使用NBAR更有效的识别与封堵网络应用

使用 NBAR 更有效的识别与封堵网络应用 <?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

 

      近期有学生在面试时遇到企业询问关于封堵BT、电驴和其他一些P2P程序的方法，除了我过去在课程中讲过的使用ACL的方法外，其实用CISCO的NBAR功能更有效可以防止这些应用。只是开启NBAR后占用的资源会大一些，估计在15%以上吧。

 

 

一、认识NBAR

NBAR (Network-Based Application Recognition) 的意思是网络应用识别。 NBAR 是一种动态能在四到七层寻找协议的技术。它不同于ACL，仅仅依靠端口号进行对应用服务的判断，更加精准的是可以通过数据包本身的描述进行识别判断，该数据属于哪一种服务。NBAR更加有效的使网络的分析图形化，脱离逻辑判断，更加直观的将你网络中的各种应用占有带宽比例显示出来。

实际上NBAR的应用原理在于对网络应用层面的监控，可以进行代码匹配来识别数据报的具体应用，例如FTP、WEB、BT、电驴等等。即便所应用的服务端口变化，NBAR也可以识别出来具体的服务。NBAR首先可以应用于网络监控，判断究竟在你的网内哪种服务占据着最主要的流量，以便于配合QOS来做流量的修整。

NBAR可使用第三方软件来图形化解读数据。例如Concord、infovista等厂商：

 

<?xml:namespace prefix = v ns = "urn:schemas-microsoft-com:vml" />

         NBAR发现协议开启方法：

         Router(config)#Ip nbar protocol-discovery

         使用show命令查看NBAR的信息：

         Router#Show ip nbar protocol-discovery

 

二、NBAR识别网络应用的依据: PDLM

         PDLM 是数据包描述语言模块。它是NBAR针对于网络高层应用的主要识别原理，PDLM分为很多种，在CISCO的网站上可以找到各种网络应用的PDLM，每个PDLM都是针对于一种服务的，它记载了关于判别一种应用服务的关键匹配代码，经常的下载PDLM对于NBAR对网络应用的认识就更加有效。而且也可以以PDLM为标准使用QOS去封堵一些你不想让其通过的服务。

         PLDM的下载地址：[url]http://www.cisco.com/pcgi-bin/tablebuild.pl/pdlm[/url] 

        

三、使用NBAR更准确地封堵网内应用服务

         以BT和电驴为例：

1．  下载bittorrent.pdlm 和eDonkey.pdlm，使用TFTP传到路由器里

2．  开启CEF，NBAR是不能再非CEF交换中工作的

Router(config)#ip cef

3．  启用BT和电驴的NBAR识别功能：

Router(config)#ip nbar pdlm flash://bittorrent.pdlm

Router(config)#ip nbat pdlm flash://eDonkey.pdlm

//这里要看你的pdlm下载到了什么地方来决定是否用flash://

4．  定义class-map

class-map match-any vfast

match protocol bittorrent

mathc protocol eDonkey

5．  建立policy-map,将符合BT和电驴的信息丢掉

Plicy-map vfast-bit-edo

class vfast

dorp

6．  将做好的策略应用到端口中：

service-policy output vfast-bit-deo