淺談ip網(wǎng)絡(luò)流量分析

1、<p>　　淺談IP網(wǎng)絡(luò)流量分析</p><p>　　【摘要】本文闡述了網(wǎng)絡(luò)流量的特性，網(wǎng)絡(luò)流量的分析預(yù)測模型，同時，重點分析了網(wǎng)絡(luò)流量分析的具體應(yīng)用，最后，介紹了網(wǎng)絡(luò)流量的識別的方法和和技術(shù)，為更好的分析IP網(wǎng)絡(luò)流量提供了基礎(chǔ)。 </p><p>　　【關(guān)鍵詞】IP網(wǎng)絡(luò)流量；分析 </p><p>　　中圖分類號： U467.4+6 文獻標識碼： A 文

2、章編號： </p><p><b>　　一、前言 </b></p><p>　　隨著網(wǎng)絡(luò)的普及，網(wǎng)站數(shù)量的增加，對網(wǎng)絡(luò)流量的分析就變得更加的重要，這是確保網(wǎng)站健康運營的關(guān)鍵所在，同時，也是維護互聯(lián)網(wǎng)健康的一個重要方面，IP網(wǎng)絡(luò)流量的分析已經(jīng)成為了網(wǎng)絡(luò)快速發(fā)展必須重視的一個關(guān)鍵環(huán)節(jié)。 </p><p>　　二、網(wǎng)絡(luò)流量的特性分析 </p&g

3、t;<p>　　在經(jīng)過對互聯(lián)網(wǎng)通信流量的長期監(jiān)測與測量，從現(xiàn)有的技術(shù)水平來說，我們把網(wǎng)絡(luò)流量的主要特性歸結(jié)為以下4個方面： </p><p>　　1數(shù)據(jù)流雙向和非對稱性：即，從互聯(lián)網(wǎng)上的應(yīng)用來看，其實質(zhì)就是數(shù)據(jù)的雙向交換，因此網(wǎng)絡(luò)流量體現(xiàn)出雙向性的特點；但同時這種雙向的數(shù)據(jù)交流并非是對等的，上行和下載的流量并不相同，而是表現(xiàn)出非對稱性的特點。 </p><p>　　2大部分T

4、CP會話是短期的。在互聯(lián)網(wǎng)通信中，從時間的角度來看，TCP會話時間只有數(shù)秒十分之短，這是由于會話中交換的數(shù)據(jù)量超過90%的比例都是小于10K字節(jié)的。3包的到達過程不是泊松過程。隨著技術(shù)的進步，研究發(fā)現(xiàn)這種理論解釋存在著不足，它難以精確地描述包的到達過程，人們開始從網(wǎng)絡(luò)通信量模型展開研究，進而來豐富網(wǎng)絡(luò)流量的理論原理。 </p><p>　　4網(wǎng)絡(luò)流量體現(xiàn)出局域性。從現(xiàn)有技術(shù)應(yīng)用特點來看，網(wǎng)絡(luò)通信量表現(xiàn)出在時間和空

5、間兩個維度的局域性。 </p><p>　　三、網(wǎng)絡(luò)流量分析預(yù)測模型 </p><p><b>　　1確立預(yù)測對象 </b></p><p>　　某公司網(wǎng)絡(luò)中出口防火墻的流量信息是進行預(yù)測分析的基礎(chǔ)，我們采取對防火墻流量的流入和流出情況進行系統(tǒng)分析，選用適合的方法進行預(yù)測，進而產(chǎn)生預(yù)測結(jié)果。 </p><p>　　盡

6、管導致網(wǎng)絡(luò)設(shè)備上實際帶寬變化的條件具有多重性和量化困難，但是帶寬變化的態(tài)勢在時間上是一種逐步推進的過程，有一定的規(guī)律可循。基于網(wǎng)絡(luò)流量帶寬的這一特征，我們通過預(yù)測網(wǎng)絡(luò)節(jié)點端口帶寬占有率，從而間接達到網(wǎng)絡(luò)節(jié)點端口流量預(yù)測的目的。 </p><p>　　2預(yù)測模型的構(gòu)造設(shè)計 </p><p>　　公司為了達到網(wǎng)絡(luò)管理的有效性，通常網(wǎng)絡(luò)流量模式是它們所運用的一個非常必要的方法，因此，準確、嚴

7、格的數(shù)據(jù)采集方式，是能夠建立一個很好的模型為網(wǎng)絡(luò)流量，這樣才能夠滿足模型對數(shù)據(jù)的采集的需求。 </p><p>　　以預(yù)測模型為例，它的核心網(wǎng)絡(luò)系統(tǒng)能夠分為三個獨立的模塊，這是按照系統(tǒng)的功能來劃分，它們是：流量數(shù)據(jù)采集、流量圖生成、流量預(yù)測。 </p><p>　　四、流量分析的應(yīng)用 </p><p>　　NTE（NetTraffic Exporter）負責流量的

8、采集和發(fā)送；NTC（NetTraffic Collector）設(shè)備負責收集和存儲NTE發(fā)來的流量統(tǒng)計數(shù)據(jù)信息；NTP（NetTraffic Processor）從數(shù)據(jù)庫中獲取收集到的數(shù)據(jù)，經(jīng)分析加工后以直觀的圖表、報表等方式為網(wǎng)絡(luò)規(guī)劃、網(wǎng)絡(luò)優(yōu)化、網(wǎng)絡(luò)監(jiān)控、流量趨勢分析、異常檢測等提供直接的數(shù)據(jù)依據(jù)。 </p><p>　　各組成部分的關(guān)系如下圖所示： </p><p>　　1.流量監(jiān)控

9、網(wǎng)管人員可按照系統(tǒng)提供的參數(shù)來設(shè)定監(jiān)控條件,系統(tǒng)根據(jù)設(shè)定的監(jiān)控條件過濾得來流量記錄(Flow Record)并將符合監(jiān)控條件的統(tǒng)計資料存入系統(tǒng)數(shù)據(jù)庫中。最后,系統(tǒng)便可以從數(shù)據(jù)庫里讀取數(shù)據(jù)做成各種圖表(Report)。因此,網(wǎng)絡(luò)管理員可針對網(wǎng)絡(luò)的重要鏈路進行流量監(jiān)控, 掌握不同鏈路的流量基線,及時了解鏈路的負載和發(fā)現(xiàn)問題。 </p><p>　　2.流量分析 網(wǎng)管人員可以開啟實時監(jiān)控功能, 針對所設(shè)定的范圍做流量

10、數(shù)據(jù)的收集與分析。在同一時間里,可以開啟多個實時監(jiān)控窗口,每一窗口獨立監(jiān)控一項設(shè)定,并根據(jù)搜集得來的資料自動排序,做成各種報表。 </p><p>　　3.異常流量分析 現(xiàn)在隨著IP 網(wǎng)絡(luò)不斷擴大, 網(wǎng)絡(luò)中也經(jīng)常會出現(xiàn)黑客攻擊、病毒泛濫的情況,而這些網(wǎng)絡(luò)突發(fā)事件從設(shè)備和網(wǎng)管的角度看卻很難發(fā)現(xiàn)問題,經(jīng)常也讓網(wǎng)絡(luò)管理員感到棘手,因此,針對網(wǎng)絡(luò)中突發(fā)性的異常流量分析將有助于網(wǎng)絡(luò)管理員發(fā)現(xiàn)和解決問題。 </p&g

11、t;<p>　　五、常見流量識別方法與技術(shù) </p><p>　　1針對網(wǎng)絡(luò)帶寬消耗大戶P2P的DPI技術(shù) Deep Packet Inspection簡稱DPI技術(shù)，中文意思是深度報文檢測。由于傳統(tǒng)的檢測技術(shù)獲得的業(yè)務(wù)應(yīng)用信息很少，只是包括協(xié)議號、源/目的IP地址、底層的連接狀態(tài)、源/目的傳輸層端口號等這些存放于數(shù)據(jù)包當中網(wǎng)絡(luò)層和傳輸層的基本信息，而這些檢測出的參數(shù)對現(xiàn)行的P2P（點對點）和VO

12、IP（網(wǎng)絡(luò)語音）、IPTV（網(wǎng)絡(luò)電視）等已經(jīng)不再適用和滿足檢測管理的需要了。DPI作為一種先進的包檢測技術(shù)，不僅僅能夠識別P2P，還能夠檢測上述的VOIP、IPTV和在線游戲、流量封裝協(xié)議、流媒體以及在線游戲等大部分主流應(yīng)用協(xié)議、流控設(shè)備。 </p><p>　　對P2P應(yīng)用進行判定如果僅僅通過端口對其進行判斷是不足的，因為通常P2P是技術(shù)常盜用一些常用的協(xié)議端口或者使用端口跳變技術(shù)來傳輸數(shù)據(jù)，因此進行P2P應(yīng)

13、用樣本查找時不能疏忽大意，要使用第7層協(xié)議對網(wǎng)絡(luò)中所有的數(shù)據(jù)進行探測，那樣不管它使用的是那個端口話都逃部出檢測；而要檢測P2P可以檢測其某種特征的應(yīng)用識別，要檢測一種應(yīng)用識別有時要檢測它是否匹配多個代碼樣本的特征，而這些樣本特征的取得可以通過對傳輸協(xié)議的載荷部分進行檢查，即讓所有的數(shù)據(jù)包在應(yīng)用層進行檢查的復(fù)雜的第7層識別技術(shù)來實現(xiàn)。 </p><p>　　當網(wǎng)絡(luò)中使用P2P時，就相當于產(chǎn)生了一個新的會話，那么其會

14、話的一個唯一的協(xié)議簽名如果能被找到并且和已知的協(xié)議代碼樣本匹配，就當表我們對P2P的檢測初步成功，因為P2P一般不會只是單一的連接和會話，這需要我們能夠聰多個會話中提出信息并關(guān)聯(lián)相關(guān)代碼樣本，如果匹配的則是P2P的連接。而此方法的實現(xiàn)基礎(chǔ)是因為第7層的協(xié)議代碼樣本能夠進行會話標記的請求并且標識好會話中所有的數(shù)據(jù)包。只要能夠識別好第7層的數(shù)據(jù)流，那么對P2P的判斷和控制都是很簡單的了。 </p><p>　　2DF

15、I技術(shù) Deep Flow Inspection 是DFI的簡稱，中文翻譯是深度流行為檢測，其也是一種典型的業(yè)務(wù)識別技術(shù)。針對于DPI技術(shù)的升級頻繁、加密流量識別難、執(zhí)行效率不高等問題，DFI的出現(xiàn)更符合用戶的要求，其獲取業(yè)務(wù)類型、業(yè)務(wù)狀態(tài)的方法是通過對網(wǎng)絡(luò)層和傳輸層信息、平均流速率、網(wǎng)絡(luò)流量的狀態(tài)、字節(jié)長度分布、業(yè)務(wù)流持續(xù)時間等參數(shù)的統(tǒng)計分析來獲得，如此DFI技術(shù)不用網(wǎng)絡(luò)流量深度報文檢測，而更關(guān)注于網(wǎng)絡(luò)流量特征的通用性。 </

16、p><p>　　3流量控制 在流量控制方式上，LotWan流量管理系統(tǒng)（行為特征檢測技術(shù)）雖然仍有部分網(wǎng)絡(luò)流量不能做到精確識別，但還是能讓校園流量上下行基本實現(xiàn)均衡，而Panabit流控系統(tǒng)（報文特征字檢測技術(shù)）主要是對視頻點播、多進程下載的P2P技術(shù)進行抑制，并且能夠很好的對網(wǎng)絡(luò)的上行流量進行更好的控制。 </p><p>　　具體實現(xiàn)上，筆者對校園網(wǎng)內(nèi)部流量控制理論、控制機制進行了一定的

17、研究，并結(jié)合工作實際，分析了我院校園網(wǎng)流量產(chǎn)生的因素及控制方面存在的一些問題，針對我院自身特點，提出了一套適用的流量控制方法。譬如，為了減輕核心設(shè)備的負載，我們對應(yīng)的制定了多層次的流量控制策略，在各樓棟普遍使用了流量控制服務(wù)器或其它簡單的流量控制設(shè)備，將每個單獨的IP都進行了初步的流量限制，在核心流控設(shè)備上再對這些已經(jīng)初步處理過的數(shù)據(jù)進行具體的類別鑒定及策略匹配，解決了核心設(shè)備負載過大的問題，合理的分配了流量資源。 </p>

18、<p><b>　　六、結(jié)束語 </b></p><p>　　IP網(wǎng)絡(luò)流量的分析需要在掌握了IP網(wǎng)絡(luò)流量的基礎(chǔ)上才能夠科學的展開，與此同時，對于IP網(wǎng)絡(luò)流量的分析，相關(guān)人員需要采用先進科學的方法進行分析，這樣才能夠取得更好的分析效果。 </p><p><b>　　參考文獻 </b></p><p>　　[1