�(wǎng)路分流器(Network probe),包括常用�2.5G分流��10G分流��40G分流器和�(cè)試接入端口(TAP),是一�(gè)硬件�(shè)�,它直接插入到網(wǎng)�(luò)電纜和發(fā)送一份網(wǎng)�(luò)通信給其它設(shè)��
�(wǎng)�(luò)分流器通常用于�(wǎng)�(luò)入侵檢測(cè)系統(tǒng) (IDS�,網(wǎng)�(luò)探測(cè)器和分析器。端口鏡�。分流模�,是將被�(jiān)控的UTP鏈路(非屏蔽鏈路)用TAP分流�(shè)備一分為�,分流出�(lái)的數(shù)�(jù)接入采集接口,為互聯(lián)�(wǎng)信息安全�(jiān)控系�(tǒng)采集�(shù)�(jù)�
�(dú)�
它是一�(gè)�(dú)立的硬件,它不會(huì)�(duì)已有�(wǎng)�(luò)�(shè)備的�(fù)載帶�(lái)任何影響,這與端口鏡像等方式相比具有極大的�(yōu)�(shì)�
它是一種在線(in-line)的�(shè)�,簡(jiǎn)單一�(diǎn)�(shuō)就是它需要串接到�(wǎng)�(luò)�。但是,這也帶來(lái)了一�(gè)缺點(diǎn),那就是引入了一�(gè)故障�(diǎn),同�(shí)也正是因?yàn)樗且粋�(gè)在線�(shè)�,所以在部署�(shí),需要中斷當(dāng)前網(wǎng)�(luò),當(dāng)然具體中斷的影響需要看它部署的地方�
透明
透明的含義是指針�(duì)�(dāng)前網(wǎng)�(luò)。接入網(wǎng)�(luò)分流器后,對(duì)于當(dāng)前網(wǎng)�(luò)中的所有設(shè)備,�(méi)有任何影�,對(duì)于它們而言完全是透明的,�(dāng)然這也包含�(wǎng)�(luò)分流器將流量送給�(jiān)控設(shè)�,這�(gè)�(jiān)控設(shè)備對(duì)�(wǎng)�(luò)而言也是透明的�
通過(guò)�(duì)�(wǎng)�(luò)分流器輸入數(shù)�(jù),�(jìn)行復(fù)制、匯�、過(guò)�,通過(guò)�(xié)議轉(zhuǎn)換把�(wàn)兆POS�(shù)�(jù)�(zhuǎn)換成千兆LAN�(shù)�(jù),按照特定的算法�(jìn)行負(fù)載均衡輸�,輸出的同時(shí)保證同一�(huì)話的所有數(shù)�(jù)�,或者同一IP用戶的所有數(shù)�(jù)包從同一�(gè)接口輸出�
1、協(xié)議轉(zhuǎn)�
由于ISP采用的主流互�(lián)�(wǎng)�(shù)�(jù)通訊接口�40G POS�10G POS/WAN/LAN�2.5G POS、GE�,而應(yīng)用服�(wù)器通常采用的數(shù)�(jù)接收接口為GE�10GE LAN接口,所以通常大家在互�(lián)�(wǎng)通信接口上提到的�(xié)議轉(zhuǎn)換主要是�40G POS�10G POS�2.5G POS�10GE LAN或者GE之間的轉(zhuǎn)��10GE WAN�10GE LAN、GE的雙向協(xié)�(zhuǎn)�
2、數(shù)�(jù)采集、分流�
多數(shù)的數(shù)�(jù)采集�(yīng)�,基本都只是提取所�(guān)心的流量,丟棄不�(guān)心的流量。對(duì)于關(guān)心的流量通過(guò)五元組(源IP、目的IP、源端口、目的端�、協(xié)議)收斂的方式來(lái)提取特定IP、特定協(xié)�、特定端口的�(shù)�(jù)流量。輸出時(shí),根�(jù)特定的HASH算法,確保同源同宿、負(fù)載均衡輸��
3、特征碼�(guò)�
�(duì)于P2P流量的采集,�(yīng)用系�(tǒng)很可能只�(guān)注其中特定的某些流量,比如:流媒體PPStream、BT、迅�、以及http上常�(jiàn)的關(guān)鍵字GET和POST等特征碼�,均可采用特征碼匹配的方式�(jìn)行提取和收斂。分流器支持固定位置特征碼過(guò)濾、浮�(dòng)特征碼過(guò)�。浮�(dòng)特征碼即在固定位置特征碼�(shí)�(xiàn)的基�(chǔ)上指定的偏移�,適用于明確需要過(guò)濾的特征�,但不明確特征碼具體位置的應(yīng)��
4、會(huì)話管�
�(duì)�(huì)話連接�(jìn)行流量識(shí)�,并可靈活配置會(huì)話轉(zhuǎn)�(fā)N值(N=1�1024�。即將每條會(huì)話的前N�(gè)�(bào)文提取轉(zhuǎn)�(fā)給后端的�(yīng)用分析系�(tǒng),丟棄N值之后的�(bào)文,為下游的�(yīng)用分析平�(tái)節(jié)約了資源�(kāi)�。通常在用IDS�(jiān)�(cè)事件的時(shí)�,就不需要處理整條會(huì)話所有包,僅需要轉(zhuǎn)提取每條�(huì)話的前N�(gè)包即可完成事件的分析和監(jiān)�(cè)�
5、數(shù)�(jù)鏡像、復(fù)�
分流器可�(shí)�(xiàn)�(duì)輸出接口上數(shù)�(jù)的鏡像和�(fù)�,保證了多套�(yīng)用系�(tǒng)的數(shù)�(jù)接入�
6�3G�(wǎng)�(luò)�(shù)�(jù)采集分流
3G�(wǎng)�(luò)�(shù)�(jù)的采集分流區(qū)別于傳統(tǒng)的網(wǎng)�(luò)分析模式�3G�(wǎng)�(luò)中的�(bào)文經(jīng)�(guò)多層封裝在骨干鏈路中傳輸,報(bào)文長(zhǎng)度、封裝格式都與普通網(wǎng)�(luò)中的�(bào)文有較大區(qū)�,因此簡(jiǎn)單針�(duì)五元�、特征碼等�(jìn)行過(guò)濾分析是不可行的;分流器具有多層封裝格式分析功能,能�(zhǔn)確識(shí)別和處理GTP、GRE等隧道協(xié)議以及多層MPLS、VLAN�(biāo)簽數(shù)�(jù)�,可根據(jù)�(bào)文特征提取IUPS信令�(bào)�、GTP信令�(bào)文、Radius�(bào)文到指定端口,同�(shí)還可以根�(jù)�(nèi)層IP�(jìn)行分�,支持超大包(MTU>1522 Byte)處理,可以完美�(shí)�(xiàn)3G�(wǎng)�(luò)�(shù)�(jù)的采集與分流�(yīng)��
支持按L2-L7�(yīng)用協(xié)議來(lái)分流�
支持按照源IP、目的IP、源端口、目的端�、協(xié)議等精確和帶掩碼�5元組�(guò)��
支持輸出�(fù)載均�、輸出同源同宿�
支持按照字符串特征碼�(guò)濾轉(zhuǎn)�(fā)�
支持�(huì)話管�。轉(zhuǎn)�(fā)每條�(huì)話的前N�(gè)�(shù)�(jù)�,N值可以自行指��
支持多用戶。命中同一條規(guī)則的�(shù)�(jù)包可以同�(shí)提供給第三方,或者可�(duì)輸出接口上數(shù)�(jù)的鏡像和�(fù)制,保證了多套應(yīng)用系�(tǒng)的數(shù)�(jù)接入�