P2P應用識別與控制技術 - 全文

　　1.1 背景

　　P2P是peer-to-peer的縮寫，peer在英語里有"(地位、能力等)同等者"、"同事"和"伙伴"等意義。這樣一來，P2P也就可以理解為"伙伴對伙伴"的意思，或稱為對等聯(lián)網(wǎng)。目前人們認為其在加強網(wǎng)絡上人的交流、文件交換、分布計算等方面大有前途。

　　P2P還是point to point 點對點下載的意思，它是下載術語，意思是在你自己下載的同時，自己的電腦還要繼續(xù)做主機上傳，這種下載方式，人越多速度越快，但缺點是對你的硬盤損傷比較大(在寫的同時還要讀)，還有就是對你內(nèi)存占用較多，影響整機速度!

?

　　德國互聯(lián)網(wǎng)調研機構ipoque稱，P2P已經(jīng)徹底統(tǒng)治了當今的互聯(lián)網(wǎng)，其中50-90%的總流量都來自P2P程序。在P2P程序里，BitTorrent已經(jīng)超過eDonkey(含eMule)，占了P2P流量的50~70%，而后者根據(jù)地區(qū)不同份額為5~50%，不過在某些地方，eDonkey仍是P2P首選。

　　P2P(Peer-to-Peer)技術自出現(xiàn)以來，便得到了快速的普及和發(fā)展，尤其是應用最為廣泛的P2P文件共享技術。由于P2P軟件不斷地進行更新，新的P2P軟件也在不斷涌現(xiàn)，并且P2P用戶所共享的文件大多是最新或者最流行的，越來越多的人被吸引到P2P的陣營當中，P2P流量在整個網(wǎng)絡流量中的比重與日俱增。據(jù)統(tǒng)計，僅在短短的幾年時間內(nèi)，P2P流量已經(jīng)占據(jù)了固定網(wǎng)絡中6O 以上的帶寬，對Web，Email等其他網(wǎng)絡服務構成了嚴重威脅。于是，如何識別P2P流量以及對其進行控制，漸漸成為了人們比較關心的問題。

　　基于P2P技術開發(fā)的軟件，具有如下幾個典型特征：

　　1、軟件類型非常繁多，且采用的通信協(xié)議不規(guī)范，不標準;

　　2、每一個主機既是服務器，也是客戶端，沒有明顯的中央控制單元，流量具有網(wǎng)狀連接特征，很難識別;

　　3、網(wǎng)絡逃避運營商等對P2P業(yè)務的控制，普遍采用加密傳輸、頻繁更新協(xié)議特征等技術，導致識別控制困難。

　　1.2 傳統(tǒng)P2P應用識別與控制方法

　　到目前為止傳統(tǒng)的P2P應用識別與控制方法主要有如下四類：

　　第一類技術：利用端口進行P2P流量識別即對各種P2P軟件的相應流量進行研究，并歸納出常用的一個或多個固定端口(如KuGoo軟件通用的商業(yè)端口是7000)。然后在流量檢測過程中，一旦發(fā)現(xiàn)有流量的端日與已歸納出的端口相同，就可以確定該流量屬于P2P流量，并屬于某一種P2P軟件引。但是對于利用端口識別P2P流量，現(xiàn)在大多數(shù)P2P軟件都不再使用固定端口，或使用動態(tài)端口，或在軟件中設有端口設置功能供用戶自行設置端口，甚至有的P2P軟件使用8O等其它業(yè)務的固定端口號，以欺騙流量檢測設備。

　　第二類技術：用關鍵字進行P2P流量識別也是在研究各種P2P軟件相應流量的基礎上實現(xiàn)的。這時對流量研究的目的不再是歸納特征端口，而是歸納出流量所有數(shù)據(jù)包中都含有的或者出現(xiàn)頻率最高的特征字符串即關鍵字，一般關鍵字的出現(xiàn)位置也是有嚴格要求的。然后在流量檢測過程中，對數(shù)據(jù)包進行深度檢測。如果關鍵字匹配成功，就可以確定該流量屬于P2P流量及其所屬軟件類別。但是隨著P2P技術的不斷發(fā)展，上述方法已出現(xiàn)了明顯的弊端。對于利用關鍵字識別P2P流量，關鍵字符串的部分或全部字節(jié)可能隨軟件的運行環(huán)境、版本等的改變而改變。

　　第三類技術：就是利用大于1024的TCP/UDP端口數(shù)進行P2P識別的技術。但是，該方法無法將P2P業(yè)務和端口掃描、DdoS攻擊等類型的流量區(qū)分開來。

　　第四類技術：利用IP地址連接的通信對端IP地址的數(shù)量進行P2P識別的技術。但是該方法無法區(qū)分一個IP地址是否屬于一個為眾多用戶提供服務器的設備，還是一個用戶在大量發(fā)起P2P連接。

　　因此綜上所述，傳統(tǒng)的P2P應用識別技術已經(jīng)不能應對P2P技術本身的發(fā)展和變化了。

　　1.3 BMC P2P應用識別與控制技術概述

　　BMC專利技術——<一種基于數(shù)學建模技術應用于P2P網(wǎng)絡的流量識別與控制的方法>,通過對P2P技術特征的分析，得出典型的P2P流量模型，通過模型特征值的提取，能夠非常高效便捷的對它們進行識別。

　　BMC的P2P專利識別技術提供一種基于數(shù)學建模技術應用于P2P網(wǎng)絡的流量識別與控制的方法，具體來說：就是對網(wǎng)絡中的每一個IP地址的通信會話進行數(shù)學建模，采集該IP地址活動會話所連接的對端IP地址分布、TCP/UDP端口分布和會話狀態(tài)信息，利用數(shù)學建模技術產(chǎn)生數(shù)學模型特征值;將數(shù)學模型特征值與預設的P2P流量數(shù)學模型參數(shù)進行匹配;在與P2P流量數(shù)學模型參數(shù)匹配的情況下，判定該IP地址當前正在使用P2P技術進行數(shù)據(jù)傳輸;根據(jù)預先配置的P2P流量控制策略，對該IP地址的所有符合P2P特征的流量進行控制。

　　上述預設的P2P流量數(shù)學模型參數(shù)包括最小IP地址擴散度Cip、最小TCP/UDP端口擴散度Mport、最大會話接通率Cratemax和最小會話接通率Cratemin，上述四個參數(shù)被配置到數(shù)學模型庫中。

　　本技術優(yōu)于傳統(tǒng)P2P識別技術之處在于：

　　1、本技術不依賴于對報文的內(nèi)容進行關鍵字或者特征碼識別，因此，本技術能夠對加密的P2P和未知的新出現(xiàn)的P2P流量進行識別;

　　2、本技術不是僅僅依靠對高于1024的TCP/UDP端口進行統(tǒng)計，識別P2P，它避免了把P2P流量和網(wǎng)絡掃描、DdoS攻擊等流量混淆起來。因此更精確;

　　3、本技術不是僅僅依靠對IP地址所連接的對端IP地址數(shù)量進行統(tǒng)計，因此避免了把P2P流量和網(wǎng)站服務器的流量混淆。

　　下圖為某客戶部署B(yǎng)MC的硬件流控產(chǎn)品TMA(采用上述專利技術識別P2P應用)后對P2P的實際控制效果圖：