高速IP網(wǎng)絡(luò)流量捕獲監(jiān)測技術(shù)研究.pdf

1、伴隨著自身技術(shù)的不斷進步，自20世紀(jì)90年代以來，以TCP/IP協(xié)議為核心協(xié)議的互聯(lián)網(wǎng)(Internet)在全球范圍內(nèi)以前所未有的速度迅速普及。目前互聯(lián)網(wǎng)已經(jīng)成為現(xiàn)代社會中最重要的信息基礎(chǔ)設(shè)施。網(wǎng)絡(luò)規(guī)模擴大，異構(gòu)性和復(fù)雜性不斷提高，網(wǎng)絡(luò)應(yīng)用不斷增加，使得網(wǎng)絡(luò)日益普及。但人們對網(wǎng)絡(luò)性能等并不感到滿意。 當(dāng)前網(wǎng)絡(luò)需要滿足高可靠性、高性能的服務(wù)需求。除了需要設(shè)計高效網(wǎng)絡(luò)協(xié)議，開發(fā)高性能網(wǎng)絡(luò)設(shè)備，通過流量工程實現(xiàn)網(wǎng)絡(luò)負(fù)載合理分布與保證關(guān)

2、鍵業(yè)務(wù)性能至關(guān)重要。因此需要定量地了解各層次協(xié)議的網(wǎng)絡(luò)流量和業(yè)務(wù)流的使用分布、增長趨勢等特征指標(biāo)，建立精確的網(wǎng)絡(luò)流量模型與業(yè)務(wù)流流量、性能模型，發(fā)現(xiàn)影響或者限制網(wǎng)絡(luò)性能的關(guān)鍵。流量監(jiān)測是獲得網(wǎng)絡(luò)與業(yè)務(wù)行為特征的直接手段，在協(xié)議設(shè)計、網(wǎng)絡(luò)規(guī)劃、異常監(jiān)測、流量工程與性能提升等方面都得到大量應(yīng)用。 SNMP、NetFlow等流量監(jiān)測方式存在很大局限性；而專用的流量監(jiān)測設(shè)備如SmartBit等則價格昂貴。局域網(wǎng)和城域網(wǎng)的網(wǎng)絡(luò)管理者迫切需

3、要通用PC平臺下的流量捕獲和監(jiān)測工具來對自身網(wǎng)絡(luò)進行監(jiān)測和管理。 本文對高速網(wǎng)絡(luò)下的流量捕獲技術(shù)開展研究。主要工作有： 1)對目前比較常用的流量捕獲和監(jiān)測工具Tcpdump及其核心BPF的工作原理進行了分析，并針對BPF在以太網(wǎng)卡被設(shè)置成混雜模式時存在的問題和由此引起的對BPF編程的問題進行了分析，并論述了解決的方法。對BPF的改進雖然是在Linux上進行的，但應(yīng)能較容易地推廣到其它BSDUnix和由BSD演化而來的許多

4、Unix實現(xiàn)中。這樣的改進相當(dāng)大地減輕了應(yīng)用程序?qū)PF進行編程的負(fù)擔(dān)，或者說使BPF為應(yīng)用程序提供了更為友好的接口。 2)本文分析了Windump及其核心部件Winpcap的工作原理和包捕獲過程。然后，在千兆以太網(wǎng)環(huán)境的多種流量條件下，對Tcpdump和Windump這兩種工具的數(shù)據(jù)包捕獲能力進行全面的實驗和評估，以對這兩種工具的包捕獲性能有深入了解并發(fā)現(xiàn)它們存在的問題。實驗結(jié)果表明，不論是否保存數(shù)據(jù)包內(nèi)容，或者保存多少數(shù)據(jù)包

5、內(nèi)容，幾種工具都遠(yuǎn)遠(yuǎn)不能達(dá)到1000Mbps的鏈路速率。這兩種工具在千兆網(wǎng)絡(luò)環(huán)境下包捕獲性能較差，都不能達(dá)到線速包捕獲能力，需要改進。 3)本文分析了傳統(tǒng)的基于中斷的包捕獲機制所存在的性能瓶頸，首先是高包到達(dá)速率情況下中斷方式的CPU開銷過大，其次數(shù)據(jù)包從網(wǎng)卡到用戶空間的內(nèi)存拷貝次數(shù)過多。因此本文提出了一種基于輪詢的包捕獲方法并通過用戶空間與網(wǎng)卡的直接交互，縮短數(shù)據(jù)包在系統(tǒng)的行走路徑，減少了內(nèi)存拷貝，極大的節(jié)省了包捕獲時CPU的