高速IP網(wǎng)絡流量捕獲監(jiān)測技術研究.pdf

1、伴隨著自身技術的不斷進步，自20世紀90年代以來，以TCP/IP協(xié)議為核心協(xié)議的互聯(lián)網(wǎng)(Internet)在全球范圍內以前所未有的速度迅速普及。目前互聯(lián)網(wǎng)已經(jīng)成為現(xiàn)代社會中最重要的信息基礎設施。網(wǎng)絡規(guī)模擴大，異構性和復雜性不斷提高，網(wǎng)絡應用不斷增加，使得網(wǎng)絡日益普及。但人們對網(wǎng)絡性能等并不感到滿意。 當前網(wǎng)絡需要滿足高可靠性、高性能的服務需求。除了需要設計高效網(wǎng)絡協(xié)議，開發(fā)高性能網(wǎng)絡設備，通過流量工程實現(xiàn)網(wǎng)絡負載合理分布與保證關

2、鍵業(yè)務性能至關重要。因此需要定量地了解各層次協(xié)議的網(wǎng)絡流量和業(yè)務流的使用分布、增長趨勢等特征指標，建立精確的網(wǎng)絡流量模型與業(yè)務流流量、性能模型，發(fā)現(xiàn)影響或者限制網(wǎng)絡性能的關鍵。流量監(jiān)測是獲得網(wǎng)絡與業(yè)務行為特征的直接手段，在協(xié)議設計、網(wǎng)絡規(guī)劃、異常監(jiān)測、流量工程與性能提升等方面都得到大量應用。 SNMP、NetFlow等流量監(jiān)測方式存在很大局限性；而專用的流量監(jiān)測設備如SmartBit等則價格昂貴。局域網(wǎng)和城域網(wǎng)的網(wǎng)絡管理者迫切需

3、要通用PC平臺下的流量捕獲和監(jiān)測工具來對自身網(wǎng)絡進行監(jiān)測和管理。 本文對高速網(wǎng)絡下的流量捕獲技術開展研究。主要工作有： 1)對目前比較常用的流量捕獲和監(jiān)測工具Tcpdump及其核心BPF的工作原理進行了分析，并針對BPF在以太網(wǎng)卡被設置成混雜模式時存在的問題和由此引起的對BPF編程的問題進行了分析，并論述了解決的方法。對BPF的改進雖然是在Linux上進行的，但應能較容易地推廣到其它BSDUnix和由BSD演化而來的許多

4、Unix實現(xiàn)中。這樣的改進相當大地減輕了應用程序對BPF進行編程的負擔，或者說使BPF為應用程序提供了更為友好的接口。 2)本文分析了Windump及其核心部件Winpcap的工作原理和包捕獲過程。然后，在千兆以太網(wǎng)環(huán)境的多種流量條件下，對Tcpdump和Windump這兩種工具的數(shù)據(jù)包捕獲能力進行全面的實驗和評估，以對這兩種工具的包捕獲性能有深入了解并發(fā)現(xiàn)它們存在的問題。實驗結果表明，不論是否保存數(shù)據(jù)包內容，或者保存多少數(shù)據(jù)包

5、內容，幾種工具都遠遠不能達到1000Mbps的鏈路速率。這兩種工具在千兆網(wǎng)絡環(huán)境下包捕獲性能較差，都不能達到線速包捕獲能力，需要改進。 3)本文分析了傳統(tǒng)的基于中斷的包捕獲機制所存在的性能瓶頸，首先是高包到達速率情況下中斷方式的CPU開銷過大，其次數(shù)據(jù)包從網(wǎng)卡到用戶空間的內存拷貝次數(shù)過多。因此本文提出了一種基于輪詢的包捕獲方法并通過用戶空間與網(wǎng)卡的直接交互，縮短數(shù)據(jù)包在系統(tǒng)的行走路徑，減少了內存拷貝，極大的節(jié)省了包捕獲時CPU的