CN103457803A

CN103457803A - 一种点对点流量识别装置和方法

Info

Publication number: CN103457803A
Application number: CN2013104106867A
Authority: CN
Inventors: 龚一斌
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: New H3C Technologies Co Ltd
Priority date: 2013-09-10
Filing date: 2013-09-10
Publication date: 2013-12-18
Anticipated expiration: 2033-09-10
Also published as: CN103457803B

Abstract

本发明提供一种点对点流量识别装置和方法，所述方法包括：步骤A、判断接收到的报文是否携带已知的应用流量特征，如果是，转步骤B，如果否，则所述报文为待确认报文，转步骤D；步骤B、判断所述接收到的报文是否携带P2P流量特征，如果是，则确定所述报文为第一P2P流量报文，转步骤C；步骤C、定期从中心服务器下载全局P2P节点数据以更新本地P2P节点数据库，将第一P2P流量报文中的预设报文特征更新到本地P2P节点数据库中，并上传所述本地P2P节点数据到中心服务器；步骤D、根据待确认报文中的预设报文特征查询所述本地P2P节点数据库，如果命中，则确认待确认报文为第二P2P流量报文。通过本发明的技术方案，提高了P2P流量报文的识别率和识别准确率。

Description

一种点对点流量识别装置和方法

技术领域

本发明涉及通信技术领域，尤其涉及一种点对点流量识别装置和方法。

背景技术

在点对点(P2P，Peer to Peer)网络中，所有的节点都是对等的，节点之间直接互连共享信息资源或进行文件交互，无需依赖集中式服务器。P2P技术具有传输速度快、资源占用低等特点。

随着因特网(Internet)的不断普及，P2P技术得到了极为广泛的应用。P2P流量超过了超文本传送协议（hypertext transport protocol，HTTP）和文件传输协议（File Transfer Protocol，FTP），占据了整个网络流量的一半以上，占用了大量带宽，引起网络拥塞，大大降低网络性能，劣化了网络服务质量，妨碍了正常的网络业务开展和关键应用，严重影响了用户正常的Web、E-mail等应用。因此，对P2P流量的识别和监控就成为了亟待解决的问题。

发明内容

有鉴于此，本发明提供一种点对点流量识别装置和方法，应用在带宽管理设备上。

具体地，所述装置包括：

应用识别模块，用于根据预设的方法，判断接收到的报文是否携带已知的应用流量特征，如果是，则转特征识别模块，如果否，则所述报文为待确认报文，转查表识别模块；

特征识别模块，用于判断所述接收到的报文是否携带P2P流量特征，如果是，则确定所述报文为第一P2P流量报文，转数据维护模块；

数据维护模块，用于定期从中心服务器下载全局P2P节点数据以更新本地P2P节点数据库，将所述第一P2P流量报文中的预设报文特征作为P2P节点数据更新到本地P2P节点数据库中，并上传所述本地P2P节点数据到中心服务器；

查表识别模块，用于根据所述待确认报文中的预设报文特征查询所述本地P2P节点数据库，如果命中，则确认所述待确认报文为第二P2P流量报文。

所述方法包括：

步骤A、根据预设的方法，判断接收到的报文是否携带已知的应用流量特征，如果是，则转步骤B，如果否，则所述报文为待确认报文，转步骤D；

步骤B、判断所述接收到的报文是否携带P2P流量特征，如果是，则确定所述报文为第一P2P流量报文，转步骤C；

步骤C、定期从中心服务器下载全局P2P节点数据以更新本地P2P节点数据库，将所述第一P2P流量报文中的预设报文特征作为P2P节点数据更新到本地P2P节点数据库中，并上传所述本地P2P节点数据到中心服务器；

步骤D、根据所述待确认报文中的预设报文特征查询所述本地P2P节点数据库，如果命中，则确认所述待确认报文为第二P2P流量报文。

由以上描述可以看出，本发明中带宽管理设备将自身已识别的P2P节点数据上传到中心服务器，又从中心服务器下载全局的P2P节点数据，从而实现全局P2P节点数据的共享。进而，带宽管理设备可以通过已知的应用流量特征和所述全局P2P节点数据这样的双重机制来识别P2P流量报文。进一步提高对P2P流量报文，尤其是加密P2P流量报文的识别率和识别准确率。

附图说明

图1是本发明一种实施例点对点流量识别装置的逻辑结构图；

图2是本发明一种实施例点对点流量识别方法的流程示意图；

图3是本发明一种实施例带宽管理设备与中心服务器交互示意图。

具体实施方式

目前，对于明文的P2P流量的识别主要是采用特征识别，主要使用深度包检测（DPI，Deep Packet Inspection）识别算法。DPI识别算法通过数据包深层扫描，查找一个协议区别于其它协议的特征字符串来识别网络应用流量。

为了防止P2P流量被识别和控制，当前主流的P2P下载工具，如迅雷、BT以及eDonkey等，都开始支持加密传输的方式，使得传统的基于特征识别P2P流量的方法失效。对于加密的P2P流量的识别目前主要通过使用解密关键数据流或基于行为特征识别法来识别。其中，

解密关键数据流是通过解密P2P软件产生的关键数据流，获取本地监听节点信息和远端节点信息，用于后续加密数据流的识别。对于解密关键数据流，不同P2P下载工具的加密算法不同，同一种P2P下载工具在不同的版本中也可能发生变化，采用不同的加密算法。因此，无法通过通用的算法统一识别多种P2P下载工具的加密P2P流量，同时，对流量进行解密操作对设备的性能开销非常大，设备的整体处理性能会受到比较大的影响。而基于行为特征识别法，其会导致一些其它应用(如游戏、数据库等应用)产生的流量被错误识别，误报风险较大。

针对上述问题，本发明提供一种点对点流量识别装置，该装置作为一个逻辑装置，应用在带宽管理设备上。作为该逻辑装置的运行载体的带宽管理设备，其硬件环境通常至少都包括有CPU、内存以及非易失性存储器，当然还可能包括各种转发芯片等硬件。请参考图1和图2，所述装置在逻辑层面包括有：应用识别模块、特征识别模块、数据维护模块、查表识别模块、流量判断模块以及例外判断模块。在本发明的一种实施方式中，所述装置在运行过程中执行如下步骤：

步骤101，根据预设的方法，判断所述报文是否携带已知的应用流量特征。如果是，则转步骤102，如果否，则所述报文是待识别报文，转步骤104。本步骤由应用识别模块执行。

在网络传输中，大多数常用的应用流量都包含有固定的报文特征，比如，FTP的特征字符串是acct、cwd等，SMTP（Simple Mail Transfer Protocol，简单邮件传输协议）的特征字符串是helo、mail from等，通过预设的方法，比如DPI识别算法，可以对接收到的报文进行深层扫描，如果经扫描发现所述报文携带DPI特征库中已知的应用流量特征，则所述报文是已知的应用流量，转步骤102进一步判断所述报文是否为P2P流量报文。如果所述报文没有携带所述已知的应用流量特征，则可能是因为接收到的所述报文是加密报文，没有成功解密，无法进行DPI识别，当然也可能是其他未知的应用流量，需要进一步确认，转步骤104。

步骤102，判断所述接收到的报文是否携带P2P流量特征，如果是，则确定所述报文为P2P流量报文，转步骤103。本步骤由特征识别模块执行。

本步骤中，进一步查看步骤101中已经确认为已知应用流量的报文是否携带P2P流量特征。如果是，则确定所述报文是第一P2P流量报文，转步骤103。如果不是，则所述报文是其他已知应用的流量。

步骤103，将所述第一P2P流量报文中的预设报文特征作为P2P节点数据更新到本地P2P节点数据库中，并上传所述本地P2P节点数据到中心服务器。本步骤由数据维护模块执行。

在目前的主流P2P流量识别方法中，由于无法解密所有的P2P加密报文，所以对加密P2P流量的识别率相对较低。本发明突破传统思维，对于无法解密识别的P2P流量报文，通过已知P2P节点数据来进行识别，进而提高加密P2P流量报文的识别率。

具体地，数据维护模块将已确认是P2P流量报文中的预设报文特征作为P2P节点数据更新到本地P2P节点数据库中。请参考图3，数据维护模块定期上传所述本地P2P节点数据到中心服务器，同时也定期从中心服务器下载全局P2P节点数据以更新本地P2P节点数据库。所述预设报文特征是已知P2P节点的特征信息，可以包括已知P2P节点的MAC地址、IP地址。优选地，所述预设报文特征包括已知P2P节点的IP地址，也就是所述第一P2P流量报文的源IP地址和目的IP地址。数据维护模块将所述源IP地址和目的IP地址更新到所述本地P2P节点数据库中，通过与中心服务器的定期交互，来实现各个带宽管理设备上P2P节点数据的共享，从而加强对加密P2P流量报文的识别。

所述本地P2P节点数据与中心服务器的全局P2P节点数据的交互方式可以由本领域技术人员依据组网或者带宽的情况进行设置。优选地，数据维护模块只上传本周期内本地P2P节点数据库更新的预设报文特征给中心服务器，以减轻带宽压力。数据维护模块上传本地P2P节点数据的周期和下载全局P2P节点数据的周期依据管理员的设置可以相同，也可以不同。

步骤104，根据所述待确认报文中的预设报文特征，查询所述本地P2P节点数据库，如果命中，则确认所述待确认报文为第二P2P流量报文。如果没有命中，则所述待确认报文为未知流量报文。本步骤由查表识别模块执行。

以所述预设报文特征是源IP地址和目的IP地址为例，本步骤中，所述查表识别模块使用所述带确认报文中的源IP地址或目的IP地址查询所述本地P2P节点数据库，如果所述源IP地址和目的IP地址中至少有一项命中所述本地P2P节点数据库中记录的IP地址，则所述待确认报文就是第二P2P流量报文。进一步地，所述数据维护模块将所述第二P2P流量报文中未命中所述本地P2P节点数据库的源IP地址或目的IP地址存入所述本地P2P节点数据库。

优选地，本发明还设置有P2P节点数据库的定期老化机制。具体地，数据维护模块还包括，如果所述本地P2P节点数据库中记录的预设报文特征在预定的时间内没有被命中，则删除所述本地P2P节点数据库中该预设报文特征。进一步地，所述数据维护模块，在上传本地P2P节点数据的同时将本地P2P节点数据的老化信息也上传给中心服务器，以便中心服务器及时更新全局P2P节点数据。通过定期的老化机制，可以及时删除已下线的P2P节点数据，释放存储资源，加快下载全局P2P数据以及对待确认报文的识别速率。

在一种优选的实施方式中，本发明查表识别模块查询所述本地P2P节点数据库之前，还包括：

步骤104a，从所述待确认报文中获取源IP地址和目的IP地址，如果所述源IP地址和目的IP地址均没有命中预定的例外IP地址库，则转步骤104b。本步骤由例外判断模块执行。

本步骤中，所述例外IP地址库通常由管理员配置。在网络传输中，对于某些特殊主机，比如，某些主机不可能使用P2P下载工具，或者某些主机由于工作等原因需要使用P2P下载工具的，管理员可以将这些特殊主机的IP地址配置到所述例外IP地址库中。如果所述待识别报文命中所述例外IP地址库，则不再进行下一阶段的识别。通过所述例外IP地址库可以避免特殊主机的某些应用报文被识别为P2P流量报文而被限制，进而对关键业务造成影响。

步骤104b，判断所述待确认报文所属的会话是否符合预设下载流量模型特征，如果符合，则转步骤104，如果不符合，则所述待确认报文是未知流量。本步骤由流量判断模块执行。

本步骤中，所述预设下载流量模型特征包括：会话的源端口号和目的端口号均大于1024，且会话总流量或指定时间内的流量达到预设阈值。由于P2P技术是通过在各个节点之间建立多个TCP连接来实现分布式的数据传输，P2P节点作为客户端进行下载时，下行方向会出现连续大量的数据包传输，P2P节点作为服务提供者时，上行方向会出现连续大量的数据包。所以，所述预设阈值可以是一个方向存在大量连续的大包且另一个方向在此期间无大包或者只存在少量大包的传输。具体地，所述预设阈值可以由管理员进行配置。如果所述待确认报文符合预设下载流量模型特征，则所述流量判断模块判断带确认报文是P2P流量报文的概率就非常高，进一步转步骤104，进行P2P节点数据库的查询。

通过步骤104a和步骤104b，可以在对所述待识别报文进行P2P节点数据库查询之前，排除非P2P流量报文以及特殊节点，进一步提高P2P流量报文的识别效率。

由以上步骤可以看出，本发明中带宽管理设备将自身已识别的P2P节点数据上传到中心服务器，又从中心服务器下载全局的P2P节点数据，从而实现全局P2P节点数据的共享。进而，带宽管理设备可以通过已知的应用流量特征和所述全局P2P节点数据这样的双重机制来识别P2P流量报文。进一步提高对P2P流量报文，尤其是加密P2P流量报文的识别率和识别准确率。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims

1.一种点对点流量识别装置，应用在带宽管理设备上，其特征在于，所述装置包括：

2.根据权利要求1所述的装置，其特征在于，

所述预设报文特征包括报文的源IP地址和目的IP地址，所述P2P节点数据是IP地址，

所述查表识别模块查询所述本地P2P节点数据库具体包括：使用待确认报文的源IP地址或目的IP地址查询所述本地P2P节点数据库，如果所述源IP地址和目的IP地址中至少有一项命中所述本地P2P节点数据库中记录的IP地址，则确认所述待确认报文为第二P2P流量报文。

3.根据权利要求2所述的装置，其特征在于，所述数据维护模块将所述预设报文特征作为P2P节点数据更新到本地P2P节点数据库中具体包括：将所述第二P2P流量报文中未命中所述本地P2P节点数据库中记录的IP地址的源IP地址或目的IP地址存入本地P2P节点数据库。

4.根据权利要求1所述的装置，其特征在于，所述装置还包括：

流量判断模块，用于在查表识别模块查询所述本地P2P节点数据库之前，判断所述待确认报文所属的会话是否符合预设下载流量模型特征，如果符合，则转查表识别模块；

所述预设下载流量模型特征包括：会话的源端口号和目的端口号均大于1024，且会话总流量或指定时间内的流量达到预设阈值。

5.根据权利要求4所述的装置，其特征在于，所述装置还包括：

例外判断模块，用于在所述流量判断模块判断所述待确认报文所属的会话是否符合预设下载流量模型特征之前，从所述待确认报文中获取源IP地址和目的IP地址，如果所述源IP地址和目的IP地址均没有命中预定的例外IP地址库，则转流量判断模块。

6.根据权利要求1所述的装置，其特征在于，所述数据维护模块，进一步包括，如果所述本地P2P节点数据库中记录的预设报文特征在预定的时间内没有被命中，则删除所述本地P2P节点数据库中该预设报文特征。

7.根据权利要求1所述的装置，其特征在于，所述数据维护模块上传所述本地P2P节点数据到中心服务器具体包括：上传本周期内更新的所述P2P节点数据到中心服务器。

8.一种点对点P2P流量识别方法，应用在带宽管理设备上，其特征在于，所述方法包括：

9.根据权利要求8所述的方法，其特征在于，

步骤D中查询所述本地P2P节点数据库的过程具体包括：使用待确认报文的源IP地址或目的IP地址查询所述本地P2P节点数据库，如果所述源IP地址和目的IP地址中至少有一项命中所述本地P2P节点数据库中记录的IP地址，则确认所述待确认报文为第二P2P流量报文。

10.根据权利要求9所述的方法，其特征在于，

步骤C中将所述预设报文特征作为P2P节点数据更新到本地P2P节点数据库中的过程具体包括：将所述第二P2P流量报文中未命中所述本地P2P节点数据库中记录的IP地址的源IP地址或目的IP地址存入本地P2P节点数据库。

11.根据权利要求8所述的方法，其特征在于，

在步骤D中查询所述本地P2P节点数据库之前还包括：判断所述待确认报文所属的会话是否符合预设下载流量模型特征，如果符合，则转步骤D；

12.根据权利要求11所述的方法，其特征在于，

在判断所述待确认报文所属的会话是否符合预设下载流量模型特征之前还包括：从所述待确认报文中获取源IP地址和目的IP地址，如果所述源IP地址和目的IP地址均没有命中预定的例外IP地址库，则判断所述待确认报文所属的会话是否符合预设下载流量模型特征。

13.根据权利要求8所述的方法，其特征在于，

步骤C还包括：如果所述本地P2P节点数据库中记录的预设报文特征在预定的时间内没有被命中，则删除所述本地P2P节点数据库中该预设报文特征。

14.根据权利要求8所述的方法，其特征在于，

步骤C中上传所述本地P2P节点数据到中心服务器的过程具体包括：上传本周期内更新的所述P2P节点数据到中心服务器。