上网行为安全之流量管理技术

1.流量管理需求背景

1、带宽资源被非关键应用大量占用: 单位内部人员上班时间使用P2P等软件下载与工作无关的资源、在线观看与工作无关的 视频，导致办公期间带宽严重不足，ERP、邮件、OA、视频会议等系统因为带宽问题响 应缓慢，严重影响了工作效率。

2、传统的缓存丢包式的流控无法控制P2P下行流量： P2P流量具有带宽侵蚀性，只要内部有对外P2P请求，即使流控设备能够丢掉部分P2P的 下行报文，但是仍然会有大量的来自互联网的P2P下行报文会占满带宽，导致核心业务 得不到有效的扩展。

3、空闲时带宽利用率低： 为了保障核心业务，往往针对非业务相关但是常用的应用的带宽进行严格的限制，然而 ，业务高峰期过后，常用应用流量依然被限制在很小的带宽里，导致带宽利用率不高， 且用户的使用体验较差。

4、一刀切的流量控制手段，影响员工使用体验： 由于我单位的流控策略是配额制，每个员工的上网时长、流量等按配额使用。一旦用量 超过配额，将导致网络不可用。不仅影响了正常的办公，还给员工不好的使用体验。

P2P流量占用大量带宽

在众多的网络应用中，尤以P2P应用的带宽侵蚀性最为强烈。
据调查 统计，P2P应用对带宽占用比大致是40%~60%，在极端情况下占用比会达到 80%~90%。
同时，再加上其他与工作无关的应用占用了带宽资源。
核心业务 应用得不到充分的带宽资源，员工在日常工作中反应网络慢，严重影响工作效 率。因此，企业需要完善的上网流量管理方案，对带宽资源进行合理的分配。

2.流量管理技术

2.1传统流量管理技术缺陷

流量控制建立在流量识别的基础上，所以流量识别相当重要。==

传统的流控方式是基于网络协议的上4层及以下的内容（非有效负载内容） 进行分析，通常可以基于固定的数据封装格式提取数据特征。

举例：使用QoS技术实现基于源地址、目的地址、源端口、目的端口以 及协议类型等“五元组”的流量控制。
通过“五元组”定义各种流量，针对不同流量实施不同的排队机制和拥 塞机制以实现控制流量的目的。
但这种传统的IP数据包流量识别和QoS技术，仅根据数据包头中的“五元组”信息进行分析，却无法识别出流量中所涉及的应用，因此，无法对应 用进行精细的流控。

现在主流的流控已经能实现对流量的精准精细流控。

2.2传统流控

基于缓存丢包方式，UDP协议自身没有速率调整机制，且P2P传输模式具有特殊性，外网线路依然被大量的P2P数据报文所占用，导致带宽浪费
传统流控能够丢弃P2P报文，但是保障不了核心业务！

2.3主流的流量管控技术

2.3.1流量检测方法

2.3.2应用检测技术

（1）常用端口检测

1.端口检测法是依赖于端口来识别流量，在应用较少的互联网初期作用效果较好。
2.随着互联网发展的多样化，应用的常用端口越来越不明显，因此，该方法识别能力非常有限。

（2）深度流检测（DFI）

深度流检测方法主要采用基于流量行为的应用识别技术，即不同的应用类型体现在会话连接或数据流上的状态不同。

主要识别指标包括：数据包的大小、速率、延时、持续时间、发送频率、上下行流量的比例 关系