1 背景
隨著信息技術的飛速發(fā)展，對等網(wǎng)絡（Peer-to-Peer，簡稱P2P）、流媒體、互動在線游戲和虛擬現(xiàn)實等新型網(wǎng)絡業(yè)務層出不窮。在這些新興業(yè)務中，P2P業(yè)務的流量占互聯(lián)網(wǎng)數(shù)據(jù)流量的50%-70%，再加上其他業(yè)務流量，極大地加重了網(wǎng)絡擁塞，影響了正常網(wǎng)絡業(yè)務的開展和關鍵應用的普及。同時，P2P應用的廣泛使用也給網(wǎng)絡管理帶來了極大的挑戰(zhàn)。
為了應對新興業(yè)務帶來的帶寬負載，傳統(tǒng)的解決方案是通過簡單的網(wǎng)絡升級擴容，其弊端也是顯而易見的：

● 帶寬管理方面：面對不斷增長的數(shù)據(jù)流量，需要不斷地增加網(wǎng)絡設備，增加硬件成本和運維成本。

● 網(wǎng)絡運維方面：缺乏有效的技術監(jiān)管手段，不能對新型業(yè)務數(shù)據(jù)進行感知和識別。

● 網(wǎng)絡安全方面：傳統(tǒng)的網(wǎng)絡安全檢測只能對報文進行四層檢測（IP+端口），攻擊者可以構造報文（將攻擊信息插入到應用層）來繞開檢測，從而達到攻擊目的。

因此，如何深度感知互聯(lián)網(wǎng)/移動互聯(lián)網(wǎng)業(yè)務，提供應用級管控手段，成為運營商關注的焦點。為了解決這些問題，DPI技術應運而生。

2 DPI技術介紹

DPI（Deep Packet Inspection，深度報文檢測）是一種基于報文的應用層信息對流量進行檢測和控制的功能。普通報文檢測只能分析報文四層以下的內(nèi)容，如IP、端口、協(xié)議類型等。而DPI技術除了能對這些信息進行分析外，還增加了對應用層的分析，能夠識別各種應用及其內(nèi)容。當IP數(shù)據(jù)包、TCP或UDP數(shù)據(jù)流通過支持DPI技術的設備時，設備會通過深入讀取報文載荷來進行重組和分析，從而識別整個應用程序的內(nèi)容，然后按照設備定義的管理策略對流量進行后續(xù)處理。

正是由于其應用識別的特性，DPI技術在應用審計、應用路由、IPS、流量管理等方面獲得廣泛的應用，可以阻斷外部攻擊、審計用戶上網(wǎng)行為，極大地提高了網(wǎng)絡的安全性。

3 DPI工作原理

3.1   DPI檢測原理

不同類型的應用通常依賴于不同的協(xié)議，而不同的協(xié)議都有其特殊的指紋，這些指紋可能是特定的端口、特定的字符串或Bit序列。這些指紋由專業(yè)的安全專家收集并整理，形成“特性庫”，當DPI設備收到報文后，就會通過特征庫中的特征規(guī)則對報文載荷進行匹配，最終識別出數(shù)據(jù)流所屬的應用類型。

一個特征庫中可能有上千條特征規(guī)則，匹配報文時，為了能夠盡可能的提高報文匹配的效率，降低對報文轉(zhuǎn)發(fā)性能的影響。DPI技術提出了快速匹配方法，其原理如下：

(1)先進行近似匹配：取出每條規(guī)則的最長特征串，進行最長特征串的多模AC算法匹配。根據(jù)最長特征串找到可能匹配的候選規(guī)則。

(2)再進行精確匹配：對候選規(guī)則進行單模算法的字符串匹配或者正則表達式字符串匹配。

特征碼的距離固定，可以用特征庫載荷規(guī)則選項進行精確特征描述，然后轉(zhuǎn)化為單模算法的字符串匹配進行精確匹配。通常我們會采用改良的單模BM算法進行匹配。

特征碼的距離不固定難以描述，可以用正則表達式文法描述，采用正則表達式算法進行匹配。

3.2   DPI檢測流程

DPI深度檢測流程如下：

(1)設備加載特征庫文件。

(2) 當設備收到報文后，在協(xié)議和端口的識別基礎上對報文載荷進行解碼，然后通過特征庫中的特征規(guī)則對載荷進行匹配，識別報文內(nèi)容。

(3)根據(jù)匹配結果處理報文：

匹配成功，將報文轉(zhuǎn)發(fā)給其他業(yè)務模塊（如IPS、應用路由）進行后續(xù)處理等。

匹配失敗，放行報文。

4 DPI技術優(yōu)勢

4.1   和傳統(tǒng)四層檢測比較

傳統(tǒng)的四層檢測只能識別報文二到四層的信息，如IP、端口號等。而DPI技術不僅能識別這些信息，還能識別應用層信息，識別更精細、更準確。

圖4-1    DPI深度檢測和傳統(tǒng)四層檢測對比

4.2   和DFI技術比較

與DPI進行報文應用層載荷的檢測不同，DFI采用的是一種基于流量行為的應用識別技術。不同類型的應用，其會話連接或數(shù)據(jù)流的狀態(tài)不同。例如，P2P下載應用的流量模型的特點為平均包長都在450byte以上、下載時間長、連接速率高、首選傳輸層協(xié)議為TCP等。DFI技術正是基于這一系列流量的行為特征，通過機器學習算法建立流量特征模型，分析會話連接流的包長、連接速率、傳輸字節(jié)量、包與包之間的間隔等信息來與流量模型對比，從而鑒別應用類型。

DFI與DPI兩種技術的基本目標都是為了實現(xiàn)應用識別，但是兩者在實現(xiàn)的著眼點和技術細節(jié)方面又有著較大的區(qū)別，具體如表4-1所示。

5 典型應用

銳捷的防火墻和出口網(wǎng)關系列產(chǎn)品已經(jīng)全面支持DPI技術，本章以RG-EG3250多業(yè)務安全網(wǎng)關為例，介紹DPI技術在網(wǎng)吧場景中的使用及配置思路。

5.1   組網(wǎng)需求

網(wǎng)吧出口有1條光纖線路和多條ADSL線路，根據(jù)業(yè)務需求，要求關鍵應用（如游戲、網(wǎng)頁瀏覽、即時通訊等）走光纖鏈路；抑制應用（如在線影視、P2P下載等）走ADSL線路。視頻流媒體軟件和HTTP視頻流媒體類型等應用在午夜時間不進行抑制，可以走光纖線路。

圖5-1    網(wǎng)吧組網(wǎng)需求

5.2   配置思路

● 所有的P2P應用軟件、在線影視等非關鍵應用走ADSL線路，能夠在ADSL線路充分應用帶寬。

● 設置光纖線路為缺省路由，確保關鍵應用走光纖線路，網(wǎng)絡流暢。

● 當出口帶寬不足時，Web業(yè)務可以走ADSL線路，減少光纖的使用，為關鍵業(yè)務減少帶寬。