P2P應(yīng)用識別與控制技術(shù)白皮書
來源：賽迪網(wǎng)
1.1 背景
P2P是peer-to-peer的縮寫，peer在英語里有"（地位、能力等）同等者"、"同事"和"伙伴"等意義。這樣一來，P2P也就可以理解為"伙伴對伙伴"的意思，或稱為對等聯(lián)網(wǎng)。目前人們認(rèn)為其在加強(qiáng)網(wǎng)絡(luò)上人的交流、文件交換、分布計算等方面大有前途。
P2P還是point to point 點(diǎn)對點(diǎn)下載的意思，它是下載術(shù)語，意思是在你自己下載的同時，自己的電腦還要繼續(xù)做主機(jī)上傳，這種下載方式，人越多速度越快，但缺點(diǎn)是對你的硬盤損傷比較大（在寫的同時還要讀），還有就是對你內(nèi)存占用較多，影響整機(jī)速度！
德國互聯(lián)網(wǎng)調(diào)研機(jī)構(gòu)ipoque稱，P2P已經(jīng)徹底統(tǒng)治了當(dāng)今的互聯(lián)網(wǎng)，其中50-90％的總流量都來自P2P程序。在P2P程序里，BitTorrent已經(jīng)超過eDonkey(含eMule)，占了P2P流量的50~70％，而后者根據(jù)地區(qū)不同份額為5~50％，不過在某些地方，eDonkey仍是P2P首選。
P2P(Peer-to-Peer)技術(shù)自出現(xiàn)以來，便得到了快速的普及和發(fā)展，尤其是應(yīng)用最為廣泛的P2P文件共享技術(shù)。由于P2P軟件不斷地進(jìn)行更新，新的P2P軟件也在不斷涌現(xiàn)，并且P2P用戶所共享的文件大多是最新或者最流行的，越來越多的人被吸引到P2P的陣營當(dāng)中，P2P流量在整個網(wǎng)絡(luò)流量中的比重與日俱增。據(jù)統(tǒng)計，僅在短短的幾年時間內(nèi)，P2P流量已經(jīng)占據(jù)了固定網(wǎng)絡(luò)中6O 以上的帶寬，對Web，Email等其他網(wǎng)絡(luò)服務(wù)構(gòu)成了嚴(yán)重威脅。于是，如何識別P2P流量以及對其進(jìn)行控制，漸漸成為了人們比較關(guān)心的問題。
基于P2P技術(shù)開發(fā)的軟件，具有如下幾個典型特征：
1、軟件類型非常繁多，且采用的通信協(xié)議不規(guī)范，不標(biāo)準(zhǔn)；
2、每一個主機(jī)既是服務(wù)器，也是客戶端，沒有明顯的中央控制單元，流量具有網(wǎng)狀連接特征，很難識別；
3、網(wǎng)絡(luò)逃避運(yùn)營商等對P2P業(yè)務(wù)的控制，普遍采用加密傳輸、頻繁更新協(xié)議特征等技術(shù)，導(dǎo)致識別控制困難。
1.2 傳統(tǒng)P2P應(yīng)用識別與控制方法
到目前為止傳統(tǒng)的P2P應(yīng)用識別與控制方法主要有如下四類：
第一類技術(shù)：利用端口進(jìn)行P2P流量識別即對各種P2P軟件的相應(yīng)流量進(jìn)行研究，并歸納出常用的一個或多個固定端口(如KuGoo軟件通用的商業(yè)端口是7000)。然后在流量檢測過程中，一旦發(fā)現(xiàn)有流量的端日與已歸納出的端口相同，就可以確定該流量屬于P2P流量，并屬于某一種P2P軟件引。但是對于利用端口識別P2P流量，現(xiàn)在大多數(shù)P2P軟件都不再使用固定端口，或使用動態(tài)端口，或在軟件中設(shè)有端口設(shè)置功能供用戶自行設(shè)置端口，甚至有的P2P軟件使用8O等其它業(yè)務(wù)的固定端口號，以欺騙流量檢測設(shè)備。
第二類技術(shù)：用關(guān)鍵字進(jìn)行P2P流量識別也是在研究各種P2P軟件相應(yīng)流量的基礎(chǔ)上實(shí)現(xiàn)的。這時對流量研究的目的不再是歸納特征端口，而是歸納出流量所有數(shù)據(jù)包中都含有的或者出現(xiàn)頻率最高的特征字符串即關(guān)鍵字，一般關(guān)鍵字的出現(xiàn)位置也是有嚴(yán)格要求的。然后在流量檢測過程中，對數(shù)據(jù)包進(jìn)行深度檢測。如果關(guān)鍵字匹配成功，就可以確定該流量屬于P2P流量及其所屬軟件類別。但是隨著P2P技術(shù)的不斷發(fā)展，上述方法已出現(xiàn)了明顯的弊端。對于利用關(guān)鍵字識別P2P流量，關(guān)鍵字符串的部分或全部字節(jié)可能隨軟件的運(yùn)行環(huán)境、版本等的改變而改變。
第三類技術(shù)：就是利用大于1024的TCP/UDP端口數(shù)進(jìn)行P2P識別的技術(shù)。但是，該方法無法將P2P業(yè)務(wù)和端口掃描、DdoS攻擊等類型的流量區(qū)分開來。
第四類技術(shù)：利用IP地址連接的通信對端IP地址的數(shù)量進(jìn)行P2P識別的技術(shù)。但是該方法無法區(qū)分一個IP地址是否屬于一個為眾多用戶提供服務(wù)器的設(shè)備，還是一個用戶在大量發(fā)起P2P連接。
因此綜上所述，傳統(tǒng)的P2P應(yīng)用識別技術(shù)已經(jīng)不能應(yīng)對P2P技術(shù)本身的發(fā)展和變化了。
1.3 BMC P2P應(yīng)用識別與控制技術(shù)概述
