[发明专利]P2P流检测方法和设备

说明书

技术领域

本申请涉及网络通信技术，特别涉及P2P流检测方法和设备。

背景技术

目前，网络中大部分数据流都是点到点(P2P：Point to Point)流，P2P流往往占据了用户或者企业的大部分带宽，严重影响用户或者企业的正常业务运行。例如，某公司内大量员工使用办公网络观看在线视频，下载各种电影，电视剧，这导致公司内办公网络的绝大部分带宽都被非工作相关的流量占用，会影响公司内的正常业务办理。

目前的P2P流识别基本上都是单一的深度包检测(DPI：Deep Packet Inspection)或者深度流检测(DFI：Deep Flow Inspection)，而这两种检测方法的优缺点非常明显，各自都有比较高的局限性。比如，直接进行DPI检测，会导致检测设备开销非常大，而且检测效率低下，并且在大量复杂的数据流进入检测设备时容易给CPU造成很大的负担，也容易加大网络延时。并且，DPI检测还存在重复检测的情况，例如监控区域的用户A与非监控区域的用户B在使用BT进行P2P通信，用户B为服务器端，该DPI检测就要求检测设备对用户A与用户B两个用户间的每一条数据流进行识别并执行相应的操作，而实际应用中，检测设备只要识别出用户A与用户B两个用户间的第一条数据流即可，用不着每条数据流都逐一重复检测识别，也即，DPI检测会导致检测设备执行的重复劳动非常严重，效率十分低。而DFI检测，其是基于数据流的特征如IP地址、端口、平均每个包的大小、会话前几个报文各自的大小或者方向等进行检测的，其虽然会节省检测设备的开销，但是准确率偏低，容易引起误报，同时也不能非常精确的识别出数据流具体属于什么应用，比如，迅雷下载的数据流通过检测设备时可能被识别出是在进行P2P下载，却无法识别出是在使用迅雷进行下载。

发明内容

本申请提供了P2P流检测方法和设备，以避免使用单一的DPI检测或者DFI检测识别P2P流所带来的缺陷。

本申请提供的技术方案包括：

一种P2P流检测方法，该方法应用于设置在网络出口的设备，包括以下步骤：

识别待检测的数据流是属于HTTP流还是非HTTP流；

如果是非HTTP流，则对所述数据流进行如下DFI检测：检测本地的DFI规则库中是否存在至少包含以下内容的DFI规则：所述数据流携带的目的IP地址、目的端口号、协议号，在DFI检测结果为是时，判定所述数据流为P2P流，对该数据流执行预先定义的流量控制操作；

如果是HTTP流，或者在DFI检测结果为否时，开始统计单位时间内属于所述数据流的前N个报文的总流量M，N大于1，在统计出的总流量M小于第一设定流量阈值或者单位时间内属于所述数据流的报文数量小于N时，判定所述数据流为非P2P流，在统计出的总流量M大于第一设定流量阈值时对所述数据流进一步执行DPI检测，在DPI检测出所述数据流为非P2P流时，按照预先配置的非P2P流处理方式对所述数据流进行流量控制，在DPI检测出所述数据流为P2P流时，除了按照预先配置的P2P流处理方式对所述数据流进行流量控制之外，还识别所述数据流匹配的应用名称，将匹配的应用名称、统计出的总流量M、所述数据流携带的目的IP地址、目的端口号、协议号作为一条DFI规则更新至所述DFI规则库。

一种P2P流检测设备，该设备为设置在网络出口的设备，包括：

识别单元，用于识别待检测的数据流是属于HTTP流还是非HTTP流；

DFI检测单元，用于在所述识别单元识别出所述数据流为非HTTP流时，对所述数据流进行如下DFI检测：检测本地的DFI规则库中是否存在至少包含以下内容的DFI规则：所述数据流携带的目的IP地址、目的端口号、协议号，在所述DFI检测单元的DFI检测结果为是时，判定所述数据流为P2P流，对该数据流执行预先定义的流量控制操作；

统计单元，用于在所述识别单元识别出所述数据流为HTTP流，或者在DFI检测单元的DFI检测结果为否时，开始统计单位时间内属于所述数据流的前N个报文的总流量M，N大于1，在该统计出的总流量M小于第一设定流量阈值或者单位时间内属于所述数据流的报文数量小于N时，判定所述数据流为非P2P流，