DPI相關技術在LTE網(wǎng)絡中的應用研究綜述1.1深度包檢測技術自互聯(lián)網(wǎng)技術蓬勃發(fā)展以來，網(wǎng)絡安全問題日益得到人們的重視，在這樣的背景下，流量識別技術得到了廣泛的應用。為了能夠對網(wǎng)絡進行管理、提高服務質量，就需要對各種應用產(chǎn)生的流量進行有效地檢測、識別與分類。目前而言，主要的流量識別方法包括四種：基于端口的識別分類、基于深度包監(jiān)測技術的識別分類、基于行為模式的識別分類和基于機器學習的識別分類[3]?；诙丝诘淖R別分類。這種方法是最早誕生的流量識別方法，原理與實現(xiàn)方法較為簡單，僅根據(jù)數(shù)據(jù)包頭部中的IP地址與端口號對流量進行識別。這種方法具有部署簡單、通常不需要額外設備，識別效率較高的優(yōu)勢。但隨著互聯(lián)網(wǎng)技術的發(fā)展，動態(tài)端口技術被廣泛地使用，許多應用所采用的端口不再固定，使得基于端口的識別分類技術有效性受到挑戰(zhàn)，該技術現(xiàn)在往往與其他技術相結合來對流量進行檢測?；谏疃劝鼨z測技術的識別分類。這種方法是對基于端口的識別分類方法的改進，最早由Moore[4]等提出，其核心思想是將數(shù)據(jù)包進行分組，由多個數(shù)據(jù)包組成數(shù)據(jù)流，以數(shù)據(jù)流為單位進行流量識別。數(shù)據(jù)流中包含有單個數(shù)據(jù)包的上下文信息，對這些上下文信息進行模式匹配，可以達到流量識別的目的。比起基于端口的識別分類技術，深度包檢測技術能獲取的信息更多，準確率也更高。但同時，深度包監(jiān)測也有一定的局限性，該技術較為依賴數(shù)據(jù)包的已知特征。在數(shù)據(jù)包部分加密的時候，深度包檢測的準確率會大大降低。另外由于深度包檢測技術需要在底層抓取數(shù)據(jù)包，因此比起直接在網(wǎng)絡設備上添加規(guī)則的端口識別分類技術，需要消耗更多的資源?；谛袨槟Ｊ降淖R別分類和基于機器學習的識別分類。這兩種種方法都是對深度包檢測技術的進一步改進，為了克服深度包檢測技術中需要依賴已知特征的問題?；谛袨槟Ｊ降淖R別分類，關注的重點在于應用于服務器交互的抽象行為模式，從具體的流中脫離出來。這類技術最早是Minh[5]等提出的周期候選數(shù)組（PeriodCandidateArray，PCA）方法，后來改進為周期檢測圖（PeriodicityDetectionMap，PDM）方法。這一類流量識別方法，大多用的是傳統(tǒng)數(shù)學方法進行行為模式識別，而隨著機器學習相關技術的興起，將機器學習技術應用到流量的行為模式識別中，就是基于機器學習的識別分類方法。從分類上說包括有監(jiān)督和半監(jiān)督的學習方法，有監(jiān)督的學習方法如樸素貝葉斯方法、支持向量機、神經(jīng)網(wǎng)絡、C4.5決策樹和近鄰分類等；半監(jiān)督的學習方法主要是各種聚類算法?？傮w而言，深度包檢測技術是流量識別技術的一個分水嶺，比起端口檢測技術，檢測的對象從數(shù)據(jù)包變成了數(shù)據(jù)流。而后續(xù)的行為模式識別分類和基于機器學習的識別分類技術，都是在深度包檢測技術的基礎上改進模式識別算法，從本質上說可以歸屬為深度包監(jiān)測技術的大類之中。而深度包檢測技術發(fā)展的方向，主要是提高包檢測的準確率和降低包檢測的資源開銷兩個方面。1.2LTE網(wǎng)絡中的DPI技術研究DPI技術的一個重要的應用領域就是LTE網(wǎng)絡。在LTE網(wǎng)絡中，運營商通過對用戶流量進行深度包檢測，達成分析與控制業(yè)務、改善用戶體驗、分析用戶行為或者是廣告推送等目標。關于LTE網(wǎng)絡中的DPI相關技術研究，主要集中在兩個方向：DPI軟件部署方式和針對特定類型流量的DPI手段。DPI軟件部署方式。傳統(tǒng)的DPI軟件部署方式，主要是將裝有DPI軟件的設備直接部署在城域網(wǎng)出口，考慮到鏈路處理規(guī)模等因素，按照1/4輪詢規(guī)則對應用流量進行識別。除了傳統(tǒng)DPI軟件部署方式外，在宮向陽[6]等的研究中，設計了一種將DPI軟件部署在LTE網(wǎng)絡的S1接口的方法。S1接口是eNB與核心網(wǎng)之間的通信接口，要在這個接口做DPI就需要對LTE數(shù)據(jù)包進行協(xié)議棧解碼。這種DPI部署方式的模塊流程如REF_Ref12134\h圖5所示。圖SEQ圖\*ARABIC5S1接口部署DPI的模塊流程最下層的是數(shù)據(jù)采集模塊，這個模塊對網(wǎng)絡中S1接口的數(shù)據(jù)進行實時采集，并且將采集到的數(shù)據(jù)交給協(xié)議解析模塊。協(xié)議解析模塊首先會將應用數(shù)據(jù)從LTE相關協(xié)議中解析出來，并且把鏈路信息緩存起來；然后把解析出來的應用數(shù)據(jù)交由快速DPI模塊進行處理，獲取數(shù)據(jù)的應用層協(xié)議類型，并調用相應的應用層解碼模塊進行解碼。解碼完成后，將所有協(xié)議解析得到的信息，交給流量識別模塊，并調用相應的深度DPI模塊進一步分析。分析結果會保存到數(shù)據(jù)存儲模塊，在業(yè)務模塊需要的時候可以向數(shù)據(jù)存儲模塊讀取數(shù)據(jù)，滿足業(yè)務需求。該研究中還提到了流量識別模塊所采用的匹配算法，是基于多叉樹結構的模糊匹配算法。該研究在測試的過程中，將這個算法與傳統(tǒng)的正則匹配算法進行比較，認為表現(xiàn)較好，具有一定的優(yōu)勢。不過該研究的結果也存在一定的局限性，一方面是DPI部署的位置固定在核心網(wǎng)與eNB連接的S1接口上，在LTE向5G-NR發(fā)展的過程中，核心網(wǎng)變化較大，該部署方式在5G環(huán)境下需要重新調整部署方式。另一方面是設置了多重DPI，額外增加了DPI設備的負擔。針對特定類型流量的DPI手段。LTE網(wǎng)絡中，部分應用的流量具有比較高的檢測價值，并且針對特定流量進行DPI時，可以利用這些應用的已知特性，優(yōu)化DPI的效果。JonghwanHyun[7]等的工作中，對LTE網(wǎng)絡中的LTE語音承載（VoiceoverLTE,VoLTE）進行DPI的場景，設計了一套處理架構方案。該方案在DPI方法保證檢測精度的同時，通過HTCondor的分布式并行處理方法提高系統(tǒng)處理性能。VoLTE主要應用于實時語音傳輸?shù)膱鼍?，雖然同樣是實時語音傳輸，但和打電話并不相同，語音數(shù)據(jù)是通過IP網(wǎng)絡進行傳輸?shù)?。VoLTE采用的底層協(xié)議為實時傳輸協(xié)議（Real-timeTransportProtocol，RTP）和會話發(fā)起協(xié)議（SessionInitiationProtocol，SIP），前者用于傳輸具體語音數(shù)據(jù)，后者則負責控制會話的過程，DPI主要針對的是前者的數(shù)據(jù)。在該架構方案中，系統(tǒng)包含多個接收隊列，以獲取要分析的數(shù)據(jù)包，這些接收