校園網(wǎng)P2P流量監(jiān)管策略初探

蔣 映

(湖南大眾傳媒職業(yè)技術(shù)學(xué)院 實訓(xùn)中心， 湖南 長沙 410100)

當(dāng)前網(wǎng)絡(luò)應(yīng)用普及率提高，網(wǎng)絡(luò)信息資源日漸豐富，與此并行的是網(wǎng)絡(luò)共享軟件應(yīng)用程度的加深。在校園網(wǎng)中，P2P共享軟件應(yīng)用率日漸提高，應(yīng)用最廣的下載共享軟件BT、eDonkey以其獨特的優(yōu)勢，幾乎成為校園電腦網(wǎng)絡(luò)的裝機必備。P2P軟件以其巨大流量對校園網(wǎng)絡(luò)的帶寬造成了較為嚴(yán)重的影響，成為迫使校園網(wǎng)絡(luò)增加帶寬的重要因素。即使校園網(wǎng)絡(luò)帶寬增加到千兆級，仍然出現(xiàn)不能滿足正常教學(xué)需要的問題。校園網(wǎng)絡(luò)管理者有必要對網(wǎng)絡(luò)占有情況進行詳細了解，從而提出有針對性的P2P流量的監(jiān)控管理策略，既做到滿足關(guān)鍵業(yè)務(wù)對帶寬的需求，同時也要限制非關(guān)鍵業(yè)務(wù)乃至垃圾業(yè)務(wù)對校園網(wǎng)網(wǎng)絡(luò)帶寬的過度消耗。

一、P2P網(wǎng)絡(luò)及其業(yè)務(wù)流量特點

P2P是英文簡寫，P是Peer(對等)的縮略，中文翻譯為“對等網(wǎng)絡(luò)技術(shù)”。該項技術(shù)正式使用是在1997年，當(dāng)時作為網(wǎng)絡(luò)運用的一個新技術(shù)，提升了網(wǎng)絡(luò)邊緣資源的使用效率。近年來，電腦硬件價格呈現(xiàn)不斷下降趨勢，個人電腦在處理能力以及存儲空間方面得到較大提升，但由于軟件技術(shù)問題，硬件資源閑置率增高。如在B/S配置模式中，客戶端的個人電腦只是用來充當(dāng)網(wǎng)頁顯示工具。而如果是在P2P結(jié)構(gòu)體系下，個人電腦可以用來處理網(wǎng)絡(luò)中心多余的任務(wù)，減少中心的網(wǎng)絡(luò)運載負荷。運用P2P技術(shù)能夠?qū)⑸习偃f個網(wǎng)絡(luò)用戶組合起來，這種組合處理能力將大大超過中心服務(wù)器的處理水平。另外，P2P結(jié)構(gòu)體系還擁有較強的開放性以及擴展能力強等優(yōu)點。所有這些，都是得P2P技術(shù)運用，自誕生以來獲得了超速發(fā)展。P2P的結(jié)構(gòu)體系發(fā)展經(jīng)歷了集中服務(wù)器、純分散式文件共享系統(tǒng)、部分分散式結(jié)構(gòu)三個階段；端口數(shù)據(jù)傳輸也從固定、獨特使用發(fā)展到動態(tài)、聯(lián)合運行階段；數(shù)據(jù)傳輸經(jīng)歷了由明文到加密的過程轉(zhuǎn)變。

二、P2P業(yè)務(wù)流量對校園網(wǎng)的影響

(一)流量瓶頸。校園網(wǎng)的網(wǎng)絡(luò)流量分為P2P、FTP、HTTP、STREAMING、SMTP等類型，當(dāng)中80%以上的屬于P2P技術(shù)運用。P2P能夠從個人電腦上以分段、分片形式進行資源下載，同時，正在下載的個人電腦將作為一個服務(wù)器，在下載資源的同時上傳已經(jīng)下載了的資源，從而快速提升了個人電腦的下載速度。正是這一特點，使得當(dāng)前迅雷、PPLIVE、電驢、BT等下載軟件都是用P2P技術(shù)，提高下載速度。P2P還具有極強的搶占資源能力，先來先得的資源獲取能力遠遠大于其他網(wǎng)絡(luò)服務(wù)。[2]此外，P2P還會將建立多節(jié)點連接，對處于某個節(jié)點的個人電腦，大型文件完成下載時間還是較長，這種長時間占據(jù)帶寬的結(jié)果導(dǎo)致校園網(wǎng)絡(luò)的上行流量大大超過了下行流量。由此，P2P技術(shù)一旦在校園網(wǎng)絡(luò)中較大規(guī)模使用，就會迅速大流量的占據(jù)有限的校園網(wǎng)絡(luò)帶寬，造成其他網(wǎng)絡(luò)應(yīng)用由于帶寬資源不足而無法使用的局面。

(二)安全問題。使用P2P時，驗證共享文件來源是否安全是非常困難的。P2P應(yīng)用因此常被攻擊者選擇作為傳遞惡意代碼的載體，導(dǎo)致P2P應(yīng)用可能包含SpyWare、病毒、特洛伊木馬或者Worm。由于在P2P網(wǎng)絡(luò)中，每個節(jié)點防御病毒的能力是不同的，因此只要有一個節(jié)點感染病毒，就可以通過內(nèi)部共享和通信機制將病毒擴散到附近的鄰居節(jié)點，在短時間內(nèi)可以造成網(wǎng)絡(luò)擁塞甚至癱瘓，甚至通過網(wǎng)絡(luò)病毒可以完全控制整個網(wǎng)絡(luò)。當(dāng)前網(wǎng)絡(luò)的攻擊技術(shù)與P2P使用的核心技術(shù)存在極高的相似度，如DDOS攻擊技術(shù)運用的就是控制成千上萬臺個人電腦對某些網(wǎng)站等攻擊目標(biāo)，發(fā)起拒絕服務(wù)攻擊。[3]某些P2P軟件具有“翻越”“穿透”現(xiàn)有校園網(wǎng)絡(luò)防火墻的能力，可以在網(wǎng)絡(luò)內(nèi)部利用防護漏洞，釋放病毒和惡意代碼。

三、校園網(wǎng)內(nèi)P2P流量的監(jiān)管策略

(一)P2P流量識別

在某些校園網(wǎng)內(nèi)部，共享文件流量占到了整個流量的80%以上，而在有些校園網(wǎng)絡(luò)中，高流量的P2P數(shù)據(jù)，對網(wǎng)絡(luò)性能有著極大的影響。網(wǎng)絡(luò)運營商和校園網(wǎng)絡(luò)維護人員在認識到這種影響后，從網(wǎng)絡(luò)安全規(guī)劃與管理角度出發(fā)，采用了端口識別法、應(yīng)用層特征識別法、連接模式識別法等對P2P流量加以識別。

1、端口識別法：先在監(jiān)測的網(wǎng)絡(luò)對分組進行收集工作，再對每一個分組的運輸層首端信息進行檢查，一旦發(fā)現(xiàn)有端口號跟具有特殊特征的端口號相符合，即可以判定這個分組屬于P2P分組。

2、應(yīng)用層特征識別法：Gnutella 、eDonkey 、BitTorrent、KaZaA 、DirectConnect是P2P具有的五種較為常見的協(xié)議，對協(xié)議特征專門分析并提取相關(guān)信息，并根據(jù)提取的信息與收集到的分組在模式上進行匹配，可以判斷出那些分組是不是某一種類型的P2P分組。

3、連接模式識別法：這種方法是根據(jù)目的IP地址與觀察源的鏈接模式進行識別。由于P2P具有某些獨特的鏈接模式，據(jù)此，可以直接對P2P的流量進行識別；此外，P2P還與少量應(yīng)用方式共有某些模式，依據(jù)與之相對應(yīng)的IP地址歷史流量和其他特征可以識別。

(二)P2P流量控制

校園網(wǎng)絡(luò)維護管理人員可以采用封鎖P2P應(yīng)用端口、安裝識別協(xié)議模塊與監(jiān)控軟件、運用流量控制專業(yè)設(shè)備三種方法對校園網(wǎng)流量進行控制。

1、封鎖P2P應(yīng)用端口。這種方法主要依靠在校園網(wǎng)出口的防火墻檢測發(fā)現(xiàn)端口流量是否具有P2P應(yīng)用流量，如果達到相應(yīng)流量，就對相應(yīng)端口進行封鎖，從而保障校園網(wǎng)絡(luò)正常帶寬資源。這種方法雖然可以取得一定成效，但效果持續(xù)時間不長，失效后，以往被禁端口流量會重新攀升，與之前無異。另外，對端口封鎖還將造成某些日常應(yīng)用無法運用，原因有二：一是有些P2P應(yīng)用協(xié)議能夠與端口實現(xiàn)自動協(xié)商，被封后，可以自動對通訊端口進行更換；二是P2P軟件允許的正常端口設(shè)置80，導(dǎo)致封禁效果不理想。

2、安裝識別協(xié)議模塊與監(jiān)控軟件。當(dāng)前，像“Ethereal協(xié)議分析系統(tǒng)”等的實用網(wǎng)絡(luò)協(xié)議模塊與軟件，下載安裝在網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)服務(wù)器上，能夠起到對P2P軟件的封鎖效果，使得校園網(wǎng)的網(wǎng)絡(luò)占有率顯著下降。問題在于，持續(xù)時間也不會長久，之后，隨著其他應(yīng)用軟件占據(jù)流量，網(wǎng)絡(luò)占有率仍會上升；更為嚴(yán)重的是在網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)服務(wù)器對P2P應(yīng)用協(xié)議和端口進行封鎖，會導(dǎo)致服務(wù)器的CPU使用率急劇升高，從而使電腦系統(tǒng)不堪重負。如果采用較為常見的網(wǎng)絡(luò)監(jiān)控軟件，能夠?qū)χ攸c網(wǎng)絡(luò)鏈路以及較為簡單的互聯(lián)點端口流量進行統(tǒng)計與監(jiān)視，也可以采用通過遠程監(jiān)控探測方式對網(wǎng)絡(luò)重點業(yè)務(wù)接入點監(jiān)視，采集一部分端口的網(wǎng)絡(luò)流量和上層業(yè)務(wù)流量，不過，都會存在類似問題，無法達到管理網(wǎng)絡(luò)業(yè)務(wù)流量的需求。

3、使用專業(yè)流量控制設(shè)備。封鎖P2P應(yīng)用端口、安裝識別協(xié)議模塊與監(jiān)控軟件雖然都有效果，卻無法實現(xiàn)對流量控制的科學(xué)管理，針對這種情況，研究人員專門開發(fā)了ExtraMonitor、CiscoSCE等專業(yè)流量控制設(shè)備。這種設(shè)備通過采用專業(yè)引擎進行探測，對協(xié)議特征和鏈接過程進行有效識別，達到控制管理應(yīng)用層級流量的目的。網(wǎng)絡(luò)管理人員為了清楚的認識網(wǎng)絡(luò)流量狀況，可以運用專業(yè)流量控制設(shè)備對應(yīng)用層流量進行識別，對動態(tài)端口和偽裝端口進行區(qū)分，這種設(shè)備可以運用在網(wǎng)頁瀏覽、網(wǎng)絡(luò)下載、網(wǎng)絡(luò)視頻、即時通訊以及電子郵件等方面。網(wǎng)絡(luò)管理員根據(jù)專業(yè)流量控制設(shè)備獲取的結(jié)果，將可以用來對某些不重要應(yīng)用進行限制，保障和限制IP地址、端口等，對校園網(wǎng)絡(luò)內(nèi)重要的應(yīng)用通過優(yōu)先策略進行保障，從而達到對師生上網(wǎng)運用行為的調(diào)節(jié)，靈活滿足校園網(wǎng)絡(luò)帶寬資源需求。P2P應(yīng)用作為識別應(yīng)用協(xié)議的重點和難點，對P2P流量的控制是整個應(yīng)用協(xié)議控制的關(guān)鍵。隨著互聯(lián)網(wǎng)技術(shù)不斷發(fā)展，應(yīng)用不斷增減，許多網(wǎng)絡(luò)應(yīng)用采取技術(shù)對抗等方式，通過變換和偽裝其協(xié)議特征，甚至加密等逃避專業(yè)流量控制設(shè)備的檢測。[4]當(dāng)前，專業(yè)流量控制設(shè)備也適時更新自身的技術(shù)，監(jiān)控效果還是較為明顯，所以，這種方法一直以來是校園網(wǎng)流量控制的主要方法，雖然費用不菲。

(三)細化流量監(jiān)管

通過分析，校園網(wǎng)絡(luò)帶寬的80%左右被P2P應(yīng)用軟件占據(jù)，對P2P流量管理不能采用“一刀切”的策略，可以分析校園網(wǎng)實際應(yīng)用和應(yīng)用時間變化，找到相應(yīng)的方法和規(guī)律，科學(xué)制定校園網(wǎng)寬帶管理策略。眼下，從保障教學(xué)和校園主要應(yīng)用目的出發(fā)，分析校園網(wǎng)出口帶寬的實際使用情況，管理策略可以基于對網(wǎng)內(nèi)網(wǎng)段的區(qū)分和工作時間來進行制定。對網(wǎng)絡(luò)IP地址的監(jiān)控，先要對校園網(wǎng)內(nèi)的網(wǎng)絡(luò)IP網(wǎng)段進行級別區(qū)分，根據(jù)級別的高低，科學(xué)合理的制定管理策略，控制流量。比如校園網(wǎng)絡(luò)內(nèi)學(xué)生IP地址的流速可以低于用于教學(xué)科研方面IP地址的流速，正常的網(wǎng)頁流量和網(wǎng)絡(luò)郵件流速應(yīng)該高于P2P流速。同時，還可以根據(jù)時間的合理規(guī)劃來制定管理策略，對P2P等流量較大的網(wǎng)絡(luò)應(yīng)用限制在周末等閑暇時間，在正常工作時間，嚴(yán)格限制流量大的P2P等軟件使用，錯開流量需求。這種分級、分時控制管理，能夠改變校園網(wǎng)絡(luò)流量無序現(xiàn)狀，從而為保障校園日常工作對網(wǎng)絡(luò)的需求。

高校校園網(wǎng)中P2P應(yīng)用軟件的數(shù)目不斷增加，流量也呈現(xiàn)逐漸增長的趨勢。在這種情況下，為了保障正常的教學(xué)、科研和管理等工作，就必須對P2P流量進行有效的監(jiān)控和管理，必須有針對性地對P2P應(yīng)用選擇禁止或限制策略，以保證校園網(wǎng)高效、穩(wěn)定地為教育教學(xué)服務(wù)。隨著科技的發(fā)展，用戶安全意識的不斷提高，P2P技術(shù)一定會逐步成熟起來，其在校園網(wǎng)中的應(yīng)用就會更加普及和完善。

(責(zé)任編輯 遠 揚)

[參考文獻]

[1] 楊天路. P2P網(wǎng)絡(luò)技術(shù)原理與系統(tǒng)開發(fā)案例[M]. 北京：人民郵電出版社，2007.

[2] 陸偉峰. 監(jiān)視和控制網(wǎng)絡(luò)出口BT流量[J]. 計算機安全，2005(2).

[3] 張愛萍. P2P網(wǎng)絡(luò)技術(shù)綜述[J]. 科技信息，2008(15) .

[4] 蔣海明，張劍英，王青青，彭娟. P2P流量檢測與分析[J]. 計算機技術(shù)與發(fā)展，2008(7).