深度报文检测 linux,DPI-深度报文检测

DPI是什么

DPI(Deep Packet Inspection)是网络中一种基于数据包的深度检测技术，针对不同的网络应用层载荷(例如HTTP、DNS等)进行深度检测，通过对报文的有效载荷检测决定其合法性。

DPI能做什么

DPI设备通过对网络的关键点处的流量和报文内容进行检测分析，可以根据事先定义的策略对检测流量进行过滤控制，可以完成但不限于以下工作：

业务精细化识别；

业务流量流向分析；

业务流量占比统计；

业务占比整形；

对应用层拒绝服务攻击、病毒、木马进行过滤和对滥用P2P的控制。

统一DPI

统一DPI是指通过一套DPI设备对链路上的流量进行采集与识别，并将满足其它系统所需的流量或分析统计数据分发给各第三方应用系统服务器。

网络中各类流量管理相关的应用系统，如网间流控、Web Cache、非法VoIP检测、上网日志留存等，主要由DPI设备和应用服务器组成。其中， DPI设备负责数据采集、流量分析统计、日志合成，应用服务器主要完成对数据的进一步分析处理，合理组织和存储数据，并进行呈现。统一DPI整合了多个第三方应用系统的DPI设备，通过DPI复用为多个系统提供DPI能力。

DPI一般配置在哪里

PS侧：2G/3G网络的Gn接口链路，以及4G网络的S1-U接口链路。

IDC出口：指IDC连接省网/骨干网的出口，即IDC出口路由器与外部承载网络之间的链路。

省网出口：指省网到骨干网的出口，即省网汇接路由器与骨干网路由器之间的链路。

网间出口：指省网连接第三方网络的出口，即省网网间出口路由器与第三方网络之间的链路。

骨干网：指骨干网连接其他运营商网络的出口，即骨干网网间出口路由器与其他运营商网络之间的链路。

DPI的复用方式

按照应用系统所需数据内容和格式的不同，DPI复用分为四种方式，其中第一种复用可以由分光器复用来实现，后三种复用由DPI设备复用实现。统一DPI复用主要指后三种复用方式。

分光复用

指通过链路分光器或DPI设备分光功能，将光路信号完整的复制分发给应用系统。 适用于系统特征库特殊，不易整合的应用系统。(交给第三方自己去整合)

原始报文镜像

指DPI设备将全部原始报文或者经过特定条件过滤后的部分原始报文复制分发给应用系统。 适用于系统明确需要某种报文的应用系统。(只要地理位置或者只要微信的数据)

会话级数据

指DPI设备分析记录流量的会话数据(XDR)，并将会话数据按指定格式发送给应用系统。 适用于以分析流量日志为主的应用系统。

统计级数据

指DPI设备统计流量的各项指标，并将统计结果发送给应用系统。 适用于需要简单明确的统计指标的应用系统。

DPI的接口

统一DPI设备的接口，按照功能角色的不同，可以分为线路接口、复用接口、和配置接口。

线路接口负责链路流量的接收(串接和并接情况)和转发(仅串接情况)。(纯传输)

复用接口指统一DPI设备和第三方应用系统间的接口，负责给应用系统提供所需数据。按照不同复用方式发送的数据内容，复用接口又可分为镜像接口(原始报文镜像复用)、会话数据接口(会话级数据复用)、和统计数据接口(统计级数据复用)。(提供给第三方的统一接口)

用于策略服务器给统一DPI设备下发策略、对象、特征库等信息，包括流量流向划分、识别特征库、控制策略等。策略服务器可由运营商统一设置，或由现有应用系统平台承担。(决定如何处理数据、如何分发数据)

整理资料来自于百度百科：

https://baike.baidu.com/item/DPI/19506006