基于精确流量控制的网络出口管理策略的研究与实践

1、    基于精确流量控制的网络出口管理策略的研究与实践    黄伟波摘要 在进行规范细致的流量分析的基础上，制定并实施精确流量管理策略,有效地改善局域网流量状况,解决网络拥塞问题,实现了网络出口管理的优化控制。关键词 精确流量控制；网络出口管理；控制策略：tp393 文件标识码：a：1671-489x（2007）020057-03research and practice on network gateway management strategy based on accurate control of dataflow/huang weiboabst

2、ract after conducting detailed dataflow analyses that conform to standards, the paper devises and carries out the strategy of accurate dataflow management, which effectively enhanced lan dataflow and therefore solved network congestion. finally,realizing the optimized management of network gateway.k

3、ey wordsaccurate dataflow control; management of network gateway; strategy of optimized controlauthor's address center of education technology，guangdong university of foreign studies，guangzhou 510420种类繁多的网络传输软件在丰富网络资源的同时，也给各网络运营商特别是局域网的网络管理部门带来了很多新的管理难题。新兴的分布式点对点传输协议，如bittorrent（bt）、edonkey等利用多进

4、程并发的优势，大量占用带宽资源，对局域网出口带宽造成很大的压力，严重影响常规网络应用的使用。因此，针对该类应用实施有效的管理措施，也成为当今网络管理体系中进行流量控制的重要课题。1 局域网出口管理的现状海量丰富而且免费的点对点网络资源是驱使网络用户使用该类应用的原动力，资源下载的直接受益者，是每个使用点对点传输协议的用户，而受到损失的是更为广阔的普通网络应用用户群体。在一个10 000用户级别的校园网中，通过使用100mb电信出口带宽连接到internet，正常情况下常规的网络应用都可以顺畅地进行。但如果校园网内有1%的用户在完全不受限制的情况下使用bt一类的协议下载互联网资源，就可能抢占50

5、%以上的带宽资源，而另外99%用户的正常网络应用都会受到影响，例如网页打不开、邮件无法收发等。这样的网络状况显然是不合理的。单纯从单个用户使用点对点下载软件的过程而言，并没有直观的侵害效果，甚至对于绝大部分使用此类方式下载资源的用户来说，可能只是简单地知道bt下载"连接的人越多速度越快"，而下载对于整个网络的影响则很容易被忽略。从网络行为学的角度来说，如果想用简单的网络用户公约或道德规范来约束显然很难起到作用。因此，要限制和规范网络的使用，各网络管理部门普遍采用以下两种方式：其一，就是用流量费用限制每一个用户的下载额度；其二，就是使用一些技术手段限制点对点应用的使用。按流量

6、计费从本质上而言是控制用户网络行为最有效的方式，配合支持流量计算的路由器，用户计费软件可以精确地对每个局域网用户进行流量统计并生产账单。此类计费方式的软硬件系统早在20世纪90年代中期就广泛使用在网络管理系统中，到现在技术方面已经相当成熟。功能丰富的计费软件可以和用户客户端认证软件结合起来，实时告诉用户当前的流量使用情况和相应的费用状况。但是从2000年以后，随着互联网规模的不断扩大，接入互联网的基本费用大大降低，与互联网“开放”“免费”“共享”资源的理念相对应的是“包时段不限流量”的网络使用方式开始迅速普及起来。从isp到普通网络用户，“包月”“包年”上网的概念也逐步成为了标准。因此，原有的

7、从流量费用角度限制网络行为的方式也必然逐步淡出历史舞台。2数据流量和用户行为分析用户使用包时段不限流的方式上网，带宽抢占问题仍然存在，所以从技术层面进行流量控制还是最终的解决办法。以下就结合我校校园网在进行详尽的流量分析之后，实施精确流量管理的具体过程，对技术策略流量控制及其对用户网络行为的影响进行表述。作为实验测试的我校校园网基本信息如下：20000用户规模，使用基于端口的包月方式管理用户，拥有两个100兆带宽的出口分别用于连接教育网和电信网络，校内有千兆的高速带宽。基本的网络拓扑如图1所示：图1中心交换机在调整前存在的问题是：上网速度慢，特别在每天晚上20点到23点之间，很多网站几乎都打不

8、开。重要网络应用没有带宽保证，用于教学、科研、办公的网络在使用的关键时段还得与其他普通用户应用争用资源，制约了关键应用的推广。我们在校园网出口位置的硬件设备（是一台cisco 5000系列的路由器），利用设备提供的snmp（简单网管协议）服务，使用相应的软件进行流量统计。在进行了一个自然周的统计之后，得出校园网两个出口在一个典型工作日流量特征：1）该校园网用户的主要上网行为都发生在电信出口上，教育网出口流量较低，可以不做限制，而电信出口在全天的绝大部分时段都处在满负荷状态，已经成为了校园网使用的最大瓶颈，必须采取措施进行流量控制。2）对电信出口带宽的拥塞状况进行分析。在时间特性上，连续观察一周

9、的流量状况都呈现出相似的特征，即每天20点到晚上23点间都处于高峰，而这个时段也正是绝大部分网络用户正常活动的时段。因此，可以判断高负荷的网络流量主要来自于用户的使用，而网络病毒、入侵攻击或设备故障造成的影响不是主因。在白天的流量高峰时段，还有两段相对的波谷部分，分别对应上午的9点钟到11点钟和下午15点钟到18点钟，这两个时段恰好是学校里的上课时间。由于校内两万校园网用户中70%都是学生用户，可以确定学生用户是占用出口带宽资源最主要的用户群体。3）对电信出口进行端口镜像，抓包做流量分析。使用最常用的sniffer软件，可以对流量的tcp/ip特征进行诊断。再结合应用层的专业流量分析设备（在本

10、次测试中使用了packetshaper应用层流量分析与控制网关）对流量信息进行归纳。考虑到100兆流量下海量的数据，我们选择了流量最高的20点至22点时段，进行抓包分析，归纳到如下的结果：表1 分析结果由以上的信息可以确定，常规的网络应用总和都远未达到出口的100兆带宽，因此通过控制和优化带宽策略，是完全可以满足常规网络应用的需求。在抓包测试中，由于bt等分布式点对点下载软件可以使用任意的源端口和目的端口进行连接，因此单纯通过tcp/ip协议无法对其进行辨别。通过在客户机上的应用实测，使用自定义端口的其他软件：如股票在线交易系统、网络游戏、聊天室等应用都不会产生很高的流量，因此可以初步推测，在

11、"others"特征分组中的绝大部分流量，都是由分布式点对点下载造成的。包括已知端口的bittorrent应用流量，各类分布式点对点下载的流量已经占用了总出口带宽资源的40%以上。2.4对单个包进行特征分析。90%以上的下载包，单个本地源ip对超过100个外网目的ip进行连接，连接端口在9 000以上。2.5建立流量控制的需求定义2.5.1分时段控制：每天的高峰时段进行流量控制，而在其他时段，充分利用带宽资源，不进行控制；2.5.2分区域控制：对出口造成压力最大的是学生用户，而用于教学、科研、办公的关键性网络应用要始终保持高带宽高可用性；在该校园网内，学生用户使用"

12、;192.168"开头的私有地址，而教学、科研、办公使用"202.116"开头的教育网地址。2.5.3分端口控制：常规应用使用的tcp和udp的1至1024端口要优先保证带宽使用；1024至9000段是常规的自定义端口程序使用的区域要有限控制带宽资源；而9000以上的端口主要是分布式点对点下载软件使用的区域，要严格控制带宽的使用。2.5.4分用户控制：单个网络用户在正常使用网络资源的情况下，最多同时使用十几个tcp会话，而一个使用bt下载的用户却会同时建立超过500个会话。因此，在出口位置要对单个用户同时使用的tcp会话数进行限制。3 根据出口流量特征制定具体的控制策略首先，在防火墙策略中，定义时间循环控制组：每天8:0023:00；定义网络端口组：高优端口组（包括tcp、udp的端口1至端口1024）；中优端口组（包括tcp、udp的端口1025至端口9000）；低优端口组（包括tcp、udp的端口9000至端口65535）；定