CN1750488A - 互联网网络电话的监控系统及其监控方法 - Google Patents

Abstract

一种互联网网络电话的监控系统，由分布在互联网中的一个或多个VoIP监控设备和VoIP监控集中平台组成。前者采集待监测的网络设备的数据流，分析其中的VoIP流量后，将分析结果远程传送到VoIP监控集中平台，并根据集中平台下发的策略监控网络设备的VoIP流量；后者包括数据库、Web服务软件单元和监控策略软件单元，采用可扩展的自定义协议与VoIP监控设备通信，对全网VoIP流量实现监控管理。该系统以城市为单位组网，设置在城域网中，按照流量监测最大汇聚的原则，对网络汇接层的各个网络设备和骨干层之间的数据流进行监测和控制。系统架构简单，无须对路由器或交换机作复杂配置；监控方法操作容易、方便，可以快速有效完成VoIP数据流的监测、控制任务。

Description

互联网网络电话的监控系统及其监控方法

技术领域

本发明涉及一种互联网网络电话的监控系统及其监控方法，属于网络管理控制技术领域。

背景技术

目前，VoIP技术在国内日渐成熟，已经从传统的H.323技术发展到现在软交换技术和P2P应用。VoIP业务因为其价格优势和使用便捷，逐渐成为现在许多人使用最频繁的通信业务，并对传统运营商的正常通信业务造成了巨大的分流，直接影响了运营商的利润营收。更严重的是，由于互联网的不可控性，导致目前很多非法的VoIP业务直接威胁到国家安全和企业经济信息的安全。因此必须采用一定的技术手段对目前互联网上的VoIP流量进行监测和控制。

从现有的技术看，对于VoIP的监控主要存在以下两种方式：一种是利用现有的IP网络路由器或交换机的功能，通过对IP地址或端口的过滤来监测VoIP协议的常用端口，并根据路由器的路由配置策略设定的静态路由方式，将需要控制的数据流直接丢弃，不转发到目的地址，或者根据设定的控制策略进行带宽限制。另一种是在IP网络出口处安装专用的VoIP监控系统，对过网的IP数据流进行采集和分析，从而实现对于VoIP的监测，并且根据设定的策略对VoIP呼叫进行相关控制。

采用第一种监控方式，存在以下问题：可能会加重路由器或交换机的过滤装置的负荷，影响其正常的工作性能，同时配置较为复杂，可操作性差；最严重的问题在于这种监控方式会导致用户的一些正常数据业务无法使用，影响服务质量。另外，目前大部分路由器或交换设备只能够对IP地址或端口进行过滤，而现在的VoIP的端口经常采用非标准端口，因此对这些非标端口的VoIP数据流无法进行有效监测。

鉴于以上原因，推荐采用第二种监控方式，因为该方式是将VoIP监控系统安装在IP网络出口处，对过网的IP数据流进行采集、分析和监控，因此不会影响现网设备的正常运行，不会影响用户的正常数据业务，也不会增加现有数据网络设备的工作负荷，是一种切实可行的控制方法，可以快速有效地完成VoIP数据流的监测、控制任务。

发明内容

有鉴于此，本发明的目的是提供一种采用上述第二种方式的互联网网络电话的监控系统及其监控方法，该系统将待监测的数据流引到专用VoIP监控设备中，采集、分析流量数据，提取VoIP呼叫信息，再对用户和VoIP网关行为进行分析，获取利用IP技术分流国有运营商话音业务的VoIP资料，并根据情况进行分级控制和拦截，以达到挽回收入、保障国有企业利益的功效。

为了达到上述目的，本发明提供了一种互联网网络电话的监控系统，其特征在于：该系统包括：

VoIP监控设备，根据需要设有一个或多个，分布在互联网中，采集待监测的网络设备的数据流量，分析其中的VoIP流量后，将分析结果远程传送到VoIP监控集中平台，并根据该集中平台下发的策略对该网络设备的VoIP流量进行监控；

VoIP监控集中平台，包括有存储各个VoIP监控设备采集、分析和控制结果的相关数据的数据库、Web服务软件单元和监控策略软件单元，采用可扩展的自定义协议与VoIP监控设备通信，对全网VoIP流量实现监控管理。

所述系统以城市为单位组网，设置在每个城市的城域网中，按照流量监测最大汇聚的原则，对网络汇接层的各个网络设备和骨干层之间的数据流进行监测和控制。

所述待监测的网络设备是互联网中的路由器和/或交换机，通过镜像或者分光的方式将其待监测的数据流镜像或分离到VoIP监控设备的监测端口，由VoIP监控设备对VoIP流量进行采集、分析、控制。

所述VoIP监控设备设有多个网络端口，至少包括：

监测端口-连接至分光器或路由器/交换机上的镜像端口，用于监测流量；

协作端口-连接至内部网络，用于该VoIP监控装置和集中平台间的通信，其安全级别高；

控制端口-连接至外部网络，用于对VoIP数据流进行拦截或干扰，其安全级别低。

所述监控集中平台的Web服务软件单元用于提供该监控系统的远程访问功能，以便操作人员使用游览器远程查看VoIP监控结果、设置控制策略，并进行其他维护功能；所述监控策略软件单元用于存储各类控制策略，以便下发给各个VoIP监控设备，对VoIP流量实现监测、控制；

所述VoIP监控集中平台设有多个网络端口，至少包括：

协作端口-连接至内部网络，用于该集中平台和VoIP监控设备之间的通信，其安全级别高；

网管端口-连接至外部网络，用于操作人员的远程访问，其安全级别低。

为了达到上述目的，本发明还提供了一种使用上述互联网网络电话的监控系统的监控方法，其特征在于：由VoIP监控设备分别采集各自所监测的网络设备的数据流量，再通过可扩展的自定义通信协议将其采集的相关数据传送到集中平台进行汇总和综合分析；然后由集中平台提出控制策略，并传送到各个VoIP监控设备进行实施。

包括下列操作步骤：

(1)一级分析，区分出疑似VoIP数据包：按照VoIP数据包的信息特征，分析待监测的数据流，将疑似VoIP数据包和Radius协议数据包区分出来，对疑似VoIP数据包顺序执行后续操作，对Radius协议数据包跳转执行步骤(4)；

(2)二级分析，提取VoIP数据包的关键信息：利用专用协议分析工具包分析疑似VoIP数据包，提取其中的协议关键字段：至少包括IP地址、IP地址归属地、端口号、呼叫协议、发起时间、主被叫号码、主被叫号码归属地；

(3)三级分析，提取VoIP呼叫信息：根据所述关键字段，将分散的VoIP数据包组合成为完整的呼叫记录，进一步分析出该呼叫的时长、主被叫号码归属地；跳转执行步骤(5)；

(4)分析用户帐号及其IP地址的绑定关系：对于ADSL用户，根据用户上网进行远程用户拨号认证系统Radius协议注册鉴权过程中的计费开始消息，获取该用户帐号和其动态分配的IP地址的绑定关系；对于专线上网用户，因其IP地址是固定的，该IP地址就是用户的唯一标识，可以定位到用户，即其用户帐号和IP地址的关系是确定的；

(5)四级分析，分析使用VoIP业务的用户和网关：根据所述VoIP呼叫记录及其用户帐号和IP地址的绑定关系，获取用户信息，再分析该用户和网关的行为：某一时段/某一网关里至少包括通话的接通次数和未接通次数、通话总时长、通话总金额的来去话详单、某一时段/某一网关的用户话务量排名；

(6)实施控制：由该系统的用户设置控制策略，实施控制；即用户先根据包括IP地址、IP地址归属地、协议、时间段、主被叫号码和主被叫号码归属地的各种因素组合设定实施控制的匹配参数，再由用户设定至少包括接通率的控制措施，然后根据所述控制条件，对分析出来的VoIP呼叫实施相关的控制措施。

所述步骤(1)中的VoIP数据包的信息特征包括但不限于：IP地址、端口号、不同层的协议、关键字；其中各类VoIP协议的信息特征至少包括：基于包交换的多媒体通信系统协议H.323-TCP净荷中第4个字节的特征码：08；会话初始协议SIP-UDP净荷中前20个字节包含的SIP协议特征码：SIP；媒体网关控制协议MGCP-UDP净荷前50个字节包含的MGCP协议特征码：MGCP。

所述步骤(3)进行分析所使用的各类协议呼叫消息的关联标志为：H.323协议是H.323消息中的Call identity字段，SIP协议是SIP消息中的Call-ID字段，MGCP协议是MGCP消息中的Endpoint字段和Callid字段的组合。

所述步骤(6)实施的控制措施是针对不同VoIP协议进行相应的控制，具体方法有两种：

(61)基于传输控制协议TCP传输的VoIP协议包的拦截：因为TCP是面向连接的传输层协议，只有TCP连接建立后，才能够传输应用层的VoIP协议数据包，故对于TCP协议传输的VoIP协议包(例如H.323)或符合控制条件的VoIP呼叫建立的TCP连接，利用监控设备伪造用户侧IP或网关侧IP地址向该VoIP呼叫的对端地址发出TCP RST包，断开TCP连接，阻断其VoIP信令交互；

(62)基于用户数据包协议UDP传输的VoIP协议包的拦截：因为UDP是面向无连接的传输层协议，故对于UDP协议传输的VoIP协议包(例如SIP、MGCP、H.248)，则根据该VoIP协议包，伪造网关侧IP地址向用户侧发出VoIP呼叫失败消息，阻断其VoIP信令交互。

本发明作为一种互联网网络电话的监控系统和方法，能够解决下述问题：

1、监测VoIP流量：其中VoIP监控设备布置在数据网络设备接口处，通过一定的技术手段将待监测数据流引到该监控设备上，由监控系统对流量进行采集和分析，从中分析出VoIP呼叫信息，从而解决VoIP流量监测问题。

2、分析用户、VoIP网关的行为：掌握到VoIP第一手数据资料后，可以根据用户、VoIP网关的详细记录信息进行深入分析，从而为电信企业的业务经营提供参考依据；也就是电信企业可以根据用户、VoIP网关行为的分析结果，采取一些有针对性的营销策略，实现挽回收入，国有资产保值创收的目的。

3、控制非法VoIP：根据监测结果和市场行为的调查，可以区分出是否属于非法经营类VoIP，还可以经过调查及时发现境外利用VoIP宣传非法信息的行为，以便针对此类行为，采用本发明的方法马上进行拦截和干扰。

相对于现有技术采用路由器或交换机的过滤方法，本发明的优点和效果是：

本发明监控系统中的VoIP监控设备只是采用分光连接或镜像连接方式监测路由器或交换机的数据流，因此，不会影响网络设备的正常运行，也不会增加现有网络设备的工作负荷。而且，这种监控系统和方法只是针对特定VoIP协议进行拦截控制，不会影响用户正常的数据业务运行；再者，还可以有效监测到非标端口、非标准协议的VoIP流量。整个监控系统组成架构简单，无须对路由器或交换机进行复杂的配置；监控方法操作容易、方便，所以，本发明是一种切实可行的互联网VoIP呼叫的监测和控制技术，可以快速有效地完成VoIP数据流的监测、控制任务。

本发明不仅较好地解决了现有数据网络设备只能承担路由、交换和一些基本流量分析的功能，无法对VoIP流量进行详细分析和控制的缺陷，而且所获取的目前利用IP技术分流国有运营商话音业务的各种VoIP信息资料，能够用于对其流程进行具体分析，以便酌情进行分级控制，还能够用于指导该VoIP监控系统的研发工作或进一步改进。

附图说明

图1是本发明互联网网络电话的监控系统的结构组成示意图。

图2是本发明互联网网络电话的监控系统位于城域网中的位置示意图。

图3是本发明在待监测的链路上采用分光器将被监测的数据流分离出来的示意图。

图4是本发明在待监测的端口采用镜像操作对被监测的数据流进行镜像处理的示意图。

图5是本发明互联网网络电话的监控系统的监控方法流程方框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步的详细描述。

参见图1和图2，本发明是一种互联网网络电话的监控系统，该系统采用分布式组网结构，主要包括两个部分：VoIP监控设备1和VoIP监控集中平台2。

其中VoIP监控设备1，根据需要设有一个或多个(图示为2个，数量取决于系统规模)，分布在互联网中，采集待监测的网络设备3的数据流量，分析其中的VoIP流量后，将分析结果远程传送到VoIP监控集中平台2，并根据该集中平台2下发的策略对该网络设备3的VoIP流量进行监控。

VoIP监控设备1通常设有多个网络端口，按照功能划分，包括协作端口11、监测端口12、控制端口13。其中监测端口12：连接至分光器(参见图3)或路由器/交换机上的镜像端口(参见图4)，用于监测流量。协作端口11：连接至内部网络(安全级别高)，用于该VoIP监控设备1和集中平台2之间的通信。控制端口13：连接至外部网络(安全级别低)，实现对于VoIP的拦截和干扰。

VoIP监控集中平台2，包括有数据库、Web服务软件单元和监控策略软件单元，采用可扩展的自定义协议与VoIP监控设备1交互通信，对全网VoIP流量实现监控管理。其中数据库用于存储各个VoIP监控设备采集、分析和控制结果的相关数据；Web服务软件单元用于提供操作人员远程访问监控系统的功能，以便操作人员使用游览器远程查看VoIP监控结果、设置控制策略，并进行其他维护功能；监控策略软件单元用于存储各类控制策略，以便下发给各个VoIP监控设备，对VoIP流量实现监测、控制。

VoIP监控集中平台2一般配置有多个网络端口，按照功能划分，包括协作端口21和网管端口22。其中协作端口21：连接至内部网络(安全级别高)，用于该集中平台2和VoIP监控设备1之间的通信。网管端口22：连接至外部网络(安全级别低)，用于操作人员远程访问使用。

待监测网络设备3是互联网中的路由器和/或交换机设备，通过镜像或者分光的方式将待监控的数据流镜像或分离到VoIP监控设备的监测端口，由VoIP监控设备对其进行VoIP流量的采集、分析和控制。

参见图2，本发明系统以城市为单位组网，每个城市放置一套系统。目前城域网一般分成三个层次：接入层、汇接层和骨干层。按照流量监测最大汇聚的原则，该VoIP监控系统主要对网络汇接层的各个网络设备和骨干层之间的数据流进行监测和控制。图中BRAS为宽带接入服务器。

参见图3和图4，介绍本发明监控设备的两种监测链路的连接方式：

图3所示为利用分光器4设置在待监测的网络设备之间的传输链路上，将待监测的数据流分离出来，连接到监控设备1的监测端口上。

图4所示为对待监测的端口进行镜像操作，将一个或多个端口的上下行数据流(总流量不超过2G)镜像到一个端口或两个端口上，分别连接到VoIP监控设备的监测端口上。

参见图5，介绍本发明互联网网络电话的监控系统的监控方法：由VoIP监控设备分别采集各自所监测的网络设备的数据流量，再通过可扩展的自定义通信协议将其采集的相关数据传送到集中平台进行汇总和综合分析；然后由集中平台提出控制策略，并传送到各个VoIP监控设备进行实施。包括下列操作步骤：

(1)一级分析，区分出疑似VoIP数据包：按照VoIP数据包的信息特征(包括IP地址、端口号、不同层协议(如四层协议UDP、TCP，或应用层协议HTTP、FTP等)、关键字等多种条件或多条件的组合)，分析待监测的数据流，将疑似VoIP数据包和Radius协议数据包区分出来，对疑似VoIP数据包顺序执行后续操作，对Radius协议数据包跳转执行步骤(4)；

其中各类VoIP协议的信息特征至少包括：

H.323协议：TCP净荷中的第4个字节为H.323协议的特征码(08)，

SIP协议：UDP净荷中前20个字节包括SIP协议特征码(SIP)，

MGCP协议：UDP净荷前50个字节包括MGCP协议特征码(MGCP)。

(2)二级分析，提取VoIP数据包的关键信息：根据一级分析出来的疑似VoIP信息，利用专用协议分析工具包分析提取其中的协议关键字段，例如IP地址、IP地址归属地、端口号、呼叫协议、发起时间、主被叫号码、主被叫号码归属地等。

(3)三级分析，提取VoIP呼叫信息：根据二级分析出来的关键字段，将分散的VoIP数据包组合成为完整的呼叫记录，进一步分析出该呼叫的时长、主被叫号码归属地；跳转执行步骤(5)。

其中进行分析所使用的各类协议呼叫消息的关联标志为：H.323协议是H.323消息中Call identity字段，SIP协议是SIP消息中的Call-ID字段，MGCP协议是MGCP消息中的Endpoint字段和Callid字段的组合。

(4)分析用户帐号及其IP地址的绑定关系：对于ADSL用户，由于其IP地址是动态分配的，因此需要根据用户上网进行远程用户拨号认证系统Radius协议注册鉴权过程中的计费开始消息，获取该用户帐号及其IP地址的绑定关系；对于专线上网用户，由于其IP地址是固定分配的，因此IP地址就是用户的唯一标识，可以定位到用户。

(5)四级分析，分析使用VoIP业务的用户和网关：根据三级分析出来的VoIP呼叫记录及其用户帐号和IP地址的绑定关系，获取用户信息，再分析该用户和网关的行为：某一时段/某一网关里至少包括通话的接通次数和未接通次数、通话总时长、通话总金额的来去话详单、某一时段/某一网关的用户话务量排名等。

(6)实施控制：由该系统的用户设置控制策略，实施控制；即用户先根据包括IP地址、IP地址归属地、协议、时间段、主被叫号码和主被叫号码归属地等的各种因素组合设定实施控制的匹配参数，再由用户设定至少包括接通率的控制措施，然后根据该控制条件，对分析出来的VoIP呼叫实施相关的控制措施。该控制措施针对不同VoIP协议有所不同，具体方法有两种：

(61)基于传输控制协议TCP传输的VoIP协议包的拦截：因为TCP是面向连接的传输层协议，只有TCP连接建立后，才能够传输应用层的VoIP协议数据包，故对于TCP协议传输的VoIP协议包(例如H.323)或符合控制条件的VoIP呼叫建立的TCP连接，利用监控设备伪造用户侧IP或网关侧IP地址向该VoIP呼叫的对端地址发出TCP RST包，断开TCP连接，阻断其VoIP信令交互；

(62)基于用户数据包协议UDP传输的VoIP协议包的拦截：因为UDP是面向无连接的传输层协议，故对于UDP协议传输的VoIP协议包(例如SIP、MGCP、H.248)，则根据该VoIP协议包，伪造网关侧IP地址向用户侧发出VoIP呼叫失败消息，阻断其VoIP信令交互。

Claims (10)

1、一种互联网网络电话的监控系统，其特征在于：该系统包括：

VoIP监控设备，根据需要设有一个或多个，分布在互联网中，采集待监测的网络设备的数据流量，分析其中的VoIP流量后，将分析结果远程传送到VoIP监控集中平台，并根据该集中平台下发的策略对该网络设备的VoIP流量进行监控；

VoIP监控集中平台，包括有存储各个VoIP监控设备采集、分析和控制结果的相关数据的数据库、Web服务软件单元和监控策略软件单元，采用可扩展的自定义协议与VoIP监控设备通信，对全网VoIP流量实现监控管理。

2、根据权利要求1所述的互联网网络电话的监控系统，其特征在于：所述系统以城市为单位组网，设置在每个城市的城域网中，按照流量监测最大汇聚的原则，对网络汇接层的各个网络设备和骨干层之间的数据流进行监测和控制。

3、根据权利要求1所述的互联网网络电话的监控系统，其特征在于：所述待监测的网络设备是互联网中的路由器和/或交换机，通过镜像或者分光的方式将其待监测的数据流镜像或分离到VoIP监控设备的监测端口，由VoIP监控设备对VoIP流量进行采集、分析、控制。

4、根据权利要求1所述的互联网网络电话的监控系统，其特征在于：所述VoIP监控设备设有多个网络端口，至少包括：

监测端口-连接至分光器或路由器/交换机上的镜像端口，用于监测流量；

协作端口-连接至内部网络，用于该VoIP监控装置和集中平台间的通信，其安全级别高；

控制端口-连接至外部网络，用于对VoIP数据流进行拦截或干扰，其安全级别低。

5、根据权利要求1所述的互联网网络电话的监控系统，其特征在于：所述监控集中平台的Web服务软件单元用于提供该监控系统的远程访问功能，以便操作人员使用游览器远程查看VoIP监控结果、设置控制策略，并进行其他维护功能；所述监控策略软件单元用于存储各类控制策略，以便下发给各个VoIP监控设备，对VoIP流量实现监测、控制；

所述VoIP监控集中平台设有多个网络端口，至少包括：

协作端口-连接至内部网络，用于该集中平台和VoIP监控设备之间的通信，其安全级别高；

网管端口-连接至外部网络，用于操作人员的远程访问，其安全级别低。

6、一种使用权利要求1所述的互联网网络电话的监控系统的监控方法，其特征在于：由VoIP监控设备分别采集各自所监测的网络设备的数据流量，再通过可扩展的自定义通信协议将其采集的相关数据传送到集中平台进行汇总和综合分析；然后由集中平台提出控制策略，并传送到各个VoIP监控设备进行实施。

7、根据权利要求6所述的监控方法，其特征在于：包括下列操作步骤：

(1)一级分析，区分出疑似VoIP数据包：按照VoIP数据包的信息特征，分析待监测的数据流，将疑似VoIP数据包和Radius协议数据包区分出来，对疑似VoIP数据包顺序执行后续操作，对Radius协议数据包跳转执行步骤(4)；

(2)二级分析，提取VoIP数据包的关键信息：利用专用协议分析工具包分析疑似VoIP数据包，提取其中的协议关键字段：至少包括IP地址、IP地址归属地、端口号、呼叫协议、发起时间、主被叫号码、主被叫号码归属地；

(3)三级分析，提取VoIP呼叫信息：根据所述关键字段，将分散的VoIP数据包组合成为完整的呼叫记录，进一步分析出该呼叫的时长、主被叫号码归属地；跳转执行步骤(5)；

(4)分析用户帐号及其IP地址的绑定关系：对于ADSL用户，根据用户上网进行远程用户拨号认证系统Radius协议注册鉴权过程中的计费开始消息，获取该用户帐号和其动态分配的IP地址的绑定关系；对于专线上网用户，因其IP地址是固定的，该IP地址就是用户的唯一标识，可以定位到用户，即其用户帐号和IP地址的关系是确定的；

(5)四级分析，分析使用VoIP业务的用户和网关：根据所述VoIP呼叫记录及其用户帐号和IP地址的绑定关系，获取用户信息，再分析该用户和网关的行为：某一时段/某一网关里至少包括通话的接通次数和未接通次数、通话总时长、通话总金额的来去话详单、某一时段/某一网关的用户话务量排名；

(6)实施控制：由该系统的用户设置控制策略，实施控制；即用户先根据包括IP地址、IP地址归属地、协议、时间段、主被叫号码和主被叫号码归属地的各种因素组合设定实施控制的匹配参数，再由用户设定至少包括接通率的控制措施，然后根据所述控制条件，对分析出来的VoIP呼叫实施相关的控制措施。

8、根据权利要求7所述的监控方法，其特征在于：所述步骤(1)中的VoIP数据包的信息特征包括但不限于：IP地址、端口号、不同层的协议、关键字；其中各类VoIP协议的信息特征至少包括：基于包交换的多媒体通信系统协议H.323-TCP净荷中第4个字节的特征码：08；会话初始协议SIP-UDP净荷中前20个字节包含的SIP协议特征码：SIP；媒体网关控制协议MGCP-UDP净荷前50个字节包含的MGCP协议特征码：MGCP。

9、根据权利要求7所述的监控方法，其特征在于：所述步骤(3)进行分析所使用的各类协议呼叫消息的关联标志为：H.323协议是H.323消息中的Callidentity字段，SIP协议是SIP消息中的Call-ID字段，MGCP协议是MGCP消息中的Endpoint字段和Callid字段的组合。

10、根据权利要求7所述的监控方法，其特征在于：所述步骤(6)实施的控制措施是针对不同VoIP协议数据包分别执行对应的控制，具体方法有两种：

(61)基于传输控制协议TCP传输的VoIP协议包的拦截：因为TCP是面向连接的传输层协议，只有TCP连接建立后，才能够传输应用层的VoIP协议数据包，故对于TCP协议传输的VoIP协议包或符合控制条件的VoIP呼叫建立的TCP连接，利用监控设备伪造用户侧IP或网关侧IP地址向该VoIP呼叫的对端地址发出TCP RST包，断开TCP连接，阻断其VoIP信令交互；

(62)基于用户数据包协议UDP传输的VoIP协议包的拦截：因为UDP是面向无连接的传输层协议，故对于UDP协议传输的VoIP协议包，则根据该VoIP协议包，伪造网关侧IP地址向用户侧发出VoIP呼叫失败消息，阻断其VoIP信令交互。

Images