宮向陽(yáng)

摘要：針對(duì)傳統(tǒng)流量識(shí)別系統(tǒng)性能低、可擴(kuò)展性差等問(wèn)題，提出一種以多叉樹(shù)作為深度包檢測(cè)（deep packet inspection， DPI）技術(shù)的模式匹配方法。通過(guò)對(duì)現(xiàn)行長(zhǎng)期演進(jìn)（long term evolution， LTE）網(wǎng)絡(luò)S1接口用戶面數(shù)據(jù)進(jìn)行解析，采用層次化、模塊化設(shè)計(jì)思想，實(shí)現(xiàn)一套以協(xié)議解析、流量識(shí)別、數(shù)據(jù)存儲(chǔ)為基礎(chǔ)的流量識(shí)別系統(tǒng)。經(jīng)測(cè)試，系統(tǒng)在實(shí)現(xiàn)對(duì)用戶行為監(jiān)測(cè)的基礎(chǔ)上，達(dá)到單機(jī)4～5Gb/s的處理速度，對(duì)大數(shù)據(jù)流量識(shí)別系統(tǒng)的設(shè)計(jì)具有重要參考意義。

關(guān)鍵詞關(guān)鍵詞：多叉樹(shù)；長(zhǎng)期演進(jìn)（LTE）；S1接口；深度包檢測(cè)（DPI）；層次化；模塊化

DOIDOI：10.11907/rjdk.161295

中圖分類號(hào)：TP393文獻(xiàn)標(biāo)識(shí)碼：A文章編號(hào)文章編號(hào)：16727800（2016）007016604

0引言

隨著4G網(wǎng)絡(luò)的普及，移動(dòng)互聯(lián)網(wǎng)時(shí)代已經(jīng)到來(lái)，在為用戶提供高速網(wǎng)絡(luò)體驗(yàn)的同時(shí)，運(yùn)營(yíng)商也面臨巨大挑戰(zhàn)。據(jù)統(tǒng)計(jì)，移動(dòng)互聯(lián)網(wǎng)數(shù)據(jù)量迅猛增長(zhǎng)的同時(shí)，卻沒(méi)有實(shí)現(xiàn)業(yè)務(wù)利潤(rùn)的快速增長(zhǎng)，通過(guò)對(duì)業(yè)務(wù)流量的識(shí)別和分類，實(shí)現(xiàn)對(duì)用戶的精確營(yíng)銷，對(duì)運(yùn)營(yíng)商而言至關(guān)重要。傳統(tǒng)的流量監(jiān)測(cè)技術(shù)是基于IP 數(shù)據(jù)中的底層數(shù)據(jù)（會(huì)話五元組），但對(duì)于種類繁多的應(yīng)用層流量仍然無(wú)能為力。目前，DPI即深度包監(jiān)測(cè)技術(shù)被廣泛應(yīng)用，然而，隨著智能手機(jī)和數(shù)據(jù)業(yè)務(wù)的爆發(fā)增長(zhǎng)，傳統(tǒng)的流量識(shí)別系統(tǒng)無(wú)論在業(yè)務(wù)還是性能方面均不能滿足需求，新一代客戶感知網(wǎng)絡(luò)流量體系迫在眉睫。在國(guó)內(nèi)，華為提出的SmartCare是一個(gè)旨在服務(wù)于高端細(xì)分市場(chǎng)的網(wǎng)絡(luò)監(jiān)測(cè)解決方案，該方案幫助運(yùn)行商解決端到端的業(yè)務(wù)質(zhì)量提升，保障用戶體驗(yàn)；中興通訊提出一種基于云計(jì)算架構(gòu)的用戶體驗(yàn)應(yīng)用解決方案——ZSmart CEMS，該方案采用大數(shù)據(jù)分布式以及并行處理架構(gòu)，實(shí)現(xiàn)計(jì)算資源的動(dòng)態(tài)調(diào)配以及利用率。通過(guò)DPI技術(shù)識(shí)別業(yè)務(wù)類型，與業(yè)務(wù)質(zhì)量、用戶數(shù)據(jù)、盡一步通信效率；⑨當(dāng)以太網(wǎng)絡(luò)交換機(jī)E-HUB采用直流以太網(wǎng)絡(luò)交換機(jī)時(shí)，其本身會(huì)傳輸電源信號(hào)，當(dāng)該電源信號(hào)的功能滿足或經(jīng)電路變換后滿足控制單元CU的電源供電要求時(shí)，可以采用以太網(wǎng)絡(luò)交換機(jī)E-HUB的電源信號(hào)替代單路CU電源線PWL為控制單元CU供電，可進(jìn)一步減少布線；⑩以太網(wǎng)絡(luò)通信速率高，可達(dá)每秒100MB/1 000MB以上。

終端信息相關(guān)聯(lián)，實(shí)現(xiàn)對(duì)現(xiàn)網(wǎng)業(yè)務(wù)的實(shí)時(shí)檢測(cè)。但是這些產(chǎn)品往往價(jià)格昂貴，或是應(yīng)用范圍有限，后臺(tái)維護(hù)成本較高，無(wú)法滿足LTE 網(wǎng)絡(luò)多業(yè)務(wù)大流量的監(jiān)測(cè)需求。因此，實(shí)現(xiàn)一套完整且價(jià)格低廉的用戶感知系統(tǒng)仍然任重道遠(yuǎn)。本文以LTE網(wǎng)絡(luò)S1-U接口用戶面數(shù)據(jù)作為系統(tǒng)數(shù)據(jù)源，設(shè)計(jì)并實(shí)現(xiàn)了一套擴(kuò)展性好、性能高的網(wǎng)絡(luò)流量識(shí)別系統(tǒng)。1系統(tǒng)設(shè)計(jì)

S1接口是LTE eNodeB（基站）與 EPC（分組核心網(wǎng)）之間的通訊接口。它沿襲了承載和控制分離的思想，又分為兩個(gè)接口，一個(gè)用于控制面（S1-MME），一個(gè)用于用戶面（S1-U）（見(jiàn)圖1）。控制平面接口S1-MME主要完成S1接口的無(wú)線接入承載控制、接口專用的操作維護(hù)等功能。用戶平面接口S1-U則主要用于傳送用戶數(shù)據(jù)，本方案選取用戶面接口S1-U接口作為數(shù)據(jù)采集點(diǎn)，通過(guò)對(duì)該接口的協(xié)議棧解碼獲取用戶的上網(wǎng)數(shù)據(jù)，作為DPI識(shí)別模塊的輸入變量。

圖1S1接口示意圖

本系統(tǒng)主要包括數(shù)據(jù)采集模塊、協(xié)議棧解析模塊、DPI業(yè)務(wù)識(shí)別模塊和業(yè)務(wù)統(tǒng)計(jì)模塊?？傮w實(shí)現(xiàn)框架如圖2所示，各模塊功能設(shè)計(jì)如下：

圖2系統(tǒng)框架

（1）數(shù)據(jù)采集模塊實(shí)現(xiàn)對(duì)現(xiàn)網(wǎng)S1-U接口數(shù)據(jù)的實(shí)時(shí)采集，將采集到的數(shù)據(jù)交給協(xié)議解析模塊。

（2）協(xié)議解析模塊將從S1-U接口得到的實(shí)時(shí)數(shù)據(jù)進(jìn)行基本解析，獲取IP及其底層數(shù)據(jù)，并將鏈路信息進(jìn)行緩存，然后調(diào)用子模塊（快速DPI），根據(jù)識(shí)別結(jié)果調(diào)用相應(yīng)的應(yīng)用層協(xié)議解碼模塊，應(yīng)用層協(xié)議解碼模塊通過(guò)對(duì)傳輸層負(fù)載的解析獲取關(guān)鍵字段。

（3）流量識(shí)別模塊實(shí)現(xiàn)對(duì)業(yè)務(wù)內(nèi)容的識(shí)別，輸入為應(yīng)用層協(xié)議的關(guān)鍵字段，輸出為具體業(yè)務(wù)標(biāo)識(shí)信息。

（4）數(shù)據(jù)存儲(chǔ)模塊的功能是將相關(guān)數(shù)據(jù)錄入數(shù)據(jù)庫(kù)。

（5）擴(kuò)展模塊以訂閱的方式獲取需要進(jìn)行深度識(shí)別的數(shù)據(jù)。

（6）業(yè)務(wù)模塊實(shí)現(xiàn)用戶對(duì)流量的統(tǒng)計(jì)功能。

2系統(tǒng)實(shí)現(xiàn)

2.1協(xié)議解碼模塊

協(xié)議解碼模塊分為基本解碼、快速DPI和應(yīng)用層解碼3個(gè)子模塊?；窘獯a模塊的功能是解析數(shù)據(jù)包的基本信息，緩存鏈路信息。針對(duì)各層協(xié)議，自下向上逐層對(duì)協(xié)議進(jìn)行解碼，并將解碼結(jié)果及相關(guān)指標(biāo)信息保存到鏈表結(jié)構(gòu)體中。

為了將分片的數(shù)據(jù)包重新組合成完整的數(shù)據(jù)包，必須進(jìn)行鏈路緩存，系統(tǒng)使用key-value方式保存鏈路信息，key為通信五元組，value包含一些通用信息（五元組、協(xié)議類型、時(shí)間戳等）以及應(yīng)用層解碼模塊指針。當(dāng)一個(gè)數(shù)據(jù)包到達(dá)解碼模塊后，先對(duì)其進(jìn)行TCP/IP解碼得到通信五元組，以五元組作為key，去索引value，如果索引失敗，則說(shuō)明是一個(gè)新的會(huì)話，為其創(chuàng)建一個(gè)session對(duì)象并添加到hashtable中，如果索引成功，判斷數(shù)據(jù)包是否攜帶鏈路斷開(kāi)的信息（如：TCP的FIN標(biāo)識(shí)），如果有，則從hashtable中將此會(huì)話的對(duì)象刪除，然后判斷該數(shù)據(jù)包的傳輸層協(xié)議是否被解析出來(lái)；如果沒(méi)有，則將傳輸層的負(fù)載數(shù)據(jù)傳遞給快速DPI模塊作解析，快速DPI根據(jù)自己的知識(shí)庫(kù)判斷此數(shù)據(jù)包屬于什么協(xié)議，然后將結(jié)果存入value中。判定應(yīng)用層協(xié)議類型后，需要判斷數(shù)據(jù)是否為分片的數(shù)據(jù)包，如果不是，則將其直接傳遞給流量識(shí)別模塊；否則，根據(jù)已有的鏈路信息進(jìn)行組包操作，如果組合后的數(shù)據(jù)包是完整的，則將其傳入流量識(shí)別模塊，否則進(jìn)行鏈路信息緩存 應(yīng)用層協(xié)議類型眾多（包括私有協(xié)議），所以系統(tǒng)必須具有可擴(kuò)展的功能。系統(tǒng)采用模塊化思想為每一種協(xié)議類型設(shè)計(jì)一個(gè)接口相同但功能不同的解碼器。當(dāng)系統(tǒng)啟動(dòng)時(shí)，將所有的應(yīng)用層解碼器注冊(cè)到系統(tǒng)，數(shù)據(jù)包被基本解碼后，根據(jù)解碼出的信息以及應(yīng)用層負(fù)載數(shù)據(jù)特征進(jìn)行快速DPI，如果判斷出數(shù)據(jù)包的協(xié)議類型，則調(diào)用與之對(duì)應(yīng)的應(yīng)用層協(xié)議解碼模塊，否則，失敗。2.3流量識(shí)別模塊

高效的匹配算法是衡量DPI識(shí)別引擎性能優(yōu)劣的關(guān)鍵。目前，正則表達(dá)式匹配技術(shù)廣泛應(yīng)用于網(wǎng)絡(luò)入侵檢測(cè)和防御系統(tǒng)，作為深度數(shù)據(jù)包檢測(cè)的核心算法來(lái)進(jìn)行非法內(nèi)容檢測(cè)、惡意代碼檢測(cè)、入侵檢測(cè)、協(xié)議分析等，正則表達(dá)式通常采用非確定性有限自動(dòng)機(jī)

參考文獻(xiàn)：

王行仁.飛行實(shí)時(shí)仿真系統(tǒng)及技術(shù).北京：北京航空航天出版社，2000.

宋云燕.基于面向?qū)ο蠹夹g(shù)的電站仿真支撐系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn).北京：華北電力大學(xué)，2012.

劉新順，閆建國(guó).VxWorks環(huán)境下無(wú)人機(jī)半物理仿真模型機(jī)數(shù)據(jù)通信與采集[J].現(xiàn)代電子技術(shù)，2012，35（1）：79.

徐海，崔連虎，徐光耀.RTX環(huán)境下時(shí)統(tǒng)信息實(shí)時(shí)采集方法研究[J].艦船電子工程，2012（4）：5961.

MICHAEL J DONAHOO，KENNETH L CALVERT.TCP/IP sockets in C：practical guide for programmers.2nd Edition.San Francisco：Morgan Kaufmann Publishers，2009.

顧穎彥.反射內(nèi)存網(wǎng)實(shí)時(shí)通信技術(shù)的研究[J].計(jì)算機(jī)工程，2002（7）：143144.

何波玲，張志春，徐坤.規(guī)模硬件模塊化智能控制方法及其應(yīng)用[J].蘭州理工大學(xué)學(xué)報(bào)，2014（3）：106109.

何波玲，張志春.設(shè)備密集型仿真系統(tǒng)硬件控制接口模式及系統(tǒng)[J].蘭州理工大學(xué)學(xué)報(bào)，2014（6）：9095.

何波玲.嵌入式TCP/IP驅(qū)動(dòng)設(shè)備的可復(fù)用群控驅(qū)動(dòng)引擎[J].軟件導(dǎo)刊，2015（4）：126128.

何波玲，張志春.一種軟硬件并行開(kāi)發(fā)無(wú)縫集成的規(guī)范化方法[J].軟件導(dǎo)刊，2015（5）：4951.

何波玲，張志春，徐坤.基于外部配置文件的硬件檢測(cè)軟件生成方法[J].軟件導(dǎo)刊，2015（6）：2829.