arrow

You are here: SunGate » Products » Technology

SUNGATE TRAFFIC核心技术

Internet的普及使网络带宽消耗的问题日渐成为网络管理关注的重点。

传统的网络设备如交换机、路由器和防火墙提供的流控功能一般都是附件模块，受限于硬件和软件算法而只能做到上下行限制，无法对带宽进行精确处理和有效控制，在应对大流量网络环境时更是捉襟见肘。

当前专业的流量管理设备主要依赖DPI（深度包检测）或DFI技术，因此仍然存在令人担忧的各种问题。巨大的维护量（包括定期升级费）、不能识别新版本的应用流和经过伪装的数据，还有最大的问题是：当超过1G流量时，这些流量管理产品都“有时有效、有时失灵，网络也时好时坏”了.

  • 深度数据包检测（DPI）到底有用吗

    DPI技术的原理是对数据包进行拆包解析，以判断该数据包是属于什么协议、应用。DPI已被广泛应用于各种领域，而在流量管理产品中，DPI还被各厂家冠以EPI（精确包检测）、七层应用检测等头衔。事实上，大部分厂商的DPI技术就是去检测数据包头的几个字节以判断其协议和应用；复杂一点还会检测连接状态、反向解析协议包头。

    由于DPI技术可精确区分不同类型应用的数据流，所以用户借此可精细控制网络中各种应用占据的流量，例如仅仅遏制那些极易造成网络拥塞的P2P流量而不影响其他正常应用。

    然而，由于DPI技术需要检测数据包头字节或检测连接状态，因此产生了准确度、盲点和性能瓶颈三个问题。

    准确度：无论DPI如何更新协议库，和实际网络中的应用相比，必然会有大部分应用无法识别：一般DPI产品能识别的应用不超过1000种，而一个大型网络的应用数以万计。这样造成了所谓的“未知流量”。对于未知流量，如果过于限制，必然要影响那些无法识别的正常的应用，如果不做限制，那些无法识别的P2P应用必然耗尽带宽。此外，各种应用协议是交互的、动态的，限制一种应用协议可能会影响到其它正常的应用协议，以上这些问题造成依赖DPI的产品准确度非常不高。

    盲点：现在很多P2P协议采用加密协议，而DPI技术对于破解这些协议并解析其中的数据包束手无策；另一些应用经常通过升级方法变换协议，还有些干脆采用Shell程序伪装自己的数据包，这些对于DPI技术都是盲点；最后，VPN连接由于加密了所有数据，所以对于用VPN连接的应用，DPI望尘莫及。

    性能瓶颈：依赖DPI技术的产品性能很低，通常单向三五百兆的带宽，其每秒数据包为10万-15万，如果是单向4G，其每秒数据包通常要超过150万，你能想象DPI产品要对每个数据包进行拆包解包从而判断各种应用？这是任何硬件产品都无法做到的。所以DPI产品只能采用抽样的算法，带宽越大，抽样比例越低，否则硬件无法支持，这造成的直接后果就是DPI的识别时灵时不灵，网络状况时好时坏。

    此外，从成本角度来说，最终用户需要不停购买升级，否则随着应用的变化和升级，DPI产品将毫无用处；从管理角度而言，厂家需要经常更新协议库，最终用户需要经常更新策略，非常麻烦。

    【DPI适应环境】在小规模网络中，DPI技术能帮助用户检测和管控主要的网络应用流量，以保护用户认为重要的应用（比如上网、收发邮件、ERP、在线游戏、视频等）的流量，遏制滥用带宽的应用（比如P2P等）。

    因此，只要是主流和简单（不会经常更新版本、没通过加密和加Shell）的应用数据流，并且流量不是很大（300M以下）时，这种流控方式能较好地满足用户功能。

  • 流量管理的技术种类

    流量管理产品的本质是改变或优化内部到外部的数据流。市面上有几种不同方式处理数据流的产品，以队列方式和TCP速率（窗口）方式为主。

    【队列方式】以CBQ队列为代表。在队列方式中，所有数据根据数据类别来排列，然后按照不同数据类别的优先级别或时间顺序进行先进先出的方式进行处理，这样可以控制队列中的数据流，确保高优先级的数据流总是比低优先级的数据流要先处理。

    CBQ的好处是在于可以根据应用来控制数据流，比如重要的应用如Citrix、ERP、VPN等优先处理，而P2P等滞后处理，从而达到优化网络流量的目的；而CBQ的劣势也非常明显，就是在给数据流进行分类所带来的延时，同时只能控制出外的流量，对于大型网络如校园网或ISP等，控制成千上百个数据类别所带来的延时是无法接受的，特别是CBQ采用轮询的方式处理队列，当队列中的数据流越多，处理的效率就越低。因此，CBQ通常只适用于小型网络。

    【TCP速率控制】另一种流控方式是调整TCP速率，即通过改变TCP窗口和ACK回应包来调整数据流的速度（只对TCP流量有效）。通过对TCP滑动窗口的调节，直接控制发送端在网络拥塞或有更高优先级的业务需要带宽的情况下，降低发送的流量，在还没有形成拥塞的时候就主动地防止拥塞发生；另外通过控制TCP的ACK信息的传递时间，来控制发送端的信息流发送时间，从而也从另一个角度主动地避免拥塞的发生。这种工作方式提高了整体处理的性能，可以从根本上减少网络的整体延时。

    然而，由于每个用户都可以建立多个实时的并发连接，TCP速率控制只控制用户的每个连接连接，而不是该用户整个的带宽，而绝大多数客户希望控制每个用户的带宽不会过高；对于每个连接都需要有调整的时间，而对于任何一个连接的调整都是不同的，应对大型网络下许许多多不同的TCP窗口的更改，这种方式效率非常低下；此外，使用TCP速率控制，对于每个TCP的连接都需要分部进行监控和调整，每个IP头都需要重建，导致设备资源大量消耗，性能受到极大影响；TCP速率控制对UDP包、加密数据包也没有效果，这意味着VPN、某些P2P应用将不受控制。

  • SUNGATE TRAFFIC核心技术

    SunGate Traffic综合了上述两种技术，在这两种技术的基础上进行了优化并结合起来进行流量管理。通过采用PPS（数据包流量控制）技术、自适应窗口控制和整体时延控制等技术，以及独有的自动流量管理、网络时延消除、动态流控调整、流量压缩等技术，共同创造并形成了一个平滑、均匀的流动速率，从而最大化吞吐率，极大提升了设备处理性能，并避免了网络的拥塞。

    PPS控制技术：独有技术，可以准确自动定位网络中恶意流量,并进行自动消除。

    识别滥用带宽：可自动识别滥用带宽用户，并自动加以限制；根据网络流量负荷自动调整用户可以使用的带宽。

    网络延时自动消除技术：SunGate Traffic可以在带宽即将满载的时候自动消除造成网络延时的连接,确保网络流量的畅通。

    丰富的带宽管理功能：包括TCP/UDP速率控制,反向流用户量策略,权重策略等，并具备自动识别缓存和非缓存流量、识别特定网页和指定的URL进行流控和优先级别分配。

    虚拟设备机制：独有技术，通过一台安畅带宽管理网关QoS-GW管理多个独立的网络并制定完全不同的流量管理策略。