SIG業(yè)務(wù)監(jiān)控網(wǎng)關(guān)介紹2

1、HUAWEI TECHNOLOGIES CO., LTD.Page 1VoIPVoIP檢測原理檢測原理 以專利的以專利的。保證檢測高準(zhǔn)確率和高性能，避。保證檢測高準(zhǔn)確率和高性能，避免單純信令流檢測而產(chǎn)生漏檢的情況免單純信令流檢測而產(chǎn)生漏檢的情況媒體流檢測媒體流檢測原理：一個VoIP通話即生成一條語音媒體流，通過檢測承載在UDP之上的媒體流RTP連接數(shù)判斷是否為虛擬運營的VoIP網(wǎng)關(guān)正常用戶進行流媒體通話或者視頻點播，不會占用過多的RTP接數(shù)虛擬VOIP運營的網(wǎng)關(guān)則同時存在少則幾十多則上百個媒體流連接數(shù)信令流檢測信令流檢測原理：一個VoIP通話需要信令協(xié)議來支撐呼叫的建立和拆卸，通過檢測VOIP

2、呼叫建立和拆卸所使用的信令協(xié)議能判斷出是否有非法的VoIP通話。依托華為在NGN/VOIP的積累，通過解析VOIP呼叫過程中使用的信令協(xié)議(H.323、SIP、MGCP、MEGACO)來獲取每次呼叫的詳細(xì)信息，包括：主叫號碼、被叫號碼、VOIP網(wǎng)關(guān)、VOIP網(wǎng)守HUAWEI TECHNOLOGIES CO., LTD.Page 2電話網(wǎng)關(guān)發(fā)送控制包SPSSPSL3L3或或R R接入網(wǎng)無源分光 / 鏡像上行流量SIG系統(tǒng)BAS城域網(wǎng)省干Internet分流平臺SIG1000SIG1000控制VoIP監(jiān)控工作流程用戶發(fā)起VoIP語音電話請求SIG通過DPI（深度業(yè)務(wù)檢測）方式監(jiān)聽到VoIP通話SI

3、G根據(jù)后臺業(yè)務(wù)分析服務(wù)器下的控制策略發(fā)數(shù)據(jù)包控制方式（噪音、回音、提示音、發(fā)送中止信令，強制拆卸呼叫）110級控制強度控制分時黑白名單用戶VoIP語音通話質(zhì)量降低正常情況下的通話加噪音控制的通話HUAWEI TECHNOLOGIES CO., LTD.Page 3檢測全面，信息豐富檢測全面，信息豐富在線VoIP網(wǎng)關(guān)在線VoIP呼叫網(wǎng)關(guān)話單匯總每日匯總統(tǒng)計HUAWEI TECHNOLOGIES CO., LTD.Page 4SIG SIG 功能模塊功能模塊SIGSIGVoIP監(jiān)控監(jiān)控P2P監(jiān)控監(jiān)控WEB推送推送用戶行為分析用戶行為分析流量分析流量分析共享接入監(jiān)控共享接入監(jiān)控HUAWEI TECH

4、NOLOGIES CO., LTD.Page 5功能描述功能描述監(jiān)控一個帳號下多個用戶利用NAT同時上網(wǎng)監(jiān)控一個帳號下多個用戶利用NAT分時上網(wǎng)監(jiān)控一個帳號下多個用戶利用Proxy同時上網(wǎng)監(jiān)控一個帳號下多個用戶利用Proxy分時上網(wǎng)黑白名單管理 共享接入監(jiān)控功能HUAWEI TECHNOLOGIES CO., LTD.Page 6非法共享接入的方式非法共享接入的方式ProxyProxy共享共享城域網(wǎng)ADSL終端分時共享、帳號重?fù)芊謺r共享、帳號重?fù)蹵DSL用戶以太網(wǎng)用戶城域網(wǎng)ADSL終端ADSL用戶以太網(wǎng)用戶帳號盜用、帳號盜用、MACMAC、IPIP盜用盜用NATNAT共享共享城域網(wǎng)ADSL用戶

5、以太網(wǎng)用戶有NAT功能的ADSL終端有NAT功能的路由設(shè)備城域網(wǎng)ADSL用戶以太網(wǎng)用戶Proxy設(shè)備Proxy設(shè)備ADSL終端HUAWEI TECHNOLOGIES CO., LTD.Page 7非法共享接入檢測原理非法共享接入檢測原理針對地址盜用、帳號盜用、分時共用、私接用戶等非法接入針對地址盜用、帳號盜用、分時共用、私接用戶等非法接入采用在BAS設(shè)備上進行“MAC+IP+VLAN/PVC+帳號”的綁定Radius支持限制一個帳號同時上線1次針對采用針對采用NATNAT、ProxyProxy技術(shù)的非法接入，技術(shù)的非法接入，必須采用應(yīng)用層檢測技術(shù)必須采用應(yīng)用層檢測技術(shù)時鐘漂移檢測（不需探測）I

6、P包頭Identification軌跡檢測（不需探測）主機應(yīng)用特征檢測（不需探測）流量/連接數(shù)統(tǒng)計（不需探測）TTL檢測（不需探測）MAC地址檢測（需探測）SNMP掃描（需探測）探測掃描型檢測很容易被規(guī)避，而且對網(wǎng)絡(luò)有影響探測掃描型檢測很容易被規(guī)避，而且對網(wǎng)絡(luò)有影響HUAWEI TECHNOLOGIES CO., LTD.Page 8檢測技術(shù)之一：檢測技術(shù)之一：IDID軌跡檢測軌跡檢測Windows網(wǎng)絡(luò)協(xié)議棧實現(xiàn)時，I字段的值隨著發(fā)送IP報文數(shù)的增加而增加Identification的初始值是隨機值，一般說來，不同主機的初始值有較大差距較準(zhǔn)確地判斷出是否為共享上網(wǎng)用戶2）較準(zhǔn)確的判斷出在線共享

7、上網(wǎng)主機數(shù)3）完全被動監(jiān)聽，不發(fā)送探測信息需要一定時間的觀察（建議兩天以上）2）對分時上網(wǎng)，Proxy檢測不準(zhǔn)確HUAWEI TECHNOLOGIES CO., LTD.Page 9檢測技術(shù)之二：時鐘偏移檢測檢測技術(shù)之二：時鐘偏移檢測不同主機物理時鐘偏移不同，網(wǎng)絡(luò)協(xié)議棧時鐘與物理時鐘存在對應(yīng)關(guān)系不同主機發(fā)送報文頻率與時鐘存在統(tǒng)計對應(yīng)關(guān)系通過特定的頻譜分析算法，發(fā)現(xiàn)不同的網(wǎng)絡(luò)時鐘偏移來確定不同主機非常準(zhǔn)確地判斷出是否為共享上網(wǎng)用戶2）能夠較準(zhǔn)確的判斷出共享上網(wǎng)主機數(shù)需要復(fù)雜的計算方法進行處理分析2）需要一段時間的觀察（建議兩天以上）HUAWEI TECHNOLOGIES CO., LTD.Pag

8、e 10檢測技術(shù)之三：應(yīng)用特征檢測檢測技術(shù)之三：應(yīng)用特征檢測HTTPHTTP包頭包頭HTTP報頭中User-Agent字段、cookie字段不同操作系統(tǒng)、不同IE版本、不同補丁的User-Agent字段不同MSN同一時間一般只能登錄一個MSN帳號Windows Update Windows Update 信息信息windows會不定時發(fā)送Update信息能夠?qū)崟r判斷出是否為共享上網(wǎng)用戶2）完全被動監(jiān)聽，不發(fā)送探測信息3）對分時上網(wǎng)的共享用戶同樣有效如果用戶安裝多操作系統(tǒng)，會產(chǎn)生誤報2）如果多臺主機克隆安裝，會產(chǎn)生漏報HUAWEI TECHNOLOGIES CO., LTD.Page 11其他檢

9、測技術(shù)其他檢測技術(shù)檢測技術(shù)檢測技術(shù)原理原理優(yōu)點優(yōu)點缺陷缺陷流量流量/ /連接數(shù)統(tǒng)計連接數(shù)統(tǒng)計統(tǒng)計某個IP打開的端口數(shù)或流量，超過一定閾值則認(rèn)為是共享上網(wǎng)用戶具有一定的參考意義對BT、網(wǎng)絡(luò)病毒會誤報，對少量共享主機的情況會漏報MACMAC地址檢測地址檢測在接入層交換機下檢測MAC地址，同一個賬號有多個MAC地址，則認(rèn)為共享上網(wǎng)用戶能夠?qū)崟r判斷出是否為共享上網(wǎng)用戶完全被動監(jiān)聽，不發(fā)送探測信息對分時上網(wǎng)的共享用戶同樣有效需要大規(guī)模部署在接入層對NAT/Proxy用戶無效對一臺主機多個網(wǎng)卡的情況會產(chǎn)生誤報SNMPSNMP掃描檢測掃描檢測掃描主機或ADSL Modem的SNMP信息，提取主機數(shù)在特定情況

10、下檢測比較準(zhǔn)確，如用戶側(cè)啟用SNMP服務(wù)極易通過修改Modem配置來躲避需要掃描用戶主機，招致用戶察覺和不滿TTLTTL檢測檢測經(jīng)過一個NAT設(shè)備后，TTL會減一，如果某個用戶TTL與正常的不一致，則認(rèn)為是共享上網(wǎng)用戶具有一定的參考意義需要大規(guī)模部署在接入層由于操作系統(tǒng)處理不同，即使TTL不一致，也未必是共享上網(wǎng)用戶對Proxy無效HUAWEI TECHNOLOGIES CO., LTD.Page 12寬帶接入網(wǎng)無源分光 / 鏡像上行流量BAS城域網(wǎng)省干Internet控制用戶通過帳號發(fā)起上網(wǎng)請求SIG使用綜合特征檢測模型（采用ID 軌跡檢測、時鐘偏移分析、應(yīng)用特征檢測等）從網(wǎng)絡(luò)3層至7層進行

11、綜合分析，不依賴于任何操作系統(tǒng)、主機類型、瀏覽器準(zhǔn)確識別共享用戶數(shù)目向共享接入用戶發(fā)送警告頁面或控制其網(wǎng)頁瀏覽、FTP及網(wǎng)絡(luò)游戲可按某個時間段或某幾天實施控制控制頻度持續(xù)間歇隨機網(wǎng)站http請求 http 重定向發(fā)送告警頁面Reset Http請求共享接入監(jiān)控工作流程業(yè)務(wù)監(jiān)控系統(tǒng)分流平臺SIG1000SIG1000WEB 服務(wù)器HUAWEI TECHNOLOGIES CO., LTD.Page 13詳盡的數(shù)據(jù)分析詳盡的數(shù)據(jù)分析共享主機分布HUAWEI TECHNOLOGIES CO., LTD.Page 14SIG SIG 功能模塊功能模塊SIGSIGVoIP監(jiān)控監(jiān)控P2P監(jiān)控監(jiān)控WEB推送推

12、送用戶行為分析用戶行為分析流量分析流量分析共享接入監(jiān)控共享接入監(jiān)控HUAWEI TECHNOLOGIES CO., LTD.Page 15P2PP2P監(jiān)控功能監(jiān)控功能支持特征字檢測、應(yīng)用行為特征檢測、端口檢測等多種檢測方式，可以進行深度數(shù)據(jù)包的內(nèi)容探測 可以同時提供基于總量、分協(xié)議總量和逐個用戶的P2P流量管理，并提供分時段管理?？蓹z測主流應(yīng)用軟件可檢測主流應(yīng)用軟件文件下載文件下載 BT、迅雷、Emule/Edonkey、GNUTella、Kazaa、irectConnect 、Kugoo網(wǎng)絡(luò)電視網(wǎng)絡(luò)電視 PPLive、QQ Live、CCIPTV、PPStream、CoolStreaming

13、 沸點網(wǎng)絡(luò)電視語音通訊語音通訊 SkypeP2P業(yè)務(wù)監(jiān)控功能HUAWEI TECHNOLOGIES CO., LTD.Page 16BTBT工作原理分析工作原理分析安裝BitTorrent下載軟件；通過WEB等形式下載.torrent文件；運行BitTorrent下載軟件；連接Tracker服務(wù)器，注冊并獲得下載用戶列表；連接其他的下載用戶，開始數(shù)據(jù)交互過程；clientclientclientWeb服務(wù)器Tracker 服務(wù)器1、下載種子文件.torrent2、請求peer-list返回Peer-list3、請求文件上傳、下載文件4、請求文件上傳、下載文件HUAWEI TECHNOLOGIE

14、S CO., LTD.Page 17P2PP2P應(yīng)用工作原理分析應(yīng)用工作原理分析SKYPESKYPESKYPESKYPE在其網(wǎng)絡(luò)環(huán)境中存在在其網(wǎng)絡(luò)環(huán)境中存在3 3類實體：類實體：普通節(jié)點普通節(jié)點:與超級節(jié)點連接，并向注冊服務(wù)器注冊的機器超級節(jié)點超級節(jié)點:任何具有公網(wǎng)IP地址、足夠的CPU，內(nèi)存和帶寬的機器均可能成為超級節(jié)點(動態(tài)服務(wù)器)注冊服務(wù)器注冊服務(wù)器:保存所有SKYPE用戶的用戶名稱和密碼，用戶驗證邏輯由注冊服務(wù)器完成。登錄過程：登錄流程可以選擇多種通道登錄過程：登錄流程可以選擇多種通道( (隱隱蔽性極強蔽性極強) )1）驗證用戶名和密碼；2）尋找可通訊的超級節(jié)點；3）判斷所處的網(wǎng)絡(luò)位置

15、中是否存在NAT；4）向其他節(jié)點和好友通知它的presence狀態(tài)Inernet家庭NAT設(shè)備家庭網(wǎng)絡(luò)ISP網(wǎng)絡(luò)ISP NAT設(shè)備家庭NAT設(shè)備家庭NAT設(shè)備家庭網(wǎng)絡(luò)家庭網(wǎng)絡(luò)普通節(jié)點超級節(jié)點注冊服務(wù)器普通節(jié)點普通節(jié)點超級節(jié)點超級節(jié)點HUAWEI TECHNOLOGIES CO., LTD.Page 18P2PP2P檢測和控制原理檢測和控制原理檢測原理：數(shù)據(jù)包特征檢測為主端口檢測：端口檢測：通過端口確定數(shù)據(jù)流的應(yīng)用類型，Edonkey 4661-4662 BT 6881-6890特征檢測：特征檢測：根據(jù)數(shù)據(jù)報文的應(yīng)用層內(nèi)容特征進行檢測啟發(fā)式行為分析為輔1.行為檢測：行為檢測：根據(jù)P2P應(yīng)用協(xié)議的交互過程行為特征進行檢測控制原理：限流限連接數(shù)傳輸層控制：傳輸層控制：限流：減小TCP發(fā)送窗口值，控制流速限連接數(shù)：發(fā)送TCP RST報文進行連接拆除應(yīng)用層控制：應(yīng)用層控制：限流：如BT協(xié)議的CHOCK消息限連接數(shù)：如BT協(xié)議的Cancel消息HUAWEI TECHNOLOGIES CO., LTD.Page 19用戶發(fā)起P2P業(yè)務(wù)數(shù)據(jù)傳輸SIG應(yīng)用DPI檢測技術(shù)，分別對上下行流量進行檢測采用數(shù)據(jù)包偽裝技術(shù)，將偽裝的控制數(shù)據(jù)包發(fā)到正