NBAR有效的识别与封堵网络应用

一、认识NBAR

NBAR (Network-Based Application Recognition) 的意思是网络应用识别。 NBAR 是一种动态能在四到七层寻找协议的技术。它不同于ACL，仅仅依靠端口号进行对应用服务的判断，更加精准的是可以通过数据包本身的描述进行识别判断，该数据属于哪一种服务。NBAR更加有效的使网络的分析图形化，脱离逻辑判断，更加直观的将你网络中的各种应用占有带宽比例显示出来。

实际上NBAR的应用原理在于对网络应用层面的监控，可以进行代码匹配来识别数据报的具体应用，例如FTP、WEB、BT、电驴等等。即便所应用的服务端口变化，NBAR也可以识别出来具体的服务。NBAR首先可以应用于网络监控，判断究竟在你的网内哪种服务占据着最主要的流量，以便于配合QOS来做流量的修整。

NBAR可使用第三方软件来图形化解读数据。例如Concord、infovista等厂商：

 

         NBAR发现协议开启方法：

         Router(config)#Ip nbar protocol-discovery

         使用show命令查看NBAR的信息：

         Router#Show ip nbar protocol-discovery

 

二、NBAR识别网络应用的依据: PDLM

         PDLM 是数据包描述语言模块。它是NBAR针对于网络高层应用的主要识别原理，PDLM分为很多种，在CISCO的网站上可以找到各种网络应用的PDLM，每个PDLM都是针对于一种服务的，它记载了关于判别一种应用服务的关键匹配代码，经常的下载PDLM对于NBAR对网络应用的认识就更加有效。而且也可以以PDLM为标准使用QOS去封堵一些你不想让其通过的服务。

         PLDM的下载地址：[url]http://www.cisco.com/pcgi-bin/tablebuild.pl/pdlm[/url] 

        

三、使用NBAR更准确地封堵网内应用服务

         以BT和电驴为例：

1．  下载bittorrent.pdlm 和，使用传到路由器里2． 开启，是不能再非交换中工作的3． 启用和电驴的识别功能：Router(config)#ip nbar pdlm flash://bittorrent.pdlm

Router(config)#ip nbat pdlm flash://这里要看你的下载到了什么地方来决定是否用4． 定义class-map match-any vfast

match protocol bittorrent

mathc protocol eDonkey5． 建立policy-map,将符合BT和电驴的信息丢掉6． 将做好的策略应用到端口中：service-policy output vfast-bit-deo