CN1909489A - 一种识别rtp/rtcp流量的方法 - Google Patents

Abstract

本发明公开了基于协议特征和关联行为过程识别RTP/RTCP流量的方法，该方法包括：A.对RTSP控制产生的RTP/RTCP流进行识别；B.对非RTSP数据包产生的RTP/RTCP流进行识别。利用本发明，对于RTCP包，只需要分析包的端口信息和负载固定位置的一个字节，即第二个字节，就能得出结果，因此分析开销很小。对于RTP包的识别，只需要根据IP和端口号以及维护的RTCP流信息就能够完成识别。由于维护的RTCP流和RTP流的数目只和链路上并发的RTP/RTCP会话数目有关，和链路的带宽容量没有关系，因此维护开销不大，扩展性好，同时通过Hash表能够减少RTP/RTCP流的查找、更新、删除操作的开销，另外，尽管该启发式算法的条件比较苛刻，但是由于www、ftp、数据库查询、SMTP、P2P等应用客户端实现大多采用随机分配的端口，所以误报率和漏报率低。

Description

一种识别RTP/RTCP流量的方法

技术领域

本发明涉及计算机网络流量监测和性能分析技术领域，尤其涉及一种基于协议特征和关联行为过程识别RTP/RTCP流量的方法。

背景技术

应用层流量识别是分析网络承载各应用层业务的流量构成、分布和变化规律、了解业务性能、定位网络瓶颈、保障关键业务的QoS等的重要前提条件之一。

随着技术的进步和Internet带宽的增加，网络上多媒体应用越来越普遍，人们对网络依赖日益严重，流媒体、VoIP、视频会议等多媒体新业务所产生的流量越来越大，虽然RTSP协议规范中没有明确指明采用何种协议，但目前基于SIP和H.323的多数VoIP应用在实现上采用了RTP/RTCP来传输多媒体信息和进行流量控制。

现有的流量识别方法，按照是否对协议载荷进行分析(即分析信息是否涉及到数据包中传输层以上的信息)可分为载荷分析(payload-basedanalysis)和非载荷分析；按照识别所依据信息的不同可分为基于端口的流量识别、基于特征(如关键字、特征字符串系列等)的流量识别和基于协议过程分析的识别方法。

但是由于VoIP在近年来才有了相对广泛的应用，对VoIP流量识别的研究相对较少，并且现有的一些相关的应用层流量识别方法大多是侧重于粗粒度流量分类，偏重于理论分析，由于RTP/RTCP流自身具备的特点，这些理论化的识别/分类方法在RTP/RTCP识别的准确度、可扩展性、时效性尤其实用性等方面还存在着不同层次上的问题。

比如，RTSP流控制产生的RTP/RTCP流并不采用固定的端口号，而是由RTSP流来控制，同时RTP/RTCP流的内容的特征不容易被发现；故而若针对具体的VoIP业务提供QoS保障现有的粗粒度分类方法不能满足细化的业务区分的要求等等。

另外，由于VoIP会话系统中，RTP/RTCP流并不是从始至终一直存在的，一般来讲是由于RTSP流或其他协议流在其静载荷中指定的，如果采用传统的端口识别的方法，不能对RTP/RTCP会话的起始终止进行有效的判断。

综上，有必要设计一种新的、实用的RTP/RTCP流的识别方法对日益普遍的VoIP应用进行准确高效的识别，解决在VOIP流量的识别过程中对RTP/RTCP流量的识别问题，以便于实现面向应用层业务的流量监测、分析、控制和QoS保障等。

发明内容

(一)要解决的技术问题

针对上述现有技术存在的不足，本发明的主要目的在于提供一种基于协议特征和关联行为过程识别RTP/RTCP流量的方法，解决在VOIP流量的识别过程中对RTP/RTCP流量的识别问题。

(二)技术方案

为达到上述目的，本发明的技术方案是这样实现的：

一种基于协议特征和关联行为过程识别RTP/RTCP流量的方法，该方法包括：

A、对RTSP控制产生的RTP/RTCP流进行识别；

B、对非RTSP数据包产生的RTP/RTCP流进行识别。

所述步骤A包括：

A1、指定RTSP数据包静载荷包含的关键字，采用协议特征识别的方法，判断捕获的数据包静载荷中是否包括所述指定的关键字，如果是，则执行步骤A2；否则，结束本流程，处理下一个数据包；

A2、对捕获的RTSP数据包进行静载荷解析，获取指定的RTP/RTCP流的客户端端口号，服务器端端口号；

A3、根据取得的端口号等进行RTP/RTCP数据流的创建，实现对RTSP控制产生的RTP/RTCP流的识别。

步骤A1中所述关键字为DESCRIBE，或为RTSP/，或为OPTIONS，或为SETUP，或为PLAY。

所述步骤A2包括：

A20、判断数据包的净载荷是否存在关键字″\nTransport：″，如果存在执行步骤A21；否则，结束本流程，处理下一个数据包；

A21、提取数据包静载荷中位于关键字″\nTransport：″之后，关键字″；″之前的字符串，即为指定即将产生的RTP/RTCP数据流所支持的通讯格式；

A22、判断数据包静载荷中是否存在关键字″client_port＝″，如果存在，则执行步骤A23；否则，结束本流程，处理下一个数据包；

A23、提取将要产生的RTP/RTCP流的客户端端口号范围port1至port2；

A24、判断数据包静载荷中是否存在关键字″server_port＝″，如果存在，则执行步骤A25；否则，结束本流程，处理下一个数据包；

A25、提取将要产生的RTP/RTCP流的服务器端端口号范围port1至port2；

A26、根据步骤A21中得到的通讯格式来确定RTP/RTCP流将要采取的协议名称。

所述步骤A3包括：

以捕获数据包的源地址，目的地址为原目的地址，以步骤A23确定的cli_port1-cli_port2为源端口，步骤A25中确定的ser_port1-ser_port1为目的端口，创建cli_port2-cli_port1条数据流，加入到RTP/RTCP流会话表，实现对RTSP控制产生的RTP/RTCP流的识别。

步骤B中所述对非RTSP数据包产生的RTP/RTCP流进行识别，通过判断产生的流是否是RTP/RTCP流实现。

所述判断产生的流是否是RTP/RTCP流包括：当在两个IP对之间同时存在两个流flow1和flow2，每个流的源端口、目的端口号的奇偶性相同，且这两个流中奇数号的端口比偶数号的端口大1，即flow1.src_port-flow2.src_port＝flow1.dst_port-flow2.dst_port＝1，同时flow2.src_port为偶数端口，那么就认为这两个流多媒体流，且端口号是奇数的流为RTCP流，端口号为偶数的是RTP流。

所述判断产生的流是否是RTP/RTCP流具体包括：

B1、判断数据包所属的流标志是否已存在RTP/RTCP流会话表中，如果存在，则执行步骤B2；否则，执行步骤B3；

B2、将该数据包加入到此流对应的数据包集合中；

B3、判断该数据包的源端口src_port和目的端口dst_port是奇数且数据包净载荷的第二字节为0xc8或0xc9，如果是，则执行步骤B4；否则执行步骤B6；

B4、判断该数据包属于的数据流是否是possible-rtcp流，如果是，则结束本流程，处理下一个数据包；否则，执行步骤B5；

B5、将该数据包属于的数据流加入到possible-rtcp列表中，结束本流程，处理下一个数据包；

B6、判断该数据包的源端口src_port和目的端口dst_port是否都是偶数，且对应于<src_ip，dst_ip，src_port+1，dst_port+1，proto>的流是否存在于possible-rtcp表中，如果是，执行步骤B7；否则，结束本流程，处理下一个数据包；

B7、将该数据包所属的流标记为rtp流，同时将对应的possible-rtcp流记为rtcp流，存入多媒体并发会话表中，处理下一个数据包。

(三)有益效果

从上述技术方案可以看出，本发明具有以下有益效果：

1、流程简单，分析开销，扩展性好。

对于RTCP包，只需要分析包的端口信息和负载固定位置的一个字节，即第二个字节，就能得出结果，因此分析开销很小。对于RTP包的识别，只需要维护需要根据IP和端口号以及维护的RTCP流信息就能够完成识别。维护的RTCP流和RTP流的数目只和链路上并发的RTP/RTCP会话数目有关，和链路的带宽容量没有关系，因为维护开销并不大，扩展性好。通过Hash表能够减少RTP/RTCP流的查找、更新、删除操作的开销。

2、误报率和漏报率低。

尽管该启发式算法的条件比较苛刻，限定两主机之间存在两个并发流，且两个流的源/目的端口是紧邻着的，而且偶数连接负载第二个字节为定值，但是这种情况在目前其他应用，如www、ftp、数据库查询、SMTP、P2P等应用中出现的概率都很低，因为这些应用客户端实现大多采用随机分配的端口，所以误报率和漏报率低。使用该发明对Internet的Trace数据进行了分析的结果表明，对TRACE数据的分析只有12.6％的误报率。

附图说明

图1为本发明提供的基于协议特征和关联行为过程识别RTP/RTCP流量总体技术方案的实现流程图；

图2为本发明实施例提供的基于协议特征和关联行为过程识别RTP/RTCP流量的方法流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明进一步详细说明。

本发明的核心思想是：首先，通过关键字匹配来提高对控制RTP/RTCP流产生的RTSP协议流量识别的准确率；然后，对RTSP数据包的协议特征进行分析以确定将要产生的RTP/RTCP流，以后捕获的属于该流的数据包均为RTP/RTCP数据包。此外，因为被分析的数据包中可能不是产生RTP/RTCP的RTSP数据包，此种情况下，根据RTP/RTCP协议流程中流与流之间关联行为过程的关系，对它们进行识别。

如图1所示，图1为本发明提供的基于协议特征和关联行为过程识别RTP/RTCP流量总体技术方案的实现流程图，该方法包括以下步骤：

步骤101：对RTSP控制产生的RTP/RTCP流进行识别；

步骤102：对非RTSP数据包产生的RTP/RTCP流进行识别。

上述步骤101中所述对非RTSP数据包产生的RTP/RTCP流进行识别通过以下步骤实现：

A1、指定RTSP数据包静载荷包含的关键字，采用协议特征识别的方法，判断捕获的数据包静载荷中是否包括所述指定的关键字，如果是，则执行步骤A2；否则，结束本流程，处理下一个数据包。

A2、对捕获的RTSP数据包进行静载荷解析，获取指定的RTP/RTCP流的客户端端口号，服务器端端口号；

其中，上述过程具体包括：对截获的RTSP数据包进行静载荷解析，从中取得指定的RTP/RTCP数据流的相应元素，如IP地址，端口号等，其中定义了RTSP数据包中指定RTP/RTCP所需要的关键字：″\nTransport：″、″client_port＝″、″server_port＝″来判断RTSP数据包是否指定了RTP/RTCP流，取得指定的RTP/RTCP流的客户端端口号，服务器段端口号。

A3、根据取得的端口号等进行RTP/RTCP数据流的创建，实现对RTSP控制产生的RTP/RTCP流的识别。

上述步骤A1中所述关键字为DESCRIBE、RTSP/、OPTIONS、SETUP或PLAY。

上述步骤102中所述对非RTSP数据包产生的RTP/RTCP流进行识别，通过判断产生的流是否是RTP/RTCP流实现。

所述判断产生的流是否是RTP/RTCP流包括：当在两个IP对之间同时存在两个流flow1和flow2，每个流的源端口、目的端口号的奇偶性相同，且这两个流中奇数号的端口比偶数号的端口大1，即flow1.src_port-flow2.src_port＝flow1.dst_port-flow2.dst_port＝1，同时flow2.src_port为偶数端口，那么就认为这两个流多媒体流，且端口号是奇数的流为RTCP流，端口号为偶数的是RTP流。

基于图1所述的基于协议特征和关联行为过程识别RTP/RTCP流量总体技术方案的实现流程图，以下结合具体的实施例对本发明识别RTP/RTCP流量的方法进一步详细说明。

如图2所示，图2为本发明实施例提供的基于协议特征和关联行为过程识别RTP/RTCP流量的方法流程图，该方法包括以下步骤：

步骤201：判断数据包静载荷中是否包括关键字″DESCRIBE″、″RTSP/″、″OPTIONS″、″SETUP″、″PLAY″，如果是则为RTSP数据包，则执行步骤202；否则，执行步骤210；

步骤202：判断数据包的净载荷是否存在″\nTransport：″关键字，如果存在转向步骤203；否则执行步骤217；

步骤203：提取数据包静载荷中位于关键字\nTransport：″之后，″；″关键字前的字符串，即为指定即将产生的RTP/RTCP数据流所支持的通讯格式。转向步骤204；

步骤204：判断数据包静载荷中是否存在″client_port＝″关键字，如果存在，则执行步骤205；否则，执行步骤217；

步骤205：提取将要产生的RTP/RTCP流的客户端端口号范围port1-port2，执行步骤206；

步骤206：判断数据包静载荷中是否存在″server_port＝″关键字，如果存在，则执行步骤207；否则，执行步骤217；

步骤207：提取将要产生的RTP/RTCP流的服务器端端口号范围port1-port2，执行步骤208；

步骤208：根据步骤判203中得到的通讯格式来确定RTP/RTCP流将要采取的协议名称；执行步骤209；

步骤209：以捕获数据包的源地址，目的地址为原目的地址，以步骤205确定的cli_port1-cli_port2为源端口，步骤207中确定的ser_port1-ser_port1为目的端口，创建cli_port2-cli_port1条数据流，加入到RTP/RTCP流会话表；执行步骤217；

步骤210：判断数据包所属的流标志是否已存在RTP/RTCP流会话表中，如果存在，则执行步骤211；否则，执行步骤212；

步骤211：将此数据包加入到此流对应的数据包集合中；

步骤212：判断数据包的源端口src_port和目的端口dst_port是奇数且数据包净载荷的第二字节为0xc8或0xc9，如果是，则执行步骤213；否则执行步骤215；

步骤213：判断该包属于的数据流是否是possible-rtcp流，如果是，则执行步骤217；否则，执行步骤214；

步骤214：将该包属于的数据流加入到possible-rtcp列表中，执行步骤217；

步骤215：判断数据包的源端口src_port和目的端口dst_port是否都是偶数，且对应于<src_ip，dst_ip，src_port+1，dst_port+1，proto>的流是否存在于possible-rtcp表中，如果是，执行步骤216，否则执行步骤217；

步骤216：将此数据包所属的流标记为rtp流，同时将对应的possible-rtcp流记为rtcp流，存入多媒体并发会话表中，执行步骤217；

步骤217：执行步骤201，处理下一个数据包。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1、一种基于协议特征和关联行为过程识别RTP/RTCP流量的方法，其特征在于，该方法包括：

A、对RTSP控制产生的RTP/RTCP流进行识别；

B、对非RTSP数据包产生的RTP/RTCP流进行识别。

2、根据权利要求1所述的基于协议特征和关联行为过程识别RTP/RTCP流量的方法，其特征在于，所述步骤A包括：

A1、指定RTSP数据包静载荷包含的关键字，采用协议特征识别的方法，判断捕获的数据包静载荷中是否包括所述指定的关键字，如果是，则执行步骤A2；否则，结束本流程，处理下一个数据包；

A2、对捕获的RTSP数据包进行静载荷解析，获取指定的RTP/RTCP流的客户端端口号，服务器端端口号；

A3、根据取得的端口号等进行RTP/RTCP数据流的创建，实现对RTSP控制产生的RTP/RTCP流的识别。

3、根据权利要求2所述的基于协议特征和关联行为过程识别RTP/RTCP流量的方法，其特征在于，步骤A1中所述关键字为DESCRIBE，或为RTSP/，或为OPTIONS，或为SETUP，或为PLAY。

4、根据权利要求2所述的基于协议特征和关联行为过程识别RTP/RTCP流量的方法，其特征在于，所述步骤A2包括：

A20、判断数据包的净载荷是否存在关键字″\nTransport：″，如果存在执行步骤A21；否则，结束本流程，处理下一个数据包；

A21、提取数据包静载荷中位于关键字″\nTransport：″之后，关键字″；″之前的字符串，即为指定即将产生的RTP/RTCP数据流所支持的通讯格式；

A22、判断数据包静载荷中是否存在关键字″client_port＝″，如果存在，则执行步骤A23；否则，结束本流程，处理下一个数据包；

A23、提取将要产生的RTP/RTCP流的客户端端口号范围port1至port2；

A24、判断数据包静载荷中是否存在关键字″server_port＝″，如果存在，则执行步骤A25；否则，结束本流程，处理下一个数据包；

A25、提取将要产生的RTP/RTCP流的服务器端端口号范围port1至port2；

A26、根据步骤A21中得到的通讯格式来确定RTP/RTCP流将要采取的协议名称。

5、根据权利要求4所述的基于协议特征和关联行为过程识别RTP/RTCP流量的方法，其特征在于，所述步骤A3包括：

以捕获数据包的源地址，目的地址为原目的地址，以步骤A23确定的cli_port1-cli_port2为源端口，步骤A25中确定的ser_port1-ser_port1为目的端口，创建cli_port2-cli_port1条数据流，加入到RTP/RTCP流会话表，实现对RTSP控制产生的RTP/RTCP流的识别。

6、根据权利要求1所述的基于协议特征和关联行为过程识别RTP/RTCP流量的方法，其特征在于，步骤B中所述对非RTSP数据包产生的RTP/RTCP流进行识别，通过判断产生的流是否是RTP/RTCP流实现。

7、根据权利要求6所述的基于协议特征和关联行为过程识别RTP/RTCP流量的方法，其特征在于，所述判断产生的流是否是RTP/RTCP流包括：

当在两个IP对之间同时存在两个流flow1和flow2，每个流的源端口、目的端口号的奇偶性相同，且这两个流中奇数号的端口比偶数号的端口大1，即flow1.src_port-flow2.src_port＝flow1.dst_port-flow2.dst_port＝1，同时flow2.src_port为偶数端口，那么就认为这两个流多媒体流，且端口号是奇数的流为RTCP流，端口号为偶数的是RTP流。

8、根据权利要求6所述的基于协议特征和关联行为过程识别RTP/RTCP流量的方法，其特征在于，所述判断产生的流是否是RTP/RTCP流具体包括：

B1、判断数据包所属的流标志是否已存在RTP/RTCP流会话表中，如果存在，则执行步骤B2；否则，执行步骤B3；

B2、将该数据包加入到此流对应的数据包集合中；

B3、判断该数据包的源端口src_port和目的端口dst_port是奇数且数据包净载荷的第二字节为0xc8或0xc9，如果是，则执行步骤B4；否则执行步骤B6；

B4、判断该数据包属于的数据流是否是possible-rtcp流，如果是，则结束本流程，处理下一个数据包；否则，执行步骤B5；

B5、将该数据包属于的数据流加入到possible-rtcp列表中，结束本流程，处理下一个数据包；

B6、判断该数据包的源端口src_port和目的端口dst_port是否都是偶数，且对应于<src_ip，dst_ip，src_port+1，dst_port+1，proto>的流是否存在于possible-rtcp表中，如果是，执行步骤B7；否则，结束本流程，处理下一个数据包；

B7、将该数据包所属的流标记为rtp流，同时将对应的possible-rtcp流记为rtcp流，存入多媒体并发会话表中，处理下一个数据包。

Images