CN101383829B - 一种流识别方法及带宽管理设备 - Google Patents

Abstract

本发明公开了一种流识别方法，应用于连接管理区域内部和管理区域外部的带宽管理设备上，所述管理区域内部包括至少一个上网用户，管理区域外部包括至少一个上网用户，该方法包括：获取IP发起的会话中被目的端终止的连接数量的统计值；将所述IP发起的会话中被目的端终止的连接数量的统计值与预先设定的阈值进行比较，如果超出所述阈值，则认为所述IP正在使用P2P软件，以所述IP为源端或目的端的未知流量为P2P流。本发明中，避免使用可变端口或伪装端口的P2P应用软件、负载被加密P2P流量、未知P2P类流量漏报或误报。

Description

一种流识别方法及带宽管理设备

技术领域

本发明涉及通信技术领域，尤其涉及一种流识别方法及带宽管理设备。 

背景技术

P2P(Peer-to-Peer，点对点)网络中所有的节点都是对等的，节点之间通过直接互连共享信息资源或进行文件交互，无需依赖集中式服务器。因此，P2P技术促进了互联网发展，使用户可以更加方便的共享各类资源。 

同时，P2P应用为网络带来的负面影响也不可忽视，例如，由于网络中多对节点同时应用P2P通信时，将占用大量带宽，引起网络拥塞，大大降低网络性能，劣化了网络服务质量，妨碍了正常的网络业务开展和关键应用，严重影响了用户正常的Web、E-mail等应用。另外，P2P应用穿透现有防火墙和安全代理，通过并不安全的网络环境获得应用程序和P2P协议，使得病毒和恶意代码得以躲过安全审查入侵内部网络。因此，现有网络中需要有选择的使用P2P，在要保证正常网络业务及网络安全性较高的情况下，对P2P的应用加以限制。 

现有技术中使用了端口识别法、DPI(Deep Packet Inspection，深度包检测)识别法和基于行为特征识别法等几种识别P2P流量的方法。其中，端口识别法根据TCP(Transmission Control Protocol，传输控制协议)数据包或UDP(User Datagram Protocol，用户数据报协议)数据包首部的源端口号或目的端口号识别P2P流量。DPI识别法通过数据包深层扫描，在TCP数据包或UDP数据包负载中查找一个协议区别于其它协议的特征字符串来识别P2P协议。基于行为特征识别法是在一段时间内，用户保持的TCP或UDP连接中，目的端口在1024以上的连接数与目的端口在1024以下的连接数的比值大于阈值，则认为用户正在使用P2P软件。 

现有技术存在以下缺点：随着P2P软件的发展出现了使用可变端口及伪 装端口的P2P应用软件，端口识别法漏报的问题越来越凸现出来。DPI识别法对于明文的P2P数据流，准确度可以达到95％以上，但是对于加密的P2P流无效，例如，加密的eMule(电驴)、BT等主流P2P协议都已经支持了加密传输。基于行为特征对一些应用流存在较大误报风险，如：游戏流、数据库流等流量。因此，现有技术中无法快速、高效地识别出用户正在使用P2P应用软件，进而实现对P2P流量的控制。 

发明内容

本发明提供了一种流识别方法及带宽管理设备，以迅速、高效的识别出用户正在使用P2P软件，并可以对P2P流量进行相应控制。 

本发明提供了一种流识别方法，应用于连接管理区域内部和管理区域外部的带宽管理设备上，所述管理区域内部包括至少一个上网用户，所述管理区域外部包括至少一个上网用户，所述方法包括以下步骤： 

获取IP发起的会话中被目的端终止的连接数量的统计值； 

将所述IP发起的会话中被目的端终止的连接数量的统计值与预先设定的阈值进行比较，如果超出所述阈值，则认为所述IP正在使用P2P软件，以所述IP为源端或目的端的未知流量中的下载流为P2P流。 

其中，确认所述IP正在使用P2P软件之后还包括：将所述正在使用P2P软件的IP进行标识。 

其中，以所述IP为源端或目的端的未知流量中的下载流为P2P流具体包括： 

检测网络上经过所述带宽管理设备的报文； 

判断所述报文所属会话是否为正常上网流量，如果不是，则判断为未知流量，根据所述IP正在使用P2P软件判定以所述IP为源端或目的端的所述未知流量中的下载流为P2P流量，对所述P2P流量进行流量控制。 

其中，所述判断报文所属会话是否为正常上网流量具体为：通过DPI识别法识别正常的上网流量。 

其中，对所述未知流量进一步判断是否是下载流，所述下载流判断具体 为： 

设置较长报文个数门限、较长报文负载长度门限和较短报文负载长度门限； 

当单一方向的超过所述较长报文负载长度门限的报文个数，超出所述较长报文个数门限时，且另一方向只出现ack回应报文或只出现小于所述较短报文负载长度门限的报文时，所述会话为下载流。 

其中，所述获取IP发起的会话中被目的端终止的连接数量的统计值具体包括： 

统计被目的端终止的处于SYN_SENT状态的TCP连接个数，或ICMP报文类型为目的端口不可达的连接个数； 

定时刷新所述被目的端终止的连接数量的统计值。 

本发明还提供了一种带宽管理设备，应用于连接管理区域内部和管理区域外部的出口处，包括： 

统计值获取单元，用于获取IP发起的会话中被目的端终止的连接数量的统计值； 

判断单元，与所述统计值获取单元连接，用于将所述IP发起的会话中被目的端终止的连接数量的统计值与预先设定的阈值进行比较，如果超出所述阈值，则认为所述IP正在使用P2P软件，以所述IP为源端或目的端的未知流量中的下载流为P2P流。 

其中，带宽管理设备还包括： 

标识单元，与所述判断单元连接，用于将所述判断单元确认正在使用P2P软件的IP进行标识； 

检测单元，与所述标识单元连接，用于检测网络上经过所述带宽管理设备的报文，并判断所述报文所属会话是否为正常上网流量，如果不是，则判断为未知流量，并告知判断单元，使其根据所述IP正在使用P2P软件判定以所述IP为源端或目的端的所述未知流量中的下载流为P2P流量； 

流量控制单元，与所述检测单元连接，用于对所述P2P流量进行流量控制。 

其中，带宽管理设备还包括： 

下载流判断单元，与所述判断单元和所述检测单元连接，用于进一步判断检测单元所确定的未知流量是否是下载流，通过设置较长报文个数门限、较长报文负载长度门限和较短报文负载长度门限，当单一方向的超过所述较长报文负载长度门限的报文个数，超出所述较长报文个数门限时，且另一方向只出现ack回应报文或只出现小于所述较短报文负载长度门限的报文时，所述会话为下载流。 

其中，所述统计值获取单元具体包括： 

第一统计子单元，用于统计被目的端终止的处于SYN_SENT状态的TCP连接个数；或 

第二统计子单元，用于统计被目的端终止的ICMP报文类型为目的端口不可达的连接个数； 

刷新子单元，用于定时刷新所述第一统计子单元或所述第二统计子单元统计的被目的端终止的连接数量的统计值。 

与现有技术相比，本发明具有以下优点： 

本发明中，通过统计预定时间内，一个IP发起的连接中被目的上网用户终止的TCP连接或UDP连接的个数超过阈值时，认为该IP发起端正在使用P2P软件。避免了对于使用可变端口或伪装端口的P2P应用软件、负载被加密的P2P流量、未知P2P类流量的漏报或误报，并可以对P2P类流量进行相应控制。 

附图说明

图1是本发明中一种流识别方法流程图； 

图2是本发明中一种P2P流量的识别和控制方法流程图； 

图3是本发明中一种流识别设备结构图。 

具体实施方式

本发明提供了一种流识别方法，利用P2P软件下载资源时获取到的资源列表的时延特点识别一个IP是否正在使用P2P软件(为P2P客户端)。利用现有的DPI识别法识别出正常的HTTP(Hyper Text Transfer Protocol，超文本传输协议)、FTP(File Transfer Protocol，文件传输协议)和POP3(Post OfficeProtocol 3，第三版邮局协议)等正常的上网流量，对未知的上网流量依据目前该IP节点是否正在使用P2P软件进行管理。 

本发明提供了一种流识别方法，应用于连接管理区域内部和管理区域外部的带宽管理设备上，管理区域内部包括至少一个上网用户，管理区域外部包括至少一个Internet网络，每个Internet网络中可以包括应用服务器及上网用户，该方法具体流程如图1所示，包括以下步骤： 

步骤101，获取IP发起的会话中被目的端终止的连接数量的统计值； 

步骤102，将所述IP发起的会话中被目的端终止的连接数量的统计值与预先设定的阈值进行比较，如果超出所述阈值，则认为所述IP正在使用P2P软件，以该IP为源端或目的端的未知流量为P2P流。当确认所述IP正在使用P2P软件之后还包括：将所述正在使用P2P软件的IP进行标识。 

其中，IP发起的会话中被目的端终止的连接数量的统计值的获取方式具体包括：统计被目的端终止的处于SYN_SENT状态的TCP连接个数，或ICMP报文类型为目的端口不可达的连接个数。 

另外，为了避免误报，可以定时刷新所述终止连接个数的统计值，使该统计值在经过一定时间后重新计数。 

由于P2P网络是一个共享的网络，每个P2P客户端既从其它客户端下载资源，又提供自己的资源供其它P2P客户端下载。当P2P客户端下载一个指定资源时，首先向保存有资源列表的服务器或分布式网络中的其它节点查询提供该资源的P2P客户端列表，其它节点如DHT(Distributed Hash Table，分散式哈希表)网络节点和KAD(Kademlia，P2P重叠网络传输协议)网络节点。P2P客户端(上网用户)根据向其它节点查询到的结果，向每一个提供该资源的P2P客户端(目的上网用户)发起连接请求，下载指定资源。但是由于P2P网络的变化以及每个P2P客户端行为的影响，并不是每一个连接请求都能够下载到指定资源，如目的上网用户的P2P软件刚刚关闭。 

假设一个目的上网用户存在可供下载的资源，且P2P软件运行了很长时 间后刚刚关闭，在一段时间内该目的上网用户仍然会收到很多下载连接请求。由于P2P软件已经关闭，目的上网用户无法处理这些收到的下载连接请求。对于TCP的握手请求目的上网用户会回应RST报文(且此时该TCP连接处于SYN_SENT状态)，对于UDP的连接请求目的上网用户会回应目的端口不可达的ICMP报文。 

所以从下载某一指定资源的P2P客户端来看，在下载资源的很长一段时间内，会一直向可能提供该资源的P2P客户端发起连接请求。而这些连接请求中必然存在一定数量的被目的上网用户终止的TCP连接(且此时该TCP连接处于SYN_SENT状态)或UDP连接(ICMP报文类型为目的端口不可达)。 

本发明利用了P2P资源列表延时的特点识别P2P软件是否正在被使用：统计在一段时间内，一个IP发起的连接中被目的上网用户终止的TCP连接(此时该TCP连接处于SYN_SENT状态)或UDP连接(ICMP报文类型为目的端口不可达)的个数是否超出预先设定的阈值，当超过该阈值时，即认为该IP正在使用P2P软件。 

其中，以该IP为源端或目的端的未知流量为P2P流，具体包括：检测网络上经过所述带宽管理设备的报文；判断所述报文所属会话是否为正常上网流量，如果不是，则判断为未知流量，根据所述IP正在使用P2P软件判定以所述IP为源端或目的端的所述未知流量为P2P流量，则对所述P2P流量进行流量控制，例如，对P2P数据流进行限流、阻断，或者当P2P数据流量较大时进行告警等。 

其中，判断报文所属会话是否为正常上网流量具体为：通过DPI识别法识别正常的上网流量。 

另外，对所述未知流量进一步判断是否是下载流，具体为：对单一方向出现的较长报文个数、较长报文的负载长度、较短报文的负载长度各自设定一个门限值，即较长报文个数门限、较长报文负载长度门限和较短报文负载长度门限。当单一方向的超过较长报文负载长度门限的报文个数，超出较长报文个数门限时，且另一方向只出现ack回应报文或只出现小于较短报文的负载长度的报文时，即认为该会话为下载流。

本发明一种对P2P流量的识别和控制方法，如图2所示，包括以下步骤： 

步骤201，接收网络上所有经过带宽管理设备的报文；本发明通常应用于连接管理区域内部和管理区域外部的带宽管理设备上，管理区域内部用户访问互联网的数据都会经过所述的带宽管理设备，该设备检测经过报文的L2-L4层报文头部，得到源地址、目的地址、源端口号、目的端口号及协议类型等信息，对于TCP连接并记录其当前的连接状态； 

步骤202，判断上述报文是TCP_RST或ICMP报文；如果是TCP_RST报文，则转步骤203，如果是ICMP报文，则转步骤204，如果是其它报文，则转步骤208； 

步骤203，判断当前会话(该报文所属会话)是否处于TCP_SENT状态(TCP连接状态可以从现有的会话控制块中获取)，如果是，则转步骤205，否则转步骤214； 

步骤204，判断是否为目的端口不可达的ICMP报文，如果是，则转步骤205，否则转步骤214； 

步骤205，计数值加1；其中，计数值加1的统计值在一段时间内有效，应该采取老化机制，启动定时器，按照定时器设定周期刷新计数值，避免误报风险； 

步骤206，判断计数值的统计值是否达到阈值，如果达到，则转步骤207，否则，转步骤214；其中，阈值对于不同的用户可能需要配置不同的阈值，可以避免当一个IP内部PC很多时产生的误报； 

步骤203到步骤206可以分别统计两种报文的个数：当前报文为TCP_RST报文，且当前TCP会话状态为TCP_SENT状态；当前报文为ICMP报文，类型为目的目的端口不可达；这两种报文就是P2P软件在下载资源的过程中由于获取到的资源列表的时延特点造成的。 

步骤207，当前会话的发起端IP被标识正在使用P2P软件；基于IP建立的表项中记录有一定时间内该IP发起的连接中被目的端终止的TCP或UDP连接个数，当统计值达到阈值时，在表项中标识该IP正在使用P2P软件。

步骤208，查找会话控制块，获取已识别的流量类型，如果已识别的流量类型为5层，则转步骤209，否则按正常报文处理； 

步骤209，通过DPI识别法过滤HTTP、FTP、POP3等已识别的流量类型中的正常上网流量；如果是已知流量，则转步骤214，根据配置规则进行处理，如果是未知流量，则转步骤210；即降低了DPI识别法定义的特征字符串的个数，又避免了当一个IP正在使用P2P软件时将正常的上网流量误识别为P2P流量； 

其中，DPI识别法：通过数据包深层扫描，在TCP数据包或UDP数据包负载中查找一个协议区别于其它协议的特征字符串来识别P2P协议；DPI所谓“深度”是和普通的L2-L4交换机或路由器的报文分析层次相比较而言，L2-L4交换机/路由器仅分析IP包的层4以下的内容，包括源地址、目的地址、源端口、目的端口以及协议类型，而DPI除了对前面的层次分析外，还增加了应用层(特征)分析，识别各种应用，甚至内容的识别；当IP数据包、TCP或UDP数据流通过基于DPI设备时，该设备通过深入读取IP包载荷的内容来对TCP/IP协议中的应用层信息进行分析，从而识别出真正的应用类型和特征来，利用DPI技术在IP网络中部署DPI系统可实现网络运营中的业务识别、业务控制和业务统计等功能。 

步骤210，检测报文长度及方向，用于判断该报文所属会话是否为下载流，转步骤211；如果一个TCP或UDP连接，通常对单一方向出现的较长报文个数、较长报文的负载长度、较短报文的负载长度各自设定一个门限值，即较长报文个数门限、较长报文负载长度门限和较短报文负载长度门限。当单一方向的超过较长报文负载长度门限的报文个数，超出较长报文个数门限时，且另一方向只出现ack回应报文或只出现小于较短报文的负载长度的报文时，即认为该会话为下载流。例如，设较长报文个数门限为5个，较长报文负载长度门限为1000字节，较短报文负载长度门限为10字节；对于TCP连接，当某一方向超过1000字节的报文个数超过5个，且另一方向只出现小于10字节的报文或只出现ack时，则该会话为下载流；对于ICMP连接，当某一方向超过1000字节的报文个数超过5个，且另一方向只出现小于10字节的报 文时，则该会话为下载流。 

步骤211，判断当前会话是否被识别为下载流，如果是，则转步骤212，如果否，则转步骤214； 

步骤212，根据步骤207的结果确定发起该会话的发起端IP或目的端IP是否已被标识使用了P2P软件，查找基于IP创建的表项，查看发起该会话的上网用户或目的上网用户IP是否已被标识使用了P2P软件。例如，用户A在管理区域内，正在使用P2P软件，则在统计过程中，会识别出用户A正在使用P2P软件；用户B在管理区域外，用户B向用户A发起连接，下载指定资源，则对于这条下载流，其发起端为用户B，不一定能够通过统计的方法识别出其正在使用P2P软件，但对于该下载流的目的端IP为用户A，已得到统计结果。 

如果其中有一个是，则转步骤213，否则，转步骤214； 

步骤213，当一个会话已经被识别为P2P流量，在该会话的控制块中置相关标记，标识该会话已经被识别为P2P流量。在该会话的后续报文到来时可以直接送到流量管理模块进行处理，从而降低了重复处理造成的资源浪费。 

步骤214，所有报文最后都送入流量管理模块，流量管理模块根据配置规则进行处理。具体为：对于P2P流量，通过P2P流量管理模块可以针对每一种流量类型定义限流、阻断、告警等流量管理措施；对于不是目的端口不可达的ICMP报文、已知流量、非下载流，则正常通过。 

本发明还提供了一种带宽管理设备，应用于连接管理区域内部和管理区域外部的出口处，如图3所示，包括：统计值获取单元310，用于获取IP发起的会话中被目的端终止的连接数量的统计值；判断单元320，与统计值获取单元310连接，用于将该IP发起的会话中被目的端终止的连接数量的统计值与预先设定的阈值进行比较，如果超出该阈值，则认为该IP正在使用P2P软件，以所述IP为源端或目的端的未知流量为P2P流。 

该带宽管理设备还包括：标识单元330，与判断单元320连接，用于将判断单元320确认正在使用P2P软件的IP进行标识。 

该带宽管理设备还可以用于P2P流量控制，还包括：检测单元340，与标 识单元330连接，用于检测网络上经过该带宽管理设备的报文，并判断该报文所属会话是否为正常上网流量，如果不是，则判断为未知流量，根据所述IP正在使用P2P软件判定以所述IP为源端或目的端的该未知流量为P2P流量；流量控制单元350，与检测单元340连接，用于对该P2P流量进行流量控制。 

其中，该带宽管理设备还可以包括：下载流判断单元360，与判断单元320和检测单元340连接，用于设置较长报文个数门限、较长报文负载长度门限和较短报文负载长度门限，当单一方向的超过所述较长报文负载长度门限的报文个数，超出所述较长报文个数门限时，且另一方向只出现ack回应报文或只出现小于所述较短报文负载长度的报文时，所述会话为下载流。 

其中，统计值获取单元310具体包括：第一统计子单元311，用于统计被目的端终止的处于SYN_SENT状态的TCP连接个数；或第二统计子单元312，用于统计被目的端终止的ICMP报文类型为目的端口不可达的连接个数。 

统计值获取单元310还包括：刷新子单元313，用于定时刷新第一统计子单元311或第二统计子单元312统计的被目的端终止的连接数量的统计值。 

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。 

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (11)

1.一种流识别方法，应用于连接管理区域内部和管理区域外部的带宽管理设备上，所述管理区域内部包括至少一个上网用户，所述管理区域外部包括至少一个上网用户，其特征在于，所述方法包括以下步骤：

获取IP发起的会话中被目的端终止的连接数量的统计值；

将所述IP发起的会话中被目的端终止的连接数量的统计值与预先设定的阈值进行比较，如果超出所述阈值，则认为所述IP正在使用P2P软件，以所述IP为源端或目的端的未知流量中的下载流为P2P流。

2.如权利要求1所述的方法，其特征在于，确认所述IP正在使用P2P软件之后还包括：

将所述正在使用P2P软件的IP进行标识。

3.如权利要求1所述的方法，其特征在于，以所述IP为源端或目的端的未知流量中的下载流为P2P流具体包括：

检测网络上经过所述带宽管理设备的报文；

判断所述报文所属会话是否为正常上网流量，如果不是，则判断为未知流量，根据所述IP正在使用P2P软件判定以所述IP为源端或目的端的所述未知流量中的下载流为P2P流量，对所述P2P流量进行流量控制。

4.如权利要求3所述的方法，其特征在于，所述判断报文所属会话是否为正常上网流量具体为：通过DPI识别法识别正常的上网流量。

5.如权利要求1所述的方法，其特征在于，对所述未知流量进一步判断是否是下载流，所述下载流判断具体为：

设置较长报文个数门限、较长报文负载长度门限和较短报文负载长度门限；

当单一方向的超过所述较长报文负载长度门限的报文个数，超出所述较长报文个数门限时，且另一方向只出现ack回应报文或只出现小于所述较短报文负载长度门限的报文时，所述会话为下载流。

6.如权利要求1至5中任一项所述的方法，其特征在于，所述获取IP发起的会话中被目的端终止的连接数量的统计值具体包括：

统计被目的端终止的处于SYN_SENT状态的TCP连接个数，或ICMP报文类型为目的端口不可达的连接个数。

7.如权利要求1至5中任一项所述的方法，其特征在于，还包括：

定时刷新所述被目的端终止的连接数量的统计值。

8.一种带宽管理设备，应用于连接管理区域内部和管理区域外部的出口处，其特征在于，包括：

统计值获取单元，用于获取IP发起的会话中被目的端终止的连接数量的统计值；

判断单元，与所述统计值获取单元连接，用于将所述IP发起的会话中被目的端终止的连接数量的统计值与预先设定的阈值进行比较，如果超出所述阈值，则认为所述IP正在使用P2P软件，以所述IP为源端或目的端的未知流量中的下载流为P2P流。

9.如权利要求8所述的带宽管理设备，其特征在于，还包括：

标识单元，与所述判断单元连接，用于将所述判断单元确认正在使用P2P软件的IP进行标识；

检测单元，与所述标识单元连接，用于检测网络上经过所述带宽管理设备的报文，并判断所述报文所属会话是否为正常上网流量，如果不是，则判断为未知流量，并告知判断单元，使其根据所述IP正在使用P2P软件判定以所述IP为源端或目的端的所述未知流量中的下载流为P2P流量；

流量控制单元，与所述检测单元连接，用于对所述P2P流量进行流量控制。

10.如权利要求9所述的带宽管理设备，其特征在于，还包括：

下载流判断单元，与所述判断单元和所述检测单元连接，用于进一步判断检测单元所确定的未知流量是否是下载流，通过设置较长报文个数门限、较长报文负载长度门限和较短报文负载长度门限，当单一方向的超过所述较长报文负载长度门限的报文个数，超出所述较长报文个数门限时，且另一方向只出现ack回应报文或只出现小于所述较短报文负载长度门限的报文时，所述会话为下载流。

11.如权利要求8所述的带宽管理设备，其特征在于，所述统计值获取单元具体包括：

第一统计子单元，用于统计被目的端终止的处于SYN_SENT状态的TCP连接个数；或

第二统计子单元，用于统计被目的端终止的ICMP报文类型为目的端口不可达的连接个数；

刷新子单元，用于定时刷新所述第一统计子单元或所述第二统计子单元统计的被目的端终止的连接数量的统计值。

Images