CN102340454B - 一种VoIP网络数据流的通用识别方法 - Google Patents

Abstract

本发明公开了一种VoIP网络数据流的通用识别技术，属于计算机网络管理领域，特别是涉及对未知流媒体协议的VoIP数据流的识别技术。主要内容包括捕获网络流量，对其中的UDP数据包进行分析，如果UDP数据在考察范围内，就对数据流进行跟踪分析，统计出特征表现分值，即数据流的匀速性特征值和有效载荷长度固定性特征值，对其进行相应的计算，判定它是否属于VoIP数据流。本发明很好的解决了VoIP数据流识别准确度低、效率不高和流媒体私有协议识别困难等问题，极大提高对VoIP数据流识别的准确性、可靠性和有效性。

Description

一种VoIP网络数据流的通用识别方法

技术领域

本发明属于计算机网络领域，特别是涉及计算机网络中未知流媒体协议的VoIP数据流的识别技术。

背景技术

网络数据流识别是网络测量的主要手段。随着网络流媒体技术发展，IP电话日益普及，互联网中出现大量携带语音数据的IP数据包(VoIP数据包)，这些数据包统称为VoIP数据流。出于网络管理需要，对这部分数据包进行流量分析和处理。

VoIP(Voice over Internet Protocol)以IP为网络层协议，利用Internet为传输载体实现语音信号传送，已形成一种新型电信业务。它实现了PC对PC、PC对电话、电话对电话的连接。VoIP基本原理是对语音数据进行压缩编码处理，然后把这些语音数据按IP等相关协议进行打包，由IP网络负责把数据包传输到接收地，再经过解码解压处理后，恢复成原来的语音信号，达到由IP网络传送语音的目的。

现有VoIP网络数据流识别方法，从技术手段上可以划分为3类，第1类为传输层端口分析法，通过观察IP数据包中应用层协议端口号来识别流量类型，这种方法简单，开销很小，易实现，最大的缺点是不准确；第2类是特征流量识别法，根据不同应用表现出不同特征来识别数据包所对应的业务，存在的问题是扩展性差，它需要通过大量的事前分析来确定排它的特征；第3类是协议流程分析法，依据构成一次应用中多个会话之间的联系，从控制会话中提取动态会话信息，依据这些信息来识别该应用涉及的动态会话，此方法对流媒体协议识别困难，不能识别协议关键字。

本发明依据VoIP多媒体数据在网络传输过程中的码流大小和VoIP应用的实时性和均匀性特征，采用统计的方法，能够在不分析封装格式、不检测应用层流媒体协议的情况下，实现对VoIP数据流的识别。

发明内容

本发明的目的是为了解决现有VoIP网络数据流识别方法的准确度低、效率不高和流媒体私有协议识别困难等问题，提供一种VoIP网络数据流通用识别方法，可直接应用于VoIP网络管理，提高VoIP网络QoS要求。

VoIP应用与网络中其它应用业务相比，具有两个突出特点，一是实时性，在通话过程中，发送方必须不停地向接收方发送数据包，以保证语音信号不会中断；二是均匀性，在通话过程中，发送方向接收方发出的语音数据是基本均匀分布的，即语音数据在压缩后的封装大小、频率是基本均匀的。

VoIP应用特点使得在网络中传输的VoIP数据流表现出相应特征，一是持续匀速性，即发送方向接收方发送数据包时，持续不断发送，而且单位时间内发送方发送的数据包数量相对稳定，不会出现较大波动。这一特征为识别VoIP流提供了一个有力依据。二是长度固定性，即数据包中的有效载荷长度基本固定，不论发送方采取的是何种协议类型，对于同一次会话的数据包，采取的报文封装方法、封装大小是基本一致的，即报文中携带的有效载荷长度基本一致。对截取到的数据包进行分析，将IP包长度减去IP首部长度和UDP首部长度，得出报文的有效载荷长度。通过对网络数据流这两个特征进行识别，从网络流中有效地区分出VoIP数据流。

本发明所涉及的VoIP数据流通用识别方法，很好的解决了VoIP数据流识别准确度低、效率不高和流媒体私有协议识别困难等问题，极大提高对VoIP数据流识别的准确性、可靠性和有效性。

具体实施方式

本发明通过对监控范围的UDP数据包进行统计分析，得出以上两个特征的流量表现分值和总表现分值，判断该流量是否属于VoIP流量，具体步骤如下：

1)捕获网络流量，对其中的UDP数据包进行分析。

对收到的UDP数据包进行统计，统计在监控时间段内具有相同IP源地址、IP目的地址、源端口和目的端口的数据包，将符合这些条件的数据流列入待考察流量。

2)对已在待考察范围的网络流进行跟踪。

对捕获到的数据包以网络流为单位进行跟踪和分析。网络流定义为：在同一组特定源地址和目标地址、源端口和目的端口之间传输的有固定协议类型的数据包的集合。该步骤对每个UDP数据包进行分析，获取其如下信息：源IP地址、目的IP地址、源端口和目的端口，以及IP报文总长度、IP首部长度、UDP首部长度和接收到报文的时间。将所有源IP地址、目的IP地址、源端口和目的端口都相同的UDP数据包看做同一个网络流进行处理。如果2个UDP数据包具有相同的源IP地址、目的IP地址、源端口和目的端口，则该2个数据包属于同一网络流。将网络流定义为FLOW，将同一网络流中的数据包个数定义为N。将同一网络流中的各个数据包按照捕获的先后顺序依次定义为P₁、P₂、...P_N，将这N个数据包的捕获时刻依次定义为TS₁、TS₂、...TS_N，将这N个数据包的长度分别定义为L₁、L₂、...L_N。

3)对每个网络流的数据包进行分析，得出各特征参数的数值。

为每个网络流定义2个特征参数：参数1为流的匀速性特征参数SPEED，参数2为有效载荷长度固定性特征参数PAYLEN。

各个特征的分析方法和计算公式如下：

a.流的匀速性特征参数SPEED

对于一个网络流FLOW，定义任意两个数据包P_i和P_i+1之间的时间间隔为D_i＝TS_i+1-TS_i，则数据包P₁、P₂、...P_N之间的时间间隔可分别定义为D₁、D₂、...D_N-1，将D₁、D₂、...D_N-1的平均值定义为D_avg，以毫秒(ms)为计量单位，定义振动区间RANGE＝{D_min，D_max}，其中D_min＝D_avg×0.8-30ms，D_max＝D_avg×1.2+30ms，然后对D₁、D₂、...D_N-1依次进行检查，如果D_min＜D_i＜D_max，则D_i在振动区间RANGE内；将D₁、D₂、...D_N-1中所有在RANGE内的D_i进行统计计数，可获得计数值M，即：在D₁、D₂、...D_N-1中存在M个成员，这M个成员均在振动区间RANGE内，则SPEED参数的计算方法为：

b.有效载荷长度固定性特征参数PAYLEN

为每个网络流定义3个有效载荷长度基准值STD₁、STD₂和STD₃，以字节(Byte)为单位，初始值均为0；同时设置3个相应的计数器COUNT₁、COUNT₂和COUNT₃，分别记录与上述3个基准值长度接近的数据包数量，初始值也均为0。如果某个数据包Pi的有效载荷长度Li接近于某个基准值STD₁，则相应的计数器COUNT₁加1。

判断数据包P_i的有效载荷长度L_i是否接近于某个基准值STD₁、STD₂或STD₃的方法为：如果STD₁-10bytes＜L_i＜STD₁+10bytes，则L_i接近于基准值STD₁，反之，L_i与基准值STD₁不接近。判断L_i是否接近于基准值STD₂或STD₃的方法与上述方法一致。

根据基准值计算PAYLEN参数的算法过程为：

<1>从L₁，L₂，...L_N中依次取出下一个成员L_i。

<2>检查基准值STD₁是否为0，如果为0，则STD₁＝L_i，COUNT₁＝1，回到第<1>步；否则进入第<3>步。

<3>如果STD₁＞0，则判断L_i是否接近于基准值STD₁，如果接近，则COUNT₁＝COUNT₁+1，回到第<1>步；否则进入第<4>步。

<4>如果L_i与基准值STD₁不接近，则检查基准值STD₂是否为0，如果为0，则STD₂＝L_i，COUNT₂＝1，回到第<1>步；否则进入第<5>步。

<5>如果STD₂＞0，则判断L_i是否接近于基准值STD₂，如果接近，则COUNT₂＝COUNT₂+1，回到第<1>步；否则进入第<6>步。

<6>如果L_i与基准值STD₂不接近，则检查基准值STD₃是否为0，如果为0，则STD₃＝L_i，COUNT₃＝1，回到第<1>步；否则进入第<7>步。

<7>如果STD₃＞0，则判断L_i是否接近于基准值STD₃，如果接近，则COUNT₃＝COUNT₃+1，回到第<1>步；否则也进入第<1>步。

经过以上步骤，确定了三个基准值STD₁、STD₂和STD₃，并且对长度接近于上述三个基准值的数据包数量进行了统计，分别得到了COUNT₁、COUNT₂和COUNT₃。

当N个数据包的长度均被分析完成后，PAYLEN参数可通过以下公式进行计算：

4)VoIP会话判定。

针对每个网络流，均获得以上2个特征参数SPEED和PAYLEN的值，如果上述两个特征参数值均大于85，且SPEED和PAYLEN的值相加的总和大于180，则判定该网络流为VoIP数据流。

Claims (1)

1.一种VoIP网络数据流通用识别方法，其特征在于，它由以下步骤实现：

第一步：捕获网络流量，对其中的UDP数据包进行分析，提取在监控时间段内具有相同IP源地址、IP目的地址、源端口和目的端口的数据包，将符合这些条件的数据包列入待考察流量；

第二步：对捕获到的数据包以网络流为单位进行跟踪和分析，该步骤对每个UDP数据包进行分析，获取其如下信息：源IP地址、目的IP地址、源端口和目的端口，以及IP报文总长度、IP首部长度、UDP首部长度、接收到报文的时间，将所有源IP地址、目的IP地址、源端口和目的端口都相同的UDP数据包视为同一个网络流进行处理，如果2个UDP数据包具有相同的源IP地址、目的IP地址、源端口和目的端口，则这2个数据包属于同一网络流，并定义该网络流为FLOW；将同一网络流中的数据包个数定义为N，将同一网络流中的各个数据包按照捕获的先后顺序依次定义为P₁、P₂、...P_N，将这N个数据包的捕获时刻依次定义为TS₁、TS₂、...TS_N，将这N个数据包的长度分别定义为L₁、L₂、...L_N；

第三步：对每个网络流的数据包进行分析，得到匀速性特征参数SPEED和有效载荷长度固定性特征参数PAYLEN的数值；

特征参数SPEED和PAYLEN的分析方法和计算公式如下：

(1)流的匀速性特征参数SPEED数值

对于一个网络流FLOW，定义任意两个数据包P_i和P_i+1之间的时间间隔为D_i＝TS_i+1-TS_i，则数据包P₁、P₂、...P_N之间的时间间隔可分别定义为D₁、D₂、...D_N-1，将D₁、D₂、...D_N-1的平均值定义为D_avg，以毫秒(ms)为计量单位，定义振动区间RANGE＝{D_min，D_max)，其中D_min＝D_avg×0.8-30ms，D_max＝D_avg×1.2+30ms，然后对D₁、D₂、...D_N-1依次进行检查，如果D_min＜D_i＜D_max，则D_i在振动区间RANGE内；将D₁、D₂、...D_N-1中所有在RANGE内的D_i进行统计计数，可获得计数值M，即：在D₁、D₂、...D_N-1中存在M个成员，这M个成员均在振动区间RANGE内，则SPEED参数的计算方法为：

<mrow> <mi>S</mi> <mi>P</mi> <mi>E</mi> <mi>E</mi> <mi>D</mi> <mo>=</mo> <mfrac> <mi>M</mi> <mrow> <mo>(</mo> <mi>N</mi> <mo>-</mo> <mn>1</mn> <mo>)</mo> </mrow> </mfrac> <mo>&amp;times;</mo> <mn>100</mn> </mrow>

(2)有效载荷长度固定性特征参数PAYLEN数值

为每个网络流定义3个有效载荷长度基准值STD₁、STD₂和STD₃，以字节(Byte)为单位，初始值均为0；同时设置3个相应的计数器COUNT₁、COUNT₂和COUNT₃，分别记录与上述3个基准值长度接近的数据包数量，初始值也均为0，根据基准值计算PAYLEN参数的算法过程为：

<1>从L₁，L₂，...L_N中依次取出下一个成员L_i；

<2>检查基准值STD₁是否为0，如果为0，则STD₁＝L_i，COUNT₁＝1，回到第<1>步，否则进入第<3>步；

<3>如果STD₁＞0，则判断L_i是否接近于基准值STD₁，如果接近，则COUNT₁＝COUNT₁+1，回到第<1>步；否则进入第<4>步；

<4>如果L_i与基准值STD₁不接近，则检查基准值STD₂是否为0，如果为0，则STD₂＝L_i，COUNT₂＝1，回到第<1>步；否则进入第<5>步；

<5>如果STD₂＞0，则判断L_i是否接近于基准值STD₂，如果接近，则COUNT₂＝COUNT₂+1，回到第<1>步；否则进入第<6>步；

<6>如果L_i与基准值STD₂不接近，则检查基准值STD₃是否为0，如果为0，则STD₃＝L_i，COUNT₃＝1，回到第<1>步；否则进入第<7>步；

<7>如果STD₃＞0，则判断L_i是否接近于基准值STD₃，如果接近，则COUNT₃＝COUNT₃+1，回到第<1>步；否则也进入第<1>步；

上述步骤中，判断数据包P_i的有效载荷长度L_i是否接近于某个基准值STD₁、STD₂或STD₃的方法为：如果STD₁-10bytes＜L_i＜STD₁+10bytes，则L_i接近于基准值STD₁，反之，L_i与基准值STD₁不接近；判断L_i是否接近于基准值STD₂或STD₃的方法与上述方法一致；

经过以上步骤，确定三个基准值STD₁、STD₂和STD₃，并且对长度接近上述三个基准值的数据包数量进行统计，分别得到了COUNT₁、COUNT₂和COUNT₃，当N个数据包的长度均被分析完成后，PAYLEN参数通过公式进行计算；

第四步：进行VoIP数据流判定；

针对每个网络流，均获得以上2个特征参数SPEED和PAYLEN的值，如果上述两个特征参数值均大于85，且SPEED和PAYLEN的值相加的总和大于180，则判定该网络流为VoIP数据流。