OpenDPI报文识别分析.doc

文献标识码：A ·网络与通信· 文章编号：1000—3428(2011)增刊—0098—03 中图分类号：TP393 OpenDPI 报文识别分析 魏 永，周云峰，郭利超 (太原卫星发射中心，太原 036301) 摘 要：传统数据流分析方法不能实现对数据流的精细化管理。为此，介绍开源深度报文检测程序 OpenDPI，研究其源代码的设计结构和 功能，分析报文识别的原理和过程，解决数据流会话的有效期和多报文处理问题。分析结果表明，OpenDPI 可实现对报文协议规则的动态 添加与更新。 关键词：OpenDPI 源代码；网络管理；数据流；深度报文检测；报文识别 Analysis of Message Identification for OpenDPI WEI Yong, ZHOU Yun-feng, GUO Li-chao (Taiyuan Satellite Launch Center, Taiyuan 036301, China) 【Abstract】The traditional Internet traffic analysis can not longer meet the requirements in the elaborate management of Internet traffic. Therefore, the OpenDPI program of open source Deep Packet Inspection(DPI) is introduced. This paper studies the design structure and the function of the OpenDPI code, and analyzes the principle and the procedure of its packet identification, to solve the validity of the data flow session and the problem of the multi-message processing. Analysis result shows that OpenDPI enables message protocol rules to dynamically add and update. 【Key words】OpenDPI source code; network management; data stream; Deep Packet Inspection(DPI); message identification 1 概述 随着网络的普及，网络上的数据急剧增加，面对海量的 数据，需要区分有效数据和不良数据；网络上的应用也日趋 多样化，不同的应用需要不同的服务质量(Quality of Service, QoS)，如语音的实时性要求远高于邮件；面对越来越多的 P2P 业务，占用了大量带宽，需要限制其所用带宽，以保证其他 业务的运行；对于运营商，部分业务也需要根据流量进行收 费。以上需求对网络管理提出了更高的要求，如何识别网络 上的数据流成为网络管理的基础，传统的数据流分析方法仅 仅分析 IP 包 4 层以下的内容，包括源地址、目的地址、源端 口、目的端口以及传输协议类型。但针对网上越来越多的数 据报文，采用传统的识别方式已不能有效的识别，如 P2P 通 信一般采用是随机端口，迅雷的数据传输复用在 HTTP 业务 之上等，而且这些数据所占比重越来越大，于是产生了一种 新的协议识别方式，即深度报文检测(Deep Packet Inspection, DPI)[1] ，它在传统的分析基础上，增加了对应用层有效负载 的分析，可识别出各种应用业务。本文主要分析了开源深度 报文检测程序 OpenDPI，从其设计结构、原理、实现过程等 多方面进行了深入的分析。 2 OpenDPI 简介 OpenDPI[2] 作为 一个 开源 的深 度报 文检 测系 统， 自 从 2009.09 发布 1.0.0 版本，得到了业界的广泛认同，目前的最 新版本是 2011.06 发布的 1.3.0 版本，新版本中增加了对 IPv6 的支持，实现了更多的协议识别，现能分析 118 种协议。它 根据网络协议对数据包进行分类计数，得到各协议数据包的 数量、大小、协议类型等信息。OpenDPI 源自商业的 PACE， 相对于 PACE 引擎，OpenDPI 不支持检测加密协议，也不使 用任何分类启发式和行为分析。 OpenDPI 相对于其他众多的深度报文检测软件，有自己 的优点，它是开源的，代码比较精简，运行稳定、错误检测 率更低，它作为一个协议分析引擎，允许第三方开发者在不 同