CN101309218B - 基于移动代理的层次式对等网络流量检测与控制方法 - Google Patents

Abstract

基于移动代理的层次式对等网络流量检测与控制方法利用移动代理技术来解决P2P流量检测和控制管理问题，强调分布式环境下的P2P流量检测与控制层次式P2P框架，其目的是解决网络流量管理的层次化要求和网络规模可变性和弹性等要求。借鉴于分布式环境下的系统管理方法，支持多个管理域的分治。即把网络化分成多个子网或网段，称为子管理域，该子管理域负责本子网或网段的所有被管节点的流量检测统计和控制。全网管理中心和各个子管理域之间借助于移动代理进行信息的交换，共同完成管理任务。而各个子管理域实际上也是一个完整的基于移动代理P2P流量检测和控制的子系统，其与各个管理节点的信息交换也是借助于移动代理完成。

Description

基于移动代理的层次式对等网络流量检测与控制方法

技术领域

本发明提出了基于移动代理的层次式P2P流量检测和控制方法，利用移动代理技术来解决P2P流量检测和控制管理问题，采用了层次优化和分而治之的思想，属于分布式计算安全领域。

背景技术

对等计算技术(Peer-to-Peer Computing，P2P)改变原来的C/S计算(Client/Server Computing)或是B/S计算(Brower/Server Computing)这样不对称的计算模式，每个节点地位对等，可以同时成为服务的使用者和提供者，这为大规模的信息共享、直接通信和协同工作提供了灵活的、可扩展的计算平台。目前P2P技术主要应用到以下几个领域：提供文件和其它内容共享的P2P网络、基于P2P方式的协同处理与服务共享平台、即时通讯交流和语音通信软件、视频共享系统等。

P2P流量占用很大的网络带宽，尤其是P2P文件共享系统。据相关统计，迄今为止，P2P业务共占所有宽带数据吞吐量的80％以上，因而已成为网络的主要负担，甚至引起网络拥塞，影响和降低其它业务的性能.P2P流量特点如下：高速传输、超大容量、永远在线、上下行流量对称、业务点分布广泛、安全机制缺乏、穿透性(P2P软件可以穿透防火墙和安全代理)。同时，由于P2P内容共享系统及其协议的多样性、自定义性，造成了对该部分流量难以统计和控制。所以对P2P数据流的有效识别就格外重要，只有从网络中能够识别出P2P的数据流量，才能够对其进行流量控制和管理。

现有的P2P检测控制系统的体系结构主要是基于主机的和基于局域网或地区网的体系结构，即在主机或服务器、路由器、交换机上对所有流量进行是否是P2P流的检测、分析、统计、控制。其组件包括流量采集组件、P2P检测分析组件、P2P流量控制组件。存在问题如下：缺乏全局性的分析和控制、缺乏容错性、实时性难以保证。随着网络规模的增大，网络速度的提高，网络结构的日益复杂，P2P新技术的层出不穷，这种体系结构必然是很难适应大规模分布式网络安全的需要，难以扩展到较大规模系统的P2P检测与控制。

Agent技术的研究起源于人工智能领域，早在20世纪70年代人们就开始了分布式人工智能DAI的研究。根据White，L ange，C hess等的描述，移动代理(MobileA gent)是一个代替人或其它程序执行某种任务的程序，它在复杂的网络系统中能自主地从一台主机移动到另一台主机，该程序能够选择何时、何地移动。在移动时，该程序可以根据要求挂起其运行，然后转移到网络的其它地方重新开始或继续其执行，最后返回结果和消息。

移动代理的特点：移动性(mobility)、自主性(autonomy)、自治性(Autonomy)、主动性(Proactivity)、社会性(SocialA bility)、智能性(Intelligence)

因此有必要考虑将移动代理技术用于构建层次式P2P流量检测和控制框架，使之能够适应网络流量管理的层次化要求和网络规模可变性和弹性等要求。

发明内容

技术问题：本发明的目的是提供分布式环境下的一种基于移动代理的层次式P2P流量检测与控制方法，解决在P2P环境中流量检测的分布检测和控制、动态协调、智能管理问题，较之传统的流量检测与控制体系而言，该方案更具有分布性、灵活性、易扩展性和容错性等特性。

技术方案：本发明的方法引入移动代理技术，强调分布式环境下的P2P流量检测与控制层次式P2P框架，其目的是解决网络流量管理的层次化要求和网络规模可变性和弹性等要求。

基于移动代理的层次式对等网络流量检测与控制方法所包含的步骤为：

步骤1：全网P2P流量检测代理GPDMA的创建；

步骤2：全网中心内的各个管理域的P2P流量检测代理SPDMA的创建和发送；

步骤3：各管理域中各主机的P2P流量检测代理HPDMA的创建和发送；

步骤4：各主机移动代理HPDMA检测本机上P2P流量和形成P2P流量报告并提交给上级管理域的P2P流量检测代理SPDMA；

步骤5：各管理域的P2P流量检测代理SPDMA形成本管理域的P2P流量统计报告，并提交给全网P2P流量检测代理GPDMA；

步骤6：全网P2P流量控制代理GPCMA制定各管理域的P2P流量控制策略、创建各管理域P2P流量控制代理SPCMA并发送；

步骤7：各管理域的P2P流量控制代理SPCMA制定各主机的P2P流量控制策略、创建各主机的P2P流量控制代理HPCMA并发送至各主机；

步骤8：主机移动代理HPCMA控制本主机上P2P流量并向各管理域P2P流量控制代理SPCMA提交控制结果；

步骤9：各管理域P2P流量控制代理SPCMA集成本管理域的P2P流量控制报告并向全网P2P流量控制代理GPCMA提交控制结果；

步骤10：全网P2P流量控制代理GPCMA制定各子管理域的相应惩罚措施并发送给各管理域P2P流量控制代理SPCMA；

步骤11：各管理域P2P流量控制代理SPCMA制定各主机的相应惩罚措施并发送给各主机的P2P流量控制代理HPCMA；

步骤12：各主机的P2P流量控制代理HPCMA执行相应的惩罚措施。

有益效果：本发明将将移动代理技术应用P2P流量检测和控制中去，采用了层次优化和分而治之的思想，提出了基于移动代理的分层P2P流量检测和控制的框架模型。技术的关键点在于使用了移动代理技术和分层管理方式。由各代理组成的系统具有模块化程度高，可配置性强、可扩展性、响应能力强、自主性强等优点。同时分层管理，即将复杂的大系统分解为简单易于解决的小系统，并且，还可以根据需要将小系统分解成更小的系统的管理方式，降低了全局集成的复杂度，使得响应速度更快，执行效率更高。同时由于系统模型代理之间是一种松藕合的分布式结构，系统的通信机制也完全采用层次化的结构，因此新加的代理只要采用系统的通信机制，就可以毫无障碍的实现通信。因而本发明提出的模型具有很好的伸缩性，能支持并行操作，从而能有效提高响应速度和降低通讯代价。下面我们给出具体的说明。

检测和控制的准确性：执行流量检测要求或控制策略分发任务的移动代理不需要频繁地和大量的被管理节点进行交互，只是根据预先的设定，迁移到某个子管理站中，进行任务的分发和信息的汇总，而不需要通过网络持续地进行远程管理，这在不可靠的网络环境中尤其重要，从而增加了全网内流量分析和管理的准确性。

减少网络延迟：在基于移动代理的P2P流量检测和控制系统中移动代理是分布在整个网络中的。这些移动代理可以利用不同的网络路径来避免通讯问题的产生。

减轻网络负载：基于移动代理的实现方式不是通过网络传送所有的数据包到中心控制器，而是由主管理站创建检测移动代理或控制移动代理，并将之按照一定的路线发送到各个子管理站，由各个子管理站负责本网内的P2P流量检测并进行流量统计汇总或者是负责执行该区域的流量控制策略。显然，由移动代理进行全网内P2P流量报告的收集和控制策略的分发，其网络负载要小得多。

模块化程度高，可配置性强：系统模型由代理组成，各代理之间的分工明确，代理内部设计功能划分准确，因此模块化程度较高，便于系统的升级和重新配置。

系统的可扩展性好：由于系统模型代理之间是一种松藕合的分布式结构，系统的通信机制完全采用层次化的结构，因此新加的代理只要采用系统的通信机制，就可以毫无障碍的实现通信，因此系统的扩展性好。

代理的智能性：移动代理将经过处理后的配置信息传输给管理站，从而减少了管理站收集性能信息的时延。而且移动代理可以在一个子管理站完成收集P2P流量检测报告后，可以不必终止进程直接迁移到另一台主机上继续运行。另外，移动代理能够动态适应网络的拓扑结构配置及网络通信状况，而且较新版本的移动代理可以取代旧的版本移动代理，还可以随着运行环境的变化而改变移动代理在网络各管理范围内进行自我分配以保持最佳配置。

平台无关性：大部分移动代理都使用与平台无关的语言移动代理可以跨平台运行移动代理利用虚拟机(比如JVM)来提供相应的消息服务简化消息传递的操作在此基础上开发不同系统平台上的移动代理应用也就容易多了。

附图说明

图1是传统P2P流量检测与控制结构。图中包括：流量采集组件、流量检测组件和流量控制组件。

图2是系统架构示意图。表示本发明方法的层次式P2P流量检测和控制管理框架，2-a为P2P流量检测部分系统架构，2-b为P2P流量控制部分系统架构。

图3是通信模型示意图。表示本发明方法中各代理的层次组织关系。

具体实施方式

一、体系结构

本发明提出的全网内P2P流量检测和控制方案，其网络的拓扑结构为树状分支。其思想是借鉴于分布式环境下的系统管理方法，支持多个管理域的分治。即把网络化分成多个子网或网段，称为子管理域，该子管理域负责本子网或网段的所有被管节点的流量检测统计和控制。全网管理中心和各个子管理域之间借助于移动代理进行信息的交换，共同完成管理任务。而各个子管理域实际上也是一个完整的基于移动代理P2P流量检测和控制的子系统，其与各个管理节点的信息交换也是借助于移动代理完成。

图2给出该方案的系统架构：全网控制中心，作为根层，按照某种方式，如地理位置或不同网络的性质对全网管理域进行划分为若干数量的子管理域。各子管理域作为中间层，负责本管理域内所有主机(叶子节点)的P2P流量统计及执行针对本网的P2P流量控制策略。各主机为下层被管理实体。

全网控制中心的全网P2P流量检测代理GPDMA(Global P2P Detection MobileAgent)与全网P2P流量控制代理GPCMA(Global P2P Controlling Mobile Agent)，负责创建各子管理域的P2P流量检测代理SPDMA(Sub-P2P Detection MobileAgent)与P2P流量控制代理SPCMA(Sub-P2P Controlling Mobile Agent)，并将各移动代理分发至各个子管理域。前者负责子管理域P2P流量的统计、创建，后者负责完成子管理域内的P2P流量控制。

各个子管理域的P2P流量检测代理SPDMA与P2P流量控制代理SPCMA是系统的核心组件。在本发明中，它具有双重角色，要完成的任务包括：创建基于各主机的P2P流量检测代理HPDMA(Host P2P Detection Mobile Agent)，负责各主机的P2P流量的统计；创建基于各主机的P2P流量控制代理HPCMA(Host P2PControlling Mobile Agent)，负责各主机的P2P流量的统计；发送各移动代理到各主机；集成各主机的P2P流量检测代理HPDMA与P2P流量控制代理信息HPCMA并返回全局控制中心。

各主机的P2P流量检测代理HPDMA到达各主机后负责进行本主机的P2P流量检测即按端口、DPI方式或流量统计进行P2P流量的检测后并携带检测结果返回。各主机的P2P流量控制代理HPCMA到达各主机后负责进行该主机的P2P流量控制，若控制不成功，则并携带出错信息返回。

在实际应用中，各管理域并不是一成不变的，在实际中随着网络规模的不断增大，拓扑树状结构深度会不断增加，需要做的分析范围越广泛，某个管理域实际已经成为了本域中的全局控制中心，维护和管理着本域中各个各子管理域。因而不仅管理域的数量本身是可以动态的增加和删除的，而且各个管理域内主机的动态增加和删除也由本管理域内管理站决定，以适应不同的网络规模。

随着节点的逻辑地位越靠上，所需处理的数据量就越小。当网络范围不断扩大时，如果不采用分层的结构，要想了解全网内的P2P流量并作出合适地控制几乎是不可能的事情，而本发明中提出的结构随着网络规模的不断扩大，全网控制中心所需直接处理的数据越来越少，只需对全网数据采集移动代理返回的各子管理域的P2P流量分析数据进行分析并制定相应策略，指派给全网的控制策略移动代理。

在大规模网络中，利用这种树形的基于移动代理的P2P流量检测和控制体系结构可以有效地检测全网内的流量并做出全网内的流量控制策略，提供更好地Qos服务。

二、通信机制

图3给出了层次式管理结构的通信模型。其中全网P2P流量检测GPDMA与全网P2P流量控制代理GPCMA在系统逻辑结构层次图中位于最上层，各子管理域的本域内P2P流量检测SPDMA与控制代理SPCMA位于中间层，既向下负责各基于主机的P2P流量检测HPDMA与控制代理HPCMA，又起着向上层代理提交报告和执行任务的作用。下层代理主要是各基于主机的P2P流量检测与控制代理，接受上层代理的管理。平层管理主要是在系统逻辑结构层次图中位于同一层的代理，彼此之间是平行独立的。其中，上层代理和直接下层代理之间可以通信，如全网P2P流量检测与控制代理与各管理域P2P流量检测与控制代理之间，各管理域P2P流量检测与控制代理与本管理域内之间各基于主机的P2P流量检测与控制代理可以通信。但通信不能越级，平层代理之间不能直接通信。

可见这种层次性的通信模型可以减少高层代理被攻击的机会，保护高层代理的安全，同时可以便于数据信息的局部处理，从而减少网络负载。

1 P2P流量分析阶段

1.1全网控制中心的全网P2P流量检测代理GPDMA根据流量管理要求和网络内子管理域数量，创建各个管理域的P2P流量检测代理SPDMA，并发送各该代理到各个子管理域。

具体步骤为：

1.2各管理域的P2P流量检测代理SPDMA根据检测要求以及本网络各主机的分配，创建各主机的P2P流量检测代理HPDMA并发送至各主机。

1.3主机移动代理HPDMA到达各主机后，按照一定的检测方式(端口、深度报文检测或流统计)统计本机上P2P流量的分布情况，形成本主机上P2P流量报告并返回子管理域。

1.4各管理域的P2P流量检测代理SPDMA根据各主机P2P流量检测代理返回的信息，集成为本管理域的P2P流量统计报告，携带相应信息返回并提交给全网P2P流量检测代理。

1.5全网P2P流量检测代理GPDMA根据相应策略制定各个管理域的P2P流量控制策略。

2 P2P流量控制阶段

2.1全网控制中心的全网P2P流量控制代理GPCMA可根据各管理域制定不同的控制要求，创建各管理域P2P流量控制代理SPCMA，并发送各代理到各个子管理域。

2.2各管理域的P2P流量控制代理SPCMA可根据本管理域内各主机制定不同的控制要求，创建各主机的P2P流量控制代理HPCMA并发送至各主机。

2.3主机移动代理HPCMA到达各主机后，以一定的控制方式(直接串联、旁路串联等)和按照控制要求控制本主机上P2P流量，如控制任务不能成功完成，则携带出错信息返回子管理域。

2.4各子管理域P2P流量控制代理SPCMA可根据各主机P2P流量控制代理HPCMA返回的信息，集成本管理域的P2P流量控制报告，携带相应信息并返回。

2.5全网P2P流量控制代理GPCMA制定各子管理域的相应惩罚措施。

在实际应用中，对移动代理的管理，可以采用并行的方式，即各移动代理并行地完成本管理域内的P2P流量管理工作，完成后自行返回。同样也可以采取串行的方式，即各移动代理依次完成一个子管理域的管理工作后，按照一定的路线依次迁移到其他子管理域，直至最后一个区域，最后返回至上一次管理域。

Claims (1)

1.一种基于移动代理的层次式对等网络流量检测与控制方法，其特征在于该方法所包含的步骤为：

步骤1：全网P2P流量检测代理GPDMA的创建；

步骤2：全网中心内的各个管理域的P2P流量检测代理SPDMA的创建和发送；

步骤3：各管理域中各主机的P2P流量检测代理HPDMA的创建和发送；

步骤4：各主机的P2P流量检测代理HPDMA检测本机上P2P流量和形成P2P流量报告并提交给上级管理域的P2P流量检测代理SPDMA；

步骤5：各管理域的P2P流量检测代理SPDMA形成本管理域的P2P流量统计报告，并提交给全网P2P流量检测代理GPDMA；

步骤6：全网P2P流量控制代理GPCMA制定各管理域的P2P流量控制策略、创建各管理域P2P流量控制代理SPCMA并发送；

步骤7：各管理域的P2P流量控制代理SPCMA制定各主机的P2P流量控制策略、创建各主机的P2P流量控制代理HPCMA并发送至各主机；

步骤8：主机的P2P流量控制代理HPCMA控制本主机上P2P流量并向各管理域P2P流量控制代理SPCMA提交控制结果；

步骤9：各管理域P2P流量控制代理SPCMA集成本管理域的P2P流量控制报告并向全网P2P流量控制代理GPCMA提交控制结果；

步骤10：全网P2P流量控制代理GPCMA制定各子管理域的相应惩罚措施并发送给各管理域P2P流量控制代理SPCMA；

步骤11：各管理域P2P流量控制代理SPCMA制定各主机的相应惩罚措施并发送给各主机的P2P流量控制代理HPCMA；

步骤12：各主机的P2P流量控制代理HPCMA执行相应的惩罚措施。

Images