[发明专利]一种利用深度包检测技术进行P2P网络识别的方法

说明书

技术领域

本发明涉及通信技术领域，尤其涉及一种深度包检测的方法。

背景技术

随着近年来基于P2P(peer to peer)流量模型的新型网络应用的不断发展，网络带宽资源的消耗速度不断加快，网上传统业务也受到了越来越大的冲击和影响。P2P本身是一种很好的技术，有广阔的使用前景，但同时P2P也是一种杀伤力很强的技术。目前，基于P2P的应用多为带宽耗尽型的下载业务，使得原本富裕的接入、汇聚和骨干带宽资源被消耗殆尽，网络链路经常处于满负荷状态，导致网络服务质量恶化(丢包率、时延及抖动大大增加)，使部分对端到端QoS(quality of service)要求较高的语音、视频、游戏类业务的发展受到很大影响，同时挤占了传统互联网应用的带宽资源。如何有效控制此类低价值业务流量对带宽的侵蚀，解决骨干网增量不增收的现状，是摆在运营商面前的一个现实问题。

深度包检测（DPI）技术是一种基于应用层的流量检测和控制技术，当IP数据包、TCP或UDP数据流通过基于DPI技术的带宽管理系统时，该系统通过深入读取IP包载荷的内容来对OSI七层协议中的应用层信息进行重组，从而得到整个应用程序的内容，然后按照系统定义的管理策略对流量进行整形操作。深度包检测法就是基于这种原理，通过检测各种 P2P 应用协议使用的固定特征字来识别各种 P2P应用。

使用DPI技术能带来以下好处：

a) 检测准确率比基于端口和流量模式的方法高， 端口的变化不会影响检测率。

b) 能够检测使用最广泛的 P2P 应用。

c) 适合流量的精确检测。

发明人在实现实际使用DPI技术时，发现现有技术至少存在如下缺点：

a) 无法识别新出现的、经加密的 P2P 应用， 会出现漏判。

b) 协议分析和特征搜寻需要投入大量人力及时间。

c) 难以获取加密协议的特征。

d) 特征的选择对检测性能有很大影响。

e) 系统检测模块需不定期地进行升级。

f) 查看应用层的内容涉及隐私的问题。

g) 对检测设备的处理能力要求较高。

发明内容

本发明提供了一种利用DPI技术进行P2P网络识别的方法，包括：

步骤202、对待识别网络进行测量，得到该参与该网络的主机的拓扑范围值，该拓扑范围值为参与所述网络中数据交互的主机的最大拓扑距离；

步骤204、判断该拓扑范围值是否大于预设的第一阈值，若是，则进入步骤206，若否，则进入步骤210；

步骤206、所述待识别网络中的主机接收报文，对报文进行DPI处理，扫描其中的文本，进行模式匹配，使用由正则表达式构成的状态机，将接收到的文本中的内容和状态机中的模式相比较，确定接收到的报文的模式；

步骤208、若识别出该报文为P2P报文，则上报该网络为P2P网络，进入步骤214；若非P2P报文则不进行上报，进入步骤214；

步骤210、统计一段时间内主机的输入数据量和输出数据量，获得所述输入数据量和输出数据量的比值；

步骤212、若所述比值小于第二阈值，则进入步骤206；否则不上报该网络为P2P网络，进入步骤214；

步骤214、流量识别结束。

网络范围的大小很大程度上标明了网络协议的特性。本发明中，通过首先判断网络范围，再进行有针对性的识别的方式，有效的区别了不同情况下的流量识别方式。并且，通过正则表达式构成的状态机实现了DPI的处理，精确的获取处理结果。通过应用以上技术，能够使得在流量识别中更加准确、快捷的得到识别结果，并且在识别流程上也大幅优化，能够更容易的在现有设备中实现。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例。对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一的流程图。

图2为本发明实施例二的流程图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下将通过具体实施例和相关附图，对本发明作进一步详细说明。

实施例一

本发明实施例一提供了一种利用DPI技术进行P2P网络识别的方法，包括：