高速I(mǎi)P網(wǎng)絡(luò)流量捕獲監(jiān)測(cè)技術(shù)研究.pdf

1、伴隨著自身技術(shù)的不斷進(jìn)步，自20世紀(jì)90年代以來(lái)，以TCP/IP協(xié)議為核心協(xié)議的互聯(lián)網(wǎng)(Internet)在全球范圍內(nèi)以前所未有的速度迅速普及。目前互聯(lián)網(wǎng)已經(jīng)成為現(xiàn)代社會(huì)中最重要的信息基礎(chǔ)設(shè)施。網(wǎng)絡(luò)規(guī)模擴(kuò)大，異構(gòu)性和復(fù)雜性不斷提高，網(wǎng)絡(luò)應(yīng)用不斷增加，使得網(wǎng)絡(luò)日益普及。但人們對(duì)網(wǎng)絡(luò)性能等并不感到滿(mǎn)意。 當(dāng)前網(wǎng)絡(luò)需要滿(mǎn)足高可靠性、高性能的服務(wù)需求。除了需要設(shè)計(jì)高效網(wǎng)絡(luò)協(xié)議，開(kāi)發(fā)高性能網(wǎng)絡(luò)設(shè)備，通過(guò)流量工程實(shí)現(xiàn)網(wǎng)絡(luò)負(fù)載合理分布與保證關(guān)

2、鍵業(yè)務(wù)性能至關(guān)重要。因此需要定量地了解各層次協(xié)議的網(wǎng)絡(luò)流量和業(yè)務(wù)流的使用分布、增長(zhǎng)趨勢(shì)等特征指標(biāo)，建立精確的網(wǎng)絡(luò)流量模型與業(yè)務(wù)流流量、性能模型，發(fā)現(xiàn)影響或者限制網(wǎng)絡(luò)性能的關(guān)鍵。流量監(jiān)測(cè)是獲得網(wǎng)絡(luò)與業(yè)務(wù)行為特征的直接手段，在協(xié)議設(shè)計(jì)、網(wǎng)絡(luò)規(guī)劃、異常監(jiān)測(cè)、流量工程與性能提升等方面都得到大量應(yīng)用。 SNMP、NetFlow等流量監(jiān)測(cè)方式存在很大局限性；而專(zhuān)用的流量監(jiān)測(cè)設(shè)備如SmartBit等則價(jià)格昂貴。局域網(wǎng)和城域網(wǎng)的網(wǎng)絡(luò)管理者迫切需

3、要通用PC平臺(tái)下的流量捕獲和監(jiān)測(cè)工具來(lái)對(duì)自身網(wǎng)絡(luò)進(jìn)行監(jiān)測(cè)和管理。 本文對(duì)高速網(wǎng)絡(luò)下的流量捕獲技術(shù)開(kāi)展研究。主要工作有： 1)對(duì)目前比較常用的流量捕獲和監(jiān)測(cè)工具Tcpdump及其核心BPF的工作原理進(jìn)行了分析，并針對(duì)BPF在以太網(wǎng)卡被設(shè)置成混雜模式時(shí)存在的問(wèn)題和由此引起的對(duì)BPF編程的問(wèn)題進(jìn)行了分析，并論述了解決的方法。對(duì)BPF的改進(jìn)雖然是在Linux上進(jìn)行的，但應(yīng)能較容易地推廣到其它BSDUnix和由BSD演化而來(lái)的許多

4、Unix實(shí)現(xiàn)中。這樣的改進(jìn)相當(dāng)大地減輕了應(yīng)用程序?qū)PF進(jìn)行編程的負(fù)擔(dān)，或者說(shuō)使BPF為應(yīng)用程序提供了更為友好的接口。 2)本文分析了Windump及其核心部件Winpcap的工作原理和包捕獲過(guò)程。然后，在千兆以太網(wǎng)環(huán)境的多種流量條件下，對(duì)Tcpdump和Windump這兩種工具的數(shù)據(jù)包捕獲能力進(jìn)行全面的實(shí)驗(yàn)和評(píng)估，以對(duì)這兩種工具的包捕獲性能有深入了解并發(fā)現(xiàn)它們存在的問(wèn)題。實(shí)驗(yàn)結(jié)果表明，不論是否保存數(shù)據(jù)包內(nèi)容，或者保存多少數(shù)據(jù)包

5、內(nèi)容，幾種工具都遠(yuǎn)遠(yuǎn)不能達(dá)到1000Mbps的鏈路速率。這兩種工具在千兆網(wǎng)絡(luò)環(huán)境下包捕獲性能較差，都不能達(dá)到線速包捕獲能力，需要改進(jìn)。 3)本文分析了傳統(tǒng)的基于中斷的包捕獲機(jī)制所存在的性能瓶頸，首先是高包到達(dá)速率情況下中斷方式的CPU開(kāi)銷(xiāo)過(guò)大，其次數(shù)據(jù)包從網(wǎng)卡到用戶(hù)空間的內(nèi)存拷貝次數(shù)過(guò)多。因此本文提出了一種基于輪詢(xún)的包捕獲方法并通過(guò)用戶(hù)空間與網(wǎng)卡的直接交互，縮短數(shù)據(jù)包在系統(tǒng)的行走路徑，減少了內(nèi)存拷貝，極大的節(jié)省了包捕獲時(shí)CPU的