DPI深度包检测技术课件.docx

DPI深度包检测技术 基本解释　　DPI技术，即DPI(Deep Packet Inspection)深度包检测技术是一种基于应用层的流量检测和控制技术，当IP数据包、TCP或UDP数据流通过基于DPI技术的带宽管理系统时，该系统通过深入读取IP包载荷的内容来对OSI七层协议中的应用层信息进行重组，从而得到整个应用程序的内容，然后按照系统定义的管理策略对流量进行整形操作。　　基于DPI技术的带宽管理解决方案与我们熟知的防病毒软件系统在某些方面比较类似，即其能识别的应用类型必须为系统已知的，以用户熟知的BT为例，其Handshake的协议特征字为“。BitTorrent Protocol”；换句话说，防病毒系统后台要有一个庞大的病毒特征数据库，基于DPI技术的带宽管理系统也要维护一个应用特征数据库，当流量经过时，通过将解包后的应用信息与后台特征数据库进行比较来确定应用类型；而当有新的应用出现时，后台的应用特征数据库也要更新才能具有对新型应用的识别和控制能力。 重要应用　　深度数据包检测(DPI)是一项已经在流量管理、安全和网络分析等方面获得成功的技术，同时该技术能够对网络数据包进行内容分析，但又与header或者基于元数据的数据包检测有所不同，这两种检测通常是由交换机、防火墙和入侵检测系统/IPS设备来执行的。通常的DPI解决方案能够为不同的应用程序提供深度数据包检测。　只针对header的处理限制了能够从数据包处理过程中看到的内容，并且不能够检测基于内容的威胁或者区分使用共同通信平台的应用程序。DPI能够检测出数据包的内容及有效负载并且能够提取出内容级别的信息，如恶意软件、具体数据和应用程序类型。　　随着网络运营商、互联网服务提供商(ISP)以及类似的公司越来越依赖于其网络以及网络上运行的应用程序的效率，管理带宽和控制通信的复杂性以及安全的需要变得越来越重要。DPI恰好能够提供这些要求，寻求更好的网络管理以及合规的用户企业应该把DPI作为一项重要的技术。　　DPI技术首先能够将数据包组装到网络的流量中，数据处理(包括协议分类)接着可以从流量内容中提取信息，流量重组和内容提取都需要大量处理能力，尤其是在高流量的数据流中。成功的DPI技术必须能够提供基本功能，如高性能计算和对分析任务的灵活的支持。　　DPI处理部门必须能够提供符合通信网络性能的可扩扎性和性能，深度内容检测要求比仅仅是header检测更加多的处理。因此，DPI通常使用并行处理结构来加快计算任务。DPI技术最终能够向用户提供从网络流量中提取出的信息，实际内容处理可能与提取出的信息有很大差异，DPI技术的表现有点像一个平台，提供内容处理的实用工具，但是可以让用户决定处理哪些内容。 服务供应商使用DPI来分离网络流量　　很多服务供应商现在使用DPI来将流量分为低延时(语音)、保证延时(网络流量)、保证交付(应用流量)和尽最大努力交付的应用程序(文件共享)。使用这种分类，他们可以更好的根据关键任务流量、非关键流量来优化资源并减少网络拥挤。因为廉价的带宽，服务供应商可以增加增值服务来获得额外的收入，包括安全、高峰使用管理、内容计费和针对性的广告。这些都需要对网络流量的深度检测。 大型企业可以使用DPI来管理网络性能　　拥有大型网络覆盖很多地理区域的企业在他们的内部网络间可能运行着完全不同的通信类型。除了控制成本和带宽使用外，安全一直是一个挑战，这要求对网络应用程序流量的理解。这些企业已经开始看到DPI分析带来的好处，例如，网络管理员可以使用DPI技术来控制网络性能，当网络性能较低时，限制某种应用程序流量，当性能恢复到正常时，再提升流量。　　现在越来越多的网络安全功能需要有效载荷级别的知识，数据泄漏防护要求深度理解通过线路发送的实际内容。应用层防火墙负责有效载荷的内容，而不是header内容。在云计算中的安全服务提供商，如反垃圾邮件或者web过滤服务等供应商，必须获取通过多个客户通信的实时可见的内容，以便迅速获取抵御威胁和攻击的信息。这样也要求内容级别的情报。　　传统上来说，这些安全功能都由特殊用途的技术所提供，这些可能包括一些DPI功能。例如，IPS就有内置的DPI。保护Web网关同样提供对web内容的DPI分析，但是每种特殊用途技术引用其特殊的目的或者不兼容的软件，都会使网络基础设施效率低下。一个数据包可能会因为多种用途而被进行多次检查。另外，这些技术并不能提供可编程的接口，这就以为着你不能够提取任意信息。　　除了安全问题外，DPI对于云计算服务供应商还有着重大的影响，对于云计算供应商而言，服务订阅和用户管理是一个重大挑战。很多供应商使用自身开发的或者现成的技术来管理服务订阅，他们发现这样做既缺乏可扩展性又不能为复杂的管理任务提供足够的信息。另一方面，DPI能够提供