CN102480503A - P2p流量识别方法和装置 - Google Patents

Abstract

本发明提供了P2P流量识别方法和装置，该方法应用于连接被管理区域和外网的带宽管理设备上；该方法包括：A，所述带宽管理设备判断当前接收的UDP报文是否为会话首报文，如果是，执行步骤B，否则，执行步骤C；B，建立并记录所述UDP报文所属的会话，并判断所述UDP报文的相关节点是否在已建立的P2P节点表中，如果是，确定所述UDP报文为P2P流量，并标识所述UDP报文所属的会话为P2P流量，结束当前流程；C，判断所述UDP报文所属的会话是否被标识为P2P流量，如果是，确定所述UDP报文为P2P流量，结束当前流程；否则，执行步骤D；D，判断所述UDP报文所属的会话是否满足下载流匹配条件，如果是，更新所述相关节点上满足下载流匹配条件的会话信息，并根据所述相关节点上满足下载流匹配条件的会话信息判断所述相关节点是否满足P2P节点的匹配条件，如果是，将所述相关节点添加到所述P2P节点表中。采用本发明，能够准确识别P2P流量。

Description

P2P流量识别方法和装置

技术领域

本发明涉及通信技术，特别涉及点对点(P2P：Peer-to-peer)流量识别方法和装置。

背景技术

在P2P网络中，所有的节点都是对等的，节点之间通过直接互联来共享信息资源或进行文件交互，无需依赖集中式服务器。目前，Internet中有超过80％的流量都是P2P流量。

但是，P2P应用为网络带来的负面影响也不可忽视，比如：抢占大量网络带宽，有时抢占60％-80％的带宽，仅将剩余的少量带宽留给非P2P流量，使得Internet中非P2P流量不能正常传输，劣化了网络服务质量等。因此，为了确保其他正常服务，同时为了更好地发挥P2P技术的优势，需要识别P2P流量，并对识别的P2P流量进行限制。

现有技术中，对于明文的P2P流量的识别主要使用深度包检测(DPI)识别法，对于加密的P2P流量的识别主要通过使用解密关键数据流或基于行为特征识别法来识别。其中，DPI识别法通过数据包深层扫描，在TCP数据包或UDP数据包负载中查找一个协议区别于其它协议的特征字符串来识别网络应用流量。解密关键数据流是通过解密P2P软件产生的关键数据流，获取本地监听节点信息和远端节点信息，用于后续加密数据流的识别。基于行为特征识别法是指在一段时间内，用户保持的TCP或UDP连接中，目的端口在1024以上的连接数与目的端口在1024以下的连接数的比值大于阈值，则认为该用户正在使用P2P软件。

由于DPI识别法主要依赖于数据包负载来识别流量，因此，其针对已知的、使用明文的P2P流量，识别准确度可以达到95％以上，但是，对于使用未知协议的P2P流量和加密的P2P流量，该DPI识别法却无效。至于解密关键数据流，由于每种P2P协议使用的加密方法不同，甚至使用不对称的加密方法，这对解密处理提出了很高的要求。而基于行为特征识别法，其会导致一些其它应用(如游戏、数据库等应用)产生的流量被该错误识别，误报风险较大。因此，一种准确识别P2P流量的方法是当前亟待解决的技术问题。

发明内容

本发明提供了P2P流量识别方法和装置，实现准确识别P2P流量。

本发明提供的技术方案包括：

一种P2P流量识别方法，该方法应用于连接被管理区域和外网的带宽管理设备上；该方法包括：

A，所述带宽管理设备判断当前接收的UDP报文是否为会话首报文，如果是，执行步骤B，否则，执行步骤C；

B，建立并记录所述UDP报文所属的会话，并判断所述UDP报文的相关节点是否在已建立的P2P节点表中，如果是，确定所述UDP报文为P2P流量，并标识所述UDP报文所属的会话为P2P流量，结束当前流程；

C，判断所述UDP报文所属的会话是否被标识为P2P流量，如果是，确定所述UDP报文为P2P流量，结束当前流程；否则，执行步骤D；

D，判断所述UDP报文所属的会话是否满足下载流匹配条件，如果是，更新所述相关节点上满足下载流匹配条件的会话信息，并根据所述相关节点上满足下载流匹配条件的会话信息判断所述相关节点是否满足P2P节点的匹配条件，如果是，将所述相关节点添加到所述P2P节点表中。

一种用于识别P2P流量的带宽管理设备，所述带宽管理设备连接被管理区域和外网；所述带宽管理设备包括：

第一判断单元，用于判断当前接收的UDP报文是否为会话首报文；

第二判断单元，用于在所述第一判断单元的判断结果为是时，建立并记录所述UDP报文所属的会话，并判断所述UDP报文的相关节点是否在已建立的P2P节点表中，如果是，确定所述UDP报文为P2P流量，并标识所述UDP报文所属的会话为P2P流量，结束当前流程；

第三判断单元，用于在所述第一判断单元的判断结果为否时，判断所述UDP报文所属的会话是否被标识为P2P流量，如果是，确定所述UDP报文为P2P流量，结束当前流程；

第四判断单元，用于在所述的第三判断单元的判断结果为否时，判断所述UDP报文所属的会话是否满足下载流匹配条件；

第五判断单元，用于在所述第四判断单元的判断结果为是时，更新所述相关节点上满足下载流匹配条件的会话信息，并根据所述相关节点上满足下载流匹配条件的会话信息判断所述相关节点是否满足P2P节点的匹配条件，如果是，将该相关节点添加到所述P2P节点表中。

由以上技术方案可以看出，本发明中，带宽管理设备并非依赖于报文负载来识别P2P流量，而是利用于报文的行为特征来识别P2P流量，这相比于现有技术中的P2P流量识别法，不仅可以适用于识别明文的P2P流量，还可以识别未知协议的P2P流量和加密的P2P流量，提高了本发明的应用性，达到准确识别P2P流量的目的；

进一步地，本发明中，由于带宽管理设备并非依赖于报文负载来识别P2P流量，因此，相比于现有技术中的解密关键数据流，不会出现由于每种P2P协议使用的加密方法不同，甚至使用不对称的加密方法而导致对解密处理提出高要求的问题，并且，本发明通过下载流匹配条件能够避免一些其它应用(如游戏、数据库等应用)产生的流量被该错误识别。

附图说明

图1为本发明实施例提供的基本流程图；

图2为本发明实施例的应用示意图；

图3为本发明实施例提供的步骤104的流程图；

图4为本发明实施例提供的带宽管理设备结构图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

在描述本发明之前，先说明本发明实施例的应用范围。

所谓P2P流量，其是通过P2P应用软件实现的，而P2P应用软件与其他应用软件产生的流量的最大区别为：P2P应用软件会产生大量的下载数据流，并且同时存在双向连接，其中一个连接为由外网至被管理区域(记为入方向)的连接，另一个连接为由被管理区域至外网(记为出方向)的连接。当P2P应用软件启动时，为了能够为其他节点提供下载服务，需要创建可以处理连接请求的端口。对于使用TCP协议传输的P2P流量，只有入方向的TCP连接请求会使用P2P应用软件指定的端口，而出方向的TCP连接请求会使用远端的端口，并且，出方向的源端口由windows操作系统分配和指定。而对于使用UDP协议传输的P2P流量，无论是出方向的UDP连接请求还是入方向的UDP连接请求，都会使用P2P应用软件指定的端口。而本发明针对的是使用UDP协议传输的P2P流量的识别方法，具体见图1所示的流程。

参见图1，图1为本发明实施例提供的基本流程图。该流程应用于连接在被管理区域和外网的带宽管理设备上，具体可如图2所示的组网；如图1所示，该流程可包括以下步骤：

步骤101，带宽管理设备判断当前接收的UDP报文是否为会话首报文，如果是，执行步骤102；否则，执行步骤103。

本步骤101中，带宽管理设备可通过以下操作确定接收的UDP报文是否为会话首报文：判断已记录的会话中是否存在该UDP报文所属的会话，如果否，确定该UDP报文为会话首报文，如果是，确定该UDP报文不为会话首报文。

步骤102，建立并记录所述UDP报文所属的会话，并判断所述UDP报文的相关节点是否在已建立的P2P节点表中，如果是，确定所述UDP报文为P2P流量，并标识所述UDP报文所属的会话为P2P流量，结束当前流程。

本步骤102中，可基于UDP报文携带的五元组信息建立UDP报文所属的会话，而记录该UDP报文所属的会话，主要是记录该UDP报文携带的五元组信息、该UDP报文所属会话的标识和建立方向等信息。

至于UDP报文的相关节点，其与所述UDP报文的发送方向有关，如果所述UDP报文是由外网向被管理区域发送，则所述UDP报文的相关节点为目的节点；如果所述UDP报文是由被管理区域向外网发送，则所述UDP报文的相关节点为源节点。其中，本实施例中的节点比如源节点和目的节点均由IP地址、端口以及协议类型决定。

步骤103，判断所述UDP报文所属的会话是否被标识为P2P流量，如果是，执行步骤104；否则，执行步骤105。

步骤104，确定所述UDP报文为P2P流量，结束当前流程。

步骤105，判断所述UDP报文所属的会话是否满足下载流匹配条件，如果是，执行步骤106，否则，结束当前流程。

优选地，本实施例中，可在步骤103判断出所述UDP报文所属的会话未被标识为P2P流量后，且在执行本步骤105之前，可进一步包括：判断所述UDP报文所属的会话是否被标识为满足下载流匹配条件，如果是，则结束当前流程，否则，继续执行步骤105。

基于此，本步骤105中，在判断出所述UDP报文所属的会话满足下载流匹配条件，则进一步包括：将所述UDP报文所属的会话标识为满足下载流匹配条件。

至于步骤105中的判断操作，具体实现时可在下文进行描述。

步骤106，更新所述相关节点上满足下载流匹配条件的会话信息，并根据所述相关节点上满足下载流匹配条件的会话信息判断所述相关节点是否满足P2P节点的匹配条件，如果是，将所述相关节点添加到所述P2P节点表中。

其中，步骤106的具体操作在下文进行描述。

如此，通过上述步骤即可实现P2P流量的识别。之后，即可根据带宽管理策略对识别出的P2P流量进行控制，比如阻断P2P流量传输或限制P2P流量的传输速度等。

上述流程中，步骤105中的判断具体实现时可为：记录所述UDP报文的长度和方向；如果所述UDP报文所属的会话满足以下条件：在一个方向上连续出现UDP负载长度大于第一设定长度的UDP报文(比如，在一个方向上出现设定数量比如3个UDP负载长度大于第一设定长度的UDP报文)，而另一个方向上相应出现UDP负载长度小于第二设定长度的UDP报文，则确定所述UDP报文所属的会话满足下载流匹配条件。其中，第一设定长度大于第二设定长度，比如，第一设定长度为1000个字节，而第二设定长度为几十个字节。通常，应用流比如一般的游戏等都不会满足上述条件，因此，通过步骤103中的判断操作能够区分出下载流和应用流。

作为本发明实施例的一种扩展，步骤105中的判断也可为：记录所述UDP报文的长度和方向；如果所述UDP报文所属的会话满足以下条件：一个方向上的UDP报文负载长度与另一个方向上相应出现的UDP报文负载长度之间的倍数关系连续在第一设定倍数和第二设定倍数之间，则确定所述UDP报文所属的会话满足下载流匹配条件，其中，第二设定倍数大于或等于第一设定倍数。通常，应用流比如一般的游戏等负载长度不规律，因此，通过步骤105中的判断操作能够区分出下载流和应用流。

需要说明的是，本实施例中，为节省资源，可针对每个会话设置需要处理的报文数量。假如步骤101接收的UDP报文所属的会话为会话1，并且，该接收的UDP报文并非为会话1的首报文，基于此，在步骤103判断出该接收的UDP报文所属的会话未被标识为P2P流量后，且在执行步骤105之前，判断已处理的会话1的报文数量当前是否达到该会话1需要处理的报文数量，如果是，则不执行步骤105，结束当前流程；如果否，则继续执行步骤105。

在上述流程中，步骤106具体可包括图3所示的流程：

参见图3，图3为本发明实施例提供的步骤106的流程图。如图3所示，该流程可包括以下步骤：

步骤301，在已设置的所述相关节点对应的统计表项中记录所述UDP报文所属会话的信息。

由于步骤301是在步骤105的判断结果为是时执行的，因此，可以看出，步骤301中的统计表项主要记录了相关节点上满足下载流匹配条件的会话信息。其中，该会话信息至少包含UDP报文所属会话的标识和建立方向，至于会话的建立方向，其由该会话的首报文的发送方向决定，具体包括：由外网至被管理区域的第一建立方向和由被管理区域至外网的第二建立方向。

步骤302，判断所述统计表项中满足第一建立方向的会话数量和满足第二建立方向的会话数量是否均达到对应的阈值，如果是，确定该相关节点为P2P节点，将该相关节点添加到所述P2P节点表中。

优选地，本实施例中，在执行将所述相关节点添加到P2P节点表的操作时，可进一步执行以下操作：将该相关节点上满足下载流匹配条件的所有会话均标识为P2P流量，以便后续P2P流量的确定。

本实施例中，可使用哈希(hash)表管理P2P节点表中的各个节点。

本实施例中，为避免累计效应造成的误报，可对步骤301中的统计表项和步骤302中的P2P节点表引入老化机制，具体可根据实际情况设置，这里不再赘述。

至此，通过上述步骤即可完成步骤106的操作。

以上对本发明实施例提供的方法进行了描述。下面对本发明实施例提供的用于识别P2P流量的带宽管理设备进行描述。

参见图4，图4为本发明实施例提供的带宽管理设备结构图。其中，该带宽管理设备连接被管理区域和外网；如图4所示，该带宽管理设备包括：

第一判断单元401，用于判断当前接收的UDP报文是否为会话首报文；

第二判断单元402，用于在第一判断单元401的判断结果为是时，建立并记录所述UDP报文所属的会话，并判断所述UDP报文的相关节点是否在已建立的P2P节点表中，如果是，确定所述UDP报文为P2P流量，并标识所述UDP报文所属的会话为P2P流量，结束当前流程；

第三判断单元403，用于在第一判断单元401的判断结果为否时，判断所述UDP报文所属的会话是否被标识为P2P流量，如果是，确定所述UDP报文为P2P流量，结束当前流程；

第四判断单元404，用于在第三判断单元403的判断结果为否时，判断所述UDP报文所属的会话是否满足下载流匹配条件；

第五判断单元405，用于在第四判断单元404的判断结果为是时，更新所述相关节点上满足下载流匹配条件的会话信息，并根据所述相关节点上满足下载流匹配条件的会话信息判断所述相关节点是否满足P2P节点的匹配条件，如果是，将该相关节点添加到所述P2P节点表中。

其中，第一判断单元401收到UDP报文后，判断已记录的会话中是否存在该UDP报文所属的会话，如果否，确定该UDP报文为会话首报文，如果是，确定该UDP报文不为会话首报文。

优选地，如图4所示，所述带宽管理设备进一步包括：第六判断单元406。

其中，第六判断单元406连接在第三判断单元403和第四判断单元404之间，用于在第三判断单元403的判断结果为否时，且在第四判断单元404执行判断操作之前，判断所述UDP报文所属的会话是否被标识为满足下载流匹配条件，如果是，则结束当前流程，否则，触发第四判断单元404执行判断操作。

本实施例中，第四判断单元404具体实现时可包括：

记录子单元4041，用于记录所述UDP报文的长度和方向；

确定子单元4042，用于在所述UDP报文所属的会话满足以下条件：在一个方向上连续出现UDP负载长度大于第一设定长度的UDP报文，而另一个方向上相应出现UDP负载长度小于第二设定长度的UDP报文，其中，第一设定长度大于第二设定长度，确定所述UDP报文所属的会话满足下载流匹配条件。

本实施例中，UDP报文的相关节点与UDP报文的发送方向有关，如果所述UDP报文由外网向被管理区域发送，则所述相关节点为目的节点；如果所述UDP报文由被管理区域向外网发送，则所述相关节点为源节点；其中，所述源节点和目的节点均由IP地址、端口、以及协议类型决定。

本实施例中，第五判断单元405具体实现时可包括：

更新子单元4051，用于在与所述相关节点对应的统计表项中记录所述UDP报文所属会话的信息，该会话信息包含所述UDP报文所属会话的标识和建立方向；其中，会话的建立方向由该会话的首报文的发送方向决定，具体包括：由外网至被管理区域的第一建立方向和由被管理区域至外网的第二建立方向；

添加子单元4052，用于判断所述统计表项中满足第一建立方向的会话数量和满足第二建立方向的会话数量是否均达到对应的阈值，如果是，确定该相关节点为P2P节点，将该相关节点添加到所述P2P节点表中。

至此，对本发明实施例提供的带宽管理设备的结构完成了描述。

由以上技术方案可以看出，本发明中，带宽管理设备并非依赖于报文负载来识别P2P流量，而是利用于报文的行为特征来识别P2P流量，这相比于现有技术中的P2P流量识别法，不仅可以适用于识别明文的P2P流量，还可以识别未知协议的P2P流量和加密的P2P流量，提高了本发明的应用性，达到准确识别P2P流量的目的；

进一步地，本发明中，由于带宽管理设备并非依赖于报文负载来识别P2P流量，因此，相比于现有技术中的解密关键数据流，不会出现由于每种P2P协议使用的加密方法不同，甚至使用不对称的加密方法而导致对解密处理提出高要求的问题，并且，本发明通过下载流匹配条件能够避免一些其它应用(如游戏、数据库等应用)产生的流量被该错误识别。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (12)

1.一种P2P流量识别方法，该方法应用于连接被管理区域和外网的带宽管理设备上；其特征在于，该方法包括：

A，所述带宽管理设备判断当前接收的UDP报文是否为会话首报文，如果是，执行步骤B，否则，执行步骤C；

B，建立并记录所述UDP报文所属的会话，并判断所述UDP报文的相关节点是否在已建立的P2P节点表中，如果是，确定所述UDP报文为P2P流量，并标识所述UDP报文所属的会话为P2P流量，结束当前流程；

C，判断所述UDP报文所属的会话是否被标识为P2P流量，如果是，确定所述UDP报文为P2P流量，结束当前流程；否则，执行步骤D；

D，判断所述UDP报文所属的会话是否满足下载流匹配条件，如果是，更新所述相关节点上满足下载流匹配条件的会话信息，并根据所述相关节点上满足下载流匹配条件的会话信息判断所述相关节点是否满足P2P节点的匹配条件，如果是，将所述相关节点添加到所述P2P节点表中。

2.根据权利要求1所述的方法，其特征在于，步骤A中，所述带宽管理设备接收到UDP报文后，判断已记录的会话中是否存在该UDP报文所属的会话，如果否，确定该UDP报文为会话首报文，如果是，确定该UDP报文不为会话首报文。

3.根据权利要求1所述的方法，其特征在于，在步骤C判断出所述UDP报文所属的会话未被标识为P2P流量后，且在执行步骤D之前，进一步包括：

判断所述UDP报文所属的会话是否被标识为满足下载流匹配条件，如果是，则结束当前流程，否则，继续执行步骤D；

在步骤D中，如果判断出所述UDP报文所属的会话满足下载流匹配条件，则进一步包括：将所述UDP报文所属的会话标识为满足下载流匹配条件。

4.根据权利要求1或3所述的方法，其特征在于，步骤D中，判断所述UDP报文所属的会话是否满足下载流匹配条件包括：

记录所述UDP报文的长度和方向；

如果所述UDP报文所属的会话满足以下条件：在一个方向上连续出现UDP负载长度大于第一设定长度的UDP报文，而另一个方向上相应出现UDP负载长度小于第二设定长度的UDP报文，其中，第一设定长度大于第二设定长度，则确定所述UDP报文所属的会话满足下载流匹配条件。

5.根据权利要求1所述的方法，其特征在于，步骤B中，如果所述UDP报文由外网向被管理区域发送，则所述相关节点为目的节点；如果所述UDP报文由被管理区域向外网发送，则所述相关节点为源节点；其中，所述源节点和目的节点均由IP地址、端口、以及协议类型决定。

6.根据权利要求1或5所述的方法，其特征在于，步骤D中，更新相关节点上满足下载流匹配条件的会话信息，并根据相关节点上满足下载流匹配条件的会话信息判断相关节点是否满足P2P节点的匹配条件包括：

D1，在与所述相关节点对应的统计表项中记录所述UDP报文所属会话的信息，该会话信息包含所述UDP报文所属会话的标识和建立方向；其中，会话的建立方向由该会话的首报文的发送方向决定，具体包括：由外网至被管理区域的第一建立方向和由被管理区域至外网的第二建立方向；

D2，判断所述统计表项中满足第一建立方向的会话数量和满足第二建立方向的会话数量是否均达到对应的阈值，如果是，确定所述相关节点为P2P节点，将该相关节点添加到所述P2P节点表中。

7.一种用于识别P2P流量的带宽管理设备，所述带宽管理设备连接被管理区域和外网；其特征在于，所述带宽管理设备包括：

第一判断单元，用于判断当前接收的UDP报文是否为会话首报文；

第二判断单元，用于在所述第一判断单元的判断结果为是时，建立并记录所述UDP报文所属的会话，并判断所述UDP报文的相关节点是否在已建立的P2P节点表中，如果是，确定所述UDP报文为P2P流量，并标识所述UDP报文所属的会话为P2P流量，结束当前流程；

第三判断单元，用于在所述第一判断单元的判断结果为否时，判断所述UDP报文所属的会话是否被标识为P2P流量，如果是，确定所述UDP报文为P2P流量，结束当前流程；

第四判断单元，用于在所述第三判断单元的判断结果为否时，判断所述UDP报文所属的会话是否满足下载流匹配条件；

第五判断单元，用于在所述第四判断单元的判断结果为是时，更新所述相关节点上满足下载流匹配条件的会话信息，并根据所述相关节点上满足下载流匹配条件的会话信息判断所述相关节点是否满足P2P节点的匹配条件，如果是，将该相关节点添加到所述P2P节点表中。

8.根据权利要求7所述的带宽管理设备，其特征在于，所述第一判断单元收到UDP报文后，判断已记录的会话中是否存在该UDP报文所属的会话，如果否，确定该UDP报文为会话首报文，如果是，确定该UDP报文不为会话首报文。

9.根据权利要求7所述的带宽管理设备，其特征在于，所述带宽管理设备进一步包括：第六判断单元；

所述第六判断单元连接在所述第三判断单元和所述第四判断单元之间，用于在所述第三判断单元的判断结果为否时，且在第四判断单元执行判断操作之前，判断所述UDP报文所属的会话是否被标识为满足下载流匹配条件，如果是，则结束当前流程，否则，触发所述第四判断单元执行判断操作。

10.根据权利要求7或9所述的带宽管理设备，其特征在于，所述第四判断单元包括：

记录子单元，用于记录所述UDP报文的长度和方向；

确定子单元，用于在所述UDP报文所属的会话满足以下条件：在一个方向上连续出现UDP负载长度大于第一设定长度的UDP报文，而另一个方向上相应出现UDP负载长度小于第二设定长度的UDP报文，其中，第一设定长度大于第二设定长度，确定所述UDP报文所属的会话满足下载流匹配条件。

11.根据权利要求7所述的带宽管理设备，其特征在于，如果所述UDP报文由外网向被管理区域发送，则所述相关节点为目的节点；如果所述UDP报文由被管理区域向外网发送，则所述相关节点为源节点；其中，所述源节点和目的节点均由IP地址、端口、以及协议类型决定。

12.根据权利要求7或11所述的带宽管理设备，其特征在于，所述第五判断单元包括：

更新子单元，用于在与所述相关节点对应的统计表项中记录所述UDP报文所属会话的信息，该会话信息包含所述UDP报文所属会话的标识和建立方向；其中，会话的建立方向由该会话的首报文的发送方向决定，具体包括：由外网至被管理区域的第一建立方向和由被管理区域至外网的第二建立方向；

添加子单元，用于判断所述统计表项中满足第一建立方向的会话数量和满足第二建立方向的会话数量是否均达到对应的阈值，如果是，确定该相关节点为P2P节点，将该相关节点添加到所述P2P节点表中。

Images