伍岳（中國移動通信集團四川有限公司，成都 610041）

?

電信運營商DPI系統(tǒng)優(yōu)化建設(shè)研究

伍岳
（中國移動通信集團四川有限公司，成都 610041）

摘 要本文通過對某省級電信運營商DPI系統(tǒng)建設(shè)中出現(xiàn)的煙囪式部署方式進行深入分析，在現(xiàn)階段DPI主要應(yīng)用場景的基礎(chǔ)上，提出了基于統(tǒng)一DPI設(shè)備的系統(tǒng)優(yōu)化建設(shè)思路。

關(guān)鍵詞DPI; 大數(shù)據(jù); 流量經(jīng)營; IP網(wǎng)

1　DPI技術(shù)簡介

DPI(Deep Packet Inspection，深度分組檢測技術(shù))是一種基于應(yīng)用層的流量檢測和控制技術(shù)。DPI技術(shù)是相對普通報文檢測而言的一種新的檢測技術(shù)，即對應(yīng)用層的內(nèi)容（凈荷）進行深度分析，從而根據(jù)應(yīng)用層的凈荷特征識別其應(yīng)用類型或內(nèi)容。當IP數(shù)據(jù)分組、TCP或者UDP數(shù)據(jù)流經(jīng)過基于DPI技術(shù)的網(wǎng)絡(luò)設(shè)備時，DPI引擎通過深入讀取IP分組載荷的內(nèi)容來對OSI 7層協(xié)議中的應(yīng)用層信息進行重組，從而識別出IP分組的應(yīng)用層協(xié)議，然后按照系統(tǒng)定義的管理策略對流量進行整形操作。

2　某省電信運營商DPI建設(shè)現(xiàn)狀及問題分析

隨著移動互聯(lián)網(wǎng)業(yè)務(wù)的快速發(fā)展，為了對井噴式增長的流量進行有效的管理并進行價值化，DPI技術(shù)已經(jīng)在電信運營商的網(wǎng)絡(luò)中得到了廣泛的應(yīng)用，但DPI系統(tǒng)的建設(shè)也出現(xiàn)了諸多問題，下面以某省級電信運營商網(wǎng)絡(luò)為例做進一步探討。

2.1 某省級電信運營商DPI系統(tǒng)建設(shè)現(xiàn)狀

在建設(shè)類型上，該省級電信運營商DPI設(shè)備主要包括數(shù)據(jù)采集和信令采集兩類，數(shù)據(jù)采集DPI主要部署在Gn/S1-U、Gi、省網(wǎng)出口、省網(wǎng)網(wǎng)間出口、IDC出口、城域網(wǎng)出口及骨干網(wǎng)出口等7個采集點；信令采集DPI主要部署在Gb/Iu-PS、Mc、A口等4個采集點。在建設(shè)規(guī)模上，截至2014年底，該省級電信運營商建設(shè)DPI設(shè)備共310臺。

2.2 某省級電信運營商DPI系統(tǒng)建設(shè)問題分析

該省級電信運營商的DPI系統(tǒng)為分散的煙囪式建設(shè)，各套DPI系統(tǒng)之間相互獨立并為各自的業(yè)務(wù)應(yīng)用服務(wù)，隨著DPI系統(tǒng)規(guī)模的增長，諸多問題開始浮現(xiàn)。

（1）DPI系統(tǒng)重復(fù)建設(shè)：DPI系統(tǒng)存在單點重復(fù)采集、數(shù)據(jù)重復(fù)存儲的情況。以Gn口為例，該省在Gn口共計部署了4套DPI系統(tǒng)為6個業(yè)務(wù)應(yīng)用服務(wù)，從而造成單點的4次重復(fù)采集，最終導(dǎo)致Gn口的DPI系統(tǒng)建設(shè)每年以4倍Gn增長規(guī)模的速度增加。同時，采集的Gn口移動網(wǎng)日志數(shù)據(jù)在集團、省級的3套系統(tǒng)中進行了獨立存儲，出現(xiàn)一份日志數(shù)據(jù)存3遍，存儲系統(tǒng)建3套的現(xiàn)象。

（2）DPI數(shù)據(jù)不統(tǒng)一：DPI系統(tǒng)所采集的數(shù)據(jù)，存在3個方面的數(shù)據(jù)不統(tǒng)一，包括不同廠家數(shù)據(jù)格式的不統(tǒng)一、不同位置采集的數(shù)據(jù)格式（TLV）的不統(tǒng)一、不同DPI系統(tǒng)間數(shù)據(jù)的不統(tǒng)一，最終造成DPI數(shù)據(jù)各說各話，無法實現(xiàn)DPI數(shù)據(jù)的有效利用。

（3） DPI數(shù)據(jù)片面化：如圖1所示，網(wǎng)內(nèi)各域、各系統(tǒng)數(shù)據(jù)采集、存儲/處理、應(yīng)用縱向綁定，大小采集系統(tǒng)林立，DPI數(shù)據(jù)片面化，造成無法端到端呈現(xiàn)全局數(shù)據(jù)，無法形成大數(shù)據(jù)的全視景，最終難以發(fā)揮大數(shù)據(jù)價值。

3　DPI系統(tǒng)優(yōu)化建設(shè)研究

為了進一步的節(jié)約投資并優(yōu)化DPI系統(tǒng)性能，最終為電信運營商的大數(shù)據(jù)運營服務(wù)，在前文分析的基礎(chǔ)上，提出以統(tǒng)一DPI設(shè)備為基礎(chǔ)對現(xiàn)網(wǎng)DPI系統(tǒng)進行優(yōu)化建設(shè)的思路。

3.1 統(tǒng)一DPI設(shè)備

統(tǒng)一DPI是指一套DPI設(shè)備對鏈路上的流量進行采集與識別，并將滿足其它系統(tǒng)所需的流量或分析統(tǒng)計數(shù)據(jù)分發(fā)給各第三方應(yīng)用系統(tǒng)服務(wù)器。網(wǎng)絡(luò)中各類流量管理相關(guān)的應(yīng)用系統(tǒng)，如網(wǎng)間流控、Web Cache、非法VoIP檢測、上網(wǎng)日志留存等，主要由DPI設(shè)備和應(yīng)用服務(wù)器組成。其中，DPI設(shè)備負責數(shù)據(jù)采集、流量分析統(tǒng)計、日志合成，應(yīng)用服務(wù)器主要完成對數(shù)據(jù)的進一步分析處理，合理組織和存儲數(shù)據(jù)，并進行呈現(xiàn)。統(tǒng)一DPI整合了多個第三方應(yīng)用系統(tǒng)的DPI設(shè)備，通過DPI復(fù)用為多個系統(tǒng)提供DPI能力，如圖2所示。

3.2 優(yōu)化建設(shè)思路

3.2.1 整合采集點

由于現(xiàn)網(wǎng)采集點的流量存在一定的交叉重疊，經(jīng)對不同采集點流量特性的分析，如表1所示。在保證業(yè)務(wù)需求的前提下，全網(wǎng)業(yè)務(wù)數(shù)據(jù)采集點可由7個整合至5個，取消Gi和城域網(wǎng)出口采集點，保留S1-U/Gn口、IDC出口、省網(wǎng)出口、省網(wǎng)網(wǎng)間出口和骨干網(wǎng)間出口等5個DPI采集點，如圖3所示。同時，同一個采集點上采用一套統(tǒng)一DPI設(shè)備為多套應(yīng)用系統(tǒng)提供數(shù)據(jù)，實現(xiàn)DPI復(fù)用。

圖1　DPI數(shù)據(jù)片面化

表1　整合采集點流量特性分析

圖2　統(tǒng)一DPI的復(fù)用機制示意圖

3.2.2 DPI數(shù)據(jù)格式規(guī)范化

根據(jù)運營商集團公司統(tǒng)一制定的相關(guān)規(guī)范，對DPI設(shè)備的業(yè)務(wù)識別能力及數(shù)據(jù)格式進行統(tǒng)一，實現(xiàn)不同廠家間、不同位置間、不同DPI系統(tǒng)間的數(shù)據(jù)格式規(guī)范化。

3.2.3 DPI數(shù)據(jù)復(fù)用

按照應(yīng)用系統(tǒng)所需數(shù)據(jù)內(nèi)容和格式的不同，DPI復(fù)用分為4種方式，其中第一種復(fù)用可以由分光器復(fù)用來實現(xiàn)，后3種復(fù)用由統(tǒng)一DPI設(shè)備復(fù)用實現(xiàn)，而通過后3種復(fù)用方式可實現(xiàn)對DPI數(shù)據(jù)高效復(fù)用并最終形成端到端的全局大數(shù)據(jù)場景，如表2所示。

圖3　采集點整合

表2　DPI復(fù)用方式

4　結(jié)束語

在電信運營商加大流量經(jīng)營和大數(shù)據(jù)布局的背景下，歷年以來的DPI系統(tǒng)建設(shè)已經(jīng)出現(xiàn)了重復(fù)建設(shè)和資源浪費的現(xiàn)象。因此，通過統(tǒng)一DPI設(shè)備的應(yīng)用，可以對現(xiàn)網(wǎng)多個獨立并行的DPI系統(tǒng)進行整合，在投資側(cè)減少設(shè)備重復(fù)投資，在網(wǎng)絡(luò)側(cè)實現(xiàn)系統(tǒng)簡約化，在數(shù)據(jù)側(cè)實現(xiàn)全局化，并為電信運營商的大數(shù)據(jù)應(yīng)用提供基礎(chǔ)資源的支撐。

參考文獻

[1] 周俊茂. 統(tǒng)一DPI技術(shù)與應(yīng)用研究[J]. 電信技術(shù), 2015(9).

[2] 左衛(wèi). 基于DPI的網(wǎng)絡(luò)精細化管控技術(shù)研究[J]. 信息安全與通信保密, 2015(1).

[3] 張根喜. DPI技術(shù)在移動分組網(wǎng)中的應(yīng)用研究[J]. 信息通信, 2013(04).

Research about the optimization and construction of DPI system for telecom operators

WU Yue
(China Mobile Group Sichuan Co., Ltd., Chengdu 610041, China)

AbstractThis paper analyzes the construction of the DPI system of a provincial telecommunication operator. Based on the main application scene of DPI, this paper proposes the idea of DPI system construction with unifi ed DPI equipment.

KeywordsDPI; big data; fl ow operation; IP network

News

展訊通信推出紫潭安全解決方案

1月23日，展訊通信（上海）有限公司（簡稱“展訊”）正式推出面向智能手機及物聯(lián)網(wǎng)等應(yīng)用領(lǐng)域的紫潭安全解決方案。該方案作為搭載可控芯片及操作系統(tǒng)的雙OS安全解決方案，將實現(xiàn)從硬件平臺、操作系統(tǒng)以及生物識別等關(guān)鍵技術(shù)的高度安全，從而重新定義國產(chǎn)安全智能終端的標準。

為了應(yīng)對移動終端及物聯(lián)網(wǎng)發(fā)展中日益普及而爆發(fā)的信息安全問題，紫光集團旗下的展訊開發(fā)了基于自主安全可信架構(gòu)的智能終端解決方案—紫潭，該方案具備生物識別、公私分離、硬件加密、安全通信、可管可控、整機安全六大特色。特別是其硬件平臺采用展訊自主研發(fā)的安全定制芯片—椒圖，支持可信計算STEE安全級別的安全應(yīng)用處理器，代碼安全認證的安全啟動模塊，符合國際和中國標準加解密算法的加密模塊，實現(xiàn)語音/數(shù)據(jù)加密通信的安全通信處理器，以及敏感數(shù)據(jù)特殊區(qū)域存儲的存儲加密。

通過專用加密通信技術(shù)、代碼防篡改技術(shù)、安全運算區(qū)隔技術(shù)，椒圖從最核心的芯片硬件源頭解決整個移動終端系統(tǒng)的完整性和安全性。作為一款采用28 nm工藝的8核5模LTE智能安全手機芯片，它具有更強運算能力的ISP、GPU及更低功耗。該芯片從硬件源頭解決系統(tǒng)完整性、關(guān)鍵應(yīng)用完整性等問題，可防止篡改Boot、OS、服務(wù)及應(yīng)用，杜絕惡意代碼運行。

同時紫潭安全解決方案高度集成了中國科學(xué)院信息工程研究所的“海網(wǎng)云協(xié)同”體系架構(gòu)以及中科虹霸獨特的虹膜生物識別技術(shù)，并采用元心科技開發(fā)的國產(chǎn)雙OS操作系統(tǒng)，分別搭載符合EAL4國際安全標準的國產(chǎn)操作系統(tǒng)和安卓原生操作系統(tǒng)，建立了從“終端”到“云端”的多層次全體系安全保障系統(tǒng)。

（喬治)

收稿日期：2015-11-02

中圖分類號TN914

文獻標識碼A

文章編號1008-5599（2016）02-0065-04