KR20030034534A

KR20030034534A - Ｉｐ 네트워크에서 서비스별 트래픽 분석을 위한 포트번호선택방법

Info

Publication number: KR20030034534A
Application number: KR1020010066150A
Authority: KR
Inventors: 홍운표; 김상언; 전효섭
Original assignee: 주식회사 케이티
Priority date: 2001-10-26
Filing date: 2001-10-26
Publication date: 2003-05-09

Abstract

본 발명은 라우터로부터 발생되는 플로우 데이터를 기반으로 플로우 레코드에 기록된 근원지 포트번호와 목적지 포트번호중 어느 하나가 Well Known 포트번호에 해당하면 그 포트번호를 해당 트래픽의 대표 포트번호로 설정하여 해당 플로우에 대한 트래픽 분석하는 정확하게 행할 수 있도록 하는 IP 네트워크에서 서비스별 트래픽 분석을 위한 포트번호 선택방법에 관한 것으로서,

라우터로부터 제공되는 플로우데이터로부터 착신지 포트번호를 분석하여 상기 착신지 포트번호와 상기 발신지 포트번호 중 어느 하나가 well-known 포트번호에 해당하는가를 판단하여, 상기 착신지 포트번호와 상기 발신지 포트번호 중 어느 하나가 well-known 포트번호이면, 상기 플로우데이터에 해당하는 플로우의 트래픽을 상기 well-known 포트번호에 의해 정의된 서비스의 트래픽으로 분류하도록 구성된 것을 특징으로 한다.

Description

ＩＰ 네트워크에서 서비스별 트래픽 분석을 위한 포트번호 선택방법{A port number selection method for network traffic data analysis on Internet Protocol network}

본 발명은 IP 네트워크에서 서비스별 트래픽 분석을 위한 포트번호 선택방법에 관한 것으로, 보다 상세하게는 라우터로부터 발생되는 플로우 데이터를 기반으로 플로우 레코드에 기록된 근원지 포트번호와 목적지 포트번호중 어느 하나가 Well Known Ports이면 그 포트번호를 해당 트래픽의 대표 포트로 설정하여 서비스 트래픽을 정확하게 파악할 수 있도록 하는 IP 네트워크에서 서비스별 트래픽 분석을 위한 포트번호 선택방법에 관한 것이다.

현재 보급되고 있는 라우터중에서 서비스품질서비스(QoS)를 제공하는 라우터(예컨대, 'CISCO'사 제조된 CISCO 라우터)나 스위치는 운용자의 적절한 설정을 통해 자신을 경유하는 인터넷 트래픽에 대한 상세 보고를 플로우(flow)라는 정의에 기준해서 생성하고, 이러한 기능은 넷플로우라는 이름으로 장비의 운용체제 내부에 소프트웨어적으로 구현되어 있다.

넷플로우 레코드를 얻기 위한 IP 네트워크의 망 구성은 도 1에 도시된 바와 같이, IP 네트워크 망에서 발생하는 데이터가 정확한 목적지점으로 전달되도록 라우팅기능을 수행하는 라우터(20)와, 웹브라우저 또는 익스플로어 등이 설치되어 인터넷(27)을 통해 원격지에 설치된 웹서버(40)와 접속하여 그 웹서버(40)와 양방향 데이터전송을 행하는 클라이언트단말(10), 상기 클라이언트 단말(10)과 웹서버(27)간의 통신경로를 제공하는 인터넷(27), 상기 라우터(20)로부터 플로우 데이터가 전송되면 그 플로우 데이터에 포함된 플로우 레코드로부터 해당 플로우의 서비스 종류를 구분하는 수집서버(30)로 구성된다.

상기한 구성에 의하면, 상기 클라이언트 단말(10)이 인터넷에 접속하여 특정 웹서버의 URL주소를 입력하면, 라우터(20)가 내장된 라우팅 테이블을 참조하여 상기 클라이언트 단말(10)로부터의 발신호에 대한 라우팅을 수행하여 상기 클라이언트 단말(10)과 웹서버간의 양방향 통신채널을 설정한다.

그리고, 상기 라우터(20)는 운용자(도시 생략)로부터의 요구시 트래픽 분석을 위한 플로우데이터를 생성하여 상기 라우터(20)에 대한 트래픽 분석이 용이하게 하는 기능(이하, '넷플로우(net flow) 기능'이라 함)을 구비하고 있는 바, 상기 넷플로우 기능에 의하면 상기 운용자가 상기 넷플로우 기능을 기동시키면서 상기 플로우데이터를 수집하여 트래픽을 분석하는 수집서버(30)의 IP주소를 입력하면, 상기 라우터(20)는 생성된 플로우데이터를 상기 수집서버(30)로 전송한다.

상기 플로우데이터는 발/착신 IP 주소, 발/착신 포트 번호를 포함하여, 상기 발/착신 IP 주소는 인터넷상에서 라우팅을 효율적으로 하기 위하여 물리적인 네트웍 주소와 일치하는 개념으로 부여된 32 비트의 주소로서, 상기 IP 주소를 이용하면 네트웍상의 유일한 호스트를 식별하는 것뿐만 아니라, 호스트가 있는 네트워크를 식별할 수 있는 것이며, 상기 발/착신 포트 번호는 들어오는 트래픽을 컴퓨터 내에서 실행되고 있는 적절한 프로그램에 분배시키기 위해 할당되는 숫자를 말한다. 이것은 물리적인 플러그나 소켓이 아니며, 다만 논리적인 할당일 뿐이다.

이러한 포트번호는 Well Known 포트번호와, Registered 포트번호 그리고, Dynamic and/or Private 포트번호 등 3가지 범주로 나뉘는데, Well Known 포트번호에는 0∼1023까지의 숫자가, Registered 포트번호에는 1024∼49151까지의 숫자가, 그리고 Dynamic and/or Private 포트번호에는 49152∼65535까지의 숫자가 각각 사용된다.

well-known 포트번호로는 일부 서비스들에 대해서는 인습적으로 영구적인 포트번호들이 할당되는데, 통상적으로 월드와이드웹 트래픽, 즉 HTTP 패킷들에는 대체로 80번 포트가, FTP 전송에는 20번 포트가, 그리고 Kerberos 인증에는 88번 포트가 각각 할당된다.

한편, 종래 수집서버(30)는 상기 라우터(20)로부터 전송된 플로우데이터를 근거로 서비스별 트래픽 분석을 행함에 있어서 목적 포트번호만을 이용하여 서비스를 식별하기 때문에, 예를 들어 클라이언트 단말(10)이 인터넷(27)을 통해 웹서버(40)에 데이터전송을 요청하면, 상기 라우터(20)로부터 전송되는 플로우데이터에 포함되어 전송되는 목적지 포트번호가 "80"이 되기 때문에, 상기 수집서버(30)는 서비스구분을 "웹"으로 할 수 있게 된다. 이때, 상기 플로우데이터에 포함된 발신 포트번호는 클라이언트 단말의 가용한 포트중에 well-known 포트번호에 해당하는 1024보다 큰 무작위수(예컨대, 1605)가 할당된 것이다.

도 2를 참조하여 종래 서비스별 트래픽 분석과정을 설명한다.

상기 클라이언트 단말(10)로부터 웹서버(40)로 데이터전송을 요청하는 플로우는 플로우1로 정의하고, 상기 클라이언트 단말(10)로부터의 요청에 대한 응답으로 발생하는 플로우를 플로우2로 정의한다.

상기 플로우1에 대해서는 착신 포트번호로 well-known 포트번호 "80"이 할당되고, 발신 포트번호로는 well-known 포트번호에 해당하지 않는 포트번호 중 무작위로 할당되어 예컨대, "1605"가 할당된다.

상기 플로우2에 대해서는 상기 플로우1의 발/착신 포트번호를 착/발신 포트번호로 변환하여 적용한다. 이러한 관계는 <표 1>에 기개된 바와 같다.

<표 1>

	착신 포트번호	발신 포트번호
플로우 1	80	1605
플로우 2	1605	80

한편, 상기 수집서버(30)는 상기 라우터(20)로부터 전송된 플로우데이터에 대해 착신 포트번호만으로 서비스를 구분하기 때문에, 상기 플로우 1과 플로우 2가 동일하게 웹서비스에 해당하는 플로우임에도 불구하고, 상기 플로우 1은 착신 포트번호가 "80"이기 때문에 웹서비스에 해당하는 트래픽으로 분류되고, 상기 플로우 2는 착신 포트가 "1605"이기 때문에 웹서비스에 해당하는 트래픽으로 분류되지 않게 되는 오류가 발생한다.

하지만, 이러한 오류는 서비스별 트래픽 분석을 하기 위해서는 반드시 보정되어야 하는 것이며, 일반적으로 클라이언트/서버 모델에서 클라이언트에서 서버로 가는 데어터의 양보다는 서버에서 클라이언트로 가는 데이터가 월등히 많기 때문에 정확한 분석을 위해서는 상술되어진 오류들이 반드시 보정되어야 한다.

따라서, 본 발명은 상술한 종래의 문제점을 해결하기 위해 이루어진 것으로, 수집서버가 플로우데이터로부터 트래픽의 서비스를 분석할 때 착신지 포트번호에 한정하지 않고 발신지 포트번호와 착신지 포트번호를 참조하여 트래픽에 대한 서비스분석을 행할 수 있도록 하는 IP 네트워크에서 서비스별 트래픽 분석을 위한 포트번호 선택방법을 제공함에 그 목적이 있다.

도 1은 IP 네트워크의 망구성도.

도 2는 IP 네트워크에서 서비스별 트래픽 분석을 위한 포트번호 선택방법을 설명하기 위한 도면.

도 3은 본 발명의 실시예에 따른 IP 네트워크에서 서비스별 트래픽 분석을 위한 포트번호 선택방법을 설명하기 위한 플로우차트.

< 도면의 주요부분에 대한 부호의 설명 >

10 : 클라이언트 단말20 : 라우터

27 : 인터넷30 : 수집서버

40 : 웹서버

상기한 목적을 달성하기 위해 본 발명의 바람직한 실시예에 따른 IP 네트워크에서 서비스별 트래픽 분석을 위한 포트번호 선택방법에 의하면, 인터넷 트래픽에 대한 상세보고를 행하는 넷플로우 기능을 갖춘 라우터에서 제공되는 플로우데이터를 이용하여 트래픽의 서비스 종류를 분석하는 방법에 있어서,

발/착신지 포트번호를 포함하는 플로우데이터로부터 착신지 포트번호를 분석하여 상기 착신지 포트번호와 상기 발신지 포트번호 중 어느 하나가 well-known 포트번호에 해당하는가를 판단하는 제1단계와;

상기 판단결과, 상기 착신지 포트번호와 상기 발신지 포트번호 중 어느 하나가 well-known 포트번호이면, 상기 플로우데이터에 해당하는 플로우의 트래픽을 상기 well-known 포트번호에 의해 정의된 서비스의 트래픽으로 분류하는 제2단계로 구성된 것을 특징으로 한다.

이하, 첨부된 도면을 참조하여 본 발명의 실시예를 보다 상세히 설명한다.

도 3은 본 발명의 실시예에 따른 IP 네트워크에서 서비스별 트래픽 분석을 위한 포트번호 선택방법을 설명하기 위한 플로우차트이다.

도 3은 도 1에 도시된 IP 네트워크 망 구성도를 가지며, 상기 수집서버(30)의 동작에 해당하는 플로우차트로서, 상기 수집서버(30)는 종래와는 달리 상기 라우터(20)로부터 전송된 플로우데이터로부터 해당 트래픽의 서비스종류를 분석할 때, 착신지 포트번호와 발신지 포트번호를 모두 고려하여 해당 트래픽의 서비스종류를 분류한다.

이하, 도 3을 참조하여 본 발명의 실시예에 따른 IP 네트워크에서 서비스별 트래픽 분석을 위한 포트번호 선택방법을 구체적으로 설명한다.

<표 1>에 기재된 바와 같이 플로우 1과 플로우 2에 대한 발신지 포트번호와 착신지 포트번호가 정의된 경우를 예로서 설명한다.

상기 수집서버(30)는 상기 라우터(20)로부터 플로우데이터가 전송되면(100), 그 플로우데이터로부터 착신지 포트번호를 분석하여(110), 상기 착신지 포트번호가 well-known(0∼1023) 포트번호에 해당하는가를 판단한다(120).

상기 판단결과, 상기 착신지 포트번호가 well-known 포트번호에 해당하면(120에서 Yes), 해당 플로우에 대한 트래픽을 상기 well-known 포트번호에 대해 정의된 서비스의 트래픽으로 분류한다(130). 상기 분류과정에서 상기 well-known 포트번호가 "80"이면 웹서비스의 트래픽으로 분류하고, "20"이면 FTP 전송에 따른 서비스의 트래픽으로 분류한다.

그러나, 상기한 경우와는 달리 상기 단계 120에서의 판단결과 상기 착신지 포트번호가 well-known 포트번호에 해당하지 않으면 상기 수집서버(30)는 전송된 플로우데이터로부터 발신지 포트번호를 분석하여(140), 상기 발신지 포트번호가 well-known 포트번호에 해당하는가를 판단하여(150), 상기 발신지 포트번호가 well-known 포트번호에 해당하면 상기 플로우에 대한 트래픽을 해당 포트번호에 해당하는 서비스 트래픽으로 분류한다.

상기한 일련의 동작에 의하면, 상기 수집서버(30)는 상기 라우터(20)로부터 전송되는 플로우데이터로부터 플로우의 트래픽에 대한 서비스종류를 구분할 때, 클라이언트/서버 모델에서 클라이언트에는 well-known 포트번호가 할당되지 않고 웹서버에만 well-known 포트번호만 할당된 경우에도 해당 트래픽을 웹서비스에 대한 트래픽으로 분류할 수 있게 된다.

이상 설명한 바와 같은 본 발명에 의하면, 라우터로부터의 플로우데이터를 이용하여 서비스별 트래픽 분석을 행하는 경우, 통상적인 클라이언트/서버 모델에서 클라이언트에서 서버로 가는 데이터의 양보다는 서버에서 클라이언트로 가는 데이터가 월등히 많다는 것을 감안한다면 발/착신시 포트번호를 이용함으로써 서버에서 클라이언트로 전송되는 플로우에 대해서도 정확하게 트래픽 분석을 행할 수 있기 때문에, 트래픽 분석에 대한 정확도를 향상할 수 있다는 효과가 있다.

한편, 본 발명은 상술한 실시예로만 한정되는 것이 아니라 본 발명의 요지를 벗어나지 않는 범위내에서 수정 및 변형하여 실시할 수 있고, 이러한 수정 및 변경 등은 이하의 특허 청구의 범위에 속하는 것으로 보아야 할 것이다.

Claims

인터넷 트래픽에 대한 상세보고를 행하는 넷플로우 기능을 갖춘 라우터에서 제공되는 플로우데이터를 이용하여 트래픽의 서비스 종류를 분석하는 방법에 있어서,

발/착신지 포트번호를 포함하는 플로우데이터로부터 착신지 포트번호를 분석하여 상기 착신지 포트번호와 상기 발신지 포트번호 중 어느 하나가 well-known 포트번호에 해당하는가를 판단하는 제1단계와;

상기 판단결과, 상기 착신지 포트번호와 상기 발신지 포트번호 중 어느 하나가 well-known 포트번호이면, 상기 플로우데이터에 해당하는 플로우의 트래픽을 상기 well-known 포트번호에 의해 정의된 서비스의 트래픽으로 분류하는 제2단계로 구성된 것을 특징으로 하는 IP 네트워크에서 서비스별 트래픽 분석을 위한 포트번호 선택방법.