1概 述

隨著信息技術和網絡應用以幾何性和爆炸性的速度急劇發展，如何在新經濟格局中尋找和建立新的市場定位，改造和完善價值鏈，提升競爭實力，確保并不斷提高市場份額，成為眾多行業和企業所面臨的嚴峻課題．

為了保護電信級運營商的利益最大化，本文提出了一套符合電信級網絡應用的網關設備的設計方案，該QoS設備可以對網關上行發送流量中的視頻及語音信息進行流量的整形，而下行方向的流量直接透傳，從而達到了將網絡數據報文進行緩沖和對敏感數據進行控制的功能。

本系統是作為網絡系統數據及流量的監控管理的網關設備，具有一個千兆/百兆接口，接收網絡環境的上行數據，系統對這些上行的網絡數據進行分析，流量統計等工作。一個百兆管理控制接口，用戶使用該接口進行遠程的管理和控制，定制系統的監控行為及各種運行參數，系統同時通過該接口輸出匯總數據。原理如圖1所示。

該設備的千兆接口監聽網絡拓樸中網關出口處的數據，例如可以將交換機的報文鏡像到一千兆接口，再接入到Monitor設備的千兆接口。

2 總體設計

2.1系統描述

該系統是一套網絡運行信息的監控、分析、管理的網絡管理服務系統。統計網絡環境中各種應用及協議的運行數據的統計信息；詳細跟蹤分析特定的協議或應用報文，智能的追蹤特定的網絡服務的運行情況，例如Voip服務的使用頻率，服務使用者的地址范圍，使用時間等屬性。

用戶通過Web頁面進行遠端控制，可以設置各項功能參數，查詢系統的運行狀況，查看詳細的數據統計報表。

具有部分IDS安全監控防范功能，分析并記錄有關的涉及到安全的網絡敏感操作，如網絡非法訪問、碎片攻擊、DDOS攻擊等。提供安全服務的接口，無縫的接入到網絡

安全系統中，如可與防火墻及IDS進行聯動，作為網絡安全的一個輔助設備。

2．2 總體設計說明

系統實現的基礎是需要高性能的網絡包過濾及分析，目前實現該功能有兩種方案：

（1）改造基于BPF的包過濾驅動，但由于他的原理是通過兩次的分組拷貝，應用分析的數據是在應用層的分組，所以造成了處理速度緩慢，采用該架構要改善原有實

現中的性能瓶頸。

（2）更改現有的網卡驅動，增加分組報文的過濾和協議分析模塊，提供保存分組緩存的方法，為應用操作緩存提供安全的調用接口，使應用能夠直接訪問內核緩存區中的報文，以此提高系統的處理能力和系統的處理帶寬。

2．3 系統結構和處理流程

2．3．1 系統結構

系統主要包括的模塊：

網絡偵聽；流量統計；報文過濾；數據監控；管理控制；匯總數據；安全接口；分組接收發送。

系統結構圖如圖2所示。

2．3．2 處理流程

分組過濾引擎：

（1）基于千兆網卡Driver驅動程序的引擎，根據用戶定制的分析規則，對分組進行協議分析，以統計網絡的流量，分析處理過程不進行深層次的報文內容分析和匹配操

作，分析后的數據記錄到流量統計數據變量中。

（2）根據控制代理的設置，對分組進行篩選過濾，符合條件的分組被送入內核中的環形緩存隊列中，系統可支持多個隊列，緩沖區的最大值限制為64M，如超過該限制，后續需插入隊列的分組被丟棄。

（3）在用戶層，以多進程（線程）方式運行分組監控和分析的任務，通過一虛擬的驅動系統調用，與網絡驅動共享內核中緩沖區中的分組過濾報文。

（4）監控及分析的結果提交給數據匯總的任務，由他將結果記錄到數據庫中。

（5）遠程管理通過調度任務控制底層的分組過濾及分析動作；當統計數據庫中發現有一定量異常的非法分組記錄時，啟動安全接口進行提醒網管員或與防火墻等安全設

備進行互動。

（6）用戶通過遠程Web頁面查看統計數據庫中的匯總報表。

（7）任務調度記錄每次操作的日志。

（8）業務分析及追蹤模塊基于統計數據庫中的數據記

錄，分析各種服務的使用情況，使用者的網絡范圍，時間等。

3接口設計

（1）用戶接口

提供友好的Web頁面遠程控制、管理及詳細可定制的匯總報表，用戶還可通過串口進行管理。

（2）硬件接口 包括一個百兆自適應電口，一個千兆自適應電口或光口，一個串口。

4屬性設計

（1）可靠性

能夠達到百兆以上的線速處理能力，低誤報及錯報處理延時等性能參數待定。

（2）安全性

包括冗余電源，系統的自身安全的加固。

5開發環境

（1）硬件環境

采用XEON處理器，服務器主板。

（2）軟件環境

基于FreeBSD的操作系統，采用Intel千兆網卡驅動

程序。

6結 語

根據市場需求，本文探討了網絡數據監控及管理涉及的一些最新技術，提出了一套符合電信級網絡應用的網關設備的設計方案，從而實現了將網絡數據報文進行緩沖和對敏感數據進行控制的功能。

責任編輯：ct