CN102164079A

CN102164079A - 基于网络测量的可信任视频应用申请方法

Info

Publication number: CN102164079A
Application number: CN201110074422XA
Authority: CN
Inventors: 包丛笑; 李星; 余坤; 王伟才
Original assignee: Tsinghua University
Current assignee: Tsinghua University
Priority date: 2011-03-25
Filing date: 2011-03-25
Publication date: 2011-08-24
Anticipated expiration: 2031-03-25
Also published as: CN102164079B

Abstract

本发明公开了一种基于网络测量的可信任视频应用申请方法，涉及互联网技术领域，基于网络测量的可信任视频应用申请方法属于互联网技术领域，其特征在于：在新一代可信任互联网体系结构的基础上，搭建视频服务平台，将安全性和网络测量集成到一个框架下。使用源地址认证技术，允许可信任的用户使用本方法到平台申请某类高性能应用，拒绝未经认证的用户；对经过源地址验证的用户进行网络测量，包括端到端链路性能测量和更细粒度的分段测量，网络管理员可以根据测量结果采取路由及资源调整策略，以满足视频应用对链路带宽和延时的要求。本发明使得用户能够有效地申请视频应用，保证了视频应用的可靠性及安全性。

Description

基于网络测量的可信任视频应用申请方法

技术领域

本发明涉及互联网技术领域，特别涉及一种基于网络测量的可信任视频应用申请方法。

背景技术

具有大数据量、低延时等技术特点的高性能视频传输系统(包括视频会议系统)是下一代互联网的典型应用，在安全性、实时性、端到端性能等方面对网络、端系统以及应用系统本身提出了很高要求。目前流行的视频应用系统包含DVTS系统、VLC系统和高清非压缩视频系统，分辨率从标清(720×480)到高清(1920×1080)，传输带宽从22Mbps到800Mbps，具有不同的特性，为用户不同需求提供不同服务。由于端口限速、网络拥塞等原因，当前的互联网不一定能满足视频传输系统对于带宽的要求。在此之前，并没有专门针对视频传输系统的解决网络问题的方法。因此，如果视频应用的用户之间的链路性能无法满足要求，视频传输系统则无法正常工作。

现有互联网的IP分组转发，主要基于目的IP地址，很少对分组的IP源地址的真实性进行检查，这使得分组的IP源地址容易伪造。因此，网络攻击者可以伪造分组的IP源地址，大量发送视频数据，以进行恶意攻击。视频传输系统占用大量的链路带宽，如果不受限制的任意使用，会给网络带来很大的负担。在新一代可信任互联网体系结构的基础上，源地址认证技术(Source Address ValidationArchitecture，SAVA)用以在网络层提供一种透明的服务，以确保互联网中转发的每一个分组都使用“真实IP源地址”。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是：在视频用户通过网络申请视频应用时，如何根据当前网络情况有效地申请视频应用；并且保证视频应用的可靠性及安全性。

(二)技术方案

为解决上述技术问题，本发明提供了一种基于网络测量的可信任视频应用申请方法，包括以下步骤：

S1：通信双方中的一方向视频服务平台管理调度服务器提交视频应用申请信息；

S2：视频服务平台管理调度服务器根据所述申请信息中的通信双方的IP地址对确定通信双方所在子网内视频服务网关GW1和GW3，若无对应网关，拒绝申请；

S3：视频服务平台管理调度服务器通过查询SAVA数据库，验证所述申请信息中用户IP地址的真实性；如不通过，则拒绝申请；

S4：视频服务平台管理调度服务器向所述GW1和GW3发送所述申请信息和网络测量命令，并接收GW1和GW3执行端到端的网络测量命令后返回的测量结果，根据测量结果中的传输延时、丢包率及网络带宽判断当前的网络状态是否适合实施所述视频应用类型对应的视频应用的要求，如果不满足，拒绝申请；

S5：申请成功后，视频服务平台管理调度服务器通知GW1和GW3开始转发视频流，直到申请的时段到期后结束转发视频流。

其中，所述步骤S1中通信双方中的一方提交视频应用申请信息具体包括：通信双方的地址、应用所需带宽及通信时段。

其中，所述视频服务网关GW1和GW3部署在视频应用端到端的传输路径上；并且由提供服务方主动部署，其本身IP地址真实可信。

其中，所述步骤S2中使用的SAVA数据库是由第三方提供的包含全球真实IP地址数据的数据库；视频服务平台管理调度服务器提供有查询SAVA数据库，并从该数据库获得确认信息的接口。

其中，所述步骤S4具体包括：

S4-1：向所述GW1和GW3发送所述申请信息和端到端的网络测量命令，并接收GW1和GW3的网络性能测量模块执行所述端到端的网络测量命令后向视频服务平台管理调度服务器返回的测量结果；

S4-2：所述管理调度服务器分析测量结果，根据所述申请信息中的视频应用类型判断当前网络是否满足实施所述视频应用类型对应的视频应用的传输延时、丢包率、及网络带宽的要求，如果不满足，向所述GW1和GW3发送分段测量命令，并接收所述GW1和GW3的网络性能测量模块执行所述分段测量命令后返回的测量结果；

S4-3：分析分段测量结果，找出网络链路瓶颈，并等待克服所述瓶颈后，视频服务平台管理调度服务器向所述GW1和GW3发送第二次端到端的网络测量命令，并接收所述GW1和GW3的网络性能测量模块执行所述第二次端到端的网络测量命令后返回的测量结果；

S4-4：分析测量结果，根据所述申请信息中的视频应用类型判断当前网络是否满足实施所述视频应用类型对应的视频应用的要求，如果不满足，拒绝申请。

其中，所述步骤4-2中GW1和GW3执行所述分段测量命令步骤包括：

S4-2-1：GW1发现从GW1到GW3所经过的各跳路由器IP地址；

S4-2-2：GW1根据路由器IP地址查找出对应的自治域内的测量服务器，并将结果告知GW3；

S4-2-3：GW3通过从所述测量服务器测量GW1到GW3的单向分段链路性能；

S4-2-4：GW3发现从GW3到GW1所经过的各跳路由器IP地址；

S4-2-5：GW3根据路由器IP地址查找出对应的自治域内的测量服务器，并将结果告知GW1；

S4-2-6：GW1通过从所述测量服务器测量GW3到GW1的单向分段链路性能；

S4-2-7：GW1和GW3返回各自的测量结果。

其中，所述测量服务器为自治域内性能最优的测量服务器。

其中，所述步骤S5由网关GW1和GW3的准入控制模块实现，具体包括：

S5-1：申请成功后，所述视频服务平台管理调度服务器将通知通信双方的网关为所述通信双方对转发视频流；

S5-2：通信双方使用通过认证的IP地址对启动视频应用。

其中，所述步骤S5中网关接受视频服务平台中管理服务器的指令仅为通信双方提供其申请时段内的视频转发服务。

(三)有益效果

本发明根据所申请的视频应用类型进行网络测量，能够检测出网络链路是否适合实施用户申请的视频应用，并能够检测出网络链路的瓶颈，使得用户能够有效地使用视频应用；并通过SAVA对申请用户进行IP地址检查，视频应用类型和申请时间段的检查，保证了视频应用的可靠性及安全性。

附图说明

图1是本发明实施例的一种基于网络测量的可信任视频应用申请方法实现的网络逻辑拓扑结构图；

图2是本发明实施例的一种基于网络测量的可信任视频应用申请方法流程图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

本实施例中，以用户vc1和vc3(即：通信双方)申请视频会议为例来说明本发明的方法，图1为发明实施方法的一种网络逻辑拓扑结构图，由用户子网内的视频服务网关GW和主服务域内的视频服务平台管理调度服务器MS组成。GW和MS为普通的服务器，本发明的方法基于GW和MS来实现。

1、视频服务网关

视频服务网关部署在用户子网内，安装VLC/DVTS和高清非压缩视频的模拟测量工具dvping/dvmcast/Hdvping，部署后24小时运行，等待管理调度服务器MS的访问，主要功能如下：

等待MS的连接请求，从MS获得视频应用申请信息及准许启动测量的信息，包括IP地址对、视频应用类型、使用视频应用的开始时间和结束时间；

收到MS启动测量的信息后，两个网关之间进行端到端链路性能测量，根据视频传输类型，分别启动不同的模拟测量工具，测量包括延时、丢包率、带宽在内的网络端到端性能；并将测量结果告知MS；

如果测量结果满足视频应用的要求，则无需进一步测量；否则MS会发送分段测量的命令，网关之间采用分段测量的方法确定链路瓶颈所在，并告知MS；在管理员解决链路瓶颈之后，再次进行端到端测量，将结果返回MS；

视频应用申请成功后，在应用进行时段内，进行用户之间视频数据的转发；其余时间停止转发数据，监听MS发来的请求，根据请求类型进行相应操作。

2、视频服务平台管理调度服务器

视频服务平台管理调度服务器部署web服务和视频传输系统真实地址数据库系统，负责与各个模块的接口，通过信令传输的方式与网关交互，其主要功能如下：

提供用户登陆系统的入口，接收来自用户的各项申请信息，包括地址对、应用类型、应用时间等，并将各种通知下发用户；

将用户地址对向SAVA数据库(Source Address ValidationArchitecture Database，SAVA DB)进行查询，检查用户地址对是否真实，允许经过地址认证的用户使用本方法，拒绝未经认证的用户，规范视频传输系统的使用。

与视频服务网关通信，告知其启动网络性能测量，打开或关闭网关数据转发功能；并接收测量结果，进而通知用户；

将符合真实地址认证和网络性能测量结果的数据存入其上的视频传输系统真实地址数据库，为同一用户后续的应用提供历史参考数据。

3、视频服务平台管理调度服务器维护的数据库

为了保存用户申请信息，包括视频应用申请信息和经SAVA验证的真实IP地址，管理调度服务器MS维护一个视频传输系统真实地址数据库，采用开源MySQL数据库搭建。MS根据用户的申请信息添加新条目或修改现有数据库内容。数据库的主要功能有：

视频应用申请信息的保存，包括双方的IP地址，视频应用类型，需要的带宽，使用视频应用的开始和结束时间。新申请和已经结束的申请都会在此数据库中保存。

保存真实的IP地址，此数据库保存通过SAVA数据库验证的IP地址，如果新应用需验证的IP在此数据库中，则无需再次查询SAVA数据库即可认定此IP真实，提高了查询速度。

IP地址的详细信息数据库。这个数据库保存IP地址的详细信息，包括自治域(Autonomouse System，AS)号，单位等等，可以在用户查询特定IP的真实性时提供详尽的信息。

数据库中视频应用的申请记录如下表：

表1数据库中视频应用的申请记录

id为申请序号，ip1和ip2为双方用户的IP地址，hg1和hg2为对应用户子网内的视频服务网关，vtype是视频应用类型，共三种，1～3分别代表DVTS、VLC和高清非压缩视频应用。bandwidth是视频服务网关提供的用户双向链路带宽，stime和etime分别为使用视频应用的开始时间和结束时间。code为申请的密码，结合会议id用于登陆本平台，申请未完成前可以用来继续申请，申请完成后可用来查询申请信息。fin指示申请是否完成，1为完成，0为未完成。

4、视频服务平台管理调度服务器和视频服务网关的通信

视频服务网关需要与管理调度服务器MS通信以获得申请信息和测量开始、转发视频应用数据等命令，由于通信内容不多，无需另外开发通信协议，本方法使用给动态网页传递参数的方法进行通信。网关和MS都部署web服务，当MS需要通知网关进行某种操作时，只需下载网关的对应页面，将信息通过网页参数发给网关，网关收到HTTP请求后，根据传递的信息执行相应操作。本发明使用PHP编写动态网页。

网关在收到连接请求时，需要验证请求是否来自MS，网关采用IP地址比较的方法进行验证。使用DNS解析MS的域名，video.sasm3.net，获得MS的IP地址，再通过PHP提供的$_SERVER[′REMOTE_ADDR′]函数获得请求页面的用户的IP地址，如果此IP和DNS解析的结果相同，说明此请求来自MS，执行相关操作；否则不是来自MS，拒绝此次请求。

5、本发明方法的具体实现流程：

用户vc1或vc3向MS提交申请的详细信息，包括用户双方的IP地址对，申请时间段(即应用开始和结束时间)，视频应用类型，包括：DVTS，需要的带宽为30Mbps；VLC，占用带宽22Mbps；高清非压缩，相应的带宽为800Mbps。

MS根据用户双方的IP地址对，确定对应的视频服务网关GW1和GW3。如果对应子网内没有网关，则拒绝申请。

MS对申请信息进行检查：

查询SAVA数据库以验证用户IP地址的真实性，并将SAVA的返回结果存入MS维护的视频传输系统真实地址数据库，以供后续使用。

判断申请的时间段是否合理。时间必须在当前时刻以后，且申请时间段必须长于1小时，短于5小时，这样设定考虑了实际开会的情况，过短的会议或过长的会议都当成一种对服务器的攻击对待。

如果提供的信息通过所有的检查，MS会返回一个序号和一个6位随机数，这两个信息的作用类似于用户名和密码，用在接下来的测试和以后查询信息。

网关接到MS发送的申请信息和测量命令后，进行端到端链路性能测量，并将测量结果返回MS。

MS分析测量结果，判断当前网络的丢包率、带宽、延时是否满足特定视频应用的要求。如果满足，则申请成功，将此申请存入数据库中；如果不满足，则通知网关进行分段测量。MS收到分段测量结果后，找出链路瓶颈，报告给网络管理员。

管理员采用路由调整策略解决链路瓶颈后，MS通知网关再次进行端到端链路测量。MS分析测量结果，如果当前网络情况满足视频应用的要求，则申请成功，将此申请存入数据库中；如果不满足，则拒绝用户的申请。

通过本发明的方法不但可以实现视频通话，还可以实现在线观看视频等视频应用。

由上可知，本方法完成了基于真实源地址的、支持分布式测量的视频传输服务平台设计；提出了基于测量的可信任视频应用申请方法，支持多种视频应用的申请，在一个框架下解决了安全性和链路性能问题。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。

Claims

1.一种基于网络测量的可信任视频应用申请方法，其特征在于，包括以下步骤：

2.如权利要求1所述的基于网络测量的可信任视频应用申请方法，其特征在于，所述步骤S1中通信双方中的一方提交视频应用申请信息具体包括：通信双方的地址、应用所需带宽及通信时段。

3.如权利要求1所述的基于网络测量的可信任视频应用申请方法，其特征在于，所述视频服务网关GW1和GW3部署在视频应用端到端的传输路径上；并且由提供服务方主动部署，其本身IP地址真实可信。

4.如权利要求1所述的基于网络测量的可信任视频应用申请方法，其特征在于，所述步骤S2中使用的SAVA数据库是由第三方提供的包含全球真实IP地址数据的数据库；视频服务平台管理调度服务器提供有查询SAVA数据库，并从该数据库获得确认信息的接口。

5.如权利要求1～4任一项所述的基于网络测量的可信任视频应用申请方法，其特征在于，所述步骤S4具体包括：

6.如权利要求5所述的基于网络测量的可信任视频应用申请方法，其特征在于，所述步骤4-2中GW1和GW3执行所述分段测量命令步骤包括：

S4-2-1：GW1发现从GW1到GW3所经过的各跳路由器IP地址；

S4-2-4：GW3发现从GW3到GW1所经过的各跳路由器IP地址；

S4-2-7：GW1和GW3返回各自的测量结果。

7.如权利要求6所述的基于网络测量的可信任视频应用申请方法，其特征在于，所述测量服务器为自治域内性能最优的测量服务器。

8.如权利要求1～4任一项所述的基于网络测量的可信任视频应用申请方法，其特征在于，所述步骤S5由网关GW1和GW3的准入控制模块实现，具体包括：

S5-2：通信双方使用通过认证的IP地址对启动视频应用。

9.如权利要求8所述的基于网络测量的可信任视频应用申请方法，其特征在于，所述步骤S5中网关接受视频服务平台中管理服务器的指令仅为通信双方提供其申请时段内的视频转发服务。