当前位置:数据中心技术专区 → 正文

数据中心网络流量识别技术漫谈

责任编辑:cres 作者:harbor |来源:企业网D1Net  2018-10-08 09:53:28 原创文章 企业网D1Net

流量识别是网络监控的关键环节,要对网络进行监控首先要识别,否则监控就无从下手。流量是网络中传输数据的重要载体,只有针对流量进行识别,才能根据不同的流量采取不同的监控策略,或是拒绝,或是优化,或是打标,进行优先级分类等等,所有这一切工作的前提都是先要对流量进行识别。根据以太网标准定义,各种各样的流量数据包都是有固定格式的,但种类极其繁多,还有一些攻击流量,不符合任何标准协议特征的,所以要将所有的流量识别出来,并分好类绝非易事。比如:有的可以识别出流量中不同的端口号,有的可以识别出流量中不同的IP五元组,有的可以分清以太、非以太流量,是否带封装等等,识别流量的侧重点不同,识别的深度也各有不同,这一领域的技术也在不断发展着,以便适应网络监控的多方面需要。那么,流量识别有哪些常用技术呢,在日常的网络监控中可以用得上,本文就来说一说。
 
端口识别技术
 
端口识别技术是利用IP流量的端口号完成识别过程,前提流量是TCP和UDP类型报文。TCP和UDP采用16位的端口号来区分不同应用进程,端口号范围为0~65535,其中 1~1023端口号常用。比如:HTTP协议通常使用80端口,DNS协议通常使用53号端口,SSH协议使用22号端口, Telnet协议使用23号端口, TFTP协议使用69号端口,SNMP协议使用161号端口等等,还有更多的端口号并不作为特定的协议使用,而是作为流量转发时,相互之间交互使用。端口识别技术只检查数据包端口号,将不同的端口流量进行甄别,并列出,从而知晓流量中都有哪些协议在应用。当然,如果是一些未定义的端口号,则认为是普通数据传输应用。显然,端口识别技术仅能识别TCP和UDP类型报文,并且当业务流量使用动态端口或知名端口进行传输,部分数据包如ICMP报文等并没有端口号,这类流量就无法通过端口识别技术去识别。
 
深度包识别技术
 
深度包识别技术即DPI(Deep Packet Inspection),DPI根据协议特征签名,对数据包的应用层数据进行深度分析,识别出相应协议,协议特征签名通常表现为数据包出现特定字符串或特定数字。在识别过程中,还可以同时结合数据包首部信息。DPI技术叫深度识别,就是可以做到精确识别,不仅仅分析数据包的浅层信息,并且DPI识别的协议类型更多,很多数据包头没有明显特征,也可以通过DPI技术识别出来。比如:一些视频语音文件,一些流量的局部微小特征如版本号或者负载大小等。不仅流量特征,DPI还可以作为应用层网关识别和行为模式识别,这类流量已经看不出任何协议特征之处,但通过流量行为或网关识别仍能找出规律。DPI多用于网络应用层,直接对应用进行识别。在防火墙、OpenDPI、L7-filter、Libprotoident、PACE和NBAR中都有应用。DPI技术可以识别四层到七层的流量特征,从应用层面进行识别,精度高。
 
深度流识别技术
 
深度流识别技术即DFI(Deep Flow Inspection),与DPI就差一个字,意义就不同了。DFI是一种基于对网络流量行为检测的识别技术,利用流的统计特征进行识别。DFI不需要访问应用层信息,只需分析流的特征,如分析流的数据包长度规律、接入连接与连出连接的比值,上行流量与下行流量的比值等。例如:网上IP语音流量体现在流状态上的特征就非常明显,RTP流的包长相对固定,一般在130~220Byte,连接速率较低,为20~84kbit/s,同时会话持续时间也相对较长,基于P2P下载应用的流量模型的特点为平均包长都在450byte以上,下载时间长,连接速率高。DFI基于这一系列流量的行为特征,建立流量特征模型,鉴别应用类型。当然,绝大部分的应用这类特征并不明显,DFI技术就无能为力了。
 
图1列了以上三种流量识别技术的对比,各有优缺点,端口识别技术识别速度快,但能够识别的流量类型比较有限,是二到四层的流量识别技术。DPI和DFI都是四到七层的识别技术。DPI适用于需要精细和准确识别、精细管理的环境,DFI适用于需要高效识别、粗放管理的环境。从处理速度上看,DFI识别速度快,DPI识别速度慢。从维护成本上来看,DFI维护成本低。所以,三种流量技术在识别率、准确率、实时性、可扩展性方面表现均有所不同,对于客户要看其更注重哪个方面,然后综合比较,再去选择相应的流量识别技术部署。
 
 
流量识别的目标是对网络流量按照协议、应用和WEB服务三个层次进行实时识别,尽可能做到细粒度的分类,为网络监控提供决策参考。在流量识别的基础上,网络监控可以采取多种措施。例如:将占据网络带宽大而并不关键的应用进行限速,而将更多的网络资源分给一些重要任务流量上;可以对网络深层次进行剖析,为检测网络中的异常流量提供参考依据,起到防攻击效果,其实在不少的防火墙上防攻击的过滤功能就是基于DFI和DPI的识别技术;流量识别可以用于流量计费、提升用户体验和保障网络安全方面,还可以用于日常运维,通过流量识别及早发现网络流量异动,从而采取保障措施,确保业务不受影响。流量识别技术已经成为数据中心网络的一项必备功能,在网络监控中不可缺少。

关键字:数据中心

原创文章 企业网D1Net

x 数据中心网络流量识别技术漫谈 扫一扫
分享本文到朋友圈
当前位置:数据中心技术专区 → 正文

数据中心网络流量识别技术漫谈

责任编辑:cres 作者:harbor |来源:企业网D1Net  2018-10-08 09:53:28 原创文章 企业网D1Net

流量识别是网络监控的关键环节,要对网络进行监控首先要识别,否则监控就无从下手。流量是网络中传输数据的重要载体,只有针对流量进行识别,才能根据不同的流量采取不同的监控策略,或是拒绝,或是优化,或是打标,进行优先级分类等等,所有这一切工作的前提都是先要对流量进行识别。根据以太网标准定义,各种各样的流量数据包都是有固定格式的,但种类极其繁多,还有一些攻击流量,不符合任何标准协议特征的,所以要将所有的流量识别出来,并分好类绝非易事。比如:有的可以识别出流量中不同的端口号,有的可以识别出流量中不同的IP五元组,有的可以分清以太、非以太流量,是否带封装等等,识别流量的侧重点不同,识别的深度也各有不同,这一领域的技术也在不断发展着,以便适应网络监控的多方面需要。那么,流量识别有哪些常用技术呢,在日常的网络监控中可以用得上,本文就来说一说。
 
端口识别技术
 
端口识别技术是利用IP流量的端口号完成识别过程,前提流量是TCP和UDP类型报文。TCP和UDP采用16位的端口号来区分不同应用进程,端口号范围为0~65535,其中 1~1023端口号常用。比如:HTTP协议通常使用80端口,DNS协议通常使用53号端口,SSH协议使用22号端口, Telnet协议使用23号端口, TFTP协议使用69号端口,SNMP协议使用161号端口等等,还有更多的端口号并不作为特定的协议使用,而是作为流量转发时,相互之间交互使用。端口识别技术只检查数据包端口号,将不同的端口流量进行甄别,并列出,从而知晓流量中都有哪些协议在应用。当然,如果是一些未定义的端口号,则认为是普通数据传输应用。显然,端口识别技术仅能识别TCP和UDP类型报文,并且当业务流量使用动态端口或知名端口进行传输,部分数据包如ICMP报文等并没有端口号,这类流量就无法通过端口识别技术去识别。
 
深度包识别技术
 
深度包识别技术即DPI(Deep Packet Inspection),DPI根据协议特征签名,对数据包的应用层数据进行深度分析,识别出相应协议,协议特征签名通常表现为数据包出现特定字符串或特定数字。在识别过程中,还可以同时结合数据包首部信息。DPI技术叫深度识别,就是可以做到精确识别,不仅仅分析数据包的浅层信息,并且DPI识别的协议类型更多,很多数据包头没有明显特征,也可以通过DPI技术识别出来。比如:一些视频语音文件,一些流量的局部微小特征如版本号或者负载大小等。不仅流量特征,DPI还可以作为应用层网关识别和行为模式识别,这类流量已经看不出任何协议特征之处,但通过流量行为或网关识别仍能找出规律。DPI多用于网络应用层,直接对应用进行识别。在防火墙、OpenDPI、L7-filter、Libprotoident、PACE和NBAR中都有应用。DPI技术可以识别四层到七层的流量特征,从应用层面进行识别,精度高。
 
深度流识别技术
 
深度流识别技术即DFI(Deep Flow Inspection),与DPI就差一个字,意义就不同了。DFI是一种基于对网络流量行为检测的识别技术,利用流的统计特征进行识别。DFI不需要访问应用层信息,只需分析流的特征,如分析流的数据包长度规律、接入连接与连出连接的比值,上行流量与下行流量的比值等。例如:网上IP语音流量体现在流状态上的特征就非常明显,RTP流的包长相对固定,一般在130~220Byte,连接速率较低,为20~84kbit/s,同时会话持续时间也相对较长,基于P2P下载应用的流量模型的特点为平均包长都在450byte以上,下载时间长,连接速率高。DFI基于这一系列流量的行为特征,建立流量特征模型,鉴别应用类型。当然,绝大部分的应用这类特征并不明显,DFI技术就无能为力了。
 
图1列了以上三种流量识别技术的对比,各有优缺点,端口识别技术识别速度快,但能够识别的流量类型比较有限,是二到四层的流量识别技术。DPI和DFI都是四到七层的识别技术。DPI适用于需要精细和准确识别、精细管理的环境,DFI适用于需要高效识别、粗放管理的环境。从处理速度上看,DFI识别速度快,DPI识别速度慢。从维护成本上来看,DFI维护成本低。所以,三种流量技术在识别率、准确率、实时性、可扩展性方面表现均有所不同,对于客户要看其更注重哪个方面,然后综合比较,再去选择相应的流量识别技术部署。
 
 
流量识别的目标是对网络流量按照协议、应用和WEB服务三个层次进行实时识别,尽可能做到细粒度的分类,为网络监控提供决策参考。在流量识别的基础上,网络监控可以采取多种措施。例如:将占据网络带宽大而并不关键的应用进行限速,而将更多的网络资源分给一些重要任务流量上;可以对网络深层次进行剖析,为检测网络中的异常流量提供参考依据,起到防攻击效果,其实在不少的防火墙上防攻击的过滤功能就是基于DFI和DPI的识别技术;流量识别可以用于流量计费、提升用户体验和保障网络安全方面,还可以用于日常运维,通过流量识别及早发现网络流量异动,从而采取保障措施,确保业务不受影响。流量识别技术已经成为数据中心网络的一项必备功能,在网络监控中不可缺少。

关键字:数据中心

原创文章 企业网D1Net

电子周刊
回到顶部

关于我们联系我们版权声明隐私条款广告服务友情链接投稿中心招贤纳士

企业网版权所有 ©2010-2024 京ICP备09108050号-6 京公网安备 11010502049343号

^