互聯(lián)網(wǎng)中基于流測量的P2P流量及異常事件檢測.pdf

1、近年來，隨著互聯(lián)網(wǎng)的發(fā)展，網(wǎng)絡(luò)測量已經(jīng)成為網(wǎng)絡(luò)研究和管理的基礎(chǔ)，而網(wǎng)絡(luò)流量測量則是網(wǎng)絡(luò)測量的一個重要方面。由于網(wǎng)絡(luò)傳輸日益高速化、網(wǎng)絡(luò)業(yè)務(wù)推陳出新，目前的網(wǎng)絡(luò)流量測量系統(tǒng)存在無法滿足高速化測量、無法檢測新生網(wǎng)絡(luò)業(yè)務(wù)等不足，不能滿足當(dāng)前及未來測量需求。本文重點(diǎn)研究流量抽樣、P2P流量檢測與控制、P2P超級節(jié)點(diǎn)推測及異常網(wǎng)絡(luò)事件檢測技術(shù)，以提高流量測量系統(tǒng)的性能。本文主要研究工作及內(nèi)容如下： (1)流抽樣大量應(yīng)用于網(wǎng)絡(luò)測量系統(tǒng)中，用

2、于減輕測量系統(tǒng)的負(fù)擔(dān)。流抽樣測量過程中，降低大流損失率有益于提高樣本信息量，使測量結(jié)果更加精確。本文在分析現(xiàn)存hardflow算法不足的基礎(chǔ)上，提出改進(jìn)的流抽樣算法aflowl、aflow2，降低了大流抽樣損失率。采用互聯(lián)網(wǎng)數(shù)據(jù)進(jìn)行的大量實(shí)驗(yàn)結(jié)果表明，在抽樣緩沖區(qū)大小不變的前提下，改進(jìn)算法的大流損失率更低。 (2)對對等網(wǎng)絡(luò)(Peer-to-Peer，簡稱P2P)的流量進(jìn)行檢測與控制是減緩當(dāng)前互聯(lián)網(wǎng)擁塞狀況的重要手段。高速網(wǎng)絡(luò)環(huán)

3、境下，實(shí)時進(jìn)行P2P流量檢測與速率控制對測量系統(tǒng)是一個挑戰(zhàn)。本文提出采用P2P特征碼匹配、P2P分組隨機(jī)丟棄機(jī)制相結(jié)合的方法達(dá)到P2P流量檢測與控制的目的，其中，基于三態(tài)內(nèi)容可尋址存儲器(Ternary Content．Addressable Memory，簡稱TCAM)的特征碼匹配算法實(shí)現(xiàn)使測量系統(tǒng)能對2Gbps以上的鏈路進(jìn)行P2P流量實(shí)時檢測，而基于TCP速率預(yù)測公式，通過調(diào)整P2P分組的丟棄概率，則可以實(shí)現(xiàn)P2P流量速率控制。仿真

4、實(shí)驗(yàn)的結(jié)果表明，該方法可以根據(jù)設(shè)定的P2P分組丟棄概率，有效地控制網(wǎng)絡(luò)中P2P流量的大小，同時改善了非P2P業(yè)務(wù)的服務(wù)質(zhì)量。 (3)連接特征分析方法可以檢測未知或加密傳輸?shù)腜2P流量，但是過去基于連接特征分析的P2P流量檢測方法都必須多次掃描網(wǎng)絡(luò)數(shù)據(jù)，無法滿足在線實(shí)時檢測要求。本文提出的IPS(Inferring P2P’s super nodes with packet Sampling，簡稱IPS)方法解決了這個難題。IPS

5、致力于檢測P2P超級節(jié)點(diǎn)(超級節(jié)點(diǎn)，也稱SuperNode，本文特指與超過給定P2P節(jié)點(diǎn)數(shù)量相連的P2P節(jié)點(diǎn))，它首先引入自適應(yīng)隨機(jī)分組抽樣機(jī)制以滿足高速網(wǎng)絡(luò)的實(shí)時檢測要求，其次通過分析分組樣本以獲取P2P種子節(jié)點(diǎn)(種子節(jié)點(diǎn)，也稱Seed Node，本文特指從分組樣本中檢測出的P2P節(jié)點(diǎn))，然后以種子節(jié)點(diǎn)為起點(diǎn)，根據(jù)P2P節(jié)點(diǎn)間具有的流量關(guān)聯(lián)特性對未抽樣分組進(jìn)行檢測，從而發(fā)現(xiàn)其他的P2P節(jié)點(diǎn)，另外，從保護(hù)測量系統(tǒng)有限資源出發(fā)，通過節(jié)點(diǎn)替

6、換保證超級節(jié)點(diǎn)檢測過程中P2P列表的內(nèi)存消耗。采用互聯(lián)網(wǎng)數(shù)據(jù)進(jìn)行的實(shí)驗(yàn)結(jié)果表明，IPS可以有效檢出P2P超級節(jié)點(diǎn)。 (4)網(wǎng)絡(luò)中經(jīng)常出現(xiàn)閃聚事件(Flash Crowd Events，簡稱FCE)和仿閃聚事件的拒絕服務(wù)攻擊(Distributed denial of service attack that Mimic FCE，簡稱DMF)，致使網(wǎng)絡(luò)流量出現(xiàn)異常增大，并降低了Web服務(wù)性能。本文根據(jù)不同異常流量的源地址分布存在聚類