網(wǎng)絡(luò)管理員：網(wǎng)絡(luò)流量控制對管理起到的作用

　　DPI技術(shù)對傳統(tǒng)的流量檢測技術(shù)進(jìn)行了“深度”擴(kuò)展，在獲取數(shù)據(jù)包基本信息的同時，對多個相關(guān)數(shù)據(jù)包的應(yīng)用層協(xié)議頭和協(xié)議負(fù)荷進(jìn)行掃描，獲取保存在應(yīng)用層中的特征信息，對網(wǎng)絡(luò)流量進(jìn)行精細(xì)的檢查、監(jiān)控和分析。

　　DPI技術(shù)通常采用如下的數(shù)據(jù)包分析方法:

　　 傳輸層端口分析。許多應(yīng)用使用默認(rèn)的傳輸層端口號，例如HTTP協(xié)議使用80端口。

　　特征字匹配分析。一些應(yīng)用在應(yīng)用層協(xié)議頭或者應(yīng)用層負(fù)荷中的特定位置包含特征字段，通過特征字段的識別實(shí)現(xiàn)數(shù)據(jù)包檢查、監(jiān)控和分析。

　　 通信交互過程分析。對多個會話的事務(wù)交互過程進(jìn)行監(jiān)控分析，包括包長度、發(fā)送的包數(shù)目等，實(shí)現(xiàn)對網(wǎng)絡(luò)業(yè)務(wù)的檢查、監(jiān)控和分析。

　　該技術(shù)如果進(jìn)行更加詳細(xì)的劃分，還可分為特征字的識別技術(shù)、應(yīng)用層網(wǎng)關(guān)識別技術(shù)、行為模式識別技術(shù)，這三類識別技術(shù)分別適用于不同類型的協(xié)議，相互之間無法替代，只有綜合地運(yùn)用這三大技術(shù)，才能有效、靈活地識別網(wǎng)絡(luò)上的各類應(yīng)用，從而實(shí)現(xiàn)控制和計費(fèi)。

　　DFI技術(shù) DFI是深度流行為檢測(Deep Flow Inspection)的簡稱，也是一種典型的業(yè)務(wù)識別技術(shù)。DFI技術(shù)是針對DPl技術(shù)的不足提出的，為了解決DPI技術(shù)的執(zhí)行效率、加密流量識別和頻繁升級等問題。DFI更關(guān)注于網(wǎng)絡(luò)流量特征的通用性，因此，DFI技術(shù)并不對網(wǎng)絡(luò)流量進(jìn)行深度的報文檢測，而僅通過對網(wǎng)絡(luò)流量的狀態(tài)、網(wǎng)絡(luò)層和傳輸層信息、業(yè)務(wù)流持續(xù)時間、平均流速率、字節(jié)長度分布等參數(shù)的統(tǒng)計分析，來獲取業(yè)務(wù)類型、業(yè)務(wù)狀態(tài)。

　　網(wǎng)絡(luò)流量的統(tǒng)計分析

　　通過流量統(tǒng)計分析，網(wǎng)絡(luò)管理者能夠知道當(dāng)前網(wǎng)絡(luò)中的業(yè)務(wù)流量的類型、帶寬、時間和空間分布、流向等信息。

　　在管理的過程中，管理員可以采用常見的NTOP工具來協(xié)助完成。NTOP工具與傳統(tǒng)的tcpdump或ethereal等網(wǎng)絡(luò)流量捕捉工具有著極大的差異，它主要是提供網(wǎng)絡(luò)報文的統(tǒng)計數(shù)據(jù)，而不是報文的內(nèi)容。此外，NTOP不需要使用Web服務(wù)器，它自身就支持HTTP協(xié)議。首先，它提供了一種快速容易的方法來得到網(wǎng)絡(luò)活動的準(zhǔn)確信息，并且不使用網(wǎng)絡(luò)探測或偵聽設(shè)備。在大多數(shù)情況下，網(wǎng)絡(luò)探測器對追蹤網(wǎng)絡(luò)故障是必需的，而在某些時候可能因為探測器正被使用于監(jiān)測其他設(shè)備而無法獲得，就可以使用NTOP工具; 其次，在某些給定的網(wǎng)絡(luò)配置下可能無法與探測器連接，比如兩個通過WAN互連的Unix系統(tǒng)，在這種情況下，用戶可以應(yīng)用NTOP工具。

　　一般說來，使用NTOP工具可以輔助網(wǎng)絡(luò)管理員完成以下一些工作: 自動從網(wǎng)絡(luò)中識別有用的信息; 將截獲的數(shù)據(jù)包轉(zhuǎn)換成易于識別的格式; 對網(wǎng)絡(luò)環(huán)境中通信失敗的情況進(jìn)行分析; 探測網(wǎng)絡(luò)環(huán)境中的通信瓶頸; 記錄網(wǎng)絡(luò)通信的時間和過程。

　　NTOP工具可以通過分析網(wǎng)絡(luò)流量來確定網(wǎng)絡(luò)上存在的各種問題，也可以用來判斷是否有黑客正在攻擊網(wǎng)絡(luò)系統(tǒng)，還可以很方便地顯示出特定的網(wǎng)絡(luò)協(xié)議、占用大量帶寬的主機(jī)、各次通信的目標(biāo)主機(jī)、數(shù)據(jù)包的發(fā)送時間、傳遞數(shù)據(jù)包的延時等詳細(xì)信息。通過了解這些信息，網(wǎng)管員可以對故障做出及時的響應(yīng)，對網(wǎng)絡(luò)進(jìn)行相應(yīng)的優(yōu)化調(diào)整，以保證網(wǎng)絡(luò)運(yùn)行的效率和安全。

　　網(wǎng)絡(luò)流量的控制

　　將流量控制能力添加到網(wǎng)絡(luò)流量管理中，能夠幫助網(wǎng)絡(luò)管理者對網(wǎng)絡(luò)資源和業(yè)務(wù)資源進(jìn)行帶寬控制和資源調(diào)度，如對HTTP、FTP、SMTP以及P2P等應(yīng)用進(jìn)行管理，尤其是對P2P流量進(jìn)行抑制來提升傳統(tǒng)數(shù)據(jù)業(yè)務(wù)的用戶體驗度。

　　具備流量控制能力的網(wǎng)絡(luò)流量管理還能夠?qū)��?yán)重影響業(yè)務(wù)運(yùn)營者收入的未經(jīng)許可的其他業(yè)務(wù)進(jìn)行抑制。比如，對于VoIP業(yè)務(wù)，我們可以通過對VoIP信令流量和媒體流量的關(guān)聯(lián)檢測和統(tǒng)計分析，以及通過截斷媒體數(shù)據(jù)包、偽裝信令報文等方式對流量進(jìn)行管理。還可以通過綜合使用網(wǎng)絡(luò)層、傳輸層和應(yīng)用層檢測技術(shù)，對未經(jīng)許可的寬帶私接用戶采取中斷連接、主動告警、分時控制等多種管理動作。

　　流量控制還能夠幫助網(wǎng)絡(luò)流量管理實(shí)現(xiàn)業(yè)務(wù)資源的調(diào)度，并能夠獲得業(yè)務(wù)資源使用、業(yè)務(wù)狀態(tài)的實(shí)時情況。當(dāng)某一網(wǎng)絡(luò)應(yīng)用業(yè)務(wù)服務(wù)器負(fù)載較大時，可以進(jìn)行全局的業(yè)務(wù)資源負(fù)載均衡，以平均地承擔(dān)業(yè)務(wù)請求; 同時也能夠?qū)τ脩舻臉I(yè)務(wù)請求進(jìn)行調(diào)度，決定是否繼續(xù)響應(yīng)用戶新的業(yè)務(wù)請求，并根據(jù)用戶的優(yōu)先級優(yōu)先響應(yīng)高優(yōu)先級用戶的業(yè)務(wù)請求，以提升業(yè)務(wù)運(yùn)營效率。

　　流量控制通常的做法是在輸出端口處建立一個隊列進(jìn)行流量控制，控制的方式是基于路由，亦即基于目的IP地址或目的子網(wǎng)的網(wǎng)絡(luò)號。流量控制器基本的功能模塊為隊列、分類和過濾器。由于目前網(wǎng)絡(luò)流量種類繁多，網(wǎng)絡(luò)管理員在管理時通常都采用分類的方式進(jìn)行。

　　對于網(wǎng)絡(luò)流量管理來說，除了應(yīng)具有上述的流量識別、流量分析和流量控制的功能之外，我們一般還希望其具有和防火墻等網(wǎng)絡(luò)安全設(shè)備協(xié)同構(gòu)建一個主動的安全威脅防御體系的功能，以提升整個網(wǎng)絡(luò)的安全防護(hù)能力，從而更好地保證網(wǎng)絡(luò)流量。

　　比如，流量特征識別分析就是一種必要的流量管理手段。它能夠主動發(fā)現(xiàn)諸如DDoS攻擊、病毒和木馬等異常流量，較好地彌補(bǔ)其他網(wǎng)絡(luò)安全設(shè)備如防火墻、入侵防護(hù)系統(tǒng)(IPS)和統(tǒng)一威脅管理(UTM)等的不足，提升其主動發(fā)現(xiàn)安全威脅的能力，并能夠及時向其他網(wǎng)絡(luò)安全設(shè)備發(fā)出告警，從安全威脅源頭開始就進(jìn)行主動的防御。此外，具備流量識別能力的網(wǎng)絡(luò)流量管理還能夠獲取并保存網(wǎng)絡(luò)流量的網(wǎng)絡(luò)層信息(例如，源/目的IP地址、應(yīng)用端口、用戶標(biāo)識ID等信息)，通過這些信息，網(wǎng)絡(luò)管理者能夠?qū)Π踩�威脅進(jìn)行溯源定位。