IP網(wǎng)業(yè)務(wù)識別關(guān)鍵技術(shù)研究.pdf

1、隨著網(wǎng)絡(luò)技術(shù)的發(fā)展與進步，網(wǎng)絡(luò)接入速率不斷提高，用戶越來越多，終端功能也日益強大，在三網(wǎng)大融合的背景下，IP網(wǎng)上承載的業(yè)務(wù)越來越豐富，其中既有正常業(yè)務(wù)也夾雜著各種各樣的非法業(yè)務(wù)。運營商希望區(qū)分業(yè)務(wù)類別進行差異化服務(wù)，限制非法業(yè)務(wù)，企業(yè)希望對網(wǎng)絡(luò)提高管控能力，更有效地利用有限帶寬。而無論是對用戶提供差異化個性服務(wù)還是管控IP網(wǎng)絡(luò)上的各種威脅，對具體網(wǎng)絡(luò)業(yè)務(wù)的精確識別都是前提條件。
　　 本文以實現(xiàn)對網(wǎng)絡(luò)上各種業(yè)務(wù)的精確識別，解決網(wǎng)

2、絡(luò)帶寬急劇消耗、網(wǎng)絡(luò)病毒肆虐、非法業(yè)務(wù)泛濫等問題為目標，深入分析了現(xiàn)有的業(yè)務(wù)識別技術(shù)。在網(wǎng)絡(luò)受到的管控力度越來越強的背景下，動態(tài)端口、修改數(shù)據(jù)包、加密數(shù)據(jù)流等反識別技術(shù)層出不窮，致使業(yè)務(wù)識別的難度越來越大。為解決現(xiàn)有技術(shù)存在的問題，本文對業(yè)務(wù)識別的核心技術(shù)進行了深入研究，包括NAT（Network Address Translation）主機的識別和P2P流量的識別，主要貢獻如下：
　　 （1）為識別NAT后的非法主機，本文提出

3、了一種基于支持向量機的遠程NAT主機檢測算法。算法首先提取網(wǎng)絡(luò)數(shù)據(jù)的特征屬性表示成向量形式，然后基于主機活躍性篩選特征向量，最后利用支持向量機分析篩選出的數(shù)據(jù)。該算法可以在不主動發(fā)出任何探測數(shù)據(jù)的情況下，遠程區(qū)分出普通主機與NAT后的多臺主機，不需要依賴任何特殊數(shù)據(jù)包的任何特殊字段，故不易失效。實驗表明，該算法的平均準確率超過80％。
　　 （2）上述算法僅能區(qū)別普通主機與NAT設(shè)備，為了精確估算NAT設(shè)備后的主機數(shù)，本文對基于

4、SVM的NAT檢測算法進行改進，利用DAGSVM提出了進一步的分析技術(shù)。文中通過分析數(shù)據(jù)流的線性特征，修改DAGSVM的判定流程，提出了基于特定流量模型的主機數(shù)估算方法，該方法可以通過有限的訓(xùn)練集，估算含有多于訓(xùn)練集主機數(shù)的數(shù)據(jù)。其中，流量模型的選取基于文中提出的三個條件，其結(jié)果是較優(yōu)的。最終的實驗結(jié)果表明，該算法的準確率與現(xiàn)有算法持平，但識別時不需要發(fā)出探測數(shù)據(jù)，不依賴于特殊的數(shù)據(jù)包頭，具有適用范圍廣、不易失效的優(yōu)點。
　　

5、（3）加密P2P流量的識別是流量識別中的難點，本文為解決此問題研究了P2P流量的自相似性。不同于以往研究，本文關(guān)注的是單個協(xié)議行為的自相似性，而不是宏觀上流量的自相似性。文中定義了行為尺度的概念，并在行為尺度上分析了常見的P2P應(yīng)用，明確了其應(yīng)用層數(shù)據(jù)的自相似性，且在時間尺度與行為尺度的比較中，發(fā)現(xiàn)P2P的應(yīng)用層流量在行為尺度上的自相似性表現(xiàn)得更加明顯與穩(wěn)定。最終把行為尺度上的自相似性應(yīng)用到業(yè)務(wù)識別方面，提出了一種新的P2P流量識別算法

6、。該算法通過計算網(wǎng)絡(luò)流量不同行為尺度下的容量維，再輔以主動系數(shù)來識別P2P流量。實驗結(jié)果證明該算法在區(qū)別https與加密的BT、eMule流量方面的準確率高于同類算法。
　　 （4）基于現(xiàn)有業(yè)務(wù)識別技術(shù)和本人的研究成果，提出了一套綜合的業(yè)務(wù)識別與控制系統(tǒng)。系統(tǒng)通過整合NAT識別算法與P2P識別算法，利用信息互通的機制，在一定程度上解決了NAT流量和P2P流量識別相互影響的問題，進一步提高了識別精度。系統(tǒng)的混合部署策略吸取了直路和