)測、網(wǎng)絡(luò)氣象圖、網(wǎng)絡(luò)設(shè)備的溫度檢測等；Nagios 負責對服務(wù)、協(xié)議的運行狀態(tài)進行檢測和異常報警等；整合模塊是通過安裝 NPC 和 ndoutils 插件將Nagios 的數(shù)據(jù)導(dǎo)入 Cacti 數(shù)據(jù)庫中，并由Cacti 以圖形的方式顯示給用戶。
參考文獻
[1] 馬安龍，趙勁松.基于 MRTG、RRDTOOL 的校園網(wǎng)絡(luò)流量監(jiān)測系統(tǒng)[J].連云港職業(yè)技術(shù)學院學報，2007.
［關(guān)鍵詞］僵尸網(wǎng)絡(luò) P2P 檢測
一、緒論
1.課題背景和目的
僵尸網(wǎng)絡(luò)(botnet)是攻擊者出于惡意目的傳播的僵尸程序（bot）來控制大量主機，并通過一對多的命令與控制信道所組成的網(wǎng)絡(luò)。隨著網(wǎng)絡(luò)系統(tǒng)應(yīng)用及復(fù)雜性的增加，僵尸網(wǎng)絡(luò)成為網(wǎng)絡(luò)系統(tǒng)安全的重要威脅。Symantec公司2006年監(jiān)測數(shù)據(jù)表明，中國大陸被Botnet控制的主機數(shù)占全世界總數(shù)的比例從上半年的20％增長到下半年的26％，已超過美國，成為最大的僵尸網(wǎng)絡(luò)受害國，但國內(nèi)對Botnet的關(guān)注和研究工作還不夠全面。作為一種日趨嚴重的因特網(wǎng)安全威脅，Botnet己成為計算機安全領(lǐng)域研究者所的關(guān)注熱點。Botnet成為計算機網(wǎng)絡(luò)對抗研究的首要課題，預(yù)示著計算機網(wǎng)絡(luò)威脅新的發(fā)展趨勢。
2.國內(nèi)研究現(xiàn)狀
盡管僵尸網(wǎng)絡(luò)在很早之前就已經(jīng)出現(xiàn)了，但直到近幾年，隨著僵尸網(wǎng)絡(luò)的危害越來越大，對僵尸網(wǎng)絡(luò)檢測技術(shù)的研究才被各方面所關(guān)注。國際上的一些蜜網(wǎng)組織，如法國蜜網(wǎng)項目組織Richard Clarke等，最早對僵尸網(wǎng)絡(luò)進行了研究，他們利用蜜網(wǎng)分析技術(shù)對僵尸網(wǎng)絡(luò)的活動進行了深入的跟蹤和分析。
早期由于IRC僵尸網(wǎng)絡(luò)占據(jù)著主導(dǎo)地位，所以對僵尸網(wǎng)絡(luò)的大多數(shù)研究都是在基于IRC僵尸網(wǎng)絡(luò)上的。而IRC僵尸網(wǎng)絡(luò)的檢測基本上無一例外都致力于研究其C&C（Command & Control）信道。2003年P(guān)uri在“Bobs $ Botnet:An Overview”一文中主要針對當時的IRC僵尸網(wǎng)絡(luò)進行了比較全面系統(tǒng)的概述。
近年來隨著計算機網(wǎng)絡(luò)的高速發(fā)展，出現(xiàn)了許多新型的僵尸網(wǎng)絡(luò)，如基于IM、HTTP等不同協(xié)議的僵尸網(wǎng)絡(luò)，并出現(xiàn)了采用樹型結(jié)構(gòu)、隨機網(wǎng)絡(luò)拓撲結(jié)構(gòu)以及具有部分P2P特征的僵尸網(wǎng)絡(luò)。從傳統(tǒng)的基于IRC網(wǎng)絡(luò)的僵尸網(wǎng)絡(luò)，逐步演變成基于P2P網(wǎng)絡(luò)的僵尸網(wǎng)絡(luò)，大大增加了其生存性和隱蔽性，同時也使得檢測此類僵尸網(wǎng)絡(luò)變得更加困難。P2P僵尸網(wǎng)絡(luò)是利用P2P技術(shù)來傳播或控制僵尸程序的網(wǎng)絡(luò)。因為P2P僵尸網(wǎng)絡(luò)最近幾年才出現(xiàn)，所以對于P2P僵尸網(wǎng)絡(luò)的研究就相對來說比較少。Helsinki科技大學的Antti Nummipuro提出了基于主機的P2P僵尸網(wǎng)絡(luò)檢測方法，但是該方法與其他惡意代碼檢測技術(shù)類似，并沒有新穎或創(chuàng)新之處。阿姆斯特丹大學的Reinier Schoof和Ralph Koning等人提出P2P僵尸網(wǎng)絡(luò)的檢測主要方法是對P2P對等端上的檢測。
從2005年開始，國內(nèi)才逐步對僵尸網(wǎng)絡(luò)進行研究。北京大學計算機科學技術(shù)研究所在2005年1月開始實施用蜜網(wǎng)跟蹤僵尸網(wǎng)絡(luò)的項目。CNCERT惡意代碼研究項目組在2005年7月開始對僵尸網(wǎng)絡(luò)進行研究。
二、基于P2P僵尸網(wǎng)絡(luò)的原理與分析
1.基于P2P僵尸網(wǎng)絡(luò)的結(jié)構(gòu)
僵尸控制者（Botmaster）、僵尸主機（Bot）、命令與控制（Command and Control，C&C）網(wǎng)絡(luò)共同組成了僵尸網(wǎng)絡(luò)（Botnet）。僵尸控制者是控制整個僵尸網(wǎng)絡(luò)的攻擊者；命令與控制網(wǎng)絡(luò)一般有一個或多個命令與控制(C&C)服務(wù)器，僵尸控制者通過控制這些服務(wù)器來管理和控制僵尸主機；僵尸主機是攻擊者通過C&C服務(wù)器控制的主機；僵尸主機從命令與控制網(wǎng)絡(luò)獲得命令，對網(wǎng)絡(luò)上的主機進行攻擊和欺騙活動?；赑2P僵尸網(wǎng)絡(luò)的結(jié)構(gòu)如圖1所示。
2.基于P2P僵尸網(wǎng)絡(luò)的傳播與控制
隨著P2P應(yīng)用的日漸普及，僵尸控制者將僵尸程序偽裝成正常的文件或隱藏于正常的文件中，通過用戶下載安裝這些文件來實現(xiàn)Bot感染、傳播。P2P技術(shù)主要被用來控制僵尸主機傳播僵尸程序。
P2P網(wǎng)絡(luò)中所有節(jié)點是對等的，每一個節(jié)點既是客戶端又是服務(wù)器，因此，基于P2P的Botnet控制與IRC Botnet有很大的不同。在后者中，攻擊者利用IRC服務(wù)器作為C&C務(wù)器控制僵尸計算機，我們可以通過在IRC服務(wù)器上監(jiān)測Botnet的行為特征檢測到并進一步將其清除；而在前者中，攻擊者只需加入P2P網(wǎng)絡(luò)向其他對等節(jié)點發(fā)出控制命令即可。因此，基于P2P控制的Botnet通信系統(tǒng)很難被徹底毀壞，即使有一些Bot被查殺掉，也不會影響到Botnet的生存，故其具有不存在單點失效的特點。
三、僵尸網(wǎng)絡(luò)的檢測
早期對Botnet檢測的研究主要集中在如何檢測和跟蹤到單個的僵尸主機，但是隨著Botnet采用協(xié)議和結(jié)構(gòu)的復(fù)雜性，特別是P2P協(xié)議廣泛應(yīng)用之后，大大增加了Botnet的隱藏性和破壞性，需要綜合研究Botnet的傳播、行為、拓撲結(jié)構(gòu)……，對Botnet的檢測技術(shù)也在逐步的完善。下面對基于主機特征的檢測和基于網(wǎng)絡(luò)流量的檢測為例，敘述Botnet的檢測方法。
1.基于主機特征的檢測
基于主機特征的檢測主要是指在一個負責監(jiān)控的主機內(nèi)部部署傳感器用來監(jiān)控和記錄相關(guān)的系統(tǒng)事件，用來對監(jiān)測僵尸程序的可疑活動行為。當存在僵尸網(wǎng)絡(luò)時攻擊時，監(jiān)控主機就會產(chǎn)生一些典型的異常行為，主要表現(xiàn)為添加注冊表自啟動項、竊取敏感信息、篡改重要文件、遠程訪問等，這種檢測方法類似于惡意代碼的檢測方法。目前基于主機特征的僵尸網(wǎng)絡(luò)監(jiān)測技術(shù)主要采用是“蜜罐”技術(shù)和虛擬機技術(shù)。
2.基于網(wǎng)絡(luò)流量檢測的
基于流量檢測方法就是通過分析P2P僵尸網(wǎng)絡(luò)通信行為表現(xiàn)出來的特征及變化規(guī)律并利用這些流特征來判斷網(wǎng)絡(luò)流量中是否存在P2P僵尸網(wǎng)絡(luò)流量，為檢測P2P僵尸網(wǎng)絡(luò)提供參考依據(jù)。
（1）基于連接成功率的檢查方法
在P2P僵尸網(wǎng)絡(luò)中，每個Peer從開始就試圖和一些感染的主機建立連接，但由于P2P網(wǎng)絡(luò)的不穩(wěn)定性、連接的目的IP的不定性，Peer鏈接的成功率并不高。對于這種網(wǎng)絡(luò)行為，我們可以用TCP連接成功率來描述。據(jù)試驗研究表明：絕大部分P2P協(xié)議，都使用TCP傳輸協(xié)議來實施第一步建立聯(lián)系的行為?；赥CP連接成功率的P2P僵尸網(wǎng)絡(luò)節(jié)點識別算法的形式化描述如下：
RC = b / a
其中，RC 為TCP連接成功率，a為節(jié)點發(fā)送的SYN數(shù)據(jù)包中不同目的IP地址數(shù)；b為收到的SYN/ACK數(shù)據(jù)包中不同源IP地址數(shù)。
通過試驗表明：低于正常P2P節(jié)點的RC值[0.2,0.4]，就是僵尸網(wǎng)絡(luò)。
（2）基于流量變化率檢測方法
在網(wǎng)絡(luò)流量中，正常P2P網(wǎng)絡(luò)與僵尸P2P網(wǎng)絡(luò)的最大區(qū)別在于：后者有大量數(shù)據(jù)傳輸。如果一個Peer在相對較長的時間內(nèi)出現(xiàn)大量數(shù)據(jù)傳輸，也就是網(wǎng)絡(luò)流量異常的現(xiàn)象，則可判斷該Peer是疑似僵尸網(wǎng)絡(luò)節(jié)點。
參考文獻：
[1]國家計算機網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心.CNCERT/CC2006年網(wǎng)絡(luò)安全工作報告[DB/OL].省略.cn/UserFiles/ File/2006CNCERTCCAnnual Report_Chinese.pdf,2007,2,15.
[2]Enterprise firewall[EB/OL]. /.2009,10,02.
[3] A.Nummipuro.Delecting P2P-Controlled Bots on the Host.In Seminar on Network Security,2007,10.
[4]R.Schoof.R.Koning.Detectingpeer-to-peer Botnets.staff.science.uva.nl/delaat/sne-2006-2007
[5]張琛 王亮 熊文柱：P2P僵尸網(wǎng)絡(luò)的檢測技術(shù).[J]計算機應(yīng)用.2010
根據(jù)Android的特性及安全現(xiàn)狀，可從功能性需求和非功能性需求對安全軟件進行分析。就軟件功能需求來看，主要包括查看網(wǎng)絡(luò)流量信息，其需求時序為：用戶點擊進入檢測界面獲取系統(tǒng)應(yīng)用信息調(diào)用數(shù)據(jù)庫查詢流量信息并返回處理數(shù)據(jù)并將其展現(xiàn)在界面上反饋給用戶；檢測和處理惡意軟件，其需求時序為：點擊進入檢測界面將檢測結(jié)果傳送給處理模塊存入數(shù)據(jù)庫并返回給用戶；控制軟件權(quán)限細粒度，其需求時序為：在用戶進入管理界面前初始化配置用戶進入管理界面后獲取配置信息對數(shù)據(jù)信息進行處理并顯示給用戶重新配置權(quán)限并將信息存儲到數(shù)據(jù)庫將更新后的數(shù)據(jù)顯示給用戶界面；短信和來電過濾設(shè)置，其需求時序為：根據(jù)短信或來電數(shù)據(jù)初始化數(shù)據(jù)庫過濾短信和來電號碼將攔截下來的信息存入日志數(shù)據(jù)庫并將過濾結(jié)果反饋給用戶。就軟件非功能需求來看，主要包括性能需求、數(shù)據(jù)庫需求和外部接口需求等內(nèi)容，在此不作過多列述。
2安全軟件設(shè)計及實現(xiàn)
2.1惡意軟件檢測模塊設(shè)計及功能實現(xiàn)
惡意軟件檢測和處理功能需要網(wǎng)絡(luò)流量信息監(jiān)測、異常識別、響應(yīng)處理以及關(guān)鍵信息存儲等模塊的相互配合來實現(xiàn)。其一，網(wǎng)絡(luò)流量信息監(jiān)測模塊的設(shè)計，為提高流量信息捕獲效率，將該模塊放置于Linux內(nèi)核中，采用LKM開發(fā)模式，開發(fā)流程如下：模塊初始化（鉤子函數(shù)注冊和初始化）關(guān)閉模塊（鉤子函數(shù)注銷及模塊卸載）編譯內(nèi)核模塊；其二，異常識別模塊的設(shè)計，根據(jù)Android移動終端的特點以及惡意軟件對該系統(tǒng)流量信息的影響情況，采用SVM分類算法，通過構(gòu)造特征向量，提取進程ID、數(shù)據(jù)包發(fā)送/接收時間、上/下行流量、源/目的IP地址等特征來反映系統(tǒng)網(wǎng)絡(luò)流量的特征，再通過Netlink方式從監(jiān)測模塊中獲取待識別數(shù)據(jù)，改進交叉編譯后移植給Android平臺；其三是響應(yīng)處理模塊設(shè)計，根據(jù)安全策略對被檢測軟件進行相應(yīng)處理，主要包括對訪問通信錄、惡意軟件聯(lián)網(wǎng)、發(fā)送和讀取短信等權(quán)限進行控制，將可疑信息上傳云儲存服務(wù)器供監(jiān)測系統(tǒng)分析使用。
2.2深度短信和來電攔截模塊設(shè)計及功能實現(xiàn)
深度短信和來電攔截功能需要短信和來電過濾與關(guān)鍵信息存儲模塊的相互配合來實現(xiàn)。其一，短信和來電過濾模塊的設(shè)計，該模塊在Android的Framework層進行開發(fā)，通過修改系統(tǒng)源碼來添加短信和來電攔截功能，短信和來電過濾模塊的函數(shù)調(diào)用流程如下：初始化時序通知函數(shù)調(diào)用時序監(jiān)聽注冊函數(shù)時序過濾處理函數(shù)調(diào)用時序；其二，關(guān)鍵信息存儲模塊的設(shè)計，按照設(shè)計的數(shù)據(jù)庫表來創(chuàng)建數(shù)據(jù)庫，主要包括模型數(shù)據(jù)表、訓練數(shù)據(jù)表、關(guān)鍵信息表、權(quán)限管理表、操作日志表、過濾表、信任名單表、模塊設(shè)置表和安全策略表，對外提供數(shù)據(jù)庫表的操作接口，接口定義在DBsql。
3結(jié)論
