劉波，宋金寶

(1.中國傳媒大學 計算機與網(wǎng)絡(luò)中心，北京 100024；2.中國傳媒大學 信息工程學院，北京100024)

基于DHCP服務(wù)的校園網(wǎng)用戶特征分析

劉波1，宋金寶2

(1.中國傳媒大學 計算機與網(wǎng)絡(luò)中心，北京 100024；2.中國傳媒大學 信息工程學院，北京100024)

隨著信息技術(shù)的發(fā)展，計算機網(wǎng)絡(luò)已經(jīng)遍布社會的各個方面，手機等移動設(shè)備更是成為人們?nèi)粘Ｉ畹闹匾糠郑虼讼嚓P(guān)用戶特征及網(wǎng)絡(luò)使用的研究越來越成為當下的熱點。目前研究用戶特征和網(wǎng)絡(luò)使用情況的方法都是基于TCP流量進行的，但是當用戶大量增加時，原始包的捕獲和存儲將變得非常困難。還有很多研究有線網(wǎng)絡(luò)和無線網(wǎng)絡(luò)的方法，但是使用DHCP將兩者進行比較研究的情況卻很少見。通過大規(guī)模測量和解析校園網(wǎng)中有線和無線網(wǎng)絡(luò)的DHCP數(shù)據(jù)，可以獲得網(wǎng)絡(luò)用戶登錄情況、網(wǎng)絡(luò)使用情況、用戶終端操作系統(tǒng)、終端設(shè)備供應(yīng)商等。研究發(fā)現(xiàn)了一些有趣的信息，這些信息反映了移動網(wǎng)絡(luò)的發(fā)展趨勢以及一些將要面臨的挑戰(zhàn)。

DHCP；用戶特征；有線網(wǎng)絡(luò)；無線網(wǎng)絡(luò) ；DHCP指紋

1 緒論

對網(wǎng)絡(luò)工作者來說研究和表征用戶行為是非常重要的一項工作。作為網(wǎng)絡(luò)管理者，研究網(wǎng)絡(luò)使用細節(jié)及用戶使用網(wǎng)絡(luò)的偏愛有助于制定網(wǎng)絡(luò)策略及保護網(wǎng)絡(luò)安全。用戶和設(shè)備是網(wǎng)絡(luò)的基本組成單元，因此關(guān)于網(wǎng)絡(luò)使用的信息將有助于網(wǎng)絡(luò)模擬、流量分析或者別的方面的網(wǎng)絡(luò)研究。對于IT產(chǎn)品開發(fā)者來說研究用戶的行為模式也是非常必要的一項工作。最近幾年無線網(wǎng)絡(luò)變得非常流行，幾乎所有的公共場所或者特殊區(qū)域都開始提供無線網(wǎng)絡(luò)接入服務(wù)，如餐館、商場、大學和公司等。無線網(wǎng)絡(luò)的增加帶來了新的變化和問題，因此研究無線用戶的特征再次成為研究的熱門話題。

很多研究者嘗試著從多個方面對用戶行為或網(wǎng)絡(luò)使用情況進行了研究。Fraleigh C[1]等人 在普林斯頓公司的IP骨干網(wǎng)上設(shè)計部署了一套被動測量TCP流量的系統(tǒng)。UDP作為除TCP協(xié)議外的一個主要傳輸層協(xié)議，在很多研究中也被廣泛關(guān)注。 C Lee[2]研究發(fā)現(xiàn)，UDP流量在顯著增加。文獻[3]介紹了一種通過網(wǎng)頁訪問日志識別用戶行為的方法。還有很多關(guān)于無線網(wǎng)絡(luò)的研究。Balachandran.A[4]基于TCPDUMP[5]和SNMP[6]數(shù)據(jù)研究了無線網(wǎng)絡(luò)中的用戶特征。Tang D和Baker[7]研究了一所建筑范圍內(nèi)的無線網(wǎng)絡(luò)使用情況。David Kota和Kobby Essien[8]在校園網(wǎng)中進行了類似的研究。

目前有很多關(guān)于有線網(wǎng)絡(luò)和無線網(wǎng)絡(luò)的研究，很多研究中都提到了無線網(wǎng)絡(luò)和移動設(shè)備增加所帶來的改變，但是兩者的比較研究很少見。幾乎所有的此類研究都是基于TCP流量或者SNMP數(shù)據(jù)，但是在大規(guī)模運行的網(wǎng)絡(luò)中因受外部條件制約TCP原始數(shù)據(jù)包的捕獲和解析實現(xiàn)比較困難，同時，SNMP數(shù)據(jù)包因攜帶信息有限，不能很好地滿足研究需求。

本文中對有線和無線的用戶特征及網(wǎng)絡(luò)使用情況都進行了測量，通過比較，將更加清晰地揭示兩者的特性。此外，我們的數(shù)據(jù)解析基于DHCP服務(wù)的日志文件，日志文件攜帶了足夠的信息并且大小合適，這個特點幫助我們實現(xiàn)了對校園網(wǎng)中大約16000臺設(shè)備數(shù)據(jù)的測量和分析。我們希望大量的設(shè)備測量可以帶來更加準確的結(jié)果。我們還通過DHCP指紋對網(wǎng)絡(luò)用戶的操作系統(tǒng)進行了判斷，使用MAC地址獲取用戶設(shè)備廠商信息。這種將網(wǎng)絡(luò)使用情況與用戶使用的操作系統(tǒng)和設(shè)備類型結(jié)合研究的方法在以往的研究中很少出現(xiàn)。

本文第二部分介紹了我們的數(shù)據(jù)獲取方法和分析方法，第三部分將給出有線網(wǎng)絡(luò)和無線網(wǎng)絡(luò)的分析結(jié)果及兩者的比較，第四部分得出結(jié)論。

2 研究方法

本節(jié)首先介紹了數(shù)據(jù)集的來源和獲取方法，然后介紹了通過DHCP指紋特征獲取用戶操作系統(tǒng)的方法，最后介紹了解析DHCP數(shù)據(jù)探測用戶登陸情況的方法。

2.1 基礎(chǔ)數(shù)據(jù)集

研究數(shù)據(jù)采集于中國傳媒大學的DHCP服務(wù)器，這是一臺Linux操作系統(tǒng)的服務(wù)器，使用ISC DHCP軟件提供地址分配服務(wù)，其中配置了260個C類地址池用于有線網(wǎng)絡(luò)，191個C類地址池用于無線網(wǎng)絡(luò)。數(shù)據(jù)采集時間是2016年3月16日0：00至24：00，大約有380000次IP地址分配成功，大約33000個IP地址被使用，大約有16000個終端設(shè)備參與地址申請。本文的研究是在分析以上數(shù)據(jù)的基礎(chǔ)上進行的，其中終端、用戶等都是指使用MAC地址作為唯一標識的計算機網(wǎng)絡(luò)設(shè)備。

2.2 DHCP指紋技術(shù)

探測遠程設(shè)備運行操作系統(tǒng)的技術(shù)被廣泛研究，其中一種是基于DHCP數(shù)據(jù)包進行探測的技術(shù)。DHCP是一個用于用戶自動獲取IP地址、網(wǎng)關(guān)、子網(wǎng)掩碼和其他網(wǎng)絡(luò)參數(shù)的自動配置協(xié)議。使用DHCP協(xié)議的用戶不需要配置靜態(tài)的IP地址，連接網(wǎng)絡(luò)后可自動上線。根據(jù)RFC2131[9]，客戶端需要向服務(wù)器發(fā)送DHCPREQUEST數(shù)據(jù)包請求IP地址和其他網(wǎng)絡(luò)參數(shù)。在DHCPREQUEST數(shù)據(jù)包中有一個域叫做OPTION55，它列出了客戶端想要獲得的參數(shù)。對于不同的操作系統(tǒng)來說，這些參數(shù)的順序和多少是各不相同的。比如一臺安裝了windows98系統(tǒng)的臺式計算機的OPTION55為“53，61，50，54，12，55，43”，而一臺IPONE手機的OPTION55為“1，121，3，6，15，119，252”。因此，通過檢查通信中DHCP數(shù)據(jù)包的這個區(qū)域，我們可以實現(xiàn)對用戶操作系統(tǒng)的推測。

2.3 基于DHCP的用戶登錄探測

當一個設(shè)備加入網(wǎng)路的時候，首先應(yīng)該申請IP地址，并且在收到DHCP服務(wù)器發(fā)出的DHCPACK包之前不能使用網(wǎng)絡(luò)，因此用戶收到的第一個DHCPACK數(shù)據(jù)包的時間戳就是該用戶的準確“加入時間”，把用戶的RELEASE數(shù)據(jù)包的時間戳作為“離開時間”。在知道了用戶加入/離開時間后，可以使用離開時間減去加入時間來估算用戶的在線時間，但是這種估算方法并不完全準確，因為不是所有的客戶端的離開行為被探測到。因此我們只分時段統(tǒng)計ACK數(shù)據(jù)包的數(shù)量，這對于研究用戶登錄狀態(tài)已經(jīng)足夠了。基于相同的概念，我們可以探測不同區(qū)域用戶的登陸情況。根據(jù)各區(qū)域使用的IP地址段不同，將ACK數(shù)據(jù)包分類，然后就可以得到各區(qū)域不同時段的用戶情況。

3 校園網(wǎng)用戶特征分析

這一部分中我們基于DHCP數(shù)據(jù)對校園網(wǎng)進行了測量和分析。首先研究了DHCP服務(wù)器和網(wǎng)絡(luò)的基本使用情況，然后使用DHCP指紋技術(shù)和MAC地址，研究了校園網(wǎng)中用戶的操作系統(tǒng)和硬件廠商信息，最后研究了校園網(wǎng)中一些與時間、空間相關(guān)的參數(shù)，用戶登錄峰值、不同區(qū)域用戶情況等，并且對有線網(wǎng)絡(luò)和無線網(wǎng)絡(luò)的這些特征進行了比較研究。

3.1 網(wǎng)絡(luò)基本使用特征

首先我們來看一下DHCP服務(wù)的基本使用情況。一天中，大約18000個設(shè)備的MAC地址使用了33000個IP地址。其中無線設(shè)備11094臺，使用IP地址25947個，有線設(shè)備7251臺，使用IP地址7146個(其中大約有1500臺設(shè)備同時在有線網(wǎng)和無線網(wǎng)中出現(xiàn))。本文對同一天內(nèi)無線網(wǎng)和有線網(wǎng)的使用情況進行了對比，詳細數(shù)據(jù)見表1。

盡管有很多用戶沒有使用校園網(wǎng)提供的DHCP服務(wù)，但仍然可以看出無線網(wǎng)絡(luò)無論從IP地址使用數(shù)量還是設(shè)備數(shù)量都遠遠超過有線網(wǎng)絡(luò)，無線網(wǎng)絡(luò)顯然已經(jīng)成為校園網(wǎng)接入的主要方式。網(wǎng)絡(luò)管理者注意到了移動設(shè)備的這種發(fā)展趨勢，為無線網(wǎng)絡(luò)提供了大約200個C類地址池，但是仍然不能滿足無線網(wǎng)絡(luò)的需求。有線網(wǎng)絡(luò)分配了比無線網(wǎng)更多的地址池，但是無論是分配的IP地址數(shù)量還是設(shè)備數(shù)量都遠遠少于無線網(wǎng)絡(luò)，IP地址使用率只有無線網(wǎng)絡(luò)的1/5。有線網(wǎng)絡(luò)的登錄會話數(shù)量雖然少于無線網(wǎng)絡(luò)，但是每個IP或者MAC的平均數(shù)卻超過無線網(wǎng)絡(luò)，這說明目前有線網(wǎng)中的有效用戶比例超過無線網(wǎng)。即使如此，無線網(wǎng)絡(luò)的增長趨勢仍然非常明顯，越來越成為用戶使用校園網(wǎng)的主要手段。

表1 DHCP服務(wù)及網(wǎng)絡(luò)使用情況(24小時)

3.2 操作系統(tǒng)與設(shè)備供應(yīng)商

本節(jié)我們將根據(jù)DHCP指紋探索設(shè)備的操作系統(tǒng)情況，并利用MAC地址獲取網(wǎng)絡(luò)供應(yīng)商的一些信息。通過檢查有線和無線網(wǎng)絡(luò)，我們發(fā)現(xiàn)有大約1500個設(shè)備信息同時出現(xiàn)在兩個數(shù)據(jù)集中，這意味著這些設(shè)備在同一天中既使用有線網(wǎng)絡(luò)也使用了無線網(wǎng)絡(luò)，我們將這類設(shè)備信息組成第三個數(shù)據(jù)集。

圖1 用戶操作系統(tǒng)分布圖

圖1中顯示了網(wǎng)絡(luò)中的操作系統(tǒng)分布情況。每一行表示了在不同網(wǎng)絡(luò)中幾個主流的操作系統(tǒng)的分布對比，數(shù)字是對應(yīng)的百分比，其中other表示4個主要操作系統(tǒng)之外的系統(tǒng)或者是使用DHCP指紋方法無法識別的系統(tǒng)。在上圖中我們沒有發(fā)現(xiàn)“Linux系統(tǒng)”，因為“Linux系統(tǒng)”用戶非常少(在有線網(wǎng)絡(luò)中少于0.5%，在其他兩個數(shù)據(jù)集中也很少)。

很明顯在無線網(wǎng)絡(luò)中Android和IOS是非常流行的，至少71%的設(shè)備運行的是移動操作系統(tǒng)。反之，各種版本的windows操作系統(tǒng)在有線網(wǎng)絡(luò)中占據(jù)主導(dǎo)地位。一些移動系統(tǒng)在有線網(wǎng)絡(luò)中被檢測到，這與常識相矛盾，但不難解釋。這些檢測到的移動設(shè)備都是接在了各種各樣的NAT設(shè)備上。當一個打開無線功能的NAT設(shè)備工作在“交換模式”或者“橋接模式”時，連接它的移動設(shè)備需要向DHCP服務(wù)器申請IP地址才能使用網(wǎng)絡(luò)，因此這些移動設(shè)備在有線網(wǎng)絡(luò)中也會被檢測到。這種NAT設(shè)備的使用擴展了有線網(wǎng)絡(luò)的使用范圍。

值得注意的是，我們結(jié)合DHCP option55、MAC地址以及其它信息探測到在有線網(wǎng)絡(luò)中有大量的NAT設(shè)備(超過1000臺)被使用。大部分“other”類型的設(shè)備都是NAT路由器。除了IP地址短缺的原因以外，我們認為選擇使用NAT設(shè)備的主要原因是為了讓手機或平板電腦在任何時間、任何地方保持在線。因為DHCP服務(wù)器不能與NAT后面的設(shè)備通信，所以我們統(tǒng)計的有線網(wǎng)絡(luò)數(shù)據(jù)集中移動設(shè)備的數(shù)量是低于實際設(shè)備數(shù)量的。NAT設(shè)備通過修改網(wǎng)絡(luò)設(shè)備之間的流量打破了網(wǎng)絡(luò)端到端的原理，因此，在NAT網(wǎng)絡(luò)中測量和開發(fā)是非常困難的。通過以上分析不難看出，移動設(shè)備的普及和對無線網(wǎng)絡(luò)接入的渴望可能會導(dǎo)致越來越多的NAT設(shè)備的使用，這將給網(wǎng)絡(luò)開發(fā)和管理帶來新的挑戰(zhàn)。在“有線/無線”數(shù)據(jù)集中的設(shè)備分布和無線網(wǎng)絡(luò)很相似，這是因為它們主要是移動設(shè)備，它們通過無線網(wǎng)橋接入有線網(wǎng)絡(luò)，從而這些設(shè)備同時出現(xiàn)在有線和無線網(wǎng)絡(luò)中。

通過設(shè)備的MAC地址，我們可以推斷設(shè)備廠家，至少可以推斷網(wǎng)卡供應(yīng)商。表2顯示了網(wǎng)絡(luò)中使用數(shù)量最多的設(shè)備供應(yīng)商排名信息。設(shè)備供應(yīng)商信息和操作系統(tǒng)在很多方面是一致的。比如在無線網(wǎng)絡(luò)中擁有大量的TP-Link廠商產(chǎn)品，這進一步證實了NAT設(shè)備在網(wǎng)絡(luò)中的廣泛使用。

表2結(jié)果表明，大學里面高端手機品牌比普通品牌更受歡迎，其中蘋果公司的系列產(chǎn)品在數(shù)量上遙遙領(lǐng)先，是目前最流行的選擇。安卓產(chǎn)品中華為設(shè)備數(shù)量最多，OPPO、小米、VIVO也都超過了三星，可見國產(chǎn)品牌已經(jīng)越來越被大家接受和認可。當然，如果開發(fā)一款應(yīng)用產(chǎn)品，最好還是即支持IOS系統(tǒng)又支持安卓系統(tǒng)，因為兩者都占有可觀的用戶規(guī)模。

表2 網(wǎng)絡(luò)終端設(shè)備主要供應(yīng)商

3.3 區(qū)域與時域分析

接下來我們分別從時間和空間角度對數(shù)據(jù)集進行了分析。圖2顯示了基于時間的網(wǎng)絡(luò)使用情況，其中X軸表示時間，Y軸表示用戶數(shù)量，藍色的曲線代表有線網(wǎng)絡(luò)，橙色曲線代表無線網(wǎng)絡(luò)。

圖2 基于時間的校園網(wǎng)用戶分析

通過圖2可以看到有線網(wǎng)絡(luò)的曲線比較平滑，因為其中的設(shè)備主要是很少移動的臺式計算機和筆記本電腦。有線用戶數(shù)量在6點鐘到7點鐘出現(xiàn)第一次較大增幅，這是因為大學里面晚上會斷掉本科生的電源，而在早上6點鐘電源恢復(fù)時，很多設(shè)備會自動啟動并申請分配IP地址。7點鐘以后隨著教工陸續(xù)開始上班，網(wǎng)絡(luò)用戶數(shù)量逐步增加，一直到11點到達第一個峰值。午休期間用戶數(shù)量短暫減少之后開始增加，15點到達當日最高峰。23點之后，學生宿舍斷電，有線用戶減少并進入平穩(wěn)期。

相比有線網(wǎng)絡(luò)，無線網(wǎng)絡(luò)用戶曲線出現(xiàn)有趣的波動。用戶數(shù)量整體上隨學生上課時間發(fā)生變化。早上6點以后用戶數(shù)量迅速增長，8點鐘到達第一個高峰，此時，第一節(jié)課開始。然后用戶數(shù)量繼續(xù)增加，10點到達上午最高峰，此時，大約是上午三、四節(jié)課的時間。大家好像在中午飯時間對上網(wǎng)沒什么興趣，但是隨著下午課程的開始，在線用戶數(shù)量又開始增加，分別在13點、15點到達了下午用戶數(shù)量的高峰。整體而言，有線網(wǎng)絡(luò)曲線受教工辦公時間影響較大，而無線網(wǎng)絡(luò)曲線與學生上課時間相關(guān)更為密切，這一點在圖3地域分析中進一步得到證實。

圖3 基于空間的校園網(wǎng)用戶分析

圖3結(jié)果表明，有線網(wǎng)絡(luò)用戶主要分布在辦公區(qū)和學生宿舍區(qū)，其中辦公區(qū)以有線用戶為主，無線為輔，學生宿舍區(qū)有線用戶和無線用戶比例相當。無線用戶最集中的區(qū)域是教室和圖書館，這兩個區(qū)域有線用戶極少。

結(jié)合圖2和圖3，可以看到校園網(wǎng)用戶最多分布在辦公區(qū)，這主要是因為學生宿舍區(qū)存在多家網(wǎng)絡(luò)運營商接口，有一部分學生使用了非校園網(wǎng)的網(wǎng)絡(luò)接入方式。相比于圖書館，學生們在教室和宿舍上網(wǎng)更為頻繁。圖2時間曲線表明無線網(wǎng)相比有線網(wǎng)來說用戶數(shù)量多，波動大，這些特征導(dǎo)致網(wǎng)絡(luò)負載加大，給網(wǎng)絡(luò)部署和管理帶來了新的挑戰(zhàn)。

4 結(jié)論

本文通過分析DHCP服務(wù)數(shù)據(jù)對有線和無線網(wǎng)絡(luò)的使用情況和用戶特征進行了評估。我們發(fā)現(xiàn)在現(xiàn)今的生活中無線網(wǎng)絡(luò)和移動設(shè)備越來越流行，移動網(wǎng)絡(luò)設(shè)備數(shù)量追上甚至超過了傳統(tǒng)網(wǎng)絡(luò)設(shè)備。進一步研究顯示，移動設(shè)備的增加導(dǎo)致了有線網(wǎng)絡(luò)中NAT設(shè)備的廣泛使用。這可能會破壞網(wǎng)絡(luò)的端到端原則，阻礙網(wǎng)絡(luò)的開發(fā)和管理。此外，通過時域方面的研究可以看到無線網(wǎng)絡(luò)可能必須面對經(jīng)常變化和具有挑戰(zhàn)性的情況，因為無線網(wǎng)絡(luò)具有更多的可變負載并且無線用戶更加頻繁地加入和離開。將來仍然有很多工作需要進行，比如詳細的用戶在線時間分配等。結(jié)合其他技術(shù)和數(shù)據(jù)的研究結(jié)果，將有助于我們研究的進一步進行。

[1]Fraleigh C，Moon S，Lyles B.Packet-level traffic measurements from the Sprint IP backbone[C]. Network，IEEE，2003，17(6)：6-16.

[2]Lee C，Lee D K，Moon S. Unmasking the growing UDP traffic in a campus net-work[M]. Passive and Active Measurement. Springer Berlin Heidelberg，2012：1-10.

[3]Kollmann E. Chatter on the Wire：A look at DHCP traffic[OL]. Online Avalia-ble：http：//myweb.cableone.net/xnih/ download/chatter-dhcp.pdf，2007.

[4]Balachandran A，Voelker G M，Bahl P. Characterizing user SIGMETRICS Performance Evaluation Review[C]. ACM，2002，30(1)：195-205.

[5]Jacobsen V，Leres C，McCanne S. Tcpdump/libpcap[DB]. 20110724[20120907].http：//www.tcpdump.org，2005.

[6]Case J D，F(xiàn)edor M，Schoffstall M L. Simple network management protocol(SNMP)[S]. 1990.

[7]Tang D，Baker M. Analysis of a local-area wireless network[C]. Proceedings of the 6th annual international confer-ence on Mobile computing and network-ing，ACM，2000：1-10.

[8]Kotz D，Essien K. Characterizing usage of a campus-wide wireless network[C]. Proc ACM MobiCom’02， 2002：107-118.

[9]Droms R. Rfc 2131-dynamic host confi-guration protocol，March 1997[S]. Obsol-etes RFC 1541，Status，DRAFT STANDARD，1997，3(1).

(責任編輯：宋金寶)

AStudyonUserCharacteristicsofNetworkBasedonDHCP

LIU Bo1，SONG Jin-bao2

(1.Computer and Network Center，Communication University of China，Beijing 100024，China2.Information Engineering School，Communication University of China，Beijing 100024，China)

Internet is playing a more and more important role in today’s society. Wireless network and mobile device are becoming part of our lives. So it’s significant to learn about the information of the us-ers or network usage. Both network methods of user characterizing and network usage are mostly bas-ed on TCP traffic study. But when facing to a large amount of users，raw packet capturing and storing would be difficult. There were previous methods researched the fixed network or wireless network，but a comparative study is hardly seen. So in this paper，we measured the large-scale fixed and wireless network of our campus，via DHCP analysis. We analyzed the user behaviors such as distribution of user join time，user count. We also studied about user’s operating system by introducing DHCP OS fingerprin-ting. We found some interesting results，which revealed the trend of mobile network and some challenges might be brought in.

DHCP；user characteristics；fixed network；wireless network；fingerprinting

TP393.1

A

1673-4793(2017)05-0001-06

2017-06-11

全國教育信息技術(shù)研究“十二五”規(guī)劃2015年度青年課題(156242358)

劉波(1978 - )，男(漢族)，山東德州人，中國傳媒大學計算機與網(wǎng)絡(luò)中心工程師. E-mail：lb2008@cuc.edu.cn