解決方案-P2P檢測與過濾器應用.docx

P2P檢測與過濾器、告警應用當下P2P技術已經(jīng)成為互聯(lián)網(wǎng)上一個相當流行的技術，無論是在下載，還是在流媒體應用上，到處都可以看到P2P技術的影子。那么究竟什么是P2P，而它又能為客戶帶來如何的便利呢？P2P是英文Peer-to-Peer（對等）的簡稱，又被稱為“點對點”?！皩Φ取奔夹g，是一種網(wǎng)絡新技術，依賴網(wǎng)絡中參與者的計算能力和帶寬，而不是把依賴都聚集在較少的幾臺服務器上。著名的應用例如BT，著名的工具如電驢、迅雷等下載工具，就是用的P2P技術。每個參與者在下載的同時，也要負責上傳內(nèi)容，當下載的人越多的時候，速度也越快。這項技術不光應用在下載上，在流媒體上也有著相當廣泛的應用。例如pplive、ppstream、cciptv等。凡是都有兩面性，當用戶享受著P2P技術帶來的便利的同時，必然也會付出一定的代價。首先，P2P行為會占用大量的帶寬，導致整個網(wǎng)絡的運行速度變慢，影響到網(wǎng)絡的正常應用。其次，P2P的安全問題。1、P2P軟件本身的漏洞。例如使用電驢的用戶，電驢有時候會對WEB頁錯誤地處理畸形請求。WEB一般發(fā)送的請求就是POST數(shù)據(jù)與GET數(shù)據(jù)，攻擊者可以基于這個原理發(fā)送一個畸形請求，從而造成電驢的崩潰，最后成功控制電驢主機。2、個人隱私泄密。P2P軟件保存下載的文件夾總是會被共享出來，用戶放在其中的信息都會被自動共享出來。并且網(wǎng)絡管理機構與P2P軟件開發(fā)商會對P2P軟件開放的端口掃描，以獲取相關信息。3、來自木馬、病毒的威脅。當用戶用P2P軟件下載了包含了木馬、病毒的圖片、電影等，用戶的電腦就會被種上木馬。 在企業(yè)網(wǎng)絡管理當中，對P2P行為的管理也是比較嚴格的，畢竟P2P行為會影響到企業(yè)網(wǎng)絡的應用，對工作造成重大的影響。要對P2P進行管理，首先得明確哪些是P2P行為。那么如何分辨出哪些是P2P行為呢？當我們用科來軟件對有P2P應用的網(wǎng)絡進行了分析之后，我們發(fā)現(xiàn)P2P行為有以下特點：（1） 同時和多點進行通信（2） 傳輸端口不穩(wěn)定，甚至采用UDP端口（3） 在接收流量的同時，大量發(fā)送流量（4） 能夠充分利用網(wǎng)絡帶寬資源。接下來，就讓我們用科來網(wǎng)絡分析軟件來實際分析一下P2P行為。打開PPS，利用科來進行一段時間的抓包，我們獲得如下所示的圖表。在圖表中可以看到，在大約16:40:29的時候出現(xiàn)了流量的突發(fā)。利用率明顯上升，這符合了第四點：充分利用帶寬資源。然后我們看到概要。平均包長有些偏小，在大小包分布中，小包占據(jù)過多，而且遠程IP地址數(shù)有135個，明顯不正常。并且TCP會話數(shù)小于UDP會話數(shù)，這也是不正常的。想到P2P的行為，就可以知道，其實在P2P開始連接的時候，會嘗試大量用TCP小包與其他主機取得聯(lián)系，這樣就解釋了為什么會有那么多的小包，而且遠程IP地址數(shù)會出現(xiàn)那么多這就符合了第一點：同時和多點進行通信。當連接開始時，主機有時會采用UDP的方式來進行傳輸。然后我們深入解析，在流量突發(fā)的時候，連接會話與數(shù)據(jù)包說了一些什么。可以看到在TCP會話中有大量與:80的和與:80的會話，并且在主機上采用端口都是50000+的隨機端口，這就符合了第二點：傳輸端口穩(wěn)定，甚至采用UDP端口。點到數(shù)據(jù)流選項卡，我們可以看到主機的域名，并且連接是出于什么樣的狀態(tài)（CLOSE，KEEPALIVE等）關于UDP端口：可以看到，在UDP會話中，主機也是采用大量的隨機端口與別的主機通信，比如這一條，主機采用57309端口與38:17788通信，并且在數(shù)據(jù)中，我們可以發(fā)現(xiàn)主機正在進行P2P行為的詳細內(nèi)容。在下載了一段時間以后，流量趨于平穩(wěn)，這時候我們就可以看到P2P行為的第三個特征，在接收流量的同時，還發(fā)送大量的流量。在企業(yè)中，網(wǎng)管不可能無時不刻地盯著流量的變化，所以科來提供了過濾和告警的功能方便網(wǎng)管來進行管理。對于P2P行為，我們該如何設置過濾和告警呢？關于過濾，我們可以基于端口來進行過濾，通常P2P行為動用的端口都是TCP和UDP的動態(tài)端口，我們需要設置到1024以后的端口來進行過濾，科來還提供了bittorrent協(xié)議的過濾，大大方便了針對這類BT下載的管理。關于警報，我們可以基于利用率來進行設置。一般情況下，網(wǎng)絡的利用率總是在0-30之間，P2P行為會充分利用網(wǎng)絡帶寬資源，帶來的結果就是利用率大大上升，所以我們可以設置到30以上，并且持續(xù)10秒，解除的時候為30以下，持續(xù)5秒，這樣也可以免除一定的誤報信息。另外在P2P行為中，會有大量的大包出現(xiàn)來進行數(shù)據(jù)的傳輸，我們也可以根據(jù)大包的數(shù)量來進行