當(dāng)前，網(wǎng)絡(luò)中P2P應(yīng)用的數(shù)目不斷增加，流量也呈現(xiàn)逐漸增長(zhǎng)的趨勢(shì)，本文是一篇電子信息工程論文，針對(duì)P2P流量識(shí)別與監(jiān)測(cè)展開(kāi)研究。

　　摘 要 隨著P2P應(yīng)用的不斷增多，P2P流量所占網(wǎng)絡(luò)總流量的比重越來(lái)越大。準(zhǔn)確地識(shí)別出網(wǎng)絡(luò)中P2P應(yīng)用的流量對(duì)網(wǎng)絡(luò)規(guī)劃設(shè)計(jì)、QoS保證等都有十分重要的作用。介紹了當(dāng)前P2P流量識(shí)別的研究現(xiàn)狀，綜述了四種典型的P2P流量識(shí)別技術(shù)：端口識(shí)別法、應(yīng)用層特征識(shí)別法、流量模式識(shí)別法以及連接模式識(shí)別，分析了各個(gè)技術(shù)的優(yōu)缺點(diǎn)，并對(duì)P2P流量識(shí)別的發(fā)展趨勢(shì)進(jìn)行了一些探討。

　　關(guān)鍵詞 P2P,流量識(shí)別,測(cè)量,加密,電子信息工程論文

　　0 引言

　　P2P (Peer to Peer)是近年來(lái)出現(xiàn)的一種新的網(wǎng)絡(luò)應(yīng)用，它的出現(xiàn)開(kāi)啟了網(wǎng)絡(luò)邊緣未使用的資源。當(dāng)前隨著硬件價(jià)格的不斷下降，作為客戶端的PC機(jī)已經(jīng)具有相當(dāng)大的處理能力和存儲(chǔ)空間，然而這些資源在大部分時(shí)間都是處于閑置狀態(tài)。比如在當(dāng)前Internet中流行的C/S配置模式中，用戶的PC機(jī)僅僅是被作為一個(gè)顯示網(wǎng)頁(yè)的工具。而P2P體系結(jié)構(gòu)則可以使用這些PC機(jī)分擔(dān)網(wǎng)絡(luò)中心的任務(wù)。上百萬(wàn)個(gè)Internet用戶組合得到的處理能力將遠(yuǎn)遠(yuǎn)高于任何一個(gè)中心服務(wù)器的處理能力。除此以外，P2P體系結(jié)構(gòu)還具有開(kāi)放性、可擴(kuò)展性強(qiáng)等特點(diǎn)。所有這些使得P2P應(yīng)用在短短幾年時(shí)間有了飛速的發(fā)展，其體系結(jié)構(gòu)也經(jīng)歷了由集中式服務(wù)器(Napster)到純分散式文件共享系統(tǒng)(Gnutella)，再到部分分散式結(jié)構(gòu)(KazaA);由使用固定端口到使用動(dòng)態(tài)端口進(jìn)行數(shù)據(jù)傳輸;由使用獨(dú)特端口到與其他應(yīng)用合用端口(如使用Web應(yīng)用的80端口等);由明文傳輸?shù)竭M(jìn)行數(shù)據(jù)加密傳輸?shù)茸兓�過(guò)程。

　　研究表明，盡管受版權(quán)等問(wèn)題的困擾，當(dāng)前P2P應(yīng)用仍呈現(xiàn)快速增長(zhǎng)的趨勢(shì)，并且變得越來(lái)越隱蔽[3]。P2P的飛速發(fā)展一方面豐富了網(wǎng)絡(luò)中的應(yīng)用形式，但另一方面也帶來(lái)了許多負(fù)面的問(wèn)題。如：P2P文件共享過(guò)程中的版權(quán)問(wèn)題;P2P應(yīng)用大量占用網(wǎng)絡(luò)帶寬的問(wèn)題;以及P2P的流量模式對(duì)傳統(tǒng)網(wǎng)絡(luò)設(shè)計(jì)帶來(lái)的挑戰(zhàn)等，其中后者尤為網(wǎng)絡(luò)設(shè)計(jì)、管理人員所關(guān)注。我們知道，在Web應(yīng)用流量占網(wǎng)絡(luò)流量主體時(shí)，由于Web流量的高度非對(duì)稱性(用戶鏈路的下行流量要遠(yuǎn)遠(yuǎn)高于其上行流量)，大部分用戶接入方式如ADSL、Cable modem等都設(shè)計(jì)為下行帶寬遠(yuǎn)高于上行帶寬。而在P2P應(yīng)用中，由于所有主機(jī)都是對(duì)等的，因此其流量具有很大的對(duì)稱性。研究表明，P2P應(yīng)用與Web應(yīng)用上行流量與下行流量的比率分別為1:1.25和1:7，兩者差別將近6倍[5]。因此上述設(shè)計(jì)理念在當(dāng)前P2P流量占主體的網(wǎng)絡(luò)狀況下已經(jīng)不再適應(yīng)。

　　由此可見(jiàn)，P2P應(yīng)用對(duì)網(wǎng)絡(luò)性能具有很大的影響，例如對(duì)于一些ISP而言，文件共享流量約占其總流量的60%，另外企業(yè)網(wǎng)絡(luò)中大量出現(xiàn)的P2P流也會(huì)極大地影響網(wǎng)絡(luò)性能。因此無(wú)論從ISP的角度還是從企業(yè)網(wǎng)絡(luò)管理人員的角度，都希望能夠?qū)�P2P流量有效的識(shí)別出來(lái)，從而便于網(wǎng)絡(luò)的規(guī)劃與管理。對(duì)于一個(gè)企業(yè)而言，可以限定P2P流量不超過(guò)某個(gè)閾值，從而能夠?yàn)槠渌�重要的�?yīng)用提供一定程度上的QoS保證;或者為了網(wǎng)絡(luò)管理的需要，直接在內(nèi)部將P2P流量過(guò)濾掉。而對(duì)于ISP而言，可以在此基礎(chǔ)上對(duì)服務(wù)進(jìn)行控制以及對(duì)用戶進(jìn)行管理等。但是當(dāng)前識(shí)別P2P的一個(gè)主要挑戰(zhàn)就是以一種可擴(kuò)展的方式識(shí)別出P2P流量，同時(shí)不要求對(duì)所有的分組進(jìn)行深層分組檢查(DPI, deep packet inspection)。

　　文章后面部分按照下述方式組織：第一部分概述了P2P流量識(shí)別技術(shù);第二部分詳細(xì)綜述了當(dāng)前幾種常用的P2P流量識(shí)別技術(shù);第三部分對(duì)P2P流量識(shí)別技術(shù)的發(fā)展進(jìn)行了展望;最后對(duì)全文進(jìn)行了總結(jié)。

　　1 P2P流量識(shí)別技術(shù)概述

　　為了控制網(wǎng)絡(luò)P2P應(yīng)用對(duì)帶寬的大量占用，必須首先對(duì)P2P流量進(jìn)行有效地監(jiān)控，它涉及到下面幾個(gè)方面的問(wèn)題：流量采集、流量識(shí)別以及流量控制。在其中，流量的采集與其他網(wǎng)絡(luò)監(jiān)測(cè)方式采用的技術(shù)完全一致，流量控制則取決不同的網(wǎng)絡(luò)管理策略，由網(wǎng)絡(luò)管理人員進(jìn)行相應(yīng)的設(shè)置，例如進(jìn)行P2P流量限制或者完全過(guò)濾P2P流量等。因此，這里的關(guān)鍵部分是流量的識(shí)別操作。根據(jù)實(shí)現(xiàn)思想不同，可以將它分為多種類型，如基于分組分析、基于流分析等。其實(shí)現(xiàn)方式直接關(guān)系到整個(gè)監(jiān)控系統(tǒng)的實(shí)現(xiàn)效率以及系統(tǒng)的可用性。

　　P2P應(yīng)用從最初的采用固定端口發(fā)展到使用可變端口甚至使用其他應(yīng)用的端口進(jìn)行數(shù)據(jù)傳輸，在傳輸?shù)木唧w內(nèi)容方面也從使用明文傳輸發(fā)展到對(duì)傳輸數(shù)據(jù)進(jìn)行加密處理，因此對(duì)P2P流量進(jìn)行識(shí)別的技術(shù)也隨之經(jīng)歷了相應(yīng)的變化過(guò)程。本文中我們主要針對(duì)四種典型的識(shí)別方法進(jìn)行討論，包括端口識(shí)別法、應(yīng)用層特征識(shí)別法、流量模式識(shí)別法以及連接模式識(shí)別法。對(duì)于這幾種技術(shù)，我們將在第二節(jié)中進(jìn)行詳細(xì)的討論。

　　2 典型P2P流量識(shí)別技術(shù)

　　2.1 端口識(shí)別法

　　在P2P應(yīng)用興起的早期，大多數(shù)應(yīng)用使用的都是固定端口，例如，Gnutella使用6346-6347端口，BitTorrent使用6881-6889端口等。在這種情況下，對(duì)其流量的識(shí)別方式與識(shí)別普通應(yīng)用分組的方式完全相同：在需要監(jiān)測(cè)的網(wǎng)絡(luò)中被動(dòng)收集分組，然后檢查分組的運(yùn)輸層首部信息，如果端口號(hào)與某些特定的端口號(hào)匹配，則說(shuō)明該分組即為P2P流量分組，可以按照預(yù)設(shè)的動(dòng)作對(duì)其進(jìn)行處理。這種識(shí)別方法最大的優(yōu)點(diǎn)就是簡(jiǎn)單易行，它不需要進(jìn)行復(fù)雜的分組處理即可得出結(jié)論。在P2P應(yīng)用出現(xiàn)的初期它顯得十分簡(jiǎn)單有效，但是隨著P2P技術(shù)的發(fā)展，該方法逐漸變得不再適用，因此后來(lái)又出現(xiàn)了一些新的技術(shù)方案。

　　2.2 應(yīng)用層特征識(shí)別法

　　與第一代使用固定端口進(jìn)行數(shù)據(jù)傳輸?shù)腜2P應(yīng)用不同，當(dāng)前許多P2P應(yīng)用都能夠通過(guò)使用隨機(jī)端口來(lái)掩蓋其存在，有些甚至可以使用HTTP, SMTP等一些協(xié)議使用的熟知端口，這增加了識(shí)別P2P流量的難度：簡(jiǎn)單的通過(guò)分析分組首部的端口信息已經(jīng)無(wú)法識(shí)別出這類應(yīng)用的存在。

　　但是，每種應(yīng)用的分組中都攜帶有特定的報(bào)文信息，例如，HTTP協(xié)議報(bào)文中會(huì)出現(xiàn)GET, PUT, POST等報(bào)文字樣。與之相類似，在各種P2P應(yīng)用協(xié)議中也具有類似的信息。因此，人們提出了通過(guò)檢查分組內(nèi)部攜帶的負(fù)載信息進(jìn)行分組識(shí)別的方法。文獻(xiàn)[2]提出了一種利用應(yīng)用層特征的方式對(duì)P2P流量進(jìn)行識(shí)別。在[2]中，作者首先對(duì)5種常見(jiàn)的P2P協(xié)議(KaZaA, Gnutella, eDonkey, DirectConnect以及BitTorrent)的特征進(jìn)行了分析，提取出其特征信息，然后根據(jù)特征信息對(duì)收集到的分組進(jìn)行模式匹配操作，從而判斷出該分組是否屬于某一類P2P應(yīng)用分組。例如，Gnutella的連接建立報(bào)文具有下述格式

　　GNUTELLA CONNECT/ nn

　　而應(yīng)答報(bào)文格式如下 GNUTELLA OKnn

　　根據(jù)這些以及其他類似特征，即可判定相應(yīng)報(bào)文是否為P2P應(yīng)用報(bào)文，并由此確定某個(gè)流是否為P2P流。

　　[2]中的實(shí)際測(cè)量結(jié)果表明，在大多數(shù)情況下，該方法能夠以低于5%的錯(cuò)誤概率對(duì)分組進(jìn)行識(shí)別。

　　與第一種方法相比，上述方法能夠識(shí)別出使用可變端口的P2P流量(這正是當(dāng)前P2P應(yīng)用發(fā)展的一個(gè)趨勢(shì))，提高了其結(jié)果的準(zhǔn)確性，例如在同樣情況下，用戶數(shù)據(jù)特征識(shí)別

　　法識(shí)別出的P2P流量是僅僅采用端口進(jìn)行識(shí)別的方法得到結(jié)果的3倍[2]。但是分析不難發(fā)現(xiàn)，這一方法存在下述一些問(wèn)題：

　　只能針對(duì)已知數(shù)據(jù)格式的P2P應(yīng)用進(jìn)行識(shí)別，這使得每出現(xiàn)一種新的P2P應(yīng)用，就需要修改上述實(shí)現(xiàn)，因而造成其擴(kuò)展性不好;

　　對(duì)用戶數(shù)據(jù)的檢查不符合Internet的基本原則，并且由于諸如法律、個(gè)人隱私等原因，檢查用戶數(shù)據(jù)在許多情況下幾乎是不可能的;

　　由于需要對(duì)分組內(nèi)部數(shù)據(jù)進(jìn)行全面的檢查分析，使得其實(shí)現(xiàn)效率不是很高;隨著技術(shù)的發(fā)展，一些P2P應(yīng)用開(kāi)始以密文方式進(jìn)行數(shù)據(jù)傳輸，面對(duì)這種情況用戶數(shù)據(jù)識(shí)別方式則完全是無(wú)能為力。

　　上述種種原因?qū)е掠脩魯?shù)據(jù)識(shí)別方法的通用性十分有限，而且，隨著P2P技術(shù)的發(fā)展，這種識(shí)別方法也會(huì)與通過(guò)固定端口進(jìn)行識(shí)別的方法相類似，逐漸不適應(yīng)實(shí)際的需要，因此有必要找到其他方法對(duì)P2P流進(jìn)行較為精確的識(shí)別。

　　分析端口識(shí)別法和應(yīng)用層特征識(shí)別法可以發(fā)現(xiàn)，盡管兩者的實(shí)現(xiàn)機(jī)理完全不同，但是其基本思想均是基于P2P應(yīng)用的一些外在特征，并且這些外在特征是可以隱藏的，一旦出現(xiàn)上述情況，這些識(shí)別方法就不再適用。而且，上述兩種方法只能識(shí)別已知P2P協(xié)議的流量，一旦出現(xiàn)一種新的P2P應(yīng)用，必須修改上述識(shí)別方法才能對(duì)其進(jìn)行識(shí)別，這限制了它們的應(yīng)用范圍。因此，為了能從根本上解決這些問(wèn)題，必須分析P2P應(yīng)用與其他一些諸如Web等應(yīng)用的根本區(qū)別，然后利用這些本質(zhì)特征對(duì)其進(jìn)行識(shí)別。下述兩種方法就分別從P2P應(yīng)用的流量特征以及P2P網(wǎng)絡(luò)的連接模式特征著手對(duì)其進(jìn)行了分析。

　　2.3 流量模式識(shí)別法

　　這是在Caspian路由器中實(shí)現(xiàn)的一種功能，該路由器記錄經(jīng)過(guò)它的每條流的信息，因此可以實(shí)現(xiàn)基于流的流量識(shí)別和控制功能，以一種新的方式對(duì)P2P流量進(jìn)行識(shí)別和控制。并且，如前所述，這一解決方案是基于P2P流的內(nèi)在特征的，避免了前面兩種識(shí)別方法中的一些問(wèn)題。表1 幾種比較常見(jiàn)IP服務(wù)的流量特征服務(wù)持續(xù)時(shí)間平均速率傳輸字節(jié)數(shù)HTTP短高中-高VPN長(zhǎng)低高Games長(zhǎng)低高Streaming長(zhǎng)中高Telnet長(zhǎng)低中Fileshare / P2P長(zhǎng)中-高高

　　上表1描述了幾種不同的應(yīng)用對(duì)應(yīng)的流量特征[4]，由此可以看出，P2P應(yīng)用的特點(diǎn)是持續(xù)時(shí)間長(zhǎng)、平均速率較高以及總的傳輸字節(jié)數(shù)高。這與文件傳輸如FTP等應(yīng)用有些類似，但是該類應(yīng)用可以很方便的通過(guò)端口號(hào)識(shí)別出來(lái)，而且由于這些應(yīng)用與用戶的交互性不如Web、視頻等應(yīng)用高，因此出現(xiàn)一定的誤判導(dǎo)致對(duì)它們的流量限制不會(huì)造成大的問(wèn)題。

　　另外，根據(jù)流所包含的字節(jié)數(shù)，可以很容易將普通Web流量同P2P文件共享流量區(qū)分開(kāi)。下圖描述了兩者對(duì)應(yīng)的字節(jié)流量區(qū)別[4]。可見(jiàn)，通過(guò)分析不同應(yīng)用的流量模式，可以實(shí)現(xiàn)識(shí)別P2P流量的目的。而且這一方法不需要對(duì)分組內(nèi)部用戶數(shù)據(jù)進(jìn)行檢查，因此不受數(shù)據(jù)是否加密的限制，擴(kuò)大了其適用范圍。但是，由于需要記錄每條流的信息，這種方法對(duì)內(nèi)存空間以及處理速度都提出了比較大的要求。

　　2.4 連接模式識(shí)別法

　　[1]中提出了一種在傳輸層識(shí)別P2P流量的方法，它僅僅統(tǒng)計(jì)用戶分組的首部信息，而不涉及具體數(shù)據(jù)。因此一方面克服了前述方法對(duì)加密數(shù)據(jù)無(wú)法識(shí)別的問(wèn)題，同時(shí)又不涉及用戶的具體數(shù)據(jù)，符合Internet體系結(jié)構(gòu)中的端到端原則。其基本思想是：基于觀察源和目的IP地址的連接模式。一些模式是P2P所獨(dú)有的，因此可以由此直接將P2P流量識(shí)別出來(lái);另外一些模式由P2P和其它少數(shù)應(yīng)用所共有，這時(shí)可以根據(jù)對(duì)應(yīng)IP地址的流歷史以及其它特征來(lái)減少誤判概率。

　　在這種思想的具體實(shí)現(xiàn)中，Thomas Karagiannis等給出了兩種啟發(fā)式方法：

　　(1) 識(shí)別出那些同時(shí)使用TCP和UDP進(jìn)行數(shù)據(jù)傳輸?shù)脑?目的IP地址對(duì)。研究表明，大約2/3的P2P協(xié)議同時(shí)使用TCP和UDP協(xié)議，而其他應(yīng)用中同時(shí)使用兩種協(xié)議的僅僅包括NetBIOS、游戲、視頻等少數(shù)應(yīng)用[1]。因此，如果一個(gè)源-目的IP地址對(duì)同時(shí)使用TCP和UDP作為傳輸協(xié)議，那么可以認(rèn)為在這一地址對(duì)之間的流除一些已知的應(yīng)用外(對(duì)于這些應(yīng)用可以根據(jù)它們的特征將其排除)，很有可能就是P2P流，可以將它們加入到候選P2P流的隊(duì)列中;

　　(2) 基于監(jiān)測(cè){IP, 端口}對(duì)的連接模式。這一方法的基本依據(jù)為：當(dāng)一個(gè)新的主機(jī)A加入P2P系統(tǒng)后，它將通過(guò)super peer廣播其IP地址以及接受連接的端口號(hào)port。其他主機(jī)收到后利用這一信息與主機(jī)A建立連接。這樣，對(duì)端口port而言，與其建立連接的IP地址數(shù)目就等于與其建立連接的不同端口數(shù)目(因?yàn)椴煌�主機(jī)選擇同一端口與主機(jī)A建立連接的可能性是很低的，完全可以忽略不計(jì))。而其他一些應(yīng)用如Web，一個(gè)主機(jī)通常使用多個(gè)端口并行接收對(duì)象，這樣建立連接的IP地址數(shù)目將遠(yuǎn)小于端口數(shù)目。但是另外一些應(yīng)用，如mail、DNS等，也具有類似的屬性，因此使用這種方法在實(shí)際識(shí)別過(guò)程中需要將它們區(qū)分出來(lái)。

　　3 難點(diǎn)問(wèn)題與研究路線

　　由上文的分析我們可以發(fā)現(xiàn)，流量的識(shí)別過(guò)程本質(zhì)上就是根據(jù)流量或其中分組的基本特性，進(jìn)行模式識(shí)別的過(guò)程，考慮不同的特性可以設(shè)計(jì)出不同的識(shí)別方法，其實(shí)現(xiàn)的性能以及算法的通用性也會(huì)有很大不同。

　　當(dāng)前P2P流量識(shí)別的難點(diǎn)主要來(lái)自兩個(gè)方面：

　　(1) Internet鏈路帶寬的不斷增長(zhǎng);

　　(2) 數(shù)據(jù)加密、隱藏等技術(shù)在P2P中的應(yīng)用。前者導(dǎo)致網(wǎng)絡(luò)中單位時(shí)間內(nèi)數(shù)據(jù)以及流數(shù)目的增大，給數(shù)據(jù)的采集增加了困難，而后者又使得傳統(tǒng)的端口、應(yīng)用層特征等識(shí)別方法不再適用。

　　流量模式分析和連接模式分析兩種方法盡管在一定程度上避開(kāi)了難點(diǎn)

　　(2)帶來(lái)的問(wèn)題，但是它們的分析方法又略顯粗糙。而且在這兩種方法中，各種特征及其在識(shí)別過(guò)程中對(duì)最終結(jié)果的影響因子是由管理人員主觀確定的，無(wú)法由程序根據(jù)識(shí)別過(guò)程中學(xué)習(xí)的信息自動(dòng)進(jìn)行調(diào)整。因此如何提取并有效利用P2P應(yīng)用的流量及連接特征仍是一個(gè)有待研究的問(wèn)題，在下一步的研究中可以將模式識(shí)別和人工智能中的一些技術(shù)引入識(shí)別過(guò)程中，綜合運(yùn)用小波變換、人工神經(jīng)網(wǎng)絡(luò)等技術(shù)對(duì)P2P流量特征進(jìn)行發(fā)掘。

　　4 結(jié)束語(yǔ)

　　分布式、加密、匿名P2P應(yīng)用越來(lái)越成為主流[3]。在這種情況下，為了滿足服務(wù)質(zhì)量、網(wǎng)絡(luò)規(guī)劃、計(jì)費(fèi)和審計(jì)等基本要求，必須對(duì)P2P流量進(jìn)行有效的識(shí)別和監(jiān)測(cè)。本文所描述的幾種典型的P2P流量識(shí)別方法，分別針對(duì)P2P流量不同方面的特征對(duì)其進(jìn)行了分析和識(shí)別。但是，隨著P2P技術(shù)的不斷發(fā)展，上述識(shí)別方法仍需要相應(yīng)的改進(jìn)，包括挖掘P2P流量的深度特征，在識(shí)別系統(tǒng)中引入智能學(xué)習(xí)功能等。另外，在未來(lái)網(wǎng)絡(luò)的發(fā)展過(guò)程中，應(yīng)當(dāng)考慮在網(wǎng)絡(luò)體系結(jié)構(gòu)設(shè)計(jì)引入這種流量識(shí)別監(jiān)測(cè)機(jī)制，以便對(duì)網(wǎng)絡(luò)中相關(guān)P2P流量進(jìn)行實(shí)時(shí)、高效的監(jiān)控。同時(shí)能夠根據(jù)網(wǎng)絡(luò)的運(yùn)行狀況以及用戶設(shè)定的處理規(guī)則對(duì)其進(jìn)行智能控制，從而為網(wǎng)絡(luò)管理人員提供一個(gè)便利的管理平臺(tái)。

　　《電子技術(shù)應(yīng)用》創(chuàng)刊于1975年,由信息產(chǎn)業(yè)部電子第六研究所主辦,是在國(guó)內(nèi)電子行業(yè)、IT領(lǐng)域頗具影響的科學(xué)技術(shù)類期刊。是國(guó)內(nèi)電子行業(yè)、IT領(lǐng)域頗具影響的技術(shù)、信息類期刊。在國(guó)內(nèi)外激烈的期刊市場(chǎng)競(jìng)爭(zhēng)中，該刊立足電子科技領(lǐng)域不斷開(kāi)拓創(chuàng)新，開(kāi)展嵌入式論壇，優(yōu)秀電子產(chǎn)品評(píng)選等多種多樣市場(chǎng)活動(dòng)，影響力不斷擴(kuò)大，經(jīng)過(guò)30多年的積淀，已經(jīng)在為中國(guó)電子、電信、工控、通訊、計(jì)算機(jī)等領(lǐng)域人士的首選期刊，具有不可替代的市場(chǎng)效應(yīng)。