CN110798461A

CN110798461A - 非对称路由网络下VoIP关联方法、装置及可读存储介质

Info

Publication number: CN110798461A
Application number: CN201911011338.6A
Authority: CN
Inventors: 邹学强; 杜梅婕; 王中华; 郑超; 张震; 刘洋
Original assignee: National Computer Network and Information Security Management Center
Current assignee: National Computer Network and Information Security Management Center
Priority date: 2019-10-23
Filing date: 2019-10-23
Publication date: 2020-02-14
Anticipated expiration: 2039-10-23
Also published as: CN110798461B

Abstract

本发明公开了一种非对称路由网络下VoIP关联方法、装置及可读存储介质，所述方法包括如下步骤：采集非对称路由网络环境下的原始流量，并提取所述原始流量中的VoIP协议特征；分别提取与所述VoIP协议特征中的控制流和数据流相关联的key；整合控制流关联key和数据流关联key以生成完整的VoIP通话信息。本发明针对当前单一使用深度包检测技术无法实现VoIP业务的完整描述问题，实现了在非对称路由网络环境下，对VoIP控制流的识别及单向流关联，实现了在非对称路由网络环境下VoIP业务完整描述。

Description

非对称路由网络下VoIP关联方法、装置及可读存储介质

技术领域

本发明涉及通信技术领域，尤其涉及一种非对称路由网络下VoIP关联方法、装置及可读存储介质。

背景技术

VoIP(Voice over IP)是基于IP分组交换网络，通过对传统的模拟语音信号进行数字化、压缩、打包，封装成帧等一系列处理，使得语音业务可以通过IP网进行承载的一种技术。在复杂的网络环境中，对VoIP业务实现识别，需要通过DPI技术对报文的深度检测来实现。

深度包检测(Deep Packet Inspection，简称DPI)技术是一种基于应用层的流量检测和控制技术，当IP数据包、TCP或UDP数据流通过基于DPI技术的带宽管理系统时，该系统通过深入读取IP包载荷的内容来对OSI七层协议中的应用层信息进行重组，从而得到整个应用程序的内容，然后按照系统定义的管理策略对流量进行操作处理。

DPI设备是具备业务数据流识别、业务数据流控制能力，工作在OSI模型传输层到应用层，具有高数据处理能力，能够对网络所承载的业务进行识别和流量管理，可部署在网络骨干层、城域网和企业内部等位置的网络设备。

理想情况下，用户终端的请求报文和回应报文会走相同的网络路径。在对称路由环境中，DPI设备可以获取双方向的报文，并使用DPI技术进行业务识别，将业务识别的结果归并在同一五元组上。五元组是指IP地址、源端口、目的IP地址、目的端口和传输层协议这五个参数组成的一个集合。五元组能够区分不同会话，并且对应的会话是唯一的。

在非对称路由环境中，DPI设备通常无法获取双方向的报文，通常由一个DPI设备获取用户终端发送的请求报文，再由另一个DPI设备获取服务器通过互联网返回的回应报文。由于正向的请求报文和反向的回应报文的物理分离，导致单点DPI设备无法还原一个完整会话，而且容易导致DPI设备对于其中一个方向的业务识别结果不准确。

传统应对方法是在用户终端访问互联网的骨干链路中的DPI(深度包检测)设备上传的用户访问日志，分别汇聚并匹配同时段的所述用户访问日志，其中包含DPI设备获取用户终端发送的请求报文或服务器返回的回应报文，并根据所述请求报文或回应报文进行业务识别，根据匹配的用户访问日志提取有效业务以得到最终识别结果。

VoIP业务与传统的电话通信过程相似，主要由信令控制和话音传输两部分组成。信令在通信双方的通信过程中对用户摘机，拨号，响铃，挂机等一系列行为做出控制和响应，在网络传输环境中对应于控制流。话音传输对用户的声音进行传输，在网络传输环境中对应于数据流。

对VoIP业务管理来说，在非对称路由环境下，控制流请求报文与响应报文均可以通过深度包检测技术进行识别。但是由于VoIP存在多层转发，因此传统基于时段与五元组的关联方法不再适用。而进一步的控制流与数据流的关联，由于VoIP服务实现各异，标准化程度参差不齐，使得控制流与数据流缺乏显著的标志关联特征，不能直接关联，难以得到完整的VoIP业务信息，无法实现VoIP全部业务信息的还原。

发明内容

本发明实施例提供一种非对称路由网络下VoIP关联方法、装置及可读存储介质，用以实现在非对称路由网络环境下VoIP业务完整描述。

第一方面，本发明实施例提供一种非对称路由网络下VoIP关联方法，所述方法包括如下步骤：

采集非对称路由网络环境下的原始流量，并提取所述原始流量中的VoIP协议特征；

分别提取与所述VoIP协议特征中的控制流和数据流相关联的key；

整合控制流关联key和数据流关联key以生成完整的VoIP通话信息。

可选的，分别提取与所述VoIP协议特征中的控制流和数据流相关联的key，包括：

在所述VoIP协议特征为控制流的情况下，提取信令流请求侧或响应侧的关联信息；

根据所述信令流请求侧或响应侧的关联信息整合为信令流单测数据；

根据所述信令流单测数据对所述信令流请求侧和响应侧进行关联获得控制信令流信息；

提取所述控制信令流信息中与数据流关联的信息生成控制流关联key。

可选的，根据所述信令流单测数据对所述信令流请求侧和响应侧进行关联获得控制信令流信息，包括：

根据所述信令流单测数据采用VoIP会话关键字段Call_ID作为key，关联VoIP信令请求侧与响应侧以获得控制信令流信息。

可选的，分别提取与所述VoIP协议特征中的控制流和数据流相关联的key，还包括：

在所述VoIP协议特征为数据流的情况下，从数据流中提取与控制流相关联的key以获得数据流关联key。

可选的，整合控制流关联key和数据流关联key以生成完整的VoIP通话信息，包括：

对于符合标准VoIP协议的通话，采取控制流协商数据流四元组作为key关联VoIP控制流与数据流以生成完整的VoIP通话信息。

对于存在代理的标准VoIP协议的通话，对指定时间内的VoIP通话进行采样；

将采样获得的在相同时间段内的控制流IP和数据流IP作为待选项集；

将多个不同时间段的待选项集采用关联规则挖掘算法进行挖掘；

根据关联规则挖掘结果输出的控制信令IP与媒体数据IP对对应的控制流和数据流，整合控制流关联key和数据流关联key以生成完整的VoIP通话信息。

可选的，整合控制流关联key和数据流关联key以生成完整的VoIP通话信息，还包括：

对于网络地址转换NAT的VoIP通话，提取出VoIP通话的NAT的穿越消息；

根据所述穿越消息对控制信令内外IP进行映射；

根据内外IP的映射结果将控制流与数据流进行关联。

第二方面，本发明实施例提供一种非对称路由网络下VoIP关联装置，所述装置包括：

数据采集模块，用于采集非对称路由网络环境下的原始流量；

数据提取模块，用于提取所述原始流量中的VoIP协议特征，以及分别提取与所述VoIP协议特征中的控制流和数据流相关联的key；

数据整合模块，用于整合控制流关联key和数据流关联key以生成完整的VoIP通话信息。

第三方面，本发明实施例提供一种计算机可读存储介质，所述计算机可读存储介质上存储有信息传递的实现程序，所述程序被处理器执行时实现前述的方法的步骤。

本发明针对当前单一使用深度包检测技术无法实现VoIP业务的完整描述问题，实现了在非对称路由网络环境下，对VoIP控制流的识别及单向流关联，实现了在非对称路由网络环境下VoIP业务完整描述。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1本发明第一实施例流程示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

DPI(Deep Packet Inspection)即深度包检测技术，是一种基于应用层流量识别的技术，其相对于一般报文识别只是分析数据包的源地址、目的地址、源端口、目的端口还有协议类型，深度包检测技术更深入应用层进行识别，可以进一步识别出用户的使用的应用类型和上网的内容。当IP数据包、TCP或UDP数据流到达后，通过采用DPI检测技术，先分析应用层以下的各层信息，包括IP地址、端口等基础信息，通过分析好前面的几层的协议之后，接下来会将获取到的负载内容进行应用层信息的重组，通过分析应用层的负载内容，检查里面的数据信息，所以称为深度包检测。深度包检测比起普通的报文检测方法的识别率要高很多，目前有很多软件使用随机的或者伪造常用的端口号来进行信息通信，无法准确识别应用。此时需要采用DPI技术深入数据包的应用层进行识别。

非对称路由是指当源主机A与目标主机B进行数据传输时，从主机A到主机B的数据分组选择了特定的路径R1，而从主机B返回到主机A的数据分组却因为各种原因选择了另外一条不同的路径R2，当此情形出现时，就认为非对称路由发生。

对于VoIP业务，一般一个完整的流程会涉及到多个会话，即控制会话和动态数据会话。一个会话是指用户间的数据交换过程。通过控制会话建立连接、协商数据传输参数、启动和撤销传输。不同于使用固定端口或默认端口的应用，动态会话的端口、协议信息是在控制会话中动态协商的。协议流程分析方法是根据构成一次应用的多个会话之间的关联关系，从控制会话中提取动态会话信息，根据这些信息来识别该应用涉及的动态会话。SIP是目前VoIP中比较广泛的控制协议。在IETF定义的网络协议体系结构中，SIP是位于传输层之上的应用层协议，通过携带的SDP载荷，可以开启关闭会话、协商会话参数、建立数据交换流以及管理会话。

在对VoIP业务进行识别时，使用深度包检测技术对数据包进行分析识别重组，还原出业务层信息。在网络上，VoIP应用在通信时，采用特定的协议，有着独特的“指纹”。特征字识别技术是通过将应用特有“指纹”和数据包中的特征来进行比较，确定不同的应用或会话。

VoIP控制流与数据流都具备特定的协议格式，在协议的负载中包含有意义的字符串。控制流包含有VoIP的特征信息和五元组信息(目的地址、源地址、目的端口、源端口、协议类型)，用来建立通信双方的连接、双方信息发送；数据流包含链路质量控制与编码方式等特征信息。独立识别的VoIP控制单向流与数据流不进行关联就无法还原一个完整的VoIP会话。

在识别出控制流与数据流之后，依据控制流协议确定相应数据流信息。通过关键字匹配来建立请求报文和应答报文的识别规则，识别协议中与控制会话相关的数据包；通过分析与控制会话相关的数据包中的关键字特征，提取出将要产生的动态会话流的判断信息，对语音通信会话过程中与动态会话相关的数据包进行识别，实现对VoIP流量的完整识别。

第一方面，本发明第一实施例提供一种非对称路由网络下VoIP关联方法，如图1所示，所述方法包括如下步骤：

可选的，在本发明一个可选的实施例中，分别提取与所述VoIP协议特征中的控制流和数据流相关联的key，包括：

具体的说，本实施例中，如图1所示，应用在所述VoIP协议特征为控制流的情况，包括如下步骤：

在VoIP协议特征为控制流的情况下，进一步判断该控制流是否为请求侧，在该控制流为请求侧的情况下提取信令流请求侧的关联信息，在该控制流为响应侧的情况下，提取响应侧的关联信息。

然后将全网全量信令流单测数据进行汇聚；

接着根据两侧的关联信息完成信令流的请求测与响应侧的关联，获得控制信令流信息。

最后从完整的信令流信息中，提取信令流与数据流相关联的信息生成控制流关联key。

可选的，在本发明一个可选的实施例中，根据所述信令流单测数据对所述信令流请求侧和响应侧进行关联获得控制信令流信息，包括：

具体的说，在本实施例中，VoIP控制流单向流对准采用VoIP会话关键字段Call_ID作为key，关联VoIP信令请求侧与响应侧，也即通过会话ID关联控制流请求侧与响应侧。

具体的说，在判断VoIP协议特征为数据流的情况下，从数据流中提取与控制流相关联的key以获得数据流关联key。

若所述VoIP协议特征既不是数据流也不是控制流，则直接结束。

可选的，在本发明一个可选的实施例中，整合控制流关联key和数据流关联key以生成完整的VoIP通话信息，包括：

具体的说，对于符合标准VoIP协议的会话，采取控制流协商数据流四元组作为key关联VoIP控制信令消息与媒体数据流。

在本实施例中，对于存在代理的标准VoIP协议的会话，由于视角问题，存在无法直接关联的VoIP控制信令流与媒体数据流。但是，如果观测视角固定，在同一时间内，如果存在频繁一同出现的控制信令IP与媒体数据IP，则符合上述无法直接关联的情况。在本实施例中，将该中情况认为是同一时间承载在这组IP上的控制信令与媒体数据是同一VoIP会话，总由此本实施例中将该种情形归结为频繁项集问题，采用关联规则挖掘算法进行挖掘，具体步骤如下：

采样选取一天内的N个时间段，时间段跨度小于1分钟；

时间戳在相同时间段内海量控制信令IP与媒体数据IP作为一个项集；

将得到的N个项集作为输入，采用关联规则挖掘算法进行关联规则挖掘；

输出的控制信令IP与媒体数据IP对则为关联成功的控制信令IP与媒体数据IP，其对应的控制信令与媒体数据则属于同一VoIP会话。

可选的，在本发明另一个可选的实施例中，整合控制流关联key和数据流关联key以生成完整的VoIP通话信息，还包括：

根据所述穿越消息对控制信令内外IP进行映射；

根据内外IP的映射结果将控制流与数据流进行关联。

具体的说，本实施例对应于网络地址转换NAT的VoIP通话的情况，对于通信方在NAT内的VoIP会话，控制信令协商过程仍携带局域网地址，导致控制流与数据流无法关联的情况，因此在本实施例中，通过结合信道中提取出的NAT穿越的信息，对控制信令内外IP进行映射，实现对于NAT网关内控制信令流量的公网IP还原，进而根据映射后的控制信令协商IP信息与媒体数据IP信息做关联。

若这个NAT的VoIP通话过程存在代理转发的情况，则可以采用前述关联规则挖掘算法进行关系挖掘，最后根据挖掘结果完成控制流与数据流的关联。

至此，通过本发明方法完整关联VoIP控制流与数据流，实现VoIP会话信息的完整还原。

综上，本发明方法针对当前单一使用深度包检测技术无法实现VoIP业务的完整描述问题，实现了在非对称路由网络环境下，对VoIP控制流的识别及单向流关联，通过会话ID关联控制流请求侧与响应侧，进一步通过自适应生成关联key与频繁项挖掘对VoIP控制流与数据流进行关联，最终生成VoIP业务完整描述。

第二方面，本发明第一实施例提供一种非对称路由网络下VoIP关联装置，所述装置包括：

第三方面，本发明第一实施例提供一种计算机可读存储介质，所述计算机可读存储介质上存储有信息传递的实现程序，所述程序被处理器执行时实现前述的方法的步骤。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。

上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，这些均属于本发明的保护之内。

Claims

1.一种非对称路由网络下VoIP关联方法，其特征在于，所述方法包括如下步骤：

2.如权利要求1所述的方法，其特征在于，分别提取与所述VoIP协议特征中的控制流和数据流相关联的key，包括：

3.如权利要求2所述的方法，其特征在于，根据所述信令流单测数据对所述信令流请求侧和响应侧进行关联获得控制信令流信息，包括：

4.如权利要求2所述的方法，其特征在于，分别提取与所述VoIP协议特征中的控制流和数据流相关联的key，还包括：

5.如权利要求4所述的方法，其特征在于，整合控制流关联key和数据流关联key以生成完整的VoIP通话信息，包括：

6.如权利要求4所述的方法，其特征在于，整合控制流关联key和数据流关联key以生成完整的VoIP通话信息，包括：

7.如权利要求6所述的方法，其特征在于，整合控制流关联key和数据流关联key以生成完整的VoIP通话信息，还包括：

根据所述穿越消息对控制信令内外IP进行映射；

根据内外IP的映射结果将控制流与数据流进行关联。

8.一种非对称路由网络下VoIP关联装置，其特征在于：所述装置包括：

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有信息传递的实现程序，所述程序被处理器执行时实现如权利要求1至7中任一项所述的方法的步骤。